Transfery danych osobowych do USA w świetle decyzji Komisji Europejskiej w sprawie adekwatności programu EU-US Data Privacy Framework

Abstract

W lipcu 2023 roku Komisja Europejska przyjęła decyzję stwierdzającą odpowiedni stopień ochrony danych w ramach amerykańskiego programu EU-US Data Privacy Framework, umożliwiając tym samym swobodne transfery danych osobowych z Unii Europejskiej do USA w oparciu o tzw. decyzję o adekwatności. Decyzja ta nie dotyczy Stanów Zjednoczonych jako całego państwa, odnosi się jedynie do amerykańskich podmiotów, które – zgodnie z przyjętymi procedurami – przystąpiły do programu EU-US DPF. To już trzecia decyzja unijnego organu w sprawie transferów danych do USA. Jej poprzedniczki – dotyczące programu Safe Harbour oraz Privacy Shield – zostały skutecznie zakwestionowane przez Maximilliana Schremsa kierującego organizacją NOYB, co doprowadziło do ich unieważnienia przez Trybunał Sprawiedliwości UE. Nasuwa się zatem pytanie: „Czy obecnie obowiązującą decyzję ws. adekwatności programu EU-US DPF czeka podobny los?”. Celem prezentowanego artykułu jest analiza tejże decyzji pod kątem legalności z perspektywy obowiązujących w UE przepisów o ochronie danych osobowych. Dla realizacji założonego celu w oparciu o metodę formalno-dogmatyczną analizie zostaną poddane kluczowe elementy dotychczasowych i obecnych mechanizmów zapewniających legalność transferów danych osobowych do USA oraz podstawy unieważnienia decyzji w sprawie ich adekwatności. Rozważania dopełni wywiad z ekspertem z obszaru prawa ochrony danych osobowych, w którym zostaną poruszone potencjalne losy transatlantyckich transferów w przyszłości.