Суд Європейського Союзу постановив, що Сполучені Штати у питаннях захисту персональних даних, що передаються з ЄС до США, не дотримуються принципу пропорційності, прийнятого ЄС, через погано адаптовані програми спостереження. Це є чітким попереджувальним сигналом для контролерів даних. Суд постановив, що спостереження за обробкою персональних даних у США не відповідає стандартам ЄС для осіб, які не є громадянами США. Вимоги, що застосовуються владою США, не надають особам прав, які можна захистити в суді.
Чи безпечна передача даних до США?
Визнання рішення недійсним не означає, що персональні дані не можуть бути передані до США. Така можливість все ще існує згідно зі статтею 49 GDPR за умови, що:
- суб'єкт даних надав свою згоду, але попередньо був поінформований про ризики, пов'язані з передачею даних,
- передача необхідна для виконання договору між контролером та суб'єктом даних,
- передача даних необхідна для пред'явлення претензій,
- або дані передаються на запит суб’єкта даних у зв’язку з укладенням майбутнього договору.
Недійсність рішення 2016/1250
Рішення Суду ЄС було прийнято після скарги, поданої Максиміліаном Шремсом до ірландського наглядового органу з вимогою заборонити Facebook Ireland передавати персональні дані користувачів з ЄС на сервери, що належать Facebook Inc., розташовані у Сполучених Штатах. Заявник стверджував, що Сполучені Штати не забезпечують належного захисту даних користувачів від органів державної влади. Європейська Комісія відхилила скаргу (Рішення ЄС 2000/520). Ірландський суд потім направив питання до Суду ЄС для ухвалення попереднього рішення. Суд визнав вищезгадане рішення Комісії недійсним (рішення у справі Шремса I). Відповідно, Шремс вніс зміни до скарги та просив про призупинення або заборону передачі його персональних даних до Сполучених Штатів. Чи буде скарга Шремса успішною залежати від дійсності Рішення 2010/87. Тому ірландський наглядовий орган розпочав судове провадження з метою подання запиту про ухвалення попереднього рішення до Суду ЄС.
Комісія ухвалила Рішення 2016/1250 щодо адекватності захисту, що забезпечується GDPR та Privacy Shield, стосовно нормативних актів, що застосовуються США. Суд висловив сумніви щодо дійсності рішень 2010/87 та 2016/1250. Суд визнав Рішення 2010/87 дійсним стосовно Хартії основних прав Європейського Союзу, але оголосив Рішення 2016/1250 недійсним.
Рішення 2016/1250 було визнано Судом як рішення, яке надавало пріоритет національній безпеці, суспільним інтересам та дотриманню законодавства США, що призвело до втручання в основні права осіб, чиї дані були передані.
