Schrems II, Data Privacy Framework ir neapibrėžtumas

1 modulis: Kodėl verta rinktis Europos debesiją? · Skaitymo trukmė: 12 min.

Mokymosi tikslas: Baigę šią pamoką galėsite papasakoti duomenų perdavimo iš ES į JAV susitarimų istoriją, paaiškinti, ką nusprendė Schrems II, kas yra EU-US Data Privacy Framework, ir kodėl dabartinė sistema tebėra neapibrėžta.

Pagrindinės sąvokos: duomenų perdavimas, sprendimas dėl tinkamumo, Safe Harbor, Schrems I, Privacy Shield, Schrems II, standartinės sutarčių sąlygos (SCC), poveikio perdavimui vertinimas (TIA), papildomos priemonės, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, savęs sertifikavimas, Latombe, PCLOB

Duomenų perdavimas: taisyklė ir išimtis

1.2 pamokoje matėte, kad duomenys gali palikti Europos ekonominę erdvę (EEE) tik tuo atveju, jei paskirties šalis užtikrina tinkamą apsaugos lygį, arba jei yra papildomų garantijų (BDAR V skyrius). Toks išvykimas vadinamas duomenų perdavimu. Duomenų perdavimas yra ne tik failo siuntimas į Ameriką: tai taip pat gali būti, kai Amerikos palaikymo specialistas nuotoliniu būdu peržiūri Jūsų Europos aplinką, arba kai Jūsų duomenys yra saugomi pas Amerikos paslaugų teikėją.

Paprasčiausias kelias yra sprendimas dėl tinkamumo (45 straipsnis): Europos Komisija nusprendžia, kad tam tikra šalis užtikrina apsaugos lygį, kuris yra "iš esmės lygiavertis" ES lygiui. Tokie sprendimai yra priimti, be kita ko, Šveicarijai, Jungtinei Karalystei, Japonijai ir Kanadai (komercinėms organizacijoms). JAV atveju istorija sudėtingesnė: čia Komisijos sprendimus du kartus panaikino Teisingumo Teismas.

Tai yra paaiškinimas, o ne teisinė konsultacija. Šioje pamokoje pateikta informacija aktuali 2026 m. lapkričio mėn.

1 tiltas: Safe Harbor ir Schrems I

2000 m. ES ir JAV sudarė Safe Harbor susitarimą. Amerikos įmonės galėjo registruotis ir įsipareigoti tinkamai saugoti Europos duomenis. Komisija dėl to priėmė sprendimą dėl tinkamumo.

2013 m. Edwardas Snowdenas atskleidė, kaip Amerikos žvalgybos tarnybos masiniu mastu rinko duomenis iš interneto bendrovių. Austrijos teisininkas Maxas Schremsas pateikė skundą prieš Facebook Airijoje: jo duomenys keliavo į JAV ir ten nebuvo apsaugoti. Byla pasiekė Europos Sąjungos Teisingumo Teismą. 2015 m. spalio 6 d. Teismas paskelbė Safe Harbor sprendimą negaliojančiu (byla C-362/14, vadinamasis Schrems I). Esmė: Komisija nebuvo patikrinusi, ar JAV valdžia laikosi tam tikrų ribų, o europiečiai neturėjo realios teisinės apsaugos.

2 tiltas: Privacy Shield ir Schrems II

Jau 2016 m. atsirado pakaitalas: EU-US Privacy Shield, su griežtesnėmis taisyklėmis ir ombudsmenu JAV Valstybės departamente. Schrems vėl pateikė ieškinį.

2020 m. liepos 16 d. Teismas priėmė sprendimą byloje C-311/18, "Schrems II". Teismas paskelbė Privacy Shield negaliojančiu. Priežastys:

• Amerikos sekimo programos, visų pirma pagal FISA 702 skirsnį ir Executive Order 12333 (1.3 pamoka), nebuvo apribotos tik tuo, kas yra "griežtai būtina".
• Europiečiai neturėjo veiksmingos galimybės kreiptis į nepriklausomą teismą; ombudsmenas nebuvo pakankamai nepriklausomas ir negalėjo priimti privalomų sprendimų.

Teismas taip pat pasakė kai ką svarbaus apie alternatyvą, standartines sutarčių sąlygas (SCC, angl. standard contractual clauses). Tai yra Komisijos parengtos pavyzdinės sutartys, kurias pasirašo siuntėjas ir gavėjas. Jos liko galioti, tačiau: duomenis perduodanti šalis kiekvienu atveju turi patikrinti, ar gaunančios šalies teisė nepakerta šių susitarimų. Jei taip, reikalingos papildomos priemonės, pavyzdžiui, šifravimas, kai gavėjas neturi rakto. Jei to padaryti nepavyksta, duomenų perdavimas turi būti nutrauktas.

Toks vertinimas vadinamas poveikio perdavimui vertinimu (transfer impact assessment, TIA). Europos duomenų apsaugos priežiūros institucijos (EDAV, angl. EDPB) 2021 m. parengė šiuo klausimu rekomendacijas. 2021 m. taip pat buvo priimtos naujos standartinės sutarčių sąlygos (Įgyvendinimo sprendimas (ES) 2021/914).

Mažai organizacijai tai buvo sudėtinga: kaip, pavyzdžiui, kepykla gali įvertinti Amerikos žvalgybos teisę? Praktiškai daugelis rėmėsi didelių paslaugų teikėjų sutartimis ir dokumentacija.

3 tiltas: EU-US Data Privacy Framework

JAV ir ES vėl derėjosi. Prezidentas Bidenas 2022 m. spalio 7 d. pasirašė Executive Order 14086. Jame, be kita ko, nustatyta, kad žvalgybos veikla turi būti "būtina ir proporcinga", ir įsteigiama skundų nagrinėjimo tvarka, kurios paskutinis etapas yra Data Protection Review Court (DPRC) JAV Teisingumo departamente.

2023 m. liepos 10 d. Komisija priėmė sprendimą dėl tinkamumo, susijusį su EU-US Data Privacy Framework (DPF). Kaip tai veikia:

• Jis taikomas tik toms Amerikos organizacijoms, kurios prie jo prisijungė (savęs sertifikavimas JAV Prekybos departamente). Sąrašas skelbiamas svetainėje dataprivacyframework.gov. Jei įmonės sąraše nėra, DPF tai įmonei netaikomas.
• Atitiktį JAV prižiūri, be kita ko, Federal Trade Commission (FTC).
• Komisija atlieka periodinį vertinimą.

Naudotojams DPF reiškia: duomenų perdavimas prisijungusiai Amerikos įmonei vėl leidžiamas be TIA. Todėl daugelis paslaugų teikėjų sako: "Mes atitinkame BDAR reikalavimus."

Kodėl sistema tebėra neapibrėžta

DPF galioja, bet stovi ant netvirtų pagrindų:

• Executive Order nėra įstatymas. Kitas prezidentas gali jį pakeisti arba atšaukti be Kongreso.
• Bendrasis Teismas ir apeliacija. Prancūzijos parlamentaras Philippe'as Latombe'as paprašė ES Bendrojo Teismo panaikinti DPF sprendimą. 2025 m. rugsėjo 3 d. Bendrasis Teismas tai atmetė (byla T-553/23): Teismo nuomone, DPRC buvo pakankamai nepriklausoma. Latombe padavė apeliaciją Teisingumo Teismui (byla C-703/25 P). 2026 m. lapkritį sprendimo dar nėra. Bylose Schrems I ir II Teismas buvo griežtesnis nei dabar Bendrasis Teismas.
• Priežiūra JAV patiria spaudimą. 2025 m. sausį buvo atleisti Demokratų pasiūlyti Privacy and Civil Liberties Oversight Board (PCLOB) nariai; nuo tada ši priežiūros institucija neturi kvorumo ir gali vykdyti savo veiklą, įskaitant skundų nagrinėjimo tvarkos priežiūrą, tik ribotai. 2026 m. birželio 29 d. JAV Aukščiausiasis Teismas byloje Trump v. Slaughter nusprendė, kad prezidentas gali atleisti FTC narius be priežasties. Teisininkai pažymi, kad tai dar labiau paaštrina klausimą dėl nepriklausomos priežiūros, kuria remiasi DPF.
• Nauji procesai. Privatumo organizacija noyb paskelbė svarstanti galimybę pradėti savo bylą. Toks procesas trunka metus.

Jei DPF žlugtų, nutiktų tas pats, kas 2015 ir 2020 metais: organizacijos turėtų iš karto pereiti prie standartinių sutarčių sąlygų su TIA arba nutraukti duomenų perdavimą. Pereinamasis laikotarpis tokiu atveju nenumatytas.

Ką tai reiškia Jums?

Bakkerij De Korrel atveju klausimas yra ne "ar tai leidžiama dabar?", nes su DPF šiuo metu tai leidžiama. Klausimas yra: "ar noriu priklausyti nuo sistemos, kuri jau du kartus žlugo ir trečią kartą svarstoma Teisingumo Teisme?" Paslauga, kuri yra įsisteigusi EEE ir laiko duomenis EEE ribose, nepriklauso nuo DPF. Tai nėra teisinis reikalavimas, tačiau yra ramesnis pagrindas.

Praktikoje: kaip tai atrodo pas paslaugų teikėją

Peržiūrėkite savo dabartinio paslaugų teikėjo privatumo politiką ar duomenų tvarkymo sutartį ir patikrinkite, kuriuo pagrindu jis perduoda duomenis į JAV: DPF, standartinėmis sutarčių sąlygomis, ar abiem būdais. Didieji paslaugų teikėjai dažnai nurodo abu pagrindus, būtent tam, kad apsidraustų nuo DPF žlugimo. Europos paslaugų teikėjui, kuris neperduoda duomenų už EEE ribų, šio klausimo spręsti nereikia; tai patvirtina jo subtvarkytojų sąrašas (9.2 pamoka). WebOké duomenų tvarkymo sutartyje nurodyta, kad duomenų perdavimas už ES ribų galimas tik gavus išankstinį rašytinį sutikimą; pas kitus paslaugų teikėjus panašią nuostatą dažniausiai rasite skyriuje apie "duomenų perdavimą" arba "tarptautinį perdavimą".

Santrauka

• Duomenų perdavimas už EEE ribų leidžiamas tik turint sprendimą dėl tinkamumo arba taikant tokias garantijas kaip standartinės sutarčių sąlygos.
• Teismas paskelbė negaliojančiais Safe Harbor (2015, Schrems I) ir Privacy Shield (2020, Schrems II), visų pirma dėl Amerikos sekimo veiklos ir teisinės apsaugos trūkumo.
• Nuo 2023 m. liepos 10 d. galioja EU-US Data Privacy Framework, taikomas tik prie jo prisijungusioms Amerikos įmonėms.
• DPF remiasi prezidento sprendimu ir yra diskutuotinas: Latombe apeliacija (C-703/25 P) dar nagrinėjama, JAV priežiūra patiria spaudimą.
• Paslauga, kuri laiko duomenis EEE ribose, nepriklauso nuo DPF.

Testas

Užduotis

Užduotis E1.4: Kokiu pagrindu Jūsų duomenys keliauja į JAV? Dabartinio debesijos paslaugų teikėjo privatumo politikoje ar duomenų tvarkymo sutartyje suraskite, ar duomenys tvarkomi už EEE ribų, ir kokiu pagrindu (DPF, SCC, sprendimas dėl tinkamumo kitai šaliai). Patikrinkite svetainėje dataprivacyframework.gov, ar įmonė yra sąraše. Aprašykite, kas Jums nutiktų, jei DPF būtų panaikintas.

Skaitykite daugiau

Šiuose straipsniuose aprašyti veiksmai galioja WebOké paslaugoms; pas kitus paslaugų teikėjus procesas yra panašus.

• Nextcloud vadovas 15.13: Dažniausiai užduodami klausimai apie saugumą ir privatumą
• Teisingumo Teismas, sprendimai byloje C-362/14 (Schrems I, 2015 m. spalio 6 d.) ir C-311/18 (Schrems II, 2020 m. liepos 16 d.), curia.europa.eu
• Įgyvendinimo sprendimas (ES) 2023/1795 (sprendimas dėl tinkamumo, EU-US Data Privacy Framework, 2023 m. liepos 10 d.), EUR-Lex
• Įgyvendinimo sprendimas (ES) 2021/914 (standartinės sutarčių sąlygos), EUR-Lex
• ES Bendrasis Teismas, byla T-553/23 (Latombe, 2025 m. rugsėjo 3 d.); apeliacija C-703/25 P
• Data Privacy Framework sąrašas: https://www.dataprivacyframework.gov