HU Az Európai Unió Hivatalos Lapja C 257/8

Vezetői összefoglaló az európai adatvédelmi biztosnak az EU–USA magánélet-védelmi pajzs tervezet megfelelőségi határozatáról szóló véleményéről

(A vélemény teljes szövege angol, francia és német nyelven megtalálható az európai adatvédelmi biztos honlapján: www.edps.europa.eu)

(2016/C 257/05)

Az adatáramlás az egész világon jelen van. Az Uniót kötik a Szerződések és az Alapjogi Charta, amelyek az Unió valamennyi állampolgára számára védelmet nyújtanak. Az Uniónak kötelessége megtenni minden lépést annak biztosítása érdekében, hogy a magánélet és a személyes adatok védelméhez fűződő jogokat minden adatkezelési művelet során tiszteletben tartsák, beleértve az adatátadásokat is. A megfigyelési tevékenységek terén 2013-ban történt megvilágosodás óta az Unió és stratégiai partnere, az Egyesült Államok olyan új szabályrendszer alapjainak lerakását kezdte keresni az Unióból az Egyesült Államokba irányuló, kereskedelmi célú személyes adatok átadásának terén, amely az öntanúsításon alapul. Mint az Unió tagállamainak adatvédelmi hatóságai, az európai adatvédelmi biztos is felismeri az értéket a kereskedelmi célú adatátadások fenntartható jogi kereteinek biztosításában az Unió és az Egyesült Államok, a világ legnagyobb kereskedelmi partnerségének tagjai között az egész világra kiterjedő, azonnal és előre nem jelezhető adatáramlások korában. Mindazonáltal ennek a keretrendszernek teljes mértékben tükröznie kell a közös demokratikus és az egyéni jogokon alapuló értékeket, melyeket az Unió oldaláról kifejezésre juttattak a Lisszaboni Szerződésben és az Alapjogi Chartában, az Egyesült Államokban pedig az Egyesült Államok Alkotmányában. A magánélet-védelmi pajzs egy lépés lehet a megfelelő irányba, de annak jelenlegi megfogalmazása véleményünk szerint nem tartalmazza megfelelően valamennyi biztosítékát az egyéni magánélet és adatvédelem uniós jogainak védelmének, figyelemmel a bírói jogvédelemre is. Amennyiben az Európai Bizottság megfelelőségi határozatot kíván elfogadni, előtte jelentős javításokra lesz szükség. Különösképpen az Uniónak további biztosítékokat kell szereznie a szükségesség és arányosság kérdéskörében ahelyett, hogy legitimmé tenné az Egyesült Államok hatóságainak rutinszerű hozzáférését az átadott adatokhoz a fogadó államban elfogadott jogalapokra hivatkozással akkor is, ha azok az Unióban nem minősülnek annak, figyelemmel a Szerződésekre, az Unió bírósági gyakorlatára és a tagállamok általános alkotmányos hagyományaira. Továbbá a magasfokú összekapcsoltság és a megosztott hálózatok korában a magánszervezetek belső szabályai, a hivatali tisztviselők vállalásai és elkötelezettsége rövid távon jelenthet valamit, de hosszú távon azok már nem lesznek alkalmasak az egyének jogainak és érdekeinek védelmére és a globalizált digitális világ (ahol sok ország mára megfelelően felszerelkezett adatvédelmi szabályozással) igényeinek kielégítésére. Ennek megfelelően hosszú távú megoldásra lenne szükség a transzatlanti tárgyalásokban, hogy a szövetségi jogban legalább azoknak a főbb jogelveknek a tiszta és egyértelmű meghatározása lefektetésre kerüljön, hasonlóan más nem uniós államok jogához, melyeket „szigorúan úgy tekintenek”, mint amik a védelem megfelelő szintjének biztosításához szükségesek; amit az EUB a Schrems ítéletben „lényegében azonosnak” ítélt meg az uniós jog alapján alkalmazandó szabályokkal, és amelyek a 29. cikk alapján létrehozott munkacsoport szerint az adatvédelem „alapelveinek lényegét” tartalmazzák. Pozitívan értékeljük az Egyesült Államok hatóságai által mutatott megnövekedett átláthatóságot a magánélet-védelmi pajzs alóli kivételek alkalmazásával kapcsolatban rendészeti, nemzetbiztonsági érdekek és közérdek esetében. Mindazonáltal amíg a biztonságos adatkikötőkről szóló 2000-es határozat a nemzetbiztonsági érdekből történő hozzáférést formálisan kivételként kezelte, a magánélet-védelmi pajzsról szóló határozattervezetében a kereskedelmi célból átadott személyes adatokhoz a rendészeti és titkos adatgyűjtési célból történő hozzáférést, annak szűrését és elemzését úgy kezeli, mintha a kivétel főszabállyá lépett volna elő. Az európai adatvédelmi biztos különösképpen felfigyelt a határozattervezetben és annak mellékleteiben arra, hogy annak ellenére, hogy a jelenlegi irányvonalak a nem célzott általános jellegű megfigyelés helyett a célzottabb és körülhatároltabb megközelítés irányába mozdulnak el, az elektronikus felderítés mértéke és az Unióból átadott adatok mennyisége, figyelemmel az átadást követően és különösen az átadás során lehetséges gyűjtésre és felhasználásra, még mindig nagyon magas és ennek megfelelően vitatható. Habár ezek a gyakorlatok jellemzőek lehetnek más országok hírszerzésére és habár üdvözöljük az Egyesült Államok hatóságainak átláthatóságát ebben az új valóságban, a jelenlegi határozattervezet ezt a rutint szentesítheti. Ennek megfelelően arra bátorítjuk az Európai Bizottságot, hogy adjon erőteljesebb jelzést: figyelemmel az Uniót a Lisszaboni Szerződés alapján terhelő kötelezettségekre, a kereskedelmi célból átadott adatokhoz a hatóságok részéről történő hozzáférés és azok használata, beleértve azt az időszakot is, amikor az átadás történik, csak kivételes esetekben történhet, és csak akkor, ha meghatározott közérdek miatt az elengedhetetlen. A kereskedelmi célú adatátadásokra vonatkozó rendelkezések vonatkozásában az adatgazdáktól nem várható el, hogy állandóan változtatgassák a megfelelési mintákat. Ennek ellenére a határozattervezet a jelenlegi uniós keretrendszerre épül, amelyet felülír majd 2018 májusában a 2016/679/EU rendelet (az általános adatvédelmi rendelet), kevesebb mint egy évvel a magánélet-védelmi pajzs adatgazdák részéről történő teljes végrehajtását követően. Az általános adatvédelmi rendelet kötelezettségeket hoz létre az adatgazdák számára és meg is erősíti azokat, amelyek túlmennek azon a kilenc alapelven, amely a magánélet-védelmi pajzs keretein belül kialakításra került. Nem érintve a tervezeten elvégzett esetleges végső módosításokat, azt javasoljuk az Európai Bizottságnak, hogy átfogóan értékelje az első jelentése óta kialakult jövőbeli kilátásokat, időben azonosítsa be a hosszú távú megoldásokhoz szükséges lépéseket a magánélet-védelmi pajzs robusztusabb és stabilabb jogi keretrendszerrel történő helyettesítésére a transzatlanti kapcsolatok erősítése érdekében, ha van ilyen. Az európai adatvédelmi biztos ennek megfelelően különös ajánlásokat ad a magánélet-védelmi pajzs vonatkozásában.

I. Bevezetés

2015. október 6–án az Európai Unió Bírósága (a továbbiakban: EUB) érvénytelenítette (1) a biztonságos adatkikötők megfelelőségéről szóló határozatot (2). 2016. február 2-án az Európai Bizottság politikai megállapodást kötött a személyes adatok átadásának új keretrendszeréről az Egyesült Államokkal, amelyet „EU-USA magánélet-védelmi pajzsnak” (a továbbiakban: magánélet-védelmi pajzs) neveznek. Február 29-én az Európai Bizottság nyilvánosságra hozta az ennek a keretrendszernek a megfelelőségéről szóló határozat tervezetét (továbbiakban: határozattervezet) (3) és annak hét mellékletét, beleértve a magánélet-védelmi pajzs elveit és az Egyesült Államok tisztviselőinek és hatóságainak írásos vállalásait és elköteleződését. Az európai adatvédelmi biztos idén március 18-án kapta meg véleményezésre a határozattervezetet.

Az európai adatvédelmi biztos a személyes adatoknak az Unió és az Egyesült Államok közötti átadásáról számos alkalommal kifejtette álláspontját (4) és részt vett a 29. cikk alapján létrehozott munkacsoport munkájában (a továbbiakban: MCS29) Vélemény a határozattervezetről a munkacsoport tagjaként (5). Az MCS29 komoly aggodalmát fejezte ki és kérte az Európai Bizottságot a problémák beazonosítására és kezelésére. Az MCS29 tagjai azt várják, hogy a vélemény szerint szükséges pontosítások mindegyikére sor kerül (6). Március 16-án 27 nonprofit szervezet fejezte ki a határozattervezettel szembeni nemtetszését az Unió és az Egyesült Államok hatóságaihoz címzett levelükben (7). Május 26-án az Európai Parlament elfogadott egy állásfoglalást a transzatlanti adatforgalomról (8), mely felhívja a Bizottságot, hogy tárgyaljon a magánélet-védelmi pajzsról szóló megállapodás további javításairól az Egyesült Államok vezetésével a feltárt hiányosságok fényében (9).

Mint az uniós jogalkotó szervek független tanácsadója a 45/2001/EK rendelet szerint, az európai adatvédelmi biztos az alábbiakban az eljárásban érintett feleknek, különösen a Bizottságnak az alábbi ajánlásokat adja ki. A jelen tanácsadás célja, hogy egyszerre álljon elvi alapokon és legyen gyakorlatias, hogy proaktívan segíthesse az Uniót a célkitűzései elérésében megfelelő intézkedések meghozatalán keresztül. Az kiegészíti és megerősíti az MCS29 egyes ajánlásait, de nem az összeset.

A határozattervezet számos előrelépést mutat összehasonlítva a biztonságos adatkikötő határozattal, különösen a kereskedelmi célú adatkezelési elvek vonatkozásában. A hatóságoknak a magánélet-védelmi pajzs alatt átadott adatokhoz való hozzáférése vonatkozásában szintén üdvözöljük a Department of Justice, a Department of State és az Office of the Director of National Intelligence első alkolommal történő bevonását a tárgyalásokba. Mindazonáltal az előrehaladás, összevetve a korábbi biztonságos adatkikötő határozattal, önmagában nem elégséges. A megfelelő mérőpont nem egy korábban érvénytelenített határozat, mivel a megfelelőségi határozatnak a jelenleg hatályos uniós jogszabályi kereteken (különösen magán az irányelven, az Európai Unió Működéséről szóló Szerződés 16. cikkén valamint az Alapjogi Charta 7. és 8. cikkén, a vonatkozó EUB gyakorlatra is figyelemmel) kell alapulnia. Az általános adatvédelmi rendelet (a továbbiakban: ÁAR) 45. cikke (10) új követelményeket fog megállapítani a megfelelőségi határozaton alapuló adatátvitelre vonatkozóan.

A múlt évben az EUB megerősítette, hogy a megfelelőségi értékelés küszöbértéke a „lényegi megegyezőség” és megkövetelte az e magas mérték szerinti szigorú értékelést (11). A megfelelőség nem igényli egy olyan keretrendszer elfogadását, mely azonos az unión belül létezővel, de egészében véve a magánélet-védelmi pajzsnak és az Egyesült Államok jogrendjének le kell fednie az uniós adatvédelmi keretszabályozás valamennyi alapelemét. Ez megköveteli a jogrend átfogó értékelését és az uniós adatvédelmi keretszabályozás legfontosabb elemeinek vizsgálatát (12). Azon a véleményen vagyunk, hogy az értékelésnek átfogó alapokon kell állnia, tiszteletben tartva ezeknek az elemeknek a lényegét. Továbbá, a Szerződésre és a Chartára tekintettel az olyan sajátos elemeket is figyelembe kell venni, mint a független felülvizsgálat és jogorvoslat.

Ebben a vonatkozásban az európai adatvédelmi biztos figyelemmel van arra, hogy az Atlanti-óceán mindkét oldalán számos szervezet várja e megfelelőségi határozatnak a kimenetelét. Továbbá az EUB részéről történő újabb érvénytelenítés következményei az érintettek jogbiztonsága és különösen a KKV-k számára jelentősek lehetnek. Továbbá amennyiben a határozattervezet elfogadásra kerül és azt utóbb az EUB érvényteleníti, minden új megfelelőségi megoldást az ÁAR alapján kellene elbírálni. Ennek megfelelően egy jövő-szemléletű megközelítést javasolunk, figyelemmel az ÁAR mától két éven belül egyre biztosabban bekövetkező teljes alkalmazási kötelezettségére.

A határozattervezet alapvető fontosságú az EU–USA kapcsolatokban, egy olyan pillanatban, amikor kereskedelmi és beruházási tárgyalások is folyamatban vannak. Továbbá számos, a Véleményünkben figyelembe vett elem közvetetten kapcsolatban áll nem csak a magánéletvédelmi pajzzsal, hanem más eszközökkel is, mint pl. a Kötelező Erejű Vállalati Szabályokkal (a továbbiakban: KEVSz) és az Általános Szerződési Feltételekkel (a továbbiakban: ÁSZF). Továbbá általános relevanciával is rendelkezik, mivel számos harmadik ország követi szorosan nyomon az új uniós adatvédelmi keretrendszer elfogadásának hátterében.

Ennek megfelelően üdvözölnénk egy általános megoldást az EU–USA adatátadások vonatkozásában, feltéve, hogy az átfogó és megfelelően szilárd. Ez robusztus javításokat tesz szükségessé annak érdekében, hogy biztosítani lehessen alapvető jogaink és szabadságaink tiszteletben tartásának hosszú távú fenntarthatóságát. Amennyiben elfogadásra kerülne, az Európai Bizottság részéről elvégzett első értékelés során a határozatot időben át kellene vizsgálni, beazonosítandó a szükséges lépéseket a magánélet-védelmi pajzs helyébe lépő hosszú távú megoldáshoz, amely a transzatlanti kapcsolatok bővítésének robusztusabb és stabilabb jogi keretrendszere lenne.

Az európai adatvédelmi biztos felfigyelt a határozattervezetben és annak mellékleteiben arra is, hogy annak ellenére, hogy a jelenlegi irányvonalak a nem célzott általános jellegű megfigyelés helyett a célzottabb és körülhatároltabb megközelítés irányába mozdulnak el, az elektromos felderítés mértéke és az Unióból átadott adatok mennyisége, figyelemmel az átadást követően és különösen az átadás során a lehetséges gyűjtésre és felhasználásra, még mindig nagyon magas és ennek megfelelően vitatható.

Habár ezek a gyakorlatok jellemzőek lehetnek más országok hírszerzésére és habár üdvözöljük az Egyesült Államok hatóságainak átláthatóságát ebben az új valóságban, a jelenlegi határozattervezet ezt a rutint szentesítheti. Ez a kérdés komoly polgári demokratikus kontrollt feltételez. Ennek megfelelően arra bátorítjuk az Európai Bizottságot, hogy adjon erőteljesebb jelzést: figyelemmel az Uniót a Lisszaboni Szerződés alapján terhelő kötelezettségekre, a kereskedelmi célból átadott adatokhoz a hatóságok részéről történő hozzáférés és azok használata, beleértve azt az időszakot is, amikor az átadás történik, csak kivételes esetekben történhet, és csak akkor, ha meghatározott közérdek miatt az elengedhetetlen.

Továbbá megjegyezzük, hogy az unióban élő egyének magánélete szempontjából lényeges elemek fontos részleteikben csupán az Egyesült Államok hatóságainak belső leveleiben jelennek meg (pl. nyilatkozatok a transzatlanti kábeleken végzett jelmegfigyelési tevékenységekről, ha van olyan) (13). Habár nem kérdőjelezzük meg a tiszteletreméltó szerzők jogosítványait és megértjük azt, hogy miután a Hivatalos Lapban és a Federal Registerben e nyilatkozatok megjelennek, azokat mint „írásbeli biztosítéknak” kell elfogadni, amely alapján az uniós értékelést végzik, általános jelleggel megjegyezzük, hogy egyesek ezek közül bírnak olyan jelentőséggel, ami magasabb jogforrási jelleget tenne indokolttá.

A jogszabályi változtatások és a nemzetközi szerződések mellett (14) érdemes megvizsgálni további gyakorlati megoldásokat is. A véleményünkben ebben a vonatkozásban gyakorlati tanácsokat kívánunk adni.

IV. Következtetések

Az európai adatvédelmi biztos üdvözli az erőfeszítéseket, amelyet a felek mutattak az Unióból az Egyesült Államokba irányuló személyes adatok kereskedelmi célú öntanúsítási rendszer keretében történő átadásának megoldására. Mindazonáltal robusztus előrelépések szükségesek annak érdekében, hogy szilárd keretrendszer születhessen, amely hosszú távon is stabil marad.

Kelt Brüsszelben, 2016. május 30-án. Giovanni BUTTARELLI Európai adatvédelmi biztos

(1) 2015. október 6-i C-362/14 sz. Maximillian Schrems kontra adatvédelmi biztos ügy (a továbbiakban: „Schrems”).

(2) A Bizottság 2000. július 26-i 2000/520/EK határozata a 95/46/EK európai parlamenti és tanácsi irányelv alapján, az Egyesült Államok Kereskedelmi Minisztériuma által kiadott biztonságos kikötő adatvédelmi elvek által biztosított védelem megfelelőségéről és az ezzel kapcsolatos gyakran felvetődő kérdésekről (tájékoztatás a C(2000) 2441. sz dokumentummal történt) (HL L 215., 2000.8.25., 7. o.); magyar nyelvű különkiadás 16. fejezet, 1. kötet 119–160. o.)

(3) Commission Implementing Decision of XXX pursuant to Directive 95/46/EC of the European Parliament and of the Council on the adequacy of the protection provided by the EU-U.S. Privacy Shield, kizárólag angol nyelven elérhető itt: http://ec.europa.eu/justice/data-protection/files/privacy-shield-adequacy-decision_en.pdf.

(4) Lásd az európai adatvédelmi biztos 2014. február 20-i, az Európai Parlamenthez és a Tanácshoz intézett véleményét „A bizalom helyreállítása az EU–USA adatáramlások tekintetében” című bizottsági közleményről, valamint „A védett adatkikötő működése az uniós polgárok és az EU-ban letelepedett vállalatok szempontjából” című, az Európai Parlamenthez és a Tanácshoz intézett bizottsági közleményről, valamint az európai adatvédelmi biztos előterjesztését az EUB Schrems ügyben tartott tárgyalásán, mely angol nyelven elérhető a https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Court/2015/15-03-24_EDPS_Pleading_Schrems_vs_Data_Commissioner_EN.pdf) weboldalon.

(5) A 29. cikk alapján létrehozott munkacsoport 2016/1 sz. (WP 238) véleménye az EU-USA magánélet-védelmi pajzs megfelelőségi határozatról, mely kizárólag angol nyelven elérhető a http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2016/wp238_en.pdf weboldalon.

(6) Lásd továbbá Christopher Grahamnek, az Egyesült Királyság információs biztosának a nyitóbeszédét az IAPP Europe Data Protection Intensive 2016 konferencián Londonban. A beszéd videó formájában megtekinthető itt: https://iapp.org/news/video/iapp-europe-data-protection-intensive-2016-christopher-graham-keynote/.

(7) Az Access Now és további 26 nem kormányzati szervezet részéről aláírt, a 29. cikk szerint létrehozott bizottság és más intézményeknek címzett levél.

(8) Az Európai Parlament 2016. május 26-i állásfoglalása a transzatlanti adatáramlásokról (2016/2727(RSP)).

(9) U.o., 14. pont.

(10) Az Európai Parlament és a Tanács 2016. április 27-i (EU) 2016/679 rendelete a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) (HL L 119., 2016.5.4., 1. o.).

(11) Schrems, 71., 73., 74. és 96. pont.

(12) Ez a megközelítés már egyszer kifejezésre került az egyik legelső MCS29 dokumentumban, mely az adatátadások tárgyában született (WP12: „Working document on transfers of personal data to third countries: az EU adatvédelmi irányelve 25. és 26. cikkének alkalmazása” című 1998. július 24-i munkadokumentum.

(13) Pl. a VI.1. a melléklet pontosítása, miszerint a PPD28 alkalmazandó az Egyesült Államok hírszerzési szolgálatai által a transzatlanti kábeleken begyújtött adatokra.

(14) Az EUB Scherms ügyben tartott tárgyalásán az európai adatvédelmi biztos elmondta, hogy „Az egyetlen hatékony megoldás egy olyan nemzetközi szerződésről szóló tárgyalás, amely megfelelő védelmet nyújt a nem célzott megfigyeléssel szemben, beleértve a felügyeletre, átláthatóságra, jogorvoslatra és adatvédelmi jogokra vonatkozó kötelezettségeket is”, lásd az európai adatvédelmi biztos előterjesztését az Európai Bíróság 2015. március 24-én a C-362/14 Schrems kontra Data Protection Commissioner ügyben tartott tárgyalásán.