Prohlášení Maxe Schremse rok po rozhodnutí Soudního dvora Evropské unie ve věci "Schrems II"
Před rokem bylo takzvané rozhodnutí "Schrems II" označováno za přelomové, přestože se jednalo již o druhé rozhodnutí, kterým Soudní dvůr EU prohlásil předávání údajů mezi EU a USA za nezákonné - na základě práva EU, které fakticky existuje již od roku 1995. Zdá se, že v posledním roce se příslušné zúčastněné strany věnovaly především odklánění a ukazování prstem, přičemž každá z nich přenášela odpovědnost na jinou.
Pouze zlomek evropských podniků si uvědomil, že základní rozpor mezi ochranou údajů v EU a americkým právem o dohledu nad přežitím nebude v krátkodobém horizontu vyřešen, a přešel k hostování osobních údajů v Evropě nebo jiných bezpečných regionech, místo aby se zabýval nekonečnou noční můrou ohledně dodržování amerického práva. Další evropské společnosti si pravidelně stěžují na nedostatek "vodítek", a to navzdory dvěma jasným rozsudkům. Když už jsou poskytnuty pokyny, jako například nedávné pokyny EDPB, mnozí argumentují, že je "nereálné" dodržovat požadavky zákona.
Hromada průmyslových právníků a amerických poskytovatelů cloudových služeb se tuto mezeru snažila zaplnit pseudopokyny typu "keep calm and carry on" a v uplynulém roce rozvíjela stále hrubší právní teorie. Ty sahají od existence "přístupu založeného na riziku" (který se v příslušné části GDPR nevyskytuje) až po návrh nefunkčních "doplňkových opatření" (jako je například oplocení datových center). Namísto investic do bezpečných IT systémů investují tyto subjekty ze soukromého sektoru do PR aktivit, které předstírají shodu s předpisy. Bude zajímavé sledovat, zda se podniky a zákazníci v EU budou dožadovat odškodnění, pokud se ukáže, že tyto sliby jsou jen plané řeči.
Orgány pro ochranu údajů se do značné míry drží vyčkávacího přístupu. Až na několik málo výjimek zatím nedošlo k žádnému vyšetřování ani rozhodnutí ze strany orgánů pro ochranu údajů. Ze 101 vzorových stížností noyb podaných po rozsudku nebylo rozhodnuto o žádné, přestože orgány pro ochranu údajů vytvořily pracovní skupinu. Původní stížnost na Facebook, podaná v roce 2013, byla odložena zbytečným druhým šetřením irské komise pro ochranu údajů, což si vyžádalo, aby noyb vydala další žalobu na DPC, kterou vyřídila v lednu 2021. Právě nyní očekáváme brzké rozhodnutí.
Evropská komise kalí vodu vydáváním nových nástrojů pro předávání, jako jsou"standardní smluvní doložky", které pečlivě obcházejí jasné vyjádření k předávání údajů mezi EU a USA a umožňují právníkům z oboru stále spřádat nové teorie o dodržování předpisů a vyhýbat se dlouhodobým řešením. Současně se zdá, že Komise nevěří ve včasné řešení s USA.
Na rozdíl od svého evropského protějšku vláda USA s radostí pravidelně oznamuje údajný "pokrok" v jednáních o nové dohodě. Zdá se však, že nemá téměř žádnou chuť měnit podstatu problému: příliš přísné americké zákony o dohledu. Pokud americký průmysl nebude ve Washingtonu silně lobbovat za zlepšení ochrany zahraničních zákazníků, je nepravděpodobné, že by se americké zákony o sledování změnily. V rozhovorech, které jsem vedl, se americký průmysl vyjádřil poměrně jasně: bez hrozby vážného vymáhání práva v EU nebo masového odlivu zákazníků z EU nebude americký průmysl vynakládat svůj politický kapitál ve Washingtonu na boj za ochranu soukromí cizinců.
Situace se nesporně rovná kruhu hráčů, kteří z velké části stojí na místě. Pozitivní je, že pokud se některý z těchto hráčů dá do pohybu, může to rychle vyvolat dominový efekt směřující k dlouhodobému řešení.
Podle mého osobního názoru může být dlouhodobým řešením pouze nějaká forma dohody o "nešpehování" mezi demokratickými státy, která bude chránit lidské právo uživatelů na soukromí nezávisle na místě a občanství. Nemusíme toho dosáhnout během několika měsíců, ale možná během deseti let, protože globální internet potřebuje globální ochranu, aby fungoval tak, jak si uživatelé a společnosti přejí.
Tým noyb a mnozí další budou na takovém dlouhodobém řešení i nadále pracovat.
Max Schrems
