Trybunał Sprawiedliwości UE w wydanym 16 lipca 2020 r. wyroku w sprawie C-311/18 Data Protection Commissioner przeciwko Facebook Ireland Ltd. i Maximilian Schrems, stwierdził nieważność decyzji wykonawczej Komisji Europejskiej (UE) 2016/1250 w sprawie adekwatności ochrony zapewnianej przez Tarczę Prywatności UE-USA. W konsekwencji powyższego przekazywanie danych do USA od 16 lipca 2020 r. nie może odbywać się na podstawie przedmiotowej decyzji.

Nie oznacza to jednak, że aktualnie nie jest możliwe przekazywanie danych osobowych do Stanów Zjednoczonych Ameryki. TSUE potwierdził dalsze obowiązywanie decyzji Komisji Europejskiej 2010/87 w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych podmiotom przetwarzającym dane mającym siedzibę w krajach trzecich. Co istotne, chociaż standardowe klauzule umowne pozostają ważne, TSUE podkreśla potrzebę zapewnienia, aby w praktyce utrzymały one stopień ochrony zasadniczo równoważny temu gwarantowanemu przez RODO w świetle Karty praw podstawowych Unii Europejskiej. Należy także pamiętać, że ocena stopnia ochrony danych zapewnianej w ramach transgranicznego przekazywania danych jest przede wszystkim obowiązkiem podmiotu przekazującego dane i podmiotu odbierającego dane.

W dalszym ciągu można również w szczególnych sytuacjach przekazywać dane osobowe do USA w oparciu o art. 49 RODO. Zgodnie z tym przepisem, przekazanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej może nastąpić wyłącznie pod warunkiem, że:

1. osoba, której dane dotyczą, poinformowana o ewentualnym ryzyku, z którymi – ze względu na brak decyzji stwierdzającej odpowiedni stopień ochrony oraz na brak odpowiednich zabezpieczeń – może się dla niej wiązać proponowane przekazanie, wyraźnie wyraziła na nie zgodę;
2. przekazanie jest niezbędne do wykonania umowy między osobą, której dane dotyczą, a administratorem lub do wprowadzenia w życie środków przedumownych podejmowanych na żądanie osoby, której dane dotyczą;
3. przekazanie jest niezbędne do zawarcia lub wykonania umowy zawartej w interesie osoby, których dane dotyczą, między administratorem a inną osobą fizyczną lub prawną;
4. przekazanie jest niezbędne ze względu na ważne względy interesu publicznego;
5. przekazanie jest niezbędne do ustalenia, dochodzenia lub ochrony roszczeń;
6. przekazanie jest niezbędne do ochrony żywotnych interesów osoby, których dane dotyczą, lub innych osób, jeżeli osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody; lub
7. przekazanie następuje z rejestru, który zgodnie z prawem Unii lub prawem państwa członkowskiego ma służyć za źródło informacji dla ogółu obywateli i który jest dostępny dla ogółu obywateli lub dla każdej osoby mogącej wykazać prawnie uzasadniony interes – ale wyłącznie w zakresie, w jakim w danym przypadku spełnione zostały warunki takiego dostępu określone w prawie Unii lub w prawie państwa członkowskiego.

Europejska Rada Ochrony Danych w oświadczeniu wydanym w związku z wyrokiem Trybunału Sprawiedliwości Unii Europejskiej w sprawie C-311/18 – Data Protection Commissioner przeciwko Facebook Ireland i Maximillian Schrems, odnosząc się do Tarczy Prywatności zwróciła uwagę, że UE i USA powinny osiągnąć kompletne i skuteczne ramy gwarantujące, że stopień ochrony danych osobowych w USA jest zasadniczo równoważny temu gwarantowanemu w UE, zgodnie z orzeczeniem.

W przypadku pytań pozostajemy do Państwa dyspozycji.