Privacy Shield между ЕС и США

Европейская комиссия объявила о достижении договорённости с США по Privacy Shield между ЕС и США 2 февраля 2016 года^[9][10].

В качестве предпосылки президент США Барак Обама подписал 24 февраля 2016 года закон Judicial Redress Act, дающий гражданам ЕС возможность обращаться в суды США в случае нарушения их персональных данных. В отличие от американских граждан, как отмечал бывший федеральный комиссар по защите данных Петер Шаар, граждане ЕС должны сначала попытаться защитить свои права административным путём^[11][12].

Соглашение и сопровождающие его решения и положения были опубликованы 29 февраля 2016 года^[1][13] и впоследствии были лишь незначительно изменены^[14]. Текст соглашения был представлен широкой публике^[4].

В начале июля 2016 года большинство стран ЕС одобрило Privacy Shield. Австрия, Хорватия, Словения и Болгария воздержались. Федеральный комиссар по защите данных Андреа Фоссхофф отметила, что, «особенно в коммерческой части» соглашения, Еврокомиссия учла многие требования защитников данных и изменила первоначальный проект. После данного согласования возможность дополнительного обжалования для защитников данных была исключена^[2].

В переходный период американские компании ориентировались на стандартные договорные положения по статье 26 (2) Директивы ЕС по защите данных, одобренные ранее европейскими органами по защите данных. На такой подход обращала внимание Еврокомиссия^[15][16].

Комиссия приняла решение об адекватности, согласно которому «гарантии передачи данных на основе нового Privacy Shield между ЕС и США соответствуют стандартам ЕС»^[1]. После согласования с Рабочая группа по статье 29^[1] 12 июля 2016 года решение было одобрено и направлено странам ЕС^[3][4].

16 сентября 2016 года ирландская организация Digital Rights Ireland подала в Общий суд Европейского союза иск об аннулировании решения Еврокомиссии об адекватности Privacy Shield^[17][18]. Аналогичные иски были также инициированы активистами из La Quadrature du Net, French Data Network (FDN) и FFDN^[19].

В мае 2020 года комиссар по вопросам юстиции и прав потребителей ЕС Дидье Рейндерс отметил в письме EN E-001120/2020, что Комиссия участвует в двух делах в Суде ЕС, связанных с Privacy Shield (T-738-16, La Quadrature du Net и C-311/18, Schrems II). Хотя исход судов предсказать невозможно, Комиссия рассматривает различные сценарии и продолжает работу над альтернативными инструментами для передачи персональных данных, включая пересмотр стандартных договорных положений. Перед разбирательством 16 июля 2020 года генеральный адвокат ЕС выразил серьёзные сомнения в действительности соглашения Privacy Shield.

После смены администрации в США комиссар по юстиции ЕС Вера Йоурова в марте 2017 года заявила, что соглашение может быть приостановлено, если администрация США внесёт «существенные изменения». Она отметила, что «непредсказуемость» новой американской политики вызывает «проблемы»^[20]. В первом отчёте по реализации соглашения в октябре 2017 года Йоурова заявила, что механизм «действует» и обеспечивает «адекватный уровень защиты данных», но рекомендовала дополнительно информировать граждан ЕС о правах, а также быстрее назначить омбудсмена^[21]. Генеральный директор организации Digitale Gesellschaft Александр Сандер возразил мнению Комиссии, указывая на недостаточность правовой защиты граждан ЕС^[22].

16 июля 2020 года (дело C-311/18) Суд ЕС признал Исполнительное решение (ЕС) 2016/1250, принятое 12 июля 2016 года, недействительным. С этого момента ответственные за обработку данных больше не могут ссылаться на Privacy Shield как на основание для передачи данных организациям в США, даже если такие организации прошли самосертификацию.

25 марта 2022 года председатель Еврокомиссии Урсула фон дер Ляйен и президент США Джо Байден объявили о «принципиальной договорённости» относительно новой версии соглашения Privacy Shield, несмотря на то, что в США не изменили нормы по надзору^[23]. При этом гарантии правительства не подлежат судебному пересмотру. Решение Верховного суда США в марте 2022 года ещё больше усложнило условия соглашения, дав американским органам больше возможностей ссылаться на «государственную тайну» по делам о шпионаже. Таким образом, как гражданам США, так и гражданам ЕС стало значительно сложнее обжаловать секретное наблюдение в США^[24].

13 декабря 2022 года Еврокомиссия представила проект Privacy Shield 2.0^[25].

Privacy Shield в редакции, опубликованной в конце февраля 2016 года, включает само соглашение, решение Еврокомиссии об адекватности и дополнительные документы, вносимые в законодательные процедуры стран ЕС. К ним относятся принципы защиты данных, обязательные для американских компаний, а также письменные гарантии правительства США, подлежащие публикации в Федеральном реестре США. Данные гарантии содержали «ограничения и гарантии доступа к данным со стороны государственных органов»^[1]

Американские компании, как и в случае с Safe Harbor, должны регистрироваться в специальном списке, обязуясь выполнять соответствующие требования.^[26]

США дали Еврокомиссии письменные гарантии, что будут осуществляться эффективные надзорные меры в отношении компаний-нарушителей, до применения санкций и исключения их из списка. Передача данных третьим компаниям стала возможна только при выполнении более строгих условий^[1].

Еврокомиссия заявила, что правительство США через офис Директора национальной разведки письменно гарантировало ограничение, контроль и надзор по доступу к данным граждан ЕС в рамках национальной безопасности. Граждане ЕС могли обращаться к Омбудсмену при Госдепартаменте США для рассмотрения жалоб и проверки законности действий компаний. Все ответы омбудсмена публиковались в Федеральном реестре.^[1]

Гражданам ЕС были предоставлены права против американских компаний: жалобы должны рассматриваться в срок до 45 дней, предусмотрен механизм альтернативного урегулирования спорных ситуаций, а также обращение в национальные органы защиты данных ЕС, взаимодействующие с Федеральной торговой комиссией США. Для компаний, работающих с персональными данными, обязательны рекомендации национальных европейских регуляторов; для других — возможна добровольная сертификация.^[1]

Еврокомиссия ежегодно готовила отчёт о работе Privacy Shield, который предоставлялся Европейскому парламенту и Совету ЕС. Проверка осуществлялась совместно с Министерством торговли США, с привлечением представителей разведывательных органов, европейских регуляторов и неправительственных организаций — участников ежегодного саммита по вопросам защиты данных.^[1]

Соглашение (американская пресса называла его «дил») подвергалось острой критике с самого начала.^[27] Макс Шремс — инициатор иска, отменившего Safe Harbor, отметил, что гарантии США накануне президентских выборов 2016 года «совершенно недостаточны для миллионов европейцев»^[9]. В июле 2016 года в интервью радио Deutschlandfunk он заявил, что принятие новых правил не ведёт к реальному изменению ситуации: «Там прямо написано: приоритет — за законами США, если американское законодательство позволяет перехват данных, это разрешено. Если посмотреть документы, там прямо по шести пунктам разрешена массовая слежка. При этом сама американская трактовка понятия „массовое наблюдение“ весьма странная»^[28][29]. Совместно с депутатом Европарламента от партии зелёных Яном Филиппом Альбрехтом Шремс выступил на пресс-конференции 12 июля 2016 года в Брюсселе против упомянутого соглашения^[30].

Privacy Shield был также отвергнут 27 правозащитными организациями^[31] и европейскими защитниками данных^[32]. В качестве главных замечаний указывалось отсутствие юридической обязывающей силы у соглашения, его существование лишь в виде обмена письмами. Меры массового наблюдения со стороны властей США могли проводиться без оценки соразмерности, что нарушает европейское право. Права граждан ЕС не защищены — они могут не знать о факте наблюдения, а омбудсмен не обладает достаточными полномочиями^[33].

Рабочая группа по статье 29 в заключении 13 апреля 2016 года выразила опасения относительно Privacy Shield. Защитники данных указали на продолжающееся массовое наблюдение за гражданами ЕС и несоблюдение принципа ограничения хранения данных. Омбудсмен — сотрудник Госдепартамента США — недостаточно независим^[34][35].

24 мая 2016 года Европейский парламент большинством голосов запросил от Еврокомиссии исправлений известных недостатков Privacy Shield^[36][37].

После того как Дональд Трамп 25 января 2017 года подписал указ, исключающий действие Privacy Act в отношении неграждан и нелегальных резидентов, Петер Шаар усомнился в возможности признания американской системы «адекватной» по отношению к гражданам ЕС^[38].

6 апреля 2017 года Европейский парламент принял критическую резолюцию по Privacy Shield, отметив существенные пробелы и несоответствие практики наблюдения в США нормам ЕС^[39].

На первом заседании Европейский комитет по защите данных в январе 2019 года было отмечено, что позиция омбудсмена всё ещё не занята на постоянной основе, а его полномочия перед спецслужбами недостаточно раскрыты. Федеральный уполномоченный по защите данных Германии выразил сомнение, что этот механизм обеспечивает необходимый уровень правовой защиты^[40].

Еврокомиссия пришла к выводу об адекватности уровня защиты данных и в отношении других стран. По состоянию на май 2023 года действовали 14 решений об адекватности для Андорры, Аргентины, коронных территорий Великобритании (Гернси, Остров Мэн, Джерси), датской группы островов Фарерские острова, а также Израиль, Япония, Канада (только для коммерческих организаций), Новая Зеландия, Швейцария, Южная Корея, Великобритания и Уругвай^[41].