Úřad pro ochranu osobních údajů

Soudní dvůr Evropské unie v rozsudku ve věci C-362/14 Maximillian Schrems v. Data Protection Commissioner ze dne 6. října 2015 prohlásil za neplatné rozhodnutí Komise ze dne 26. července 2000 podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně poskytované podle zásad „bezpečného přístavu“ a s tím souvisejících „často kladených otázek“ vydaných Ministerstvem obchodu Spojených států amerických, na základě kterého bylo dosud možné předávat osobní údaje do Spojených států amerických společnostem, které se zavázaly dodržovat zásady „bezpečného přístavu“ (Safe Harbor).

Spojené státy americké se řadí k tzv. třetím zemím s nedostatečnou úrovní ochrany osobních údajů. Jako zvláštní nástroj k zajištění odpovídající úrovně ochrany osobních údajů i po jejich předání příjemci do Spojených států amerických vytvořila Evropská komise společně s vládními orgány Spojených států amerických v roce 2000 systém „bezpečného přístavu“ („Safe Harbor“), definovaného rozhodnutím Komise ze dne 26. července 2000. Na základě dnes již zrušeného rozhodnutí Komise o „bezpečném přístavu“ bylo možné volně předávat osobní údaj z EU do USA společnostem, které se přihlásily k dodržování principů bezpečného přístavu. Z pohledu EU se de facto jednalo o závazek USA, že předávaným údajům bude zajištěna ze strany této společnosti odpovídající úroveň ochrany podle stejných principů, kterými se řídí ochrana údajů v EU (omezení účelu, kvalita a přiměřenost zpracovávaných dat, bezpečnost, transparentnost, omezení dalšího předávání atd.). 

Odhalení sledovacích programů Spojených států (PRISM apod.), v rámci kterých docházelo k  předávání údajů občanů Evropské unie prostřednictvím některých internetových společností americkým veřejným orgánům, mělo negativní dopad na důvěru ve způsob zpracování a ochrany osobních údajů v USA.

K tématu bezpečnosti předávaných osobních údajů do USA se v minulosti vyjádřila Evropská komise ve sdělení Evropskému parlamentu a Radě ze dne 27. listopadu 2013 („Obnovení důvěry v toky údajů mezi EU a USA“) a dále také Evropský parlament v  usnesení Evropského parlamentu ze dne 21. února 2014 o programu agentury NSA (USA) pro sledování, subjektech členských států pro sledování a dopadech na základní práva občanů EU a na transatlantickou spolupráci v oblasti spravedlnosti a vnitřních věcí (2013/2188(INI).  Úřad od té doby upozorňoval vývozce osobních údajů do USA, že účast příjemce osobních údajů v programu Safe Harbor sama o sobě fakticky nemůže zajistit odpovídající úroveň ochrany osobních údajů ve Spojených státech amerických, a doporučoval předávání zajistit prostřednictvím jiných nástrojů.

K rozsudku ESD se ve svém prohlášení ze dne 16. října 2015 vyjádřila i Pracovní skupina podle čl. 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (WP 29). WP 29 především ve svém stanovisku vyzvala členské státy EU a evropské instituce k tomu, aby byly zahájeny diskuze s americkými úřady za účelem nalezení politického, právního a technického řešení, které by umožnilo pokračovat v předávání dat z EU do USA.

Do doby, než bude přijata ze strany orgánů Evropské unie alternativa k programu Safe Harbor, je nutné zajistit předání osobních údajů do Spojených států amerických, které se ukáže být nezbytně nutným k naplnění stanovených účelů, jinými nástroji, jimiž lze zajistit odpovídající úroveň ochrany osobních údajů ve třetích zemích s nedostatečnou úrovní ochrany osobních údajů, mezi kterými se jako nejvhodnější jeví standardní smluvní doložky nebo závazná podniková pravidla. V podobném smyslu se vyjádřila i WP 29 ve svém stanovisku, když konstatovala, že předávání dat je stále možné na základě standardních smluvních doložek nebo závazných podnikových pravidel.

V souvislosti s využitím standardních smluvních doložek Úřad doporučuje, aby  správce/vývozce údajů jako jedna ze smluvních stran vždy důkladně zvážil rizika související s předáváním a prověřil, zda je vývozce údajů schopen dodržet zásady, k nimž se ve standardních smluvních doložkách zavázal. Je totiž především odpovědností vývozce údajů vyvinout přiměřené úsilí k tomu, aby zjistil, že je dovozce údajů schopen dostát svým závazkům vyplývajícím z doložek.

V případě dotazů týkajících se dopadů rozsudku ESD lze kontaktovat Úřad na tel. 234 665 315 nebo 234 665 201.