UE pracuje nad wzmocnieniem ochrony danych osobowych
Rada ds. Wymiaru Sprawiedliwości i Spraw Wewnętrznych Unii Europejskiej pracuje nad ujednoliceniem przepisów dotyczących ochrony danych osobowych i przetwarzania ich w chmurach obliczeniowych. Musimy stworzyć jednolite ramy prawne. Nie można zaakceptować sytuacji, że różnice w krajowych przepisach państw członkowskich […] dają przewagę firmom amerykańskim i są przez nie wykorzystywane — stwierdził minister Michał Boni.
Najważniejszą zmianą ma być wprowadzenie mechanizmu one-stop-shop, dzięki czemu w sprawach międzynarodowych byłaby wydawana tylko jedna decyzja organu nadzorczego. W ten sposób cały proces byłby szybszy, a także jednakowy dla wszystkich krajów UE. Obecnie bowiem nawet jeśli firma przetwarza dane w całej Europie, jej kontrolą zajmuje się wyłącznie urząd ochrony danych osobowych właściwy dla kraju, w którym założono działalność. To spore utrudnienie dla pokrzywdzonych osób — kiedy austriacki student Max Schrems chciał złożyć skargę na Facebooka, musiał wysłać ją do Dublina.
Po zmianach taka sytuacja ma nie mieć miejsca. Polska nie chce, aby ochrona danych osobowych była regulowana przez 28 różnych reżimów prawnych państw członkowskich Unii. W naszej ocenie to właśnie jest prawdziwym obciążeniem dla biznesu — powiedział Boni. W podobnym tonie po nagłośnieniu sprawy PRISM wypowiadała się także Angela Merkel. W sprawach transgranicznych urzędy mają więc współpracować ze sobą, by uniknąć dwukrotnego badania tych samych spraw i wydawania podwójnych decyzji. Ponadto atutem nowych regulacji ma być wzmocnienie instytucji odpowiedzialnych za ochronę danych. W chwili obecnej w niektórych krajach nie mogą one nakładać grzywien, ale w przyszłości ma się to zmienić.
Członkowie rady nie są zgodni co do tego, w jaki sposób nowy system powinien działać. Rozważane są trzy modele: francuski, włoski i niemiecki. Pierwszy z nich zakłada, że organ nadzorczy (właściwy dla kraju, w którym firma zarejestrowała działalność) nie będzie mógł podejmować decyzji bez próby wypracowania wspólnego rozwiązania z przedstawicielami urzędu lokalnego, do którego wpłynęła skarga. Według drugiej propozycji, instytucje lokalne powinny mieć prawo do przesłania projektu decyzji do organu nadzorującego. Trzeci wariant oznacza zwiększenie uprawnień Europejskiej Rady Ochrony Danych, w skład której wchodzą szefowie organów nadzorczych wszystkich państw członkowskich oraz Europejski Inspektor Ochrony Danych. Poparcie dla wyznaczenia EROD jako wiodącego organu, ale z ograniczonych zakresem kompetencji, wyraziły Polska, Chorwacja, Estonia, Finlandia, Holandia, Irlandia, Litwa, Łotwa, Szwecja, Rumunia i Wielka Brytania.
Sporo zawirowań szykuje się też w temacie chmur obliczeniowych. Niektórzy członkowie rady uważają, że firmy powinny informować wszystkich zainteresowanych o każdym transferze danych osobowych z Europy do innych krajów. Powiadomienia miałyby być prezentowane w widocznym miejscu, a ich treść (napisana w ostrzegawczym tonie) miałaby nie pozostawiać wątpliwości, czy dane mogą być analizowane przez służby wywiadowcze obcych państw i jakie skutki prawne z tego wynikają. Ponadto o transferze miałyby być zawiadamiane także urzędy ochrony danych osobowych.
Viviane Reding, europejska komisarz ds. sprawiedliwości, uważa, że tak restrykcyjne i zarazem przejrzyste zasady mogą być atrakcyjne dla samych użytkowników. Firmy mogłyby podkreślać, że powierzane im dane są bezpiecznie przechowywane w chmurach, które podlegają europejskim regulacjom — przekonuje.