Chodzi o decyzję KE 2016/1250 z 12 lipca 2016 r. w sprawie adekwatności ochrony zapewnianej przez Tarczę Prywatności UE-USA, która umożliwiała przekazywanie danych osobowych z Unii Europejskiej do USA. Trybunał Sprawiedliwości UE w czwartek stwierdził jej nieważność.

Co to oznacza w praktyce? Wszystkie firmy, które prowadząc swoją działalność na terenie Unii Europejskiej, chciałyby dokonać takiego transferu - muszą zweryfikować podstawy na jakich to robią.

Decyzja Trybunału Sprawiedliwości UE oznacza bowiem, że nie ma instrumentu umożliwiającego swobodne przekazywanie danych z UE do USA.

W kontekście wydanego wyroku przekazywanie danych osobowych z UE do USA powinno odbywać się według zasad określonych w Rozdziale 5 Rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

Przekazywanie danych może mieć miejsce tylko wtedy, gdy to państwo trzecie (czyli państwo spoza Europejskiego Obszaru Gospodarczego, czyli UE oraz Lichtensteinu, Islandii i Norwegii) zapewnia odpowiedni stopień ochrony tych danych.

Wyrok jest następstwem skargi obywatela Austrii, który twierdził, że prawo i praktyka Stanów Zjednoczonych nie zapewniają wystarczającej ochrony przed dostępem władz publicznych do danych przekazywanych do tego kraju.

Trybunał odniósł się w czwartek także do innej decyzji Komisji Europejskiej - w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych podmiotom przetwarzającym dane mającym siedzibę w krajach trzecich (92010/87/UE z dnia 5 lutego 2010 r.).

W tym przypadku, powołując się na Kartę praw podstawowych Unii Europejskiej, Trybunał uznał, że nie wykazuje ona niczego, co mogłoby podważać jej ważność.

Komunikat prasowy Trybunału Sprawiedliwości UE.

Pełna treść wyroku Trybunału Sprawiedlowości Unii Europejskiej z 16 lipca 2020 r.