Oświadczenie w sprawie decyzji Komisji Europejskiej dotyczącej adekwatności w USA
W dniu dzisiejszym Komisja Europejska wydała nową decyzję w sprawie odpowiedniego poziomu ochrony, zastępującą decyzję w sprawie Tarczy Prywatności, która została uprzednio unieważniona przez Trybunał Sprawiedliwości UE (TSUE) w związku z inwigilacją w USA. TSUE wymagał (1) aby inwigilacja ze strony USA była proporcjonalna w rozumieniu art. 52 Karty Praw Podstawowych (KPP) oraz (2) aby istniał dostęp do sądowych środków odwoławczych, zgodnie z wymogami art. 47 KPP. Zaktualizowane prawo USA (Executive Order 14086) wydaje się nie spełniać obu wymogów, ponieważ nie zmienia sytuacji w stosunku do poprzednio obowiązującego PPD-28. Istnieje ciągły "bulk surveillance" oraz "sąd", który nie jest faktycznym sądem. W związku z tym, jakakolwiek unijna "decyzja o adekwatności" oparta na rozporządzeniu wykonawczym 14086 prawdopodobnie nie usatysfakcjonuje TSUE.
Jak podkreślono we wcześniejszym oświadczeniunoyb w sprawie amerykańskiego rozporządzenia wykonawczego 14086, zmiany w prawie amerykańskim wydają się raczej minimalne. Niektóre zmiany, takie jak wprowadzenie zasady proporcjonalności lub ustanowienie sądu, brzmią obiecująco - ale po bliższym przyjrzeniu się staje się oczywiste, że rozporządzenie wykonawcze zawyża ceny i nie spełnia oczekiwań, jeśli chodzi o ochronę osób spoza USA. Wydaje się oczywiste, że jakakolwiek unijna "decyzja o adekwatności" oparta na rozporządzeniu wykonawczym nr 14086 prawdopodobnie nie zadowoli TSUE. Oznaczałoby to, że trzeci układ między rządem USA a Komisją Europejską może zakończyć się niepowodzeniem.
Max Schrems:"W najbliższych dniach będziemy szczegółowo analizować projekt decyzji. Ponieważ projekt decyzji opiera się na znanym rozporządzeniu wykonawczym, nie widzę, jak miałoby to przetrwać zaskarżenie do Trybunału Sprawiedliwości. Wydaje się, że Komisja Europejska po prostu wydaje w kółko podobne decyzje - z rażącym naruszeniem naszych praw podstawowych."
Projekt decyzji zostanie teraz poddany przeglądowi przez Europejską Radę Ochrony Danych (EDPB) oraz europejskie państwa członkowskie. Jednak nawet negatywne oświadczenia EDPB i państw członkowskich nie są wiążące dla Komisji. Po opublikowaniu decyzji europejskie firmy będą mogły się na niej oprzeć przy wysyłaniu danych do USA. Ostateczna decyzja nie jest spodziewana przed wiosną 2023 roku. Użytkownicy mogą wtedy zaskarżyć decyzję za pośrednictwem sądów krajowych i europejskich.
