Irlandia: Facebook musi wstrzymać transfer danych do USA

Decyzja irlandzkiego urzędu ds. ochrony danych to pokłosie wyroku Trybunału Sprawiedliwości Unii Europejskiej, który jeszcze w połowie lipca orzekł, że wbrew zapewnieniom Komisji Europejskiej, tzw. Tarcza Prywatności UE-USA, która miała zapewnić ochronę danych osobowych mieszkańców Unii Europejskiej, w rzeczywistości nie spełnia swojej roli.

Sprawę nagłośnił Austriak, Maximillian Schrems, który jako wieloletni użytkownik Facebooka zauważył, że jego dane osobowe są w całości lub części przekazywane przez działającą w Irlandii spółkę Facebook Ireland na serwery koncernu w USA, gdzie dane użytkowników są przetwarzane. Schrems uznał jednak, że USA nie zapewniają wystarczającej ochrony danych, do których wgląd mogą mieć amerykańskie władze i wniósł skargę do irlandzkiego urzędu ochrony danych razem z żądaniem zakazu przekazywania danych.

Zgodnie z unijnymi przepisami o ochronie danych (RODO) przekazywanie danych do państwa trzeciego może mieć miejsce co do zasady tylko wtedy, gdy dane państwo trzecie zapewnia odpowiedni stopień ochrony tych danych. Na podstawie rozporządzenia Komisja może stwierdzić, czy dany kraj zapewnia, dzięki swoim przepisom krajowym lub umowom międzynarodowym, taką ochronę. Jeśli tak nie jest, dane mogą być przekazane jedynie w sytuacji, jeśli firma je przekazująca i mająca siedzibę w UE sama zapewni odpowiednie zabezpieczenia.

Pierwsza skarga Schremsa została oddalona. Austriak postanowił ją przeformułować i złożyć ponownie utrzymując zarzut, że USA nie zapewniają wystarczającej ochrony danych osobowych i żądając zawieszenia lub zakazania przekazywania w przyszłości jego danych osobowych z Unii do Stanów Zjednoczonych.

Tym razem TSUE przyznał Schremsowi rację i uznał, że zgodnie z RODO osoby, których dane osobowe są przekazywane za granicę, muszą korzystać z takiego samego stopnia ochrony, jaki gwarantowany jest w Unii. Jeśli natomiast państwa trzecie nie są w stanie zapewnić wystarczającej ochrony, przekazywanie danych może zostać zawieszone lub zakazane. W tym wypadku umowa z USA zakładała pierwszeństwo bezpieczeństwa narodowego i interesu publicznego kraju nad ochroną danych unijnych użytkowników. Oznacza to, że jeśli amerykańskie służby uznają, że któryś z tych elementów jest zagrożony, mogą złamać prywatność osób, których dane są przekazywane do USA. A to zdaniem TSUE jest sprzeczne z prawem UE.

Rzecznik Facebooka, Matt Sanders, powiedział, że firma planowała przekazywać dane z UE do USA w oparciu o dotychczasowe zasady, wprowadzając jednak szyfrowanie danych, żeby spełnić unijne standardy bezpieczeństwa. Eksperci oceniają jednak, że takie rozwiązanie może być niewystarczające dla unijnych urzędów ochrony danych.

Jak podaje Politico, ostateczna decyzja ws. transferu danych Europejczyków przez FB może zapaść już w październiku.