Суд ЕС аннулировал “Щит конфиденциальности” о передаче данных пользователей в США

Европейский суд в Люксембурге постановил, что соглашение между Евросоюзом и США о правилах передачи пользовательских данных компаниями, известное также как «Щит конфиденциальности», не обеспечивает необходимый уровень защиты конфиденциальной информации граждан стран содружества от вмешательства со стороны государственных органов и спецслужб США, в связи с чем аннулировано.

В постановлении подчеркивается, что американское законодательство не предусматривает гарантии защиты данных, которые бы отвечали критериям ЕС.

В то же время одобренные Европейской комиссией (2010/87) стандартные договорные условия (Standard Contractual Clauses, SCC) в качестве механизма для передачи данных из стран Евросоюза соответствуют Общему регламенту о защите данных (GDPR), в том числе гарантируют конфиденциальность и безопасность данных, и компании могут продолжить их использовать.

«Я очень рад постановлению суда. Похоже, что он поддержал нас во всех аспектах. Это сильный удар по ирландскому DPC [Комиссия по защите данных Ирландии — прим.ред.] и Facebook. Ясно, что теперь США придется серьезно изменить свои законы о слежке, если американские компании хотят продолжать играть важную роль на рынке ЕС», — заявил широко известный австрийский гражданский активист и один из инициаторов судебного разбирательства Макс Шремс, напомнив, что это уже второй раз, когда суд ЕС указал на явное противоречие между законами США и ЕС в аспектах защиты прав человека.

Сегодняшнее постановление не может быть обжаловано.

Фабула дела

Шремс является пользователем Facebook с 2008 года. Как и в случае с другими жителями государств-членов ЕС, зарегистрированными в социальной сети, его персональные данные передаются европейским отделением Facebook Ireland на сервера компании, расположенные в Соединенных Штатах.

На фоне разоблачений экс-сотрудника ЦРУ Эдварда Сноудена о беспрецедентных масштабах слежки за электронными средствами коммуникации со стороны спецслужб США Шремс обратился к Уполномоченному по защите данных Ирландии, подняв вопрос о том, являются ли законными методы передачи и хранения данных компаниями, определенные Рамочным соглашением между США и ЕС о «Безопасной гавани» (Safe Harbor) от 2000 года, в трактовке законодательства содружества.

Ситуация разрешилась в 2015 году в суде Люксембурга, который аннулировал договор «Безопасная гавань», постановив, что американское законодательство о хранении персональных данных не отвечает стандартам Евросоюза в области гарантий конфиденциальности.

На этом фоне в 2016 году Еврокомиссия и США пришли к новой договоренности о правилах трансатлантической передачи данных компаниями — к «Щиту конфиденциальности». В частности, был учрежден институт омбудсмена, занимающегося вопросами безопасности данных, и определен порядок судебного разбирательства в случае, если США не обеспечит конфиденциальность информации.

Новое соглашение аналогично предыдущему стало предметом спора в судах Ирландии по обращению Шремcа и Комиссии по защите данных. В результате Верховный суд страны заморозил рассмотрение иска и обратился к коллегам в Люксембурге, посчитав, что обновлённая процедура обмена данным все так же может подпадать под европейские правила, запрещающие передачу персональных данных в государства, не обеспечивающие их должную защиту. В частности, по сравнению с предыдущим разбирательством ситуация изменилась из-за принятия на уровне Евросоюза в апреле 2016 года Общего регламента по защите данных.

Генеральный адвокат суда в Люксембурге Хенрик Саугмандсгаард Ое в декабре 2019 предоставил консультативное заключение (носит рекомендательный характер) по данному делу, в значительной степени присоединившись к позиции истцов. По его мнению, американское законодательство не соответствует критериям Евросоюза в области защиты данных.