Brak swobody w transferze danych osobowych na amerykańskie serwery

W dniu 6 października 2015 roku Trybunał Sprawiedliwości Unii Europejskiej wydał wyrok, który może mieć duże konsekwencje dla przedsiębiorców przechowujących dane osobowe w systemie „chmury” na serwerach amerykańskich.

Do tej pory tego typu dane mogły być przechowywane na serwerach amerykańskich na podstawie decyzji Komisji Europejskiej z 2000 roku (2000/520/WE), zgodnie z którą wprowadzono program „Safe Harbor” tj. Bezpiecznej przystani”. Decyzja ta umożliwiała firmom amerykańskim przetwarzanie danych handlowych i osobowych ich klientów w Europie.

 Jednakże na podstawie indywidualnej sprawy obywatela Austrii przeciwko portalowi społecznościowemu Facebook, Trybunał stwierdził, iż Komisja nie miała prawa ograniczać uprawnień krajowych organów ochrony danych osobowych. Przywołane organy mogły bowiem m.in. nakładać zakazy transferu danych poza Unię Europejską w tym do Stanów Zjednoczonych. Natomiast decyzja Komisji Europejskiej swoim liberalnym charakterem ograniczyła kompetencję tych organów w tym zakresie.

 Skutkiem tego wyroku jest m.in. to, iż GIODO będzie mógł z powołaniem na ustawę o ochronie danych osobowych zakazać transferu danych osobowych do Stanów Zjednoczonych. Co istotne, działanie to będzie mogło być podjęte z urzędu lub na wniosek zainteresowanego podmiotu.

Kolejnym, jeszcze dalej idącym skutkiem rozstrzygnięcia Trybunału Sprawiedliwości jest to, iż odpadła w zasadzie podstawa prawna całego programu „Bezpiecznej przystani” z 2000 roku. Wyrok mimo, iż wydany w indywidualnej sprawie, w trybie prejudycjalnym, to będzie miał właśnie zastosowanie powszechne i natychmiastowe.

Nie można w tej chwili jednoznacznie wskazać jaka będzie praktyka GIODO i innych, odpowiednich organów w krajach Unii Europejskiej, ale z pewnością konieczne będzie zweryfikowanie dotychczasowej metody działania przedsiębiorców i poszukiwanie nowych rozwiązań umożliwiające transfer danych osobowych na amerykańskie serwery.

 Źródło: Wyrok Trybunału Sprawiedliwości Unii Europejskiej z dnia 6 października 2015 roku o sygn. akt C-362/14.