W ubiegłym tygodniu informowaliśmy o tym, że UE i USA wypracowały nowe zasady przekazywania danych osobowych za ocean - EU-US Privacy Shield. To rozwiązanie ma zastąpić funkcjonujący wcześniej program Safe Harbour. Chodziło o to, że przez lata Komisja Europejska uznała Stany Zjednoczone za kraj zapewniający odpowiedni poziom ochrony danych. Niestety w październiku ubiegłego roku, w wyniku skargi Maksa Schremsa, Trybunał Sprawiedliwości UE uznał decyzję za nieważną.

Przekazywanie danych z UE do USA ma znaczenie dla takich usług jak Facebook czy Google. Dlatego wypracowanie nowych zasad w postaci EU-US Privacy Shield ma ogromne znaczenie.Dziennik Internautów już wcześniej opisywał założenia założenia EU-US Privacy Shield. Teraz, gdy minął ponad tydzień od ogłoszenia inicjatywy, postanowiliśmy zebrać i przedstawić opinie i stanowiska na jej temat. 

GIODO czeka na konkrety 

Wczoraj Generalny Inspektor Ochrony Danych przypomniał, że  administratorzy danych nie mogą przekazywać danych do USA na podstawie unieważnionej już decyzji KE.

- Z tego względu w aktualnym stanie prawnym transfery danych do USA wymagają spełnienia jednej z przesłanek określonych w art. 47 albo 48 ustawy o ochronie danych osobowych. W szczególności nadal możliwe jest stosowanie w odniesieniu do takich transferów standardowych klauzul umownych oraz zatwierdzonych przez Generalnego Inspektora wiążących reguł korporacyjnych - czytamy w komunikacie, który pojawił się na stronie GIODO. 

Gotowość do przeanalizowania nowych rozwiązań zapowiedziała Grupa Robocza Ar. 29. Jest to organ zrzeszający europejskie organy ochrony danych. Grupa Robocza Art. 29 przeanalizuje w jakim stopniu to nowe rozwiązanie będzie miało wpływ na możliwość stosowania innych instrumentów prawnych przy przekazywaniu danych.

Grupa Robocza Art. 29 wezwała Komisję Europejską do przekazania do końca lutego wszystkich dokumentów dotyczących nowego rozwiązania. Następnie Grupa Robocza Art. 29 rozważy też, czy takie instrumenty jak standardowe klauzule umowne i Wiążące Reguły Korporacyjne, będą mogły nadal być stosowane do przekazywania danych osobowych do USA.

Firmy raczej się cieszą

Dziennik Internatów pytał o opinie na temat porozumienia przedstawicieli kilku firm.

Facebook ograniczył się do bardzo krótkiego komentarza: "Jesteśmy zadowoleni, że takie porozumienie zostało osiągnięte i czekamy obecnie na jego pełną treść". 

Biuro prasowe Microsoft ograniczyło się do odesłania nas do opinii Brada Smitha, prawnika Microsoftu. Na Twitterze napisał on, że to porozumienie może "być ważnym krokiem do utrzymania przepływu danych i wzmocnienia zaufania do chmury". 

Today’s safe harbor announcement represents a vital step in maintaining data flows and strengthening confidence in the cloud.

— Brad Smith (@BradSmi) luty 2, 2016

Komentarza udzielił nam także przedstawiciel firmy Balabit, Csaba Krasznay (ekspert od bezpieczeństwa IT).

- Z zadowoleniem przyjmujemy wieści o podpisaniu umowy dotyczącej nowych zasad bezpiecznego transferu danych osobowych pomiędzy Unią Europejską a USA (UE-USA Privacy Shield), ponieważ nakłada ona restrykcyjne europejskie zasady ochrony danych na firmy amerykańskie, co jest realną korzyścią dla podmiotów działających po obu stronach Atlantyku - stwierdził Csaba Krasznay. 

Czy zasady "tarczy" naprawdę są restrykcyjne? Nie wszyscy się co do tego zgadzają. 

Obrońcy prywatności o niedoróbkach

Organizacje zajmujące się ochroną prywatności w większym stopniu podkreślają, że wciąż nie wszystko wiadomo o "tarczy". Organizacja European Digital Rights (EDRi) zaraz po ogłoszeniu nowego porozumienia nazwała je prowizorką. W wydanym później komunikacie EDRi zauważyła, że tak naprawdę trudno być pewnym czy osiągnięto jakiekolwiek porozumienie skoro Komisja Europejska opublikowała tylko notkę prasową o rzekomym dogadaniu się z USA.

Polska Fundacja Panoptykon również ma wątpliwości. 

- Wcześniej Stany Zjednoczone, a konkretniej wybrane amerykańskie firmy, które deklarowały, że zapewniają odpowiedni standard ochrony, miały być dla danych Europejczyków bezpieczną przystanią. Teraz dane osobowe podlegać mają ochronie tarczy. Czy po raz kolejny pod piękną nazwą kryć się będzie niedostateczny poziom ochrony? W pełni przekonamy się dopiero, gdy ujawniony zostanie tekst porozumienia - czytamy w komunikacie wydanym przez Fundację. 

Istnieją obawy, że "Tarcza" nie wytrzyma weryfikacji przez europejskie organy ochrony danych i Trybunał w Luksemburgu. Panoptykon zauważył też, że obecne ustalenia mają charakter porozumienia politycznego, a nie wiążącego prawnie rozwiązania. Na ten sam problem zwracały uwagę EDRi oraz aktywista Max Schrems, dzięki któremu zapadł wyrok ws. Safe Harbour. Jak to powiedział Schrems: "kilka listów od ustępującej administracji Obamy w żaden sposób nie może być prawną podstawą gwarantującą prawa podstawowe 500 mln europejskich użytkowników".

W ogólności można powiedzieć, że "tarcza prywatności" wzbudza trojakie uczucia. Organy ochrony danych dają do zrozumienia, że będą potrzebować czasu. Firmy raczej chwalą inicjatywę, nawet jeśli jeszcze nie znają szczegółów. Obrońcy prywatności też czekają na szczegóły, ale już teraz wydają się wątpić w prawdziwą ochronę.