Суд Европейского союза установил, что Соединенные Штаты в вопросах защиты персональных данных, передаваемых из ЕС в США, не соблюдают принцип соразмерности, принятый ЕС, из-за плохо адаптированных программ слежки. Это посылает четкий сигнал тревоги операторам данных. Суд установил, что слежка США за обработкой персональных данных не соответствует стандартам ЕС для лиц, не являющихся гражданами США. Требования, применяемые властями США, не предоставляют физическим лицам прав, которые могут быть защищены в суде.
Безопасна ли передача данных в США?
Решение, признанное недействительным, не означает, что персональные данные не могут быть переданы в США. Такая возможность по-прежнему существует в соответствии со статьей 49 GDPR при условии, что:
- Субъект данных дал свое согласие, но был предварительно проинформирован о рисках, связанных с передачей данных
- Передача данных необходима для исполнения договора между контроллером и субъектом данных
- Передача данных необходима для рассмотрения претензий
- или данные передаются по запросу субъекта данных в связи с заключением будущего договора.
Недействительность решения 2016/1250
Решение Суда Европейского союза было вынесено по жалобе Максимилиана Шремса, поданной в ирландский надзорный орган с просьбой запретить Facebook Ireland передавать персональные данные пользователей из ЕС на серверы Facebook Inc., расположенные в Соединенных Штатах. Заявитель утверждал, что Соединенные Штаты не обеспечивают надлежащую защиту данных пользователей от государственных органов. Жалоба была отклонена Европейской комиссией (Решение ЕС 2000/520). Затем ирландский суд направил запрос в Суд Европейского союза для предварительного решения. Суд признал вышеупомянутое решение Комиссии недействительным (решение по делу Шремса I). В результате Шремс внес поправки в жалобу и потребовал приостановления или запрета передачи его персональных данных в Соединенные Штаты. Успех жалобы Шремса зависел от действительности Решения 2010/87. Поэтому ирландский надзорный орган инициировал судебное разбирательство для подачи запроса на предварительное решение в Суд Европейского союза.
Комиссия приняла Решение 2016/1250 о достаточности защиты, предоставляемой GDPR и Privacy Shield, в отношении правил, применяемых в США. Суд выразил сомнения относительно действительности Решений 2010/87 и 2016/1250. Суд признал Решение 2010/87 действительным в отношении Хартии основных прав Европейского союза, но признал Решение 2016/1250 недействительным.
Решение 2016/1250 было расценено Судом как решение, в котором приоритет отдавался национальной безопасности, общественным интересам и соблюдению законодательства США, что привело к вмешательству в основные права лиц, чьи данные были переданы.
