Jó nagy követ hajított az Európai Bíróság tavaly októberben az Atlanti-óceán vizébe a Schrems-ügyben hozott ítéletével, amelyben a Bíróság érvénytelennek nyilvánította az Európai Bizottság Safe Harbor (biztonságos kikötő) határozatát. A Safe Harbor rendszer biztosította ugyanis, hogy az EU és az USA között viszonylag könnyen lehessen adatokat továbbítani. A Safe Harbor határozat elkaszálásával a cégeknek nem maradt más választásuk, mint a kötelező szervezeti szabályozás (binding corporate rules, BCR) vagy ún. modellszerződések (általános szerződési feltételek, standard contractual clauses) alkalmazása. Ám az ítéletet követően lázas munka indult a Safe Harbor keretrendszer pótlása érdekében és úgy tűnik, hogy a február eleji elvi megállapodást követően, február végére megszületett a Privacy Shield (adatvédelmi pajzs) néven futó határozattervezet is.

Mi az a Privacy Shield? Miért jobb ez, mint a Safe Harbor?  

A Privacy Shield célja, hogy megkönnyítse a transzatlanti adatáramlást. A Privacy Shield mellett érvként azt hozzák fel leggyakrabban, hogy az USA hatóságai határozott (írásban rögzített) kötelezettséget vállaltak a Privacy Shield szigorú végrehajtására, és kizárták (bizonyos kivételekkel) annak lehetőségét, hogy a nemzetbiztonsági hatóságok megkülönböztetés nélküli vagy tömeges adatmegfigyelést végezzenek.   

Főbb garanciákként az alábbiakat szokták kiemelni:

• a vállalatokra vonatkozó szigorú kötelezettségek és határozott végrehajtás;
• egyértelmű biztosítékok és átláthatósági kötelezettségek az amerikai kormányzati hozzáférésre nézve: ebbe a körbe tartozik egy független ombudsmani mechanizmus kialakítása;
• hatékony jogorvoslati lehetőségek megteremtése: az uniós polgárok panaszait 45 napon belül el kell bírálniuk a vállalatoknak, ingyenes alternatív vitarendezési megoldásokat kell biztosítani, az uniós polgárok saját nemzeti adatvédelmi hatóságukhoz is fordulhatnak a panaszaikkal;
• éves felülvizsgálat: a rendszer működését közösen felülvizsgálják a felek és a Bizottság jelentést nyújt be erről az Európai Parlamentnek és a Tanácsának.  

Hogyan működik majd a gyakorlatban?

A cégeknek, amelyek a Privacy Shield alapján akarnak adatokat fogadni az USA-ban szerepelniük kell az ún. Privacy Shield listán (hasonlóan a Safe Harbor rendszerhez). Ez egy önbevalláson alapuló rendszer, azaz a cégek magukról jelentik ki, hogy megfelelnek a követelményeknek. Ezt a bejelentkezést évente meg kell tenni.

Az USA hatóságai pedig ellenőrzik, hogy a cégek valóban megfelelnek-e a követelményeknek, továbbá karban tartják a listát, azaz törlik azokat a cégeket, amelyek már nem biztosítják a megfelelő védelmet. (Ugyanakkor a listáról törölt cégeknek is biztosítaniuk kell a megfelelő védelmet a korábban, azaz a Privacy Shield oltalma alatt szerzett adatok tekintetében.)  

Hogyan tovább?

Jelenleg a tervezet véleményezése történik, illetve konzultáció a 29. cikk szerinti munkacsoporttal. Az USA pedig megteszi az előkészületeket az általa ígért garanciák megteremtése tekintetében (pl. új ombudsmani mechanizmus felállítása). Ezt követően kerülhet majd sor a határozat Tanács által elfogadására.

Új rendszer vagy Safe Harbor 2.0?

A Privacy Shield-et érintő főbb kritikák szerint nem történik más, csak a korábbi Safe Harbor rendszer kicsit felturbózott változatát léptetik életbe a felek, amely ismét bukésra van ítélve. Problémásnak ítélik sokan, hogy a nemzetbiztonsági hatóságok megkülönböztetés nélküli vagy tömeges adatmegfigyelést főszabály szerint nem végezhetnek, de az NSA bizonyos esetekben mégis jogosult lehet tömeges adatgyűjtésre. Megkérdőjelezik az ombudsmani rendszer függetlenségét is, hiszen az az USA külügyminisztériumához tartozna, így a kormányzattól nem különül el megfelelően.

Max Schrems, aki a Safe Harbornak kegyelemdöfést adó bírósági ügy kezdeményezője volt, úgy kommentálta a Privacy Shield-rendszert, hogy nem történik más, minthogy jó sok réteg rúzs kerül ugyanarra a malacra ("they put ten layers of lipstick on a pig..."), mivel a felszíni kezelés mellett az igazi aggodalmak kapcsán nem nyújt megnyugtató megoldást.   

Egy biztos, az érintett cégek várják az új rendszer elindulását. Az pedig, hogy meddig marad életben, menet közben kiderül majd.  

(Kép forrása: stock photo, www.photodune.net)