Számos adatkezelő küzd azzal, hogy a GDPR-nak megfelelő módon továbbíthasson adatokat az Egyesült Államokba, miután 2020. júliusában, az Európai Bíróság a Schrems II. ügyben hozott ítéletével megsemmisítette az Egyesült Államokra vonatkozó megfelelőségi határozatot, a Privacy Shield-et. Az USA-ba történő adattovábbítás kényes kérdés, hiszen számos, az EU-ban is széles körben használt technológiai szolgáltatás kapcsán kerülhetenk az USA-ba továbbításra személyes adatok vagy történhet hozzáférés az adatokhoz az USA-ból. Ennek megfelelően az Egyesült Államok nem csupán egy a GDPR szerinti harmadik országok sorában, ahová az adattovábbításra csak a GDPR-ban meghatározott feltételeknek megfelelően kerülhet sor, hanem kiemelt jelentőséggel bír az adattovábbítás szempontjából, figyelemmel a gazdasági kapcsolatok kiterjedtségére és az adattovábbítással járó technológiai megoldások széleskörű alkalmazására (pl. felhőszolgáltatások). 

A fentiekre tekintettel óriási várakozás övezte, hogy a 2022. márciusi EU-USA adattovábbítási keretmegállapodás alapján mikor születhet meg az új megfelelőségi határozat, amely az adattovábbítók (adatátadó) életét jelentősen megkönnyítheti az USA-ba irányuló adattovábbítások kapcsán.

Három évvel a Schrems II. ítélet meghozatala után eljött ez a pillanat, a Bizottság közzétette az új, USA-ra vonatkozó megfelelőségi határozatát!

(A vonatkozó sajtóközlemény elérhető itt. A megfelelőségi határozat szövege elérhető itt.)

1. Mi az a megfelelőségi határozat?

A megfelelőségi határozat a határozattal érintett harmadik országba történő adattovábbításnak az egyik lehetséges, de az adatkezelők szempontjából mindenképpen legegyszerűbb eszköze. A megfelelőségi határozatban ugyanis azt rögzíti a Bizottság, hogy az érintett harmadik ország (esetleg a harmadik ország valamely területe, vagy egy vagy több meghatározott ágazata, vagy egy meghatározott nemzetközi szervezet) megfelelő védelmi szintet biztosít. Az ilyen országokba történő adattovábbításhoz nem szükséges külön engedély, nem kell egyéb mechanizmusról (pl. általános adatvédelmi kikötések, kötelező erejű vállalati szabályok, stb.) meglétéről gondoskodni. A megfelelőségi határozat tehát egy lényeges terhet levesz az adattovábbítást tervező adatkezelők, adatfeldolgozók válláról. (Természetesen ez nem jelenti azt, hogy az adattovábbítást végzőknek az adatkezelés, adattovábbítás egyéb követelményeiről ne kellene gondoskodnia, de az adattovábbítás kapcsán egy lényeges előfeltétel teljesül.)

2. Mit jelent az USA-ra vonatkozó megfelelőségi határozat elfogadása az adatexportőrök szempontjából? 

Az adattovábbítást végzők (adatátadó) számára nagy könnyebbséget jelent, hiszen úgy tekinthetik, hogy az USA-ban bizotsított a megfelelő védelmi szint, így "csak" az adatkezelés és adattovábbítás egyéb feltételeiről kell gondoskodniuk, lényegében úgy, mintha az EU-n belüli adatkezelésre kerülne sor. (Az elmúlt évek hatósági döntéseiből, pl. Google Analytics ügyek, láthattuk, hogy mennyi nehézséget és komoly bírságokat hozhat a nem megfelelő módon végzett adattovábbítás.)  

Az Egyesült Államokba adattovábbítást végzők vagy ilyet tervezők a megfelelőségi határozatra tekintettel egyéb adattovábbítási mechanizmus alkalmazása nélkül is továbbíthatnak adatokat. Fontos, hogy az adattovábbítás ilyen módon kizárólag azon szervezetek irányába tehető meg, amelyek szerepelnek az ún. "Data Privacy Framework List"-en, amely nyilvánosan elérhető. (Korábban, a Safe Harbour, majd a Privacy Shield alapján is ehhez hasonlóan működő mechanizmust alkalmaztak.) Erre a listára olyan társaságok kerülhetnek fel, amelyek vállalják a - megfelelő szintű védelem biztosításához szükséges - megfelelő intézkedések megtételét és erről nyilatkoznak. Miután egy társaság felkerült a listára, onnantól kezdve az irányába történő adattovábbítás a megfelelőségi határozat alapján történhet. Éppen ezért az adattovábbítások kapcsán a lista előzetes ellenőrzése szükséges. (Amennyiben olyan szervezet felé irányulóan történne adattovábbítás, amely nem szerepel a listán, úgy más, a GDPR-ban biztosított adattovábbítási mechanizmust, pl. általános adatvédelmi kikötéseket kell alkalmazni.) 

Természetesen, ha egy, a "Data Privacy Framework List"-en szereplő társaság már nem felel meg a követelményeknek, akkor le is kerülhet a listáról és tekintetében a továbbiakban a megfelelőségi határozatra alapítottan már nem történhet adattovábbítás. 

3. Meddig támaszkodhatnak az adattovábbítók (adatátadók) a megfelelőségi határozatra? Jön majd a Schrems III?

Természetesen ezt nem tudhatjuk. A megfelelőségi határozatot (már tervezetként is) számos kritika érte, így számítani lehet rá, hogy előbb-utóbb ez is megmérettetik az Európai Bíróság előtt (lásd a NOYB nevű szervezet első reakcióját a döntés kapcsán, beleértve Max Schrems nyilatkozatát, miszerint a döntést az Európai Bíróság elé fogják vinni). Addig azonban, amíg nem születik olyan bírósági döntés, amely a megfelelőségi határozat érvényességét érintené, az adattovábbítások kapcsán támaszkodni lehet erre a mechanizmusra.