Prvi put od početka internetske revolucije tehnološke tvrtke registrirane u zemljama EU, uključujući Hrvatsku, dobile su prednost u odnosu na američke konkurente.

Europski sud, najviše pravosudno tijelo EU, zbog tužbe austrijskog borca za privatnost Maxa Schremsa protiv Facebooka, srušio je dogovor između Europske komisije i američke Vlade o slobodnoj razmjeni podataka između EU i SAD-a zvan Privacy Shield.

Odluka suda sve tehnološke tvrtke registrirane u SAD-u izlaže tužbama građana EU pred nacionalnim regulatorima za GDPR. Drugim riječima, svaki korisnik iz Hrvatske usluga kao što su, primjerice, Facebook, Instagram, Alexa, Siri, Google Assistent, Cortana, Gmail, Office365, WhatsAppa, Zooma i mnogih drugih sada može tužiti hrvatskom regulatoru AZOP-u američke kompanije koje stoje iz tih usluga zbog potencijalnog kršenja GDPR-a, a bez obzira imaju li te kompanije najbolje namjere i brinu li jako o privatnosti svojih korisnika, jer sud im je ostavio malo prostora da se učinkovito obrane.

Jonathan Kewley, zamjenik voditelja pravnog odjela za tehnologiju u Clifford Chanceu kaže da je ovo vrlo odvažan potez Unije, jer potencijalno započinje prvi trgovinski rast oko podataka na svijetu. “Europa je, čini se, ovim rekla da se njenim podatkovnim standardima može vjerovati, a onima u SAD-u ne može”, kaže Kewley.

Dodaje da takozvane Standardne ugovorne klauzule, koje su mehanizam GDPR-a, koji omogućuje pravno sigurno slanje osobnih podataka o građanima EU izvan Unije, više ne pruža punu zaštitu američkim kompanijama. Traži se da je ta zaštita učinkovita u praksi.

To će pak američkim tehnološkim kompanijama biti vrlo teško dokazati, jer Europski sud je u presudi naveo da američki zakoni o špijuniranju nisu ograničeni samo na nužno. Vlada SAD-a si, naime, uzima apsolutno pravo na podatke u američkim kompanijama pa premda oni bili i od građana EU.

Max Schrems upozorava da često američke kompanije čak pravno ne smiju dati do znanja svojim korisnicima da je, primjerice, NSA od njih tražila podatke o građanima EU, uključujući Hrvatske.

“SAD će morati promijeniti svoje zakone o špijuniranju”, upozorava Schrems. Europski sud ovim je vratio lopticu Europskoj komisiji, koja je dosad dvaput popustila američkim pritiscima te dogovorila mehanizme poput Safe Harboura i Privacy Shielda koji su išli na ruku američkoj strani.

Hrvatska Agencija za zaštitu osobnih podataka (AZOP) zasad nije komentirala ovaj slučaj, kao ni hrvatski ogranak najveće američke internetske kompanije Google Hrvatska i lokalni ogranak najveće američke softverske kompanije Microsoft Hrvatska.

No, zato u domaćoj poslovnoj zajednici malo je onih koji su ostali ravnodušni. Stanko Cerin, predsjednik Udruge za zaštitu osobnih podataka, koja je prva upozorila na ovu odluku Europskog suda, najoštriji je u svojem komentaru. On navodi da je sud poručio da su transferi osobnih podataka iz EU u SAD ilegalni.

“Izražavajući se o zakonodavnom okviru SAD-a koji njihovim tvrtkama onemogućava zaštitu naših podataka od kontrole nadzornih službi, Europski sud je praktički van snage stavio sve postojeće zakonske osnove za međusobnu razmjenu osobnih podataka, a ne samo Privacy Shield te ako SAD prava građana EU ne počne štititi barem na isti način kao svojih, poslovanje firmi poput Google, Facebook, Twitter, Instagram i YouTube u EU postat će protuzakonito”, upozorava Cerin.

Goran Đoreski, direktor Altus IT-a, najvećeg nezavisnog podatkovnog centra u Hrvatskoj, mjesta na kakvima internetske kompanije skladište podatke o svojim korisnicima,kaže da je nužno da se ova situacija što prije razriješi.

Navodi da globalni IT igrači posljednjih godina užurbano grade podatkovne centre u EU upravo kako bi ovdje čuvali podatke o građanima EU i svjesni su da je trenutačno nemoguće zadovoljiti regulative EU-a i SAD-a istovremeno.

“Tvrtke na koje se ova odluka odnosi sad se nalaze u situaciji da imaju dva suprotstavljena zakonska okvira koja bi trebala poštovati, a ne mislim da će ova odluka imati utjecaja na domaće i europske podatkovne centre i zato što tema nije lokacija čuvanja samih podataka nego njihov tretman”, pojašnjava Đoreski.

Privola građana

Marijan Bračić iz tvrtke Poslovna inteligencija, koji je suosnivač i voditelj internog startupa Data Privacy Managera, najboljeg cloud rješenja za upravljanje životnim ciklusom podataka na svijetu, kaže da je odluka Europskog suda logična s obzirom na to da već dulje vrijeme koristimo cloud usluge velikom većinom od američkih tehnoloških kompanija i da specifični američki zakoni daju Vladi SAD-a pravo da od tamošnjih kompanija traže privatne i poslovne podatke njihovih korisnika bez da čak o tome obavijeste svoje korisnike.

Navodi da je zbog te zabrinutosti EK potpisala sa SAD-om i prvi sporazum koji je pokušao urediti to područje, a koji se zvao Safe Harbour i koji je pao 2015. godine. Sada u 2020. pao je i njegov nasljednik Privacy Shield. Bračić navodi da ovo ipak nije kraj korištenja usluga Applea, Googlea, Microsofta i ostalih američkih mega-kompanija od strane europskih organizacija koje nastupaju u ulozi voditelja obrade.

“Prema europskom GDPR-u, postoje mehanizmi, poput Standardne ugovorne klauzule i Obvezujuća korporativna pravila, koji omogućavaju prijenos osobnih podataka izvan EU čak i u slučajevima kada država u koju se podaci izvoze nije na popisu tzv. primjerenih zemalja, a što je Privacy Shield do jučer omogućavao u slučaju SAD”, kaže Bračić.

Mišljenja je i da građani neće imati toliko prostora za tužbe AZOP-u, jer GDPR je predvidio i ovakav razvoj događaja.

“Građani mogu koristiti usluge američkih tvrtki, a tom prilikom oni daju svoju izričitu privolu na takav prijenos podataka – to su one kvačice koje nas traže da označimo ako želimo koristiti uslugu – što je uređeno člankom 49 GDPR-a”, kaže Bračić. Navodi da su biznisi živi organizam i da će uvijek pronaći načina kako da opstanu.

Razočarani u SAD-u

“Morat će se pronaći način za razmjenom osobnih podataka između EU pojedinaca i voditelja obrade s jedne strane te američkih pružatelja cloud usluga s druge strane, dakako uz poštivanje prava na privatnost i zaštitu osobnih podataka u najvećoj mogućoj mjeri, a hoće li se iz toga nastati treća inkarnacija Safe Harboura i Privacy Shielda ili nešto sasvim četvrto ostaje tek da vidimo”, zaključuje Bračić.

Američki ministar za gospodarstvom Wilbur Ross komentirao je odluku Europskog suda kao duboko razočaravajuću.

Navodi da će imati negativne posljedice na transatlantsku trgovinu tešku 6,2 bilijuna eura. Prema procjeni Europskog instituta u okviru Sveučilišta u Londonu ova će se odluka suda odraziti izravno na 5300 kompanija te na 65 posto malih i srednjih poduzetnika te takoreći sve startupe.