Pakiet dotyczący reformy obejmuje dwa instrumenty prawne: ogólne rozporządzenie o ochronie danych („rozporządzenie”) ustanawiające wspólne unijne ramy w zakresie ochrony danych oraz dyrektywę o ochronie danych w obszarze współpracy policyjnej i sądowej („dyrektywa w sprawie policji”) . Przedstawiając wniosek w sprawie rozporządzenia, którego przepisy będą bezpośrednio stosowane w państwach członkowskich, Komisja dąży do stworzenia jednego zbioru norm w zakresie ochrony danych wspólnego dla wszystkich tych państw, a tym samym do wyeliminowania różnic w poziomie ochrony między państwami członkowskimi. Również dyrektywa w sprawie policji będzie stanowiła pierwszy wspólny zbiór przepisów w tym zakresie na szczeblu UE, który zarazem będzie uwzględniał specyfikę poszczególnych państw członkowskich, jeżeli chodzi o tradycje w obszarze sądownictwa i egzekwowania prawa.

W celu wykorzystania możliwości stwarzanych przez cyfrowy świat, w którym występuje coraz więcej wzajemnych powiązań, oraz stawienia czoła wyzwaniom związanym z tym światem Komisja Europejska przedstawiła w styczniu 2012 r. pakiet dotyczący reformy ochrony danych („reforma”). Dzięki wzmocnieniu wewnętrznych przepisów unijnych i zapewnieniu osobom fizycznym większej kontroli nad ich danymi osobowymi reforma ma przyczynić się do zwiększenia poziomu zaufania do gospodarki cyfrowej, niezależnie od tego, czy do dane osobowe są przetwarzane w jednym państwie członkowskim, w UE czy w państwach trzecich, np. w Stanach Zjednoczonych.

Równolegle przystąpiono również do realizacji ważnych inicjatyw, które doprowadziły do wprowadzenia istotnych zmian w porządku prawnym USA. W dniu 17 stycznia 2014 r. prezydent Obama ogłosił reformę amerykańskich przepisów w zakresie rozpoznania radioelektronicznego, której założenia przedstawiono następnie w rozporządzeniu prezydenckim nr 28 (PPD-28). Co istotne, we wspomnianych reformach przewidziano rozszerzenie określonych środków ochrony prywatności również na osoby niebędące obywatelami amerykańskimi, a także przeorientowano proces gromadzenia danych, odchodząc od masowego gromadzenia danych na rzecz podejścia zorientowanego przede wszystkim na ukierunkowane gromadzenie danych i ukierunkowany dostęp do danych. Komisja z zadowoleniem przyjęła te zmiany i uznała je za krok we właściwym kierunku. Wspomniana reforma dostarczyła również istotnych informacji na potrzeby prowadzonych ze Stanami Zjednoczonymi rozmów dotyczących zasad ochrony prywatności UE–USA. Od tego czasu wprowadzono również kolejne zmiany. Na przykład w czerwcu 2015 r. w Stanach Zjednoczonych przyjęto ustawę o wolności, wprowadzającą zmiany w niektórych amerykańskich programach inwigilacji, wzmacniającą nadzór sądowy nad tymi programami oraz zwiększającą poziom przejrzystości publicznej w zakresie ich wykorzystania. Ponadto w dniu 10 lutego 2016 r. Kongres Stanów Zjednoczonych przyjął ustawę o sądowych środkach odwoławczych. Ustawa ta została podpisana przez prezydenta Obamę w dniu 24 lutego 2016 r..

Wspomniane osiągnięcia korzystnie wpłyną na stosunki transatlantyckie i powinny przyczynić się do odbudowy zaufania Europejczyków do gospodarki cyfrowej, wzmacniając jednocześnie przysługujące im prawa podstawowe. Zapewnią one również UE i jej państwom członkowskim solidniejsze ramy prawne w zakresie ochrony danych, które doprowadzą do większej integracji na rynku wewnętrznym, w szczególności na jednolitym rynku cyfrowym, a także umożliwią UE zwiększenie wysiłków na rzecz propagowania i rozwijania międzynarodowych standardów w zakresie ochrony prywatności i danych osobowych.

Od tego czasu Komisja podejmuje działania na rzecz osiągnięcia tych celów. Komisja przyspieszyła negocjacje dotyczące umowy ramowej, którą strony parafowały w dniu 8 września 2015 r. Zwiększono tempo dyskusji międzyinstytucjonalnych w sprawie pakietu dotyczącego reformy ochrony danych, co doprowadziło do zawarcia porozumienia politycznego między Radą a Parlamentem Europejskim w dniu 15 grudnia 2015 r. Jeżeli chodzi o transatlantyckie transfery danych w obszarze handlu, w styczniu 2014 r. Komisja rozpoczęła rozmowy ze Stanami Zjednoczonymi w sprawie wzmocnienia zasad bezpiecznego transferu danych osobowych. Unieważnienie przez Trybunał Sprawiedliwości decyzji w sprawie zasad bezpiecznego transferu danych osobowych w orzeczeniu z dnia 6 października 2015 r. w sprawie Schrems potwierdziło konieczność zaktualizowania istniejących ram oraz przedstawienia dalszych wytycznych w sprawie warunków, jakie ramy te powinny spełniać. Po wydaniu orzeczenia Komisja opublikowała w dniu 6 listopada 2015 r. wytyczne dla przedsiębiorstw, w których przedstawiła alternatywne instrumenty umożliwiające dalsze przekazywanie danych osobowych do Stanów Zjednoczonych. W dniu 2 lutego 2016 r. zawarto porozumienie polityczne w sprawie nowych ram dotyczących transatlantyckich przepływów danych, tzw. zasad ochrony prywatności UE–USA, które ma zastąpić wcześniej obowiązujące porozumienie w tym zakresie.

Cele te zostały potwierdzone w wytycznych politycznych Komisji Junckera: „Ochrona danych osobowych to jedno z praw podstawowych, mające szczególne znaczenie w erze cyfrowej. Poza szybkim sfinalizowaniem prac legislacyjnych nad wspólnymi dla całej Unii Europejskiej zasadami ochrony danych, musimy także bronić tego prawa w naszych stosunkach zewnętrznych. W świetle niedawnych doniesień o prowadzonym na masową skalę nadzorze, nasi bliscy partnerzy, np. Stany Zjednoczone, muszą przekonać nas, że obecne ustalenia dotyczące bezpiecznego transferu danych są rzeczywiście pewne, jeśli chcą ich kontynuacji. USA muszą także zagwarantować, by wszyscy obywatele UE mogli korzystać z przysługujących im praw do ochrony danych także i w sprawach toczących się przed amerykańskimi sądami, niezależnie od tego, czy zamieszkują na terytorium Stanów Zjednoczonych. Jest to niezbędne dla odbudowy zaufania w relacjach transatlantyckich”.

(iii) wzmocnienie gwarancji ochrony danych w ramach współpracy w zakresie egzekwowania prawa, w szczególności przez zakończenie negocjacji w sprawie umowy ramowej między UE a Stanami Zjednoczonymi. Jednym z celów tej umowy było również skłonienie Stanów Zjednoczonych do podjęcia zobowiązań w zakresie możliwych do wyegzekwowania na drodze prawnej praw osób fizycznych, w tym ścieżek dochodzenia odszkodowania na drodze sądowej, w szczególności poprzez wdrożenie amerykańskiej ustawy o sądowych środkach odwoławczych, w której rozszerzono na obywateli Unii niektóre prawa wynikające z amerykańskiej ustawy o prywatności z 1974 r., wcześniej przysługujące jedynie obywatelom i stałym rezydentom USA.

W odpowiedzi na te doniesienia w dniu 27 listopada 2013 r. Komisja wydała komunikat w sprawie odbudowy zaufania do przepływów danych między Unią Europejską a Stanami Zjednoczonymi, w którym przedstawiła plan działania na rzecz przywrócenia zaufania do przekazywania danych z korzyścią dla rozwoju gospodarki cyfrowej, ochrony praw Europejczyków oraz wzmocnienia stosunków transatlantyckich. W komunikacie przedstawiono następujące podstawowe działania przyczyniające się do osiągnięcia tego celu:

2.2. Co się zmieniło?

W rozporządzeniu zaktualizowano, zmodernizowano, a w niektórych przypadkach również wzmocniono zasady ochrony danych ustanowione w dyrektywie o ochronie danych z 1995 r. w celu zapewnienia poszanowania prawa do prywatności. Celem rozporządzenia jest wzmocnienie praw osób fizycznych, pogłębienie rynku wewnętrznego UE, zapewnienie lepszego egzekwowania przepisów, usprawnienie międzynarodowego przekazywania danych osobowych oraz ustanowienie globalnych norm w zakresie ochrony danych. Z założenia przepisy te mają zapewnić ochronę danych osobowych osób fizycznych z UE – niezależnie od tego, dokąd takie dane są przekazywane ani gdzie są przetwarzane lub przechowywane, nawet poza UE, co może się często zdarzać w cyfrowym świecie. Warto w tym miejscu zwrócić szczególną uwagę na szereg kwestii związanych z przedmiotową reformą.

Po pierwsze, terytorialny zakres stosowania: w rozporządzeniu wyraźnie zaznaczono, że jego przepisy mają zastosowanie również do przedsiębiorstw mających siedzibę w państwie trzecim, jeżeli oferują one towary i usługi lub monitorują zachowanie osób fizycznych w UE. Przedsiębiorstwa mające siedzibę poza UE będą musiały stosować te same przepisy co przedsiębiorstwa mające siedzibę w UE. Zagwarantuje to kompleksową ochronę praw osób fizycznych z UE. Zapewni również równe warunki działania przedsiębiorstwom z UE i przedsiębiorstwom z państw trzecich oraz pozwoli uniknąć nierównowagi konkurencyjnej między przedsiębiorstwami z UE a przedsiębiorstwami z państw trzecich prowadzącymi działalność w UE lub podejmującymi działania ukierunkowane na konsumentów w UE.

Po drugie, skuteczniejsze egzekwowanie przepisów w zakresie ochrony danych: dzięki zharmonizowaniu uprawnień krajowych nadzorczych organów ochrony danych w rozporządzeniu ustanowiono skuteczny system sankcji. Organy te będą upoważnione do nakładania grzywien w wysokości do 20 mln EUR lub do 4 % łącznych rocznych obrotów uzyskiwanych przez dane przedsiębiorstwo na całym świecie. Tego rodzaju uprawnienie do nakładania odstraszających sankcji z tytułu niezapewnienia zgodności z przepisami w zakresie ochrony danych w połączeniu z poszerzeniem terytorialnego zakresu stosowania, o którym mowa powyżej, przyczyni się do zagwarantowania, że przedsiębiorstwa prowadzące działalność w UE będą miały silną motywację do przestrzegania prawa Unii. W nowych przepisach ustanowiono również przejrzystszy i bardziej rygorystyczny system dla administratorów i podmiotów przetwarzających.

Po trzecie, harmonizacja przepisów w zakresie współpracy organów ścigania: w dyrektywie w sprawie policji ustanowione zostaną ogólne zasady i przepisy w zakresie ochrony danych obowiązujące w kontekście przetwarzania danych osobowych przez policję i organy wymiaru sprawiedliwości w państwach członkowskich do celów związanych z egzekwowaniem prawa karnego. Działania w tym obszarze obejmują przyjęcie zharmonizowanych przepisów w zakresie międzynarodowego przekazywania danych osobowych w kontekście współpracy między organami ścigania w sprawach karnych. Nowa dyrektywa zwiększy poziom ochrony osób fizycznych, zapewniając jednocześnie odpowiednią ochronę danych ofiar, świadków i podejrzanych o popełnienie przestępstwa w ramach dochodzeń lub czynności organów ścigania. Niezależne krajowe organy ochrony danych zapewniają właściwy nadzór nad danymi osobowymi, przy czym osobom fizycznym należy zapewnić możliwość skorzystania ze skutecznych środków zaskarżenia. Jednocześnie większy poziom harmonizacji obowiązujących przepisów zapewni policji i organom wymiaru sprawiedliwości możliwość prowadzenia skuteczniejszej współpracy na rzecz walki z przestępczością i terroryzmem, zarówno między poszczególnymi państwami członkowskimi, jak i między państwami członkowskimi a ich międzynarodowymi partnerami. Jest to zasadniczy element Europejskiej agendy bezpieczeństwa.

Po czwarte, wzmocnienie przepisów służących zwiększeniu bezpieczeństwa międzynarodowego przekazywania danych: zarówno w rozporządzeniu, jak i w dyrektywie w sprawie policji ustanowiono przejrzyste, szczegółowe i kompleksowe przepisy dotyczące przekazywania danych osobowych do państw trzecich. Przepisy te obejmują wszystkie formy międzynarodowego przekazywania danych, zarówno do celów handlowych, jak i do celów związanych z egzekwowaniem prawa, pomiędzy osobami prywatnymi lub organami publicznymi bądź pomiędzy podmiotami prywatnymi a organami publicznymi. Choć struktura przepisów dotyczących międzynarodowego przekazywania danych pozostaje zasadniczo taka sama jak struktura przewidziana w aktualnie obowiązującej dyrektywie o ochronie danych (tj. decyzje w sprawie odpowiedniej ochrony danych osobowych, standardowe klauzule umowne i wiążące reguły korporacyjne, a także pewne odstępstwa od ogólnego zakazu przekazywania danych osobowych podmiotom poza UE), w pakiecie dotyczącym reformy doprecyzowano te przepisy i uproszczono je na szereg różnych sposobów, ograniczają zarazem biurokrację. Reforma obejmuje również pewne nowe narzędzia dotyczące międzynarodowego przekazywania danych.

Ponadto w rozporządzeniu rozszerzono uprawnienia unijnych organów ochrony danych, również w zakresie międzynarodowego przekazywania danych. W porównaniu z aktualnie obowiązującą dyrektywą o ochronie danych przepisy rozporządzenia dotyczące niezależności, funkcji i uprawnień unijnych organów ochrony danych są bardziej szczegółowe i znacznie rozbudowane. Zawarto w nich bezpośrednie uprawnienie do zawieszenia przepływów danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej. Dyrektywa w sprawie policji zawiera podobne przepisy w odniesieniu do międzynarodowego przekazywania danych oraz uprawnień organów ochrony danych w sektorze egzekwowania prawa.

Ściślej rzecz biorąc, jeżeli chodzi o przepisy dotyczące podejmowanych przez Komisję decyzji w sprawie odpowiedniej ochrony danych osobowych, w rozporządzeniu przewidziano precyzyjny i szczegółowy katalog elementów, które Komisja musi uwzględnić przy ocenie poziomu ochrony prawnej przewidzianej w porządku prawnym państwa trzeciego. W ramach tej procedury Komisja musi przeprowadzić kompleksową ocenę przepisów regulujących dostęp do danych osobowych przez organy publiczne państwa trzeciego – element ten jest również zgodny z orzeczeniem w sprawie Schrems. Kolejnym kluczowym aspektem tej oceny jest fakt, że osoby fizyczne mogą skutecznie korzystać z możliwych do wyegzekwowania na drodze prawnej praw do ochrony danych osobowych i mogą skutecznie dochodzić odszkodowania na drodze sądowej i administracyjnej.

Ponadto w rozporządzeniu wyraźnie zobowiązano Komisję do przeprowadzania – co najmniej raz na cztery lata – okresowego przeglądu wszystkich wydanych przez siebie decyzji w sprawie odpowiedniej ochrony danych osobowych, aby należycie uwzględnić wszelkie istotne zmiany, które zaszły w państwie trzecim i które mogą mieć bezpośredni lub w praktyce niekorzystny wpływ na poziom ochrony przewidziany w porządku prawnym tego państwa. Tego rodzaju stałe monitorowanie odpowiedniości będzie stanowiło bardziej dynamiczny proces, ponieważ będzie wiązało się z koniecznością prowadzenia dialogu z organami danego państwa trzeciego.

Jeżeli chodzi o przekazywanie informacji do państw trzecich, w odniesieniu do których nie wydano decyzji w sprawie odpowiedniej ochrony danych osobowych, w rozporządzeniu określono warunki korzystania z alternatywnych narzędzi przekazywania danych, takich jak standardowe klauzule umowne i wiążące reguły korporacyjne. W rozporządzeniu przewidziano również inne instrumenty, np. zatwierdzone kodeksy postępowania i zatwierdzone mechanizmy certyfikacji. Ponadto w rozporządzeniu wyjaśniono, w jakich sytuacjach dopuszcza się możliwość skorzystania z odstępstw.

2.3. Dalsze działania

Reforma systemu ochrony danych stanowi istotny krok w kierunku wzmocnienia praw podstawowych obywateli w epoce cyfrowej oraz ułatwienia prowadzenia działalności gospodarczej dzięki uproszczeniu przepisów mających zastosowanie do przedsiębiorstw funkcjonujących na jednolitym rynku cyfrowym. Zaufanie konsumentów do podmiotów w UE i w państwach trzecich będzie stanowiło motor napędowy europejskiej i globalnej gospodarki cyfrowej, a tym samym przyniesie jej korzyści. Będzie ono miało pozytywny wpływ na nasze stosunki handlowe ze Stanami Zjednoczonymi, naszym największym partnerem handlowym. Zaufanie przyniesie przejrzystość i zapewni stabilne środowisko działania dla unijnych i zagranicznych przedsiębiorstw. Z kolei przedsiębiorstwa ze Stanów Zjednoczonych odniosą korzyść dzięki zwiększeniu pewności prawa, wynikającej z prowadzenia działalności gospodarczej w zintegrowanym obszarze gospodarczym, w którym stosuje się jednolity zbiór przepisów w zakresie ochrony danych.

Wspólne przepisy w sektorze egzekwowania prawa zagwarantują lepszą ochronę danych osób fizycznych oraz zapewnią tym osobom prawo do skutecznego korzystania ze środków zaskarżenia. Ułatwienie współpracy transgranicznej między policją a organami wymiaru sprawiedliwości w państwach członkowskich zwiększy efektywność egzekwowania prawa karnego, a tym samym stworzy warunki sprzyjające skuteczniejszemu zapobieganiu przestępczości w UE. Umożliwi to jednocześnie sprawniejszą współpracę z partnerami w państwach trzecich.

Oczekuje się, Parlament Europejski i Rada formalnie przyjmą pakiet dotyczący reformy w pierwszym półroczu 2016 r. Rozporządzenie będzie obowiązywało przez dwa lata od dnia jego przyjęcia, natomiast w odniesieniu do dyrektywy w sprawie policji przewidziano dwuletni okres wdrażania. Wszystkie zainteresowane strony, zarówno z UE, jak i spoza UE, powinny wykorzystać dwuletni okres przejściowy na przygotowanie się do stosowania nowych przepisów. Komisja również odegra pewną rolę w tym procesie. W trakcie okresu przejściowego Komisja będzie ściśle współpracowała z państwami członkowskimi, organami ochrony danych oraz innymi zainteresowanymi stronami na rzecz zapewnienia jednolitego stosowania przepisów i promowania otoczenia sprzyjającego przestrzeganiu obowiązującego prawa.

3. Zasady ochrony prywatności UE–USA: nowe transatlantyckie ramy przepływów danych osobowych

3.1. Kontekst

Aby usprawnić przepływy danych osobowych między UE a Stanami Zjednoczonymi do celów prowadzenia wymiany handlowej przy jednoczesnym zapewnieniu ochrony danych osobowych, Komisja uznała w 2000 r., że ramy bezpiecznego transferu danych osobowych zapewniają odpowiedni poziom ochrony. W rezultacie, pomimo braku ogólnej ustawy o ochronie danych w Stanach Zjednoczonych, dane osobowe mogły być swobodnie przekazywane z państw członkowskich UE do przedsiębiorstw w Stanach Zjednoczonych, które zobowiązały się do przestrzegania zasad dotyczących prywatności leżących u podstaw tych ram.

W komunikacie w sprawie zasad bezpiecznego transferu danych osobowych z 2013 r. Komisja zwróciła uwagę na szereg niedociągnięć związanych z funkcjonowaniem tego systemu na przestrzeni czasu, w szczególności na brak przejrzystości w kwestii tego, czy poszczególne przedsiębiorstwa przystąpiły do systemu, czy też nie, oraz na fakt, że organy Stanów Zjednoczonych nie podejmowały skutecznych działań służących wyegzekwowaniu przestrzegania przewidzianych w systemie zasad dotyczących prywatności przez przedsiębiorstwa, które przystąpiły do systemu. Co więcej, doniesienia o inwigilacji, które pojawiły się wcześniej w tym samym roku, wzbudziły obawy co do skali i zakresu niektórych programów gromadzenia danych przez amerykańskie organy wywiadowcze oraz co do poziomu dostępu amerykańskich organów publicznych do danych osobowych Europejczyków przekazywanych zgodnie z zasadami bezpiecznego transferu danych osobowych. Po wzięciu tych i innych względów pod uwagę Komisja stwierdziła, że konieczne jest przeprowadzenie przeglądu zasad bezpiecznego transferu danych osobowych. W tym kontekście Komisja sformułowała 13 zaleceń na rzecz wzmocnienia i zaktualizowania gwarancji w zakresie ochrony danych włączonych do tych ram. Zalecenia te dotyczyły przede wszystkim: (i) wzmocnienia konkretnych zasad dotyczących prywatności oraz zwiększenia przejrzystości strategii prywatności stosowanych przez samocertyfikowane przedsiębiorstwa amerykańskie i obejmujących te zasady; (ii) usprawnienia i poprawy nadzoru nad przestrzeganiem tych zasad przez przedsiębiorstwa oraz monitorowania i egzekwowania przestrzegania tych zasad przez organy amerykańskie; (iii) zapewnienia dostępu do przystępnych cenowo mechanizmów rozstrzygania sporów wszczynanych w rezultacie wniesienia skarg przez osoby fizyczne; oraz (iv) potrzeby zapewnienia ograniczenia korzystania z wyjątku dotyczącego bezpieczeństwa narodowego i egzekwowania prawa przewidzianego w decyzji w sprawie zasad bezpiecznego transferu danych osobowych z 2000 r. do działań, których podjęcie jest ściśle konieczne i proporcjonalne.

Na podstawie tych 13 zaleceń w styczniu 2014 r. Komisja przystąpiła do rozmów z władzami Stanów Zjednoczonych. Późniejsze unieważnienie decyzji w sprawie zasad bezpiecznego transferu danych osobowych przez Trybunał Sprawiedliwości w dniu 6 października 2015 r. potwierdziło konieczność ustanowienia nowych, solidniejszych ram regulujących kwestie związane z transatlantyckimi przepływami danych do celów handlowych. Choć w orzeczeniu Trybunału powołano się na zalecenia Komisji z 2013 r., podkreślono w nim również konieczność wprowadzenia ograniczeń, gwarancji oraz mechanizmów kontroli sądowej w celu zapewnienia stałej ochrony danych osobowych osób fizycznych z UE, w tym również w przypadku uzyskiwania dostępu do takich danych i ich stosowania przez organy publiczne do celów związanych z bezpieczeństwem narodowym, interesem publicznym lub egzekwowaniem prawa.