LT Europos Sąjungos oficialusis leidinys C 257/8

Europos duomenų apsaugos priežiūros pareigūno nuomonės dėl sprendimo dėl ES ir JAV „privatumo skydo“ tinkamumo projekto santrauka

(Visą šios nuomonės tekstą anglų, prancūzų ir vokiečių kalbomis galima rasti EDAPP interneto svetainėje www.edps.europa.eu)

(2016/C 257/05)

Duomenų srautai yra pasaulinio pobūdžio. ES yra saistoma Europos Sąjungos Sutarčių ir Pagrindinių teisių chartijos, kuriomis užtikrinama visų ES asmenų apsauga. ES privalo imtis visų būtinų priemonių ir užtikrinti, kad atliekant visas duomenų tvarkymo operacijas, įskaitant perdavimą, būtų gerbiamos teisės į privatumą ir asmens duomenų apsaugą. ES ir jos strateginis partneris Jungtinės Valstijos nuo 2013 m., kai buvo atskleista stebėjimo veikla, siekė nustatyti naujus iš ES į JAV siunčiamų asmens duomenų perdavimo komerciniais tikslais standartus, pagrįstus pačių atliekamo patvirtinimo sistema. EDAPP, kaip ir nacionalinės duomenų apsaugos institucijos ES, šioje pasaulinio masto, momentinių ir nenuspėjamų duomenų srautų eroje pripažįsta komercinio duomenų perdavimo tarp ES ir JAV, kuris yra didžiausia pasaulyje prekybos partnerystė, tvaraus teisinio pagrindo reikšmę. Vis dėlto šiame pagrinde turi visiškai atsispindėti pripažįstamos demokratinės ir žmogaus teisėmis grindžiamos vertybės, kurios ES yra išdėstytos Lisabonos sutartyje ir Pagrindinių teisių chartijoje, o JAV – JAV konstitucijoje. „Privatumo skydo“ projektas gali būti žingsnis tinkama kryptimi, tačiau dabartinė jo formuluotė, mūsų nuomone, neapima visų tinkamų apsaugos priemonių, siekiant apsaugoti visas ES asmens teises į privatumą ir duomenų apsaugą, taip pat susijusias su teisminėmis teisių gynimo priemonėmis. Kad Europos Komisija galėtų priimti sprendimą dėl tinkamumo, jį reikia iš esmės patobulinti. Konkrečiai, ES turėtų įgyti papildomų garantijų būtinumo ir proporcingumo požiūriu vietoje įprastos prieigos prie JAV institucijoms perduodamų duomenų įteisinimo remiantis kriterijais, turinčiais teisinį pagrindą duomenis gaunančioje valstybėje, tačiau ne ES, kaip tai patvirtinta Sutartyse, ES sprendimuose ir bendrose konstitucinėse valstybių narių tradicijose. Be to, hipertinklų ir paskirstytųjų tinklų eroje privačių organizacijų savireguliavimas, taip pat valstybės pareigūnų pareiškimai ir įsipareigojimai gali atlikti svarbų vaidmenį trumpalaikėje perspektyvoje, tačiau ilgalaikėje perspektyvoje jie nebus pakankami siekiant apsaugoti asmens teises bei interesus ir visiškai patenkinti globalizuoto skaitmeninio pasaulio, kuriame dauguma valstybių turi duomenų apsaugos taisykles, poreikius. Todėl transatlantiniame dialoge būtų sveikintinas ilgalaikis sprendimas, taip pat federaliniame įstatyme aiškiai ir glaustai nurodant bent jau pagrindinius teisių principus, kaip yra kitose ne ES valstybėse, kurios buvo „griežtai įvertintos“ kaip užtikrinančios atitinkamą apsaugos lygį; ką ESTT savo sprendime Schrems įvardijo kaip reiškiantį „iš esmės lygiavertį“ standartams, taikomiems pagal ES teisę, ir kas pagal 29 straipsnio darbo grupę reiškia duomenų apsaugos „pagrindinių principų esmę“. Mes palankiai vertiname JAV institucijų parodytą didesnį skaidrumą taikant išimtis „privatumo skydo“ principams dėl teisėsaugos, nacionalinio saugumo ir viešojo intereso. Vis dėlto nors 2000 m. Sprendime dėl „saugaus uosto“ prieiga dėl nacionalinio saugumo buvo formaliai vertinama kaip išimtis, dėmesys, „privatumo skydo“ sprendimo projekte skiriamas teisėsaugos ir žvalgybos prieigai prie asmens duomenų, perduotų komerciniais tikslais, jų filtravimui ir analizei, rodo, kad išimtis gali tapti taisykle. Konkrečiai, EDAPP, remdamasis sprendimo projektu ir jo priedais, pažymi, kad, nepaisant pastarojo meto tendencijų pereiti nuo bendro chaotiško stebėjimo prie tikslesnio ir didesnės atrankos požiūrio, signalų žvalgybos mastas ir iš ES perduodamų duomenų apimtis, priklausomai nuo potencialaus rinkimo ir naudojimo perdavus ir ypač perdavimo metu, vis dar gali būti dideli, todėl klausimas išlieka neišspręstas. Nors ši praktika taip pat gali būti susijusi su žvalgyba kitose šalyse ir mes sveikiname JAV institucijų skaidrumą šiomis naujomis aplinkybėmis, esamu sprendimo projektu ši įprasta tvarka gali būti įteisinta. Todėl skatiname Europos Komisiją duoti stipresnį signalą: atsižvelgiant į įsipareigojimus, galiojančius ES pagal Lisabonos sutartį, valstybinės institucijos duomenis, perduotus komerciniais tikslais, įskaitant jų perdavimo etapą, turėtų gauti ir naudoti tik išimtiniais atvejais ir kai tai būtina konkrečiais viešojo intereso tikslais. Valdytojai, kiek tai susiję su nuostatomis dėl perdavimo komerciniais tikslais, neturėtų nuolat keisti atitikties modelių. Vis dėlto sprendimo projektas buvo grindžiamas esamu ES teisiniu reglamentavimu, kuris 2018 m. gegužę, praėjus mažiau nei metams nuo visiško „privatumo skydo“ valdytojų atlikto įgyvendinimo, bus pakeistas Reglamentu (ES) 2016/679 (Bendrasis duomenų apsaugos reglamentas). Bendruoju duomenų apsaugos reglamentu sukuriamos ir sustiprinamos duomenų valdytojų pareigos, viršijančios devynių principų, suformuluotų „privatumo skyde“, ribas. Kad ir kokie būtų galutiniai projekto pakeitimai, mes rekomenduojame Europos Komisijai išsamiai įvertinti ateities perspektyvas po jos pirmosios ataskaitos, laiku nustatyti reikiamus veiksmus galimiems ilgalaikiams sprendimams, kurie pakeis „privatumo skydo“ nuostatas, nustatyti, parengiant stabilesnį ir tvirtesnį teisinį reglamentavimą transatlantiniams ryšiams stiprinti. Todėl EDAPP pateikia rekomendacijas dėl „privatumo skydo“.

I. Įvadas

Europos Sąjungos Teisingumo Teismas (toliau – ESTT) 2015 m. spalio 6 d. panaikino (1) Sprendimą dėl „saugaus uosto“ tinkamumo (2). Europos Komisija 2016 m. vasario 2 d. pasiekė politinį susitarimą su JAV dėl naujos asmens duomenų perdavimo sistemos, vadinamos ES ir JAV „privatumo skydu“ (toliau – „privatumo skydas“). Vasario 29 d. Europos Komisija paskelbė sprendimo dėl šios naujos sistemos tinkamumo projektą (toliau – sprendimo projektas) (3) ir septynis jo priedus, įskaitant „privatumo skydo“ principus ir rašytines JAV pareigūnų ir institucijų pastabas ir įsipareigojimus. EDAPP sprendimo projektą konsultacijoms gavo šių metų kovo 18 d.

EDAP ne kartą išsakė savo poziciją dėl asmens duomenų perdavimo tarp ES ir JAV (4) ir pateikė 29 straipsnio darbo grupei (toliau – DG29) nuomonę dėl sprendimo projekto kaip šios grupės narys (5). DG29 iškėlė didelį susirūpinimą keliančių klausimų ir paprašė Europos Komisijos nurodyti, kaip spręsti šias problemas. DG29 nariai tikisi, kad bus pateikti visi nuomonėje prašomi paaiškinimai (6). Kovo 16 d. 27 pelno nesiekiančios organizacijos išsakė kritiką dėl sprendimo projekto laiške, adresuotame ES ir JAV valdžios institucijoms (7). Gegužės 26 d. Europos Parlamentas priėmė rezoliuciją dėl transatlantinių duomenų srautų (8), kurioje ragina Komisiją tartis su JAV administracija dėl tolesnio „privatumo skydo“ susitarimo tobulinimo, atsižvelgiant į esamus trūkumus (9).

EDAPP, kaip nepriklausomas ES teisės aktų leidėjų patarėjas pagal Reglamentą (EB) Nr. 45/2001, procese dalyvaujančioms šalims, ypač Komisijai, teikia šias rekomendacijas. Šie patarimai yra tiek principingi, tiek pragmatiški, siekiant aktyviai padėti ES pasiekti savo tikslus tinkamomis priemonėmis. Juo papildomos ir pabrėžiamos kai kurios DG29 nuomonėje pateiktos rekomendacijos.

Sprendimo projekte yra daug patobulinimų, palyginti su Sprendimu dėl „saugaus uosto“, ypač dėl duomenų apdorojimo komerciniais tikslais principų. Kalbant apie valdžios institucijų prieigą prie duomenų, perduodamų pagal „privatumo skydą“, taip pat palankiai vertiname tai, kad pirmą kartą į derybas įtraukiami Teisingumo departamentas, Valstybės departamentas ir Nacionalinės žvalgybos direktoriaus biuras. Vis dėlto pažanga, padaryta palyginti su ankstesniu Sprendimu dėl „saugaus uosto“, pati savaime nėra pakankama. Tinkamas orientyras yra ne anksčiau panaikintas sprendimas, nes sprendimas dėl tinkamumo turi būti grindžiamas esamomis ES teisės nuostatomis (konkrečiai – pačia direktyva, Sutarties dėl Europos Sąjungos veikimo 16 straipsniu, taip pat Europos Sąjungos pagrindinių teisių chartijos 7 ir 8 straipsniais, kaip juos aiškina ESTT). ES bendrojo duomenų apsaugos reglamento (toliau – BDAR) (10) 45 straipsnyje bus nustatyti nauji duomenų perdavimo reikalavimai, pagrįsti sprendimu dėl tinkamumo.

Praėjusiais metais ESTT patvirtino, kad tinkamumo vertinimo riba yra „iš esmės lygiavertė“, ir pareikalavo atlikti griežtą vertinimą laikantis šio aukšto standarto (11). Nustatant tinkamumą, nereikalaujama nustatyti sistemą, kuri būtų identiška egzistuojančiai ES, tačiau „privatumo skydas“ ir JAV teisinė sistema, kaip visuma, turi apimti visus pagrindinius ES duomenų apsaugos sistemos elementus. To siekiant reikia ir visapusiškai įvertinti teisinę sistemą, ir išnagrinėti pačius svarbiausius ES duomenų apsaugos sistemos elementus (12). Manome, kad vertinimas turi būti atliktas bendru mastu, tačiau atsižvelgiant į šių elementų esmę. Be to, turint omenyje Sutartį ir Chartiją, turi būti atsižvelgiama į konkrečius elementus, tokius kaip nepriklausoma priežiūra ir teisė į teisių gynimą.

Šiuo atžvilgiu EDAPP yra žinoma, kad šio sprendimo dėl tinkamumo rezultato laukia daug organizacijų abiejose Atlanto pusėse. Tačiau teisinio neapibrėžtumo duomenų subjektams ir naštos, ypač MVĮ, požiūriu, naujo ESTT panaikinimo atveju pasekmės gali būti rimtos. Be to, jeigu sprendimo projektas yra priimamas ir vėliau ESTT panaikinamas, dėl visų kitų naujų tinkamumo susitarimų turi būti tariamasi pagal BDAR. Todėl rekomenduojame laikytis į ateitį orientuoto požiūrio, atsižvelgiant į neišvengiamą visiško BDAR taikymo datą, kuri sueis po dvejų metų, skaičiuojant nuo dabar.

Sprendimo projektas yra labai svarbus ES ir JAV santykiams ir joms esant derybų dėl prekybos ir investicijų subjektams. Be to, dauguma elementų, į kuriuos atsižvelgiama mūsų nuomonėje, yra netiesiogiai susiję tiek su „privatumo skydu“, tiek su kitomis perdavimo priemonėmis, pavyzdžiui, Įmonėms privalomomis taisyklėmis (toliau – ĮPT) ir Standartinėmis sutarčių sąlygomis (toliau – SSS). Tai taip pat turi pasaulinę reikšmę, nes didelė dalis trečiųjų šalių atidžiai stebės tai kaip naujos ES duomenų apsaugos sistemos priėmimo pagrindą.

Todėl palankiai vertintume bendrą sprendimą dėl perdavimo tarp ES ir JAV, su sąlyga, kad jis bus pakankamai išsamus ir svarus. Būtini griežti patobulinimai siekiant užtikrinti tvarią ilgalaikę pagarbą mūsų pagrindinėms teisėms ir laisvėms. Priimtas sprendimas po pirmojo Europos Komisijos įvertinimo turi būti laiku vertinamas siekiant nustatyti reikiamus veiksmus galimiems ilgalaikiams sprendimams, kurie pakeis „privatumo skydo“ nuostatas, nustatyti, parengiant stabilesnį ir tvirtesnį teisinį reglamentavimą transatlantiniams ryšiams stiprinti.

EDAPP, remdamasis sprendimo projektu ir jo priedais, pažymi, kad, nepaisant pastarojo meto tendencijų pereiti nuo bendro chaotiško stebėjimo prie tikslingesnio ir didesnės atrankos požiūrio, signalų žvalgybos mastas ir iš ES perduodamų duomenų apimtis, priklausomai nuo potencialaus rinkimo ir naudojimo perdavus ir ypač perdavimo metu, vis dar gali būti dideli, todėl klausimas lieka neišspręstas.

Nors ši praktika taip pat gali būti susijusi su žvalgyba kitose šalyse ir mes sveikiname JAV institucijų skaidrumą šiomis naujomis aplinkybėmis, esamu sprendimo projektu ši įprasta tvarka gali būti įteisinta. Šiam klausimui būtina rimta vieša demokratinė kontrolė. Todėl skatiname Europos Komisiją duoti stipresnį signalą: atsižvelgiant į įsipareigojimus, galiojančius ES pagal Lisabonos sutartį, valstybinės institucijos gauti ir naudoti komerciniais tikslais perduotus duomenis, įskaitant perdavimo etapą, turėtų tik išimtiniais atvejais ir kai tai būtina konkrečiais viešojo intereso tikslais.

Be to, pažymime, kad esminiai patvirtinimai, susiję su privačiu asmenų gyvenimu ES, yra išsamiai pateikiami tik JAV valdžios institucijų vidaus dokumentuose (pavyzdžiui, pareiškimai dėl galimos signalų žvalgybos veiklos transatlantiniuose kabeliuose) (13). Nors nekeliame klausimo dėl garbių jų autorių kompetencijos ir suprantame, kad šie paaiškinimai, juos paskelbus Oficialiajame leidinyje ir Federaliniame registre, bus laikomi „rašytinėmis garantijomis“, kuriomis remiantis atliekamas ES vertinimas, apskritai pažymime, jog kai kurie dėl savo svarbumo galėtų būti didesnės teisinės vertės.

Be teisės aktų pakeitimų ir tarptautinių sutarčių (14), būtų galima apsvarstyti papildomų praktinių sprendimų galimybę. Savo nuomonėje siekiame laikytis pragmatiško požiūrio šiuo klausimu.

IV. Išvada

EDAPP palankiai vertina šalių pastangas rasti sprendimą dėl asmens duomenų perdavimo iš ES į JAV komerciniais tikslais, taikant pačių atliekamo patvirtinimo sistemą. Vis dėlto kad būtų parengta tvirta ir stabili ilgalaikėje perspektyvoje sistema, būtini griežti patobulinimai.

Priimta Briuselyje 2016 m. gegužės 30 d. Giovanni BUTTARELLI Europos duomenų apsaugos priežiūros pareigūnas

(1) 2015 m. spalio 6 d. Sprendimas Maximillian Schrems prieš Duomenų apsaugos pareigūną, C-362/14 (toliau – Schrems).

(2) 2000 m. liepos 26 d. Komisijos sprendimas 2000/520/EB dėl Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl „saugaus uosto“ privatumo principų teikiamos apsaugos pakankamumo ir su tuo susijusių JAV komercijos departamento pateiktų „Dažnai užduodamų klausimų“ (pranešta dokumentu Nr. C(2000) 2441) (OL L 215, 2000 8 25, p. 7).

(3) Komisijos įgyvendinimo sprendimas XXX pagal Europos Parlamento ir Tarybos direktyvą 95/46/EB dėl ES ir JAV „privatumo skydo“ teikiamos apsaugos tinkamumo, skelbiamas: http://ec.europa.eu/justice/data-protection/files/privacy-shield-adequacy-decision_en.pdf

(4) Žr. Europos duomenų apsaugos priežiūros pareigūno 2014 m. vasario 20 d. nuomonę dėl Komisijos komunikato Europos Parlamentui ir Tarybai dėl pasitikėjimo ES ir JAV duomenų mainais atkūrimo ir dėl Komisijos komunikato Europos Parlamentui ir Tarybai dėl „saugaus uosto“ nuostatų veikimo ES piliečių ir ES įsisteigusių bendrovių požiūriu, taip pat EDAPP pareiškimą ESTT teismo posėdyje byloje Schrems, skelbiama: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Court/2015/15-03-24_EDPS_Pleading_Schrems_vs_Data_Commissioner_EN.pdf)

(5) 29 straipsnio darbo grupė, Nuomonė 1/2016 dėl sprendimo dėl ES ir JAV „privatumo skydo“ tinkamumo (DG 238), skelbiama: http://ec.europa.eu/jus.tice/data-protection/article-29/documentation/opinion-recommendation/files/2016/wp238_en.pdf

(6) Taip pat žr. JK informacijos komisaro Christopher Graham pagrindinę kalbą „IAPP Europe Data Protection Intensive 2016“ konferencijoje Londone. Kalba (vaizdo įrašas) skelbiama: https://iapp.org/news/video/iapp-europe-data-protection-intensive-2016-christopher-graham-keynote/

(7) Laiškas 29 straipsnio darbo grupei ir kitoms institucijoms, pasirašytas „Access Now“ ir kitų 26 nevyriausybinių organizacijų.

(8) 2016 m. gegužės 26 d. Europos Parlamento rezoliucija dėl transatlantinių duomenų srautų (2016/2727(RSP)).

(9) Ten pat, p. 14.

(10) 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016 5 4, p. 1).

(11) Schrems, p. 71, 73, 74 ir 96.

(12) Į šį požiūrį jau atsižvelgta viename iš pirmųjų DG29 dokumentų dėl duomenų perdavimo subjekto (DG12, „Darbo dokumentas dėl asmens duomenų perdavimo trečiosioms šalims, taikant ES duomenų apsaugos direktyvos 25 ir 26 straipsnius“, 1998 m. liepos 24 d.).

(13) Žr., pavyzdžiui, VI.1 priedo a punkto paaiškinimus, kad PPD28 (Presidential policy directive – Direktyva dėl Prezidento politikos) būtų taikoma duomenims, JAV žvalgybos bendruomenės surinktiems iš transatlantinių kabelių.

(14) ESTT teismo posėdyje byloje Schrems EDAPP nurodė, kad vienintelis efektyvus sprendimas yra derybos dėl tarptautinės sutarties, suteikiančios tinkamą apsaugą nuo chaotiškos priežiūros, įskaitant įsipareigojimus dėl priežiūros, skaidrumo, teisės į teisių gynimą ir duomenų apsaugos teises (EDAPP pareiškimas 2015 m. kovo 24 d. Teisingumo Teismo posėdyje byloje Schrems prieš Duomenų apsaugos komisarą, C-362/14).