A Schrems II ítélet, a Data Privacy Framework és a bizonytalanság

Modul 1: Miért válasszon európai felhőt? · Olvasási idő: 12 perc

A lecke célja: E lecke elvégzése után Ön el tudja mondani az EU-ból az USA-ba irányuló adattovábbításra vonatkozó megállapodások történetét, meg tudja magyarázni, mit döntött a Schrems II ítélet, mi az EU-USA Data Privacy Framework, és miért marad bizonytalan a jelenlegi keretrendszer.

Kulcsfogalmak: adattovábbítás, megfelelőségi határozat, Safe Harbor, Schrems I, Privacy Shield, Schrems II, általános szerződési feltételek (SCC), transfer impact assessment (TIA), kiegészítő intézkedések, EU-USA Data Privacy Framework (DPF), 14086. számú elnöki rendelet (Executive Order), Data Protection Review Court, önminősítés, Latombe, PCLOB

Adattovábbítás: a szabály és a kivétel

Az 1.2. leckében látta, hogy adatok csak akkor hagyhatják el az Európai Gazdasági Térséget (EGT), ha a célország megfelelő védelmi szintet biztosít, vagy ha léteznek további garanciák (GDPR V. fejezet). Ezt az elhagyást nevezzük adattovábbításnak. Az adattovábbítás nem csupán egy fájl Amerikába küldését jelenti: ha egy amerikai ügyfélszolgálati munkatárs távolról betekint az Ön európai környezetébe, vagy ha az adatai egy amerikai szolgáltatónál vannak tárolva, az is adattovábbításnak minősülhet.

A legegyszerűbb út a megfelelőségi határozat (45. cikk): az Európai Bizottság megállapítja, hogy egy ország védelmi szintje "lényegében egyenértékű" az EU védelmi szintjével. Ilyen határozat született többek között Svájcra, az Egyesült Királyságra, Japánra és Kanadára (kereskedelmi szervezetek esetében) vonatkozóan. Az USA esetében a történet bonyolultabb: ott a Bizottságot kétszer is visszautasította az Európai Unió Bírósága.

Ez a szöveg magyarázat, nem jogi tanácsadás. Az ebben a leckében szereplő helyzet 2026 novemberi állapotot tükröz.

Első híd: a Safe Harbor és a Schrems I

2000-ben az EU és az USA megkötötte a Safe Harbor megállapodást. Amerikai vállalatok jelentkezhettek, és vállalhatták, hogy megfelelően védik az európai adatokat. A Bizottság ehhez megfelelőségi határozatot adott ki.

2013-ban Edward Snowden leleplezte, hogy az amerikai hírszerző szolgálatok nagy léptékben gyűjtöttek adatokat internetes vállalatoktól. Max Schrems osztrák jogász panaszt nyújtott be a Facebook ellen Írországban: az ő adatai az USA-ba kerültek, és ott nem voltak védve. Az ügy az Európai Unió Bírósága elé került. 2015. október 6-án a Bíróság érvénytelenné nyilvánította a Safe Harbor határozatot (C-362/14. sz. ügy, "Schrems I"). A lényeg: a Bizottság nem vizsgálta meg, hogy az amerikai kormány betartott-e bizonyos korlátokat, és az európaiak nem rendelkeztek valódi jogorvoslati lehetőséggel.

Második híd: a Privacy Shield és a Schrems II

Már 2016-ban megszületett egy utód: az EU-USA Privacy Shield, szigorúbb szabályokkal és egy ombudsmannal az amerikai Külügyminisztériumnál. Schrems ismét pert indított.

2020. július 16-án a Bíróság döntést hozott a C-311/18. sz. ügyben, "Schrems II". A Bíróság érvénytelenné nyilvánította a Privacy Shieldet. Az okok:

• Az amerikai megfigyelési programok, különösen a FISA 702. szakasza és a 12333. számú elnöki rendelet (1.3. lecke) alapján folytatottak nem korlátozódtak a "feltétlenül szükséges" mértékre.
• Az európaiak nem rendelkeztek hatékony hozzáféréssel független bírósághoz; az ombudsman nem volt eléggé független, és nem hozhatott kötelező érvényű döntéseket.

A Bíróság fontos dolgot mondott az alternatíváról is, az általános szerződési feltételekről (SCC, angolul standard contractual clauses). Ezek a Bizottság mintaszerződései, amelyeket a küldő és a fogadó fél ír alá. Ezek érvényben maradtak, de: az adatokat továbbító félnek esetenként meg kell vizsgálnia, hogy a fogadó ország joga nem ássa-e alá ezeket a megállapodásokat. Ha igen, akkor kiegészítő intézkedésekre van szükség, például olyan titkosításra, amelynél a fogadó félnek nincs birtokában a kulcs. Ha ez nem oldható meg, az adattovábbítást le kell állítani.

Ezt az értékelést transfer impact assessment-nek (TIA) nevezik. Az európai adatvédelmi hatóságok (EDPB) 2021-ben ajánlásokat dolgoztak ki erre vonatkozóan. 2021-ben új általános szerződési feltételek is születtek ((EU) 2021/914 végrehajtási határozat).

Egy kisebb szervezet számára ez nehéz feladat volt: hogyan értékelje egy pékség az amerikai hírszerzési jogot? A gyakorlatban sokan a nagy szolgáltatók szerződéseire és dokumentációjára támaszkodtak.

Harmadik híd: az EU-USA Data Privacy Framework

Az USA és az EU ismét tárgyalásokba kezdett. Biden elnök 2022. október 7-én írta alá a 14086. számú elnöki rendeletet (Executive Order). Ez többek között előírja, hogy a hírszerzési tevékenységnek "szükségesnek és arányosnak" kell lennie, és panaszeljárást vezet be, melynek utolsó lépése egy Data Protection Review Court (DPRC) az amerikai Igazságügyi Minisztériumon belül.

2023. július 10-én a Bizottság elfogadta az EU-USA Data Privacy Framework (DPF) megfelelőségi határozatát. Működése a következő:

• Csak az önminősítéssel csatlakozott amerikai szervezetekre vonatkozik (az amerikai Kereskedelmi Minisztériumnál történő önminősítés útján). A dataprivacyframework.gov weboldalon található a lista. Ha egy vállalat nincs rajta a listán, rá nem vonatkozik a DPF.
• A megfelelést az USA-ban többek között a Federal Trade Commission (FTC) ellenőrzi.
• A Bizottság rendszeresen felülvizsgálja a keretrendszert.

A felhasználók számára a DPF azt jelenti, hogy a csatlakozott amerikai vállalathoz történő adattovábbítás ismét engedélyezett TIA nélkül. Ezért mondják sok szolgáltatók: "Megfelelünk a GDPR-nak."

Miért marad bizonytalan a keretrendszer

A DPF fennáll, de ingatag lábakon:

• Az elnöki rendelet nem törvény. A következő elnök módosíthatja vagy visszavonhatja, a Kongresszus nélkül.
• A Törvényszék és a fellebbezés. Philippe Latombe francia parlamenti képviselő kérte az Európai Unió Törvényszékétől a DPF-határozat megsemmisítését. 2025. szeptember 3-án a Törvényszék elutasította a keresetet (T-553/23. sz. ügy): a DPRC a Törvényszék szerint eléggé független volt. Latombe fellebbezést nyújtott be az Európai Unió Bíróságához (C-703/25 P. sz. ügy). 2026 novemberéig még nem született ítélet. A Bíróság a Schrems I és II ügyekben szigorúbb volt, mint a Törvényszék most.
• Az amerikai felügyelet nyomás alatt. 2025 januárjában a Privacy and Civil Liberties Oversight Board (PCLOB) demokraták által jelölt tagjait elbocsátották; azóta ennek a felügyeleti szervnek nincs határozatképes létszáma, és csak korlátozottan tudja ellátni feladatait, köztük a panaszeljárás ellenőrzését. 2026. június 29-én az amerikai Legfelsőbb Bíróság a Trump kontra Slaughter ügyben úgy döntött, hogy az elnök indoklás nélkül elbocsáthatja az FTC tagjait. Jogászok rámutatnak, hogy ez élesebbé teszi a független felügyelet kérdését, amelyre a DPF épül.
• Új eljárások. A noyb adatvédelmi szervezet bejelentette, hogy saját eljárást fontolgat. Egy ilyen ügy évekig is eltarthat.

Ha a DPF megbukik, akkor ugyanaz történik, mint 2015-ben és 2020-ban: a szervezeteknek egyik napról a másikra vissza kell térniük az általános szerződési feltételekhez TIA-val, vagy le kell állítaniuk az adattovábbítást. Ekkor nincs megállapodás szerinti átmeneti időszak.

Mit jelent ez Önnek?

A Szemcse Pékség számára a kérdés nem az, hogy "most szabad-e?", mivel a DPF jelenleg lehetővé teszi. A kérdés inkább az: "akarok-e függeni egy olyan keretrendszertől, amely már kétszer megbukott, és most harmadszor van a Bíróság előtt?" Egy olyan szolgáltatás, amely az EGT-n belül van letelepedve, és az adatokat az EGT-n belül tartja, nem függ a DPF-től. Ez nem jogi követelmény, de nyugodtabb kiindulópont.

A gyakorlatban: hogyan néz ki ez egy szolgáltatónál

Nézze meg jelenlegi szolgáltatója adatvédelmi tájékoztatójában vagy adatfeldolgozási szerződésében, milyen jogalapon továbbítja az adatokat az USA-ba: a DPF, az általános szerződési feltételek, vagy mindkettő alapján. A nagy szolgáltatók gyakran mindkettőt megnevezik, éppen azért, hogy felkészüljenek a DPF esetleges megbukására. Az a szolgáltató, amely nem továbbít adatokat az EGT-n kívülre, ezt nem kell rendeznie; az alvállalkozói (alfeldolgozói) listája mutatja meg, hogy ez valóban így van-e (9.2. lecke). A WebOkénál az adatfeldolgozási szerződésben szerepel, hogy az EU-n kívüli adattovábbítás csak előzetes írásbeli hozzájárulással lehetséges; más szolgáltatóknál hasonló rendelkezést általában az "adattovábbítás" vagy "nemzetközi adattovábbítás" című cikkelyben talál.

Összefoglalás

• Az EGT-n kívüli adattovábbítás csak megfelelőségi határozat alapján, vagy olyan garanciákkal engedélyezett, mint az általános szerződési feltételek.
• A Bíróság érvénytelenítette a Safe Harbort (2015, Schrems I) és a Privacy Shieldet (2020, Schrems II), elsősorban az amerikai megfigyelés és a jogorvoslat hiánya miatt.
• 2023. július 10. óta érvényes az EU-USA Data Privacy Framework, kizárólag a csatlakozott amerikai vállalatokra vonatkozóan.
• A DPF egy elnöki rendeletre épül, és vitatott: Latombe fellebbezése (C-703/25 P) folyamatban van, az amerikai felügyelet nyomás alatt áll.
• Egy olyan szolgáltatás, amely az adatokat az EGT-n belül tartja, nem függ a DPF-től.

Kvíz

Feladat

E1.4 feladat: Milyen jogalapon kerülnek az Ön adatai az USA-ba? Nézze meg jelenlegi felhőszolgáltatója adatvédelmi tájékoztatójában vagy adatfeldolgozási szerződésében, hogy az EGT-n kívül kerülnek-e feldolgozásra adatok, és ha igen, milyen jogalapon (DPF, SCC, másik országra vonatkozó megfelelőségi határozat). Ellenőrizze a dataprivacyframework.gov oldalon, hogy a vállalat szerepel-e a listán. Írja le, mi történik Önnel, ha a DPF-et érvénytelenítik.

További olvasnivaló

Az ezekben a cikkekben leírt lépések a WebOké szolgáltatásaira vonatkoznak; más szolgáltatóknál hasonlóan működik.

• Nextcloud kézikönyv 15.13: Gyakori kérdések a biztonságról és az adatvédelemről
• Az Európai Unió Bírósága, C-362/14. sz. ítélet (Schrems I, 2015. október 6.) és C-311/18. sz. ítélet (Schrems II, 2020. július 16.), a curia.europa.eu oldalon
• (EU) 2023/1795 végrehajtási határozat (az EU-USA Data Privacy Framework megfelelőségi határozata, 2023. július 10.), az EUR-Lex oldalon
• (EU) 2021/914 végrehajtási határozat (általános szerződési feltételek), az EUR-Lex oldalon
• Az Európai Unió Törvényszéke, T-553/23. sz. ügy (Latombe, 2025. szeptember 3.); fellebbezés: C-703/25 P
• Data Privacy Framework lista: https://www.dataprivacyframework.gov