Schrems II: Что это такое и как это влияет на индийские компании

Суд Европейского союза (CJEU) вынес свое решение о защите данных, которое сейчас получило название Schrems II.

Многие эксперты считают, что это решение окажет далеко идущее влияние на вопросы конфиденциальности данных и связанные с ними проблемы, в частности о том, как (и могут ли) данные передаваться за пределы европейских границ.

Краткая информация о деле Schrems II

Что такое Schrems II?

Дело Schrems II рассматривается Европейским судом по правам человека (CJEU). C-311/18) в отношении конфиденциальности данных. Решение суда было вынесено в Люксембурге 16 июля 2020 года.

Кто является сторонами в деле Schrems II?

Комиссар по защите данных против Facebook Ireland Ltd Максимиллиан Шремс. Участвующими сторонами были: Соединенные Штаты Америки, Центр электронной информации о конфиденциальности, BSA Business Software AllianceInc. и Digitaleurope.

Почему Facebook — Ирландия?

Это потому, что европейская штаб-квартира Facebook находится в Ирландии.

Каково решение Schrems II?

Европейский суд по правам человека постановил, что защита (данных), предоставляемая EU-US Privacy Shield, является недействительной. Суд также обратился к властям с просьбой прекратить передачу персональных данных. До настоящего времени такая передача осуществлялась посредством стандартных договорных положений (SCC) в различных соглашениях.

Полный текст судебного решения можно прочитать здесь.

Кто такой Шремс?

Максимилиан Шремс (более известный как Макс Шремс) — австрийский юрист и активист. Он особенно хорошо известен своей кампанией против Facebook в связи с нарушениями конфиденциальности его данных.

Почему это решение называется Schrems II?

Макс Шремс впервые подал иск против Facebook в 2011 году к ирландскому уполномоченному по защите данных. Он отозвал его в 2014 году, заявив, что не прошел надлежащую процедуру. На сайте Europe-v-facebook(dot)org он сообщил, что ему не были предоставлены процессуальные права, которые, по его словам, «как предположили наблюдатели», могут быть основаны на политических и экономических соображениях в Ирландии.” (Источник)

Тем временем в 2013 году Шремс подал жалобу на Facebook в Ирландии. Цель жалобы состояла в том, чтобы помешать Facebook передавать данные из Ирландии в США. Это дело стало известно как «Шремс И.».

По завершении рассмотрения дела Высокий суд Ирландии официально передал дело в Европейский суд по правам человека, «с одиннадцатью вопросами, касающимися действительности SCC» (

Теперь это известно как Schrems II.

О чем говорил Schrems I?

Как было сказано выше, Schrems I был посвящен обеспечению соблюдения запрета Facebook на передачу данных в США из Ирландии.

Каковы будут последствия Schrems II?

Трудно так быстро суммировать все последствия такого важного судебного решения. Однако, вот два наиболее очевидных из них:

• Европейский суд по правам человека признал защиту данных в США недостаточной по сравнению с GDPR. Теперь будет сложно (или невозможно) передавать данные в США из ЕС.
• Во многих странах, включая Индию, нет четких законов о защите данных. Поэтому они привыкли полагаться на договорные обязательства при работе с компаниями из ЕС. Одним из вероятных результатов является то, что практически никакие данные не будут вывезены за пределы границ ЕС.

Решение суда по делу Schrems II разъяснено

Европейский суд по правам человека основывает свое решение по делу Schrems II на следующих двух основных факторах:

1. Программы слежки в США не всегда ограничиваются тем, что абсолютно необходимо. Это означает, что программа потенциально может получить доступ к персональным данным большего числа людей, чем это было строго необходимо. Это не соответствует статье 52 Хартии ЕС об основных правах.

“Любое ограничение на осуществление прав …должно быть предусмотрено законом…. В соответствии с принципом пропорциональности ограничения могут вводиться только в том случае, если они необходимы и действительно отвечают целям, представляющим общий интерес, признанным Европейским союзом…”

Статья 52

2. Что касается слежки в США, то судебная защита отсутствует. В результате субъекты персональных данных не могут воспользоваться своим правом на эффективное средство правовой защиты. Это нарушает статью 47 упомянутой Хартии, которая гласит:

“Каждый человек… имеет право на эффективное средство правовой защиты в суде в соответствии с условиями, изложенными в этой статье.“

Статья 47

Как насчет стандартных договорных положений (SCC)?

Судебное решение подтверждает действительность SCC.

Однако до настоящего времени SCC принимались в качестве общих положений. Это означает, что предполагалось, что все без исключения SCC разрешают передачу персональных данных. В настоящее время это предложение отклонено.

Теперь действительность SCC необходимо будет проверять в каждом конкретном случае. Это означает, что компании будут обязаны:

• проверить, обеспечивают ли законы страны-получателя (страны, в которую передаются данные) надлежащую защиту данных, и
• если в стране-получателе нет соответствующих законов, компания должна принять меры, чтобы:
  • обеспечить дополнительные меры защиты, или
  • прекратить такую передачу данных, или
  • вернуть или уничтожить данные, если они уже были переданы ранее.

Как Schrems II влияет на индийские компании

Несмотря на то, что решение по Schrems II явно соответствует соглашению ЕС и США о защите конфиденциальности, последствия будут будет ощущаться всеми странами.

Мы классифицируем влияние Scrhems II на индийские компании по трем разделам:

• Процессы
• Законы
• Ограничения и исключения

Процедуры, которым необходимо следовать

Пересмотрите соглашения: в Индии нет законов о конфиденциальности. Следовательно, специалистам по защите данных и юристам-экспертам в области права необходимо будет пересмотреть свои юридические соглашения и SCC.

Проверьте достаточность защиты: Компаниям необходимо будет проверить, обеспечивается ли их передача данных надлежащей защитой, соответствующей стандартам ЕС.

Провести оценку: При передаче персональных данных необходимо будет провести оценку адекватности передачи. 

Понимать ‘Согласие ’: Передача, основанная на согласии, должна быть явной, конкретной и информированный. Кроме того, согласие должно быть отзывным. Как индийская компания, вы захотите создать это.

Законы, которые необходимо соблюдать

Основывайтесь на этих правилах: Согласие на сбор данных, включая их назначение и использование, будет должны быть рассмотрены, в частности, в соответствии со статьей 4(11) (Определение согласия), статьей 7 (Условия получения согласия), статьей 46 (Надлежащие гарантии передачи) и статьей 49 (Частичное нарушение закона, называемое отступлением).

Рассматривайте каждый случай как уникальный.: IAPP (ссылка ниже) указывает на то, что SCCS “…должны утверждаться агентствами по управлению рисками для каждой компании ”.

Не делайте правила из исключений: Когда вы передаете данные ссылаясь на общественные интересы, это не может стать правилом. Они должны быть ограничены четкой и конкретной ситуацией. Кроме того, они должны подвергаться тщательной проверке, чтобы убедиться в том, что затрагиваются соответствующие общественные интересы. Важно отметить, что общественный интерес должен быть таким, который “признан законодательством ЕС или государств-членов.”

Применяемые ограничения

Обеспечить немедленную коррекцию: Если вы полагались исключительно на соглашение между ЕС и США, вы должны иметь в виду, что «льготного периода нет». Любая передача, которая была основана исключительно на соглашении ЕС-США, сегодня считается незаконной. Другими словами, это требует незамедлительного исправления.

Это применимо ко всем странам, а не только к США: решение было вынесено специально в контексте соглашения ЕС-США о защите конфиденциальности. Однако в часто задаваемых вопросах Европейского совета по защите данных (EDPB) четко указано, что “..установленный Судом порог для передачи данных в США применим к любой третьей стране.” Это означает, что индийские компании не являются исключением и обязаны выполнять решение суда.

Закон ясен: Защищайте, возвращайте или уничтожайте данные: Если вы не можете обеспечить надлежащую защиту в соответствии с требованиями ЕС, вам необходимо вернуть или уничтожить данные.

Ответственность несут экспортер и импортер данных: Наконец, часто задаваемые вопросы четко указано, что экспортер и импортер данных несут ответственность за то, чтобы уровень защиты, требуемый ЕС, соответствовал индийским законам.

Презентация программы Schrems II и ее влияние на Индию

Вы можете посмотреть здесь слайд-презентацию о том, как Schrems II влияет на Индию:

Schrems II и Индия от mayank batavia, Schrems II и индийские компании

Предлагаем ознакомиться с более подробной информацией:

Часто задаваемые вопросы EDPB по Schrems II

IAPP Статья Рахула Маттана Mint, в которой он рассказывает о локализации данных как об одном из возможных результатов.

Источник изображения: Скриншот из видео на сайте Europa.eu

Отказ от ответственности: Эта статья носит исключительно информативный характер. Автор не претендует на то, чтобы быть квалифицированным юристом, и эта статья не претендует на то, чтобы быть юридическим документом.

Сообщение «Schrems II: Что это такое и как это влияет на индийские компании» впервые появилось в «Technology services news».

Другие новости:

---