A BIZOTTSÁG KÖZLEMÉNYE AZ EURÓPAI PARLAMENTNEK ÉS A TANÁCSNAK

a 95/46/EK irányelv alapján, az Európai Bíróság C-362/14. sz. (Schrems-)ügyben hozott ítéletét követően a személyes adatoknak az Európai Unióból az Amerikai Egyesült Államokba történő továbbításáról

1. Bevezetés: A védett adatkikötőről szóló határozat megsemmisítése

Az Európai Unió Bíróságának (a továbbiakban: a Bíróság) a C-362/14. sz. (Schrems-)ügyben hozott 2015. október 6-i ítélete megerősíti a személyes adatok védelméhez való – az Európai Unió Alapjogi Chartájában foglalt – alapvető jog fontosságát, ideértve az is, amikor ilyen adatok az EU-n kívülre továbbítanak.

A személyes adatok továbbítása a transzatlanti kapcsolat alapvető fontosságú eleme. Az EU és az Egyesült Államok egymás legfontosabb kereskedelmi partnerei, és egyre jellemzőbb, hogy az adattovábbítás kereskedelmi kapcsolataik szerves részét képezi.

Ezen adatáramlás megkönnyítése érdekében – ugyanakkor a személyes adatok magas szintű védelmének biztosításával – a Bizottság a 2000. július 20-i 2000/520/EK bizottsági határozat (a továbbiakban: a védett adatkikötőről szóló határozat) elfogadása révén elismerte a védett adatkikötő keretének megfelelőségét. Az említett határozatban a Bizottság – a 95/46/EK irányelv 25. cikkének (6) bekezdése alapján – az EU-ból származó személyes adatok továbbítása céljából megfelelő védelmet biztosítónak ismerte el az Egyesült Államok Kereskedelmi Minisztériuma által kiadott, védett adatkikötőre vonatkozó elveket és az ezzel kapcsolatos gyakran felvetődő kérdéseket. Ennek eredményeként a személyes adatokat szabadon továbbíthatták uniós tagállamokból az elveket elfogadó egyesült államokbeli vállalatok felé, jóllehet az Egyesült Államok nem rendelkezett általános adatvédelmi törvénnyel. A védett adatkikötőre vonatkozó szabályozás működése a csatlakozó vállalatok kötelezettségvállalásaira és öntanúsítására épül. Jóllehet a védett adatkikötőre (Safe Harbour) vonatkozó elvekhez való csatlakozás és a és a gyakran felvetett kérdésekhez figyelembe vétele önkéntes alapon működik, az USA joga szerint e szabályok kötelezőek az azokhoz csatlakozó jogalanyokra nézve, és végrehajthatóak az Egyesült Államok Szövetségi Kereskedelmi Bizottsága által.

2015. október 6-i ítéletében a Bíróság érvénytelennek nyilvánította a védett adatkikötőről szóló határozatot. Ennek fényében e közlemény áttekintést kíván nyújtani arról, hogy megfelelőségi határozat hiányában, a 95/46/EK irányelv alapján milyen alternatív eszközök állnak rendelkezésre a transzatlanti adattovábbításhoz. Röviden ismerteti azt is, hogy az ítélet milyen következményekkel jár a Bizottság más megfelelőségi határozataira nézve. Az ítéletben a Bizottság egyértelművé tette, hogy a 95/46/EK irányelv 25. cikkének (6) bekezdése szerinti megfelelőségi határozat a Bizottság azon megállapítása, hogy az érintett harmadik országban a személyes adatok védelmének szintje, jóllehet nem feltétlenül azonos, „lényegét tekintve egyenértékű“ – az Európai Unió Alapjogi Chartájának fényében értelmezett irányelv alapján – az Európai Unióban garantált védelmi szinttel. Kifejezetten a védett adatkikötőről szóló határozat vonatkozásában a Bíróság úgy ítélte meg, hogy az a Bizottság részéről nem tartalmaz elegendő megállapítást az amerikai hatóságoknak a fenti határozat alapján továbbított adatokhoz való hozzáférésére vonatkozó korlátozásokkal, valamint az ilyen beavatkozással szembeni hatékony jogi védelem meglétével kapcsolatban. A Bíróság egyértelművé tette, hogy az olyan szabályozást, amely lehetővé teszi a hatóságok számára, hogy általános jelleggel hozzáférjenek az elektronikus kommunikációk tartalmához, úgy kell tekintetni, hogy az a magánélet tiszteletben tartásához való jog lényegét sérti. Továbbá, a Bíróság megerősítette, hogy a tagállamok adatvédelmi hatóságai még a 95/46/EK irányelv 25. cikkének (6) bekezdése szerinti megfelelőségi határozat megléte esetén is hatáskörrel rendelkeznek arra vonatkozóan, és kötelesek teljes függetlenséggel eljárva megvizsgálni, hogy a harmadik ország felé irányuló adattovábbítás megfelel-e a 95/46/EK irányelvben megállapított – az Alapjogi Charta 7., 8. és 47. cikkének fényében értelmezett –követelményeknek. Ugyanakkor a Bíróság azt is kijelentette, hogy csak a Bíróság állapíthatja meg az uniós jogi aktusok, így a Bizottság megfelelőségi határozatának érvénytelenségét.

A Bíróság ítélete „A védett adatkikötő működése az uniós polgárok és az EU-ban letelepedett vállalatok szempontjából” című, 2013-as bizottsági közleményre épül, amelyben a Bizottság számos hiányosságot azonosított, és 13 ajánlást tett. Ezen ajánlások alapján a Bizottság 2014 januárja óta folytat tárgyalásokat az USA hatóságaival azzal a céllal, hogy megújult és erőteljesebb megállapodást vezessenek be a transzatlanti adatcseréhez.

Az ítéletet követően a Bizottság továbbra is elkötelezett a személyes adatok transzatlanti továbbításának megújult és szilárd keretére vonatkozó célkitűzés iránt. E tekintetben már újra is kezdte, és fokozta az USA kormányával folytatott tárgyalásokat annak biztosítása céljából, hogy a személyes adatok transzatlanti továbbítására vonatkozó új megállapodás teljes mértékben eleget tegyen a Bíróság által előírtaknak. Az uniós polgárokra vonatkozó személyes adatok folyamatos védelmének biztosítása céljából bármilyen ilyen jellegű keretelvnek megfelelő korlátozásokkal, biztosítékokkal, bírósági ellenőrzési mechanizmusokkal kell rendelkeznie, többek között a hatóságok bűnüldözési és nemzetbiztonsági célú esetleges hozzáférésének tekintetében. Időközben az ipar aggodalmainak adott hangot a folyamatos adattovábbítás lehetőségeivel kapcsolatban, ezért egyértelművé kell tenni, hogy a továbbiakban milyen feltételek mellett kerülhet sor ilyen adattovábbításra. Ez arra ösztönözte a 29. cikk alapján létrehozott munkacsoportot – a tagállamok összes adatvédelmi hatóságának képviselőiből és az európai adatvédelmi biztosból álló független tanácsadó szervet –, hogy október 16-án nyilatkozatot bocsásson ki az ítéletből levont első következtetésekről. Egyebek mellett a fenti nyilatkozat az adattovábbítással kapcsolatos alábbi iránymutatást tartalmazta:

az adattovábbításokat a továbbiakban nem lehet a védett adatkikötőről szóló érvénytelenített bizottsági határozatra alapozni;

az adattovábbítás jogalapjaként időközben általános szerződéses feltételek (a továbbiakban lásd még: SCC-k) és kötelező erejű vállalati szabályok (a továbbiakban ld. még: BCR-ek) alkalmazhatók, ugyanakkor a 29. cikk alapján létrehozott munkacsoport azt is kijelentette, hogy folytatja az ítélet ezen alternatív eszközökre gyakorolt hatásának elemzését.

A nyilatkozat további felszólítást intézett a tagállamok és uniós intézmények felé, hogy kezdjenek tárgyalásokat az USA hatóságaival a célból, hogy jogi és technikai megoldásokat találjanak az adattovábbításhoz; a 29. cikk alapján létrehozott munkacsoport véleménye szerint e megoldás részét képezhetik az új védett adatkikötőre vonatkozó tárgyalások.