Koniec niepewności. USA i UE uzgodniły kwestie wokół przepływu danych

Wątpliwości wokół kwestii związanych z przepływem danych osobowych użytkowników z Unii Europejskiej do Stanów Zjednoczonych to pokłosie dwóch głośnych spraw: ujawnienia przez byłego współpracownika CIA Edwarda Snowdena skali amerykańskiej inwigilacji, a także pozwu austriackiego aktywisty na rzecz prywatności Maksa Schremsa przeciwko Facebookowi.

Schrems stwierdził, że fakt, iż Facebook (dziś Meta) przechowuje jego dane w USA, stanowi naruszenie europejskich regulacji ochrony danych i prywatności. Do tej oceny przychylił się Trybunał Sprawiedliwości Unii Europejskiej, którego orzeczenie de facto unieważniło wypracowane wcześniej zasady transferów danych pomiędzy UE a USA.

Długoletni priorytet

Ustalenie nowych zasad było dla obu jurysdykcji wieloletnim priorytetem - przede wszystkim ze względu na presję ze strony amerykańskich firm technologicznych, które pozostawały w niepewności prawnej i były narażone na kary finansowe w związku z przesyłaniem danych użytkowników z UE do Stanów Zjednoczonych .

Jedną z takich kar jest nałożona na Metę grzywna w wysokości 1,2 mld euro z 2020 r., która związana była właśnie z przesyłaniem danych użytkowników Facebooka do USA. Orzeczenie to w praktyce wysadziło w powietrze obowiązujące ustalenia w ramach tzw. Privacy Shield.

Orzeczenia zapadały też na niższym poziomie w sprawach innych firm, takich jak Google, świadczące usługę Analytics - kolejne organy ochrony danych osobowych orzekały, że ze względu na transfer danych osobowych do USA, użycie tej usługi może stanowić zagrożenie dla bezpieczeństwa, gdyż wiąże się z możliwością inwigilacji przez amerykańskie służby. Niektóre organy wprost oceniały, że korzystanie z Analytics jest nielegalne . Można o tym poczytać na naszych łamach m.in. w tym tekście .

Dlaczego przepływ danych jest problematyczny?

Ze względu na amerykańskie regulacje, które zezwalają organom ścigania i agencjom wywiadowczym na żądanie dostępu do danych użytkowników usług cyfrowych pochodzących z innych krajów, jeśli będzie to zasadne z punktu widzenia bezpieczeństwa narodowego.

To właśnie te przepisy, zawarte w Ustawie o kontroli wywiadu zagranicznego (FISA, Foreign Intelligence Service Act) stały się inspiracją dla Maksa Schremsa, który pozwał Facebooka.

Schrems, jak pisze dziennik „New York Times" , nie jest przy tym usatysfakcjonowany wypracowaniem porozumienia wokół przepływu danych - i ma zamiar pozwać Metę ponownie. Jak argumentuje aktywista, nie wystarczy sama deklaracja powstania „nowych i elastycznych" reguł. To amerykańskie prawo zezwalające na inwigilację obywateli innych krajów musi się zmienić. Jak w takim razie wyglądają wypracowane reguły?

Nowe porozumienie, stare problemy

Zdaniem niektórych europarlamentarzystów (Parlament Europejski nie był bezpośrednio zaangażowany w negocjacje porozumienia, jak podkreśla „NYT"), wypracowane reguły nie wnoszą żadnych konkretnych zabezpieczeń w stosunku do inwigilacji, której mogą dopuszczać się amerykańskie agencje wywiadowcze.

Dane Europejczyków nadal są zatem narażone w praktyce na to samo zagrożenie, co wcześniej. Strony porozumienia twierdzą jednak, że będzie inaczej. Ma w tym pomóc wprowadzona przez porozumienie możliwość stworzenia systemu, w którym użytkownicy z UE będą mogli wchodzić w dysputy z amerykańskim rządem, np. w sytuacjach, kiedy będą podejrzewali, że są poddawani nieuzasadnionej inwigilacji.

W takiej sytuacji procedura będzie obejmowała zgłoszenie takiego podejrzenia do lokalnego organu ochrony danych osobowych - w Polsce to Prezes Urzędu Ochrony Danych Osobowych - który w imieniu obywateli będzie dochodził ich praw przed amerykańskim rządem.

Prezydent USA Joe Biden w październiku wydał rozporządzenie wykonawcze, które zobowiązało agencje wywiadowcze do stworzenia mechanizmów mających zapobiegać nieprawidłowościom w gromadzeniu danych - np. sprawić, że będzie ono procesem proporcjonalnym do ryzyka dla bezpieczeństwa go uzasadniającego.

Zmiany miały pojawić się również po stronie amerykańskiego ministerstwa sprawiedliwości, które na mocy wypracowanego porozumienia ma udostępniać krajom UE narzędzia do składania zażaleń ws. naruszeń prawa ochrony danych i prywatności unijnych obywateli.

Jak wypracowane porozumienie sprawdzi się w praktyce? To się okaże - a do czekania na rezultaty zachęca m.in. unijny komisarz Didier Reynders, który twierdzi, że praktyka zweryfikuje deklaracje i teorię.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].