ZDA: Se nam obeta Schrems III?
Nedavna odločitev ameriškega Vrhovnega sodišča je posegla v neodvisnost ameriške Federal Trade Comission in s tem odprla novo vprašanje glede prihodnosti prenosa osebnih podatkov v ZDA
Sodba je bila izdana 29. 6. 2026.
Vrhovno sodišče ZDA je v zadevi Trump v. Slaughter odločilo, da FTC in druge zvezne agencije ne morejo več delovati s trenutno stopnjo neodvisnosti od predsednika ZDA, saj mora imeti predsednik ZDA po t. i. teoriji enotne izvršilne oblasti pristojnost nad vsemi izvršilnimi organi.
Čeprav se na prvi pogled zdi, da gre predvsem za vprašanje notranje ureditve ameriške izvršilne oblasti, ima lahko odločitev pomembne posledice tudi za prenose osebnih podatkov iz Evropske unije v Združene države Amerike. Ti danes v številnih primerih temeljijo na EU-US Data Privacy Framework, torej sklepu Evropske komisije o ustreznosti, ki omogoča prenos osebnih podatkov v ZDA brez uporabe drugih mehanizmov za prenos iz V. poglavja GDPR.
Evropska komisija je pri sprejemu tega sklepa o ustreznosti neodvisnost FTC izpostavila kot enega izmed ključnih elementov ameriškega sistema varstva osebnih podatkov. Po pravu Evropske unije mora namreč tretja država zagotavljati raven varstva, ki je bistveno enakovredna tisti v Evropski uniji, pri čemer je neodvisen nadzorni organ eden od pomembnih kriterijev te presoje. Zahteva po takšnem neodvisnem nadzoru izhaja tudi iz člena 16 PDEU ter člena 8 Listine Evropske unije o temeljnih pravicah.
Na odločitev se je že odzvala avstrijska organizacija noyb, ki meni, da je s sodbo odpadel eden od ključnih temeljev sklepa o ustreznosti. Evropsko komisijo je zato v pismu pozvala, naj začne postopek njegove razveljavitve, hkrati pa napovedala vložitev nove tožbe pred Sodiščem Evropske unije, s katero bo izpodbijala veljavnost sedanjega okvira za prenose osebnih podatkov.
Odločitev pa lahko pomembno vpliva tudi na druge mehanizme za prenos osebnih podatkov, zlasti na standardne pogodbene klavzule in zavezujoča poslovna pravila. Pri uporabi teh instrumentov morajo upravljavci in obdelovalci namreč opraviti presojo zakonodaje tretje države in oceniti, ali ta zagotavlja ustrezno raven varstva osebnih podatkov. Če so bile dosedanje ocene utemeljene tudi na domnevni neodvisnosti ameriških nadzornih organov oziroma drugih zaščitnih mehanizmov, bo treba te presoje ponovno preveriti.
Kljub temu odločitev Vrhovnega sodišča ZDA sama po sebi ne pomeni, da so prenosi osebnih podatkov v ZDA sedaj nezakoniti. Sklep Evropske komisije o ustreznosti ostaja v veljavi, dokler ga Komisija sama ne spremeni ali razveljavi oziroma dokler ga ne razveljavi Sodišče Evropske unije. Čeprav lahko organizacije za zdaj še naprej nemoteno uporabljajo EU-US Data Privacy Framework kot pravno podlago za prenose osebnih podatkov v ZDA, odločitev ponovno odpira širše vprašanje evropske digitalne suverenosti. Vsaka sprememba ameriškega pravnega sistema lahko namreč neposredno vpliva na zakonitost obdelave osebnih podatkov evropskih organizacij, ki uporabljajo ameriške ponudnike storitev. Dogajanje je zato še en opomnik, da pri izbiri ponudnikov ni pomembno le, kakšno rešitev ponujajo, temveč tudi, ali sodelovanje z njimi zagotavlja dolgoročno pravno stabilnost in skladnost z zahtevami GDPR.
Odločitev ameriškega sodišča je dostopna tukaj.
Vir: noyb.eu
Naslovna fotografija
