Schrems II, Data Privacy Framework a trvající nejistota

Modul 1: Proč evropský cloud? · Doba čtení: 12 minut

Cíl lekce: Po této lekci dokážete převyprávět historii dohod o předávání údajů z EU do USA, vysvětlit, co rozhodl Schrems II, co je EU-US Data Privacy Framework, a proč současný rámec zůstává nejistý.

Klíčové pojmy: předání údajů, rozhodnutí o odpovídající ochraně, Safe Harbor, Schrems I, Privacy Shield, Schrems II, standardní smluvní doložky (SCC), transfer impact assessment (TIA), doplňková opatření, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, vlastní certifikace, Latombe, PCLOB

Předání údajů: pravidlo a výjimka

V lekci 1.2 jste viděli, že údaje smí opustit Evropský hospodářský prostor (EHP) jen tehdy, pokud cílová země nabízí odpovídající úroveň ochrany, nebo pokud existují dodatečné záruky (GDPR, kapitola V). Toto opuštění se nazývá předání (doručení). Předání neznamená jen odeslání souboru do Ameriky: o předání se může jednat i tehdy, když se americký pracovník podpory na dálku dívá do Vašeho evropského prostředí, nebo když jsou Vaše údaje uloženy u americké služby.

Nejjednodušší cestou je rozhodnutí o odpovídající ochraně (čl. 45): Evropská komise rozhodne, že daná země má úroveň ochrany, která je „v zásadě rovnocenná“ úrovni ochrany v EU. Taková rozhodnutí existují mimo jiné pro Švýcarsko, Spojené království, Japonsko a Kanadu (pro komerční organizace). U USA je situace složitější: Komise tam byla Soudním dvorem Evropské unie dvakrát zastavena.

Toto je výklad, nikoli právní poradenství. Stav uvedený v této lekci je z listopadu 2026.

Most 1: Safe Harbor a Schrems I

V roce 2000 uzavřely EU a USA dohodu Safe Harbor. Americké společnosti se mohly přihlásit a slíbit, že budou evropské údaje řádně chránit. Komise pro to vydala rozhodnutí o odpovídající ochraně.

V roce 2013 Edward Snowden odhalil, jak americké zpravodajské služby ve velkém rozsahu shromažďovaly údaje od internetových společností. Rakouský právník Max Schrems podal stížnost na Facebook v Irsku: jeho údaje putovaly do USA a nebyly tam chráněny. Případ se dostal před Soudní dvůr Evropské unie. Dne 6. října 2015 Soudní dvůr prohlásil rozhodnutí o Safe Harbor za neplatné (věc C-362/14, „Schrems I“). Jádro věci: Komise nezkoumala, zda americká vláda dodržuje nějaké hranice, a Evropané neměli skutečnou právní ochranu.

Most 2: Privacy Shield a Schrems II

Už v roce 2016 vznikl nástupce: EU-US Privacy Shield, s přísnějšími pravidly a ombudsmanem při americkém ministerstvu zahraničí. Schrems se znovu obrátil na soud.

Dne 16. července 2020 rozhodl Soudní dvůr ve věci C-311/18, „Schrems II“. Soud prohlásil Privacy Shield za neplatný. Důvody:

• Americké sledovací programy, zejména podle FISA Section 702 a Executive Order 12333 (lekce 1.3), nebyly omezeny na to, co je „nezbytně nutné“.
• Evropané neměli účinný přístup k nezávislému soudu; ombudsman nebyl dostatečně nezávislý a nemohl přijímat závazná rozhodnutí.

Soud také řekl něco důležitého o alternativě, standardních smluvních doložkách (SCC, anglicky standard contractual clauses). Jde o vzorové smlouvy Komise, které podepisují odesílatel a příjemce. Ty zůstaly platné, ale: strana, která údaje předává, musí v každém jednotlivém případě ověřit, zda právo přijímající země tyto dohody nenarušuje. Pokud ano, jsou potřeba doplňková opatření, například šifrování, u kterého příjemce nemá klíč. Pokud se to nepodaří, předání musí přestat.

Toto posouzení se nazývá transfer impact assessment (TIA). Evropský sbor pro ochranu osobních údajů (EDPB) k tomu v roce 2021 vydal doporučení. V roce 2021 vznikly i nové standardní smluvní doložky (prováděcí rozhodnutí (EU) 2021/914).

Pro malou organizaci to bylo obtížné: jak má pekárna posoudit americké zpravodajské právo? V praxi se mnozí spoléhali na smlouvy a dokumentaci velkých poskytovatelů.

Most 3: EU-US Data Privacy Framework

USA a EU znovu vyjednávaly. Prezident Biden dne 7. října 2022 podepsal Executive Order 14086. Ten mimo jiné stanoví, že zpravodajská činnost musí být „nezbytná a přiměřená“, a zavádí postup pro stížnosti, jehož posledním krokem je Data Protection Review Court (DPRC) při americkém ministerstvu spravedlnosti.

Dne 10. července 2023 přijala Komise rozhodnutí o odpovídající ochraně pro EU-US Data Privacy Framework (DPF). Jak to funguje:

• Platí pouze pro americké organizace, které se k němu připojily (vlastní certifikace u amerického ministerstva obchodu). Na webu dataprivacyframework.gov je k dispozici seznam. Pokud na něm společnost není, DPF se na ni nevztahuje.
• Dodržování pravidel v USA kontroluje mimo jiné Federal Trade Commission (FTC).
• Komise provádí pravidelné přezkoumání.

Pro uživatele znamená DPF toto: předání údajů připojené americké společnosti je opět povoleno bez TIA. Proto mnozí poskytovatelé tvrdí: „Splňujeme GDPR.“

Proč rámec zůstává nejistý

DPF existuje, ale stojí na vratkých základech:

• Executive Order není zákon. Příští prezident jej může změnit nebo zrušit bez Kongresu.
• Tribunál a odvolání. Francouzský poslanec Philippe Latombe požádal Tribunál Evropské unie o zrušení rozhodnutí o DPF. Dne 3. září 2025 to Tribunál zamítl (věc T-553/23): podle Tribunálu byl DPRC dostatečně nezávislý. Latombe se odvolal k Soudnímu dvoru Evropské unie (věc C-703/25 P). V listopadu 2026 ještě rozhodnutí nepadlo. Soudní dvůr byl ve věcech Schrems I a II přísnější než Tribunál nyní.
• Dohled v USA pod tlakem. V lednu 2025 byli odvoláni členové Privacy and Civil Liberties Oversight Board (PCLOB), kteří byli navrženi demokraty; od té doby tento dohledový orgán nemá usnášeníschopnost a svou práci, včetně kontroly postupu pro stížnosti, může vykonávat jen omezeně. Dne 29. června 2026 rozhodl Nejvyšší soud USA ve věci Trump v. Slaughter, že prezident smí odvolávat členy FTC bez udání důvodu. Právníci upozorňují, že to ještě více přiostřuje otázku nezávislého dohledu, na němž DPF stojí.
• Nová řízení. Organizace na ochranu soukromí noyb oznámila, že zvažuje vlastní řízení. Takový spor trvá roky.

Pokud DPF padne, stane se to, co se stalo v letech 2015 a 2020: organizace se musí ze dne na den vrátit ke standardním smluvním doložkám s TIA, nebo předání údajů ukončit. Žádné přechodné období přitom není dohodnuto.

Co to znamená pro Vás?

Pro Bakkerij De Korrel není otázka „je to teď dovoleno?“, protože s DPF je to v tuto chvíli dovoleno. Otázka zní: „Chci být závislý na rámci, který už dvakrát padl a potřetí je nyní u Soudního dvora?“ Služba, která sídlí v EHP a údaje drží uvnitř EHP, na DPF nezávisí. Není to právní požadavek, ale je to klidnější východisko.

V praxi: jak to vypadá u poskytovatele

Podívejte se do prohlášení o ochraně soukromí nebo do zpracovatelské smlouvy svého současného poskytovatele, na jakém základě předává údaje do USA: DPF, standardní smluvní doložky, nebo obojí. Velcí poskytovatelé často uvádějí obě možnosti, právě aby zachytili případný pád DPF. Evropský poskytovatel bez předávání mimo EHP toto řešit nemusí; jeho seznam subzpracovatelů ukáže, zda tomu tak skutečně je (lekce 9.2). U WebOké stojí ve zpracovatelské smlouvě, že předání mimo EU je možné jen s předchozím písemným souhlasem; u jiných poskytovatelů obvykle najdete podobné ustanovení v článku o „předání“ nebo „mezinárodním přenosu“.

Shrnutí

• Předání mimo EHP je dovoleno jen na základě rozhodnutí o odpovídající ochraně nebo se zárukami, jako jsou standardní smluvní doložky.
• Soudní dvůr prohlásil Safe Harbor (2015, Schrems I) a Privacy Shield (2020, Schrems II) za neplatné, zejména kvůli americkému sledování a nedostatku právní ochrany.
• Od 10. července 2023 platí EU-US Data Privacy Framework, jen pro americké společnosti, které se k němu připojily.
• DPF stojí na prezidentském rozhodnutí a je zpochybňován: probíhá odvolání Latombe (C-703/25 P), americký dohled je pod tlakem.
• Služba, která drží údaje uvnitř EHP, na DPF nezávisí.

Kvíz

Úkol

Úkol E1.4: Na jakém právním základě putují Vaše údaje do USA? Vyhledejte v prohlášení o ochraně soukromí nebo ve zpracovatelské smlouvě svého současného poskytovatele cloudu, zda se údaje zpracovávají mimo EHP, a na jakém základě (DPF, SCC, rozhodnutí o odpovídající ochraně pro jinou zemi). Zkontrolujte na dataprivacyframework.gov, zda je společnost na seznamu. Popište, co by to pro Vás znamenalo, kdyby byl DPF zrušen.

Další čtení

Kroky v těchto článcích platí pro služby WebOké; u jiných poskytovatelů to funguje obdobně.

• Příručka k Nextcloud 15.13: Často kladené otázky o zabezpečení a soukromí
• Soudní dvůr Evropské unie, rozsudek C-362/14 (Schrems I, 6. října 2015) a C-311/18 (Schrems II, 16. července 2020), na curia.europa.eu
• Prováděcí rozhodnutí (EU) 2023/1795 (rozhodnutí o odpovídající ochraně EU-US Data Privacy Framework, 10. července 2023), na EUR-Lex
• Prováděcí rozhodnutí (EU) 2021/914 (standardní smluvní doložky), na EUR-Lex
• Tribunál Evropské unie, věc T-553/23 (Latombe, 3. září 2025); odvolání C-703/25 P
• Seznam Data Privacy Framework: https://www.dataprivacyframework.gov