PARLAMENT EUROPEJSKI 2014-2019 Komisja Petycji 29.8.2014 KOMUNIKAT DLA POSŁÓW Przedmiot: Petycja nr 1618/2012, którą złożył Jan Douwe Kooistra (Niderlandy), w sprawie prawa do ochrony danych osobowych 1. Streszczenie petycji Składający petycję twierdzi, że jako obywatel Unii ma prawo do ochrony dotyczących go danych osobowych (art. 16 ust. 1 TFUE). Na podstawie informacji uzyskanych od rządu Niderlandów udało mu się ustalić, że niderlandzkie paszporty są wykonywane przez firmę Morpho, która należy do amerykańskiej spółki podlegającej amerykańskiej ustawie USA PATRIOT. Zdaniem niderlandzkiego ministra nie można wykluczyć tego, że rząd Stanów Zjednoczonych zażąda dostępu do danych osobowych. W konsekwencji dane osobowe dotyczące obywateli UE mogą trafić w ręce amerykańskich władz bez podjęcia przez sąd europejski jakiejkolwiek decyzji w tej sprawie. Wyżej wspomnianej spółce nie zezwala się na informowanie osób trzecich o tego rodzaju żądaniach przekazania danych, zatem obywatel UE, którego dotyczy ta procedura, nie ma możliwości uzyskania informacji o tym, co dzieje się z jego danymi. Składający petycję uważa zatem, że jego dane osobowe nie są dostatecznie chronione. Zgodnie z art. 16 TFUE Unia może przyjąć przepisy mające na celu ochronę osób fizycznych. Składający petycję wzywa Parlament Europejski, aby zwrócił się do Komisji Europejskiej o przedłożenie wniosku dotyczącego wprowadzenia dla państw członkowskich zakazu produkcji dokumentów tożsamości przez spółki podlegające amerykańskiej ustawie USA PATRIOT. 2. Dopuszczalność Petycja uznana została za dopuszczalną dnia 23 maja 2013 r. Zwrócono się do Komisji o przekazanie informacji (art. 216 ust. 6 Regulaminu). CM\1034181.doc PE537.416v01-00 Zjednoczona w różnorodności
3. Odpowiedź Komisji otrzymana dnia 29 sierpnia 2014 r. Od czerwca 2013 r. w publicznie dostępnych informacjach wskazywano, że władze Stanów Zjednoczonych wykorzystując głównych amerykańskich dostawców usług internetowych uzyskują dostęp do danych Europejczyków oraz przetwarzają te dane, przy czym działania te prowadzone są na ogromną skalę. Komisja wielokrotnie wyrażała zaniepokojenie tą sytuacją oraz domagała się od właściwych organów w Stanach Zjednoczonych wyjaśnień dotyczących bezpośredniego dostępu władz amerykańskich do danych przechowywanych przez poszczególne przedsiębiorstwa. Miesiąc po pierwszych doniesieniach medialnych ustanowiono grupę ekspertów UE-USA ds. ochrony danych, która miała naświetlić tę konkretną kwestię. Z ramienia UE grupie tej przewodniczyły wspólnie Komisja i Prezydencja. Unijna część grupy składała się z: przedstawicieli Komisji i Prezydencji, Koordynatora UE ds. Zwalczania Terroryzmu, przedstawicieli Europejskiej Służby Działań Zewnętrznych, członka Grupy Roboczej ds. Art. 29 (organu reprezentującego istniejące w państwach członkowskich organy ochrony danych), a także z maksymalnie dziesięciu ekspertów z państw członkowskich, którzy specjalizowali się zarówno w dziedzinie ochrony danych, jak i w dziedzinie bezpieczeństwa. Z ramienia Stanów Zjednoczonych grupa składała się z urzędników wyższego szczebla z Departamentu Sprawiedliwości, Biura Dyrektora Wywiadu Narodowego, Departamentu Stanu i Departamentu Bezpieczeństwa Krajowego. Spotkanie przygotowawcze odbyło się w Waszyngtonie w dniu 8 lipca 2013 r. Posiedzenia grupy miały miejsce w dniach 22 23 lipca 2013 r. w Brukseli, w dniach 19 20 września 2013 r. w Waszyngtonie oraz w dniu 6 listopada 2013 r. w Brukseli. Wyniki dyskusji prowadzonych przez grupę roboczą ad hoc UE-USA przedstawiono w sprawozdaniu zawierającym ustalenia dokonane przez współprzewodniczących z ramienia UE w grupie roboczej ad hoc UE-USA ds. ochrony danych 1. Sprawozdanie to zawiera wyjaśnienia oraz dodatkowe informacje przekazane przez Stany Zjednoczone, a jednocześnie naświetlono w nim obowiązujące w USA ramy prawne w tej dziedzinie. W dniu 27 listopada 2013 r. Komisja Europejska przedstawiła szczegółowy plan działania, którego celem jest odbudowa zaufania do przepływów danych między UE a Stanami Zjednoczonymi. Komisja przedstawiła w szczególności dokument strategiczny (komunikat) w sprawie transatlantyckich przepływów danych, w którym określono wyzwania i zagrożenia związane z doniesieniami o programach gromadzenia danych przez amerykańskie służby wywiadowcze oraz kroki, jakie należy poczynić, aby rozwiązać te problemy, a także zawarto analizę funkcjonowania programu bezpiecznego transferu danych (tzw. bezpiecznej przystani ), w ramach którego regulowany jest proces przekazywania danych do celów komercyjnych między UE a Stanami Zjednoczonymi. Komisja wyznaczyła kilka obszarów wymagających podjęcia działań. Przede wszystkim niezbędne jest szybkie przeprowadzenie reformy unijnych przepisów z zakresu ochrony 1 Dokument dostępny na stronie: HYPERLINK "http://ec.europa.eu/justice/dataprotection/files/report-findings-of-the-ad-hoc-eu-us-working-group-on-data-protection.pdf" http://ec.europa.eu/justice/data-protection/files/report-findings-of-the-ad-hoc-eu-us-workinggroup-on-data-protection.pdf. PE537.416v01-00 2/5 CM\1034181.doc
danych. Bardziej niż kiedykolwiek wcześniej konieczne są solidne ramy legislacyjne, jakie Komisja Europejska zaproponowała we wniosku ze stycznia 2012 r., które zawierają jasne przepisy możliwe do wyegzekwowania również w sytuacjach, gdy dane są przekazywane za granicę. Instytucje UE powinny zatem kontynuować prace nad przyjęciem reformy unijnych przepisów z zakresu ochrony danych, aby mieć pewność, że dane osobowe podlegają skutecznej i kompleksowej ochronie. Po drugie, niezbędne jest zapewnienie większego bezpieczeństwa w ramach programu bezpiecznego transferu danych 1 : po przeprowadzeniu analizy obecnego funkcjonowania programu Komisja stwierdziła, że pod wieloma względami nie jest on pozbawiony niedociągnięć. Komisja przedstawiła zatem 13 zaleceń, których celem jest poprawa funkcjonowania programu bezpiecznego transferu danych. Środki zaradcze powinny zostać określone do lata 2014 r. W oparciu o wdrożenie wspomnianych 13 zaleceń Komisja przeprowadzi następnie przegląd funkcjonowania tego programu. Po trzecie, należy umocnić gwarancje ochrony danych w obszarze egzekwowania prawa: należy szybko zakończyć prowadzone obecnie między UE a Stanami Zjednoczonymi negocjacje w sprawie umowy ramowej dotyczącej przekazywania i przetwarzania danych w kontekście współpracy policyjnej i wymiarów sprawiedliwości. Umowa ta musi gwarantować wysoki poziom ochrony dla obywateli, którzy powinni korzystać z tych samych praw po obu stronach Atlantyku. W szczególności obywatele Unii niebędący rezydentami Stanów Zjednoczonych powinni korzystać z sądowych mechanizmów odwoławczych. Po czwarte, Stany Zjednoczone powinny rozważyć uwzględnienie obaw Unii w toczącym się procesie reform w tym obszarze: obecnie prowadzony jest przegląd działań krajowych organów bezpieczeństwa w Stanach Zjednoczonych. Proces ten powinien przynieść korzyść również obywatelom UE. Najważniejsze zmiany powinny obejmować rozszerzenie gwarancji, które przysługują obywatelom Stanów Zjednoczonych na obywateli UE niebędących rezydentami Stanów Zjednoczonych, zwiększenie przejrzystości oraz usprawnienia w zakresie nadzoru. Po piąte, należy propagować standardy prywatności na szczeblu międzynarodowym: Stany Zjednoczone powinny przystąpić do Konwencji Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych ( konwencja nr 108 ). Kwestia poruszona przez składającego petycję miałaby znaczenie przykładowo w sytuacji, gdyby dane osobowe były przekazywane z przedsiębiorstwa w UE do przedsiębiorstwa/podmiotu zależnego w Stanach Zjednoczonych, np. zgodnie z decyzją w sprawie zasad bezpiecznego transferu danych osobowych, a następnie organy publiczne w Stanach Zjednoczonych mogłyby uzyskać dostęp do tych danych, np. na mocy ustawy USA PATRIOT lub ustawy o nadzorze nad wywiadem zagranicznym. Decyzja dotycząca bezpiecznego transferu danych to decyzja Komisji w sprawie odpowiedniej ochrony danych osobowych przyjęta na mocy przepisów dyrektywy 95/46/WE (dyrektywy o ochronie danych), zgodnie z którą Komisja może stwierdzić, że dane państwo 1 HYPERLINK "http://ec.europa.eu/justice/policies/privacy/thridcountries/adequacyfaq1_en.htm" http://ec.europa.eu/justice/policies/privacy/thridcountries/adequacyfaq1_en.htm CM\1034181.doc 3/5 PE537.416v01-00
trzecie zapewnia odpowiedni stopień ochrony. W decyzji tej, którą wydano w lipcu 2000 r., uznano, że zasady bezpiecznego transferu danych osobowych oraz związane z nimi najczęściej zadawane pytania wydane przez Departament Handlu Stanów Zjednoczonych, zapewniają odpowiednią ochronę do celów przekazywania danych osobowych z UE. W konsekwencji w decyzji w sprawie zasad bezpiecznego transferu danych osobowych uwzględniono swobodne przekazywanie danych osobowych do celów komercyjnych z przedsiębiorstw w UE do przedsiębiorstw w Stanach Zjednoczonych, które zobowiązały się do przestrzegania tych zasad. Zważywszy na istotne różnice między systemami ochrony prywatności obowiązującymi w UE i w Stanach Zjednoczonych, bez programu bezpiecznego transferu danych tego rodzaju swobodne przepływy danych nie byłyby możliwe. W załączniku I do decyzji w sprawie zasad bezpiecznego transferu danych osobowych przewidziano, że przyjęcie zasad ochrony prywatności może być ograniczone, jeżeli jest to uzasadnione wymaganiami bezpieczeństwa narodowego, interesu publicznego, przestrzegania prawa lub ustawą, rozporządzeniem rządu czy orzecznictwem. W decyzji określono, że tego rodzaju ograniczenia dopuszcza się wyłącznie w zakresie niezbędnym do spełnienia wymagań bezpieczeństwa narodowego, interesu publicznego lub przestrzegania prawa. Chociaż w ramach programu bezpiecznego transferu danych zapewnia się wyjątkowe przetwarzanie danych do celów bezpieczeństwa narodowego, interesu publicznego lub przestrzegania prawa, w czasie przyjmowania programu bezpiecznego transferu danych nie można było przewidzieć, że agencje wywiadowcze uzyskają szeroki dostęp do danych przekazywanych Stanom Zjednoczonym w kontekście transakcji handlowych. Program bezpiecznego transferu danych mógłby w takim przypadku działać jako kanał do przekazywania danych osobowych obywateli Unii z UE do Stanów Zjednoczonych za pośrednictwem przedsiębiorstw zobowiązanych do przekazywania danych amerykańskim agencjom wywiadowczym w ramach programów gromadzenia danych przez amerykańskie służby wywiadowcze. Odpowiedzialność za przegląd decyzji w sprawie zasad bezpiecznego transferu danych osobowych ponosi Komisja Europejska. Komisja może utrzymać decyzję, zawiesić ją lub dostosować w oparciu o doświadczenia zdobyte w trakcie jej wdrażania. W kontekście ostatnich wydarzeń Komisja uznała, że program bezpiecznego transferu danych wymaga przeglądu. Ponadto we wspomnianym wcześniej komunikacie Komisja przedstawiła w oparciu o 13 zaleceń tymczasowy plan działania oraz harmonogram działań. W szczególności w odniesieniu do dostępu organów Stanów Zjednoczonych Komisja wezwała do tego, aby polityka ochrony prywatności przedsiębiorstw, które dokonały poświadczenia zgodności, obejmowała informacje dotyczące zakresu, w jakim prawo Stanów Zjednoczonych zezwala organom publicznym na gromadzenie i przetwarzanie danych przekazywanych w ramach programu bezpiecznego transferu danych. Należy również zachęcać przedsiębiorstwa do wskazywania w ich polityce ochrony prywatności przypadków, w których stosują wyjątki od zasad bezpiecznego transferu danych w celu spełnienia wymagań bezpieczeństwa narodowego, interesu publicznego albo przestrzegania prawa. Komisja wymaga również, aby wyjątek dotyczący bezpieczeństwa narodowego, który przewidziano w decyzji w sprawie zasad bezpiecznego transferu danych osobowych, PE537.416v01-00 4/5 CM\1034181.doc
stosowano wyłącznie w ściśle niezbędnym i proporcjonalnym zakresie. Podsumowanie Komisja zajęła się poruszonymi kwestiami w sposób kompleksowy, przedstawiając zalecenia oraz harmonogram działań w celu zmniejszenia istniejących obaw. Prawidłowe wdrożenie zaleceń dotyczących programu bezpiecznego transferu danych przyczyni się do osiągnięcia tego celu. Komisja będzie w dalszym ciągu monitorować wdrażanie decyzji w sprawie zasad bezpiecznego transferu danych osobowych i może ją odpowiednio zawiesić lub dostosować, jak przewidziano w przypadku, gdy Stany Zjednoczone w sposób systemowy nie zapewniają zgodności z zasadami. Szybkie i bezzwłoczne przyjęcie reformy przepisów z zakresu ochrony danych, która jest obecnie przedmiotem negocjacji prowadzonych przez Radę i Parlament Europejski, będzie głównym czynnikiem, który zapewni pewność prawa oraz zagwarantuje osobom fizycznym prawo do ochrony danych, również w sytuacjach, gdy ich dane są przekazywane za granicę. CM\1034181.doc 5/5 PE537.416v01-00