Wpływ wyroku Trybunału Sprawiedliwości UE Schrems II (C-311/18) na transfery danych do USA

Tarcza Prywatności – Privacy Shield

Od 16 lipca 2020 r. decyzja wykonawcza Komisji (UE) 2016/1250 z dnia 12 lipca 2016 r., tzw. Privacy Shield (Tarcza Prywatności), jest nieważna, co oznacza, że od tego dnia Tarcza Prywatności nie może być traktowana jako podstawa transferu danych osobowych do USA. Trybunał wskazał, że wymogi prawa krajowego Stanów Zjednoczonych, w szczególności uprawnienia władz amerykańskich do dostępu do danych osobowych w celach bezpieczeństwa narodowego, nie przyznają podmiotom danych praw, które mogłyby być egzekwowane przed amerykańskimi sądami.

Pomimo, że decyzja z pozoru dotyczy tylko Tarczy Prywatności, sprawa Schrems II dotyczyła dwóch podstaw przekazywania danych osobowych do państw trzecich, w kontekście transferów do USA:

• porozumienia Tarcza Prywatności,
• tzw. standardowych klauzul umownych.

Co powinien zrobić administrator danych?

Należy sprawdzić, czy w organizacji nie dochodzi do transferów danych do USA na podstawie Pirvacy Shield. Jeśli dochodzi, są dwie możliwości:

• znalezienie innej podstawy transferu, 
• wstrzymanie transferu.

Jeżeli transfer danych był oparty na standardowych klauzulach umownych wówczas dla jego bezpiecznego kontynuowania, z uwagi na zakwestionowane uprawnienie amerykańskich służ specjalnych konieczne jest dokonanie sprawdzenia, we współpracy z podmiotem odbierającym dane czy oceny czy nie należy udzielić dodatkowych zabezpieczeń ponad te, które są przewidziane w klauzulach.

Więcej w newsletterze dotyczącym zagadnień prawa HR - PRO HR sierpień 2020.