Z tarczą czy na tarczy – europejsko-amerykańskie negocjacje w sprawie transferów danych

Na początku tego roku Bruksela i Waszyngton ogłosiły zakończenie negocjacji w sprawie nowego porozumienia umożliwiającego przekazywanie danych Europejczyków do amerykańskich firm. Nowy program nazwany Privacy Shield ma zastąpić unieważniony w zeszłym roku przez Trybunał w Luksemburgu mechanizm Safe Harbour. Organizacje broniące praw obywatelskich i konsumenckich oraz instytucje zajmujące się ochroną danych osobowych poddają jednak nowe rozwiązanie mocnej krytyce.

W październiku zeszłego roku Trybunał Sprawiedliwości Unii Europejskiej uchylił decyzję w sprawie programu Safe Harboru (Bezpieczna Przystań). Program ten umożliwiał „eksport” danych osobowych obywateli Unii Europejskiej do amerykańskich firm. Safe Harbour przez wiele lat wzbudzał powszechną krytykę. Firmy, by w nim uczestniczyć, musiały jedynie zadeklarować, że będą przestrzegać jego zasad. Dzięki temu były wpisywane na specjalną listę prowadzoną przez amerykański Departament Handlu. W zamian za tę deklarację mogły liczyć na swobodne przesyłanie danych z Europy do USA. Program Safe Harbour nie gwarantował jednak dobrych standardów ochrony danych, w szczególności brakowało skutecznych metod egzekucji oraz mechanizmu rozpatrywania spraw indywidualnych. Potwierdzały to niezależne badania, jak i ewaluacje przeprowadzane przez samą Komisję Europejską.

Zupełnie inną kategorię zarzutów stanowiły natomiast oskarżenia o nieograniczony dostęp amerykańskich służb do danych gromadzonych na serwerach firm oferujących usługi internetowe. Wyłom spowodowany uprawieniami amerykańskich służb wynika jednak z wewnętrznych regulacji USA – w tym przypadku niestety przepisy europejskie nie dają żadnych możliwości ochrony. Doniesienia Edwarda Snowdena jedynie potwierdziły te niepokojące informacje i ostatecznie przyczyniły się do wydania decyzji uchylającej program Safe Harbour przez luksemburski Trybunał.

Zgrzyty wokół ochrony danych na linii Bruksela–Waszyngton miały zostać wyjaśnione dzięki wynegocjowaniu nowych zasad przekazywania danych na drugą stronę Atlantyku. Zasad, które będą gwarantowały wyższy standard ochrony praw podstawowych przy zapewnieniu warunków dla rozwoju nowych gałęzi gospodarki. Jednak nowy mechanizm – noszący dumną nazwę Privacy Shield (Tarcza Prywatności) – spotyka się z krytyką podobną do tej, której poddawano Bezpieczną Przystań. Jednym z głównych krytyków jest Grupa Robocza art. 29 (GR29) – grono zrzeszające instytucje chroniące dane osobowe z krajów Unii Europejskiej. Rzecznicy ochrony prywatności podkreślają, że nowy program stanowi pewny krok naprzód, zawiera jednak wiele groźnych – z punktu widzenia praw obywatelskich – luk. Opinia GR29 wskazuje, że Privacy Shiled nie uwzględnia zasad kluczowych dla europejskiego systemu ochrony danych osobowych – takich jak zasada celowości czy zasada ograniczonego czasu przetwarzania danych.

Dodatkowo program wprowadza aż 6 nowych możliwości egzekwowania praw przez Europejczyków. Wśród tych środków znajdują się m.in. prawo zwrócenia się do naruszających przepisy firm, zbadanie sprawy przez prywatny mechanizm rozpatrywania sporów, rozstrzygnięcie sądu arbitrażowego czy interwencja Federalnej Komisji Handlu (amerykański organ zajmujący się m.in. ochroną praw konsumentów). W uwagach dotyczących Privacy Shield (które skierowaliśmy do Ministerstwa Cyfryzacji) uznaliśmy, że mechanizm ten jest bardzo skomplikowany i mało przejrzysty. Co więcej – organy, które miałyby rozpatrywać skargi, nie zawsze są niezależne – co jest przecież wymogiem stawianym przez europejskie przepisy. Samo prawo zwrócenia się do firmy w ogóle nie powinno zostać uznane jako środek ochrony – jest to raczej dosyć oczywiste uprawnienie do informacji i kontaktu z podmiotem naruszającym przepisy.

Spore kontrowersje wiążą się również z dostępem amerykańskich służb do danych osobowych Europejczyków. I tutaj Privacy Shield niestety znowu nie wprowadza pożądanej jakości. GR29 jasno podkreśla, że nowy mechanizm nie wyklucza masowego gromadzenia i analizowania danych przez stronę amerykańską dla celów bezpieczeństwa. Co więcej – system amerykański nie daje odpowiednich gwarancji ochrony, jak np. możliwość wnoszenia skarg do niezależnych organów. Strona amerykańska zamierza co prawda stworzyć specjalne stanowisko w Departamencie Stanu USA (Ombudsperson), do którego Europejczycy będą mogli składać zażalenia. Jednak nie zostanie ono wyposażone w kompetencje do podejmowania wiążących rozstrzygnięć. Pozostaje ono również w pełni uzależnione od amerykańskiej administracji rządowej.

Niestety, wynegocjowane przez Komisję Europejską nowe zasady przesyłania danych do USA nie spełniają pokładanych w nich nadziei. Privacy Shield będzie opierał się na tych samych złych założeniach, na których opierał się program Safe Harbour: na samoregulacji, samocertyfikacji, braku efektywnych mechanizmów kontroli i środków ochrony oraz na szerokich wyjątkach w zakresie bezpieczeństwa narodowego. I jak wskazuje Transatlantic Consumer Dialogue (forum zajmujące się ochroną praw konsumentów): dopóki Stany Zjednoczone nie przyjmą powszechnych przepisów dotyczących ochrony danych osobowych, dopóty prawa podstawowe obywateli Unii Europejską nie będą wystarczająco chronione – zaś wszelkie negocjacje dotyczące szczegółów tego czy nowego mechanizmu transferów danych będą miały jedynie charakter kosmetyczny.

Jędrzej Niklas