Mamy rok 2015. Coraz wi\u0119cej polskich firm decyduje si\u0119 na to, \u017ceby mie\u0107 siedzib\u0119 g\u0142\u00f3wn\u0105 w Stanach Zjednoczonych. Jednocze\u015bnie coraz wi\u0119cej firm ameryka\u0144skich chce przenosi\u0107 swoje interesy na terytorium Unii Europejskiej. Ale ustawodawstwo unijne i ustawodawstwo obowi\u0105zuj\u0105ce w Stanach Zjednoczonych r\u00f3\u017cni\u0105 si\u0119 zasadniczo. Dzisiaj zajmiemy si\u0119 jedn\u0105 z tych r\u00f3\u017cnic, a mianowicie polityk\u0105 prywatno\u015bci, jaka obowi\u0105zuje w Unii Europejskiej.<\/p>\n
Wprowadzenie<\/strong><\/p>\n Jak wszyscy wiemy, Unia Europejska to du\u017cy polityczno-ekonomiczny zwi\u0105zek sk\u0142adaj\u0105cy si\u0119 z 28 pa\u0144stw, o \u0142\u0105cznej populacji 500 milion\u00f3w os\u00f3b. Bogactwo gospodarcze Unii Europejskiej przyci\u0105ga tutaj wiele ameryka\u0144skich firm. Jednak wi\u0119kszo\u015b\u0107 z tych firm nie jest w og\u00f3le zaznajomiona z przepisami, kt\u00f3re dotycz\u0105 polityki prywatno\u015bci na terenie Unii Europejskiej. Prawda jest taka, \u017ce dla wielu firm ameryka\u0144skich temat ten cz\u0119sto pozostaje tematem tabu i wiele ameryka\u0144skich firm uznaje, \u017ce pierwsz\u0105 instancj\u0105 s\u0105dow\u0105 jest dla nich s\u0105d ameryka\u0144ski i ustawodawstwo ameryka\u0144skie w kwestii polityki prywatno\u015bci. Natomiast ustawodawstwo europejskie jest uznawane za temat marginalny. Zadaniem tego artyku\u0142u jest wyja\u015bnienie, jakie kategorie ameryka\u0144skich sp\u00f3\u0142ek wchodz\u0105 w zakres unijnego prawa dotycz\u0105cego polityki prywatno\u015bci. Nast\u0119pnie zosta\u0142o om\u00f3wione w jaki spos\u00f3b ameryka\u0144skie firmy mog\u0105 sobie zapewni\u0107 pe\u0142n\u0105 zgodno\u015b\u0107 z przepisami unijnymi dotycz\u0105cymi ochrony danych osobowych. Na koniec zamieszczone jest kr\u00f3tkie podsumowanie.<\/p>\n Rodzaje ameryka\u0144skich firm wchodz\u0105cych w zakres przepis\u00f3w dotycz\u0105cych ochrony prywatno\u015bci w Unii Europejskiej<\/strong><\/p>\n Ta cz\u0119\u015b\u0107 artyku\u0142u pokazuje, jakie s\u0105 kategorie ameryka\u0144skich firm, kt\u00f3re wchodz\u0105 w zakres obecnych przepis\u00f3w dotycz\u0105cych ochrony prywatno\u015bci. Nast\u0119pnie przedstawiono ameryka\u0144skie firmy, kt\u00f3re wejd\u0105 w zakres nowego rozporz\u0105dzenia, kt\u00f3re zast\u0105pi obecnie istniej\u0105c\u0105 polityk\u0119 prywatno\u015bci.<\/p>\n Obecne unijne przepisy dotycz\u0105ce ochrony prywatno\u015bci oraz ochrony danych osobowych<\/strong><\/p>\n Obecne przepisy unijne obejmuj\u0105 zasadniczo dwa przypadki. W przypadku pierwszym administrator danych osobowych ma swoj\u0105 siedzib\u0119 na terenie Unii Europejskiej. W drugim przypadku administrator danych osobowych u\u017cywa sprz\u0119tu znajduj\u0105cego si\u0119 na terenie Unii Europejskiej wy\u0142\u0105cznie w celu przetwarzania danych osobowych. Poni\u017cej zosta\u0142y om\u00f3wione szczeg\u00f3\u0142owo oba te przypadki.<\/p>\n Firma posiada siedzib\u0119 na terenie Unii Europejskiej<\/strong><\/p>\n Trybuna\u0142 Sprawiedliwo\u015bci przy Unii Europejskiej doskonale wyja\u015bni\u0142 poj\u0119cie siedziby, stwierdzaj\u0105c, \u017ce stabilne utworzenie siedziby firmy na terenie Unii Europejskiej wymaga tego, \u017ceby zar\u00f3wno zasoby ludzkie, jak i zasoby techniczne, kt\u00f3re s\u0105 niezb\u0119dne do \u015bwiadczenia okre\u015blonych us\u0142ug, musz\u0105 si\u0119 znajdowa\u0107 na terenie Unii Europejskiej oraz by\u0107 tutaj stale dost\u0119pne. Tak wi\u0119c, je\u017celi posiadamy tylko komputer lub serwer na terenie Unii Europejskiej, jest ma\u0142o prawdopodobne, \u017ceby si\u0119 to kwalifikowa\u0142o pod poj\u0119cie siedziby, poniewa\u017c wtedy serwer jest traktowany tylko jako obiekt techniczny lub instrument do przetwarzania informacji. Jednocze\u015bnie istnieje te\u017c druga strona medalu. Firma ze Stan\u00f3w Zjednoczonych nie musi posiada\u0107 osobowo\u015bci prawnej na terenie Unii Europejskiej.<\/p>\n Przyk\u0142adem jest fima Google, kt\u00f3ra do niedawna korzysta\u0142a z tzw. prawa do bycia zapomnianym. W sprawie firmy Google Trybuna\u0142 Sprawiedliwo\u015bci podj\u0105\u0142 decyzj\u0119 w maju 2014 i doskonale wyja\u015bni\u0142 poj\u0119cie siedziby. Ot\u00f3\u017c Trybuna\u0142 Sprawiedliwo\u015bci stwierdzi\u0142, \u017ce je\u017celi istniej\u0105 jakiekolwiek powi\u0105zania gospodarcze pomi\u0119dzy firm\u0105 spoza Unii Europejskiej oraz jej fili\u0105 na terenie Unii Europejskiej, to oznacza, \u017ce unijne przepisy dotycz\u0105ce ochrony prywatno\u015bci i przetwarzania danych osobowych maj\u0105 zastosowanie tak\u017ce do firmy spoza Unii Europejskiej, o ile \u015bwiadczy ona us\u0142ugi na terenie Unii Europejskiej. Dok\u0142adniej, Trybuna\u0142 Sprawiedliwo\u015bci stwierdzi\u0142, \u017ce je\u015bli Google Espania generuje przychody ze sprzeda\u017cy reklam i jest zale\u017cna od sp\u00f3\u0142ki Google Inc, to oznacza, \u017ce obie sp\u00f3\u0142ki s\u0105 wystarczaj\u0105co powi\u0105zane ze sob\u0105 oraz z us\u0142ug\u0105 dotycz\u0105c\u0105 wyszukiwania informacji, kt\u00f3ra jest oferowana przez Google Inc. Oznacza to, zdaniem Trybuna\u0142u Europejskiego, \u017ce dzia\u0142ania sp\u00f3\u0142ki Google Espania podlegaj\u0105 prawom ochrony prywatno\u015bci obowi\u0105zuj\u0105cym w Unii Europejskiej i jednocze\u015bnie ten sam obowi\u0105zek rozci\u0105gn\u0105\u0142 na firm\u0119 Google, je\u015bli ta chce \u015bwiadczy\u0107 swoje us\u0142ugi na terenie Unii Europejskiej.<\/p>\n Korzystanie tylko i wy\u0142\u0105cznie ze sprz\u0119tu po\u0142o\u017conego na terytorium Unii Europejskiej<\/strong><\/p>\n Prawa do prywatno\u015bci, jakie obowi\u0105zuj\u0105 na terenie Unii Europejskiej nie definiuj\u0105 szczeg\u00f3\u0142owo poj\u0119cia sprz\u0119t. A wi\u0119c poj\u0119cie sprz\u0119tu mo\u017ce by\u0107 naprawd\u0119 bardzo szeroko rozumiane. Poni\u017cej przedstawiono dwa przyk\u0142ady definicji sprz\u0119tu w rozumieniu przepis\u00f3w Unii Europejskiej.<\/p>\n Po pierwsze za\u0142\u00f3\u017cmy, \u017ce istnieje jaka\u015b firma z Australii, kt\u00f3ra gromadzi i przetwarza dane osobowe, zgromadzone na telefonach u\u017cytkownik\u00f3w z Unii Europejskiej. Dzia\u0142alno\u015b\u0107 tej firmy musi by\u0107 ca\u0142kowicie zgodna z unijnym prawem dotycz\u0105cym ochrony prywatno\u015bci. Dzieje si\u0119 tak, poniewa\u017c telefon jest definiowany jako sprz\u0119t wed\u0142ug postanowie\u0144 Trybuna\u0142u Sprawiedliwo\u015bci.\u00a0<\/strong>Po drugie, wyobra\u017amy sobie, \u017ce istnieje sp\u00f3\u0142ka, kt\u00f3ra \u015bwiadczy us\u0142ugi w chmurze obliczeniowej i pozwala przesy\u0142a\u0107 jednostkom informacje oraz umawia\u0107 si\u0119 na spotkania prywatne. Dzia\u0142alno\u015b\u0107 tej firmy, \u015bwiadczona na terenie Unii Europejskiej musi by\u0107 w pe\u0142ni zgodna z unijnym prawem ochrony prywatno\u015bci o ile firma przetwarza te informacje na serwerach znajduj\u0105cych si\u0119 na serwerach na terenie Unii Europejskiej. Jednocze\u015bnie nale\u017cy zauwa\u017cy\u0107, \u017ce stosowanie przepis\u00f3w unijnych dotycz\u0105cych ochrony prywatno\u015bci nie ma zastosowania, je\u015bli urz\u0105dzenia pe\u0142ni\u0105 tylko i wy\u0142\u0105cznie funkcj\u0119 tranzytow\u0105, co oznacza, \u017ce przesy\u0142aj\u0105 dalej wybrane informacje. Jednocze\u015bnie te same prawa b\u0119d\u0105 mie\u0107 zastosowanie w chwili kiedy urz\u0105dzenia zaczn\u0105 generowa\u0107 pliki cookies, wykonywa\u0107 obliczenia oraz u\u017cywa\u0107 jakichkolwiek skrypt\u00f3w JavaScript.<\/p>\n Nowe rozporz\u0105dzenia dotycz\u0105ce ochrony prywatno\u015bci<\/strong><\/p>\n Ju\u017c wkr\u00f3tce Unia Europejska planuje przyj\u0105\u0107 now\u0105 ustaw\u0119 o ochronie prywatno\u015bci o nazwie General Data Protection Regulation (GDPR ). Propozycja wprowadzenia GDPR pochodzi z 2012 roku i je\u015bli zostanie przyj\u0119ta, to oznacza, \u017ce wejdzie w \u017cycie w 2017 roku. GDPR jest stosowana do os\u00f3b fizycznych lub prawnych z siedzib\u0105 na terytorium Unii Europejskiej oraz os\u00f3b fizycznych lub prawnych, kt\u00f3re przetwarzaj\u0105 dane osobowe mieszka\u0144c\u00f3w Unii Europejskiej. W skr\u00f3cie ustalenia GDPR b\u0119d\u0105 mia\u0142y zastosowanie do wszystkich firm, jakie przetwarzaj\u0105 dane osobowe mieszka\u0144c\u00f3w Unii Europejskiej.<\/p>\n Zapewnienie zgodno\u015bci z przepisami unijnymi<\/strong><\/p>\n Departament Handlu USA w porozumieniu z Komisj\u0105 Europejsk\u0105 opracowa\u0142 tzw. bezpieczn\u0105 przysta\u0144, czyli safe-harbor framework, znany r\u00f3wnie\u017c jako US-EU Safe Harbor Framework. Bezpieczna przysta\u0144 pozwala zapewni\u0107 ameryka\u0144skim firmom zgodno\u015b\u0107 z przepisami Unii Eurpejskiej, dotycz\u0105cymi ochrony prywatno\u015bci. Definiuje go siedem zasad: powiadomienie, wyb\u00f3r, dalsze przekazywanie, dost\u0119p, bezpiecze\u0144stwo, integralno\u015b\u0107 danych oraz egzekwowanie. Prze\u015bled\u017amy po kolei wszystkie te zasady, Pierwszy element to powiadomienie. Aby ameryka\u0144ska firma by\u0142a zgodna z t\u0105 zasad\u0105, musi poinformowa\u0107 osoby, kt\u00f3rych dane kontaktowe s\u0105 zbierane oraz w jakim celu b\u0119d\u0105 wykorzystywane. Cele musz\u0105 by\u0107 opisane szczeg\u00f3\u0142owo. Dodatkowo firma musi tak\u017ce podawa\u0107 swoje dane kontaktowe, rodzaje stron trzecich, jakim ujawnia informacje osobowe oraz \u015brodki, jakich u\u017cywa w USA w celu ograniczenia wykorzystania i ujawniania danych osobowych.<\/p>\n Zasada wyboru polega na tym, \u017ceby zapewni\u0107 wszystkim osobom mo\u017cliwo\u015b\u0107 wyboru, czy ich dane osobowe zostan\u0105 ujawnione osobom trzecim w celach niezgodnych z celem pierwotnym, dla kt\u00f3rego zosta\u0142y pocz\u0105tkowo zebrane dane osobowe. Co wi\u0119cej, je\u017celi ameryka\u0144ska firma planuje ujawnia\u0107 poufne dane osobowe osobom trzecim lub wykorzystywa\u0107 te informacje niezgodnie z ich pierwotnym przeznaczeniem, to wtedy firma musi poda\u0107 wszystkie osoby oraz instytucje, jakim przekazuje dane osobowe oraz dok\u0142adn\u0105 informacj\u0119 o tym, jakie informacje zosta\u0142y zebrane przy okazji. Informacje te musz\u0105 by\u0107 podawane jawnie.<\/p>\n Kolejna zasada to tzw. dalsze przekazywanie. Je\u017celi ameryka\u0144ska firma zamierza przekazywa\u0107 dane osobowe jakiejkolwiek stronie trzeciej, to koniecznie musi si\u0119 upewni\u0107, \u017ce strona trzecia spe\u0142nia zasady USA-EU Safe Harbor Framework. Istnieje wyj\u015bcie alternatywne z tej sytuacji. Ot\u00f3\u017c je\u015bli ameryka\u0144ska firma zamierza przekazywa\u0107 dane osobowe stronie trzeciej, musi podpisa\u0107 pisemn\u0105 umow\u0119 ze stron\u0105 trzeci\u0105, w kt\u00f3rej jest sprecyzowane to, \u017ce strona trzecia zapewnia taki sam stopie\u0144 bezpiecze\u0144stwa informacji, jaki jest wymagany przez USA-EU Safe Harbor Framework.<\/p>\n Kolejnym elementem jest dost\u0119p. Dost\u0119p wymaga od wszystkich firm ameryka\u0144skich, jakie przetwarzaj\u0105 dane osobowe na terenie Unii Europejskiej, aby zapewni\u0107 dost\u0119p osobom, kt\u00f3rych dane osobowe s\u0105 gromadzone, do danych osobowych na ich temat oraz zapewnienia mo\u017cliwo\u015bci poprawienia, zmiany lub usuni\u0119cia danych osobowych.<\/p>\n Nast\u0119pna zasada to bezpiecze\u0144stwo. Przestrzeganie zasady bezpiecze\u0144stwa wymaga od ameryka\u0144skich firm do\u0142o\u017cenia wszelkich stara\u0144, aby zapewni\u0107, ze wszystkie dane osobowe na temat r\u00f3\u017cnych os\u00f3b s\u0105 gromadzone w spos\u00f3b, jaki zabezpiecza je przed nieuprawnionymi dzia\u0142aniami, takimi jak nadu\u017cywanie lub niszczenie.<\/p>\n Kolejna zasada to integralno\u015b\u0107 danych. Wymaga ona, aby ameryka\u0144skie firmy zebra\u0142y wszystkie dane osobowe, kt\u00f3re s\u0105 istotne do cel\u00f3w, w jakich s\u0105 one wykorzystywane.<\/p>\n Ostatni\u0105 z zasad jest egzekwowanie. Zasada egzekwowania wymaga od ameryka\u0144skich firm, aby posiada\u0142y mechanizmy do sk\u0142adania skarg indywidualnych oraz rejestrowania takich skarg, procedury weryfikowania, kt\u00f3re pozwalaj\u0105 jednoznacznie stwierdzi\u0107, \u017ce dana firma posiada wdro\u017cony Safe-Harbor Framework oraz zobowi\u0105zanie do naprawienia wszystkich problem\u00f3w zwi\u0105zanych z niezgodno\u015bciami z Safe-Harbor Framework. Zwykle za weryfikacj\u0119 tych firm odpowiada Departament Handlu USA.<\/p>\n Ale istnieje jeszcze jedna sprawa. Dodatkowa egzekucja egzekwowania Safe-Harbor Framework mo\u017ce pochodzi\u0107 od ameryka\u0144skiej Federalnej Komisji Handlu lub innych agencji federalnych, kt\u00f3re posiadaj\u0105 zdolno\u015b\u0107 do egzekwowania obietnic poczynionych przez firmy z USA. Na przyk\u0142ad Federalna Komisja Handlu mo\u017ce rozwa\u017cy\u0107, \u017ce firma nie przestrzega obietnicy stosowania Safe-Harbor Framework i stanowi to naruszenie ustaw Federalnej Komisji Handlu, w kt\u00f3rej ten organ zakazuje nieuczciwych oraz wprowadzaj\u0105cych w b\u0142\u0105d praktyk. W 2010 roku Federalna Komisja Handlu wszcz\u0119\u0142a postepowania wobec kilku firm ameryka\u0144skich, kt\u00f3re zobowi\u0105zywa\u0142y si\u0119 do przestrzegania Safe-Harbor Framework, a tak naprawd\u0119 go nie przestrzega\u0142y.<\/p>\n Certyfikat zgodno\u015bci z prawem ochrony prywatno\u015bci obowi\u0105zuj\u0105cym w UE<\/strong><\/p>\n Ka\u017cda ameryka\u0144ska firma, kt\u00f3ra zobowi\u0105za\u0142a si\u0119 do przestrzegania Safe-Harbor Framework, musi ka\u017cdego roku przedstawia\u0107 certyfikat zgodno\u015bci z Safe-Harbor do Departamentu Handlu USA. Ocena tego, czy dana firma spe\u0142nia wszystkie siedem zasad mo\u017ce by\u0107 wykonana przez sam\u0105 sp\u00f3\u0142k\u0119 lub przez firmy prywatne. Poni\u017cej znajduj\u0105 si\u0119 przyk\u0142ady takich firm.<\/p>\n Programy certyfikacyjne oferowane przez firmy prywatne<\/p>\n W tej sekcji om\u00f3wiono dwa programy, jakie mog\u0105 potwierdzi\u0107 zgodno\u015b\u0107 z US-EU Safe Harbor Framework. Pierwsz\u0105 z nich jest TRUSTe, natomiast druga to PrivacyTrust.<\/p>\n Program oceny polityki prywatno\u015bci TRUSTe pozwala firmom sprawdzi\u0107 ich zgodno\u015b\u0107 z US-EU Safe Harbor Framework i pom\u00f3c im w certyfikacji w\u0142asnej w Departamencie Handlu USA. Dodatkowo program oceny prywatno\u015bci obejmuje procedur\u0119 rozstrzygania spor\u00f3w na temat przechowywania danych osobowych zgodnie z Safe-Harbor Framework.<\/p>\n PrivacyTrust s\u0142u\u017cy podobnym celom i po\u015bwiadcza zgodno\u015b\u0107 firm ameryka\u0144skich z Safe-Harbor Framwork. Dodatkowo umo\u017cliwia dostarczanie pomocy przed i po certyfikacji w\u0142asnej.<\/p>\n Wnioski<\/strong><\/p>\n W tym artykule pokazano, \u017ce mo\u017cna wymaga\u0107 od ameryka\u0144skich firm przestrzegania przepis\u00f3w ochrony prywatno\u015bci ustalonych przez Trybuna\u0142 Sprawiedliwo\u015bci, nawet je\u015bli firmy te nie maj\u0105 siedziby w Unii Europejskiej. Na przyk\u0142ad, u\u017cycie serwera do przechowywania danych osobowych, jaki znajduje si\u0119 w Unii Europejskiej, jest wystarczaj\u0105cym powodem dostosowania si\u0119 do wytycznych Unii Europejskiej.<\/p>\n Dobr\u0105 wiadomo\u015bci\u0105 dla sp\u00f3\u0142ek ameryka\u0144skich jest to, \u017ce nie musz\u0105 poznawa\u0107 przepis\u00f3w reguluj\u0105cych prywatno\u015b\u0107 we wszystkich 28 krajach wsp\u00f3lnoty, aby zapewni\u0107 sobie zgodno\u015b\u0107 z polityk\u0105 prywatno\u015bci. Taka zgodno\u015b\u0107 mo\u017ce by\u0107 uzyskana poprzez u\u017cywanie tylko i wy\u0142\u0105cznie Safe-Harbor Framework.<\/p>\n Je\u015bli firmy ameryka\u0144skie przestrzegaj\u0105 wszystkich siedmiu zasad, zawartych w tym artykule, mog\u0105 wyst\u0105pi\u0107 do Departamentu Handlu USA. Lista firm posiadaj\u0105cych ten certyfikat znajduje si\u0119 pod adresem: https:\/\/safeharbor.export. gov\/list.aspx. Je\u015bli firma nie posiada zgodno\u015bci z Safe-Harbor Framework, to dwie wymienione wy\u017cej firmy mog\u0105 jej pom\u00f3c to uzyska\u0107.<\/p>\n