Umowa ACTA a ochrona danych osobowych

ACTA, czyli umowa handlowa dotycząca zwalczania obrotu towarami podrobionymi, ma na celu stworzenie międzynarodowych ram, służących eliminowaniu naruszeń praw własności intelektualnej. Twórcy umowy, jako główny motyw przyjęcia regulacji wskazują to, że rozpowszechnianie towarów podrobionych osłabia prowadzony zgodnie z prawem handel i powoduje znaczące straty finansowe dla posiadaczy praw własności intelektualnej. Mimo gwarancji, zawartych w uzasadnieniu decyzji Rady Unii Europejskiej w sprawie zawarcia umowy ACTA, dotyczących respektowania praw obywateli i interesów ważnych zainteresowanych stron – w tym konsumentów i dostawców usług internetowych, umowa ACTA wzbudziła liczne głosy sprzeciwu.

Przeciwnicy zarzucają umowie ACTA, że jej regulacje dotyczące przetwarzania danych osobowych, mogą wchodzić w konflikt z prawem do prywatności ustalonym m.in. w Konstytucji RP i Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. Podnoszą, że odpowiednie przepisy zostały sformułowane w umowie ACTA niejasno i ogólnikowo. Odniesienie wynikających z nich norm do właściwych przepisów europejskiej i krajowej regulacji ochrony danych osobowych powoduje trudności interpretacyjne, których występowanie w przypadku regulacji o charakterze międzynarodowym jest niedopuszczalne.

Wbrew panującej opinii, umowa ACTA nie dotyczy wyłącznie działań dokonywanych w Internecie – korzystania z systemów sieci typu peer to peer (P2P), pobierania filmów, plików muzycznych czy książek. Posłużmy się następującym przykładem:

Jan Kowalski kupuje obuwie sportowe w znanej sieci sklepów sportowych. Buty mają wytłoczony znak towarowy, łudząco przypominający oryginał i firmowe opakowanie. Kowalski płaci za buty kartą kredytową.

Na podstawie art. 11 ACTA, właściciel znaku towarowego może żądać od sprawcy naruszenia – kierownika sklepu, ujawnienia danych umożliwiających identyfikację osób biorących udział w jakimkolwiek aspekcie naruszenia. Kierownik sklepu ujawni dane osobowe hurtownika, od którego nabył podrobione obuwie, dostawcy, sprzedawców (nawet tych, którzy nie wiedzieli, że sprzedają towar podrobiony) oraz nabywców, w tym Jana Kowalskiego. Wskazany przepis dopuszcza sytuację, w której właściciel znaku towarowego żąda ujawnienia danych bez konieczności udowodnienia naruszenia znaku towarowego, wystarcza bowiem samo domniemanie naruszenia. Kierownik sklepu ujawnia szereg danych osobowych bez jakiejkolwiek kontroli sądu.

Państwa należące do Unii Europejskiej wypracowały standard przetwarzania danych osobowych, dający wysoki poziom bezpieczeństwa danych. Umowa ACTA pozwala jednak na przekazywanie danych osobowych do państw trzecich, nie precyzując przy tym obowiązków spoczywających na tamtejszych administratorach danych. Jeżeli więc, we wskazanym przykładzie, właściciel znaku towarowego ma główną siedzibę w państwie trzecim, kierownik sklepu musi przekazać dane osobowe, nie zważając na bezpieczeństwo ich przetwarzania przez administratora danych. Jan Kowalski dowiaduje się, że jego dane zostały przekazane przez administratora danych w państwie trzecim do innej firmy i są przez nią przetwarzane. Umowa ACTA nie przyznaje mu prawa do żądania usunięcia swoich danych, ponieważ w konsekwencji braku mechanizmów nadzoru i pociągania do odpowiedzialności, brak jest środków zaradczych i sankcji wobec administratorów danych osobowych w przypadkach ich bezpodstawnego przetwarzania w państwach trzecich.

Art. 4 ust. 2 umowy ACTA przewiduje zakaz ponownego wykorzystania danych przez Stronę umowy, w celu innym niż ten, dla którego Strona te dane otrzymała. Zakaz powtórnego wykorzystania danych osobowych jest jednak uzależniony od wewnętrznych regulacji prawnych i praktyki państwa, które dane otrzymało. Europejski standard przetwarzania danych osobowych, wynikający przede wszystkim z prawa wtórnego Unii Europejskiej, precyzyjnie reguluje ponowne wykorzystanie danych. Nie jest to jednak standard globalny, co pociąga za sobą obawę utraty kontroli w przypadku  przekazania danych do państwa, którego regulacje w tym zakresie są mniej restrykcyjne niż regulacje europejskie.

Art. 4 ust. 1 umowy ACTA zawiera klauzulę ochronną, według której żadne z postanowień umowy nie nakłada na Stronę wymogu ujawnienia: informacji, których ujawnienie byłoby sprzeczne z jej prawem, w tym przepisami chroniącymi prawo do prywatności lub z umowami międzynarodowymi, których jest stroną (lit. a). Możliwość uchylenia się od ujawnienia informacji odnosi się jedynie do strony umowy, a więc państwa. Klauzula nie obejmuje zatem podmiotów prywatnych, ponieważ nie są one stroną umowy ACTA. Kierownik sklepu nie może więc odmówić przekazania danych osobowych powołując się na sprzeczność z przepisami regulującymi ochronę prywatności i danych osobowych.

W zakresie ochrony danych osobowych i prawa do prywatności, w umowie ACTA można wskazać jeszcze inne zagrożenia. Domniemanie naruszenia praw autorskich (ze względu na brak konieczności udowodnienia tego faktu) może być wykorzystane do nieuczciwych praktyk właścicieli praw autorskich i zdobycia np. listy kooperantów firmy produkującej konkurencyjny wyrób. Ponadto, właściciel praw autorskich może zażądać przekazania danych domniemanego sprawcy naruszenia, a więc abonenta, z którego konta dokonano domniemanego naruszenia. Łatwo wyobrazić sobie sytuację, w której faktycznym sprawcą naruszenia byłaby inna osoba niż ta, której dane zostały przekazane podmiotowi prywatnemu – współlokator lub członek rodziny.

Uważam, że umowa ACTA stwarza silną ochroną posiadaczy praw autorskich i praw własności intelektualnej kosztem prawa do prywatności i zapewnienia ochrony danych osobowych. Umowa dopuszcza przekazywanie danych osobowych na żądanie podmiotów prywatnych – posiadaczy praw, przy istnieniu jedynie domniemania naruszenia praw. Stwarza również możliwość przekazywania danych państwom trzecim, których systemy zabezpieczeń danych mogą nie dawać tak daleko idących gwarancji jak systemy europejskie. Umowa nakłada także na podmioty prywatne, takie jak dostawcy usług internetowych lub właściciele portali społecznościowych, obowiązek przekazywania danych swoich użytkowników, wyłączając ten proces spod kontroli sądowej.