Schrems II, Data Privacy Framework și incertitudinea

Modulul 1: De ce un cloud european? · Timp de citire: 12 minute

Obiectiv de învățare: După această lecție veți putea povesti istoria acordurilor privind transferul datelor din UE către SUA, veți putea explica ce a decis Schrems II, ce este EU-US Data Privacy Framework și de ce cadrul actual rămâne nesigur.

Noțiuni cheie: transfer, decizie privind caracterul adecvat, Safe Harbor, Schrems I, Privacy Shield, Schrems II, clauze contractuale standard (SCC), transfer impact assessment (TIA), măsuri suplimentare, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, autocertificare, Latombe, PCLOB

Transferul: regula și excepția

În lecția 1.2 ați văzut că datele pot părăsi Spațiul Economic European (SEE) numai dacă țara de destinație oferă un nivel adecvat de protecție, sau dacă există garanții suplimentare (GDPR capitolul V). Această părăsire se numește transfer. Un transfer nu înseamnă doar trimiterea unui fișier în America: și atunci când un angajat american de la departamentul de suport vă accesează de la distanță mediul european, sau când datele dumneavoastră se află la un serviciu american, poate fi vorba despre un transfer.

Calea cea mai simplă este o decizie privind caracterul adecvat (art. 45): Comisia Europeană decide că o țară are un nivel de protecție "în esență echivalent" cu cel al UE. Astfel de decizii există, printre altele, pentru Elveția, Regatul Unit, Japonia și Canada (pentru organizațiile comerciale). Pentru SUA, situația este mai complicată: acolo, Comisia a fost respinsă de două ori de Curtea de Justiție.

Acesta este un material explicativ, nu consultanță juridică. Situația descrisă în această lecție este din noiembrie 2026.

Puntea 1: Safe Harbor și Schrems I

În anul 2000, UE și SUA au încheiat acordul Safe Harbor. Companiile americane se puteau înregistra și se angajau să protejeze corespunzător datele europene. Comisia a emis pentru acesta o decizie privind caracterul adecvat.

În 2013, Edward Snowden a dezvăluit modul în care serviciile de informații americane colectau date la scară largă de la companiile de internet. Juristul austriac Max Schrems a depus o plângere împotriva Facebook în Irlanda: datele sale ajungeau în SUA și nu erau protejate acolo. Cauza a ajuns la Curtea de Justiție a Uniunii Europene (CJUE). La data de 6 octombrie 2015, Curtea a declarat nevalidă decizia Safe Harbor (cauza C-362/14, "Schrems I"). Esența hotărârii: Comisia nu examinase dacă autoritățile americane respectau anumite limite, iar europenii nu dispuneau de o protecție juridică reală.

Puntea 2: Privacy Shield și Schrems II

Încă din 2016 a apărut un succesor: EU-US Privacy Shield, cu reguli mai stricte și un ombudsman la Ministerul de Externe al SUA. Schrems a intentat din nou un proces.

La data de 16 iulie 2020, Curtea s-a pronunțat în cauza C-311/18, "Schrems II". Curtea a declarat nevalid Privacy Shield. Motivele:

• Programele americane de supraveghere, în special cele reglementate de FISA Section 702 și Executive Order 12333 (lecția 1.3), nu se limitau la ceea ce era "strict necesar".
• Europenii nu aveau acces efectiv la o instanță independentă; ombudsmanul nu era suficient de independent și nu putea lua decizii obligatorii.

Curtea a mai spus ceva important despre alternativă, clauzele contractuale standard (SCC, în engleză standard contractual clauses). Acestea sunt contracte model ale Comisiei pe care le semnează expeditorul și destinatarul. Acestea au rămas valabile, dar: partea care transferă datele trebuie să verifice, de la caz la caz, dacă legislația țării destinatare nu subminează aceste acorduri. Dacă acesta este cazul, sunt necesare măsuri suplimentare, de exemplu criptarea în cazul căreia destinatarul nu deține cheia. Dacă acest lucru nu este posibil, transferul trebuie oprit.

Această evaluare se numește transfer impact assessment (TIA). Autoritățile europene de supraveghere a protecției datelor (EDPB) au redactat recomandări în acest sens în 2021. Tot în 2021 au apărut și noi clauze contractuale standard (Decizia de punere în aplicare (UE) 2021/914).

Pentru o organizație mică, acest lucru era dificil: cum evaluați dumneavoastră, ca brutărie, legislația americană privind serviciile de informații? În practică, mulți s-au bazat pe contractele și documentația furnizorilor mari.

Puntea 3: EU-US Data Privacy Framework

SUA și UE au negociat din nou. Președintele Biden a semnat la 7 octombrie 2022 Executive Order 14086. Aceasta prevede, printre altele, că activitatea serviciilor de informații trebuie să fie "necesară și proporțională" și instituie o procedură de plângere care are ca ultimă etapă o Data Protection Review Court (DPRC) în cadrul Ministerului Justiției al SUA.

La data de 10 iulie 2023, Comisia a adoptat decizia privind caracterul adecvat pentru EU-US Data Privacy Framework (DPF). Modul de funcționare:

• Se aplică numai organizațiilor americane care au aderat (autocertificare la Ministerul Comerțului al SUA). Pe site-ul dataprivacyframework.gov se găsește lista. Dacă o companie nu se află pe listă, DPF nu i se aplică acesteia.
• Respectarea regulilor este verificată în SUA, printre altele, de Federal Trade Commission (FTC).
• Există o evaluare periodică efectuată de Comisie.

Pentru utilizatori, DPF înseamnă: transferul către o companie americană aderentă este din nou permis fără TIA. De aceea, mulți furnizori afirmă: "Respectăm GDPR."

De ce cadrul rămâne nesigur

DPF există, dar stă pe picioare șubrede:

• Executive Order nu este o lege. Un viitor președinte îl poate modifica sau revoca, fără Congres.
• Tribunalul și apelul. Parlamentarul francez Philippe Latombe a solicitat Tribunalului UE anularea deciziei privind DPF. La data de 3 septembrie 2025, Tribunalul a respins cererea (cauza T-553/23): potrivit Tribunalului, DPRC era suficient de independentă. Latombe a formulat apel la Curtea de Justiție (cauza C-703/25 P). În noiembrie 2026 nu există încă o hotărâre. Curtea a fost mai strictă în Schrems I și II decât este acum Tribunalul.
• Supravegherea din SUA sub presiune. În ianuarie 2025 au fost demiși membrii Privacy and Civil Liberties Oversight Board (PCLOB) care fuseseră propuși de Democrați; de atunci, această autoritate de supraveghere nu mai are cvorum și își poate desfășura activitatea, inclusiv controlul procedurii de plângere, doar în mod limitat. La data de 29 iunie 2026, Curtea Supremă a SUA a decis în cauza Trump v. Slaughter că președintele poate demite membrii FTC fără motiv. Juriștii subliniază că acest lucru accentuează întrebarea privind supravegherea independentă, pe care se bazează DPF.
• Noi proceduri. Organizația pentru protecția vieții private noyb a anunțat că are în vedere o procedură proprie. O astfel de cauză durează ani de zile.

Dacă DPF cade, se va întâmpla ceea ce s-a întâmplat și în 2015 și 2020: organizațiile vor trebui să revină, de pe o zi pe alta, la clauzele contractuale standard cu o evaluare TIA, sau să oprească transferul. Nu a fost convenită nicio perioadă de tranziție în acest caz.

Ce înseamnă acest lucru pentru dumneavoastră?

Pentru Bakkerij De Korrel, întrebarea nu este "este permis acum?", pentru că, datorită DPF, este permis în acest moment. Întrebarea este: "doresc să depind de un cadru care a eșuat deja de două ori și se află pentru a treia oară la Curte?" Un serviciu care este stabilit în SEE și care păstrează datele în interiorul SEE nu depinde de DPF. Aceasta nu este o cerință juridică, dar este un punct de plecare mai liniștit.

În practică: cum arată la un furnizor

Verificați în declarația de confidențialitate sau în acordul de prelucrare a datelor al furnizorului dumneavoastră actual pe ce temei transferă datele către SUA: DPF, clauze contractuale standard, sau ambele. Furnizorii mari menționează adesea ambele, tocmai pentru a face față unei eventuale căderi a DPF. Un furnizor european fără transfer în afara SEE nu trebuie să reglementeze acest lucru; lista sa de subpersoane împuternicite arată dacă acest lucru este corect (lecția 9.2). La WebOké, acordul de prelucrare a datelor prevede că transferul în afara UE este permis numai cu acordul scris prealabil; la alți furnizori veți găsi, de obicei, o prevedere similară într-un articol despre "transfer" sau "transfer internațional".

Rezumat

• Transferul în afara SEE este permis numai cu o decizie privind caracterul adecvat sau cu garanții precum clauzele contractuale standard.
• Curtea a declarat nevalide Safe Harbor (2015, Schrems I) și Privacy Shield (2020, Schrems II), în principal din cauza supravegherii americane și a lipsei protecției juridice.
• Din 10 iulie 2023 se aplică EU-US Data Privacy Framework, numai pentru companiile americane care au aderat.
• DPF se bazează pe o decizie prezidențială și este contestat: apelul lui Latombe (C-703/25 P) este în curs, supravegherea americană este sub presiune.
• Un serviciu care păstrează datele în interiorul SEE nu depinde de DPF.

Quiz

Exercițiu

Exercițiul E1.4: Pe ce temei juridic ajung datele dumneavoastră în SUA? Căutați în declarația de confidențialitate sau în acordul de prelucrare a datelor al serviciului dumneavoastră cloud actual dacă datele sunt prelucrate în afara SEE și pe ce temei (DPF, SCC, decizie privind caracterul adecvat pentru o altă țară). Verificați pe dataprivacyframework.gov dacă respectiva companie se află pe listă. Descrieți ce s-ar întâmpla în cazul dumneavoastră dacă DPF ar fi anulat.

Lecturi suplimentare

Pașii din aceste articole se aplică serviciilor WebOké; la alți furnizori funcționează în mod similar.

• Manual Nextcloud 15.13: Întrebări frecvente despre securitate și confidențialitate
• Curtea de Justiție, hotărârea C-362/14 (Schrems I, 6 octombrie 2015) și C-311/18 (Schrems II, 16 iulie 2020), pe curia.europa.eu
• Decizia de punere în aplicare (UE) 2023/1795 (decizia privind caracterul adecvat pentru EU-US Data Privacy Framework, 10 iulie 2023), pe EUR-Lex
• Decizia de punere în aplicare (UE) 2021/914 (clauze contractuale standard), pe EUR-Lex
• Tribunalul UE, cauza T-553/23 (Latombe, 3 septembrie 2025); apel C-703/25 P
• Lista Data Privacy Framework: https://www.dataprivacyframework.gov