ELINDULT AZ EU-USA ADATVÉDELMI KERETRENDSZER
2023. július 10-én az Európai Bizottság elfogadta az EU és az Egyesült Államok közötti Adatvédelmi Keretrendszerre (EU – U.S. Data Privacy Framework – a továbbiakban: DPF) vonatkozó, régóta várt megfelelőségi határozatát. A határozat megállapítja, hogy az Amerikai Egyesült Államok megfelelő szintű védelmet biztosít az EU-ból a DPF-ben részt vevő amerikai szervezeteknek továbbított személyes adatok számára, ezért az uniós országokból (valamint Izlandról, Liechtensteinből és Norvégiából) további adatvédelmi garanciák alkalmazása nélkül továbbíthatóak személyes adatok a DPF-ben részt vevő amerikai szervezetek részére.
A megfelelőségi határozatot a Joe Biden elnök által 2022. október 7-én kiadott, "Az Egyesült Államok hírszerzési tevékenységeinek fokozottabb garanciáiról" szóló végrehajtási rendeletre tekintettel fogadták el, amely előírja az amerikai hírszerzési tisztviselők számára, hogy a digitális információ gyűjtése körében több adatvédelmi biztosítékot alkalmazzanak, ideértve különösen, de nem kizárólagosan azt, hogy az ilyen adatgyűjtés mindenkor arányban álljon a szóban forgó nemzetbiztonsági kockázatokkal. Erre az Európai Unió Bíróságának 2020. júliusi Schrems II. határozata alapján volt szükség. Egy független és objektív jogorvoslati mechanizmust is létrehoztak az európai érintettek személyes adatainak amerikai nemzetbiztonsági célú kezelésével kapcsolatos panaszok feldolgozására és elbírálására.
A Bizottság mindezek alapján értékelte a DPF-ből eredő követelményeket, valamint azokat a korlátozásokat és védelmi intézkedéseket, amelyek irányadóak, ha az Egyesült Államokba továbbított személyes adatokhoz az Egyesült Államok hatóságai bűnüldözési és nemzetbiztonsági célokból férnének hozzá, és arra a megállapításra jutott, hogy az Egyesült Államok megfelelő szintű védelmet biztosít az EU-ból a DPF-ben részt vevő vállalatoknak továbbított személyes adatok tekintetében.
Az EU és az Egyesült Államok közötti Adatvédelmi Pajzs keretrendszerhez hasonlóan a DPF esetén is egy sor adatvédelmi kötelezettségnek való megfelelés vállalásával tudják részvételüket tanúsítani az amerikai társaságok, így például olyan adatvédelmi alapelvek alkalmazásával, mint amilyen a célhoz kötöttség és az adatminimalizálás, valamint konkrét adatbiztonsági követelmények teljesítésével.
A DPF-fel kapcsolatos adminisztrációt az Amerikai Egyesült Államok Kereskedelmi Minisztériuma végzi, mely feldolgozza a tanúsítási kérelmeket, és értékeli, hogy a részt vevő szervezetek megfelelnek-e az irányadó tanúsítási követelményeknek. A DPF szerinti kötelezettségek betartatásáért az Amerikai Egyesült Államok Szövetségi Kereskedelmi Bizottsága felel.
A megfelelőségi határozat elfogadása érdekében az Amerikai Egyesült Államok kormánya egy új, kétszintű jogorvoslati mechanizmust hozott létre az Egyesült Államok hírszerző szervei által végzett, az EU-ból az Amerikai Egyesült Államokban található szervezetek részére továbbított személyes adatokkal kapcsolatos adatkezeléssel összefüggő panaszok kezelésére és megoldására. Az érintettek a saját nemzeti adatvédelmi hatóságukhoz nyújthatják be a panaszt, azaz Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatósághoz, amely gondoskodik annak megfelelő továbbításáról és az eljárással kapcsolatos további információk eljuttatásáról az érintett(ek)hez. Ez az eljárás azt is biztosítja, hogy az érintettek egy közelükben működő hatósághoz tudnak fordulni, a saját nyelvükön. A panaszokat az Európai Adatvédelmi Testületen keresztül továbbítják az Amerikai Egyesült Államok felé.
Ami az Amerikai Egyesült Államokon belüli eljárást illeti, a panaszokat először az amerikai hírszerző közösség "polgári szabadságjogok védelméért felelős tisztviselője" vizsgálja ki. Amennyiben az érintettek nem elégedettek az eredménnyel, az újonnan létrehozott adatvédelmi felülvizsgálati bírósághoz (Data Protection Review Court - a továbbiakban: DPRC) fordulhatnak. A DPRC hatáskörrel rendelkezik az európai személyek panaszainak kivizsgálására, beleértve a hírszerző ügynökségek adataihoz való hozzáférést, valamint kötelező erejű jogorvoslati döntések meghozatalát.
Gina Raimondo amerikai kereskedelmi miniszter nyilatkozata alapján az Egyesült Államok Kereskedelmi Minisztériuma új weboldalt indít a DPF számára, emellett iránymutatást nyújt az EU és az Egyesült Államok közötti Adatvédelmi Pajzs keretrendszer résztvevőinek, hogy megkönnyítse számukra a DPF-re való átállást.
