Dana 3. rujna sud Europske unije objavio je svoju dugo očekivanu presudu u predmetu Latombe protiv Komisije (predmet T-553/23), odbacujući osporavanje odluke Europske komisije o adekvatnosti prijenosa osobnih podataka u Sjedinjene Američke Države iz 2023. godine.
Time je sud potvrdio, barem zasad, da Okvir za zaštitu privatnosti podataka između EU-a i SAD-a (Data Privacy Framework, DPF) pruža razinu zaštite koja je „u biti ekvivalentna“ onoj zajamčenoj unutar EU-a.
Pozadina
Podrijetlo ovog slučaja seže do 10. srpnja 2023.godine, kada je Europska komisija donijela Provedbenu odluku (EU) 2023/1795. Ova je odluka označila značajnu prekretnicu jer je proglasila da Sjedinjene Američke Države pružaju odgovarajuće razine zaštite osobnih podataka prenesenih iz EU-a, u skladu s Poglavljem V. GDPR-a.
Odluka o adekvatnosti rezultat je opsežne pravne provjere, posebno s obzirom na prethodna poništavanja ranijih okvira poput Safe Harbour i Privacy Shielda od strane Suda pravde. Na odluku iz 2023.godine utjecale su značajne regulatorne promjene u Sjedinjenim Državama, a najznačajnija je Izvršna naredba 14086, kojom su uvedene nove mjere zaštite privatnosti za obavještajne aktivnosti i uspostavljen je Sud za preispitivanje zaštite podataka (Data Protection Review Court, DPRC) kao neovisni mehanizam pravne zaštite za građane EU.
Unatoč tim reformama, odluku o adekvatnosti odmah je osporio zastupnik francuskog parlamenta, Philippe Latombe. Tvrdio je da DPRC-u nedostaje istinska neovisnost i nepristranost te da masovno prikupljanje osobnih podataka iz EU-a od strane američkih obavještajnih agencija još uvijek nije dovoljno ograničeno niti podvrgnuto odgovarajućem nadzoru.
Ove zabrinutosti odražavaju one iznesene u značajnim slučajevima Schrems I i Schrems II, koji su prethodno doveli do poništavanja ranijih okvira za transatlantski prijenos podataka. Ipak, nakon detaljnog ispitivanja novih pravnih i institucionalnih mjera zaštite, Opći sud je u cijelosti odbacio Latombeovu tužbu, potvrđujući ocjenu Europske komisije.
Pravno obrazloženje suda
1. Neovisnost DPRC-a
Temelj slučaja podnositelja zahtjeva bila je navodna strukturna ovisnost DPRC-a o izvršnoj vlasti SAD-a. Sud je detaljno ispitao strukturu i funkcioniranje DPRC-a. Napomenuo je da je postupak imenovanja sudaca DPRC-a višestupanjski, s fiksnim mandatima i mogućnošću razrješenja samo iz opravdanog razloga, što zajedno služi zaštiti sudaca od neprimjerenog utjecaja.
Nadalje, američki propisi nameće zakonske obveze i državnom odvjetniku i obavještajnim agencijama, izričito im zabranjujući miješanje u rad DPRC-a. Sud je također istaknuo stalnu odgovornost Europske komisije da prati primjenu DPF-a i, ako je potrebno, da obustavi, izmijeni ili ukine odluku o adekvatnosti ako buduće promjene u američkom zakonodavstvu ili praksi potkopaju te zaštitne mjere.
Uzevši sve zajedno, ovi čimbenici doveli su sud do zaključka da DPRC ispunjava standard EU-a o neovisnoj i nepristranoj pravnoj zaštiti.
2. Masovno prikupljanje i proporcionalnost
Odgovarajući na zabrinutost oko masovnog prikupljanja tzv. ˝signalno-obavještajnih˝ podataka, sud je ponovio da Schrems II ne zahtijeva ex ante sudsko odobrenje, već zahtijeva da svako prikupljanje bude podložno smislenom, ex post sudskom nadzoru.
Sud se također pozabavio pitanjem masovnog prikupljanja osobnih podataka od strane američkih obavještajnih agencija. Utvrdio je da je, prema američkom zakonu, takvo prikupljanje ograničeno na ono što se smatra ˝nužnim i proporcionalnim˝ za jasno definirane svrhe nacionalne sigurnosti.
Važno je da su te aktivnosti podložne preispitivanju od strane DPRC-a, koji ima ovlasti narediti korektivne mjere u slučajevima u kojima se utvrde kršenja. Sukladno tome, sud je zaključio da zaštitne mjere koje su trenutno na snazi u Sjedinjenim Državama zadovoljavaju test „bitne ekvivalencije“ koji je utvrdio Sud Europske unije (CJEU).
Praktični sljedeći koraci
Za tvrtke, presuda Općeg suda donosi razdoblje relativne stabilnosti, jer čvrsto utvrđuje pravnu osnovu za DPF i pruža tvrtkama i njihovim pravnim timovima veći stupanj sigurnosti kada se oslanjaju na DPF za transatlantski prijenos podataka. Međutim, ta stabilnost nije apsolutna.
Europska komisija dužna je kontinuirano pratiti američke prakse, a sve značajne promjene, bilo zakonodavne ili u ponašanju američkih agencija, mogle bi rezultirati djelomičnom ili potpunom suspenzijom odluke o adekvatnosti. Tvrtke bi stoga trebale pratiti godišnja izvješća Europske komisije i mogućnost ponovnih pravnih izazova pred Sudom EU-a.
Također je važno napomenuti da presuda ne eliminira potrebu za procjenama utjecaja prijenosa pri korištenju alternativnih mehanizama prijenosa, kao što su standardne ugovorne klauzule, posebno za primatelje podataka u SAD-u koji se nisu sami certificirali prema DPF-u.
Zaključak
Odluka Općeg suda pruža jasnoću i (za sada) određenu pravnu sigurnost organizacijama koje ovise o protoku podataka između EU i SAD-a. Iako će protivnici DPF-a vjerojatno ustrajati, potencijalno eskalirajući stvar pred Sudom pravde, presuda naglašava spremnost suda da podrži pristup Europske komisije temeljen na riziku adekvatnosti.
Procjene rizika prijenosa- i dalje morate provoditi i ne smijete na njih zaboraviti.
