SBGK: nincs többé biztonságos kikötő?

Az Európai Bíróság döntése szerint az Európai Bizottság azon határozata, amely a Safe Harbor (biztonságos kikötő) rendszerét kialakította, és ez alapján lehetővé tette személyes adatok továbbítását az Amerikai Egyesült Államokba, érvénytelen. Az SBGK Szabadalmi és Ügyvédi Irodák szakértője szerint a határozat következményeit jelenleg még nehéz felmérni.

Dr. György András az Origónak kifejtette: a személyes adatok kezelése - azaz, hogy az emberek személyes adatait ki, hol és hogyan kezeli - kiemelt téma a közelmúltban. A hatályos normák szigorú feltételrendszert írnak elő, amelyek célja az információs önrendelkezési jog és a magánszféra védelmének biztosítása.

A feltétel rendszer egyik fontos eleme az, hogy ha az adatkezelés harmadik országban (minden olyan állam, amely nem Európai Gazdasági Térségen belüli állam) van az adatok kezelése, valamint feldolgozása akkor biztosított legyen a személyes adatok megfelelő szintű védelme.

A Safe Harbor-határozat

Az Európai Bizottság 2000 júliusában hozott határozata értelmében azon amerikai cégek (adatfeldolgozók), amelyek megfelelnek az Amerikai Egyesült Államok Kereskedelmi Minisztériuma által kiadott úgynevezett Safe Harbor (biztonságos kikötő) előre felállított követelményrendszernek, úgy minősülnek, hogy megfelelő szintű védelmet biztosítanak a személyes adatok kezelése és feldolgozása során.

Tehát az olyan amerikai céget részére, akik a Safe Harbor listán szerepelnek, továbbíthatóak személyes adatok az Európai Unió tagországaiból függetlenül attól, hogy a továbbítás az EGT-n kívülre irányul, és az Amerikai Egyesült Államok adatvédelmi szempontból egyébként nem minősül úgynevezett biztonságos harmadik országnak – hangsúlyozta az SBGK Szabadalmi és Ügyvédi Irodák szakértője.

Maximillian Schrems v Data Protection Commissioner

Az Európai Unió Bírósága 2015. október 6-án a C-362/14 Maximillian Schrems v Data Protection Commissioner ügyben hozott határozatában ugyanakkor kimondta, hogy az Európai Bizottság azon határozata, amely a Safe Harbor (biztonságos kikötő) rendszerét kialakította, és amely lehetővé tette személyes adatok továbbítását ezen feltételrendszer alapján az Amerikai Egyesült Államokba, érvénytelen.

A Bíróság megítélése alapján Európai Bizottság határozata nem korlátozhatja a tagállami adatvédelmi hatóságok számára az Európai Alapjogi Chartában biztosított jogköröket, tehát a tagállami hatóságok, így a magyar adatvédelmi hatóság (Nemzeti Adatvédelmi és Információszabadság Hatóság - NAIH) is jogosult függetlenül megvizsgálni, hogy az egyes adattovábbítások során az adatvédelmi garanciák megfelelőek-e.

A Snowden-ügyhöz kapcsolódik

A konkrét ügy érdekessége – hívta fel a figyelmet dr. György András -, hogy részben ez is az Edward Snowden által leleplezett amerikai megfigyelési botrányokhoz kapcsolódik. Maximillian Schrems azt kérte az ír adatvédelmi hatóságtól, hogy vizsgálja meg a Facebook európai központjának adattovábbítását a Facebook Amerikai Egyesült Államokban lévő szervereire.

A kérelmében azt kifogásolta, hogy az Edward Snowden által nyilvánosságra hozott információk alapján az amerikai jogszabályok illetve a gyakorlat is azt mutatja, hogy semmi sem védi meg az Amerikai Egyesült Államokban tárolt a személyes adatokat a tömeges megfigyeléstől.

Az ír adatvédelmi hatóság elutasította a kérelmét a Safe Harbor-re való hivatkozással, azonban a jogorvoslati eljárásban eljáró írországi bíróság (High Court of Irealand) továbbította az ügyet az Európai Unió Bíróságának.

Dr. György András, az SBGK Szabadalmi és Ügyvédi Irodák szakértője Forrás: SBGK

Az Európai Unió Bírósága a Safe Harbor érvénytelenségét többek között fenti körülményre is alapozta, azaz arra, hogy az Amerikai Egyesült Államok hatóságai hozzáférhettek a továbbított személyes adatokhoz, és nem voltak meg a megfelelő garanciák arra, hogy ezen adatokat nemzetbiztonsági célból hogyan, milyen korlátozásokkal használják fel.

A következmények még felmérhetetlenek

Az Európai Unió Bírósága határozatának következményét - tekintettel annak „frissességére” - még nehéz felmérni, azonban néhány dolog már látható. A tagállami adatvédelmi hatóságok, így a NAIH is már intenzíven foglalkozik a kérdéssel, ami a közleményükből is kiderül.

Valamint, a döntés hatása túlmutat a Facebook, illetve más közösségi oldalak által kezelt személyes adatok kérdésén, ugyanis minden adatkezelésre vonatkozik, amely a Safe Harbor alapján történt, tehát olyan „hagyományos” vállalatok által kezelt személyes adatokra, amelyeket például központosított HR tevékenység elvégzésére továbbítottak az Amerikai Egyesült Államokba.

Így valószínűsíthető, hogy azon amerikai cégeknek, amelyek eddig a Safe Harbor-re hagyatkoztak, és így továbbították a személyes adatokat az Amerikai Egyesült Államokba, most felül kell vizsgálniuk, hogy milyen alternatív módon tudják „legalizálni” az adattovábbításaikat – húzta alá végezetül az SBGK Szabadalmi és Ügyvédi Irodák szakértője.