În data de 16 iulie 2020, printr-o hotărâre reper în cauza C-311/18 Data Protection Commissioner v Facebook Ireland și Maximillian Schrems (”
Schrems II”), CJUE a invalidat scutul de confidențialitate și, în ciuda faptului că a concluzionat că sunt valabile clauzele contractuale standard ale Comisiei Europe pentru transferurile de date („
SCC”), a pus sub semnul întrebării nivelul adecvat de protecție pe care acestea îl conferă.
Cronologia evenimentelor
În iunie 2013, Maximillian Schrems a formulat o plângere către comisarul pentru protecția datelor, Irlanda, susținând că principiile Sferei de siguranță UE-SUA nu ofereau un nivel adecvat de protecție transferurilor de date cu caracter personal. Un an mai târziu, Schrems ajunge la CJUE. În octombrie 2015, se invalidează Sfera de siguranță, pentru ca un an mai târziu să apară Scutul de confidențialitate UE-SUA. În mai 2018, Înalta Curte din Irlanda a sesizat CJUE cu mai multe întrebări cu privire la SCC și Scutul de confidențialitate, în timp ce Regulamentul General privind Protecția Datelor („
GDPR”) tocmai ce intra în vigoare. 2019 a adus un termen pentru Schrems II și s-a încheiat cu emiterea concluziilor Avocatului general CJUE cu privire la Schrems II.
SCC au supraviețuit
Analizând validitatea acestora, CJUE a subliniat că SCC sunt pur și simplu garanții contractuale care se pot aplica uniform în țările terțe dar, prin natura lor contractuală, nu se aplică autorităților publice din țările terțe, care nu sunt părți ale contractului.
Curtea a stabilit că, pentru a garanta persoanelor fizice nivelul de protecție oferit de GDPR,
poate fi necesar ca operatorii să suplimenteze SCC cu alte garanții. CJUE a subliniat că operatorii sau persoanele împuternicite de operatori ar trebui, înainte de a transfera date cu caracter personal într-o țară terță,
să analizeze, de la caz la caz, legislația țărilor terțe, prin comparație cu GDPR și să stabilească dacă trebuie să fie luate măsuri suplimentare pe lângă SCC.
CJUE a arătat că destinatarul transferului trebuie să informeze operatorul dacă nu este în măsură să se conformeze SCC. De asemenea, Curtea a subliniat că operatorii sau persoanele împuternicite de operatori UE au obligația să suspende sau să înceteze transferul de date cu caracter personal în țara terță dacă nu pot fi luate garanțiile necesare (de exemplu dacă autoritățile publice din țările terțe au acces la date fără un nivel adecvat de protecție). Dacă datele au fost deja transferate, acestea ar trebui returnate sau distruse în întregime, dacă destinatarul transferului a notificat operatorului că respectarea SCC este împiedicată de legislația țării terțe.
Curtea a precizat că persoana vizată are dreptul la despăgubiri pentru daune în caz de încălcare a SCC. În cazul unor categorii speciale de date, persoana vizată trebuie să fie informată în avans sau imediat după transferul într-o țară terță.
Scutul de confidențialitate UE-SUA a fost invalidat
Curtea a analizat validitatea scutului de confidențialitate prin comparație cu cerințele GDPR și l-a considerat nevalid. CJUE a subliniat că Decizia privind scutul de confidențialitate nu asigură un nivel de protecție în esență echivalent cu cel care rezultă din legislația UE considerând că, persoanele vizate ale căror date cu caracter personal sunt transferate în SUA nu au drepturi opozabile și efective.
CJUE a subliniat faptul că, în ceea ce privește punerea în aplicare a programelor de supraveghere din SUA, persoanelor fizice, care nu sunt cetățeni SUA, dar care ar putea fi vizate, nu le sunt acordate drepturi opozabile în fața instanțelor împotriva serviciilor americane de informații. De asemenea, Curtea a arătat că lipsesc anumite limitări ale puterilor conferite autorităților. Un alt neajuns observat de CJUE este posibilitatea programelor de supraveghere de a accesa date în tranzit prin SUA fără control jurisdicțional sau delimitare a domeniului de colectare a datelor cu caracter personal.
Curtea a subliniat că mecanismul Ombudsman este un angajament politic fără puterea de a adopta decizii obligatorii pentru serviciile de informații, care nu își poate demonstra independența și care nu oferă persoanelor vizate garanții legale similare celor impuse de legislația UE.
Ce ar trebui să faceți?
- Identificați toate fluxurile internaționale de date și garanțiile pe care le aplicați fiecăruia
- Asigurați-vă că oferiți un nivel de protecție echivalent în esență cu cel garantat de GDPR
- Pentru a evalua nivelul de protecție, analizați clauzele contractuale și aspectele relevante ale sistemelor juridice ale țărilor terțe care arată accesul autorităților publice la datele cu caracter personal
- Pentru transferuri de date către SUA, verificați dacă ați utilizat Scutul de confidențialitate iar dacă da, începeți să utilizați o altă garanție
- Dacă utilizați SCC-uri, verificați dacă este necesar să le suplimentați cu garanții suplimentare și analizați legislația țărilor terțe către care transferați date cu caracter personal
- Suspendați sau interziceți transferul de date dacă:
►nu există nicio decizie privind caracterul adecvat al nivelului de protecție a Comisiei care să afirme că țara terță respectivă furnizează un nivel adecvat de protecție
►autoritatea de supraveghere afirmă că SCC nu sunt sau nu pot fi respectate în țara terță respectivă
►nu există alte mijloace care să asigure protecția datelor conform legislației UE
