Schrems II, το Data Privacy Framework και η αβεβαιότητα

Ενότητα 1: Γιατί ένα ευρωπαϊκό cloud; · Χρόνος ανάγνωσης: 12 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να αφηγηθείτε την ιστορία των συμφωνιών για τη διαβίβαση δεδομένων από την ΕΕ προς τις ΗΠΑ, να εξηγήσετε τι αποφάσισε η υπόθεση Schrems II, τι είναι το EU-US Data Privacy Framework, και γιατί το ισχύον πλαίσιο παραμένει αβέβαιο.

Βασικές έννοιες: διαβίβαση, απόφαση επάρκειας, Safe Harbor, Schrems I, Privacy Shield, Schrems II, τυποποιημένες συμβατικές ρήτρες (ΤΣΡ), transfer impact assessment (TIA), συμπληρωματικά μέτρα, EU-US Data Privacy Framework (DPF), Executive Order 14086, Data Protection Review Court, αυτοπιστοποίηση, Latombe, PCLOB

Διαβίβαση: ο κανόνας και η εξαίρεση

Στο μάθημα 1.2 είδατε ότι τα δεδομένα επιτρέπεται να εγκαταλείπουν τον Ευρωπαϊκό Οικονομικό Χώρο (ΕΟΧ) μόνο αν η χώρα προορισμού προσφέρει κατάλληλο επίπεδο προστασίας, ή αν υπάρχουν πρόσθετες εγγυήσεις (ΓΚΠΔ κεφάλαιο V). Αυτή η έξοδος ονομάζεται διαβίβαση. Διαβίβαση δεν είναι μόνο η αποστολή ενός αρχείου στην Αμερική: υπάρχει διαβίβαση και όταν ένας Αμερικανός υπάλληλος υποστήριξης βλέπει εξ αποστάσεως το ευρωπαϊκό σας περιβάλλον, ή όταν τα δεδομένα σας βρίσκονται σε μια αμερικανική υπηρεσία.

Η ευκολότερη διαδρομή είναι μια απόφαση επάρκειας (άρθρο 45): η Ευρωπαϊκή Επιτροπή αποφασίζει ότι μια χώρα διαθέτει επίπεδο προστασίας που είναι «ουσιωδώς ισοδύναμο» με εκείνο της ΕΕ. Τέτοιες αποφάσεις υπάρχουν μεταξύ άλλων για την Ελβετία, το Ηνωμένο Βασίλειο, την Ιαπωνία και τον Καναδά (για εμπορικούς οργανισμούς). Για τις ΗΠΑ η ιστορία είναι πιο περίπλοκη: εκεί η Επιτροπή έχει ανατραπεί δύο φορές από το Δικαστήριο της Ευρωπαϊκής Ένωσης.

Αυτό είναι επεξηγηματικό υλικό, όχι νομική συμβουλή. Η κατάσταση που περιγράφεται σε αυτό το μάθημα ισχύει από τον Νοέμβριο του 2026.

Γέφυρα 1: Safe Harbor και Schrems I

Το 2000, η ΕΕ και οι ΗΠΑ συνήψαν τη συμφωνία Safe Harbor. Αμερικανικές εταιρείες μπορούσαν να εγγραφούν και να δεσμευτούν ότι θα προστάτευαν σωστά τα ευρωπαϊκά δεδομένα. Η Επιτροπή εξέδωσε γι' αυτό απόφαση επάρκειας.

Το 2013 ο Edward Snowden αποκάλυψε πώς οι αμερικανικές υπηρεσίες πληροφοριών συνέλεγαν σε μεγάλη κλίμακα δεδομένα από διαδικτυακές εταιρείες. Ο Αυστριακός νομικός Max Schrems κατέθεσε καταγγελία κατά της Facebook στην Ιρλανδία: τα δεδομένα του πήγαιναν στις ΗΠΑ και δεν προστατεύονταν εκεί. Η υπόθεση έφτασε στο Δικαστήριο της Ευρωπαϊκής Ένωσης. Στις 6 Οκτωβρίου 2015 το Δικαστήριο κήρυξε άκυρη την απόφαση Safe Harbor (υπόθεση C-362/14, «Schrems I»). Ο πυρήνας: η Επιτροπή δεν είχε εξετάσει αν η αμερικανική κυβέρνηση τηρούσε όρια, και οι Ευρωπαίοι δεν είχαν πραγματική δικαστική προστασία.

Γέφυρα 2: Privacy Shield και Schrems II

Ήδη το 2016 ήρθε ένας διάδοχος: το EU-US Privacy Shield, με αυστηρότερους κανόνες και έναν διαμεσολαβητή (ombudsman) στο αμερικανικό Υπουργείο Εξωτερικών. Ο Schrems προσέφυγε ξανά δικαστικά.

Στις 16 Ιουλίου 2020 το Δικαστήριο εξέδωσε απόφαση στην υπόθεση C-311/18, «Schrems II». Το Δικαστήριο κήρυξε άκυρο το Privacy Shield. Οι λόγοι:

• Τα αμερικανικά προγράμματα επιτήρησης, ιδίως βάσει του FISA Section 702 και της Executive Order 12333 (μάθημα 1.3), δεν περιορίζονταν σε ό,τι ήταν «απολύτως αναγκαίο».
• Οι Ευρωπαίοι δεν είχαν αποτελεσματική πρόσβαση σε ανεξάρτητο δικαστή· ο διαμεσολαβητής δεν ήταν αρκετά ανεξάρτητος και δεν μπορούσε να λαμβάνει δεσμευτικές αποφάσεις.

Το Δικαστήριο είπε επίσης κάτι σημαντικό για την εναλλακτική λύση, τις τυποποιημένες συμβατικές ρήτρες (ΤΣΡ, στα αγγλικά standard contractual clauses). Πρόκειται για υποδείγματα συμβάσεων της Επιτροπής που υπογράφουν ο αποστολέας και ο παραλήπτης. Αυτές παρέμειναν έγκυρες, όμως: το μέρος που διαβιβάζει τα δεδομένα πρέπει να εξετάζει κατά περίπτωση αν το δίκαιο της χώρας παραλήπτη υπονομεύει αυτές τις συμφωνίες. Αν συμβαίνει αυτό, απαιτούνται συμπληρωματικά μέτρα, για παράδειγμα κρυπτογράφηση όπου ο παραλήπτης δεν διαθέτει το κλειδί. Αν αυτό δεν είναι εφικτό, η διαβίβαση πρέπει να διακόπτεται.

Αυτή η αξιολόγηση ονομάζεται transfer impact assessment (TIA). Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (EDPB) εξέδωσε σχετικές συστάσεις το 2021. Το 2021 εκδόθηκαν επίσης νέες τυποποιημένες συμβατικές ρήτρες (Εκτελεστική Απόφαση (ΕΕ) 2021/914).

Για έναν μικρό οργανισμό αυτό ήταν δύσκολο: πώς αξιολογεί ένα αρτοποιείο το αμερικανικό δίκαιο περί πληροφοριών; Στην πράξη, πολλοί στηρίχθηκαν στα συμβόλαια και την τεκμηρίωση των μεγάλων παρόχων.

Γέφυρα 3: το EU-US Data Privacy Framework

Οι ΗΠΑ και η ΕΕ διαπραγματεύτηκαν εκ νέου. Ο Πρόεδρος Biden υπέγραψε στις 7 Οκτωβρίου 2022 την Executive Order 14086. Αυτή ορίζει μεταξύ άλλων ότι οι δραστηριότητες πληροφοριών πρέπει να είναι «αναγκαίες και αναλογικές», και θεσπίζει μια διαδικασία καταγγελιών με τελευταίο στάδιο ένα Data Protection Review Court (DPRC) εντός του αμερικανικού Υπουργείου Δικαιοσύνης.

Στις 10 Ιουλίου 2023 η Επιτροπή εξέδωσε την απόφαση επάρκειας για το EU-US Data Privacy Framework (DPF). Πώς λειτουργεί:

• Ισχύει μόνο για αμερικανικούς οργανισμούς που έχουν προσχωρήσει (αυτοπιστοποίηση στο αμερικανικό Υπουργείο Εμπορίου). Στην ιστοσελίδα dataprivacyframework.gov υπάρχει η σχετική λίστα. Αν μια εταιρεία δεν περιλαμβάνεται σε αυτήν, το DPF δεν ισχύει για εκείνη την εταιρεία.
• Η συμμόρφωση ελέγχεται στις ΗΠΑ μεταξύ άλλων από την Federal Trade Commission (FTC).
• Υπάρχει περιοδική αξιολόγηση από την Επιτροπή.

Για τους χρήστες, το DPF σημαίνει: η διαβίβαση σε μια συμμετέχουσα αμερικανική εταιρεία επιτρέπεται και πάλι χωρίς TIA. Γι' αυτό πολλοί πάροχοι λένε: «Συμμορφωνόμαστε με τον ΓΚΠΔ.»

Γιατί το πλαίσιο παραμένει αβέβαιο

Το DPF υφίσταται, αλλά σε ασταθή βάση:

• Η Executive Order δεν είναι νόμος. Ένας επόμενος πρόεδρος μπορεί να την τροποποιήσει ή να την ανακαλέσει, χωρίς το Κογκρέσο.
• Το Γενικό Δικαστήριο και η αναίρεση. Ο Γάλλος βουλευτής Philippe Latombe ζήτησε από το Γενικό Δικαστήριο της ΕΕ να ακυρώσει την απόφαση για το DPF. Στις 3 Σεπτεμβρίου 2025 το Γενικό Δικαστήριο απέρριψε το αίτημα (υπόθεση T-553/23): το DPRC κρίθηκε αρκετά ανεξάρτητο. Ο Latombe άσκησε αναίρεση ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης (υπόθεση C-703/25 P). Τον Νοέμβριο του 2026 δεν έχει ακόμη εκδοθεί απόφαση. Το Δικαστήριο υπήρξε αυστηρότερο στις υποθέσεις Schrems I και II από ό,τι το Γενικό Δικαστήριο τώρα.
• Η εποπτεία στις ΗΠΑ υπό πίεση. Τον Ιανουάριο του 2025 απολύθηκαν τα μέλη του Privacy and Civil Liberties Oversight Board (PCLOB) που είχαν προταθεί από τους Δημοκρατικούς· έκτοτε αυτός ο εποπτικός φορέας δεν έχει απαρτία και μπορεί να επιτελέσει το έργο του, μεταξύ άλλων τον έλεγχο της διαδικασίας καταγγελιών, μόνο περιορισμένα. Στις 29 Ιουνίου 2026 το αμερικανικό Ανώτατο Δικαστήριο αποφάσισε στην υπόθεση Trump v. Slaughter ότι ο πρόεδρος μπορεί να απολύει μέλη της FTC χωρίς αιτιολογία. Νομικοί επισημαίνουν ότι αυτό καθιστά πιο οξύ το ερώτημα της ανεξάρτητης εποπτείας, στην οποία στηρίζεται το DPF.
• Νέες διαδικασίες. Η οργάνωση προστασίας προσωπικών δεδομένων noyb έχει ανακοινώσει ότι εξετάζει το ενδεχόμενο δικής της διαδικασίας. Μια τέτοια υπόθεση διαρκεί χρόνια.

Αν καταπέσει το DPF, θα συμβεί ό,τι συνέβη και το 2015 και το 2020: οι οργανισμοί θα πρέπει από τη μια μέρα στην άλλη να επιστρέψουν σε τυποποιημένες συμβατικές ρήτρες με TIA, ή να διακόψουν τη διαβίβαση. Δεν έχει συμφωνηθεί τότε καμία μεταβατική περίοδος.

Τι σημαίνει αυτό για εσάς;

Για την Αρτοποιία Κόκκος το ερώτημα δεν είναι «επιτρέπεται τώρα;», γιατί με το DPF επιτρέπεται αυτή τη στιγμή. Το ερώτημα είναι: «θέλω να εξαρτώμαι από ένα πλαίσιο που έχει ήδη καταρρεύσει δύο φορές και βρίσκεται για τρίτη φορά ενώπιον του Δικαστηρίου;» Μια υπηρεσία εγκατεστημένη εντός του ΕΟΧ που διατηρεί τα δεδομένα εντός του ΕΟΧ δεν εξαρτάται από το DPF. Αυτό δεν είναι νομική απαίτηση, αλλά αποτελεί μια πιο ήρεμη αφετηρία.

Στην πράξη: έτσι μοιάζει σε έναν πάροχο

Κοιτάξτε στη δήλωση απορρήτου ή στη σύμβαση επεξεργασίας δεδομένων του σημερινού σας παρόχου σε ποια νομική βάση διαβιβάζει δεδομένα στις ΗΠΑ: το DPF, τυποποιημένες συμβατικές ρήτρες, ή και τα δύο. Οι μεγάλοι πάροχοι αναφέρουν συχνά και τα δύο, ακριβώς για να καλύψουν ενδεχόμενη πτώση του DPF. Ένας ευρωπαϊκός πάροχος χωρίς διαβίβαση εκτός ΕΟΧ δεν χρειάζεται να το ρυθμίσει αυτό· η λίστα του με υποεκτελούντες την επεξεργασία δείχνει αν αυτό ισχύει (μάθημα 9.2). Στην WebOké, η σύμβαση επεξεργασίας δεδομένων ορίζει ότι η διαβίβαση εκτός ΕΕ επιτρέπεται μόνο με προηγούμενη γραπτή συναίνεση· σε άλλους παρόχους θα βρείτε συνήθως παρόμοια διάταξη σε ένα άρθρο για τη «διαβίβαση» ή τη «διεθνή μεταφορά».

Σύνοψη

• Η διαβίβαση εκτός ΕΟΧ επιτρέπεται μόνο με απόφαση επάρκειας ή με εγγυήσεις όπως οι τυποποιημένες συμβατικές ρήτρες.
• Το Δικαστήριο κήρυξε άκυρα το Safe Harbor (2015, Schrems I) και το Privacy Shield (2020, Schrems II), κυρίως λόγω της αμερικανικής επιτήρησης και της έλλειψης δικαστικής προστασίας.
• Από τις 10 Ιουλίου 2023 ισχύει το EU-US Data Privacy Framework, μόνο για αμερικανικές εταιρείες που έχουν προσχωρήσει.
• Το DPF στηρίζεται σε προεδρική απόφαση και αμφισβητείται: εκκρεμεί η αναίρεση Latombe (C-703/25 P), η αμερικανική εποπτεία βρίσκεται υπό πίεση.
• Μια υπηρεσία που διατηρεί τα δεδομένα εντός του ΕΟΧ δεν εξαρτάται από το DPF.

Κουίζ

Άσκηση

Άσκηση E1.4: Σε ποια νομική βάση βασίζεται η διαβίβαση των δεδομένων σας στις ΗΠΑ; Αναζητήστε στη δήλωση απορρήτου ή στη σύμβαση επεξεργασίας δεδομένων της σημερινής σας cloud υπηρεσίας αν τα δεδομένα υφίστανται επεξεργασία εκτός ΕΟΧ, και σε ποια νομική βάση (DPF, ΤΣΡ, απόφαση επάρκειας για άλλη χώρα). Ελέγξτε στο dataprivacyframework.gov αν η εταιρεία περιλαμβάνεται στη λίστα. Περιγράψτε τι θα συμβεί για εσάς αν ακυρωθεί το DPF.

Περαιτέρω ανάγνωση

Τα βήματα σε αυτά τα άρθρα ισχύουν για τις υπηρεσίες της WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.

• Οδηγός Nextcloud 15.13: Συχνές ερωτήσεις σχετικά με την ασφάλεια και το απόρρητο
• Δικαστήριο της Ευρωπαϊκής Ένωσης, απόφαση C-362/14 (Schrems I, 6 Οκτωβρίου 2015) και C-311/18 (Schrems II, 16 Ιουλίου 2020), στο curia.europa.eu
• Εκτελεστική Απόφαση (ΕΕ) 2023/1795 (απόφαση επάρκειας EU-US Data Privacy Framework, 10 Ιουλίου 2023), στο EUR-Lex
• Εκτελεστική Απόφαση (ΕΕ) 2021/914 (τυποποιημένες συμβατικές ρήτρες), στο EUR-Lex
• Γενικό Δικαστήριο της ΕΕ, υπόθεση T-553/23 (Latombe, 3 Σεπτεμβρίου 2025)· αναίρεση C-703/25 P
• Λίστα Data Privacy Framework: https://www.dataprivacyframework.gov