BG Официален вестник на Европейския съюз C 257/8

Резюме на становището на Европейския надзорен орган по защита на данните относно проекта на решение относно адекватното ниво на защита във връзка с „Щит за личните данни в отношенията между ЕС и САЩ“

(Пълният текст на настоящото становище може да се намери на английски, френски и немски език на уебсайта на ЕНОЗД www.edps.europa.eu)

(2016/C 257/05)

Потоците от данни са явление с глобален мащаб. ЕС е правно обвързан от Договорите и Хартата на основните права на Европейския съюз, които защитават всички лица в него. Той е длъжен да предприеме всички необходими стъпки, за да гарантира зачитането на правата на неприкосновеност на личния живот и защита на личните данни при всички операции по обработване на данни, в това число при предаването им. След разкритията през 2013 г. относно дейностите по наблюдение ЕС и неговият стратегически партньор САЩ се стремят да определят нов набор от основаващи се на система за самостоятелно сертифициране стандарти за предаване на лични данни, изпратени от ЕС към САЩ за търговски цели. Подобно на националните органи по защита на данните в ЕС, ЕНОЗД признава, че в ерата на глобалните, мигновени и непредсказуеми потоци от данни от значение е устойчивата правна уредба за предаване на данни за търговски цели между ЕС и САЩ, чието търговско партньорство е най-мащабното в света. Тази уредба обаче трябва да отразява всецяло общите демократични и индивидуални основаващи се на права ценности, прогласени от страна на ЕС в Договора от Лисабон и Хартата на основните права, а от страна на САЩ — в американската конституция. Проектът на „Щит за личните данни“ може да е стъпка в правилната посока, но така, както е формулиран понастоящем, според нас не включва по адекватен начин всички подходящи предпазни механизми за защита на прогласените в ЕС права на физическите лица на неприкосновеност на личния живот и защита на личните данни във връзка също така с правните средства за защита. Необходими са значителни подобрения, ако Европейската комисия иска да приеме решение относно адекватното ниво на защита. По-специално ЕС следва да получи допълнителни уверения по отношение на необходимостта и пропорционалността, вместо да легитимира рутинния достъп от страна на държавните органи на САЩ до предадените данни на базата на критерии, които имат правно основание в получаващата държава, но не и като такива в ЕС, съгласно утвърденото в Договорите, решенията на Съда на ЕС и общите за държавите членки конституционни традиции. Освен това в ерата на висока хиперсвързаност и разпределени мрежи саморегулирането от страна на частните организации, както и декларирането и ангажирането от страна на публичните длъжностни лица може и да имат някаква положително действие в краткосрочен план, но в дългосрочен не са достатъчни за опазване на правата и интересите на лицата и за пълно удовлетворяване на потребностите на глобализирания цифров свят, в който много държави вече са снабдени с правила за защита на данните. Следователно, в трансатлантическия диалог би било приветствано едно по-дългосрочно решение, за да узакони в правно обвързващ федерален закон най-малкото основните принципи, свързани с правата, които следва да се определят ясно и сбито, какъвто е случаят с други държави извън ЕС, за които е „строго преценено“, че осигуряват адекватна степен на защита, което по думите на Съда на ЕС в решението му по дело Schrems означава степен на защита, която „по същество е равностойна“ на приложимите съгласно правото на ЕС норми, а според Работната група по член 29 това означава защита, която съдържа „същината на основните принципи“ на защитата на данните. Отбелязваме с положителен знак повишената прозрачност от страна на държавните органи на САЩ по отношение на използването на изключението от принципите на „Щит за личните данни“ за целите на правоприлагането, националната сигурност и обществения интерес. Същевременно, докато в решението „Сфера на неприкосновеност на личния живот“ („Safe Harbour“) от 2000 г. достъпът за целите на националната сигурност се разглеждаше официално като изключение, то вниманието, което се отделя в проекта на решението относно „Щит за личните данни“ на достъпа, филтрирането и анализа от страна на правоприлагащите и разузнавателните органи на предаваните за търговски цели лични данни, показва, че изключението може да се е превърнало в правило. По-специално ЕНОЗД забелязва в проекта на решението и приложенията към него, че независимо от тенденциите в последно време на преминаване от несистематизирано наблюдение на общо основание към по-целенасочени и избирателни подходи, мащабът на радиоелектронното разузнаване и обемът данни, които се предават от ЕС и са потенциален обект на събиране и използване, щом бъдат предадени и по-специално докато са в транзит, все още може да са големи и следователно под въпрос. Макар да е възможно тези практики да са свързани с разузнаването и на други държави и макар да приветстваме прозрачността на държавните органи на САЩ по отношение на тази нова реалност, настоящият проект на решението може да легитимира това положение. В тази връзка насърчаваме Европейската комисия да излъчи по-силен сигнал в смисъл, че предвид задълженията, вменени на ЕС по силата на Договора от Лисабон, достъпът и използването от страна на публичните органи на предавани за търговски цели данни, в това число по време на транзит, следва да се осъществяват единствено при извънредни обстоятелства и в случаите, когато това е абсолютно необходимо за конкретно посочени цели от обществен интерес. Във връзка с разпоредбите за предаването на данни за търговски цели, от администраторите на лични данни не следва да се очаква да променят постоянно моделите си на нормативно съответствие. При все това проектът на решението се основава на съществуващата понастоящем правна уредба на ЕС, която ще бъде заменена от Регламент (ЕС) 2016/679 (Общия регламент относно защитата на данните) през май 2018 г., т.е. по-малко от година след пълното прилагане на „Щит за личните данни“ от страна на администраторите. Общият регламент относно защитата на данните създава нови и засилва съществуващите задължения на администраторите на данни, които излизат отвъд границите на разработените в „Щит за личните данни“ девет принципа. Независимо от евентуалните окончателни промени в проекта, препоръчваме на Европейската комисия да направи цялостна подробна оценка на бъдещите перспективи, очертали се в периода след изготвянето на първоначалния ѝ доклад, и да определи своевременно подходящи стъпки за по-дългосрочни решения с цел замяна на „Щит за личните данни“, ако той бъде приет, с по-устойчива и надеждна правна уредба, която да стимулира трансатлантическите отношения. В тази връзка ЕНОЗД формулира конкретни препоръки относно „Щит за личните данни“.

I. Въведение

На 6 октомври 2015 г. Съдът на Европейския съюз (наричан по-нататък „СЕС“) отмени (1) решението относно адекватността на защитата, гарантирана от принципите за „сфера на неприкосновеност на личния живот“ („Safe Harbour“) (2). На 2 февруари 2016 г. Европейската комисия постигна политическо съгласие със САЩ по нова уредба за предаването на лични данни, а именно „Щит за личните данни в отношенията между ЕС и САЩ“ (наричана по-нататък „Щит за личните данни“). На 29 февруари тя обнародва проект на решение относно адекватното ниво на защита, предоставяно от тази нова уредба (наричан по-нататък „проектът на решението“) (3), както и седем приложения към него, в това число принципите на „Щит за личните данни“ и писмени декларации и ангажименти от страна на длъжностните лица и държавните органи на САЩ. ЕНОЗД получи проекта на решението за консултация на 18 март тази година.

ЕНОЗД неколкократно е изразявал становището си относно предаването на лични данни между ЕС и САЩ (4) и е допринесъл за становището на Работната група по член 29 (наричана по-нататък РГ29) относно проекта на решението в качеството си на неин член (5). РГ29 изрази сериозни притеснения и поиска от Европейската комисия да определи решения за преодоляването им. Членовете на РГ29 очакват да бъдат предоставени всички разяснения, изискани в становището (6). На 16 март 27 организации с идеална цел отправиха критиките към проекта на решението в писмо до органите на ЕС и САЩ (7). На 26 май Европейският парламент прие резолюция относно трансатлантическите потоци от данни (8), с която призовава Комисията да договори още подобрения на договореността относно Щита за личните данни, постигната с администрацията на САЩ, с оглед на съществуващите недостатъци (9).

В качеството си на независим съветник на законодателите на ЕС по силата на Регламент (ЕО) № 45/2001, ЕНОЗД формулира препоръки към участващите в разглеждания процес страни, и по-конкретно към Комисията. Предоставеният съвет е предназначен да бъде както принципен, така и практически насочен с оглед да се помогне активно на ЕС да постигне целите си чрез адекватни мерки. С него се допълват и открояват само някои от препоръките, формулирани в становището на РГ29.

В проекта на решението има редица подобрения в сравнение с решението относно „сферата на неприкосновеност на личния живот“ („Safe Harbour“), по-специално във връзка с принципите за обработване на данни за търговски цели. Във връзка с достъпа от страна на държавните органи до данните, предавани в рамките на „Щит за личните данни“, приветстваме също участието в преговорите за пръв път на Департамента по правосъдие, Държавния департамент и Кабинета на директора на Националната разузнавателна служба на САЩ. Въпреки това напредъкът спрямо по-ранното решение относно „сферата на неприкосновеност на личния живот“ („Safe Harbour“) сам по себе си не е достатъчен. В случая правилната база за сравнение не би трябвало да се състои в отменено на предходен етап решение, тъй като решението относно адекватното ниво на защита следва да се основава на настоящата правна уредба на ЕС (по-специално на самата директива, на член 16 от Договора за функционирането на Европейския съюз и на членове 7 и 8 от Хартата на основните права на Европейския съюз съгласно тълкуването им от СЕС). Член 45 от Общия регламент на ЕС относно защитата на данните (наричан по-нататък „Общият регламент“) (10) предвижда нови изисквания за предаване на данни въз основа на решение относно адекватното ниво на защита.

Миналата година СЕС потвърди, че прагът за оценката за адекватност е „равностойност по същество“, и изиска строго придържане към този висок стандарт (11). За да бъде адекватно нивото на защита, не се изисква приемане на уредба, идентична с тази на ЕС, а е необходимо „Щит за личните данни“ и правният ред на САЩ, взети заедно, да обхващат всички основни елементи на уредбата на ЕС в областта на защитата на данните. Това изисква както цялостна оценка на правния ред, така и изследване на най-важните елементи на уредбата на ЕС в областта на защитата на данните (12). Допускаме, че оценката следва да се извърши в глобален смисъл, като същевременно се зачита същността на тези елементи. Освен това поради изискванията на Договора и Хартата е необходимо да се разгледат конкретни елементи като независимия надзор и правните средства за защита.

В тази връзка ЕНОЗД осъзнава, че много организации и от двете страни на Атлантика очакват изхода по настоящото решение относно адекватното ниво на защита. Същевременно, последиците от евентуална нова отмяна от страна на СЕС може да са сериозни, тъй като тя може да породи правна несигурност за субектите на данни и да създаде тежест по-специално за малките и средните предприятия. Освен това, ако проектът на решението бъде приет, но впоследствие решението бъде отменено от СЕС, евентуалните нови договорености за адекватност трябва да се постигат с оглед на Общия регламент. Поради това препоръчваме ориентиран към бъдещето подход предвид неизбежния срок за пълно прилагане на Общия регламент, който изтича след две години.

Проектът на решението е от ключово значение за отношенията между ЕС и САЩ в момент, когато те са обект и на преговори в областта на търговията и инвестициите. Освен това много от разгледаните в становището ни елементи се отнасят косвено както до „Щит за личните данни“, така и до други средства за предаване на данни като „задължителните фирмени правила“ (наричани по-нататък „ЗФП“) и „стандартните договорни клаузи“ (наричани по-нататък „СДК“). Проектът на решението има значение и в световен мащаб, тъй като много трети държави ще го следят отблизо на фона на приемането на новата правна уредба на ЕС в областта на защитата на данните.

Следователно, бихме приветствали общо решение за предаването на данни между ЕС и САЩ, при условие че е всеобхватно и достатъчно солидно. Това изисква значителни подобрения, за да се гарантира устойчиво зачитане на основните ни права и свободи в дългосрочен план. В случай че бъде прието, при първата оценка от Европейската комисия, решението трябва да бъде своевременно преразгледано, за да се определят подходящи стъпки за по-дългосрочни решения с цел замяна на „Щит за личните данни“ с по-устойчива и надеждна правна уредба, която да стимулира трансатлантическите отношения.

Освен това ЕНОЗД забелязва в проекта на решението и приложенията към него, че независимо от тенденциите в последно време на преминаване от несистематизирано наблюдение на общо основание към по-целенасочени и избирателни подходи, мащабът на радиоелектронното разузнаване и обемът данни, които се предават от ЕС и са потенциален обект на събиране, щом бъдат предадени и по-специално докато са в транзит, все още има вероятност да са големи и следователно под въпрос.

Макар да е възможно тези практики да са свързани с разузнаването и на други държави и макар да приветстваме прозрачността на държавните органи на САЩ по отношение на тази нова реалност, настоящият проект на решението може да се изтълкува като легитимиращ това положение. Въпросът изисква сериозен обществен и демократичен преглед. Поради това насърчаваме Европейската комисия да излъчи по-силен сигнал в смисъл, че предвид задълженията, вменени на ЕС по силата на Договора от Лисабон, достъпът и използването от страна на публичните органи на предавани за търговски цели данни, в това число по време на транзит, следва да се осъществяват единствено по изключение и в случаите, когато това е абсолютно необходимо за конкретно посочени цели от обществен интерес.

Освен това отбелязваме, че някои основни декларации, имащи значение за личния живот на физическите лица в ЕС, изглежда, са разписани с важни подробности единствено в документи за вътрешно ползване от органите на САЩ (напр. декларации, свързани с радиоелектронното разузнаване по трансатлантически кабели, ако съществува такова) (13). Не поставяме под въпрос авторитета на изтъкнатите им съставители и разбираме, че щом като бъдат обнародвани в Официалния вестник на Европейския съюз и във Федералния регистър, тези декларации ще се считат за „писмени уверения“, въз основа на които се извършва оценката от страна на ЕС, но принципно отбелязваме, че някои от тези документи са толкова важни, че заслужават да получат по-висока правна стойност.

В допълнение към законодателната промяна и международните договорености (14) могат да се изследват и допълнителни практически решения. Целта на нашето становище е да даде прагматичен съвет в това отношение.

IV. Заключение

ЕНОЗД приветства показаните от страните усилия за намиране на решение във връзка с предаването на лични данни за търговски цели от ЕС към САЩ при условията на система за самостоятелно сертифициране. Същевременно са необходими съществени подобрения, за да се постигне солидна уредба, която да бъде устойчива в дългосрочен план.

Съставено в Брюксел на 30 май 2016 г. Giovanni BUTTARELLI Европейски надзорен орган по защита на данните

(1) Решение от 6 октомври 2015 г. по дело C–362/14, Maximillian Schrems срещу Data Protection Commissioner (наричано по-нататък „решение по дело Schrems“).

(2) Решение 2000/520/ЕО на Комисията от 26 юли 2000 година съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата, гарантирана от принципите за „сфера на неприкосновеност на личния живот“ и свързаните с това често задавани въпроси, публикувани от Департамента по търговия на САЩ (нотифицирано под номер С(2000) 2441) (ОВ L 215, 25.8.2000 г., стр. 7).

(3) Решение за изпълнение на Комисията от XXX съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата, предоставяна от „Щит за личните данни в отношенията между ЕС и САЩ“, на разположение на адрес http://ec.europa.eu/justice/data-protection/files/privacy-shield-adequacy-decision_en.pdf

(4) Вж. становището на Европейския надзорен орган по защита на данните относно Съобщението на Комисията до Европейския парламент и Съвета относно възстановяването на доверието в обмена на данни между ЕС и САЩ и Съобщението на Комисията до Европейския парламент и Съвета относно функционирането на „сферата на неприкосновеност на личния живот“ („Safe Harbour“) от гледна точка на гражданите на ЕС и дружествата, установени в ЕС, 20 февруари 2014 г., и пледоарията на ЕНОЗД на заседанието на Съда на ЕС по дело Schrems, която можете да намерите на адрес https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Court/2015/15-03-24_EDPS_Pleading_Schrems_vs_Data_Commissioner_EN.pdf)

(5) Работната група по член 29 в своето Становище 01/2016 по решението относно адекватното ниво на защита във връзка с „Щит за личните данни в отношенията между ЕС и САЩ“ (WP 238) на разположение на адрес http://ec.europa.eu/jus.tice/data-protection/article-29/documentation/opinion-recommendation/files/2016/wp238_en.pdf

(6) Вж. също речта на комисаря по информационните въпроси на Обединеното кралство Кристофър Греъм на проведената в Лондон конференция „Data Protection Intensive 2016“, организирана от европейското представителство на Международната асоциация на професионалистите в областта на неприкосновеността (IAPP Europe). Речта (на видеозапис) е на разположение на адрес https://iapp.org/news/video/iapp-europe-data-protection-intensive-2016-christopher-graham-keynote/

(7) Писмо до Работната група по член 29 и други институции, подписано от Access Now и още 26 НПО.

(8) Резолюция на Европейския парламент от 26 май 2016 г. относно трансатлантическите потоци от данни (2016/2727(RSP).

(9) Пак там, т. 14.

(10) Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 4.5.2016 г., стр. 1).

(11) Решение по дело Schrems, т. 71, 73, 74 и 96.

(12) Този подход е разгледан в един от най-ранните документи на РГ29 относно предаването на данни (РГ12: „Working document on transfers of personal data to third countries: Applying Articles 25 and 26 of the EU data protection directive“ („Работен документ относно предаването на лични данни на трети държави: прилагане на членове 25 и 26 от директивата на ЕС относно защитата на данните“), 24 юли 1998 г.).

(13) Вж. например разясненията в приложение VI.1., буква a) в смисъл, че PPD28 (Президентска политическа директива № 28) би била приложима към събирането на данни от трансатлантически кабели от страна на разузнавателните органи на САЩ.

(14) На заседанието на СЕС по дело Schrems ЕНОЗД заяви, че „Единственото ефективно решение е да се договори международно споразумение, което да предоставя адекватна защита срещу несистематизираното наблюдение, в това число задължения за надзор, прозрачност, наличие на правни средства за защита и права за защита на данните“, пледоария на ЕНОЗД на проведеното на 24 март 2015 г. заседание на Съда на Европейския съюз по дело C–362/14 (Schrems срещу Data Protection Commissioner).