UE przyjęła Tarczę Prywatności danych – Safe Harbor żyje i ma się dobrze

O tym, że Safe Harbor nie może dłużej regulować standardów ochrony danych, które umożliwiałyby Amerykanom przechowywanie i administrowanie danymi osobowymi UE, przekonaliśmy się za sprawą Maximilliana Schremsa. Trybunał Sprawiedliwości Unii Europejskiej przyznał mu bowiem rację, że Stany Zjednoczone nie mogą być w świetle dotychczasowych regulacji uznawane za Bezpieczną Przystań dla danych Europejczyków. Bardziej szczegółowo opisywaliśmy niuanse tej sprawy w dzień ogłoszenia wyroku.[frame]W 2008 roku Maximillian Schrems, obywatel Austrii, założył konto na Facebooku. Jego dane osobowe były przechowywane na serwerach rozlokowanych w Irlandii – ten kraj często staje się lokalizacją banków danych ze względu na względnie mało surowe prawo w zakresie ich ochrony. W 2013 roku, gdy z inicjatywy Snowdena na jaw wyszła praktyka amerykańskiej służby NSA, złożył on skargę w sprawie działalności Amerykanów do irlandzkiego sądu. Jasnym stało się, że standardy wyznaczane przez „Safe Harbor” są naruszane na ogromną skalę.[/frame]Jasnym stało się zatem, że aby przepływ danych mógł zostać zachowany, konieczne jest sformułowanie nowego dokumentu, do opracowywania przystąpiono niezwłocznie. Dziś Komisja Europejska ogłosiła przyjęcie Tarczy Prywatności (Privacy Shield), czyli następcy Safe Harbor, która ma skuteczniej chronić dane Europejczyków przechowywane na serwerach zlokalizowanych poza wspólnotą.

Czy jednak jest tak rzeczywiście? Mankamentem Safe Harbor był między innymi zapis, który stanowił, że dane mogą być przechowywane przez firmę spełniającą standardy wymagane przez Unię Europejską, nawet jeśli państwo, w której działalność prowadzi ta firma, takich standardów nie przewiduje. W praktyce oznacza to, że przez dwadzieścia lat funkcjonowania Safe Harbor, postulaty Unii Europejskiej mogły nie znajdować pokrycia w prawie USA. Zaś ujawnienie programu PRISM przez Edwarda Snowdena dobitnie pokazało, że znajdowanie pokrycia należy tutaj rozumieć mocno eufemistycznie.

Praca nad nowym dokumentem przebiegała zatem w dużym pośpiechu, konieczne było bowiem jak najszybsze przyjęcie nowej umowy regulującej ruch. Problem jednak w tym, że nie można stwierdzić, aby Tarcza Prywatności różniła się szczególnie istotnie, przynajmniej w zakresie ochrony danych, od postanowień Safe Harbor. Wciąż bowiem obowiązek zapewniania odpowiedniej ochrony przenoszony jest na firmy administrujące danymi.

Deklaracje regularnych kontroli dokonywanych przez amerykańskie władze oraz coroczny audyt standardów bezpieczeństwa danych nie stanowią bowiem kroku naprzód. W Sieci nie brakuje głosów, według których Tarcza Prywatności jest po prostu przemianowanym Safe Harbor, które z konieczności wymuszonej wyrokiem Trybnuału, przepchnięto po raz kolejny przez proces legislacyjny pod nową nazwą.

To zaś może w przyszłości powodować kolejne problemy, a okres obowiązywania Tarczy Prywatności uczynić krótkotrwałym. Rząd amerykański, jak i Komisja Europejska, do woli mogą deklarować program regularnych audytów, który jednak całkowicie straci na znaczeniu, jeśli po raz wtóry Trybunał Sprawiedliwości uzna Tarczę za dokument, który nie zapewnia odpowiednich standardów i sprawi, że podzieli ona losy Safe Harbor, z którym zachowuje zbyt wiele podobieństw.