Schrems II, Data Privacy Framework i neizvjesnost

Modul 1: Zašto europski cloud? · Vrijeme čitanja: 12 minuta

Cilj učenja: Nakon ove lekcije moći ćete prepričati povijest dogovora o prijenosu podataka iz EU-a u SAD, objasniti što je odlučeno u presudi Schrems II, što je EU-US Data Privacy Framework i zašto trenutačni okvir ostaje neizvjestan.

Ključni pojmovi: prijenos podataka, odluka o primjerenosti, Safe Harbor, Schrems I, Privacy Shield, Schrems II, standardne ugovorne klauzule (SCC), procjena učinka prijenosa (TIA), dodatne mjere, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, samocertifikacija, Latombe, PCLOB

Prijenos podataka: pravilo i iznimka

U lekciji 1.2 vidjeli ste da podaci smiju napustiti Europski gospodarski prostor (EGP) samo ako zemlja odredišta nudi primjerenu razinu zaštite, ili ako postoje dodatne zaštitne mjere (GDPR, poglavlje V). To napuštanje naziva se prijenos podataka. Prijenos nije samo slanje datoteke u Ameriku: i kada američki djelatnik podrške na daljinu pristupa Vašem europskom okruženju, ili kada se Vaši podaci nalaze kod američke usluge, može biti riječ o prijenosu.

Najjednostavniji put je odluka o primjerenosti (čl. 45): Europska komisija odlučuje da neka zemlja ima razinu zaštite koja je "u biti jednaka" onoj u EU-u. Takve odluke postoje, među ostalim, za Švicarsku, Ujedinjeno Kraljevstvo, Japan i Kanadu (za komercijalne organizacije). Za SAD je priča složenija: tamo je Komisiju dvaput zaustavio Sud Europske unije.

Ovo je objašnjenje, a ne pravni savjet. Stanje opisano u ovoj lekciji odnosi se na studeni 2026.

Most 1: Safe Harbor i Schrems I

Godine 2000. EU i SAD sklopili su dogovor Safe Harbor. Američke tvrtke mogle su se prijaviti i obećati da će dobro štititi europske podatke. Komisija je za to donijela odluku o primjerenosti.

Godine 2013. Edward Snowden razotkrio je kako su američke obavještajne službe u velikim razmjerima prikupljale podatke kod internetskih tvrtki. Austrijski pravnik Max Schrems podnio je pritužbu protiv Facebooka u Irskoj: njegovi su podaci odlazili u SAD i ondje nisu bili zaštićeni. Slučaj je dospio pred Sud Europske unije. Dana 6. listopada 2015. Sud je proglasio odluku o Safe Harboru nevažećom (predmet C-362/14, "Schrems I"). Srž odluke: Komisija nije istražila je li se američka vlada pridržavala granica, a Europljani nisu imali stvarnu pravnu zaštitu.

Most 2: Privacy Shield i Schrems II

Već 2016. uslijedio je nasljednik: EU-US Privacy Shield, sa strožim pravilima i ombudsmanom pri američkom Ministarstvu vanjskih poslova. Schrems je ponovno pokrenuo postupak.

Dana 16. srpnja 2020. Sud je donio presudu u predmetu C-311/18, "Schrems II". Sud je proglasio Privacy Shield nevažećim. Razlozi:

• Američki programi nadzora, posebice prema FISA Section 702 i Executive Order 12333 (lekcija 1.3), nisu bili ograničeni na ono što je "strogo nužno".
• Europljani nisu imali djelotvoran pristup neovisnom sudu; ombudsman nije bio dovoljno neovisan i nije mogao donositi obvezujuće odluke.

Sud je rekao i nešto važno o alternativi, standardnim ugovornim klauzulama (SCC, na engleskom standard contractual clauses). To su modelni ugovori Komisije koje potpisuju pošiljatelj i primatelj. Oni su ostali valjani, ali: strana koja prenosi podatke mora za svaki slučaj provjeriti potkopava li pravo zemlje primatelja te dogovore. Ako je to slučaj, potrebne su dodatne mjere, primjerice enkripcija pri kojoj primatelj nema ključ. Ako to nije moguće, prijenos mora prestati.

Ta se procjena naziva procjena učinka prijenosa (transfer impact assessment, TIA). Europska tijela za zaštitu podataka (EDPB) donijela su za to preporuke 2021. godine. Te su godine donesene i nove standardne ugovorne klauzule (Provedbena odluka (EU) 2021/914).

Za malu je organizaciju to bilo teško: kako Vi, kao pekara, procjenjujete američko obavještajno pravo? U praksi su se mnogi oslanjali na ugovore i dokumentaciju velikih pružatelja usluga.

Most 3: EU-US Data Privacy Framework

SAD i EU ponovno su pregovarali. Predsjednik Biden potpisao je 7. listopada 2022. Executive Order 14086. Taj nalog, među ostalim, propisuje da obavještajni rad mora biti "nužan i razmjeran" te uspostavlja postupak pritužbi čiji je posljednji korak Data Protection Review Court (DPRC) unutar američkog Ministarstva pravosuđa.

Dana 10. srpnja 2023. Komisija je donijela odluku o primjerenosti za EU-US Data Privacy Framework (DPF). Kako to funkcionira:

• Vrijedi samo za američke organizacije koje su se pridružile (samocertifikacija pri američkom Ministarstvu trgovine). Na stranici dataprivacyframework.gov nalazi se popis. Ako se neka tvrtka ne nalazi na popisu, DPF za nju ne vrijedi.
• Poštivanje pravila u SAD-u nadzire, među ostalima, Federal Trade Commission (FTC).
• Komisija provodi periodičnu evaluaciju.

Za korisnike DPF znači: prijenos podataka pridruženoj američkoj tvrtki ponovno je dopušten bez TIA-e. Zato mnogi pružatelji usluga kažu: "Mi poštujemo GDPR."

Zašto okvir ostaje neizvjestan

DPF postoji, ali stoji na klimavim nogama:

• Executive Order nije zakon. Sljedeći predsjednik može ga izmijeniti ili povući, bez Kongresa.
• Opći sud i žalba. Francuski zastupnik Philippe Latombe zatražio je od Općeg suda EU-a da poništi odluku o DPF-u. Dana 3. rujna 2025. Opći sud to je odbio (predmet T-553/23): DPRC je, prema Općem sudu, bio dovoljno neovisan. Latombe je uložio žalbu Sudu Europske unije (predmet C-703/25 P). U studenome 2026. presuda još nije donesena. Sud je u Schrems I i II bio stroži nego što je sada bio Opći sud.
• Nadzor u SAD-u pod pritiskom. U siječnju 2025. smijenjeni su članovi Privacy and Civil Liberties Oversight Board (PCLOB) koje su predložili demokrati; otad to nadzorno tijelo nema kvorum i svoj posao, uključujući nadzor nad postupkom pritužbi, može obavljati samo ograničeno. Dana 29. lipnja 2026. američki Vrhovni sud odlučio je u predmetu Trump protiv Slaughter da predsjednik smije razriješiti članove FTC-a bez navođenja razloga. Pravnici upozoravaju da to zaoštrava pitanje neovisnog nadzora na koji se DPF oslanja.
• Novi postupci. Organizacija za zaštitu privatnosti noyb najavila je da razmatra pokretanje vlastitog postupka. Takav slučaj traje godinama.

Padne li DPF, dogodit će se ono što se dogodilo 2015. i 2020. godine: organizacije će preko noći morati prijeći na standardne ugovorne klauzule uz TIA-u, ili prestati s prijenosom podataka. Pritom nije dogovoreno nikakvo prijelazno razdoblje.

Što to znači za Vas?

Za Pekaru De Korrel pitanje nije "je li to sada dopušteno?", jer uz DPF trenutačno jest. Pitanje je: "želim li ovisiti o okviru koji je već dvaput propao i po treći se put nalazi pred Sudom?" Usluga koja je smještena unutar EGP-a i koja podatke zadržava unutar EGP-a ne ovisi o DPF-u. To nije pravni zahtjev, ali je mirnija polazna točka.

U praksi: tako to izgleda kod pružatelja usluge

Provjerite u izjavi o privatnosti ili ugovoru o obradi podataka Vašeg trenutačnog pružatelja usluge na kojoj osnovi prenosi podatke u SAD: DPF, standardne ugovorne klauzule, ili oboje. Veliki pružatelji usluga često navode oboje, upravo kako bi se osigurali u slučaju pada DPF-a. Europski pružatelj usluge bez prijenosa izvan EGP-a ne mora to uređivati; njegov popis podizvršitelja obrade pokazuje je li to doista tako (lekcija 9.2). Kod WebOké u ugovoru o obradi podataka stoji da je prijenos izvan EU-a dopušten samo uz prethodnu pisanu suglasnost; kod drugih pružatelja usluga sličnu odredbu obično pronalazite u članku o "prijenosu podataka" ili "međunarodnom prijenosu".

Sažetak

• Prijenos podataka izvan EGP-a dopušten je samo uz odluku o primjerenosti ili uz zaštitne mjere poput standardnih ugovornih klauzula.
• Sud je proglasio nevažećim Safe Harbor (2015, Schrems I) i Privacy Shield (2020, Schrems II), ponajprije zbog američkog nadzora i nedostatka pravne zaštite.
• Od 10. srpnja 2023. vrijedi EU-US Data Privacy Framework, samo za američke tvrtke koje su mu se pridružile.
• DPF počiva na predsjedničkoj odluci i predmet je spora: žalba Latombea (C-703/25 P) je u tijeku, a američki nadzor je pod pritiskom.
• Usluga koja podatke zadržava unutar EGP-a ne ovisi o DPF-u.

Kviz

Zadatak

Zadatak E1.4: Na kojoj pravnoj osnovi Vaši podaci odlaze u SAD? Potražite u izjavi o privatnosti ili ugovoru o obradi podataka Vaše trenutačne cloud usluge obrađuju li se podaci izvan EGP-a, i na kojoj osnovi (DPF, SCC, odluka o primjerenosti za drugu zemlju). Provjerite na dataprivacyframework.gov nalazi li se ta tvrtka na popisu. Opišite što se za Vas događa ako DPF bude poništen.

Dodatno štivo

Koraci u ovim člancima vrijede za usluge tvrtke WebOké; kod drugih pružatelja usluga postupak je sličan.

• Nextcloud priručnik 15.13: Često postavljana pitanja o sigurnosti i privatnosti
• Sud Europske unije, presude C-362/14 (Schrems I, 6. listopada 2015.) i C-311/18 (Schrems II, 16. srpnja 2020.), na curia.europa.eu
• Provedbena odluka (EU) 2023/1795 (odluka o primjerenosti za EU-US Data Privacy Framework, 10. srpnja 2023.), na EUR-Lexu
• Provedbena odluka (EU) 2021/914 (standardne ugovorne klauzule), na EUR-Lexu
• Opći sud EU-a, predmet T-553/23 (Latombe, 3. rujna 2025.); žalba C-703/25 P
• Popis Data Privacy Frameworka: https://www.dataprivacyframework.gov