Schrems II, Data Privacy Framework a pretrvávajúca neistota

Modul 1: Prečo európsky cloud? · Čas čítania: 12 minút

Cieľ lekcie: Po tejto lekcii dokážete prerozprávať históriu dohôd o prenose údajov z EÚ do USA, vysvetliť, čo rozhodol Schrems II, čo je EU-US Data Privacy Framework a prečo súčasný rámec zostáva neistý.

Kľúčové pojmy: prenos, rozhodnutie o primeranosti, Safe Harbor, Schrems I, Privacy Shield, Schrems II, štandardné zmluvné doložky (SCC), transfer impact assessment (TIA), dodatočné opatrenia, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, samocertifikácia, Latombe, PCLOB

Prenos: pravidlo a výnimka

V lekcii 1.2 ste videli, že údaje smú opustiť Európsky hospodársky priestor (EHP) iba vtedy, ak cieľová krajina poskytuje primeranú úroveň ochrany, alebo ak existujú dodatočné záruky (GDPR, kapitola V). Toto opustenie sa nazýva prenos. Prenos nie je len odoslanie súboru do Ameriky: aj keď americký pracovník podpory na diaľku nahliadne do vášho európskeho prostredia, alebo ak sú vaše údaje uložené u americkej služby, môže ísť o prenos.

Najjednoduchšou cestou je rozhodnutie o primeranosti (čl. 45): Európska komisia rozhodne, že krajina má úroveň ochrany, ktorá je „v podstate rovnocenná“ úrovni ochrany v EÚ. Takéto rozhodnutia existujú okrem iného pre Švajčiarsko, Spojené kráľovstvo, Japonsko a Kanadu (pre komerčné organizácie). Pri USA je príbeh komplikovanejší: tam bola Komisia dvakrát „vrátená späť“ Súdnym dvorom Európskej únie.

Toto je výklad, nie právne poradenstvo. Stav vecí v tejto lekcii je z novembra 2026.

Most 1: Safe Harbor a Schrems I

V roku 2000 uzavreli EÚ a USA dohodu Safe Harbor. Americké spoločnosti sa mohli prihlásiť a sľúbiť, že budú dobre chrániť európske údaje. Komisia na to vydala rozhodnutie o primeranosti.

V roku 2013 Edward Snowden odhalil, ako americké spravodajské služby vo veľkom zbierali údaje od internetových spoločností. Rakúsky právnik Max Schrems podal sťažnosť proti spoločnosti Facebook v Írsku: jeho údaje smerovali do USA a neboli tam chránené. Vec sa dostala pred Súdny dvor Európskej únie. Dňa 6. októbra 2015 Súdny dvor vyhlásil rozhodnutie o Safe Harbor za neplatné (vec C-362/14, „Schrems I“). Jadro veci: Komisia nepreskúmala, či sa americká vláda drží hraníc, a Európania nemali skutočnú právnu ochranu.

Most 2: Privacy Shield a Schrems II

Už v roku 2016 prišiel nástupca: EU-US Privacy Shield, s prísnejšími pravidlami a ombudsmanom pri americkom ministerstve zahraničných vecí. Schrems sa opäť súdil.

Dňa 16. júla 2020 rozhodol Súdny dvor vo veci C-311/18, „Schrems II“. Súdny dvor vyhlásil Privacy Shield za neplatný. Dôvody:

• Americké sledovacie programy, najmä na základe FISA Section 702 a Executive Order 12333 (lekcia 1.3), neboli obmedzené na to, čo je „nevyhnutne potrebné“.
• Európania nemali účinný prístup k nezávislému súdu; ombudsman nebol dostatočne nezávislý a nemohol prijímať záväzné rozhodnutia.

Súdny dvor povedal tiež niečo dôležité o alternatíve, štandardných zmluvných doložkách (SCC, po anglicky standard contractual clauses). Ide o vzorové zmluvy Komisie, ktoré podpisuje odosielateľ aj príjemca. Tie zostali platné, ale: strana, ktorá údaje odovzdáva, musí v každom jednotlivom prípade posúdiť, či právo prijímajúcej krajiny tieto dohody nenarúša. Ak áno, sú potrebné dodatočné opatrenia, napríklad šifrovanie, pri ktorom príjemca nemá kľúč. Ak sa to nedarí, prenos musí prestať.

Toto posúdenie sa nazýva transfer impact assessment (TIA). Európske orgány na ochranu osobných údajov (EDPB) k tomu v roku 2021 napísali odporúčania. V roku 2021 vznikli aj nové štandardné zmluvné doložky (vykonávacie rozhodnutie (EÚ) 2021/914).

Pre malú organizáciu to bolo ťažké: ako má pekáreň posúdiť americké spravodajské právo? V praxi sa mnohí spoliehali na zmluvy a dokumentáciu veľkých poskytovateľov.

Most 3: EU-US Data Privacy Framework

USA a EÚ opäť rokovali. Prezident Biden podpísal 7. októbra 2022 Executive Order 14086. Ten okrem iného stanovuje, že spravodajská činnosť musí byť „nevyhnutná a primeraná“, a zavádza sťažnostné konanie, ktorého posledným krokom je Data Protection Review Court (DPRC) pri americkom ministerstve spravodlivosti.

Dňa 10. júla 2023 prijala Komisia rozhodnutie o primeranosti pre EU-US Data Privacy Framework (DPF). Ako funguje:

• Platí iba pre americké organizácie, ktoré sa k nemu pripojili (samocertifikácia pri americkom ministerstve obchodu). Na webovej stránke dataprivacyframework.gov je zoznam. Ak spoločnosť nie je na zozname, DPF sa na ňu nevzťahuje.
• Dodržiavanie v USA kontroluje okrem iného Federal Trade Commission (FTC).
• Komisia vykonáva pravidelné hodnotenie.

Pre používateľov DPF znamená: prenos k pripojenej americkej spoločnosti je opäť povolený bez TIA. Preto mnohí poskytovatelia tvrdia: „Vyhovujeme GDPR.“

Prečo rámec zostáva neistý

DPF existuje, ale stojí na vratkých nohách:

• Executive Order nie je zákon. Nasledujúci prezident ho môže zmeniť alebo zrušiť bez Kongresu.
• Všeobecný súd a odvolanie. Francúzsky poslanec Philippe Latombe požiadal Všeobecný súd EÚ o zrušenie rozhodnutia o DPF. Dňa 3. septembra 2025 Všeobecný súd túto žiadosť zamietol (vec T-553/23): DPRC bol podľa Všeobecného súdu dostatočne nezávislý. Latombe sa odvolal na Súdny dvor Európskej únie (vec C-703/25 P). V novembri 2026 ešte nebolo vynesené rozhodnutie. Súdny dvor bol vo veciach Schrems I a II prísnejší než je teraz Všeobecný súd.
• Dohľad v USA pod tlakom. V januári 2025 boli odvolaní členovia Privacy and Civil Liberties Oversight Board (PCLOB), ktorých nominovali demokrati; odvtedy tento dozorný orgán nemá uznášaniaschopnosť a svoju prácu, vrátane kontroly sťažnostného konania, môže vykonávať iba obmedzene. Dňa 29. júna 2026 rozhodol americký Najvyšší súd vo veci Trump v. Slaughter, že prezident smie odvolávať členov FTC bez udania dôvodu. Právnici upozorňujú, že to ešte viac vyostruje otázku nezávislého dohľadu, na ktorom DPF stojí.
• Nové konania. Organizácia na ochranu súkromia noyb oznámila, že zvažuje vlastné konanie. Takéto konanie trvá roky.

Ak DPF padne, stane sa to, čo sa stalo aj v rokoch 2015 a 2020: organizácie budú musieť zo dňa na deň prejsť na štandardné zmluvné doložky s TIA, alebo prestať s prenosom. Prechodné obdobie v takom prípade dohodnuté nie je.

Čo to znamená pre vás?

Pre Bakkerij De Korrel nejde o otázku „je to teraz dovolené?“, pretože s DPF je to v súčasnosti dovolené. Otázka znie: „chcem byť závislý od rámca, ktorý už dvakrát padol a po tretí raz leží pred Súdnym dvorom?“ Služba, ktorá sídli v rámci EHP a udržiava údaje v rámci EHP, nezávisí od DPF. Nejde o právnu požiadavku, ale o pokojnejšie východisko.

V praxi: ako to vyzerá u poskytovateľa

Pozrite si vo vyhlásení o ochrane osobných údajov alebo v zmluve so sprostredkovateľom (čl. 28 GDPR) svojho súčasného poskytovateľa, na akom základe odovzdáva údaje do USA: DPF, štandardné zmluvné doložky, alebo oboje. Veľkí poskytovatelia často uvádzajú oboje, práve preto, aby zvládli prípadný pád DPF. Európsky poskytovateľ bez prenosu mimo EHP toto nemusí riešiť; jeho zoznam subsprostredkovateľov ukáže, či to platí (lekcia 9.2). Vo WebOké zmluva so sprostredkovateľom (čl. 28 GDPR) uvádza, že prenos mimo EÚ je možný iba s predchádzajúcim písomným súhlasom; u iných poskytovateľov nájdete podobné ustanovenie zvyčajne v článku o „prenose“ alebo „medzinárodnom odovzdávaní“.

Zhrnutie

• Prenos mimo EHP je dovolený iba s rozhodnutím o primeranosti alebo so zárukami, akými sú štandardné zmluvné doložky.
• Súdny dvor vyhlásil Safe Harbor (2015, Schrems I) a Privacy Shield (2020, Schrems II) za neplatné, najmä kvôli americkému sledovaniu a nedostatku právnej ochrany.
• Od 10. júla 2023 platí EU-US Data Privacy Framework, iba pre americké spoločnosti, ktoré sa k nemu pripojili.
• DPF stojí na prezidentskom rozhodnutí a je spochybňovaný: prebieha odvolanie Latombe (C-703/25 P), americký dohľad je pod tlakom.
• Služba, ktorá udržiava údaje v rámci EHP, nezávisí od DPF.

Kvíz

Úloha

Úloha E1.4: Na akom právnom základe putujú vaše údaje do USA? Vyhľadajte vo vyhlásení o ochrane osobných údajov alebo v zmluve so sprostredkovateľom svojej súčasnej cloudovej služby, či sa údaje spracúvajú mimo EHP, a na akom základe (DPF, SCC, rozhodnutie o primeranosti pre inú krajinu). Overte na dataprivacyframework.gov, či je spoločnosť na zozname. Opíšte, čo by sa pre vás stalo, ak by DPF bol zrušený.

Čítajte ďalej

Kroky v týchto článkoch platia pre služby WebOké; u iných poskytovateľov to funguje podobne.

• Návod na Nextcloud 15.13: Často kladené otázky o zabezpečení a ochrane súkromia
• Súdny dvor Európskej únie, rozsudky C-362/14 (Schrems I, 6. októbra 2015) a C-311/18 (Schrems II, 16. júla 2020), na curia.europa.eu
• Vykonávacie rozhodnutie (EÚ) 2023/1795 (rozhodnutie o primeranosti EU-US Data Privacy Framework, 10. júla 2023), na EUR-Lex
• Vykonávacie rozhodnutie (EÚ) 2021/914 (štandardné zmluvné doložky), na EUR-Lex
• Všeobecný súd EÚ, vec T-553/23 (Latombe, 3. septembra 2025); odvolanie C-703/25 P
• Zoznam Data Privacy Framework: https://www.dataprivacyframework.gov