1. Wprowadzenie

Ochrona danych osobowych stanowi część wspólnej konstrukcji konstytucyjnej Europy, czego potwierdzenie znaleźć można w art. 8 Karty praw podstawowych Unii Europejskiej. Od ponad 20 lat pełni ona kluczową rolę w prawie Unii – począwszy od dyrektywy o ochronie danych z 1995 r. („dyrektywa z 1995 r.”) aż po przyjęcie ogólnego rozporządzenia o ochronie danych oraz dyrektywy w sprawie policji w 2016 r.

W swoim orędziu o stanie Unii Europejskiej z dnia 14 września 2016 r. przewodniczący Jean-Claude Juncker podkreślał: Bycie Europejczykiem oznacza prawo do ochrony własnych danych osobowych za pomocą skutecznych europejskich przepisów. [...] W Europie prywatność jest ważna. To kwestia ludzkiej godności.

Zapotrzebowanie na ochronę danych osobowych nie jest jednak ograniczona wyłącznie do Europy. Konsumenci na całym świecie coraz bardziej cenią swoją prywatność. Przedsiębiorstwa z kolei rozumieją, że silna gwarancja ochrony prywatności daje im przewagę konkurencyjną i tym samym przyczynia się do wzrostu zaufania do ich usług. Wiele z nich – w szczególności przedsiębiorstwa o zasięgu globalnym – dostosowuje swoje polityki ochrony prywatności do ogólnego rozporządzenia o ochronie danych. Robią to nie tylko po to, aby móc prowadzić działalność na terenie UE, ale również dlatego, że postrzegają UE jako model do naśladowania.

Podobnie niektóre kraje i organizacje regionalne spoza UE – począwszy od tych będących w naszym bezpośrednim sąsiedztwie aż po te, które znajdują się w Azji, Ameryce Łacińskiej i Afryce – przyjmują nowe przepisy dotyczące ochrony danych lub aktualizują przepisy już obowiązujące, aby w ten sposób wykorzystać możliwości, jakie daje światowa gospodarka cyfrowa, a także odpowiedzieć na rosnące zapotrzebowanie na poprawę bezpieczeństwa danych i ochrony prywatności. Pomimo że pomiędzy poszczególnymi państwami istnieją różnice w podejściu i stopniu zaawansowania prac legislacyjnych, zauważyć można oznaki pozytywnej konwergencji społeczno-gospodarczej w kierunku zasad ochrony istotnych danych, w szczególności w niektórych regionach świata. Lepsza kompatybilność pomiędzy różnymi systemami ochrony danych mogłaby ułatwić międzynarodowy przepływ danych osobowych – czy to w celach komercyjnych, czy też na potrzeby współpracy pomiędzy organami publicznymi (np. w zakresie ścigania przestępstw). UE powinna wykorzystać tę okazję, aby propagować swoje wartości w obszarze ochrony danych, a także by usprawnić przepływ danych poprzez zachęcanie do ujednolicania systemów prawnych. Zgodnie z zapowiedzią zawartą w programie prac Komisji, w niniejszym komunikacie przedstawiono ramy strategiczne Komisji w odniesieniu do „decyzji w sprawie odpowiedniej ochrony danych osobowych”, jak również inne narzędzia służące do przekazywania danych oraz międzynarodowe instrumenty ochrony danych.

2. Pakiet reform w zakresie ochrony danych – Nowoczesne ramy prawne na rzecz wsparcia międzynarodowych przepływów danych z zachowaniem wysokiego stopnia ochrony

Reforma unijnych przepisów o ochronie danych przyjęta w kwietniu 2016 r. ustanawia system, który nie tylko zapewnia wysoki stopień ochrony, ale jest także otwarty na możliwości, jakie daje globalne społeczeństwo informacyjne. Dając osobom fizycznym większą kontrolę nad ich danymi osobowymi, reforma wzmacnia zaufanie konsumentów do gospodarki cyfrowej. Natomiast dzięki harmonizacji i uproszczeniu środowiska prawnego ułatwia ona przedsiębiorstwom krajowym i zagranicznym prowadzenie działalności gospodarczej w UE, w tym działalności wiążącej się z międzynarodową wymianą danych. Obecnie otwartość w kwestii międzynarodowego przepływu danych UE łączy z najwyższym stopniem ochrony swoich obywateli. UE ma potencjał, by stać się centrum usług związanych z obsługą danych. By to osiągnąć niezbędne są zarówno swobodny przepływ danych, jak i zaufanie.

2.1 Kompleksowe, ujednolicone i uproszczone unijne ramy prawne w zakresie ochrony danych

W przedmiotowej reformie unijnej ustanowiono kompleksowe ramy prawne regulujące kwestię przetwarzania danych osobowych zarówno w sektorach prywatnym i publicznym, jak i w sektorach komercyjnym oraz organów ścigania (odpowiednio ogólne rozporządzenie o ochronie danych i dyrektywa w sprawie policji).

Na mocy ogólnego rozporządzenia o ochronie danych począwszy od maja 2018 r. obowiązywać zacznie jeden ogólnoeuropejski zbiór przepisów, który zastąpi obecne 28 ustawodawstw krajowych. Zgodnie z nowo utworzonym mechanizmem kompleksowej obsługi jeden organ ochrony danych („OOD”) będzie odpowiedzialny za nadzór nad transgranicznymi operacjami przetwarzania danych przeprowadzanymi przez przedsiębiorstwa w UE. Zagwarantowana będzie spójność interpretacji nowych przepisów. W przypadku wspólnych problemów – zwłaszcza spraw transgranicznych, w które zaangażowanych może być kilka krajowych organów ochrony danych – podejmowana będzie jedna wspólna decyzja gwarantująca dla wszystkich wspólne rozwiązanie. Ponadto ogólne rozporządzenie o ochronie danych otwiera drogę do wyrównania szans pomiędzy przedsiębiorstwami unijnymi oraz zagranicznymi w ten sposób, że przedsiębiorstwa z siedzibą poza UE będą musiały przestrzegać tych samych przepisów, co przedsiębiorstwa unijne, jeśli oferują towary i świadczą usługi lub monitorują zachowanie osób fizycznych na terenie UE. Na zwiększeniu poziomu zaufania konsumentów skorzystają zarówno unijne, jak i zewnętrzne podmioty handlowe.

W dyrektywie w sprawie policji zawarto wspólne przepisy dotyczące przetwarzania danych osobowych osób uczestniczących w postępowaniu karnym – oskarżonych, świadków i ofiar – uwzględniając jednocześnie specyficzny charakter działań policyjnych i sądowych w sprawach karnych. Harmonizacja przepisów dotyczących ochrony danych w sektorze ścigania przestępstw, w tym przepisów o międzynarodowym przekazywaniu danych, ułatwi współpracę transgraniczną pomiędzy organami policyjnymi a organami wymiaru sprawiedliwości. Mowa tu zarówno o współpracy wewnątrz samej UE, jak i o współpracy z partnerami międzynarodowymi. W ten sposób powstaną warunki umożliwiające skuteczniejszą walkę z przestępczością. Jest to istotny wkład w Europejską agendę bezpieczeństwa.

2.2 Zaktualizowany i zróżnicowany zestaw narzędzi do międzynarodowego przekazywania danych

Od momentu powstania unijne przepisy o ochronie danych przewidują szereg mechanizmów umożliwiających międzynarodowe przekazywanie danych. Głównym celem tych przepisów jest zapewnienie, aby przy przekazywaniu danych osobowych Europejczyków utrzymać wysoki stopień ich ochrony. Na przestrzeni lat dla wielu jurysdykcji przepisy te były wzorem ustawodawstwa w zakresie międzynarodowego przepływu danych. Chociaż konstrukcja pozostaje zasadniczo taka sama jak w dyrektywie z 1995 r., to reforma przepisów dotyczących międzynarodowego przekazywania danych dookreśla je i upraszcza ich stosowanie oraz wprowadza nowe narzędzia służące przekazywaniu danych.

Zgodnie z prawem UE jeden ze sposobów przekazywania danych osobowych za granicę opiera się na decyzji Komisji „w sprawie odpowiedniej ochrony danych osobowych” mówiącej, że państwa spoza UE muszą zapewnić stopień ochrony danych, który będzie „zasadniczo odpowiadający” poziomowi ochrony gwarantowanemu w UE. Wskutek takiej decyzji możliwy staje się swobodny przepływ danych osobowych do danego państwa trzeciego bez potrzeby przedstawiania dodatkowych gwarancji przez podmiot przekazujący dane lub uzyskania przez niego odpowiedniego upoważnienia. Dla zainteresowanych państw lub organizacji międzynarodowych dostępny jest dokładny i szczegółowy zestaw elementów, które Komisja musi wziąć pod uwagę, oceniając adekwatność ochrony danych zapewnianej w ramach zagranicznego systemu. Od teraz Komisja może też przyjmować decyzje w sprawie odpowiedniej ochrony danych osobowych także w obszarze ścigania przestępstw. Ponadto – w oparciu o postępowanie zgodne z dyrektywą z 1995 r. – reforma wyraźnie umożliwia określenie odpowiedniości ochrony w odniesieniu do konkretnego terytorium danego państwa trzeciego lub do konkretnego sektora lub branży w danym państwie trzecim (tzw. „częściowa” odpowiedniość ochrony).

W razie braku decyzji stwierdzającej odpowiedni stopień ochrony międzynarodowe przekazanie danych może odbyć się w oparciu o szereg alternatywnych służących przekazywaniu danych narzędzi, które zapewniają odpowiednie gwarancje ochrony danych. Za pomocą reformy sformalizowano i rozszerzono możliwości wykorzystania istniejących instrumentów, takich jak standardowe klauzule umowne i wiążące reguły korporacyjne. Przykładowo, standardowe klauzule umowne można obecnie zawierać w umowach pomiędzy podmiotami przetwarzającymi mającymi swoją siedzibę w UE a podmiotami przetwarzającymi w państwach spoza UE (tzw. klauzule wzorcowe pomiędzy podmiotami przetwarzającymi). Co zaś tyczy się wiążących reguł korporacyjnych – które dotychczas ograniczone były do uzgodnień pomiędzy podmiotami w ramach tej samej grupy przedsiębiorstw – to obecnie mogą stosować je grupy przedsiębiorstw prowadzących wspólną działalność gospodarczą, lecz niekoniecznie stanowiące część jednej grupy przedsiębiorstw. Reforma wprowadza też ograniczenie biurokracji poprzez zniesienie ogólnego wymogu uprzedniego zgłaszania OOD zamiaru przekazywania danych oraz udzielania przez OOD upoważnienia w przypadkach przekazywania danych do państw trzecich na podstawie standardowych klauzul umownych lub wiążących reguł korporacyjnych. Jest to istotnie uproszczenie unijnego systemu międzynarodowego przekazywania danych, gdyż istnienie tych wymogów – obecnie różnych w poszczególnych państwach członkowskich – postrzega się często jako poważną przeszkodę dla przepływu danych, zwłaszcza dla mniejszych przedsiębiorstw.

Ponadto reforma wprowadza nowe narzędzia służące do międzynarodowego przekazywania danych. Administratorzy danych i podmioty przetwarzające będą mogły – pod pewnymi warunkami – stosować zatwierdzone kodeksy postępowania lub mechanizmy certyfikacji (takie jak etykiety lub marki ochrony danych osobowych) w celu ustanowienia „właściwego zabezpieczenia”. Powinno to umożliwić opracowywanie rozwiązań lepiej dostosowanych do indywidualnych potrzeb. Mowa tu np. o rozwiązaniach odzwierciedlających charakterystykę i zapotrzebowania danego sektora lub branży bądź też konkretnych przepływów danych. Daje to też możliwość zagwarantowania właściwych zabezpieczeń w przypadkach przekazywania danych między organami lub podmiotami publicznymi na podstawie międzynarodowych umów lub porozumień administracyjnych. Ponadto ogólne rozporządzenie o ochronie danych doprecyzowuje zastosowanie tzw. „wyjątków” (np. w przypadkach niezdolności do wyrażenia zgody, konieczności wykonania umowy lub z ważnych względów interesu publicznego), na które podmioty mogą powołać się w konkretnych sytuacjach, chcąc przekazać dane w razie braku decyzji w sprawie odpowiedniej ochrony danych osobowych i niezależnie od zastosowania jednego z wyżej wymienionych narzędzi. W szczególności dodano do niej nowy, aczkolwiek ograniczony wyjątek dotyczący przypadków przekazania, które są niezbędne do celów wynikających z prawnie uzasadnionego interesu przedsiębiorstwa.

Wreszcie reforma upoważnia Komisję do opracowania mechanizmów współpracy międzynarodowej, które ułatwiłyby egzekwowanie przepisów o ochronie danych, w tym poprzez zawieranie porozumień w sprawie wzajemnej pomocy. W ten sposób uznano wkład, jaki bliższe formy współpracy pomiędzy organami nadzorczymi na szczeblu międzynarodowym mogłyby wnieść w obszarze zapewnienia zarówno bardziej skutecznej ochrony praw osób fizycznych, jak i większej pewności prawa dla przedsiębiorstw.

3. Międzynarodowe przekazywanie danych w sektorze komercyjnym: ułatwianie wymiany handlowej poprzez ochronę prywatności

Ochrona prywatności jest warunkiem stabilnej, bezpiecznej i konkurencyjnej wymiany handlowej na świecie. Prywatność to nie towar, którym można handlować. Internet i cyfryzacja towarów i usług zmieniły oblicze światowej gospodarki, a transgraniczne przekazywanie danych – w tym danych osobowych – stało się częścią codziennej działalności europejskich przedsiębiorstw wszelkich rozmiarów i we wszystkich sektorach. Ponieważ wymiana handlowa w coraz większym stopniu zależy od przepływu danych osobowych, zachowanie ich prywatności i bezpieczeństwa stało się głównym czynnikiem decydującym o zaufaniu konsumentów. Przykładowo, dwie trzecie Europejczyków jest zaniepokojonych brakiem kontroli nad informacjami podanymi przez nich online, natomiast połowa respondentów obawia się, że może stać się ofiarą oszustwa. Jednocześnie przedsiębiorstwa europejskie prowadzące działalność w niektórych państwach trzecich zmagają się z protekcjonistycznymi ograniczeniami, które trudno uzasadnić względami ochrony prywatności.