Το Δικαστήριο της Ευρωπαϊκής Ένωσης ακύρωσε το πρωί της Πέμπτης 16 Ιουλίου τη συμφωνία προστασίας προσωπικών δεδομένων μεταξύ ΕΕ και ΗΠΑ.
Το Δικαστήριο της Ευρωπαϊκής Ένωσης (CJEU) ακύρωσε την Πέμπτη 16 Ιουλίου τη συμφωνία του «Privacy Shield» που επιτρέπει στις ψηφιακές εταιρείες να μεταβιβάζουν νόμιμα τα προσωπικά δεδομένα των Ευρωπαίων χρηστών στις Ηνωμένες Πολιτείες. Αντίθετα, με τη σημερινή απόφασή του κρίνει πως η απόφαση 2010/87 της Κομισιόν σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντες επεξεργασία εγκατεστημένους σε τρίτες χώρες είναι έγκυρη.
Πρόκειται για μία διαδικασία που χρησιμοποιείται από σχεδόν όλες τις μεγάλες αμερικανικές εταιρείες για την επεξεργασία των προσωπικών δεδομένων (ταυτότητα, διαδικτυακή συμπεριφορά, γεωγραφική τοποθεσία κ.λπ.) των Ευρωπαίων χρηστών τους. Για να επιτρέπεται στις αμερικανικές εταιρείες να χρησιμοποιούν τα δεδομένα αυτά, η Προστασία Προσωπικών Δεδομένων προέβλεπε την εξαίρεση τους, υπό την προϋπόθεση ότι θα τηρούνται ορισμένα μέτρα αναφορικά με την προστασία των δεδομένων αυτών.
Η συμφωνία εγκρίθηκε τον Ιούλιο του 2016, σχεδόν ένα έτος μετά την ακύρωση της συμφωνίας Safe Harbor από το δικαστήριο της Ευρωπαϊκής Ένωσης. Μόλις υιοθετήθηκε, το Privacy Shield δέχτηκε επίθεση από τον ακτιβιστή απορρήτου Max Schrems, ο οποίος ήδη από την ακύρωση του Safe Harbour είχε τονίσει πως «είναι τρομερά σαφές ότι οι κανόνες [του Privacy Shield] δεν συμφωνούν με το σύνολο των κανόνων που επιβάλλει η Ευρωπαϊκή Ένωση. Δεδομένων των πολυάριθμων αδυναμιών του, είναι πολύ πιθανό ότι [αυτή η συμφωνία] θα ακυρωθεί από την ευρωπαϊκή δικαιοσύνη», προέβλεψε τον Ιούλιο του 2016 σε άρθρο του που δημοσιεύτηκε από τους The Irish Times.
Λίγες μέρες αργότερα, το G29, η ομάδα που συγκεντρώνει τις διάφορες αρχές προστασίας της ιδιωτικής ζωής στην Ευρώπη, κυκλοφόρησε μια αρκετά κριτική ανάλυση της συμφωνίας, εκφράζοντας τη δυσαρέσκειά της για τις ιδιαίτερα αδύναμες ουσιαστικές διατάξεις της αλλά και τον μηχανισμό αποκατάστασης που «θα μπορούσε να αποδειχθεί πολύ περίπλοκο για χρήση για τους ευρωπαίους πολίτες, ειδικά όταν δεν είναι αγγλόφωνοι, και ως εκ τούτου αποδεικνύεται αναποτελεσματικό».
Η απόφαση του Δικαστηρίου
Κατά το Δικαστήριο, «οι περιορισμοί της προστασίας των δεδομένων προσωπικού χαρακτήρα οι οποίοι απορρέουν από την εσωτερική κανονιστική ρύθμιση των Ηνωμένων Πολιτειών σχετικά με την πρόσβαση των αμερικανικών δημοσίων αρχών σε δεδομένα διαβιβαζόμενα από την Ένωση προς τις Ηνωμένες Πολιτείες και με την εκ μέρους τους χρήση τέτοιων δεδομένων, περιορισμοί που αξιολογήθηκαν από την Κομισιόν στην απόφαση 2016/1250, δεν οριοθετούνται με τέτοιον τρόπο ώστε να ανταποκρίνονται σε απαιτήσεις ουσιαστικά ισοδύναμες με εκείνες τις οποίες επιβάλλει, κατά το δίκαιο της Ένωσης, η αρχή της αναλογικότητας, αφού τα προγράμματα παρακολούθησης που στηρίζονται στην κανονιστική αυτή ρύθμιση δεν περιορίζονται στο απολύτως αναγκαίο.
»Βασιζόμενο στις διαπιστώσεις οι οποίες περιέχονται στην ίδια την απόφαση 2016/1250, το Δικαστήριο τονίζει ότι, σε σχέση με ορισμένα προγράμματα παρακολούθησης, ουδόλως προκύπτει από την εν λόγω κανονιστική ρύθμιση η ύπαρξη περιορισμών στην εξουσιοδότηση που παρέχεται για την εφαρμογή των προγραμμάτων αυτών, όπως δεν προκύπτει ούτε η ύπαρξη εγγυήσεων για τους μη Αμερικανούς πολίτες τους οποίους αφορούν εν δυνάμει τα σχετικά προγράμματα. Η προαναφερθείσα κανονιστική ρύθμιση θέτει μεν απαιτήσεις τις οποίες οι αμερικανικές αρχές οφείλουν να τηρούν κατά την εφαρμογή των οικείων προγραμμάτων παρακολούθησης, πλην όμως δεν παρέχει στα υποκείμενα των δεδομένων εκτελεστά δικαιώματα που να μπορούν να προβληθούν έναντι των αμερικανικών αρχών ενώπιον δικαστηρίων».
Αξίζει να σημειωθεί πως η απόφαση του δικαστηρίου δεν αφορά τη μεταφορά δεδομένων που θεωρείται «απαραίτητη» - για παράδειγμα το περιεχόμενο ενός μηνύματος ηλεκτρονικού ταχυδρομείου.
Μεταξύ των βασικών επιχειρημάτων των αντιπάλων αυτής της συμφωνίας είναι το γεγονός ότι τα δεδομένα που διαβιβάζονται στις Ηνωμένες Πολιτείες μπορούν να κατασκοπεύονται από τις αμερικανικές υπηρεσίες ασφαλείας, όπως η NSA ή το FBI, χωρίς προσφυγή ή έλεγχο.
Ο καταγγέλλων σε αυτήν την υπόθεση, ο Max Schrems χαιρέτισε την απόφαση: «Με την πρώτη ματιά, φαίνεται ότι το δικαστήριο μας ακολούθησε σε όλα τα σημεία. Είναι ένα τεράστιο πλήγμα για το Ιρλανδικό Συμβούλιο Προστασίας Δεδομένων και το Facebook. Είναι σαφές ότι οι Ηνωμένες Πολιτείες θα πρέπει να αλλάξουν σοβαρά τους νόμους τους περί εποπτείας, εάν οι εταιρείες τους συνεχίσουν να δραστηριοποιούνται στην ευρωπαϊκή αγορά. Το δικαστήριο όχι μόνο λέει στην ιρλανδική επιτροπή προστασίας δεδομένων να κάνει τη δουλειά της μετά από επτά χρόνια αδράνειας, αλλά ότι αυτός ο τύπος οργανισμού έχει καθήκον να ενεργεί και δεν μπορεί απλώς να κλείνει τα μάτια. Πρόκειται για μια θεμελιώδη αλλαγή που υπερβαίνει κατά πολύ τη μεταφορά δεδομένων μεταξύ της ΕΕ και των Ηνωμένων Πολιτειών. Τόσο οι αρχές όσο και η Ιρλανδική Επιτροπή Προστασίας Δεδομένων έχουν υπονομεύσει την επιτυχία του GDPR μέχρι στιγμής. Το δικαστήριο κατέστησε σαφές ότι πρέπει να εργαστούν και να τηρήσουν το νόμο».
22°
