Czy program „Safe Harbor” faktycznie trafił do kosza? Jak jest naprawdę?

Tytułem wstępu, warto wskazać na pewien niewielki błąd, często popełniany przy pisaniu o „Safe Harbor”.

Chodzi o pisownię angielskiego słowa „harbor”, oznaczającego zatokę lub przystań. W języku angielskim, prawidłowa pisownia to: „harbour”. W języku amerykańskim: „harbor”.

W zakresie wyznawanych wartości i rozwiązań ustrojowych, między USA a UE, istnieje bardzo dużo podobieństw. Są jednak i różnice. Jedną z nich jest podejście do ochrony danych osobowych. Unia Europejska przykłada bardzo dużą rolę do dbania o prawa jednostki, w tym o ochronę danych osobowych i prawa do prywatności. Każdy kraj członkowski musi powołać własnego regulatora ds. Ochrony Danych Osobowych. W Polsce taką rolę pełni Generalny Inspektor Ochrony Danych Osobowych (GIODO).

Zadaniem GIODO jest ochrona naszego prawa do prywatności przed zagrożeniami płynącymi z dwóch kierunków: biznesu oraz nadmiernej inwigilacji ze strony władz.

W Stanach Zjednoczonych podejście do prawa do prywatności różni się od europejskiego. Sam fakt, że nie istnieje tam odpowiednik naszego GIODO, powoduje daleko idące konsekwencje. Brakuje kogoś, kto bierze odpowiedzialność za ochronę prawa do prywatności. Brakuje wyspecjalizowanych urzędników, którzy zareagują w przypadku naruszeń prawa. Ochrona danych osobowych traktowana jest jako element prawa konsumenckiego.

Jak powstało porozumienie „Safe Harbor”?

Idea była dość prosta. Na terenie UE obowiązuje Dyrektywa 95/46/WE, która gwarantuje pewne standardy, które muszą być przestrzegane przez wszystkie państwa członkowskie. W naszym kraju dyrektywa funkcjonuje za pośrednictwem ustawy o ochronie danych osobowych z 1997 roku. Dzięki unijnej dyrektywie wszystkie państwa członkowskie gwarantują swoim obywatelom pewien minimalny poziom ochrony danych osobowych. Warto zaznaczyć, że ten „minimalny poziom” jest prawdopodobnie najwyższym z obecnie stosowanych na świecie.

Twórcy dyrektywy byli w pełni świadomi tego, że tworzą nową jakość w dbaniu o prawo do prywatności na świecie. Byli też świadomi, że niezależnie od tego jakie regulacje prawne zostaną przyjęte – dane obywateli UE i tak będą trafiały do krajów o niższym standardzie ochrony prywatności. Zadbano jednak o to, aby utrudnić eksport danych do państw spoza UE. Artykuł 26 dyrektywy 95/46/WE, stanowi, że dane osobowe mogą być przekazywane do państwa trzeciego (czyli np. USA) w ściśle określonych sytuacjach.

Jedną z przesłanek legitymujących eksport danych do państwa trzeciego jest enigmatycznie określone „gwarantowanie odpowiedniego poziomu ochrony danych osobowych”. Inną jest na przykład pisemna zgoda lub realizacja umowy, której stroną jest osoba, której dane są udostępniane za granicę.

W 2000 roku Komisja uznała, że wszystkie organizacje ze Stanów Zjednoczonych, które przystąpią do programu „Safe Harbor” będą traktowane w sposób szczególny.

Treść decyzji Komisji 2000/520 można przeczytać tutaj: http://eur-lex.europa.eu/legal-content/PL/TXT/HTML/?uri=CELEX:32000D0520&from=en

Arbitralnie uznano, że firmy legitymujące się certyfikatem „Safe Harbor”, mogą być odbiorcami danych osobowych europejczyków, ponieważ uczestnictwo w programie gwarantuje „odpowiedni poziom ochrony danych osobowych”.

Innymi słowy, wymiana danych pomiędzy organizacjami z USA, działającymi w ramach „Safe Harbor”, nie różniła się niczym od wymiany danych osobowych między firmami z Polski i Niemiec.

Jak dostać certyfikat „Safe Harbor”?

Otrzymanie certyfikatu nie jest skomplikowane. Aby go otrzymać, amerykańska firma musi potwierdzić stosowanie standardów bezpieczeństwa danych osobowych, bardzo zbliżonych do tych przewidzianych przez Dyrektywę 95/46/WE.

Wnioski nie są weryfikowane pod względem merytorycznym. Jest to  więc certyfikat wydawany „na oświadczenie”. Nad całością czuwa Departament Handlu USA oraz federalna ustawa o składaniu fałszywych oświadczeń, nakładająca bardzo wysoką odpowiedzialność w przypadku poświadczania nieprawdy.

Dotychczas do programu przystąpiło ponad 5 tys. amerykańskich przedsiębiorstw. Aktualną listę można sprawdzić tutaj: http://safeharbor.export.gov/list.aspx

Dlaczego pojawiły się problemy z „Safe Harbor”?

W praktyce stosowania ustawy o ochronie danych osobowych w Polsce i innych krajach UE, nawet wyspecjalizowani regulatorzy (np. GIODO), miewają problemy z interpretacją przepisów.

Jak już wcześniej wskazałem, w USA brak jest organu, który specjalizowałby się w ochronie prawa do prywatności.

Przestrzeganie „Safe Harbor” nadzoruje Departament Handlu USA. A to oznacza brak specjalistycznych procedur i traktowanie ochrony danych osobowych jako elementu szeroko pojętego… handlu.

I właśnie brak realnej kontroli nad certyfikowanymi podmiotami jest według mnie jedną z największych słabości „Safe Harbor”.

Program de facto „wprowadza” elementy prawa europejskiego na terytorium USA. Ale nie gwarantuje skutecznych procedur egzekwowania przepisów.

Na powyższe niedoskonałości „Safe Harbor” nałożyła się afera PRISM i kolejne rewelacje Edwarda Snowdena.

W tym momencie wystarczyła jedna iskra, aby spowodować eksplozję.

Maximillian Schrems vs. Facebook

Iskrą zapalającą stała się sprawa zainicjowana przez Austriaka Maximilliana Schrems’a. Schrems (realizujący się również jako działacz społeczny) odkrył, że Facebook wciąż przetwarza informacje o nim, które wcześniej usunął z profilu. Dowiedział się również, że dane te znajdują się na serwerach w USA. Przetwarza je Facebook Inc. z siedzibą w USA.

Schrems zaczął obawiać się o poziom zabezpieczenia jego danych osobowych na terenie USA. W szczególności bał się, że NSA (National Security Agency), może mieć łatwy wgląd do informacji o nim. Wobec powyższego, argumentacja Facebooka, który powoływał się na członkowstwo w „Safe Harbor”, zupełnie do Schremsa nie przemawiała.

Sprawa trafiła do Irlandzkiego Sądu Najwyższego. Schrems domagał się sprawdzenia, czy  przetwarzanie jego danych osobowych na terenie USA faktycznie „gwarantuje odpowiedni poziom ochrony” (art. 26 Dyrektywy 95/45/WE). Irlandzki Sąd Najwyższy miał dwie możliwości:

• Uznać, że na mocy wspomnianej Decyzji Komisji 2000/520, Facebook Inc.,przystępując do Programu „Safe Harbor”, gwarantuje odpowiedni poziom ochrony i zamknąć sprawę,
• Uznać, że mimo Decyzji Komisji 2000/520, należy jednak sprawdzić, czy aby na pewno Facebook Inc. gwarantuje odpowiedni poziom ochrony.

Irlandzki Sąd Najwyższy, postanowił zwrócić się z zapytaniem do Europejskiego Trybunału Sprawiedliwości (ETS).

W orzeczeniu w sprawie C‑362/14 z dnia 6 października 2015 roku, ETS orzekł wprost, że Decyzja Komisji 2000/520 jest nieważna. Tym samym Irlandzki regulator ochrony danych osobowych będzie musiał sam zbadać, czy USA gwarantują „odpowiedni poziom ochrony danych osobowych”.

Czy to znaczy, że „Safe Harbor” trafi do kosza?

I tak, i nie. Sam program nie trafił do kosza. Do kosza trafiła „jedynie” decyzja, która uznawała, że organizacje z USA, wpisane listę „Safe Harbor”, gwarantują „odpowiedni poziom ochrony danych”.

Problem w tym, że bez wspomnianej decyzji, cały amerykański program staje się w praktyce mało użyteczny. Oczywiście, może mieć nadal znaczenie marketingowe. Ale członkowstwo w programie nie umożliwi już firmom z USA przetwarzania danych europejczyków na tych zasadach, co przed wydaniem orzeczenia przez ETS.

Co dalej?

Mamy już oświadczenie europejskich urzędów ochrony danych osobowych zrzeszonych w ramach Grupy Roboczej Artykułu 29 ds. Ochrony Danych. 16 października 2015 zapowiedziały ponad trzymiesięczny okres karencji w sprawie egzekwowania wyroku ETS-u unieważniającego unijne gwarancje dla programu „Safe Harbor”.

„Jeśli do końca stycznia 2016 r. nie zostanie znalezione wspólnie ze Stanami Zjednoczonymi odpowiednie rozwiązanie (…) europejskie urzędy ochrony danych osobowych zobowiązują się podjąć wszystkie niezbędne działania, które mogą zawierać skoordynowane działania wykonawcze” – oświadczyła Grupa Robocza Artykułu 29.

Jakie są prognozy?

Prawda jest taka, że obie strony potrzebują znaleźć kompromisowe rozwiązanie. Trudno sobie wyobrazić w praktyce sytuację, że firmy z USA przestaną przetwarzać dane osobowe Europejczyków.

Unia Europejska chce wymóc na Stanach Zjednoczonych „poważniejsze” podejście do ochrony prawa do prywatności. Na terenie UE jest to jedno z praw pierwotnych, wymienione w Karcie Praw Podstawowych. Na terenie USA jest to jedynie element prawa konsumenckiego. Dobrze obrazuje tę różnicę poddanie „Safe Harbor” pod nadzór Departamentu Handlu.

Trudno sobie wyobrazić w praktyce kontrolowanie Facebook Inc. na terenie USA, np. przez polskiego GIODO. A przede wszystkim sposób, w jaki nasz GIODO mógłby egzekwować ewentualne usunięcie uchybień.

Bez porozumienia na linii UE – USA, trudno będzie mówić o gwarancjach bezpiecznego przetwarzania danych osobowych europejczyków na terenie USA.

Trzeba też pamiętać o tym, że amerykańskie spółki, posiadają swoje oddziały na terenie UE. Te właśnie oddziały mogłyby być adresatem ewentualnych sankcji ze strony europejskich regulatorów danych osobowych. A tego z pewnością amerykanie będą chcieli uniknąć.

Co jeśli się nie dogadają?

Brak porozumienia, będzie oznaczał niepewność i ryzyko dla wszystkich spółek, przekazujących dane podmiotom w USA.

Konieczne będzie korzystanie z innych przesłanek legalizujących przesyłanie danych osobowych na teren USA. Na przykład zbieranie zgód.

Bardzo ciekawą alternatywą mogą stać się również tzw. „standardowe klauzule umowne” lub „wiążące reguły korporacyjne”, przewidziane przez art. 48 ustawy o ochronie danych osobowych.

W obu przypadkach, spółka z tzw. państwa przeciego (czyli np. USA), podpisuje umowę bądź oświadcza, że będzie stosowała poziom ochrony danych zbliżony do tego przewidzianego przez unijną Dyrektywę 95/46/WE. W ten sposób następuje swojego rodzaju „eksport” europejskich przepisów na teren państwa trzeciego.

Złamanie zasad, może skutkować odpowiedzialnością cywilnoprawną względem podmiotu, który dane przekazał. Jest więc możliwość egzekwowania postanowień umowy.

W praktyce spółki amerykańskie (czy z innych państw trzecich) – jeśli będą chciały wywiązać się ze zobowiązań – będą potrzebowały pomocy przy dostosowaniu swoich procedur do wymogów europejskich.

Nawet jeśli USA nie porozumie się z UE, to możliwości transferu danych osobowych pozostaną. Będą one jednak wymagały pewnych dodatkowych zobowiązań i gwarancji ze strony podmiotów po stronie USA.

Będziemy Państwa informowali na bieżąco o kolejnych wydarzeniach związanych z dalszymi losami „Safe Harbor”.