Schrems II, Data Privacy Framework ja ebakindlus

Moodul 1: Miks valida Euroopa pilv? · Lugemisaeg: 12 minutit

Õpieesmärk: Pärast seda tundi oskad jutustada ELi ja USA vaheliste andmekokkulepete ajalugu, selgitada, mida otsustas Schrems II, mis on EU-US Data Privacy Framework, ja miks praegune raamistik jääb ebakindlaks.

Põhimõisted: andmete edastamine, piisavusotsus, Safe Harbor, Schrems I, Privacy Shield, Schrems II, standardsed lepingutingimused (SCC), transfer impact assessment (TIA), täiendavad meetmed, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, iseregistreerimine (self-certification), Latombe, PCLOB

Andmete edastamine: reegel ja erand

Tunnis 1.2 nägid, et andmed tohivad Euroopa Majanduspiirkonnast (EMP) lahkuda ainult siis, kui sihtriik tagab piisava kaitsetaseme, või kui on olemas lisakaitsemeetmed (IKÜM V peatükk). Seda lahkumist nimetatakse andmete edastamiseks. Edastamine ei ole ainult faili saatmine Ameerikasse: edastamisega võib olla tegu ka siis, kui Ameerika klienditoe töötaja vaatab kaugligipääsuga sinu Euroopa keskkonda, või kui su andmed asuvad Ameerika teenuses.

Kõige lihtsam tee on piisavusotsus (artikkel 45): Euroopa Komisjon otsustab, et riigi kaitsetase on ELi omaga "sisuliselt samaväärne". Selliseid otsuseid on tehtud muu hulgas Šveitsi, Suurbritannia, Jaapani ja Kanada (ärilistele organisatsioonidele) kohta. USA puhul on lugu keerulisem: seal on Euroopa Liidu Kohus Komisjoni otsuse kaks korda tühistanud.

See on selgitus, mitte õigusnõustamine. Tunni teave kehtib 2026. aasta novembri seisuga.

Esimene sild: Safe Harbor ja Schrems I

2000. aastal sõlmisid EL ja USA kokkuleppe Safe Harbor. Ameerika ettevõtted said registreeruda ja lubada, et nad kaitsevad Euroopa andmeid nõuetekohaselt. Komisjon andis selle kohta piisavusotsuse.

2013. aastal paljastas Edward Snowden, kuidas Ameerika luureteenistused kogusid suures mahus andmeid internetiettevõtetelt. Austria jurist Max Schrems esitas kaebuse Facebooki vastu Iirimaal: tema andmed liikusid USA-sse ja ei olnud seal kaitstud. Asi jõudis Euroopa Liidu Kohtusse. 6. oktoobril 2015 kuulutas kohus Safe Harbor otsuse kehtetuks (kohtuasi C-362/14, "Schrems I"). Põhjus: Komisjon ei olnud uurinud, kas Ameerika valitsus pidas kinni piiridest, ja eurooplastel puudus tegelik õiguskaitse.

Teine sild: Privacy Shield ja Schrems II

Juba 2016. aastal tuli järeltulija: EU-US Privacy Shield, rangemate reeglite ja ombudsmaniga Ameerika Ühendriikide välisministeeriumi juures. Schrems alustas uut kohtumenetlust.

16. juulil 2020 tegi kohus otsuse kohtuasjas C-311/18, "Schrems II". Kohus kuulutas Privacy Shieldi kehtetuks. Põhjused:

• Ameerika jälgimisprogrammid, eelkõige FISA artikli 702 ja Executive Order 12333 alusel (tund 1.3), ei olnud piiratud sellega, mis on "rangelt vajalik".
• Eurooplastel puudus tõhus juurdepääs sõltumatule kohtule; ombudsman ei olnud piisavalt sõltumatu ega saanud teha siduvaid otsuseid.

Kohus ütles ka midagi olulist alternatiivi, standardsete lepingutingimuste kohta (SCC, inglise keeles standard contractual clauses). Need on Komisjoni koostatud tüüplepingud, millele kirjutavad alla saatja ja vastuvõtja. Need jäid kehtima, kuid: andmeid edastav pool peab igal üksikjuhul kontrollima, kas vastuvõtva riigi õigus ei õõnesta neid kokkuleppeid. Kui see on nii, on vaja täiendavaid meetmeid, näiteks krüpteerimist, mille puhul vastuvõtjal pole võtit. Kui see ei õnnestu, tuleb edastamine lõpetada.

Seda hindamist nimetatakse transfer impact assessment'iks (TIA). Euroopa andmekaitseasutused (EDPB) koostasid selle kohta 2021. aastal soovitused. 2021. aastal kehtestati ka uued standardsed lepingutingimused (rakendusotsus (EL) 2021/914).

Väikesele organisatsioonile oli see keeruline: kuidas peaks näiteks pagariäri hindama Ameerika luureõigust? Praktikas toetusid paljud suurte teenusepakkujate lepingutele ja dokumentatsioonile.

Kolmas sild: EU-US Data Privacy Framework

USA ja EL alustasid uusi läbirääkimisi. President Biden allkirjastas 7. oktoobril 2022 Executive Order 14086. See sätestab muu hulgas, et luuretegevus peab olema "vajalik ja proportsionaalne", ning loob kaebemenetluse, mille viimane etapp on Data Protection Review Court (DPRC) USA justiitsministeeriumi juures.

10. juulil 2023 võttis Komisjon vastu piisavusotsuse EU-US Data Privacy Frameworki (DPF) kohta. Kuidas see toimib:

• See kehtib ainult Ameerika organisatsioonidele, kes on liitunud (iseregistreerimine USA kaubandusministeeriumi juures). Veebilehel dataprivacyframework.gov on nimekiri. Kui ettevõtet seal ei ole, siis DPF selle ettevõtte kohta ei kehti.
• Nõuete täitmist kontrollib USA-s muu hulgas Federal Trade Commission (FTC).
• Komisjon teeb perioodilisi hindamisi.

Kasutajate jaoks tähendab DPF seda, et andmete edastamine liitunud Ameerika ettevõttele on taas lubatud ilma TIA-ta. Seetõttu ütlevad paljud teenusepakkujad: "Me täidame IKÜM-i nõudeid."

Miks raamistik jääb ebakindlaks

DPF kehtib, aga ebakindlatel alustel:

• Executive Order ei ole seadus. Järgmine president võib selle ilma Kongressita muuta või tühistada.
• Üldkohus ja apellatsioon. Prantsuse parlamendiliige Philippe Latombe palus Euroopa Liidu Üldkohtul DPF-i otsuse tühistada. 3. septembril 2025 lükkas Üldkohus selle tagasi (kohtuasi T-553/23): Üldkohtu hinnangul oli DPRC piisavalt sõltumatu. Latombe esitas apellatsiooni Euroopa Liidu Kohtusse (kohtuasi C-703/25 P). 2026. aasta novembri seisuga pole seal veel otsust tehtud. Euroopa Liidu Kohus on Schrems I ja II puhul olnud rangem kui Üldkohus praegu.
• Järelevalve USA-s surve all. 2025. aasta jaanuaris vallandati Privacy and Civil Liberties Oversight Board'i (PCLOB) liikmed, kelle olid nimetanud demokraadid; sellest ajast alates puudub sel järelevalveasutusel kvoorum ja ta saab oma tööd, sealhulgas kaebemenetluse kontrolli, teha vaid piiratult. 29. juunil 2026 otsustas USA ülemkohus asjas Trump v. Slaughter, et president tohib FTC liikmeid ilma põhjuseta vallandada. Juristid rõhutavad, et see teravdab küsimust sõltumatust järelevalvest, millele DPF toetub.
• Uued menetlused. Andmekaitseorganisatsioon noyb on teatanud, et kaalub oma menetluse algatamist. Selline kohtuasi kestab aastaid.

Kui DPF langeb, juhtub sama, mis 2015. ja 2020. aastal: organisatsioonid peavad üleöö tagasi minema standardsete lepingutingimuste ja TIA peale või lõpetama andmete edastamise. Üleminekuperioodi ei ole sel juhul kokku lepitud.

Mida see sinu jaoks tähendab?

Bakkerij De Korrel'i jaoks ei ole küsimus "kas see on praegu lubatud?", sest DPF-iga on see hetkel lubatud. Küsimus on: "kas ma tahan sõltuda raamistikust, mis on juba kaks korda kokku kukkunud ja mille kohta on kolmas kohtuasi käimas?" Teenus, mis asub EMP-s ja hoiab andmed EMP piires, ei sõltu DPF-ist. See ei ole õiguslik nõue, kuid see on rahulikum lähtepunkt.

Praktikas: kuidas see teenusepakkuja juures välja näeb

Vaata oma praeguse teenusepakkuja privaatsusavaldusest või isikuandmete töötlemise lepingust, millisel alusel ta edastab andmeid USA-sse: DPF, standardsed lepingutingimused või mõlemad. Suured teenusepakkujad nimetavad sageli mõlemat, just selleks, et olla valmis DPF-i kukkumiseks. Euroopa teenusepakkuja, kes ei edasta andmeid väljapoole EMP-d, ei pea seda korraldama; tema alltöötlejate nimekiri näitab, kas see nii on (tund 9.2). WebOké isikuandmete töötlemise lepingus on kirjas, et andmete edastamine väljapoole ELi on lubatud ainult eelneva kirjaliku nõusolekuga; teiste teenusepakkujate juures leiad sarnase sätte tavaliselt artiklist "andmete edastamine" või "rahvusvaheline edastamine".

Kokkuvõte

• Andmete edastamine väljapoole EMP-d on lubatud ainult piisavusotsuse alusel või selliste kaitsemeetmetega nagu standardsed lepingutingimused.
• Kohus kuulutas kehtetuks Safe Harbor'i (2015, Schrems I) ja Privacy Shieldi (2020, Schrems II), eelkõige Ameerika jälgimise ja õiguskaitse puudumise tõttu.
• Alates 10. juulist 2023 kehtib EU-US Data Privacy Framework, ainult liitunud Ameerika ettevõtetele.
• DPF toetub presidendi otsusele ja on vaidluse all: käib Latombe apellatsioon (C-703/25 P), Ameerika järelevalve on surve all.
• Teenus, mis hoiab andmed EMP piires, ei sõltu DPF-ist.

Test

Ülesanne

Ülesanne E1.4: Millisel alusel läheb sinu andmed USA-sse? Otsi oma praeguse pilveteenuse privaatsusavaldusest või isikuandmete töötlemise lepingust, kas andmeid töödeldakse väljaspool EMP-d, ja millisel alusel (DPF, SCC, piisavusotsus mõne teise riigi kohta). Kontrolli veebilehel dataprivacyframework.gov, kas ettevõte on nimekirjas. Kirjelda, mis sinu jaoks juhtub, kui DPF tühistatakse.

Lisalugemist

Nende artiklite sammud kehtivad WebOké teenuste kohta; teiste teenusepakkujate puhul toimib see sarnaselt.

• Nextcloudi juhend 15.13: Korduma kippuvad küsimused turvalisuse ja privaatsuse kohta
• Euroopa Liidu Kohus, otsused C-362/14 (Schrems I, 6. oktoober 2015) ja C-311/18 (Schrems II, 16. juuli 2020), curia.europa.eu
• Rakendusotsus (EL) 2023/1795 (EU-US Data Privacy Frameworki piisavusotsus, 10. juuli 2023), EUR-Lex
• Rakendusotsus (EL) 2021/914 (standardsed lepingutingimused), EUR-Lex
• Euroopa Liidu Üldkohus, kohtuasi T-553/23 (Latombe, 3. september 2025); apellatsioon C-703/25 P
• Data Privacy Frameworki nimekiri: https://www.dataprivacyframework.gov