W sprawie C-311/18 TSUE zajął się skargą dotyczącą przekazywania danych osobowych do Stanów Zjednoczonych na podstawie Decyzji Komisji Europejskiej odpowiednio dotyczących:
- „Tarczy Prywatności”,
- stosowania standardowych klauzul umownych.
Wskazane powyżej Decyzje dawały podstawę zgodnego z prawem transferu danych osobowych do Stanów Zjednoczonych. W ramach „Tarczy Prywatności” będącej Decyzją Komisji Europejskiej 2016/1250 możliwe było wysyłanie danych do podmiotów w Stanach Zjednoczonych objętych zakresem działania „Tarczy” na takich samych zasadach jak do podmiotów znajdujących się na terenie Europejskiego Obszaru Gospodarczego. Innym sposobem zabezpieczenia transferu danych poza EOG są standardowe klauzule umowne według wzorca KE zawierane w umowach pomiędzy administratorem, a podmiotem przetwarzającym. Dokonawszy oceny skuteczności obu mechanizmów w kontekście ochrony danych osobowych w wyroku z dnia 16 lipca 2020 r. TSUE stwierdził:
- w zakresie „Tarczy Prywatności” nieważność Decyzji KE 2016/1250 stwierdzającej odpowiedni stopień ochrony w ramach „Tarczy Prywatności” z uwagi na fakt, że:
- wymogi prawa wewnętrznego USA, w szczególności niektóre programy umożliwiające organom publicznym Stanów Zjednoczonych, w celu zapewnienia bezpieczeństwa narodowego, dostęp do danych osobowych przekazywanych z UE do USA, skutkują takimi ograniczeniami w ochronie danych osobowych, które powodują brak ochrony równoważnej z wymogami prawa UE,
- prawodawstwo to nie przyznaje osobom, których dane dotyczą, prawa zaskarżania do sądu sposobu przetwarzania ich danych przez organy USA, co stanowi niedopuszczalną ingerencję w podstawowe prawa osób, których dane są przekazywane do tego państwa trzeciego.
- w zakresie standardowych klauzul umownych zachował ważność Decyzji KE 2010/87 w sprawie standardowych klauzul umownych, wskazując wytyczne, tj.:
- konieczność każdorazowej weryfikacji poziomu ochrony danych osobowych w państwie trzecim, z którego pochodzi podmiot przetwarzający,
- konieczność zawieszenia lub zakończenia przekazywania danych osobowych do danego państwa trzeciego, w przypadku braku możliwości podjęcia dodatkowych kroków dążących do zapewnienia standardu równego standardowi europejskiemu przez administratora i podmiot przetwarzający.
Omawiane orzeczenie dokonało zwrotu w postrzeganiu transferowania danych osobowych poza EOG. O ile rozstrzygany stan faktyczny dotyczył transferu danych do Stanów Zjednoczonych, tak wytyczne TSUE w zakresie standardowych klauzul umownych należy odnieść również do przekazywania danych do innych państw trzecich, tj. spoza EOG. W związku z powyższym zalecany jest przegląd obowiązujących w Państwa firmach procedur dotyczących ochrony danych osobowych, a także miejsc, w które dane takie są przekazywane oraz podstawy tych transferów.
