Schrems II, Data Privacy Framework и несигурността

Модул 1: Защо европейски облак? · Време за четене: 12 минути

Учебна цел: След този урок ще можете да проследите историята на споразуменията за данни между ЕС и САЩ, да обясните какво реши Schrems II, какво представлява EU-US Data Privacy Framework и защо настоящата рамка остава несигурна.

Основни понятия: прехвърляне на данни, решение за адекватност, Safe Harbor, Schrems I, Privacy Shield, Schrems II, стандартни договорни клаузи (СДК), transfer impact assessment (TIA), допълнителни мерки, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, самосертифициране, Latombe, PCLOB

Прехвърляне на данни: правилото и изключението

В урок 1.2 видяхте, че данните могат да напускат Европейското икономическо пространство (ЕИП) само ако държавата на местоназначение предлага подходящо ниво на защита или ако има допълнителни гаранции (ОРЗД, глава V). Това напускане се нарича прехвърляне. Прехвърляне не е само изпращането на файл до Америка: и когато американски служител по поддръжка дистанционно надникне във Вашата европейска среда, или когато Вашите данни се съхраняват при американска услуга, може да става дума за прехвърляне.

Най лесният път е решение за адекватност (чл. 45): Европейската комисия решава, че дадена държава има ниво на защита, което е „по същество равностойно“ на това на ЕС. Такива решения съществуват между другото за Швейцария, Обединено кралство, Япония и Канада (за търговски организации). За САЩ историята е по сложна: там Комисията два пъти е била спирана от Съда на Европейския съюз.

Това е обяснение, а не правен съвет. Състоянието на нещата в този урок е от ноември 2026 г.

Мост 1: Safe Harbor и Schrems I

През 2000 г. ЕС и САЩ сключиха споразумението Safe Harbor. Американски компании можеха да се регистрират и да обещаят, че ще защитават добре европейските данни. Комисията издаде за целта решение за адекватност.

През 2013 г. Едуард Сноудън разкри как американските разузнавателни служби масово събират данни от интернет компании. Австрийският юрист Max Schrems подаде жалба срещу Facebook в Ирландия: неговите данни отивали в САЩ и там не били защитени. Делото стигна до Съда на Европейския съюз. На 6 октомври 2015 г. Съдът обяви решението за Safe Harbor за невалидно (дело C-362/14, „Schrems I“). Същественото: Комисията не беше проверила дали американската държава спазва граници, а европейците нямаха реална правна защита.

Мост 2: Privacy Shield и Schrems II

Още през 2016 г. се появи наследник: EU-US Privacy Shield, с по строги правила и омбудсман към американското Министерство на външните работи. Schrems заведе ново дело.

На 16 юли 2020 г. Съдът се произнесе по дело C-311/18, „Schrems II“. Съдът обяви Privacy Shield за невалиден. Причините:

• Американските програми за наблюдение, по специално по FISA Section 702 и Executive Order 12333 (урок 1.3), не бяха ограничени до „строго необходимото“.
• Европейците нямаха ефективен достъп до независим съд; омбудсманът не беше достатъчно независим и не можеше да взема обвързващи решения.

Съдът каза нещо важно и за алтернативата, стандартните договорни клаузи (СДК, на английски standard contractual clauses). Това са примерни договори на Комисията, които подписват подателят и получателят. Те останаха валидни, но: страната, която прехвърля данните, трябва за всеки отделен случай да провери дали правото на приемащата държава не подкопава тези договорености. Ако е така, са необходими допълнителни мерки, например криптиране, при което получателят не разполага с ключа. Ако това не е възможно, прехвърлянето трябва да спре.

Тази оценка се нарича transfer impact assessment (TIA). Европейските надзорни органи по защита на данните (ЕКЗД) публикуваха през 2021 г. препоръки за това. През 2021 г. се появиха и нови стандартни договорни клаузи (Решение за изпълнение (ЕС) 2021/914).

За малка организация това беше трудно: как Вие, като пекарна, бихте оценили американското разузнавателно право? На практика мнозина разчитаха на договорите и документацията на големите доставчици.

Мост 3: EU-US Data Privacy Framework

САЩ и ЕС преговаряха отново. Президентът Байден подписа на 7 октомври 2022 г. Executive Order 14086. Тя определя между другото, че разузнавателната дейност трябва да бъде „необходима и пропорционална“, и въвежда процедура за жалби, чиято последна стъпка е Data Protection Review Court (DPRC) към американското Министерство на правосъдието.

На 10 юли 2023 г. Комисията прие решението за адекватност за EU-US Data Privacy Framework (DPF). Как работи то:

• Важи само за американски организации, които са се присъединили (самосертифициране пред американското Министерство на търговията). На уебсайта dataprivacyframework.gov има списък. Ако дадена компания не е в списъка, DPF не важи за нея.
• Спазването се контролира в САЩ между другото от Федералната търговска комисия (FTC).
• Комисията извършва периодична оценка.

За потребителите DPF означава: прехвърлянето към присъединена американска компания отново е разрешено без TIA. Затова много доставчици заявяват: „Ние спазваме ОРЗД.“

Защо рамката остава несигурна

DPF съществува, но на нестабилни основи:

• Executive Order не е закон. Следващ президент може да го промени или отмени без участието на Конгреса.
• Общият съд и обжалването. Френският депутат Philippe Latombe поиска от Общия съд на ЕС да отмени решението за DPF. На 3 септември 2025 г. Общият съд отхвърли искането (дело T-553/23): според Общия съд DPRC е достатъчно независим. Latombe подаде жалба пред Съда на Европейския съюз (дело C-703/25 P). Към ноември 2026 г. все още няма решение. Съдът беше по строг в Schrems I и II, отколкото Общият съд сега.
• Надзорът в САЩ под натиск. През януари 2025 г. бяха уволнени членовете на Privacy and Civil Liberties Oversight Board (PCLOB), номинирани от демократите; оттогава този надзорен орган няма кворум и може да изпълнява работата си, включително контрола върху процедурата за жалби, само в ограничена степен. На 29 юни 2026 г. Върховният съд на САЩ реши по делото Trump v. Slaughter, че президентът може да уволнява членове на FTC без основание. Юристи посочват, че това изостря въпроса за независимия надзор, на който се основава DPF.
• Нови процедури. Организацията за защита на личните данни noyb обяви, че обмисля собствено дело. Такова дело отнема години.

Ако DPF отпадне, ще се случи същото, което се случи през 2015 г. и 2020 г.: организациите ще трябва от днес за утре да се върнат към стандартни договорни клаузи с TIA или да спрат прехвърлянето. Не е договорен преходен период за такъв случай.

Какво означава това за Вас?

За Bakkerij De Korrel въпросът не е „позволено ли е сега?“, защото с DPF в момента е позволено. Въпросът е: „искам ли да завися от рамка, която вече два пъти е рухвала и за трети път е пред Съда?“ Услуга, установена в ЕИП, която държи данните в рамките на ЕИП, не зависи от DPF. Това не е правно изискване, но е по спокойна отправна точка.

На практика: ето как изглежда при един доставчик

Проверете в декларацията за поверителност или споразумението за обработване на данни на Вашия настоящ доставчик на какво основание той прехвърля данни към САЩ: DPF, стандартни договорни клаузи или и двете. Големите доставчици често посочват и двете, именно за да са подготвени при евентуален крах на DPF. Европейски доставчик без прехвърляне извън ЕИП не трябва да урежда това; неговият списък с подизпълнители обработващи данни показва дали това е така (урок 9.2). При WebOké в споразумението за обработване на данни е записано, че прехвърляне извън ЕС е възможно само с предварително писмено съгласие; при други доставчици ще намерите подобна клауза обикновено в член за „прехвърляне“ или „международно предаване“.

Обобщение

• Прехвърлянето извън ЕИП е разрешено само при решение за адекватност или с гаранции като стандартни договорни клаузи.
• Съдът обяви за невалидни Safe Harbor (2015 г., Schrems I) и Privacy Shield (2020 г., Schrems II), преди всичко заради американското наблюдение и липсата на правна защита.
• От 10 юли 2023 г. важи EU-US Data Privacy Framework, само за американски компании, които са се присъединили.
• DPF се основава на президентско решение и е под въпрос: жалбата на Latombe (C-703/25 P) все още тече, американският надзор е под натиск.
• Услуга, която държи данните в рамките на ЕИП, не зависи от DPF.

Тест

Задача

Задача E1.4: На какво правно основание отиват Вашите данни към САЩ? Потърсете в декларацията за поверителност или споразумението за обработване на данни на Вашата настояща облачна услуга дали данните се обработват извън ЕИП и на какво основание (DPF, СДК, решение за адекватност за друга държава). Проверете на dataprivacyframework.gov дали компанията е в списъка. Опишете какво се случва за Вас, ако DPF бъде отменен.

Прочетете още

Стъпките в тези статии важат за услугите на WebOké; при други доставчици процедурата е подобна.

• Nextcloud наръчник 15.13: Често задавани въпроси за сигурността и поверителността
• Съд на Европейския съюз, решения по дело C-362/14 (Schrems I, 6 октомври 2015 г.) и C-311/18 (Schrems II, 16 юли 2020 г.), на curia.europa.eu
• Решение за изпълнение (ЕС) 2023/1795 (решение за адекватност за EU-US Data Privacy Framework, 10 юли 2023 г.), на EUR-Lex
• Решение за изпълнение (ЕС) 2021/914 (стандартни договорни клаузи), на EUR-Lex
• Общ съд на ЕС, дело T-553/23 (Latombe, 3 септември 2025 г.); жалба C-703/25 P
• Списък на Data Privacy Framework: https://www.dataprivacyframework.gov