Table of Contents
Aktualizacja, 29 stycznia 2025 r.
W poniedziałek 27 stycznia 2025 r. prezydent USA Donald Trump odwołał trzech demokratów z Rady Nadzoru Prywatności i Swobód Obywatelskich (PCLOB) (patrz strona internetowa PCLOB). W rezultacie Rada Nadzoru Prywatności i Swobód Obywatelskich ma obecnie tylko jednego członka zarządu, co czyni ją niefunkcjonalną.
PCLOB odgrywa kluczową rolę w ramach ochrony prywatności danych UE-USA. Jest to widoczne w decyzji Komisji Europejskiej w sprawie adekwatności, która odnosi się do PCLOB ponad 30 razy. PCLOB służy jako główny organ nadzorczy zapewniający, że amerykańskie agencje wywiadowcze przestrzegają uzgodnionych zasad, przepisów i zobowiązań wynikających z ram. Jest to zasadniczo jedyny odpowiedni organ nadzorczy wspierający cel ram, jakim jest zapewnienie ochrony danych „zasadniczo równoważnej” z ochroną w UE.
Chociaż potencjalna dysfunkcjonalność PCLOB nie unieważnia natychmiast Ram Prywatności Danych UE-USA, znacznie zwiększa ich podatność na wyzwania prawne. Przyszły kierunek działań – w szczególności to, czy i w jaki sposób wolne stanowiska w zarządzie zostaną obsadzone – może mieć decydujące znaczenie. Jeśli dojdzie do przeglądu prawnego ram, szanse na skuteczne zakwestionowanie ich legalności mogą znacznie wzrosnąć. Komisja Europejska może również rozważyć cofnięcie decyzji stwierdzającej odpowiedni poziom ochrony danych w odniesieniu do Ram Prywatności Danych UE-USA.
Bardziej bezpośrednie obawy budzi jednak fakt, że pierwszego dnia urzędowania prezydent Trump podpisał rozporządzenie wykonawcze, które może mieć znacznie bardziej bezpośredni wpływ. Nakazuje ono przegląd wszystkich decyzji dotyczących bezpieczeństwa narodowego podjętych przez jego poprzednika w ciągu 45 dni. Obejmuje to wszystkie przepisy, które stanowią podstawę Ram Prywatności Danych UE-USA. Przegląd ten stanowi pierwszy i prawdopodobnie najbardziej krytyczny test dalszego istnienia tych ram.
Dla firm polegających na Ramach Prywatności Danych UE-USA dla transatlantyckich transferów danych, zalecamy następujące środki ostrożności:
- Przeanalizuj i udokumentuj przepływ danych
- Uzyskaj pełny przegląd wszystkich transferów danych w Twojej firmie, w tym transferów wewnętrznych i tych z udziałem partnerów zewnętrznych.
- Określ, które z tych przepływów danych opierają się na strukturze.
- Rozważmy europejskie alternatywy
- Oceń możliwość przejścia na rozwiązania, w których przetwarzanie danych odbywa się wyłącznie w UE.
- Takie podejście „tylko UE” może znacznie zmniejszyć ryzyko związane z przestrzeganiem przepisów i uprościć przestrzeganie RODO.
- Sprawdź u swoich dostawców usług, czy oferują opcje hostingu i przetwarzania danych w UE.
- Stosowanie standardowych klauzul umownych (SCC)
- Alternatywą dla ram jest wdrożenie SCC, które służą jako niezależna podstawa prawna dla przekazywania danych.
Wyzwania dla ram prywatności danych UE-USA
Unijno-amerykańskie ramy ochrony prywatności danych, obowiązujące od lipca 2023 r., mogą znajdować się w krytycznym punkcie zwrotnym. Wraz z objęciem prezydentury w USA przez Donalda Trumpa i jego planami szerokiej zmiany politycznej, fundamenty tego transatlantyckiego porozumienia w sprawie bezpiecznego przekazywania danych amerykańskim firmom mogą być zagrożone.
Podstawa prawna ram w dużej mierze zależy od zarządzenia wykonawczego 14086 („Zarządzenie wykonawcze w sprawie wzmocnienia zabezpieczeń działań wywiadu sygnałowego Stanów Zjednoczonych”), wydanego przez prezydenta Joe Bidena 7 października 2022 roku. To rozporządzenie wykonawcze zostało opracowane specjalnie w celu spełnienia wymogów określonych przez Trybunał Sprawiedliwości Unii Europejskiej (TSUE) w jego przełomowym orzeczeniu Schrems II (C-311/18, 16 lipca 2020 r.) dotyczącym odpowiedniej ochrony danych w USA.
Dwa kluczowe filary określają zabezpieczenia wprowadzone przez to zarządzenie wykonawcze:
- Surowe kryteria konieczności i proporcjonalności dla amerykańskich agencji wywiadowczych uzyskujących dostęp do danych.
- Niezależny i bezstronny system dochodzenia roszczeń umożliwiający obywatelom UE kwestionowanie bezprawnego gromadzenia danych do celów bezpieczeństwa narodowego.
(Warto zauważyć, że do listopada 2024 r. złożono tylko jedną skargę w ramach tego mechanizmu dochodzenia roszczeń).
Jednak ta struktura prawna jest również największą słabością ram prawnych. Zarządzenia wykonawcze to prezydenckie dyrektywy, które mogą być wydawane lub odwoływane bez zgody Kongresu. W związku z tym rozporządzenie wykonawcze 14086, stanowiące podstawę ram prywatności danych UE-USA, może zostać w każdej chwili uchylone lub znacząco zmienione przez prezydenta Trumpa.
Stwarza to znaczną niepewność prawną dla transatlantyckich transferów danych. Firmy i organizacje polegające na tych ramach jako podstawie prawnej do przekazywania danych muszą być świadome tej nieodłącznej niestabilności. Jeśli rozporządzenie wykonawcze 14086 zostanie odwołane, podstawy prawne decyzji Komisji Europejskiej w sprawie odpowiedniego poziomu ochrony danych zostaną podważone, co może doprowadzić do kolejnego kryzysu w transatlantyckim transferze danych – podobnego do poprzednich upadków Safe Harbor i Privacy Shield.
W przeszłości transatlantyckie umowy o transferze danych – Safe Harbor i Privacy Shield – kończyły się niepowodzeniem z powodu skarg do TSUE. Do tej pory zakładano, że największym zagrożeniem dla obecnych ram ochrony prywatności danych będzie kolejne wyzwanie prawne przed Trybunałem Europejskim. Sytuacja przybrała jednak nieoczekiwany obrót: Największe bezpośrednie zagrożenie dla ram pochodzi obecnie z Waszyngtonu, a nie z Luksemburga.
Jeśli prezydent Trump uchyli rozporządzenie wykonawcze leżące u podstaw tych ram, może to nastąpić znacznie szybciej niż w przypadku orzeczenia TSUE. Podczas gdy sprawa sądowa zwykle trwa latami i wymaga argumentów prawnych, prezydencki kontrrozkaz może natychmiast pozbawić ramy ich podstaw prawnych.
Firmy i organizacje muszą działać proaktywnie
Biorąc pod uwagę tę niepewność polityczną, organizacje powinny przyjąć podwójne podejście do prawnego zabezpieczenia swoich transatlantyckich transferów danych.
Oprócz korzystania z ram prywatności danych UE-USA, firmy powinny wdrożyć i stale utrzymywać standardowe klauzule umowne (SCC) dla wszystkich transferów danych. Ta „strategia tworzenia kopii zapasowych” stanowi dodatkową podstawę prawną dla zgodnych z przepisami transferów danych.
SCC, jako mechanizm zatwierdzony przez Komisję Europejską, oferują kluczową zaletę: pozostają ważne niezależnie od wydarzeń politycznych w USA. Podczas gdy Ramy Prywatności Danych UE-USA mogą zostać unieważnione decyzją prezydenta, SCC pozostaną stabilną podstawą umowną. Firmy korzystające z obu mechanizmów mogą polegać na SCC w przypadku upadku ram.
Należy jednak zachować ostrożność:
Chociaż wdrożenie SCC jest ważnym zabezpieczeniem, nie jest to rozwiązanie uniwersalne. Jeśli unijno-amerykańskie ramy prywatności danych zostaną odwołane, ponownie pojawią się obawy dotyczące poziomów ochrony danych w USA. W takim przypadku firmy polegające na SCC będą musiały przedstawić znacznie silniejsze uzasadnienia, aby udowodnić odpowiednią ochronę danych.
W szczególności firmy musiałyby przeprowadzić oceny wpływu transferu (TIA), zgodnie z wymogami orzeczenia TSUE w sprawie Schrems II. Oceny te muszą krytycznie oceniać prawa dostępu władz amerykańskich do danych. Bez zabezpieczeń przewidzianych w rozporządzeniu wykonawczym 14086 firmy musiałyby wykazać znacznie więcej środków ochronnych, aby zapewnić ochronę danych odpowiadającą standardom UE.
