Schrems II, Data Privacy Framework un nenoteiktība

1. modulis: Kāpēc Eiropas mākonis? · Lasīšanas laiks: 12 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet pastāstīt par vienošanos vēsturi attiecībā uz datu nodošanu no ES uz ASV, izskaidrot, ko nolēma Schrems II, kas ir EU-US Data Privacy Framework, un kāpēc pašreizējais regulējums joprojām ir nenoteikts.

Pamatjēdzieni: datu nodošana, pietiekamības lēmums, Safe Harbor, Schrems I, Privacy Shield, Schrems II, standarta līguma klauzulas (SCC), transfer impact assessment (TIA), papildu pasākumi, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, pašsertifikācija, Latombe, PCLOB

Datu nodošana: noteikums un izņēmums

Nodarbībā 1.2 Jūs uzzinājāt, ka dati drīkst atstāt Eiropas Ekonomikas zonu (EEZ) tikai tad, ja galamērķa valsts nodrošina pienācīgu aizsardzības līmeni vai ja pastāv papildu garantijas (VDAR V nodaļa). Šo datu izvešanu sauc par datu nodošanu. Datu nodošana nav tikai faila nosūtīšana uz Ameriku: datu nodošana var notikt arī tad, ja amerikāņu atbalsta darbinieks attālināti apskata Jūsu Eiropas vidi vai ja Jūsu dati atrodas Amerikas pakalpojuma serveros.

Vienkāršākais ceļš ir pietiekamības lēmums (45. pants): Eiropas Komisija nolemj, ka kādai valstij ir aizsardzības līmenis, kas ir "pēc būtības līdzvērtīgs" ES līmenim. Šādi lēmumi ir pieņemti, cita starpā, attiecībā uz Šveici, Apvienoto Karalisti, Japānu un Kanādu (komerciālām organizācijām). Attiecībā uz ASV situācija ir sarežģītāka: Eiropas Savienības Tiesa Komisijas lēmumu šajā jautājumā ir atcēlusi divas reizes.

Šis ir skaidrojums, nevis juridisks padoms. Situācijas apraksts šajā nodarbībā atbilst 2026. gada novembrim.

1. tilts: Safe Harbor un Schrems I

2000. gadā ES un ASV noslēdza vienošanos Safe Harbor. Amerikas uzņēmumi varēja pieteikties un apsolīt, ka tie labi aizsargās Eiropas datus. Komisija šim nolūkam pieņēma pietiekamības lēmumu.

2013. gadā Edvards Snoudens atklāja, kā Amerikas izlūkošanas dienesti plašā mērogā vāca datus no interneta uzņēmumiem. Austrijas jurists Makss Šremss (Max Schrems) iesniedza sūdzību pret Facebook Īrijā: viņa dati tika nosūtīti uz ASV un tur nebija aizsargāti. Lieta nonāca Eiropas Savienības Tiesā. 2015. gada 6. oktobrī Tiesa atzina Safe Harbor lēmumu par spēkā neesošu (lieta C-362/14, "Schrems I"). Būtība: Komisija nebija pārbaudījusi, vai Amerikas valdība ievēro noteiktas robežas, un eiropiešiem nebija reālas tiesiskās aizsardzības.

2. tilts: Privacy Shield un Schrems II

Jau 2016. gadā tapa pēctecis: EU-US Privacy Shield, ar stingrākiem noteikumiem un ombudu Amerikas Ārlietu ministrijā. Šremss uzsāka jaunu tiesvedību.

2020. gada 16. jūlijā Tiesa pasludināja spriedumu lietā C-311/18, "Schrems II". Tiesa atzina Privacy Shield par spēkā neesošu. Iemesli:

• Amerikas uzraudzības programmas, jo īpaši saskaņā ar FISA Section 702 un Executive Order 12333 (nodarbība 1.3), nebija ierobežotas līdz tam, kas ir "absolūti nepieciešams".
• Eiropiešiem nebija efektīvas piekļuves neatkarīgai tiesai; ombuds nebija pietiekami neatkarīgs un nevarēja pieņemt saistošus lēmumus.

Tiesa pateica arī kaut ko svarīgu par alternatīvu, standarta līguma klauzulām (SCC, angliski standard contractual clauses). Tie ir Komisijas sagatavoti parauglīgumi, kurus paraksta sūtītājs un saņēmējs. Tie palika spēkā, taču: puse, kas nodod datus, katrā atsevišķā gadījumā ir jāpārbauda, vai saņēmējvalsts tiesību akti neapdraud šīs vienošanās. Ja tā ir, nepieciešami papildu pasākumi, piemēram, šifrēšana, kurā saņēmējam nav atslēgas. Ja tas nav iespējams, datu nodošana ir jāpārtrauc.

Šo novērtējumu sauc par transfer impact assessment (TIA). Eiropas datu aizsardzības uzraudzības iestādes (EDPB) 2021. gadā šim nolūkam izstrādāja ieteikumus. 2021. gadā tapa arī jaunas standarta līguma klauzulas (Īstenošanas lēmums (ES) 2021/914).

Mazai organizācijai tas bija sarežģīti: kā maiznīcai novērtēt Amerikas izlūkošanas tiesības? Praksē daudzi paļāvās uz lielo pakalpojumu sniedzēju līgumiem un dokumentāciju.

3. tilts: EU-US Data Privacy Framework

ASV un ES sāka jaunas sarunas. Prezidents Baidens 2022. gada 7. oktobrī parakstīja Executive Order 14086. Tajā cita starpā noteikts, ka izlūkošanas darbībām jābūt "nepieciešamām un samērīgām", un tiek izveidota sūdzību izskatīšanas procedūra, kuras pēdējais posms ir Data Protection Review Court (DPRC) Amerikas Tieslietu ministrijā.

2023. gada 10. jūlijā Komisija pieņēma pietiekamības lēmumu par EU-US Data Privacy Framework (DPF). Kā tas darbojas:

• Tas attiecas tikai uz tiem Amerikas uzņēmumiem, kas tam ir pievienojušies (pašsertifikācija Amerikas Tirdzniecības ministrijā). Vietnē dataprivacyframework.gov ir pieejams šo uzņēmumu saraksts. Ja uzņēmums šajā sarakstā nav iekļauts, DPF uz to neattiecas.
• Atbilstības ievērošanu ASV cita starpā pārbauda Federal Trade Commission (FTC).
• Komisija regulāri veic periodisku izvērtējumu.

Lietotājiem DPF nozīmē: datu nodošana pievienojušamies Amerikas uzņēmumam atkal ir atļauta bez TIA. Tāpēc daudzi pakalpojumu sniedzēji saka: "Mēs ievērojam VDAR."

Kāpēc regulējums joprojām ir nenoteikts

DPF pastāv, bet stāv uz trausliem pamatiem:

• Executive Order nav likums. Nākamais prezidents to var mainīt vai atcelt bez Kongresa piekrišanas.
• Vispārējā tiesa un apelācija. Francijas parlamentārietis Filips Latombs (Philippe Latombe) lūdza Eiropas Savienības Vispārējo tiesu atcelt DPF lēmumu. 2025. gada 3. septembrī Vispārējā tiesa šo prasību noraidīja (lieta T-553/23): pēc Vispārējās tiesas ieskata DPRC bija pietiekami neatkarīga. Latombs iesniedza apelāciju Eiropas Savienības Tiesā (lieta C-703/25 P). 2026. gada novembrī spriedums vēl nav pieņemts. Tiesa lietās Schrems I un II ir bijusi stingrāka nekā Vispārējā tiesa tagad.
• Uzraudzība ASV atrodas spiediena priekšā. 2025. gada janvārī tika atlaisti Privacy and Civil Liberties Oversight Board (PCLOB) locekļi, kurus bija izvirzījuši demokrāti; kopš tā laika šai uzraudzības iestādei nav kvoruma, un tā var veikt savu darbu, tostarp sūdzību procedūras pārraudzību, tikai ierobežotā apjomā. 2026. gada 29. jūnijā Amerikas Augstākā tiesa lietā Trump v. Slaughter nolēma, ka prezidents var atlaist FTC locekļus bez pamatojuma. Juristi norāda, ka tas padara asāku jautājumu par neatkarīgu uzraudzību, uz kuras balstās DPF.
• Jaunas procedūras. Privātuma organizācija noyb ir paziņojusi, ka apsver savu tiesvedību. Šāda lieta ilgst gadiem.

Ja DPF kritīs, notiks tas pats, kas notika 2015. un 2020. gadā: organizācijām no vienas dienas uz otru būs jāatgriežas pie standarta līguma klauzulām ar TIA vai jāpārtrauc datu nodošana. Pārejas perioda šādā gadījumā nav paredzēts.

Ko tas nozīmē Jums?

Bakkerij De Korrel jautājums nav "vai tas tagad ir atļauts?", jo ar DPF tas šobrīd ir atļauts. Jautājums ir: "vai es vēlos būt atkarīgs no regulējuma, kas jau divas reizes ir atcelts un trešo reizi atrodas Tiesā?" Pakalpojums, kas atrodas EEZ un tur arī glabā datus, nav atkarīgs no DPF. Tas nav juridiska prasība, bet gan mierīgāks pamats, uz kura balstīties.

Praksē: kā tas izskatās pie pakalpojumu sniedzēja

Apskatiet sava pašreizējā mākoņpakalpojuma sniedzēja privātuma politiku vai datu apstrādes līgumu, lai noskaidrotu, vai dati tiek apstrādāti ārpus EEZ un uz kāda pamata (DPF, SCC vai abi). Lielie pakalpojumu sniedzēji bieži min abus, tieši lai nodrošinātos pret DPF krišanu. Eiropas pakalpojumu sniedzējam, kas datus nenodod ārpus EEZ, tas nav jākārto; tā apakšapstrādātāju saraksts parāda, vai tas tā ir (nodarbība 9.2). WebOké datu apstrādes līgumā ir noteikts, ka datu nodošana ārpus ES ir atļauta tikai ar iepriekšēju rakstisku piekrišanu; citiem pakalpojumu sniedzējiem līdzīgu noteikumu parasti atradīsiet pantā par "datu nodošanu" vai "starptautisku nodošanu".

Kopsavilkums

• Datu nodošana ārpus EEZ atļauta tikai ar pietiekamības lēmumu vai ar garantijām, piemēram, standarta līguma klauzulām.
• Tiesa atzina Safe Harbor (2015, Schrems I) un Privacy Shield (2020, Schrems II) par spēkā neesošiem, galvenokārt Amerikas uzraudzības un tiesiskās aizsardzības trūkuma dēļ.
• Kopš 2023. gada 10. jūlija ir spēkā EU-US Data Privacy Framework, kas attiecas tikai uz Amerikas uzņēmumiem, kas tam ir pievienojušies.
• DPF balstās uz prezidenta lēmumu un ir apšaubāms: notiek Latomba apelācija (C-703/25 P), Amerikas uzraudzība atrodas spiediena priekšā.
• Pakalpojums, kas datus glabā EEZ robežās, nav atkarīgs no DPF.

Tests

Uzdevums

Uzdevums E1.4: Uz kāda pamata Jūsu dati nonāk ASV? Jūsu pašreizējā mākoņpakalpojuma privātuma politikā vai datu apstrādes līgumā noskaidrojiet, vai dati tiek apstrādāti ārpus EEZ un uz kāda pamata (DPF, SCC, pietiekamības lēmums citai valstij). Vietnē dataprivacyframework.gov pārbaudiet, vai uzņēmums ir iekļauts sarakstā. Aprakstiet, kas notiktu Jūsu gadījumā, ja DPF tiktu atcelts.

Vairāk lasīt

Šajos rakstos aprakstītie soļi attiecas uz WebOké pakalpojumiem; citiem pakalpojumu sniedzējiem process ir līdzīgs.

• Nextcloud rokasgrāmata 15.13: Biežāk uzdotie jautājumi par drošību un privātumu
• Eiropas Savienības Tiesa, spriedumi lietās C-362/14 (Schrems I, 2015. gada 6. oktobris) un C-311/18 (Schrems II, 2020. gada 16. jūlijs), vietnē curia.europa.eu
• Īstenošanas lēmums (ES) 2023/1795 (EU-US Data Privacy Framework pietiekamības lēmums, 2023. gada 10. jūlijs), vietnē EUR-Lex
• Īstenošanas lēmums (ES) 2021/914 (standarta līguma klauzulas), vietnē EUR-Lex
• Eiropas Savienības Vispārējā tiesa, lieta T-553/23 (Latombe, 2025. gada 3. septembris); apelācija C-703/25 P
• Data Privacy Framework saraksts: https://www.dataprivacyframework.gov