Nowe zasady przekazywania danych osobowych do firm w USA

Zgodnie z nowymi zasadami przekazywania danych osobowych do firm w USA tamtejsze służby bezpieczeństwa nie będą mogły bez ograniczeń pozyskiwać danych obywateli UE – pisze adwokatka Anna Kobylańska.

Publikacja: 17.03.2016 07:57

Nowe zasady przekazywania danych osobowych do firm w USA

Foto: www.sxc.hu

Odkąd Trybunał Sprawiedliwości UE wydał 6 października 2015 r. orzeczenie w sprawie Schrems (C-362/14) unieważniające decyzję Komisji 2000/520/WE z 26 lipca 2000 r. (...) w sprawie adekwatności ochrony przewidzianej przez zasady ochrony prywatności w ramach bezpiecznej przystani (...), przedsiębiorcy utracili możliwość przekazywania danych osobowych do USA w oparciu o program Safe Harbour (z ang. Bezpieczna przystań). Dla wielu stanowi to znaczące ograniczenie w ich działalności, które pojawiło się bez żadnego okresu przejściowego pozwalającego na przygotowanie innych podstaw prawnych do kontynuowania takiego przekazywania danych. Dlatego spore zainteresowanie wzbudziły prace Komisji Europejskiej nad nowym programem, który miałby zastąpić „Bezpieczną przystań".

29 lutego Komisja Europejska przedstawiła teksty dokumentów, które będą stanowiły podstawę prawną nowego programu, zwanego Privacy Shield (z ang. Tarcza prywatności). Podstawowe zasady działania tego programu będą analogiczne do zasad znanych wcześniej z programu Safe Harbour. Wyznaczone więc zostaną standardy ochrony danych osobowych, a przedsiębiorstwa z USA będą mogły przystąpić do programu Privacy Shield po spełnieniu określonych wymagań. Te, które będą wpisane na listę uczestników programu, będą zaś korzystać z ułatwienia, jakim jest możliwość przekazywania do nich danych osobowych z terytorium UE (bez konieczności spełniania dalszych wymagań związanych z samym transferem danych).

W porównaniu jednak z programem Safe Harbour, Privacy Shield ma w założeniu zapewniać skuteczniejsze mechanizmy nadzoru nad przedsiębiorstwami w USA przetwarzającymi przekazane dane osobowe, większą przejrzystość zasad udostępniania takich danych organom administracji rządowej USA oraz środki prawne do dochodzenia roszczeń przez obywateli UE.

Przedsiębiorstwa, które będą chciały przystąpić do programu Privacy Shield, będą musiały zobowiązać się do przestrzegania zasad ochrony danych osobowych (Privacy Principles). Zasady te obejmują:

1.

Zasadę informacji. Przedsiębiorstwa zobowiązane będą informować osoby, których dotyczy przekazanie danych, o kategoriach danych, celach ich przetwarzania, prawie dostępu do nich, ewentualnym dalszym przekazywaniu danych i odpowiedzialności podmiotu je przetwarzającego.

2.

Zasadę wyboru. Osoby, których dane dotyczą, będą mogły sprzeciwić się dalszemu przekazywaniu ich danych, ich przetwarzaniu dla znacząco odmiennego celu (niż pierwotnie zakładany), jak również przetwarzaniu ich dla celów marketingowych. Dodatkowo, w przypadku przetwarzania danych wrażliwych (np. o stanie zdrowia), przedsiębiorstwa będą musiały uzyskać wyraźną zgodę podmiotu, którego dane dotyczą.

3.

Zasadę bezpieczeństwa. Przedsiębiorstwa będą zobowiązane do przyjęcia środków chroniących dane osobowe przed nieuprawnionym dostępem, a w przypadku powierzenia przetwarzania danych innym podmiotom – zawarcia z nimi umowy stwarzającej gwarancję zapewnienia przez takie podmioty poziomu ochrony danych nie niższego niż wyznaczony przez Privacy Principles.

4.

Zasadę integralności danych i ograniczonego celu. Dane powinny być ograniczone do minimum niezbędnego ze względu na cel ich przetwarzania, a także powinny być aktualne i kompletne.

5.

Zasadę dostępu do danych. Osoby, których dane dotyczą, będą uprawnione do uzyskania dostępu do swoich danych bez konieczności uzasadniania potrzeby takiego dostępu. Nieznana dotychczas w polskim prawie ochrony danych osobowych jest możliwość pobrania przez przedsiębiorcę przetwarzającego dane „niewygórowanej" opłaty za udzielenie dostępu do danych.

6.

Zasadę rozliczalności dalszego przekazywania danych. Dalsze przekazanie danych będzie mogło odbywać się wyłącznie:

- dla ograniczonych i określonych celów

- na podstawie umowy

- o ile umowa taka stwarza gwarancję zapewnienia poziomu ochrony danych nie niższego niż wyznaczony przez Privacy Principles.

7.

Zasadę egzekwowalności praw. Przedsiębiorstwa zobowiązane będą do zapewnienia możliwości stosowania środków prawnych mających na celu wyegzekwowanie stosowania zasad ochrony danych osobowych.

Przedsiębiorstwa z USA, które przystąpią do programu Privacy Shield, ale nie będą przestrzegały wskazanych zasad, zostaną z niego usunięte. Będzie to skutkowało brakiem możliwości przekazywania do nich danych osobowych przez administratorów danych z UE z powołaniem się na program Privacy Shield. W takim przypadku podmioty te zobowiązane będą do usunięcia lub dokonania zwrotu danych osobowych, które otrzymały na podstawie programu.

Jednym z zarzutów wysuniętych wobec programu Safe Harbour był brak rzeczywistej możliwości egzekwowania praw przez obywateli UE wobec przedsiębiorców w USA, do których przekazywane były dane osobowe. Projektowany program Privacy Shield ma w założeniu zapewnić dostępność takich środków prawnych dla obywateli UE, które pozwolą im dochodzić roszczeń od podmiotów w USA przetwarzających ich dane osobowe. Osoby, których przekazywane dane osobowe dotyczą, będą mogły skorzystać z jednego z nowych narzędzi ochrony swoich praw. Będą miały możliwość:

- złożenia skargi do przedsiębiorstwa, któremu przekazane zostały dane osobowe; przedsiębiorstwo zobowiązane będzie udzielić odpowiedzi w terminie 45 dni;

- zwrócenia się do Departamentu Handlu USA w celu podjęcia interwencji u podmiotu, któremu przekazane zostały dane osobowe;

- zwrócenia się do jednego z organów ochrony danych osobowych państw UE (np. do generalnego inspektora ochrony danych osobowych), o ile przedsiębiorca w USA zobowiązał się do współpracy z takim organem; przedsiębiorca z USA zobowiązany będzie do takiej współpracy w przypadku przekazywania danych osobowych pracowników związanych z wykonywaną przez nich pracą;

- zwrócenia się do podmiotu rozpatrującego roszczenia w trybie pozasądowym (w USA lub w państwach UE).

Oprócz wskazanych wyżej zasad istotnym elementem programu Privacy Shield ma być zobowiązanie rządu USA do tego, aby dostęp organów publicznych do danych osobowych związany z kwestiami bezpieczeństwa narodowego podlegał wyraźnym ograniczeniom, zabezpieczeniom i mechanizmom nadzoru. Krajowe służby bezpieczeństwa USA nie będą już mogły bez ograniczeń i uzasadnienia pozyskiwać danych obywateli UE, które zostały przekazane do przedsiębiorstw w USA w ramach programu Privacy Shield.

Obywatele UE będą mieli możliwość dochodzenia roszczeń wobec działań organów administracji USA związanych z pozyskiwaniem danych osobowych za pośrednictwem rzecznika praw obywatelskich (Privacy Shield Ombudsperson). Zostanie on ustanowiony w USA i będzie niezależny od amerykańskich służb bezpieczeństwa.

W programie Privacy Shield przewidziane zostały także wyjątki od konieczności stosowania wskazanych zasad ochrony danych osobowych. Wyjątki takie będą dotyczyć braku konieczności uzyskiwania zgody na przetwarzanie danych osobowych wrażliwych (np. w przypadku konieczności świadczenia usługi medycznej lub wykonania obowiązków pracodawcy wobec pracownika), wyłączenia stosowania tych zasad w działalności dziennikarskiej, audytorów oraz dostawców niektórych usług w internecie. Szczególne zasady będą się też odnosić do przekazywania danych pasażerów (np. podróżujących między UE i USA) oraz przetwarzania danych w związku z działalnością firm farmaceutycznych i producentów wyrobów medycznych.

Program Privacy Shield zostanie uruchomiony po jego przyjęciu przez obie strony: UE i USA. Ostatecznym elementem uruchamiającym ten program będzie decyzja Komisji Europejskiej w sprawie odpowiedniej ochrony danych osobowych zapewnianej przez USA dla danych przekazywanych z UE do podmiotów w USA, które przystąpią do programu Privacy Shield. Lista takich podmiotów będzie dostępna publicznie (także w internecie).

Skutkiem przystąpienia do programu Privacy Shield przez podmioty z siedzibą w USA będzie ułatwienie dla administratorów danych w UE w zakresie przekazywania danych osobowych do takich „certyfikowanych" podmiotów. Dopiero z upływem czasu będzie można ocenić, czy planowany program zapewni rzeczywistą ochronę danych przekazywanych do USA oraz czy nie będzie powielać słabości programu Safe Harbour.

Środki prawne zapisane w dokumentach przedstawionych przez Komisję Europejską pozwalają wyrazić nadzieję, że podmioty w USA będą działać w sposób bardziej transparentny oraz stosować zasady przetwarzania danych, które obywatele UE znają i coraz lepiej egzekwują na podstawie swojego prawa krajowego.

Autorka jest adwokatem w kancelarii PwC Legal

Odkąd Trybunał Sprawiedliwości UE wydał 6 października 2015 r. orzeczenie w sprawie Schrems (C-362/14) unieważniające decyzję Komisji 2000/520/WE z 26 lipca 2000 r. (...) w sprawie adekwatności ochrony przewidzianej przez zasady ochrony prywatności w ramach bezpiecznej przystani (...), przedsiębiorcy utracili możliwość przekazywania danych osobowych do USA w oparciu o program Safe Harbour (z ang. Bezpieczna przystań). Dla wielu stanowi to znaczące ograniczenie w ich działalności, które pojawiło się bez żadnego okresu przejściowego pozwalającego na przygotowanie innych podstaw prawnych do kontynuowania takiego przekazywania danych. Dlatego spore zainteresowanie wzbudziły prace Komisji Europejskiej nad nowym programem, który miałby zastąpić „Bezpieczną przystań".

Pozostało 92% artykułu
2 / 3
artykułów
Czytaj dalej. Subskrybuj
Opinie Prawne
Tomasz Pietryga: Co dalej z podsłuchami i Pegasusem po raporcie Adama Bodnara
Opinie Prawne
Ewa Łętowska: Złudzenie konstytucjonalisty
Opinie Prawne
Robert Gwiazdowski: Podsłuchy praworządne. Jak podsłuchuje PO, to już jest OK
Opinie Prawne
Antoni Bojańczyk: Dobra i zła polityczność sędziego
Opinie Prawne
Tomasz Pietryga: Likwidacja CBA nie może być kolejnym nieprzemyślanym eksperymentem