Przekazywanie danych osobowych do USA

6 października 2015 r. Trybunał Sprawiedliwości Unii Europejskiej wydał bardzo ważny wyrok w sprawie Maximilian Schrems przeciwko Data Protection Commissioner (C-362-14), w którym stwierdził nieważność decyzji Komisji Europejskiej z 26 lipca 2000 r. w sprawie adekwatności ochrony przewidzianej przez zasady ochrony prywatności w ramach „bezpiecznej przystani" przez Stany Zjednoczone (decyzja KE nr 2000/520/WE).

Jeżeli chodzi o praktyczne konsekwencje tego wyroku, to najważniejsza jest taka, że przekazywanie danych osobowych, przetwarzanych przez administratorów danych, z Unii Europejskiej do Stanów Zjednoczonych nie może być dłużej dokonywane na podstawie przywołanej decyzji Komisji. Należy wyraźnie podkreślić, że w każdym przypadku operacje przekazywania nadal mające miejsce na podstawie decyzji w sprawie bezpiecznej przystani po wydaniu orzeczenia TSUE są niezgodne z prawem.

Ponieważ wyrok TSUE ma bardzo duże znaczenie, w odpowiedzi na niego, 16 października tzw. Grupa Robocza art. 29 ds. Ochrony Danych (najważniejsze forum współpracy organów ochrony danych osobowych państw członkowskich UE) wydała w jego sprawie oświadczenie.

Podkreśliła w nim m.in., że mimo niemożności korzystania już z tzw. bezpiecznej przystani w przypadku przekazywania danych osobowych do USA, skuteczne pozostają wszystkie pozostałe przesłanki legalizujące transfer danych osobowych. Oznacza to, że nadal mogą być wykorzystywane standardowe klauzule umowne i tzw. wiążące reguły korporacyjne. W polskim porządku prawnym katalog takich przesłanek przewidziany został w art. 47–48 ustawy o ochronie danych osobowych (patrz ramka). W oświadczeniu czytamy, że w przypadku, gdy państwa członkowskie nie wypracują innego wspólnego rozwiązania, organy ochrony danych osobowych państw członkowskich od 1 lutego 2016 r. rozpoczną z własnej inicjatywy egzekwowanie przepisów w tym zakresie.

Należy jednak podkreślić, że w ocenie generalnego inspektora ochrony danych osobowych wyrażona w powołanym oświadczeniu graniczna data 1 lutego przyszłego roku nie oznacza, że przedsiębiorcy nie są zobowiązani do niezwłocznego legitymowania się inną z podstaw prawnych legalizujących transfer do państw trzecich. Wskazany termin powinien być traktowany jako maksymalny, do którego organy ochrony danych państw członkowskich co do zasady nie będą inicjowały czynności zmierzających do egzekwowania wykonania wskazanego wyroku.

Generalny inspektor ochrony danych osobowych będzie jednak reagował na wszelkie otrzymywane we wskazanej materii skargi, nawet składane przed 1 lutego 2016 r. Jeszcze raz należy podkreślić, że formalnie z uwagi na moc prawną wyroków TSUE oraz to, że Trybunał nie zdecydował się odroczyć skutków wyroku w sprawie Schrems w czasie, z chwilą jego wydania transfer danych do USA oparty o decyzję Komisji Europejskiej jest nielegalny.

Przekazywanie informacji do państwa trzeciego

Zgodnie z ustawą o ochronie danych osobowych (DzU z 2014 r., poz. 1182) przekazanie danych osobowych do państwa trzeciego może nastąpić, jeżeli państwo docelowe zapewnia na swoim terytorium odpowiedni poziom ochrony danych osobowych. Odpowiedni poziom oceniany jest z uwzględnieniem wszystkich okoliczności dotyczących operacji przekazania danych, w szczególności biorąc pod uwagę charakter danych, cel i czas trwania proponowanych operacji przetwarzania danych, kraj pochodzenia i kraj ostatecznego przeznaczenia, przepisy prawa obowiązujące w danym państwie trzecim oraz stosowane w tym państwie środki bezpieczeństwa i zasady zawodowe.

Wymogów tych nie stosuje się, gdy przesłanie danych osobowych wynika z obowiązku nałożonego na administratora danych przepisami prawa lub postanowieniami ratyfikowanej umowy międzynarodowej, gwarantującymi odpowiedni poziom ochrony tych danych. Administrator może jednak przekazać dane osobowe do państwa trzeciego, jeżeli:

- osoba, której dane dotyczą, udzieliła na to zgody na piśmie,

- przekazanie jest niezbędne do wykonania umowy pomiędzy administratorem danych a osobą, której dane dotyczą, lub jest podejmowane na jej życzenie,

- przekazanie jest niezbędne do wykonania umowy zawartej w interesie osoby, której dane dotyczą, pomiędzy administratorem danych a innym podmiotem,

- przekazanie jest niezbędne ze względu na dobro publiczne lub do wykazania zasadności roszczeń prawnych,

- przekazanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą,

- dane są ogólnie dostępne.

W innych przypadkach przekazanie danych osobowych do państwa trzeciego, które nie zapewnia na swoim terytorium odpowiedniego poziomu ochrony danych osobowych, może nastąpić po uzyskaniu zgody generalnego inspektora, wydanej w drodze decyzji administracyjnej, pod warunkiem że administrator danych zapewni odpowiednie zabezpieczenia w zakresie ochrony prywatności oraz praw i wolności osoby, której dane dotyczą.

Taka zgoda nie jest wymagana, jeżeli administrator zapewni odpowiednie zabezpieczenia w zakresie ochrony prywatności oraz praw i wolności osoby, której dane dotyczą, przez:

- standardowe klauzule umowne ochrony danych osobowych, zatwierdzone przez Komisję Europejską,