Schrems II, Data Privacy Framework i niepewność

Moduł 1: Dlaczego europejska chmura? · Czas czytania: 12 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili opowiedzieć historię porozumień dotyczących danych przekazywanych z UE do USA, wyjaśnić, co rozstrzygnął wyrok Schrems II, czym jest EU-US Data Privacy Framework oraz dlaczego obecne ramy prawne pozostają niepewne.

Kluczowe pojęcia: przekazywanie danych, decyzja stwierdzająca odpowiedni poziom ochrony, Safe Harbor, Schrems I, Privacy Shield, Schrems II, standardowe klauzule umowne (SCC), transfer impact assessment (TIA), dodatkowe środki zabezpieczające, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, samocertyfikacja, Latombe, PCLOB

Przekazywanie danych: zasada i wyjątek

W lekcji 1.2 dowiedzieli się Państwo, że dane mogą opuszczać Europejski Obszar Gospodarczy (EOG) tylko wtedy, gdy kraj docelowy zapewnia odpowiedni poziom ochrony, albo gdy istnieją dodatkowe zabezpieczenia (RODO, rozdział V). Takie opuszczenie EOG nazywa się przekazaniem danych. Przekazanie danych to nie tylko wysłanie pliku do Stanów Zjednoczonych: z przekazaniem danych mamy do czynienia również wtedy, gdy amerykański pracownik wsparcia technicznego zdalnie przegląda Państwa europejskie środowisko, albo gdy Państwa dane znajdują się u amerykańskiego dostawcy usług.

Najprostszą drogą jest decyzja stwierdzająca odpowiedni poziom ochrony (art. 45): Komisja Europejska decyduje, że dany kraj zapewnia poziom ochrony „zasadniczo równoważny” poziomowi ochrony w UE. Takie decyzje istnieją między innymi dla Szwajcarii, Zjednoczonego Królestwa, Japonii i Kanady (w odniesieniu do organizacji komercyjnych). W przypadku USA sprawa jest bardziej skomplikowana: Komisja została tam dwukrotnie zatrzymana przez Trybunał Sprawiedliwości Unii Europejskiej.

To jest wyjaśnienie, a nie porada prawna. Stan prawny opisany w tej lekcji dotyczy listopada 2026.

Most 1: Safe Harbor i Schrems I

W 2000 roku UE i USA zawarły porozumienie Safe Harbor. Amerykańskie firmy mogły się zgłosić i zobowiązać do odpowiedniej ochrony europejskich danych. Komisja wydała dla tego porozumienia decyzję stwierdzającą odpowiedni poziom ochrony.

W 2013 roku Edward Snowden ujawnił, na jak dużą skalę amerykańskie służby wywiadowcze gromadziły dane od firm internetowych. Austriacki prawnik Max Schrems złożył skargę przeciwko Facebookowi w Irlandii: jego dane trafiały do USA i nie były tam chronione. Sprawa trafiła do Trybunału Sprawiedliwości UE. 6 października 2015 Trybunał uznał decyzję o Safe Harbor za nieważną (sprawa C-362/14, „Schrems I”). Sedno sprawy: Komisja nie zbadała, czy rząd amerykański przestrzega ograniczeń, a Europejczycy nie mieli rzeczywistej ochrony prawnej.

Most 2: Privacy Shield i Schrems II

Już w 2016 roku pojawił się następca: EU-US Privacy Shield, z surowszymi zasadami i rzecznikiem praw obywatelskich przy amerykańskim ministerstwie spraw zagranicznych. Schrems ponownie wniósł sprawę do sądu.

16 lipca 2020 Trybunał wydał wyrok w sprawie C-311/18, „Schrems II”. Trybunał uznał Privacy Shield za nieważny. Powody:

• Amerykańskie programy nadzoru, w szczególności na podstawie FISA Section 702 oraz Executive Order 12333 (lekcja 1.3), nie były ograniczone do tego, co „ściśle niezbędne”.
• Europejczycy nie mieli skutecznego dostępu do niezawisłego sądu; rzecznik praw obywatelskich nie był wystarczająco niezależny i nie mógł podejmować wiążących decyzji.

Trybunał wypowiedział się także w ważnej kwestii dotyczącej alternatywy, czyli standardowych klauzul umownych (SCC, ang. standard contractual clauses). Są to wzorcowe umowy opracowane przez Komisję, które podpisują nadawca i odbiorca danych. Pozostały one ważne, ale: strona przekazująca dane musi w każdym przypadku ocenić, czy prawo kraju odbiorcy nie podważa tych ustaleń. Jeśli tak jest, konieczne są dodatkowe środki zabezpieczające, na przykład szyfrowanie, w którym odbiorca nie dysponuje kluczem. Jeśli nie da się tego osiągnąć, przekazywanie danych musi zostać wstrzymane.

Taka ocena nazywana jest transfer impact assessment (TIA). Europejscy organy nadzorcze ds. ochrony danych (EDPB) opracowały w 2021 roku zalecenia w tej sprawie. W 2021 roku powstały też nowe standardowe klauzule umowne (decyzja wykonawcza (UE) 2021/914).

Dla małej organizacji była to trudna sprawa: jak piekarnia miałaby ocenić amerykańskie prawo dotyczące wywiadu? W praktyce wiele organizacji polegało na umowach i dokumentacji dużych dostawców.

Most 3: EU-US Data Privacy Framework

USA i UE ponownie podjęły negocjacje. Prezydent Biden podpisał 7 października 2022 roku Executive Order 14086. Rozporządzenie to stanowi między innymi, że działania wywiadowcze muszą być „niezbędne i proporcjonalne”, oraz ustanawia procedurę skargową, której ostatnim etapem jest Data Protection Review Court (DPRC) działający przy amerykańskim ministerstwie sprawiedliwości.

10 lipca 2023 Komisja przyjęła decyzję stwierdzającą odpowiedni poziom ochrony dla EU-US Data Privacy Framework (DPF). Jak to działa:

• Dotyczy wyłącznie amerykańskich organizacji, które do niego przystąpiły (samocertyfikacja w amerykańskim ministerstwie handlu). Lista znajduje się na stronie dataprivacyframework.gov. Jeśli firmy nie ma na liście, DPF jej nie dotyczy.
• Przestrzeganie zasad jest kontrolowane w USA między innymi przez Federal Trade Commission (FTC).
• Komisja przeprowadza okresową ocenę.

Dla użytkowników DPF oznacza: przekazywanie danych do przystąpionej amerykańskiej firmy jest ponownie dozwolone bez TIA. Dlatego wielu dostawców deklaruje: „Przestrzegamy RODO”.

Dlaczego te ramy prawne pozostają niepewne

DPF istnieje, ale stoi na chwiejnych podstawach:

• Executive Order to nie ustawa. Kolejny prezydent może go zmienić lub wycofać bez udziału Kongresu.
• Sąd i apelacja. Francuski parlamentarzysta Philippe Latombe zwrócił się do Sądu UE o unieważnienie decyzji dotyczącej DPF. 3 września 2025 Sąd odrzucił tę skargę (sprawa T-553/23): według Sądu DPRC był wystarczająco niezależny. Latombe złożył apelację do Trybunału Sprawiedliwości (sprawa C-703/25 P). W listopadzie 2026 wyrok jeszcze nie zapadł. W sprawach Schrems I i II Trybunał zajmował bardziej rygorystyczne stanowisko niż obecnie Sąd.
• Nadzór w USA pod presją. W styczniu 2025 roku zwolniono członków Privacy and Civil Liberties Oversight Board (PCLOB) nominowanych przez Demokratów; od tego czasu organ ten nie ma kworum i może wykonywać swoje zadania, w tym kontrolę procedury skargowej, jedynie w ograniczonym zakresie. 29 czerwca 2026 amerykański Sąd Najwyższy orzekł w sprawie Trump v. Slaughter, że prezydent może zwalniać członków FTC bez podania przyczyny. Prawnicy zwracają uwagę, że wyostrza to pytanie o niezależny nadzór, na którym opiera się DPF.
• Nowe postępowania. Organizacja zajmująca się ochroną prywatności noyb zapowiedziała, że rozważa wszczęcie własnego postępowania. Taka sprawa może trwać latami.

Jeśli DPF upadnie, powtórzy się sytuacja z 2015 i 2020 roku: organizacje będą musiały z dnia na dzień wrócić do standardowych klauzul umownych z TIA albo zaprzestać przekazywania danych. Nie ustalono wówczas żadnego okresu przejściowego.

Co to oznacza dla Państwa?

Dla Piekarni Ziarno pytanie nie brzmi „czy to jest obecnie dozwolone?”, bo dzięki DPF obecnie jest to dozwolone. Pytanie brzmi: „czy chcę być zależny od ram prawnych, które już dwa razy upadły i po raz trzeci trafiły przed Trybunał?”. Usługa, która ma siedzibę w EOG i przechowuje dane w EOG, nie zależy od DPF. Nie jest to wymóg prawny, ale stanowi spokojniejszy punkt wyjścia.

W praktyce: jak to wygląda u dostawcy

Proszę sprawdzić w polityce prywatności lub w umowie powierzenia przetwarzania danych osobowych swojego obecnego dostawcy, na jakiej podstawie przekazuje on dane do USA: DPF, standardowe klauzule umowne, czy obie podstawy naraz. Duzi dostawcy często wymieniają obie, właśnie po to, aby zabezpieczyć się na wypadek upadku DPF. Europejski dostawca, który nie przekazuje danych poza EOG, nie musi tego regulować; jego lista podwykonawców pokazuje, czy rzeczywiście tak jest (lekcja 9.2). W umowie powierzenia przetwarzania danych osobowych WebOké zapisano, że przekazywanie danych poza UE jest dozwolone wyłącznie za uprzednią pisemną zgodą; u innych dostawców podobny zapis znajdą Państwo zazwyczaj w artykule dotyczącym „przekazywania danych” lub „międzynarodowego przekazywania danych”.

Podsumowanie

• Przekazywanie danych poza EOG jest dozwolone tylko na podstawie decyzji stwierdzającej odpowiedni poziom ochrony lub przy zastosowaniu zabezpieczeń, takich jak standardowe klauzule umowne.
• Trybunał uznał za nieważne Safe Harbor (2015, Schrems I) oraz Privacy Shield (2020, Schrems II), przede wszystkim ze względu na amerykański nadzór i brak ochrony prawnej.
• Od 10 lipca 2023 obowiązuje EU-US Data Privacy Framework, wyłącznie dla amerykańskich firm, które do niego przystąpiły.
• DPF opiera się na decyzji prezydenckiej i jest kwestionowany: trwa apelacja Latombe'a (C-703/25 P), a amerykański nadzór jest pod presją.
• Usługa, która przechowuje dane w obrębie EOG, nie zależy od DPF.

Quiz

Zadanie

Zadanie E1.4: Na jakiej podstawie Państwa dane trafiają do USA? Proszę sprawdzić w polityce prywatności lub w umowie powierzenia przetwarzania danych osobowych swojej obecnej usługi chmurowej, czy dane są przetwarzane poza EOG i na jakiej podstawie (DPF, SCC, decyzja stwierdzająca odpowiedni poziom ochrony dla innego kraju). Proszę sprawdzić na dataprivacyframework.gov, czy dana firma znajduje się na liście. Proszę opisać, co by się dla Państwa zmieniło, gdyby DPF został unieważniony.

Dalsza lektura

Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców działa to w podobny sposób.

• Podręcznik Nextcloud 15.13: Najczęściej zadawane pytania dotyczące bezpieczeństwa i prywatności
• Trybunał Sprawiedliwości UE, wyroki C-362/14 (Schrems I, 6 października 2015) i C-311/18 (Schrems II, 16 lipca 2020), na curia.europa.eu
• Decyzja wykonawcza (UE) 2023/1795 (decyzja stwierdzająca odpowiedni poziom ochrony EU-US Data Privacy Framework, 10 lipca 2023), na EUR-Lex
• Decyzja wykonawcza (UE) 2021/914 (standardowe klauzule umowne), na EUR-Lex
• Sąd UE, sprawa T-553/23 (Latombe, 3 września 2025); apelacja C-703/25 P
• Lista Data Privacy Framework: https://www.dataprivacyframework.gov