Schrems II, Data Privacy Framework in negotovost

Modul 1: Zakaj evropski oblak? · Čas branja: 12 minut

Učni cilj: Po tej lekciji boste znali obnoviti zgodovino dogovorov o podatkih med EU in ZDA, pojasniti, kaj je odločilo Schrems II, kaj je EU-US Data Privacy Framework in zakaj trenutni okvir ostaja negotov.

Ključni pojmi: prenos podatkov, sklep o ustreznosti, Safe Harbor, Schrems I, Privacy Shield, Schrems II, standardna pogodbena določila (SCC), ocena vpliva prenosa (transfer impact assessment, TIA), dodatni ukrepi, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, samocertificiranje, Latombe, PCLOB

Prenos podatkov: pravilo in izjema

V lekciji 1.2 ste videli, da podatki smejo zapustiti Evropski gospodarski prostor (EGP) samo, če ciljna država zagotavlja ustrezno raven zaščite, ali če obstajajo dodatna zagotovila (GDPR, poglavje V). Tej zapustitvi pravimo prenos podatkov. Prenos ni samo pošiljanje datoteke v Ameriko: za prenos lahko gre tudi, kadar ameriški sodelavec podpore na daljavo pogleda v Vaše evropsko okolje, ali kadar so Vaši podatki shranjeni pri ameriški storitvi.

Najlažja pot je sklep o ustreznosti (člen 45): Evropska komisija odloči, da ima država raven zaščite, ki je "v bistvu enakovredna" ravni v EU. Taki sklepi obstajajo med drugim za Švico, Združeno kraljestvo, Japonsko in Kanado (za komercialne organizacije). Za ZDA je zgodba bolj zapletena: tam je Sodišče Evropske unije Komisijo dvakrat zavrnilo.

To je razlaga, ne pravni nasvet. Stanje, opisano v tej lekciji, velja za november 2026.

Most 1: Safe Harbor in Schrems I

Leta 2000 sta EU in ZDA sklenila dogovor Safe Harbor. Ameriška podjetja so se lahko prijavila in zavezala, da bodo evropske podatke ustrezno varovala. Komisija je za to izdala sklep o ustreznosti.

Leta 2013 je Edward Snowden razkril, kako so ameriške obveščevalne službe v velikem obsegu zbirale podatke pri internetnih podjetjih. Avstrijski pravnik Max Schrems je vložil pritožbo zoper Facebook na Irskem: njegovi podatki so odhajali v ZDA in tam niso bili zaščiteni. Zadeva je prišla pred Sodišče Evropske unije. Dne 6. oktobra 2015 je Sodišče razglasilo sklep o Safe Harbor za neveljaven (zadeva C-362/14, "Schrems I"). Bistvo: Komisija ni preverila, ali se ameriška vlada drži omejitev, Evropejci pa niso imeli učinkovitega pravnega varstva.

Most 2: Privacy Shield in Schrems II

Že leta 2016 je nastal naslednik: EU-US Privacy Shield, s strožjimi pravili in varuhom človekovih pravic pri ameriškem zunanjem ministrstvu. Schrems je znova sprožil postopek.

Dne 16. julija 2020 je Sodišče razsodilo v zadevi C-311/18, "Schrems II". Sodišče je Privacy Shield razglasilo za neveljaven. Razlogi:

• Ameriški nadzorni programi, zlasti na podlagi FISA Section 702 in Executive Order 12333 (lekcija 1.3), niso bili omejeni na tisto, kar je "nujno potrebno".
• Evropejci niso imeli učinkovitega dostopa do neodvisnega sodišča; varuh človekovih pravic ni bil dovolj neodvisen in ni mogel sprejemati zavezujočih odločitev.

Sodišče je povedalo tudi nekaj pomembnega o alternativi, standardnih pogodbenih določilih (SCC, v angleščini standard contractual clauses). To so vzorčne pogodbe Komisije, ki ju podpišeta pošiljatelj in prejemnik. Ta so ostala veljavna, vendar: stranka, ki prenaša podatke, mora za vsak primer posebej preveriti, ali pravo prejemne države ne ogroža teh zavez. Če je tako, so potrebni dodatni ukrepi, na primer šifriranje, pri katerem prejemnik nima ključa. Če to ni mogoče, je treba prenos ustaviti.

Taki oceni pravimo ocena vpliva prenosa (transfer impact assessment, TIA). Evropski odbor za varstvo podatkov (EDPB) je leta 2021 za to pripravil priporočila. Leta 2021 so nastala tudi nova standardna pogodbena določila (Izvedbeni sklep (EU) 2021/914).

Za majhno organizacijo je bilo to zahtevno: kako naj pekarna presodi ameriško obveščevalno pravo? V praksi so se mnogi oprli na pogodbe in dokumentacijo velikih ponudnikov.

Most 3: EU-US Data Privacy Framework

ZDA in EU sta se znova pogajali. Predsednik Biden je 7. oktobra 2022 podpisal Executive Order 14086. Ta med drugim določa, da mora biti obveščevalno delo "nujno in sorazmerno", ter vzpostavlja pritožbeni postopek, katerega zadnji korak je Data Protection Review Court (DPRC) znotraj ameriškega ministrstva za pravosodje.

Dne 10. julija 2023 je Komisija sprejela sklep o ustreznosti za EU-US Data Privacy Framework (DPF). Kako deluje:

• Velja samo za ameriške organizacije, ki so se vanj vključile (samocertificiranje pri ameriškem ministrstvu za trgovino). Na spletni strani dataprivacyframework.gov je objavljen seznam. Če podjetja ni na seznamu, DPF zanj ne velja.
• Skladnost v ZDA nadzorujejo med drugim Federal Trade Commission (FTC).
• Komisija izvaja redno periodično oceno.

Za uporabnike DPF pomeni: prenos k vključenemu ameriškemu podjetju je znova dovoljen brez ocene vpliva prenosa (TIA). Zato mnogi ponudniki pravijo: "Izpolnjujemo zahteve GDPR."

Zakaj okvir ostaja negotov

DPF stoji, a na majavih temeljih:

• Executive Order ni zakon. Naslednji predsednik ga lahko spremeni ali prekliče brez Kongresa.
• Splošno sodišče in pritožba. Francoski poslanec Philippe Latombe je od Splošnega sodišča EU zahteval razveljavitev sklepa o DPF. Dne 3. septembra 2025 je Splošno sodišče to zahtevo zavrnilo (zadeva T-553/23): po mnenju sodišča je bil DPRC dovolj neodvisen. Latombe se je pritožil pri Sodišču Evropske unije (zadeva C-703/25 P). Novembra 2026 odločitev še ni bila sprejeta. Sodišče je bilo v zadevah Schrems I in II strožje kot Splošno sodišče zdaj.
• Nadzor v ZDA pod pritiskom. Januarja 2025 so bili razrešeni člani Privacy and Civil Liberties Oversight Board (PCLOB), ki so jih predlagali demokrati; od takrat ta nadzorni organ nima sklepčnosti in lahko svoje delo, med drugim nadzor nad pritožbenim postopkom, opravlja le omejeno. Dne 29. junija 2026 je ameriško vrhovno sodišče v zadevi Trump proti Slaughter odločilo, da sme predsednik člane FTC razrešiti brez razloga. Pravniki opozarjajo, da to zaostruje vprašanje neodvisnega nadzora, na katerem temelji DPF.
• Novi postopki. Organizacija za varstvo zasebnosti noyb je napovedala, da razmišlja o lastnem postopku. Taka zadeva traja leta.

Če DPF pade, se bo zgodilo enako kot leta 2015 in 2020: organizacije bodo morale čez noč preiti na standardna pogodbena določila z oceno vpliva prenosa (TIA) ali ustaviti prenos podatkov. Prehodno obdobje ni dogovorjeno.

Kaj to pomeni za Vas?

Za Pekarno De Korrel vprašanje ni "ali je to trenutno dovoljeno?", saj je z DPF trenutno dovoljeno. Vprašanje je: "ali želim biti odvisen od okvira, ki je že dvakrat padel in je tretjič pred Sodiščem?" Storitev, ki ima sedež znotraj EGP in podatke hrani znotraj EGP, ni odvisna od DPF. To ni pravna zahteva, je pa mirnejše izhodišče.

V praksi: tako je videti pri ponudniku

V izjavi o zasebnosti ali pogodbi o obdelavi osebnih podatkov Vašega trenutnega ponudnika preverite, na kateri pravni podlagi prenaša podatke v ZDA: DPF, standardna pogodbena določila, ali oboje. Veliki ponudniki pogosto navedejo oboje, prav zato, da bi ublažili morebitni padec DPF. Evropskemu ponudniku brez prenosa zunaj EGP tega ni treba urejati; njegov seznam podobdelovalcev pokaže, ali to drži (lekcija 9.2). Pri WebOké pogodba o obdelavi osebnih podatkov določa, da je prenos zunaj EU dovoljen samo s predhodnim pisnim soglasjem; pri drugih ponudnikih podobno določbo najdete običajno v členu o "prenosu podatkov" ali "mednarodnem prenosu".

Povzetek

• Prenos podatkov zunaj EGP je dovoljen samo s sklepom o ustreznosti ali z zagotovili, kot so standardna pogodbena določila.
• Sodišče je razglasilo Safe Harbor (2015, Schrems I) in Privacy Shield (2020, Schrems II) za neveljavna, predvsem zaradi ameriškega nadzora in pomanjkanja pravnega varstva.
• Od 10. julija 2023 velja EU-US Data Privacy Framework, in sicer samo za ameriška podjetja, ki so se vanj vključila.
• DPF temelji na predsedniškem odloku in je sporen: pritožba Latombe (C-703/25 P) teče, ameriški nadzor pa je pod pritiskom.
• Storitev, ki podatke hrani znotraj EGP, ni odvisna od DPF.

Kviz

Naloga

Naloga E1.4: Na kateri pravni podlagi gredo Vaši podatki v ZDA? V izjavi o zasebnosti ali pogodbi o obdelavi osebnih podatkov svoje trenutne oblačne storitve poiščite, ali se podatki obdelujejo zunaj EGP in na kateri pravni podlagi (DPF, SCC, sklep o ustreznosti za drugo državo). Na dataprivacyframework.gov preverite, ali je podjetje na seznamu. Opišite, kaj bi se za Vas zgodilo, če bi bil DPF razveljavljen.

Za dodatno branje

Koraki v teh prispevkih veljajo za storitve WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik za Nextcloud 15.13: Pogosta vprašanja o varnosti in zasebnosti
• Sodišče Evropske unije, sodba C-362/14 (Schrems I, 6. oktober 2015) in C-311/18 (Schrems II, 16. julij 2020), na curia.europa.eu
• Izvedbeni sklep (EU) 2023/1795 (sklep o ustreznosti EU-US Data Privacy Framework, 10. julij 2023), na EUR-Lex
• Izvedbeni sklep (EU) 2021/914 (standardna pogodbena določila), na EUR-Lex
• Splošno sodišče EU, zadeva T-553/23 (Latombe, 3. september 2025); pritožba C-703/25 P
• Seznam Data Privacy Framework: https://www.dataprivacyframework.gov