Tengerentúli adatáramlás: döcögve közeleg a megoldás
2022. márciusában Ursula von der Leyen, az Európai Bizottság elnöke és Joe Biden, az Amerikai Egyesült Államok elnöke közös politikai nyilatkozatban jelentették be, hogy 2022 végére az úgynevezett Trans-Atlantic Data Privacy Framework (keretmegállapodás) keretében harmadszor is megpróbálják rendezni az európai polgárok személyes adatainak Egyesült Államokba való továbbításának helyzetét. Az alapelvekben való megállapodás után ezidáig konkrét lépések nem születtek a keretmegállapodás jogi keretek közé emelésére, azonban a napokban Biden elnöki rendeletet írt alá az USA és az EU között megkötendő adatvédelmi keretrendszerhez kapcsolódó elektronikus hírszerzési tevékenység (SIGINT) vonatkozásában. Ez megteremti a keretmegállapodás mielőbbi létrejöttének és hatályba lépésének a lehetőségét.
Nem elhanyagolható jelentőségű ügyről van szó, hisz érzékenyen érinti a legnagyobb platformokat és közösségimédia-szolgáltatókat is. A probléma 2020 óta borzolja a kedélyeket, amikor az Európai Unió Bírósága meghozta a Schrems II. döntését. Ez érvénytelennek nyilvánította az adattovábbítás akkori kereteit (EU–USA adatvédelmi pajzsról szóló határozat), mondván, hogy az Atlanti-óceán túloldalára történő adattovábbítás gyakorlata nem felel meg a GDPR előírásainak.
Az ilyen adattovábbítás azóta lényegében szabályozatlan, és ez bonyodalmat okoz az érintett szervezeteknek, köztük olyan vállalatóriásoknak, mint az Apple, a Google vagy az Amazon.
Az EUB Schrems II. ügyben tett megállapításaira reflektálva az új keretmegállapodásban lefektetett alapelvek között szerepel az amerikai nemzetbiztonsági hírszerzési szolgálatokhoz továbbított adatok korlátozott hozzáférésének és felhasználásának a rögzítése, egy független és kötelező erejű döntésre jogosult kétlépcsős jogorvoslati rendszer felállítása (Data Protection Review Court), valamint a továbbított adatokhoz hozzáférő szervezetekre vonatkozó szigorú szabályok kidolgozása.
A Biden által elfogadott elnöki rendelet az amerikai hírszerzési tevékenység szabályainak rendezésével ezekre az adattovábbítási előírásokra kívánt választ adni. A rendelet egyebek között előírja, hogy hírszerzési tevékenység kizárólag jól meghatározott nemzetbiztonsági célból végezhető, és ezt különböző garanciákkal kívánja biztosítani. Továbbá a rendelet előírja a hírszerzési tevékenység keretében gyűjtött személyes adatok kezelésének szabályait, valamint lehetővé teszi, hogy a tagállamok polgárai és gazdasági integrációs szervezetek jogi eljárást indítsanak, ha vélelmezik, hogy a SIGINT jogszerűtlenül jutott hozzá személyes adatokhoz.
A keretmegállapodás megalkotásával az EU és az USA jelentős lépést tenne egy olyan jogi helyzet irányába, amely megfelel a GDPR idevonatkozó 45. cikkének, és megnyitná az utat az EU és az USA közötti szabad adatáramlás felé.
Ám amíg ez nem történik meg, addig az adatkezelők számára marad az uniós szerződéses modell klauzulák (SCC), valamint az úgynevezett kötelező erejű vállalati szabályok alkalmazása a transzatlanti adattovábbításhoz. Ezek számos többletfeladatot (további biztonsági intézkedések bevezetését és adattovábbítási hatáselemzés lefolytatását) rónak az érintett piaci szereplőkre, akik okkal követelik helyzetük rendezését.
Az Európai Adatvédelmi Testület egyébként üdvözölte az uniós védelmi szinttel lényegében azonos védelmi szintet biztosító keretrendszer kidolgozását, és kifejezte az abban való aktív részvételi szándékát.
Portfóliónk minőségi tartalmat jelent minden olvasó számára. Egyedülálló elérést, országos lefedettséget és változatos megjelenési lehetőséget biztosít. Folyamatosan keressük az új irányokat és fejlődési lehetőségeket. Ez jövőnk záloga.