Czy słyszeliście już o tym, że Facebook nie będzie mógł przekazywać danych do USA? Spokojnie, to tylko dziennikarska przesada. Można ją nawet dziennikarzom wybaczyć, bo chcieli oni narobić szumu wokół ważnego wydarzenia, które trudno jest schować za krótkim i precyzyjnym tytułem. 

Dziś Rzecznik Generalny Trybunału Sprawiedliwości UE wydał istotną opinię. Poradził on Trybunałowi by uznać za nieważne porozumienie z USA, które wiąże się z programem Safe Harbour ("bezpieczna zatoka" lub "bezpieczna przystań").

O co chodzi z tą bezpieczną zatoką? Otóż prawo UE pozwala na przenoszenie danych obywateli za granicę, jeśli kraj docelowy spełnia pewne standardy ochrony danych. Stany Zjednoczone nie są uważane za kraj bezpieczny. Mimo to kilkanaście lat temu, po długich negocjacjach strona unijna uznała, że amerykańskie firmy będą traktowane jak zapewniające wysoki poziom ochrony, jeśli przystąpią do programu Safe Harbor. Amerykańskie firmy muszą zadeklarować, że będą przestrzegać określonych zasad i mogą dość swobodnie przesyłać dane z Europy do USA.

"Bezpieczna przystań" była krytykowana nie raz, ale po aferze Snowdena stało się całkiem jasne, że to nie jest wystarczające zabezpieczenie. Dziś Rzecznik Generalny Trybunału Sprawiedliwości UE powiedział to, co krytycy Safe Harbour mówili od dawna. Stany Zjednoczone nie są bezpieczną przystanią dla naszych danych. Decyzja Komisji w tej sprawia powinna być nieważna.

Opinia o której mowa dotyczy sprawy C‑362/14, której bohaterem jest Max Schrems.

Max Schrems i sprawa C‑362/14

Czytelnicy Dziennika Internautów znają nazwisko Max Schrems. Ten austriacki aktywista znany jest m.in. z głośnego pozwu przeciwko Facebookowi, ale ten pozew nie jest jego jedynym wyczynem. 

Schrems korzystał z Facebooka od 2008 roku. Nie podobało mu się to, że jego dane są przekazywane do USA. Wniósł zatem skargę do irlandzkiego organu ochrony danych twierdząc, że w świetle informacji podanych do wiadomości przez Edwarda Snowdena, Stany Zjednoczone nie zapewniają żadnej rzeczywistej ochrony danych przed amerykańskimi władzami.

Organ irlandzki oddalił skargę powołując się na decyzję Komisji Europejskiej z dnia 26 lipca 2000 r., w której Komisja stwierdziła, że w ramach systemu Safe Harbour USA zapewniają odpowiedni stopień ochrony przekazywanych danych osobowych.

Sprawa trafiła do sądu High Court of Ireland. Ten postanowił ustalić, czy decyzja Komisji ma na celu uniemożliwienie krajowemu organowi nadzorczemu prowadzenia dochodzenia w sprawie skargi dotyczącej nieodpowiedniego stopnia ochrony i zawieszenia kwestionowanego przekazywania danych w stosownym przypadku. Pytanie o to trafiło do Trybunału Sprawiedliwości UE (sprawa C‑362/14). 

Komisja nie powinna ograniczać nadzoru

Trybunał jeszcze nie wydał orzeczenia, ale wypowiedział się Rzecznik Generalny Yves Bot. Opinia Rzecznika Generalnego nie wiąże Trybunału Sprawiedliwości, choć często jego rzeczenia są zgodne z tą opinią. 

Yves Bot uznał, że samo istnienie decyzji Komisji stwierdzającej, że państwo trzecie zapewnia odpowiedni stopień ochrony przekazywanych danych osobowych nie może zniweczyć ani nawet ograniczyć uprawnień, jakie przysługują krajowym organom nadzorczym.

Poza tym rzecznik generalny ocenił, że decyzja Komisji jest nieważna.

Zdaniem Rzecznika Generalnego jeśli organ krajowy twierdzi, że przekazywanie danych narusza ochronę obywateli Unii, to jest uprawniony do zawieszenia tego przekazywania. Jest to niezależne od ogólnej oceny przeprowadzonej przez Komisję w wydanej przez nią decyzji. Uprawnienie przyznane Komisji na mocy dyrektywy nie ma bowiem wpływu na uprawnienia przyznane tą samą dyrektywą krajowym organom nadzorczym. Mówiąc krótko - Komisja nie posiada kompetencji do ograniczenia uprawnień krajowych organów nadzorczych.

Przecież stwierdzono nieprawidłowości!

Yves Bot zaznaczył też, że jeśli już stwierdzono nieprawidłowości systemowe w państwie trzecim, do którego przekazywane są dane osobowe, państwa członkowskie powinny mieć możliwość przyjęcia odpowiednich środków zaradczych. Chodzi przecież o poszanowanie praw podstawowych. 

Rzecznik generalny doszedł do wniosku, że decyzja Komisji jest nieważna. Z ustaleń dokonanych zarówno przez High Court of Ireland jak i przez samą Komisję wynika bowiem, że prawo i praktyka USA pozwalają na gromadzenie na szeroką skalę przekazywanych danych osobowych obywateli Unii, przy czym wspomniani obywatele nie mają zapewnionej skutecznej ochrony prawnej.

Rzecznik generalny stwierdził też, że dostęp, jaki przysługuje amerykańskim służbom specjalnym do przekazywanych danych, stanowi ingerencję w prawo do poszanowania życia prywatnego i w prawo do ochrony danych osobowych, które są zagwarantowane w Karcie. To, że obywatele Unii nie mają możliwości realizacji prawa do bycia wysłuchanym na temat zatrzymywania i kontrolowania dotyczących ich danych w USA stanowi - zdaniem rzecznika generalnego - ingerencję w chronione Kartą prawo obywateli UE do skutecznego środka prawnego.

Co się zmieni?

Jak wspomniałem dziś pewna gazeta już donosi, że Facebook i Google "nie mogą przekazywać danych Europejczyków do USA". Jest to nieprawda. Po pierwsze należy pamiętać, że opinia Rzecznika Generalnego nie jest wyrokiem. Rzecznik Generalny tylko doradza Trybunałowi. Stwierdził, tyle że jeśli organ jakiegoś kraju uzna, iż w danym kraju nie ma dostatecznej ochrony, ten organ musi mieć prawo do zawieszenia przekazywania danych Europejczyków (niezależnie od tego, czy Komisja uznała ten kraj za "bezpieczną przystań").

Poza tym istotne jest to, że rzecznik generalny uznał amerykańską inwigilację za istotny problem.

- Wobec takiego stwierdzenia naruszenia praw podstawowych obywateli Unii, Komisja powinna była, zdaniem rzecznika generalnego, zawiesić stosowanie decyzji, nawet jeśli obecnie Komisja prowadzi negocjacje z USA w celu zaprzestania stwierdzonych uchybień. Rzecznik generalny zaznaczył ponadto, że, skoro Komisja postanowiła rozpocząć negocjacje z USA, to oznacza, że wcześniej stwierdziła, że stopień ochrony zapewniany przez to państwo w ramach systemu bezpiecznej przystani nie jest już odpowiedni i że decyzja z 2000 r. nie jest już dostosowana do rzeczywistej sytuacji - czytamy w komunikacie wydanym przez TSUE.

W chwili obecnej nic się nie zmieni, ale opinia rzecznika generalnego może być początkiem istotnych zmian w przyszłości. 

Pełny tekst opinii Rzecznika Generalnego dostępny jest na stronie Curia.europa.eu.