Соглашение о защите конфиденциальности ЕС –США было правовой основой для регулирования трансатлантического обмена персональными данными в коммерческих целях между Европейским союзом и Соединенными Штатами . [1] Одной из его целей было предоставление компаниям США возможности более легко получать персональные данные от субъектов ЕС в соответствии с законами ЕС о конфиденциальности, призванными защищать граждан Европейского союза. [2] Соглашение о защите конфиденциальности ЕС–США вступило в силу 12 июля 2016 года после его одобрения Европейской комиссией . Оно было введено в действие для замены принципов конфиденциальности International Safe Harbor , которые были признаны недействительными Европейским судом в октябре 2015 года. [3] Европейский суд объявил Соглашение о защите конфиденциальности ЕС–США недействительным 16 июля 2020 года в деле, известном как Schrems II . [4] В 2022 году лидеры США и ЕС объявили, что в принципе была согласована новая структура передачи данных, называемая Trans-Atlantic Data Privacy Framework , которая заменила Privacy Shield. [5] Однако неясно, какие изменения будут необходимы или достаточны для того, чтобы это удалось без дополнительных юридических проблем.
В октябре 2015 года Европейский суд признал недействительной предыдущую структуру, названную принципами конфиденциальности International Safe Harbor, в постановлении, которое позже стало известно как «Schrems I». [3] Вскоре после этого решения Европейская комиссия и правительство США начали переговоры о новой структуре, и 2 февраля 2016 года они достигли политического соглашения. [1] Европейская комиссия опубликовала проект «решения об адекватности», объявив принципы эквивалентными защите, предлагаемой законодательством ЕС. [6]
Рабочая группа по защите данных Статьи 29 вынесла заключение 13 апреля 2016 года, заявив, что Privacy Shield предлагает значительные улучшения по сравнению с решениями Safe Harbor, но что три основных момента, вызывающих озабоченность, все еще остаются. Они касаются удаления данных, сбора огромных объемов данных и разъяснения нового механизма омбудсмена. [7] Европейский инспектор по защите данных вынес заключение 30 мая 2016 года, в котором он заявил, что «Privacy Shield в его нынешнем виде недостаточно надежен, чтобы выдержать будущую юридическую проверку в [Европейском] суде». [8]
8 июля 2016 года представители государств-членов ЕС (комитет статьи 31) одобрили окончательную версию Соглашения о защите конфиденциальности ЕС-США, открыв путь для принятия решения комиссией. [9] Европейская комиссия приняла рамку 12 июля 2016 года, и она вступила в силу в тот же день. [10] [11]
25 января 2017 года президент США Дональд Трамп подписал указ под названием « Усиление общественной безопасности », в котором говорится, что защита конфиденциальности в США не будет распространяться за пределы граждан или резидентов США:
Агентства должны, в той мере, в какой это соответствует применимому законодательству, гарантировать, что их политика конфиденциальности исключает лиц, не являющихся гражданами Соединенных Штатов или законными постоянными жителями, из сферы защиты Закона о конфиденциальности в отношении персонально идентифицируемой информации . [12]
Этот указ был отменен президентом Джо Байденом 20 января 2021 года. [13]
Европейская комиссия заявила, что:
Закон США о конфиденциальности никогда не предлагал права на защиту данных европейцам. Комиссия договорилась о двух дополнительных инструментах, чтобы гарантировать, что данные граждан ЕС будут должным образом защищены при передаче в США:
- Соглашение о правилах обмена конфиденциальной информацией между ЕС и США, которое не опирается на защиту, предусмотренную Законом США о конфиденциальности.
- Соглашение ЕС–США, вступающее в силу 1 февраля (2017 г.). Для завершения этого соглашения Конгресс США принял в 2017 г. новый закон, Закон США о судебном возмещении ущерба, [14] который распространяет преимущества Закона США о конфиденциальности на европейцев и дает им доступ к судам США». [15]
Комиссия заявила, что «продолжит следить за реализацией обоих инструментов». [15]
В целом, существует семь основных принципов, которые разработала организация. Они изложены в следующих параграфах: [16]
Немецкий депутат Европарламента Ян Филипп Альбрехт и австрийский активист Макс Шремс раскритиковали новое постановление, причем последний предсказал, что комиссия может совершить «туда и обратно в Люксембург » (где находится Европейский суд справедливости (CJEU)). [17] [ необходимо разъяснение ] Многие европейцы потребовали механизма, позволяющего отдельным гражданам Европы подавать жалобы на использование их данных, а также схему прозрачности, которая гарантировала бы, что данные европейских граждан не попадут в руки американских спецслужб. [18]
Privacy Shield был оспорен в судебном порядке группами по защите конфиденциальности. [19] [20] Первоначально не было ясно, будут ли случаи считаться приемлемыми. [21] [22] Однако к февралю 2017 года будущее Privacy Shield было оспорено. Один из консультантов, Мэтт Эллисон, предсказал, что «управляемая гражданами, регулируемая модель ЕС быстро вступит в конфликт с рыночными силами США и Великобритании». [23] Эллисон подвел итог новому документу, в котором Европейская комиссия излагает свои планы по адекватным решениям и глобальной стратегии. [24]
В декабре 2019 года Суд Европейского союза (CJEU) вынес предварительное заключение по делу Комиссара по защите данных против Facebook Ireland (также известному как Schrems II ). В нем были изложены различные сценарии, которые могут возникнуть в результате конфликта режимов. Один юрист пришел к выводу, что заключение «должно вызвать равные меры облегчения и тревоги для правительства США и для компаний, зависящих от передачи данных». [25]
Окончательное решение CJEU было опубликовано 16 июля 2020 года в Schrems II . [26] [27] Соглашение о защите конфиденциальности ЕС–США для обмена данными было отменено Европейским судом на том основании, что оно не обеспечивало адекватной защиты граждан ЕС от правительственного надзора. [4] Европейский совет по защите данных (EDPB), организация ЕС, решения которой являются обязательными для национальных органов надзора за конфиденциальностью, заявила, что «передача данных на основе этой правовой базы является незаконной». [28] Это решение не полностью прекратило передачу данных между ЕС и другими зарубежными странами, поскольку суд поддержал использование «стандартных договорных положений» (SCC). Но SCC не обязательно защищают данные в странах, где закон принципиально несовместим с Хартией основных прав ЕС и Общим регламентом по защите данных (GDPR), как в США. Существующий тупик был предметом текущих академических предложений и исследований. [29]
25 марта 2022 года США и ЕС объявили о достижении нового соглашения о передаче данных. [5] Новая структура, называемая Трансатлантической структурой конфиденциальности данных , позволит гражданам ЕС преследовать нарушения конфиденциальности данных через новый «Суд по надзору за защитой данных». [5] [30] 7 октября 2022 года президент Байден подписал указ о внедрении структуры передачи данных между Европейским союзом и США, которая принимает новые американские гарантии конфиденциальности сбора разведывательной информации. [31] [32]
Ожидается, что решение относительно влияния Brexit на Privacy Shield будет принято 31 декабря 2020 года, но оно может оказаться спорным из-за решения Суда Европейского союза. [33]
Новая версия подвергается критике. [34]
Швейцария не является членом ЕС, но следует многим политикам ЕС посредством реализации договоров. Соответственно, она внедрила собственную версию фреймворка Privacy Shield через свой собственный Swiss–US Privacy Shield. Он во многом похож на фреймворк EU–US Privacy Shield, но внедряет свой собственный DPA вместо различных EU DPA. Он также не имеет льготного периода и нескольких других существенных отличий от определения «конфиденциальных данных», обязательного арбитража и изменений в политике конфиденциальности. [35] Программы ЕС–США и Швейцария–США были достаточно похожи, чтобы они администрировались совместно Соединенными Штатами. [36]
