Soud EU zneplatnil dohodu, která umožňovala firmám předávat data do USA

Podle nejvyššího orgánu unijní justice dohoda známá jako "štít EU-USA" nezajišťuje dostatečnou ochranu dat evropských uživatelů. Naproti tomu dřívější rozhodnutí komise, na jehož základě společnosti poskytovaly data o uživatelích do mimounijních zemí, je podle dnešního verdiktu soudu platné.

O tom, zda na jeho základě budou moci firmy data převádět mimo EU, budou podle soudu rozhodovat unijní dohledové úřady. Ty budou "povinny dočasně nebo trvale zakázat předávání osobních údajů do třetí země", pokud v ní nebude zajištěna ochrana vyžadovaná unijním právem, uvedl soud.

#ECJ: the Decision on the adequacy of the protection provided by the EU-US Data Protection Shield is invalidated, but @EU_Commission Decision on standard contractual clauses for the transfer of personal data to processors established in third countries is valid #Facebook #Schrems pic.twitter.com/BgxGAvuq3T

Základem ochrany dat je v EU nařízení GDPR, které stanoví přísnější podmínky pro firmy než vyžadují regulace většiny mimounijních zemí včetně USA.

Unijní soud požádala o vyjádření irská justice, která dlouhodobě řeší Schremsovy stížnosti vůči Facebooku, jenž má v Irsku své evropské sídlo. Podle soudců v Lucemburku nedokáže zmíněná dohoda zaručit, že údaje evropských uživatelů budou v USA chráněny stejně jako na území EU. Spojené státy v dohodě dostatečně nezajišťují, že k citlivým datům nezískají přístup americké tajné služby, konstatoval unijní soud.

Právě obavy ze sledování dat zpravodajskými službami v USA, na něž v roce 2013 upozornil někdejší analytik americké Národní agentury pro bezpečnost (NSA) Edward Snowden, vedly Schremse k tomu, aby se obrátil na justici.

"Toto rozhodnutí vychází z příliš daleko sahajících amerických zákonů o zpravodajských službách, které chrání pouze občany USA, ale nikoli cizince," uvedla v reakci na verdikt Schremsova nevládní organizace NOYB. Schrems již dříve u soudu EU uspěl se snahou o zrušení předchozího systému umožňujícího transfery dat.

Brusel zavedl současný soubor pravidel pro ochranu údajů po dohodě s Washingtonem v roce 2016. Do systému se během prvních tří let zapojilo téměř 5000 amerických společností včetně technologických gigantů Google či Microsoft. Místopředsedkyně EK Věra Jourové loni konstatovala, že USA postupně zlepšují dohled nad dodržováním dohody, stále však existují problematické body.

Dohodu o osobních datech s USA upravíme, řekla Jourová

Evropská komise bude po zrušení dohody o ochraně osobních dat se Spojenými státy pracovat na úpravě úmluvy, která by vzala v potaz námitky Soudního dvora Evropské unie. V reakci na dnešní verdikt unijní justice zneplatňující dohodu označovanou jako "štít EU - USA" to prohlásila místopředsedkyně EK Věra Jourová.

"Nikdy jsme neskrývali, že bychom chtěli vidět, aby USA přijaly federální zákon, který by byl ekvivalentem evropské ochrany dat GDPR," prohlásila dnes Jourová. Komise již několikrát fungování dohody schválené v roce 2016 hodnotila a vždy na americké straně shledala nedostatky. Brusel je podle Jourové nyní v kontaktu s americkým ministerstvem spravedlnosti a hodlá společně analyzovat, jak dohodu upravit, aby požadavkům soudu vyhovovala.

When personal data travels abroad from Europe, it must remain safe.We will continue our work to ensure the continuity of safe data flows:➡️in line with today’s #ECJ judgment➡️in full respect of #EU law➡️and in line with #FundamentalRights of citizens#DataProtection pic.twitter.com/xF3zU3neFa

Rozhodnutí podle ní poskytuje EK "cenné vodítko" v tom, jak dále zlepšovat ochranu citlivých informací o občanech EU. Bezprostřední dopad na proud dat přes Atlantik však mít nebude, neboť firmy se při jejich převádění mohou řídit deset let starými obecně platnými pravidly pro všechny mimounijní země. Také ta však hodlá EK modernizovat a přizpůsobit současným standardům, dodala Jourová.

Soud přitom uvedl, že pokud by evropské dohledové úřady zjistily, že v některé třetí zemi nelze chránit osobní data podle unijních standardů, musí dočasně či trvale jejich předávání zakázat.