SPOROČILO KOMISIJE EVROPSKEMU PARLAMENTU IN SVETU

o prenosu osebnih podatkov iz EU v Združene države Amerike v skladu z Direktivo 95/46/ES po sodbi Sodišča v zadevi C-362/14 (Schrems)

1. Uvod: Razveljavitev odločbe o varnem pristanu

Sodišče Evropske unije (v nadaljnjem besedilu: „Sodišče“) je s sodbo z dne 6. oktobra 2015 v zadevi C-362/14 (Schrems) ponovno poudarilo pomen temeljne pravice do varstva osebnih podatkov, kot je določena v Listini Evropske unije o temeljnih pravicah, tudi kadar se taki podatki prenašajo zunaj EU.

Prenosi osebnih podatkov so bistven element čezatlantskih odnosov. EU in Združene države so si medsebojno najpomembnejši trgovinski partnerji in prenosi podatkov čedalje bolj tvorijo sestavni del njihove trgovinske menjave.

Komisija je s sprejetjem Odločbe Komisije 2000/520/ES z dne 20. julija 2000 priznala ustreznost okvira „varni pristan“ (v nadaljnjem besedilu: odločba o varnem pristanu), da bi bil mogoč lažji prenos teh podatkov ob zagotavljanju visoke ravni varstva osebnih podatkov. V tej odločbi, ki temelji na členu 25(6) Direktive 95/46/ES, je Komisija priznala, da načela zasebnosti varnega pristana in z njimi povezana najpogosteje zastavljena vprašanja, ki jih je izdalo Ministrstvo za trgovino ZDA, zagotavljajo ustrezno varstvo za prenos osebnih podatkov iz EU. Posledično bi se osebni podatki lahko prosto prenašali iz držav članic EU družbam v Združenih državah, ki so sprejela navedena načela, kljub temu, da Združene države nimajo splošnega predpisa o varstvu podatkov. Delovanje ureditve varnega pristana je temeljilo na zavezah in samocertificiranju družb, ki so se zavezale k načelom varnega pristana. Sprejetje načel zasebnosti varnega pristana in najpogosteje zastavljenih vprašanj sicer ni obvezno, vendar pa so ta pravila v skladu z zakonodajo ZDA zavezujoča za osebe, ki jih sprejmejo, izvršuje pa jih zvezna komisija ZDA za trgovino.

Sodišče je s sodbo z dne 6. oktobra 2015 razglasilo, da je odločba o varnem pristanu neveljavna. Glede na navedeno je namen tega sporočila zagotoviti pregled alternativnih mehanizmov za čezatlantske prenose podatkov v skladu z Direktivo 95/46/ES v odsotnosti sklepa o ustreznosti. Poleg tega zajema kratek opis posledic sodbe za druge tovrstne sklepe Komisije. Sodišče je v sodbi pojasnilo, da je sklep o ustreznosti v skladu s členom 25(6) Direktive 95/46/ES odvisen od ugotovitve Komisije, da v zadevni tretji državi obstaja raven varstva osebnih podatkov, ki ni nujno enaka, je pa „v bistvu enakovredna‘ ravni varstva, ki je zagotovljena v EU na podlagi Direktive, kot se razlaga v luči Listine o temeljnih pravicah. Kar izrecno zadeva odločbo o varnem pristanu, je Sodišče razsodilo, da ta ni vsebovala zadostnih ugotovitev Komisije o omejitvah v zvezi z dostopom javnih organov ZDA do podatkov, prenesenih v skladu s to odločbo, in o obstoju učinkovitega pravnega varstva pred takim vmešavanjem. Sodišče je zlasti pojasnilo, da je treba šteti, da zakonodaja, ki na splošni podlagi dovoljuje dostop javnih organov do vsebine elektronskih komunikacij, ogroža bistvo temeljne pravice do spoštovanja zasebnega življenja. Poleg tega je Sodišče potrdilo, da so organi držav članic za varstvo podatkov tudi v primeru obstoja sklepa o ustreznosti v skladu s členom 25(6) Direktive 95/46/ES pooblaščene in dolžne popolnoma neodvisno preveriti, ali je prenos podatkov v tretjo državo v skladu z zahtevami, določenimi v Direktivi 95/46/ES, kot se razlaga ob upoštevanju členov 7, 8 in 47 Listine o temeljnih pravicah. Hkrati pa je Sodišče tudi potrdilo, da lahko le Sodišče razglasi neveljavnost akta EU, kot je sklep Komisije o ustreznosti.

Sodba Sodišča temelji na Sporočilu Komisije iz leta 2013 o delovanju varnega pristana z vidika državljanov EU in družb, ustanovljenih v EU, v katerem je Komisija ugotovila številne pomanjkljivosti in navedla 13 priporočil. Na podlagi teh priporočil je Komisija po januarju 2014 opravila pogovore z organi ZDA, da bi vzpostavili prenovljen in okrepljen režim za čezatlantsko izmenjavo podatkov.

Po izdaji sodbe Komisija ostaja zavezana cilju prenovljenega in učinkovitega okvira za čezatlantske prenose osebnih podatkov. V zvezi s tem je takoj nadaljevala in okrepila pogovore z vlado ZDA, da bi zagotovili popolno skladnost morebitne nove ureditve za čezatlantske prenose osebnih podatkov s standardom, ki ga je določilo sodišče. Tak okvir mora zato vključevati zadostne omejitve, zaščitne ukrepe in mehanizme sodnega nadzora za zagotovitev nadaljnjega varstva osebnih podatkov državljanov EU, tudi kar zadeva morebiten dostop javnih organov za namene nacionalne varnosti in kazenskega pregona. Medtem je industrija izrazila zaskrbljenost glede možnosti za nadaljnje prenose podatkov. Zato je treba pojasniti pogoje, pod katerimi bi se taki prenosi lahko nadaljevali. Navedeno je spodbudilo Delovno skupino iz člena 29 – neodvisen svetovalni organ, ki združuje predstavnike vseh organov za varstvo podatkov držav članic in Evropskega nadzornika za varstvo podatkov – da je 16. oktobra podala izjavo o prvih zaključkih na podlagi sodbe. Izjava med drugim vsebuje naslednje smernice o prenosih podatkov:

prenosi podatkov ne morejo več temeljiti na razveljavljeni odločbi Komisije o varnem pristanu;

v vmesnem času se kot podlaga za prenose podatkov lahko uporabljajo standardne pogodbene klavzule in zavezujoča poslovna pravila, čeprav je Delovna skupina iz člena 29 tudi izjavila, da bo še naprej analizirala vpliv te sodbe na te alternativne mehanizme.

Z izjavo so bile države članice in institucije EU poleg tega pozvane, naj začnejo razprave z organi ZDA z namenom najti pravne in tehnične rešitve za prenose podatkov; po mnenju Delovne skupine iz člena 29 bi lahko bila del take rešitve pogajanja o novem varnem pristanu.