UE, șah la Facebook?

La sfârșitul lunii iunie, autoritatea privind protecția datelor din Irlanda (DPC) a informat autoritățile omoloage din UE cu privire la un proiect de decizie ce ar urma să interzică Facebook (deținută de Meta) să transfere în SUA datele utilizatorilor din UE.

• La câteva ore după ultimatumul dat de Trump, Hamas răspunde: Eliberăm ostaticii!
• Guvernul Bolojan, la 100 de zile. „Fără aceste măsuri am fi fost într-o situație dificilă”
• Politico: Ursula von der Leyen va pierde sau nu votul de încredere?
• Alegerile legislative din Cehia l-ar putea readuce la putere pe fostul premier, miliardarul Andrej Babis
• Iohannis, executat silit

Decizia ar avea la bază faptul că Facebook nu a făcut dovada implementării unor garanții adecvate din perspectiva protecției vieții private pentru datele utilizatorilor din UE stocate în SUA.

Autoritățile europene vor avea o lună la dispoziție pentru a-și exprima punctul de vedere în ce privește proiectul de decizie al DPC. În măsura în care niciuna dintre celelalte autorități de supraveghere nu formulează obiecții în termen, proiectul de decizie va deveni obligatoriu. Dacă însă vor exista obiecții, situația va fi tranșată de Comitetul European privind Protecția Datelor (EDPB), tot în termen de o lună.

Deși vizează în mod specific Facebook, decizia ar urma să producă reverberații puternice asupra tuturor organizațiilor din UE care transferă date în SUA sau către alte jurisdicții care nu asigură un nivel de protecție adecvat.

Ce s-a întâmplat?

În anul 2020 CJUE a invalidat Privacy Shield, actul care certifică faptul că SUA asigură un nivel de protecție adecvat din perspectiva protecției vieții private și care, astfel, constituia baza legală pentru majoritatea transferurilor europene de date către SUA.

Curtea de Justiție a Uniunii Europene a invalidat actul care certifică faptul că SUA asigură un nivel de protecție adecvat Foto CJUE

În esență, invalidarea a avut ca motiv faptul că legislația SUA permite autorităților cu competențe în siguranța națională (intelligence – FBI, CIA etc.) un acces cvasi-discreționar la date, fără a exista un control efectiv și eficace din partea unor autorități independente (de ex., a unei instanțe de judecată).

Poate mai important însă, cauza de invalidare a Privacy Shield (accesul discreționar al autorităților la date, cu afectarea standardelor europene privind confidențialitatea datelor) este de natură a indisponibiliza și instrumentele alternative de transfer al datelor (cum ar fi clauzele contractuale standard – SCCs, respectiv Regulile Corporatiste Obligatorii – BCRs). Motivul este simplu: chiar dacă organizațiile din SUA (care primesc datele) și-ar asuma contractual garanții adecvate privind confidențialitatea datelor (inclusiv privind limitarea accesului autorităților din SUA la date), astfel de obligații nu ar putea fi efective, din moment ce, potrivit legii din SUA, respectivele organizații sunt obligate să ofere acces neîngrădit la date.

Așa fiind, singura cale de ieșire din blocaj pare a fi la nivel politic. Mai exact, negocierea unui nou acord de tipul Privacy Shield, care să ofere însă garanții efective privind accesul autorităților din SUA la datele cetățenilor europeni (a se vedea mai jos).

Statusul noului acord de tip Privacy Shield

Conform declarațiilor emise de Casa Albă în martie 2022, SUA și Comisia Europeană s-au angajat la un nou acord transatlantic de confidențialitate a datelor care va răspunde preocupărilor exprimate de CJUE.

Pe scurt, SUA s-au angajat să implementeze noi mecanisme și garanții care să asigure că accesul la date al autorităților cu atribuții în securitatea națională este necesar și proporțional. De asemenea, se are în vedere și crearea unor pârghii prin care persoanele din UE să solicite despăgubiri în măsura în care consideră că sunt afectate, în mod nelegitim, de activitățile autorităților de intelligence din SUA.

Este de așteptat ca procesul de adoptare a noului acord de tip Privacy Shield să dureze în jur de 6 luni (similar Privacy Shield). Deci, sunt șanse mici ca acordul să apară în acest an. Rămâne de văzut dacă proiectul de decizie al DPC va accelera lucrurile.

Ce alternative are Facebook?

Ca urmare a invalidării Privacy Shield în anul 2020, Facebook încheiase clauze contractuale standard (SCCs) care, așa cum am arătat mai sus, nu pot rezolva problema de fond – accesul discreționar la date al autorităților americane. De altfel, se pare că, printre altele, proiectul de decizie al DPC va constata și faptul că SCCs încheiate de Facebook nu pot constitui temei valid al transferului către SUA.

Prin urmare, „colacul de salvare” l-ar reprezenta tocmai adoptarea urgentă a noului cadru de transfer al datelor UE – SUA (similar Privacy Shield). Poate tocmai ca instrument de presiune în acest sens, Facebook a făcut recent un anunț aparent neverosimil: în ipoteza adoptării deciziei DPC, va fi nevoită să-și întrerupă serviciile în Europa (!!!). În ciuda acestei declarații, este totuși greu de crezut că Facebook va renunța la o piață de aproximativ 450 milioane de utilizatori. Asta fără a vorbi de impactul global, inclusiv de tip economico-social, pe care o asemenea decizie l-ar putea crea.

Așa fiind, dacă se va adopta decizia DPC, pare mai credibil scenariul în care Facebook își va muta temporar serverele în UE, până la adoptarea noului cadru de transfer de tip Privacy Shield. Nu va fi simplu, dar această soluție ar fi cu siguranță preferabilă scenariului în care Facebook/ Meta nu vor mai oferi servicii în Europa.