Trybunał Sprawiedliwości Unii Europejskiej zajmował się sprawą transferu danych osobowych do państw trzecich i Stanów Zjednoczonych. Sprawa ta dotyczyła sporu między Maximilianem Schremsem, Facebook Ireland LTD a irlandzkim organem zajmującym się ochroną danych osobowych. Sprawa ta w skrócie nazywana jest Schrems II. Wyrok w tej sprawie został wydany przez Trybunał Sprawiedliwości UE 16 lipca 2002 roku. Jakie postanowienia w nim zapadały?

Warunki, na podstawie których można przekazywać dane do krajów trzecich

Wydany 20 lipca 2020 roku przez TSUE wyrok odnosi się do oceny tego, czy transfer danych do Stanów Zjednoczonych i innych państw nie będących członkiem Unii Europejskiej jest w ogóle dopuszczalny. Najważniejsze kwestie wyroku to:

-stwierdzenie nieważności Tarczy Prywatności Unia Europejska-USA. Tarcza Prywatności jest porozumieniem między Unią Europejską a Stanami Zjednoczonymi. Zastąpiła ona tak  zwaną Bezpieczną Przystań. W ramach Tarczy odbywał się transfer danych osobowych, gdyż administratorzy danych byli przekonani, że jest to zgodne z RODO. Po wyroku TSUE z dnia 16 lipca 2020 jest to już niemożliwe;

-w wyroku TSUE uznał, że standardowe klauzule, które dotyczą przekazywania danych osobowych podmiotom, które mają siedziby w krajach trzecich co do zasady są ważne. Ale uwaga! Zawarcie takich standardowych klauzul umownych z podmiotami, które mają siedzibę w Stanach Zjednoczonych lub innych nie oznacza, że transfer danych osobowych odbywa się w sposób legalny. Ze strony administratora danych wymaga to dogłębnej analizy. Transfer danych do tych państw może się bowiem odbywać tylko pod warunkiem, że przepisy prawa w tych państwach zapewniają poziom ochrony danych osobowych, który jest adekwatny do przepisów RODO.

Krótkie podsumowanie

W wydanym przez Trybunał Sprawiedliwości Unii Europejskiej wyroku w sprawie Schrems II najważniejsze jest stwierdzenie, że Tarcza Prywatności nie zapewnia ochrony danych osobowych w państwach trzecich zgodnie z zapisami art. 45 ustawy o RODO. Po wyroku, który wydał TSUE przekazywanie danych osobowych do Stanów Zjednoczonych nie będzie już takim prostym zadaniem jak miało to miejsce do 16 lipca 2020 roku. Tarcza Prywatności miała oczywiście zastosowanie tylko w przypadku transferu danych do USA. Jednak standardowe klauzule umowne mają zastosowanie w większości państw świata. Wyrok TSUE oznacza więc, że przekazywanie danych do tych państw także stanie się znacznie trudniejsze. Co ważne, w sentencji wyroku Trybunał Sprawiedliwości UE nie wskazał okresu przejściowego. Oznacza to, że od dnia 16 lipca 2020 przekazywanie danych do USA na podstawie Tarczy Prywatności jest nielegalne.

Wydany przez Trybunał Sprawiedliwości Unii Europejskiej wyrok z dnia 16 lipca 2020 roku w sprawie Schrems II jasno wskazuje, że podmioty, które chcą w dalszym ciągu dokonywać transferu danych osobowych do państw trzecich oraz do USA muszą za każdym razem dokonywać oceny, czy transfery te są legalne. Na pewno po wyroku TSUE transfer danych będzie poważnie utrudniony.

Monika Zygmunt - Jakuć (Inspektor Ochrony Danych)