Source: http://www.abi-expert.pl/wydania/pazdziernikgrudzien-2018/art,2215,przetwarzanie-danych-osobowych-w-relacji-z-podmiotami-z-usa.html
Timestamp: 2019-08-23 11:27:59+00:00

Document:
Przetwarzanie danych osobowych w relacji z podmiotami z USA
07-11-2018 Autor: Marta de Bazelaire de Ruppierre
Mimo powszechności transatlantyckich transferów danych osobowych prawo Unii Europejskiej nie jest przychylnie nastawione do przesyłania danych osobowych do państw znajdujących się poza terytorium Europejskiego Obszaru Gospodarczego. Czy rodo to zmieni?
Unia Europejska, uznając prawo do ochrony danych osobowych za prawo podstawowe, uczyniła swoim priorytetem jego efektywną ochronę. Wejście w życie rodo wprowadziło nowe mechanizmy ochrony poza granicami Europejskiego Obszaru Gospodarczego (dalej: EOG). Na tym tle pojawiły się wątpliwości co do aktualności Tarczy Prywatności UE-USA oraz jej relacji z nowymi przepisami.
Koncepcja ochrony danych osobowych w UE i USA
Konieczność zapewnienia adekwatnego poziomu ochrony danym osobowym przesyłanym do obszaru EOG nie stanowi novum. Już dyrektywa 95/46/WE wymagała, aby taki ekwiwalentny poziom ochrony był zapewniony w państwie, do którego dane są przekazywane, co miało przeciwdziałać powstawaniu „rajów danych osobowych”, czyli miejsc, w których ochrona danych osobowych będzie niewielka lub nie będzie jej wcale1.
Różnice społeczno-kulturowe spowodowały, że normy regulujące ochronę danych osobowych mają odmienny charakter w UE i Stanach Zjednoczonych. O ile w UE prawo do ochrony danych osobowych uznane jest za jedno z podstawowych praw człowieka wyrażone wprost w art. 8 ust. 1 Karty Praw Podstawowych UE oraz art. 16 ust. 1 Traktatu o funkcjonowaniu UE, a ciężar jego ochrony spoczywa na organach państwowych, o tyle w USA dane osobowe są uznawane za przedmiot prawa własności, którym właściciel może swobodnie rozporządzać, ponosząc jednocześnie odpowiedzialność za jego ochronę. W Stanach Zjednoczonych głównym przedmiotem rozważań jest to, kto jest uprawniony do władania danymi zebranymi podczas transakcji rynkowych oraz kto ma prawo czerpania korzyści z udostępniania danych osobowych. Doprowadziło to do sytuacji, w której zamiast organów państwowych rynek w ramach systemu samoregulacji kształtuje metody ochrony. W rezultacie istniejące normy są reakcją na pojawiające się praktyczne problemy i mają wąskie zastosowanie, odnosząc się do konkretnych gałęzi rynku.
Ochrona danych oparta jest na odpowiedzialności za czyn niedozwolony i nakierowana na określone działania sektorowe, co spowodowało brak jednolitej regulacji mającej zastosowanie dla całego rynku2.
Decyzja o adekwatnym stopniu ochrony danych osobowych
Zgodnie z art. 25 ust. 2 dyrektywy 95/46/ WE oraz art. 45 rodo odpowiedni stopień ochrony danych zapewniany przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących operacji przekazania danych. Weryfikacja dokonywana jest przez Komisję, następuje na szczeblu unijnym i może dotyczyć państwa trzeciego, terytorium, organizacji międzynarodowej czy określonych sektorów w tym państwie trzecim. Decyzja jest wiążąca dla wszystkich państw członkowskich, dzięki czemu państwo trzecie zniesienia barier w zakresie transferów danych osobowych na terenie całego EOG. To z kolei stanowi istotny czynnik wpływający na siłę negocjacyjną Komisji. W efekcie opisana procedura przekroczyła swe pierwotne przeznaczenie i stała się jednym z istotnych instrumentów ujednolicania poziomu ochrony danych osobowych w wymiarze globalnym3.
Na podstawie art. 25 ust. 1 dyrektywy 95/46/WE zostały wydane dwie decyzje dotyczące przekazywania danych do Stanów Zjednoczonych: pierwsza decyzja dotycząca Bezpiecznej Przystani oraz druga ją zastępująca w sprawie Tarczy Prywatności UE–USA. Zgodnie z art. 45 ust. 9 rodo decyzje zawarte na podstawie dyrektywy 95/46/ WE pozostają w mocy do czasu ich zmiany. Decyzje te podlegają jednak stałej kontroli, a Komisja zgodnie z art. 45 ust. 3 rodo jest zobligowana do dokonywania przynajmniej raz na cztery lata ich okresowego przeglądu. Komisja w każdej chwili może uchylić, zmienić lub zawiesić decyzje, jeśli uzna, że państwo trzecie lub organizacja międzynarodowa przestały zapewniać adekwatny poziom ochrony. Do tej pory tylko Trybunał Sprawiedliwości UE (dalej: TSUE) w wyroku Schrems4 stwierdził nieważność decyzji wydanej na podstawie art. 25 dyrektywy 95/46/WE dotyczącej właśnie Bezpiecznej Przystani.
Autorka jest doktorantką w Katedrze Eu ropejskiego Prawa Konstytucyjnego WPiA, prawnikiem w Wydziale Międzynarodowym Stowarzyszenia Autorów ZAiKS.

References: art. 8
 art. 16
 art. 25
 art. 45
 art. 25
 art. 45
 art. 45
 art. 25