10 lipca 2023 r. Komisja Europejska przyjęła decyzję wykonawczą stwierdzającą odpowiedni stopień ochrony danych osobowych zapewniony w ramach ochrony danych UE-USA. Decyzja ta została wydana na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 i jest wynikiem wielomiesięcznych prac.

Decyzja ta ma na celu ułatwienie transferu danych osobowych pomiędzy UE a USA, co z pewnością ucieszy przedsiębiorców zaangażowanych w ten proces po obu stronach Atlantyku. Brak tej decyzji był jednoznaczny z koniecznością skorzystania z alternatywnych narzędzi przesyłania danych osobowych do państw trzecich, co wiązało się z niepewnością prawną dla podmiotów zaangażowanych w transfer danych.

Jest to już trzecia decyzja o adekwatności wydana dla Stanów Zjednoczonych. Poprzednie dwie decyzje, Tarcza Prywatności UE-USA z 2016 r. oraz Safe Harbour z 2015 r., zostały unieważnione przez Trybunał Sprawiedliwości Unii Europejskiej, który stwierdził, że nie zapewniają one adekwatnego poziomu ochrony danych osobowych z Unii Europejskiej.

Obecnie obowiązująca decyzja o adekwatności przewiduje system certyfikacji, do którego mogą przystąpić organizacje amerykańskie, zobowiązując się tym samym do przestrzegania szeregu zasad dotyczących prywatności. Zasady te określają m.in. konieczność usunięcia danych, gdy nie są już potrzebne do celów ich przetwarzania, czy wymóg zapewnienia ochrony danych osobowych w przypadku ich dalszego przetwarzania przez podmioty trzecie.

Decyzja ta wprowadza również szereg rozwiązań będących odpowiedzią na tezy TSUE, takich jak zabezpieczenia dotyczące dostępu do danych w celach ochrony bezpieczeństwa narodowego czy niezależny i bezstronny mechanizm dochodzenia roszczeń w zakresie gromadzenia i wykorzystywania danych z UE przez amerykańskie agencje wywiadowcze.

Przyjęcie decyzji o adekwatności dla USA pozwoli podmiotom zaangażowanym w przekazywanie danych osobowych pomiędzy Unią Europejską a tym państwem dokonywać transferów w oparciu o to narzędzie prawne. Możliwy będzie transfer danych do tego państwa bez konieczności uzyskania jakiegokolwiek dodatkowego zezwolenia czy oceny adekwatności jego porządku prawnego w zakresie poziomu ochrony danych osobowych.

Decyzja ta będzie poddawana okresowej ocenie w zakresie swojej aktualności, a pierwsza z nich zostanie dokonana już za rok. Jest to ważny krok w kierunku zapewnienia odpowiedniego poziomu ochrony danych osobowych podczas transferu między UE a USA.