Max Schrems: „За последните 23 години всички сделки между ЕС и САЩ бяха обявени за невалидни със задна дата, което правеше всички минали трансфери на данни от бизнеса незаконни – изглежда, че сега добавяме още две години от този пинг-понг.“
Вчера Европейската комисия прие своето “решение относно адекватното ниво на защита във връзка с Рамката за защита на личните данни между ЕС и САЩ. В решението се заключава, че Съединените щати гарантират адекватно ниво на защита – сравнимо с това на Европейския съюз – за личните данни, прехвърлени от ЕС на американски компании съгласно новата рамка. Въз основа на новото решение за адекватност личните данни могат безопасно да се предават от ЕС към американските компании, участващи в Рамката, без да се налага да се въвеждат допълнителни предпазни мерки за защита на данните.
Рамката за поверителност на данните между ЕС и САЩ въвежда нови обвързващи предпазни мерки за справяне с всички опасения, повдигнати от Съда на ЕС, включително ограничаване на достъпа до данните на ЕС от разузнавателните служби на САЩ до това, което е необходимо и пропорционално, и създаване на Съд за контрол на защитата на данните (DPRC), до който гражданите от ЕС ще имат достъп. Новата рамка въвежда значителни подобрения в сравнение с механизма, който съществуваше в рамките на Privacy Shield. Например, ако DPRC установи, че данните са били събрани в нарушение на новите предпазни мерки, той ще може да нареди изтриването на данните. Новите предпазни мерки в областта на правителствения достъп до данни ще допълнят задълженията, които ще трябва да поемат американските компании, внасящи данни от ЕС.
Председателят Урсула фон дер Лайен е цитирана да казва: „Новата рамка за поверителност на данните между ЕС и САЩ ще гарантира безопасни потоци от данни за европейците и ще донесе правна сигурност на компаниите от двете страни на Атлантическия океан. След принципното споразумение, което постигнах с президента Байдън миналата година, САЩ изпълниха безпрецедентни ангажименти за установяване на новата рамка. Днес правим важна стъпка, за да гарантираме на гражданите, че техните данни са в безопасност, да задълбочим икономическите връзки между ЕС и САЩ и същевременно да потвърдим отново общите ни ценности. Това показва, че като работим заедно, можем да се справим с най-сложните въпроси.“
Компаниите от САЩ ще могат да се присъединят към рамката за защита на личните данни между ЕС и САЩ, като се ангажират да спазват подробен набор от задължения относно неприкосновеността на личния живот, например изискването за заличаване на лични данни, когато те вече не са необходими за целта, за която са били събрани, както и за осигуряване на непрекъснатост на защитата, когато личните данни се споделят с трети страни.
Физическите лица от ЕС ще се възползват от няколко възможности за правна защита, в случай че техните данни бъдат неправилно обработени от американски компании. Това включва безплатни независими механизми за разрешаване на спорове и арбитражен съд.
Освен това правната рамка на САЩ предвижда редица предпазни мерки по отношение на достъпа до данни, предавани съгласно рамката от публичните органи на САЩ, по-специално за целите на правоприлагането в областта на наказателното право и националната сигурност. т: Достъпът до данни е ограничен до това, което е необходимо и пропорционално за защита на националната сигурност.
Физическите лица от ЕС ще имат достъп до независим и безпристрастен механизъм за правна защита по отношение на събирането и използването на техните данни от американските разузнавателни агенции, който включва новосъздадения Съд за контрол на защитата на данните (DPRC). Съдът ще извършва независими разследвания ще се произнася по подадените жалби, включително посредством налагане на задължителни коригиращи мерки.
Гаранциите, въведени от САЩ, също така ще улеснят трансатлантическите потоци от данни в по-общ план, тъй като те се прилагат и когато данните се предават чрез други инструменти, като например стандартни договорни клаузи и задължителни фирмени правила.
Функционирането на Рамката за защита на личните данни между ЕС и САЩ ще подлежи на периодични прегледи, които ще се извършват от Европейската комисия заедно с представители на европейските органи за защита на данните и компетентните органи на САЩ.
Първият преглед ще се извърши в рамките на една година от влизането в сила на решението относно адекватното ниво на защита, за да се провери дали всички съответни елементи са изцяло въведени в правната рамка на САЩ и дали функционират ефективно на практика“.
Според неправителствената организация за защита на неприкосновеността на личния живот NOYB третият опит на Европейската комисия да постигне стабилно споразумение относно предаването на данни между ЕС и САЩ вероятно ще бъде върнат в Съда на ЕС (CJEU) след няколко месеца. Предполагаемата „нова“ Трансатлантическа рамка за поверителност на данните е до голяма степен копие на провалилия се „Щит за поверителност“. Въпреки усилията на Европейската комисия за PR, има малка промяна в законодателството на САЩ или в подхода, възприет от ЕС. Основният проблем с FISA 702 не беше разгледан от САЩ, тъй като САЩ все още смятат, че само гражданите на САЩ заслужават конституционни права.
През 2013 г. Едуард Сноудън разкри, че правителството на САЩ е използвало „големи технологични“ компании и програми като „PRISM“ или „Upstream“ съгласно FISA 702 и EO 12.333, за да шпионира останалия свят без необходимост от вероятна причина или съдебно одобрение. Това не се ограничавало до престъпността или тероризма, но включвало и шпионаж на „партньори“ на САЩ. След закон на ЕС от 1995 г. личните данни по принцип не могат да се изпращат извън ЕС, освен ако няма „по същество еквивалентна“ защита в страната на местоназначението. Промишлеността на САЩ силно разчиташе на решението на Европейската комисия, наречено „Safe Harbor“, което обяви САЩ за „по същество еквивалентни“ през 2000 г.
През 2015 г. съдът на ЕС отмени решението на Комисията по дело C-362/14 („Schrems I“), като се имат предвид законите на САЩ за наблюдение. През 2016 г. Европейската комисия отново прие до голяма степен същото решение относно трансфера на данни между ЕС и САЩ, под новото име „Щит за защита на личните данни“, което беше отменено от Съда на ЕС в C-311/18 („Schrems II“) през 2020 г. до голяма степен на същите основания.
„Магическите“ трикове на Урсула и Джо. След анулирането на „Щита за защита на личните данни“ преговорите между ЕС и САЩ отбелязаха малък напредък. САЩ настояваха, че данните от ЕС ще останат обект на масово наблюдение от страна на САЩ и лицата, които не са граждани на САЩ, няма да имат същата защита като лицата от САЩ. След като в продължение на повече от година и половина нямаше почти никакво движение, според съобщенията САЩ са използвали войната в Украйна, за да окажат натиск върху ЕС за споделяне на лични данни. Скоро след това Джо Байдън и Урсула фон дер Лайен се срещнаха на 25 март 2022 г. Същия ден двамата внезапно „решиха“ това, което адвокатите не успяваха да решат, и представиха „принципно споразумение“, един „pager“, който по същество съдържа два „трика“, които трябва да успокоят обществеността:
Първо, Съдът на ЕС установи, че масовото наблюдение съгласно FISA 702 не е „пропорционално“ по смисъла на член 52 от Хартата на основните права на ЕС. „Новата“ изпълнителна заповед на САЩ 14086 (която до голяма степен е еквивалентна на PPD-28 от 2014 г.) сега ще включва думата „пропорционално“. „Трикът“ тук: САЩ ще припишат друго значение на думата „пропорционално“, от Съда на ЕС. EO 14086 обявява масовото наблюдение на FISA 702 за „пропорционално“ съгласно неразкритото „американско разбиране“ на думата и в противоречие с двете заключения на Съда на ЕС.
По този начин ЕС и САЩ успяха да твърдят, че са се споразумели за една и съща дума („пропорционално“) – дори когато няма съгласие относно значението на думата.
На второ място, Съдът на Европейския съюз установи, че правната защита чрез Щита за поверителност „Омбудсман“ дори не е в съответствие с член 47 на хартата – дори когато омбудсманът беше приветстван от Комисията през 2016 г. като „независима“ форма на „правна защита в областта на националната сигурност“.
„Трикът“ при правната защита: механизмът на омбудсмана беше преименуван и разделен на служител по защита на гражданските свободи (CLPO) и така наречения „съд“(който не е съд, а частично независим изпълнителен орган). Въпреки че има някои незначителни подобрения спрямо омбудсмана, физическото лице няма да има пряко взаимодействие с новите органи (ще трябва да изпрати жалба до орган за защита на данните в ЕС и няма да бъде изслушвано от САЩ) и те ще дадат същия отговор като предишния „омбудсман“. Съгласно EO 14086 CLPO и Съдът трябва при всички случаи да отговорят, като кажат: „Без да потвърждава или отрича, че жалбоподателят е бил обект на разузнавателни дейности на Съединените щати, прегледът или не е идентифицирал никакви обхванати нарушения, или Съдът за контрол на защитата на данните е издал решение, изискващо подходящо коригиране“ (вижте тук). Следователно „решението“ на този „съд“ е известно още преди да бъде заведено дело. Има много допълнителни проблеми с механизма, които до голяма степен ще гарантират, че жалбите дори няма да бъдат допуснати за разглеждане. Изглежда немислимо Съдът на ЕС да приеме това като „съдебна защита“ съгласно член 47 на хартата.
И накрая, САЩ отказаха да реформират FISA 702, за да предоставят разумна защита на поверителността на лицата извън САЩ. Има съгласие от двете страни на Атлантическия океан, че FISA 702 и EO 12.333 нарушават основните права съгласно четвъртата поправка в САЩ и членове 7, 8 и 47 на Хартата в ЕС – но САЩ продължават да настояват, че лицата, които не са граждани на САЩ нямат конституционни права в САЩ – следователно нарушаването на правото им на неприкосновеност на личния живот не е обхванато от четвъртата поправка.
Срокът на действие на FISA 702 ще трябва да бъде удължен до края на 2023 г., тъй като в законодателството на САЩ има „sunset clause“. Това би била перфектната възможност за подобряване на законодателството на САЩ, но като се има предвид новото споразумение с ЕС, няма да има особена причина САЩ да реформират FISA 702.
Като цяло новата „Трансатлантическа рамка за защита на личните данни“ е копие на Privacy Shield (от 2016 г.), което от своя страна е копие на „Safe Harbor“ (от 2000 г.). Като се има предвид, че този подход се провали два пъти преди, нямаше правно основание за промяна на курса – единствената логика да има сделка беше политическа.
Макс Шремс, председател на NOYB: „Те казват, че определението за лудост е да правиш едно и също нещо отново и отново и да очакваш различен резултат. Точно като „Щит за личните данни“, последната сделка не се основава на съществени промени, а на политически интереси. За пореден път сегашната Комисия изглежда смята, че бъркотията ще бъде проблемът на следващата Комисия. Тази година САЩ трябва да удължат срока на действие на FISA 702, но с обявяването на новата сделка ЕС загуби всякаква власт, за да постигне реформа на FISA 702““
Измами ме три пъти? Още след разкритията на Сноудън през 2013 г. Европейската комисия обяви, че ще „възстанови“ доверието и ще „направи Safe Harbor safer“ и ще излезе с „umbrella agreement“. През 2016 г. на журналистите беше казано, че „Щитът за личните данни“ ще означава, че „за първи път САЩ са дали на ЕС писмено уверение“, че ще има „ясни ограничения, предпазни мерки и механизми за надзор“ и дори „без безразборно масово наблюдение „. Нито едно от тези твърдения и системи не се е оказа устойчиво, поставено пред Съда на ЕС. В настоящата версия на усилията на Комисията за PR се включват едни и същи (постоянно повтарящи се) твърдения.
Макс Шремс: „Имахме „пристанища“, „чадъри“, „щитове“ и „рамки“ – но без съществена промяна в законодателството на САЩ за наблюдение. Днешните изявления за пресата са почти буквално копие на някогашните от последните 23 години . Само обявяването, че нещо е „ново“, „стабилно“ или „ефективно“, не е достатъчно пред Съда на ЕС. За да се осъществи това, ще са необходими промени в американското законодателство за наблюдение – а ние просто нямаме такива.“
Оспорването пред Съда на ЕС е готово за подаване. Всеки, чиито лични данни ще бъдат прехвърлени съгласно новата сделка, може да подаде възражение пред органите за защита на данните или съдилищата. NOYB подготви различни процедурни варианти за връщане на новата сделка пред Съда на ЕС. Очакваме новата система да бъде внедрена от първите компании през следващите месеци, което ще отвори пътя към реакцията на лице, чиито данни се прехвърлят по новия инструмент. Не е малко вероятно обжалването да стигне до Съда на ЕС до края на 2023 г. или началото на 2024 г. Тогава Съдът на ЕС дори ще има опцията да спре „Рамката“ за времето на процедурата. Окончателното решение на Съда на ЕС вероятно ще бъде взето до 2024 г. или 2025 г. Без значение дали такова предизвикателство ще бъде успешно, това ще внесе яснота в „Трансатлантическата рамка за поверителност на данните“ за около две години.
Макс Шремс: „Имаме различни възможности за оспорване, които вече са в чекмеджето, въпреки че сме уморени от този правен пинг-понг. В момента очакваме това да бъде върнато в Съда на ЕС до началото на следващата година. Тогава Съдът на ЕС може дори да спре новото споразумение, докато го разглежда по същество. В името на правната сигурност и върховенството на закона тогава ще получим отговор дали малките подобрения на Комисията са били достатъчни или не. За последните 23 години всички сделки между ЕС и САЩ бяха обявени за невалидни със задна дата, което правеше всички минали трансфери на данни от бизнеса незаконни – изглежда, че сега добавяме още две години от този пинг-понг.
Европейската комисия не проявява особена загриженост за върховенството на закона и неприкосновеността на личния живот на гражданите. Този трети опит да се приеме до голяма степен същото незаконосъобразно решение също повдига въпроси относно по-голямата роля на Европейската комисия като пазител на договорите на ЕС. Вместо да поддържа „върховенството на закона“, Комисията просто приема невалидно решение отново и отново, въпреки ясните решения на Съда на ЕС. Въпреки голямото възмущение след разкритията на Сноудън в ЕС и многократните призиви от страна на Европейския парламент да предприеме действия, Комисията изглежда дава приоритет на дипломатическите отношения със САЩ и бизнес натиска от двете страни на Атлантическия океан пред правата на европейците и изискванията на правото на ЕС.
Макс Шремс: „Комисията е призвана да бъде „пазител на договорите“ и защитник на „върховенството на закона“. Тя обича тази роля, когато става въпрос за държави членки, които нарушават правото на ЕС. Сега самата Комисия просто игнорира Съда на ЕС за трети път.“