Najvyšší súd USA práve zrušil prenosy údajov medzi EÚ a USA

• Vykonávacie rozhodnutie Komisie EÚ 2023/1795 o rámci EÚ a USA v oblasti ochrany osobných údajov (EUR-Lex)
• Rozhodnutie Najvyššieho súdu USA vo veci veci Trump proti Slaughterovi
• noyb List Európskej komisii

Rámec EÚ a USA v oblasti ochrany osobných údajov. Od roku 1995 EÚ vo všeobecnosti zakazuje export osobných údajov do tretích krajín, aby sa zabezpečilo, že pravidlá EÚ v oblasti ochrany súkromia nemožno obísť jednoduchým odoslaním údajov do zahraničia. Hoci existujú výnimky pre nevyhnutné prenosy, ktoré siahajú od rezervácie hotela až po zložité transakcie, mnohé spoločnosti v EÚ jednoducho outsourcovali spracovanie osobných údajov americkým poskytovateľom cloudových služieb. Od roku 2000 Európska komisia opakovane uznávala, že USA sú „primeranou“ krajinou, pokiaľ ide o ochranu osobných údajov – čím umožnila voľný tok údajov medzi EÚ a USA. Európsky súdny dvor (CJEU) zrušil dve predchádzajúce rozhodnutia Komisie v takzvanom „Schrems I“ (ktorým zrušil program „Safe Harbour“) a „Schrems II“ (ktoré zrušilo program „Privacy Shield“), a to kvôli americkým zákonom o sledovaní a nedostatku súdnych opravných prostriedkov v USA. Napriek tomu Európska komisia v roku 2023 vydala tretiu dohodu medzi EÚ a USA s názvom „Rámec EÚ-USA pre ochranu osobných údajov“, ktorá bola z veľkej časti kopírovaním a vkladaním predchádzajúcich zrušených dohôd.

Požiadavka EÚ na nezávislý orgán na ochranu údajov.Zmluvné právoEÚ(teda „ústavný“ rámec EÚ), konkrétne článok 16 ods. 2 ZFEÚ a článok 8 ods. 3 Charty základných práv, vyžaduje, aby dohľad nad otázkami ochrany údajov vykonával „nezávislý“ orgán. Keďže tretie krajiny musia mať „v podstate rovnocennú“ ochranu, je potrebné, aby každá tretia krajina, ktorá chce využívať voľný tok osobných údajov z EÚ, takúto ochranu tiež poskytovala. Doposiaľ USA vymenovali „nezávislú“ Federálnu obchodnú komisiu (FTC) za svojho regulátora v oblasti ochrany súkromia, aby splnili požiadavku EÚ na nezávislý dohľad. EÚ sa na oplátku vo svojom rozhodnutí o toku údajov medzi EÚ a USA spoliehala na FTC až 259 (!) krát.

Max Schrems: „Kľúčové je, že ústavný rámec EÚ vyžaduje nezávislý dohľad. Jediným spôsobom, ako to zmeniť, by bolo jednomyseľné hlasovanie všetkých členských štátov EÚ o zmene zmlúv EÚ.“

Požiadavka na nezávislý súd. Okrem tohoSúdny dvor EÚ tiež zdôraznil, že USA by museli zabezpečiť nezávislý mechanizmus právnej nápravy v otázkach vládneho sledovania. Keďže USA neboli schopné prijať príslušnú legislatívu, Bidenova administratíva zriadila „Súd pre preskúmanie ochrany údajov“. Hoci sa nazýva „súd“, v skutočnosti ide o výkonný orgán v rámci amerického ministerstva spravodlivosti. Je „nezávislý“ iba na základe výkonnú vyhlášku bývalého prezidenta Bidena, ktorý môže Trump kedykoľvek zmeniť a ktorý nie je pre prezidenta záväzný. 

Rozhodnutie vo veci „Slaughter“: Jednotná (Trumpova) výkonná moc. Vúplnom protiklade k doterajšej judikatúre konzervatívna väčšina na Najvyššom súde USA teraz rozhodla, že nezávislosť Federálnej obchodnej komisie (FTC) je protiústavná. Toto rozhodnutie vychádza z „jednotnej“ teórie, podľa ktorej musí mať prezident USA moc nad všetky výkonných orgánov USA a vyhlásila za protiústavné všetky americké zákony, ktoré rôznym agentúram zaručujú nezávislosť. Vzhľadom na to, že EÚ sa takmer vo všetkých prípadoch spoliehala na „nezávislosť“ FTC ako orgánu dohľadu nad ochranou súkromia, celá štruktúra rámca EÚ-USA pre ochranu osobných údajov sa práve zrútila.

Max Schrems: „Dokonca aj podľa logiky Európskej komisie je základ akejkoľvek dohody o prenose údajov medzi EÚ a USA mŕtvy. Vyzývame Komisiu, aby začala riadny odchod z amerického cloudu – čo nie je ľahké, ale bohužiaľ je to nevyhnutné. Komisia pod tlakom priemyslu postavila právny domček z kariet; teraz, keď sa jasne zrútil, musí prevziať zodpovednosť.“

Dopad nie je neobmedzený. Ajkeď všetky základy rozhodnutia EÚ zmizli, rozhodnutie Európskej komisie formálne platí, kým ho Európska komisia nezruší alebo kým ho Súdny dvor EÚ nezruší. Neexistuje teda žiadny okamžitý účinok. Nariadenie GDPR tiež upravovalo iba prenos osobných údajov. Neosobné údaje môžu voľne prúdiť. Navyše, článok 49 GDPR umožňuje nevyhnutné prenosy údajov do akejkoľvek tretej krajiny. Neumožňuje však štrukturálne presúvať údaje mimo EÚ, ak to nie je striktne nevyhnutné.

Dotknuté sú aj štandardné zmluvné doložky (SCC) a záväzné podnikové pravidlá (BCR). Hoci sa niektoré spoločnosti nemusia priamo spoliehať na rámcovú dohodu medzi EÚ a USA a namiesto toho formálne používajú SCC a BCR, zvyčajne sa spoliehajú aj na „posúdenie vplyvu“, ktoré sa zase opiera o kedysi nezávislé výkonné orgány USA, ako sú PCLOB alebo Súd pre preskúmanie ochrany údajov. Rozhodnutie Najvyššieho súdu sa preto zvyčajne týka aj ich, aj keď sa nespoliehajú na FTC. Na rozdiel od prevádzkovateľov, ktorí sa spoliehajú na formálne rozhodnutie Komisie, musia bezodkladne aktualizovať svoje posúdenie – a logicky dospieť k záveru, že prenosy údajov už nie sú zákonné.

Ďalšie kroky: Komisia musí zrušiť dohodu medzi EÚ a USA. noyb zaslala formálny list Európskej komisii , v ktorom ju žiada, aby podnikla primerané kroky na riadne zrušenie dohody o prenose údajov medzi EÚ a USA. Z politického hľadiska sa mnohé členské štáty EÚ už vydali smerom k prístupu založenému na „digitálnej suverenite“ a vyhlásili, že sa odpoja od amerických poskytovateľov služieb. Niektorí americkí poskytovatelia služieb sa tiež uberajú smerom k samostatnému spracovávaniu údajov v EÚ. Vzhľadom na to, že USA naďalej vyvíjajú na EÚ obrovský tlak, aby osobné údaje naďalej prúdili, noyb v najbližších týždňoch podá žalobu s cieľom umožniť Súdnemu dvoru EÚ zrušiť súčasnú dohodu. Takáto žaloba však zvyčajne trvá 2–3 roky, kým sa dospeje k konečnému rozhodnutiu.