Rámec ochrany soukromí (Data Privacy Framework), podobně jako jeho předchůdci (Safe Harbor, Privacy Shield) představuje samocertifikační systém spravovaný americkým Ministerstvem obchodu (Department of Commerce) a dozorovaný americkou Federální obchodní komisí (Federal Trade Commission) a Ministerstvem dopravy (Department of Transport). Americké soukromé společnosti, které se jako dovozci osobních údajů z Evropské unie, resp. Evropského hospodářského prostoru, přihlásí do programu Rámce ochrany soukromí, se zavazují dodržovat zásady programu, které jsou přílohou výše uvedeného rozhodnutí Komise.

Komise došla k závěru, že účast dovozce osobních údajů v programu Rámce ochrany soukromí zajišťuje odpovídající úroveň ochrany osobních údajů podle čl. 45 GDPR. Předání osobních údajů do Spojených států amerických společnostem, které jsou zapsány v programu Rámce ochrany soukromí, je tedy možné realizovat za stejných podmínek jako jakékoliv jiné předání osobních údajů v rámci Evropské unie, resp. Evropského hospodářského prostoru. Předávání na základě Rozhodnutí o odpovídající ochraně tak nemusí být doprovázeno žádnými doplňujícími opatřeními.

Předávání osobních údajů jiným společnostem, které nejsou zapsány v programu Rámce ochrany soukromí, bude nadále možné s využitím některého z nástrojů čl. 46 GDPR (typicky standardní smluvní doložky nebo závazná podniková pravidla). Vývozci osobních údajů budou nadále povinni provést vyhodnocení, zda daný nástroj skutečně poskytuje vhodné záruky pro předané údaje (Transfer Impact Assessment), nejlépe podle Doporučení Sboru 1/2020 k opatřením doplňujícím stávající nástroje předávání osobních údajů pro zajištění EU úrovně ochrany osobních údajů. V rámci tohoto vyhodnocení se však nyní mohou opřít o posouzení právního rámce ochrany osobních údajů ve Spojených státech, které Komise provedla v daném rozhodnutí.

V provedeném posouzení došla Komise i v palčivé otázce přístupu státních orgánů k osobním údajům k obecně platnému závěru, že právní rámec Spojených států amerických po přijetí prezidentského dekretu EO 14086 z října 2022 umožňuje orgánům veřejné moci přístup k předaným osobním údajům v rozsahu, který nejde nad rámec toho, co je nezbytné a přiměřené v demokratické společnosti.

Subjekty údajů z EU budou moci, pokud jde o shromažďování a používání jejich údajů zpravodajskými službami USA, využít nezávislého a nestranného nápravného mechanismu, jehož součástí je i nově zřízený Soud pro přezkum ochrany údajů. Tento soud bude předložené stížnosti nezávisle prošetřovat a řešit, mimo jiné tím, že bude přijímat závazná nápravná opatření.

European Commission adopts new adequacy decision for safe and trusted EU-US data flows