Arról a szerződésről van szó, mely az EU tagállamai és az Egyesült Államok közötti adatcserét szabályozza.

Mindez lényegében azt jelenti, hogy két érdek és két szabályozás ütközik: az EU területén ugyanis működnek amerikai székhelyű, globális tevékenységet folytató cégek, főképp internetes platformon működő vállalatok, amelyek az EU polgárainak adatait kezelik. A gond ott van, hogy az USA-ban szigorú törvények írják elő e cégeknek, hogy bizonyos körülmények fennállása esetén az általuk megszerzett összes adatot osszák meg az amerikai nemzetbiztonsági szolgálatokkal, míg a sokkal szigorúbb európai törvények nem engedik meg az ilyen, az európai államok által kontrollálhatatlan adatmegosztást, csak bizonyos feltételekkel, csak a külső kontroll és a maximális jogorvoslat biztosításával.

És itt átlépünk a realitásba. Az EU nem engedi, az USA végrehajtja. Ennek az ellentétnek a feloldását célozta volna annak idején az „adatvédelmi pajzs” néven ismert szerződés, mely egy hasonló megszüntető bírósági határozat után (korábban egy Safe Harbor nevű egyezmény létezett, melyet érvénytelenítettek) engedett ide is, oda is. A probléma már akkor is abban állt a kritikusok szerint, hogy ez egy diktátum volt: az USA érdekeit kiszolgálta, ugyanakkor az európaiak számára alig vagy egyáltalán nem kínált kontrollt.

Ebben a szövevényes történetben hozott új fejezetet az Európai Unió Bíróságának tegnap kihirdetett határozata, mely az ismert, a Facebook adatkezelési gyakorlatát évtizede támadó osztrák aktivista, Maximillian Schrems keresete alapján született meg.

A határozat nagyon kemény, ugyanis a szóban forgó ügy kapcsán gyakorlatilag és szó szerint hatályon kívül helyezték a „Privacy Shieldet”, ami azt jelenti, hogy új egyezményre lesz szükség.

A bíróság tagjai döntésük indoklásában aggodalmukat fejezték ki amiatt, hogy az úgynevezett adatvédelmi pajzs rendelkezései alapján továbbított adatok „nem korlátozódnak a feltétlenül szükséges információkra” az uniós állampolgárok adatainak amerikai feldolgozásakor. Emlékeztettek arra, hogy az általános adatvédelmi rendelet (GDPR) szerint az érzékeny adatok csak akkor továbbíthatók valamely unión kívüli országba, ha az adott ország ezen adatok számára megfelelő védelmi szintet biztosít. Az adatok továbbítása csak akkor lehetséges, ha az érintettek érvényesíthető jogokkal és hatékony jogorvoslati lehetőségekkel rendelkeznek.

Ám – jegyzik meg – a személyes adatok védelméről szóló amerikai korlátozások nincsenek úgy szabályozva, hogy megfeleljenek az uniós jogban a feltétlenül szükséges mértékű arányosság elve követelményeinek. Az említett amerikai szabályozásból semmilyen módon nem derül ki, hogy léteznének a személyes adatok továbbítását, felhasználását és tanulmányozását érintően a nem amerikaiak számára szóló garanciák.

E megállapítások alapján kijelentették, az adattovábbítás szabályait felügyelő hatóságok kötelesek felfüggeszteni vagy megtiltani a személyes adatok unión kívüli országba irányuló továbbítását, ha úgy vélik, hogy az általános adatvédelmi kikötéseket ebben az országban nem tartják be vagy nem lehet őket ott tiszteletben tartani. Illetve akkor, hogy a továbbított adatok védelme, amelyet az uniós jog megkövetel, más eszközzel nem biztosítható.

Mindezek ismeretében az uniós bíróság kimondta:

• az Egyesült Államokkal kötött, személyes adatok átadásáról szóló megállapodást semmisnek kell tekinteni, mert az adatvédelmi rendelet nem biztosít az érintettek számára jogorvoslati lehetőséget olyan szerv előtt, amely az uniós jogban megkövetelt garanciákkal lényegében azonos biztosítékokat nyújtana
• nem hatalmazzák fel az illetékes ombudsmant arra, hogy az amerikai hírszerzési szervezetekkel szemben kötelező erejű határozatokat hozzon
• a bíróság ugyanakkor úgy ítélte meg, hogy a személyes adatok unión kívüli országokban működő vállalatoknak való továbbítására vonatkozó, az általános szerződési feltételekről szóló európai bizottsági határozat továbbra is érvényes. Ez azt jelenti, hogy az adatátvitel folytatódó ellenőrzése mellett az EU-nak és az Egyesült Államoknak új rendszert kell kidolgozni, amely biztosítja, hogy az európaiak adatai ugyanolyan védelemben részesüljenek az Egyesült Államokban, mint az unióban