Одлука 2000/520 Европске комисије (одлука о Безбедном луку), која је утврдила да америчке компаније сертификоване за Безбедни лук обезбеђују адекватну заштиту личних података који им се преносе из ЕУ, проглашен је неважећим од стране Европског суда правде 6. октобра 2015. године у својој Случај Ц‑362/14 – Шремс против [ирског] Повереника за заштиту података пресуда.
Сертификација о безбедном луку не обезбеђује адекватан ниво заштите!
Након Сноуденових открића 2013. године да су приватни подаци смештени на серверима у Сједињеним Америчким Државама, у власништву или под контролом низа компанија које послују у области интернета и технологије, стављени на располагање у великој мери америчким обавештајним службама, аустријски активиста за заштиту приватности Максимилијан Шремс поднео је притужбу ирском Поверенику за заштиту података, тврдећи, у суштини, да закон и пракса Сједињених Америчких Држава не нуде стварну заштиту података који се чувају у Сједињеним Америчким Државама од државног надзора и захтевајући од Повереника да забрани Фејсбуку Ирска (Facebook Ireland) пренос његових личних података у Сједињене Америчке Државе.
Повереник је одбио жалбу и тврдио да га Одлука о сигуurnој луци (Safe Harbor) спречава да испита да ли је обезбеђен адекватан ниво заштите или не. Господин Шремс је покренуо поступак пред Вишим судом ради судске контроле, а Виши суд је одлучио да прекине поступак и да се обрати Суду правде Европске уније са захтевом за претходну одлуку о питању да ли је повереник апсолутно везан закључком Заједнице садржаним у Одлуци о сигурној луци, да Сједињене Државе обезбеђују адекватан ниво заштите у оквиру система сигурне луке, или повереник може и/или мора да спроведе сопствену истрагу, у светлу чињеничних развоја догађаја у међувремену од када је Одлука о сигурној луци први пут објављена.
Дана 23. септембра, генерални адвокат Ив Бот је изнео мишљење у случају Шремс (Schrems), тврдећи да постојање одлуке коју је усвојила Европска комисија, а којом се утврђује да одређена трећа земља обезбеђује адекватан ниво заштите, нема за последицу спречавање националног надзорног органа да истражи жалбу у којој се тврди да та иста трећа земља не обезбеђује адекватан ниво заштите пренетих личних података и, према потреби, да суспендује пренос тих података. Поред тога, генерални адвокат Бот предложио је Суду правде Европске уније да поништи Одлуку о безбедном лучком улучу (Safe Harbor). Суд правде Европске уније је у својој пресуди од 6. октобра утврдио да Комисија у Одлуци о безбедном луку није прописно образложила да Сједињене Америчке Државе заправо ‘обезбеђују’ адекватан ниво заштите. Осим тога, Суд правде је утврдио да је Комисија прекорачила овлашћења која су јој додељена тиме што је националним надзорним органима ускратила овлашћења да са потпуном независношћу испитају било који захтев који се односи на заштиту права и слобода појединца у вези са обрадом личних података који се на њега односе, тј. овлашћења да испитају да ли одређена трећа земља обезбеђује адекватан ниво заштите пренетих личних података.
Други механизми за међународне преносе личних података који су доступни према прописима ЕУ о заштити података
Први потпредседник Европске комисије Франс Тимерманс наведено да су и заштита личних података који се преносе преко Атлантика и наставак трансатлантичних токова података, уз одговарајуће заштитне мере, међу приоритетима Комисије. Ово је од изузетне важности за више од 4.000 америчких компанија које су се ослањале на Безбедну луку. Комесарка Вера Јоурова је додала да прописи ЕУ о заштити података предвиђају неколико других механизама који обезбеђују заштитне мере за међународне преносе личних података и да токови података могу да се наставити без Безбедне луке.
Прво, сама Директива 95/46/ЕЗ (Директива о заштити података) дозвољава преносе у трећу земљу која не обезбеђује адекватни ниво заштите под условом да је субјект података дао свој пристанак без двоумљења за предложени пренос, или ако је пренос:
- неопходно за извршење уговора, или
- неопходно или правно обавезује из важних разлога јавног интереса, или
- неопходно ради заштите виталних интереса субјекта података.
Други механизми за међународне преносе личних података који су доступни према закону ЕУ о заштити података укључују модел уредбених клаузула и обавезујућа корпоративна правила. Члан 26 (2) Директиве о заштити података предвиђа да држава чланица ЕУ може овластити пренос личних података у трећу земљу која не обезбеђује адекватан ниво заштите, у случају да контролор обезбеди одговарајуће заштитне мере. Такве заштитне мере могу посебно произаћи из одговарајућих уговорених клаузула. Европска комисија је до сада издала два скупа стандардних уговорених клаузула за преносе од контролора података до контролора података са седиштем ван ЕУ/ЕЕП и један скуп за пренос до обрађивача са седиштем ван ЕУ/ЕЕП. Обавезујућа корпоративна правила су, са друге стране, интерна правила која усваја мултинационална група компанија која дефинише своју глобалну политику у вези са међународним преносима личних података у оквиру исте корпоративне групе на субјекте који се налазе у земљама које не обезбеђују адекватан ниво заштите и која затим одобрава један водећи орган за заштиту података у ЕУ. Водећи орган управља процедуром сарадње ЕУ са другим релевантним органима за заштиту података, односно органима за заштиту података оних земаља из којих субјекти групе преносе личне податке на субјекте смештене у земљама које не обезбеђују адекватан ниво заштите.
Коначно, реструктурирање архитектуре складиштења података мигрирањем сервере података у европске земље како би се осигурало да европски подаци остану у Европи увек је опција, али може донети значајне трошкове.
Колико би требало да будете забринути за пренос личних података из Србије?
Иако није држава чланица ЕУ, Србија је страна уговора Савета Европе Конвенција о заштити лица у односу на аутоматску обраду личних података и његово Додатни протокол у вези са надзорним органима и прекограничним преносима података. Према члану 2. Додатног протокола, Србија може да дозволи пренос у трећу земљу која није страна Конвенције само ако та земља обезбеђује адекватан ниво заштите. Одступајући од тог правила, Србија може да дозволи пренос личних података ако домаће право то предвиђа због специфичних интереса лица на које се подаци односе, или легитимних превладавајућих интереса, посебно важних јавних интереса, или ако заштитне мере, које посебно могу произаћи из уговорних клаузула, обезбеђује руковалац одговоран за пренос и ако их надлежни органи утврде адекватним у складу са домаћим правом.
Српски Закон о заштити података о личности предвиђа да се подаци могу пренети из Србије у земљу која није страна Конвенције, ако таква земља има на снази пропис или уговор о преносу података који обезбеђује ниво заштите података који је еквивалентан оном предвиђеном Конвенцијом. Одобрење за пренос се мора добити од Повереника за заштиту података о личности, који издаје такво одобрење након разматрања да ли су испуњени захтеви и обезбеђене заштитне мере за пренос. Ограничен број поднетих захтева и издатих одобрења који омогућавају пренос у САД служе као индикација да су већина трансатлантских токова података из Србије заправо илегални.
Поништење одлуке о Безбедній луци (Safe Harbor), мада повереник за заштиту података о личности Србије никада није био везан њоме, имаће своје последице и у Србији. Сам повереник је издао изјава 7. октобра, похваливши Шремсову пресуду и инсистирајући на обавези Србије да својим грађанима и становницима обезбеди ниво заштите података какав предвиђају Устав, Закон о заштити података о личности и Конвенција чији је Србија потписник, исто као и свака земља ЕУ. Испуњење те обавезе захтеваће строги надзор, а строги надзор може довести до обуставе неовлашћених преноса, изрицања новчаних казни, па чак и кривичног гоњења одговорних за неовлашћене преносе.
Пратићемо даљи развој догађаја и истражити како ће одлука Европског суда правде утицати на токове података из Србије. За све информације у вези са заштитом података у Србији, слободно контактирајте Слободана Кремењака (slobodan.kremenjak@zslaw.rs), Весна Живковић (vesna.zivkovic@zslaw.rs), Милош Стојковић (milos.stojkovic@zslaw.rs), или било ког од ваших уобичајених контакт особа у Живковић|Самарџић.