USA nie sú „bezpečným prístavom“ pre európske dáta

Celú kauzu spustil rakúsky študent Max Schrems, keď sa obrátil na írske úrady so sťažnosťou voči Facebooku, ktorý obvinil zo sledovania užívateľov a nedostatočnej ochrany osobných údajov. Facebook je zaregistrovaný v Írsku, preto sa Schrems obrátil na orgány v tejto krajine.

V sťažnosti študent tvrdil, že osobné údaje európskych používateľov Facebooku sa prenášajú aj na servery do USA a tu nie sú pri spracovaní v súlade so zákonmi EÚ dostatočne chránené pred zneužitím a monitorovaním, čiže špionážou, zo strany štátnych orgánov.

Sťažnosť Schremsa však bola írskymi úradmi zamietnutá, odvolávajúc sa na rozhodnutie Európskej komisie z 26. júla 2000, v ktorom EK konštatovala, že Spojené štáty americké zabezpečujú primeranú úroveň ochrany prenášaných osobných údajov z EÚ v rámci schémy takzvaného „bezpečného prístavu“ (Safe Harbour). Sa­fe Har­bor zavádza zásady týkajúce sa ochrany osobných údajov, ktoré americké spoločnosti manipulujúce s týmito údajmi zaväzujú k rešpektovaniu určených štandardov.

Kauza Schrems vs Facebook nakoniec skončila na Vyššom súde Írska, ktorý Súdnemu dvoru Európskej únie (ESD) položil otázku, či uvedené rozhodnutie EK bráni, aby vnútroštátny dozorný orgán preskúmal sťažnosť, v ktorej sa uvádza, že tretia krajina nezaisťuje primeranú úroveň ochrany, a prípadne zastavil spochybnený prenos údajov. Súdny dvor EÚ 6. októbra 2015 dospel k prevratnému rozhodnutiu, keď vyslovil verdikt, že ochrana osobných údajov EU v USA, tzv. Safe Harbor, nie je dostatočná.

Rozhodnutie Komisie, podľa ktorého USA zaisťujú preneseným osobným údajom primeranú úroveň ochrany, vyhlásil ESD za neplatné! Otvoril tak pre jednotlivé štáty Európskej únie možnosť posúdiť a rozhodnúť, či odovzdanie osobných údajov do Spojených štátov amerických zodpovedá pravidlám ich ochrany.

V odôvodnení rozhodnutia ESD uvádza, že Európska komisia posudzovala len režim „bezpečného prístavu“ a neskúmala, či USA na základe svojich a medzinárodných záväzkov zaisťujú ochranu údajov na rovnocennej úrovni, ako je tomu v Európskej únii. Režimu „bezpečného prístavu“ totiž nepodliehajú americké štátne inštitúcie, ale len firmy a organizácie, ktoré k nemu pristúpia.

Požiadavky súvisiace s bezpečnosťou štátu, verejným záujmom, alebo dodržiavaním miestnej legislatívy majú v USA prednosť pred režimom „Safe Harbor“. Tento režim preto nevylučuje zásahy amerických bezpečnostných a iných orgánov do základných práv osôb. Video z vynesenia verdiktu si môžete pozrieť na stránke Európskej komisie.

Aké budú následky tohto verdiktu, nie je zatiaľ celkom jasné, ale môžu byť citeľné a pre niektoré firmy doslova likvidačné. Írsko bude musieť znovu posúdiť Schremsovu sťažnosť a rozhodnúť, či je potrebné zastaviť prenos údajov európskych užívateľov Facebooku do USA kvôli nedostatočnej ochrane údajov „za Veľkou mlákou“. The Wall Street Jour­nal uviedol, že v prípade zamietavého stanoviska by rozhodnutie ovplyvnilo tisíce firiem, ktoré spracúvajú osobné údaje občanov EÚ na amerických serveroch, vrátane cloudu. Markantným spôsobom by sa to odrazilo aj na trhu s on-line reklamou, na ktorom zas závisí fungovanie mnohých „bezplatných“ služieb.

Veľké americké IT firmy už dnes majú veľké dátové úložiská aj v Európe a v prípade reštrikcií zo strany európskych regulátorov k nim zrejme pribudnú ďalšie. Horšie na tom budú malé a začínajúce firmy, ktoré si duplicitné investície kvôli európskym klientom nebudú môcť dovoliť.

Každá minca má teda dve strany. S vyššou bezpečnosťou osobných údajov tak Európa môže prísť o niektoré on-line služby poskytované americkými spoločnosťami, alebo sa ich cena môže zvýšiť. Nakoniec sa ale pravdepodobne nájde iné riešenie. Európska únia a Spojené štáty totiž rokujú o novej dohode, ktorá by mohla poskytnúť Európe oveľa väčšiu kontrolu nad manipuláciou amerických spoločností, ale aj bezpečnostných agentúr s citlivými dátami posielaným z EÚ.