Wyrok TSUE w sprawie Schrems II

Wyrokowi w sprawie Schrems II poświęcono wiele uwagi, teraz czas na wnioski. Po pierwsze, TSUE uchylił Tarczę Prywatności, która nie stanowi już podstawy przekazywania danych osobowych do USA. Tarcza definitywnie przestała chronić około 5,3 tys. firm. Po drugie - opracowywane przez KE standardowe klauzule umowne (SCC), powszechnie wykorzystywane przy przekazywaniu danych do państw trzecich (nie tylko do USA), są ważne. Niemniej nie mogą być stosowane bezrefleksyjnie, a podmioty stosujące SCC (zazwyczaj są to przedsiębiorcy) muszą ocenić, czy państwo trzecie zapewnia danym ochronę na europejskim poziomie. Taka ocena to wyjątkowe wyzwanie. W zależności od "sytuacji" ustalonej w państwie trzecim może powstać wymóg stosowania "środków dodatkowych" (w cudzysłowach zwroty z wyroku TSUE). Przy ocenie pomocne jest m.in. ustalenie, czy państwo trzecie przystąpiło do Konwencji 108 Rady Europy. Co ciekawe, choć do konwencji przystąpiły m.in. Rosja, Turcja czy Meksyk, to wśród sygnatariuszy brakuje USA, ChRL oraz Indii. Co więcej, TSUE właśnie negatywnie ocenił sytuację w USA (i uchylił Tarczę). 

Jakie więc "środki dodatkowe" można rozważać? Środki prawne (np. zobowiązanie do usuwania danych w razie próby nieuprawnionego dostępu ze strony organów państwa trzeciego) i organizacyjno-techniczne (np. szyfrowanie - tu z pomoca przychodzą już dziś niektóre rozwiązania chmurowe). Można zakładać, że w nieodległej przyszłości EROD przedstawi dalsze sugestie w tym zakresie. Oczekiwane są też nowe standardowe klauzule.

Problem jednak zostanie - organy państw trzecich, działając w zakresie uprawnień przyznanych lokalnymi regulacjami, nadal będą żądały dostępu do danych w swych jurysdykcjach. Zatem bez zmiany prawa w państwach trzecich zapewne się nie obejdzie (np. w USA na poziomie federalnym, zwaszcza w kontekście dochodzenia praw przez cudzoziemców). Zresztą tu kolejny efekt uboczny wyroku TSUE - w Ameryce wywołał oburzenie jako zakwestionowanie rządów prawa w USA.

Autorem artykułu, który ukazał się w kwartalniku ABI Expert, jest Bartosz Marcinkowski, szef zespołu ochrony danych osobowych.