Článek
Nejvyšší soud USA rozhodl letos v červnu spor, který s Evropou na první pohled nesouvisí. Soudci řešili, zda smí americký prezident odvolat členku federálního úřadu na ochranu spotřebitelů, kdykoli se mu zachce. Usoudili, že smí. Sice šlo v první řadě o otázku americké dělby moci, přesto se nás rozsudek týká.
Evropské firmy, úřady i školy ukládají e-maily, dokumenty a údaje o zákaznících či zaměstnancích do amerických cloudových služeb. Aby to bylo podle evropského práva v pořádku, potřebují k tomu právní podklad. Jeden z běžně používaných, takzvaný Data Privacy Framework, mimo jiné počítá s tím, že americký úřad dohlížející na firmy je na Bílém domě nezávislý – ale to nyní podle amerických soudů není. A evropské úřady a soudy tak v dohledné době nejspíše budou muset znovu řešit složitý spor, jenž vlastně nemá dobré řešení.
Co soud rozhodl a co ne
Federální obchodní komise (FTC) je americký úřad pro ochranu spotřebitelů a hospodářské soutěže. Spojené státy nemají obecný federální zákon o ochraně osobních údajů, a tak se z FTC postupně stal hlavní dozorce nad tím, jak firmy s daty zacházejí. Komise má pět členů jmenovaných na sedm let a nejvýše tři z nich smějí být z jedné strany. Zákon o FTC dosud stanovil, že je prezident smí odvolat jen pro „neefektivnost, zanedbání povinností nebo úřední pochybení“, a soudy v minulosti tuto nezávislost potvrdily.
V březnu 2025 ovšem odvolal Donald Trump dva demokratické členy komise, Rebeccu Slaughterovou a Alvara Bedoyu. Slaughterová se bránila u soudu a v první instanci vyhrála. Nejvyšší soud ale letos v červnu dal za pravdu prezidentovi, protože pravomoci instituce se v posledních desetiletích výrazně rozrostly: „FTC nepochybně vykonává výkonnou moc, a proto ji musí kontrolovat hlava exekutivy,“ napsal za většinu předseda soudu John Roberts.
Pravomoci v ochraně soukromí FTC neztratila, její dřívější rozhodnutí platí dál a o Evropě v rozsudku nepadlo ani slovo. Zároveň ovšem nezávislost této instituce hrála klíčovou roli v tom, proč se Evropská unie „nebála“ souhlasit s posíláním údajů evropských uživatelů přes oceán.
Uvnitř EU lze osobní údaje předávat mezi státy bez omezení, protože práva uživatelů jsou ve všech podobná. „Mimo EU už to tak není, a kdo chce data poslat do takzvané třetí země, musí zajistit, že tam budou chráněna v zásadě rovnocenně,“ říká František Nonnemann, odborník na ochranu dat a compliance a místopředseda Spolku pro ochranu osobních údajů.
Nejjednodušší v takových případech je, když Evropská komise celou zemi prohlásí za bezpečnou. Takové rozhodnutí o odpovídající ochraně (podle článku 45 GDPR) bylo uděleno například Švýcarsku, Japonsku, Jižní Koreji či Brazílii.
V případě USA to tak jednoduché není. Obecný federální zákon o ochraně soukromí nemají, a tak pro ně Komise vymyslela zvláštní režim. Americké firmy se samy certifikují u ministerstva obchodu a zaváží se dodržovat zásady, které se těm evropským blíží. Do roku 2024 se jich podle první revize přihlásilo přes 2 800, téměř polovina (47 %) z oboru informačních technologií. Data k nim pak mohou z Evropy proudit bez dalších smluv.
Kdo dodržování kontroluje? Hlavně FTC – mimo jiné by tedy měla hlídat, jak firmy zacházejí s daty uživatelů, tedy třeba komu je prodávají. A tady je právě jádro problému: evropská legislativa v podstatě vyžaduje, aby dozor nad daty byl nezávislý na vládě dané země. Aby tedy evropský uživatel měl jistotu, že o ochraně jeho dat rozhodne někdo jiný než prezident USA či jiného státu, ve kterém datacentrum s jeho údaji stojí. (Dodejme, že přístup amerických tajných služeb řídí jiné instituce než FTC, to je ještě jiná otázka.)
Evropská komise proto nezávislost FTC výslovně zmiňuje ve svém rozhodnutí, jak má výměna dat vypadat. Podle Romana Norka z advokátní kanceláře Bird & Bird byla nezávislost FTC dokonce výslovně zmíněna jako jeden z pilířů celého rámce. „Tato podmínka tedy nebyla zanedbatelná,“ říká. „Rozsudek Trump vs. Slaughter tuto podmínku fakticky eliminuje. Prezident nyní může komisaře FTC odvolat z jakéhokoli důvodu a kdykoli.“
Existují ovšem i jiné názory. „Evropská pravidla vyžadují srovnatelnost ochrany dat ve smyslu srovnatelného výsledku, nikoliv konkrétních postupů, institucí a procesních nástrojů,“ míní Nonnemann. To, že šéfa dozorového úřadu může odvolat prezident, samo o sobě na úrovni ochrany nic nemění. Cílem GDPR podle něj nikdy nebylo nutit jiné státy, aby kvůli Evropě měnily ústavní pořádek nebo fungování úřadů a soudů. (Podrobněji svůj pohled rozvedl v článku pro EFDPO).
Pro představu: je to, jako kdyby rozhodčího zápasu mohl kdykoli vyměnit majitel jednoho z týmů. Neznamená to, že ho vymění, ani že se tak kvůli nějakému verdiktu už stalo. „Rozsudek dnešní dohodu nezrušil, pouze odstranil jeden z faktických předpokladů, na nichž stojí, a je na Komisi, případně evropských soudech, aby z toho vyvodily důsledky,“ shrnuje Norek.
Případ Max Schrems
V praxi se tedy nic nemění. Dosavadní ujednání stále platí. Evropské instituce se sice pomalu rozhýbávají a některé situaci „zkoumají“, ale ke změně dosavadního stavu se nemají.
Jinak to ovšem vidí člověk, který v posledních letech změnil oblast ochrany dat v Evropě více než kdo jiný. Rakušan Max Schrems se k ochraně dat dostal v roce 2011 jako student. Během semestru na kalifornské Santa Clara University psal seminární práci na téma, jak americké technologické firmy znají evropské právo. Pak využil práva, které mu evropská pravidla dávají, a požádal Facebook o všechna data, která o něm firma má. Dostal CD s více než 1 200 stranami, mimo jiné se zprávami, které už dříve smazal.
Protože má Facebook evropské sídlo v Irsku, stěžoval si Schrems u irského dozorového úřadu. V roce 2013, po odhaleních Edwarda Snowdena, podal stížnost, že Facebook posílá data Evropanů do USA, kde k nim mají přístup tajné služby. Úřad ji odmítl jako „zjevně neopodstatněnou a šikanózní“. Schrems se obrátil na irský soud, ten věc postoupil Soudnímu dvoru EU a ten v roce 2015 zrušil tehdejší předpis o ochraně dat Safe Harbor („bezpečný přístav“). Stejný spor, jen přeformulovaný, vedl v roce 2020 ke zrušení dohody Privacy Shield, která měla Safe Harbor nahradit.
Mezitím Schrems v roce 2017 založil ve Vídni organizaci noyb, kterou financují příspěvky členů a dárců. Stížnosti podává ve velkém. V roce 2020 jich najednou podala 101 kvůli přenosům dat přes Google Analytics a Facebook Connect. Rakouský a francouzský úřad pak v roce 2022 dospěly k závěru, že používání Google Analytics porušuje GDPR. Následovalo 422 stížností na klamavé cookie lišty.
Hned v den rozsudku amerického Nejvyššího soudu ohledně odvolatelnosti komisařů FTC Schrems prohlásil, že „i podle logiky samotné Evropské komise je základ jakékoli dohody o přenosu dat mezi EU a USA mrtvý“, a ohlásil žalobu „v příštích týdnech“. Zatím k tomu ovšem nedošlo.
Americké služby nezmizí, i kdyby dohoda padla
Další vývoj je poněkud nepředvídatelný. Advokát Roman Norek vidí tři možnosti. V první Komise může rámec ponechat beze změny, musela by ale přesvědčivě doložit, že ochrana dat v USA je i po rozsudku v zásadě rovnocenná. To Norek považuje za méně pravděpodobné.
Komise také může s Američany vyjednat nové záruky – k tomu je ovšem potřeba ochota na druhé straně. Třetí možnost pak je, že rámec padne: Komise ho může podle článku 45 GDPR pozastavit či zrušit sama, nebo ho zruší Soudní dvůr.
Pádu se obává i Nonnemann, ačkoli podle něj rozsudek na úrovni ochrany osobních údajů v USA fakticky nic nemění. Téma je však podle něj „poměrně zpolitizováno a rámec je pod velkým tlakem ze všech stran“ a myslí si, že rozsudek může být jedním z důvodů, proč Soudní dvůr možná současnou dohodu o ochraně dat zruší.
Co by se v takovém případě stalo? Americké služby by z Evropy nezmizely, v tom se oba právníci shodují a existují k tomu také velmi dobré historické precedenty.
První dohodu o přenosu dat do USA, Safe Harbor, přijala Komise v roce 2000. Vydržela 15 let – v roce 2015 ji zrušil Soudní dvůr EU na základě stížnosti Maxe Schremse (odtud název rozsudku Schrems I). Nástupce jménem Privacy Shield vydržel čtyři roky, než ho v roce 2020 soud v rozsudku Schrems II zrušil také. Třetí verze, tedy na začátku zmíněná Data Privacy Framework, platí od roku 2023. Ve všech třech režimech sliby amerických firem vymáhala FTC.
Důvody se pokaždé lišily. Obě předchozí dohody padly kvůli americkému sledování a kvůli tomu, že se Evropané neměli kde účinně bránit. Tentokrát praská jiný článek řetězu: obchodní dozor. Dřívější problémy šlo aspoň zčásti spravit prezidentským nařízením (v USA tak vznikl soud DPRC). Nezávislost FTC ovšem padla na ústavním výkladu, který žádné nařízení nezmění. Má tentokrát Komise čím díru zalepit?
Co se stalo, když soud v roce 2020 zrušil Privacy Shield? Okamžitě se ozvaly z některých stran požadavky na vypnutí amerických služeb a nástrojů v EU, včetně těch nejrozšířenějších. „Dozorové úřady si ale naštěstí zachovaly velkou dávku zdrženlivosti. Teoreticky mohly hned další den začít rozdávat pokuty, ale nedělaly to,“ říká Nonnemann.
Dodejme ovšem, že výjimky se našly – v roce 2023 uložil irský úřad pro ochranu údajů firmě Meta pokutu 1,2 miliardy eur (asi 29 miliard korun) za přenosy dat uživatelů Facebooku do USA.
Takové případy jsou ale vzácné a nenásledovaly hned po zrušení Privacy Shieldu, úřady ve většině případů stanovily podmínky, za kterých lze v předávání dat pokračovat, a američtí poskytovatelé doplnili standardní smluvní doložky do svých obchodních podmínek. „Jinými slovy, nestalo se fakticky nic,“ shrnuje události roku 2020 Nonnemann.
Podle něj i dalších komentátorů by se situace nejspíše opakovala. V případě zrušení dnešních dohod by se přenosy dat přesunuly na jiný právní podklad, nejčastěji na standardní smluvní doložky. Znamenalo by to víc papírování: každá firma by musela posoudit, zda americké právo skutečnou ochranu umožňuje. Nejvíc by to podle Norka zasáhlo cloudovou infrastrukturu, nástroje pro personalistiku a správu zákazníků a reklamní a analytické technologie, které jsou „již nyní pod enormním tlakem“ evropských dozorových úřadů.
Proč data tečou dál
Zjevná snaha udržet status quo je dána především realitou trhu. Podle analytické firmy Synergy Research mají Amazon, Microsoft a Google zhruba 70 % evropského trhu cloudových služeb. Evropští poskytovatelé drželi v roce 2024 podíl 15 %, v roce 2017 to bylo ještě 29 %. Jejich tržby se za tu dobu zhruba ztrojnásobily, jenže celý trh vyrostl šestkrát. V roce 2024 měl hodnotu 61 miliard eur, tedy asi 1,5 bilionu korun.
Zájmy obou stran jsou navíc provázané. U Soudního dvora EU se bok po boku před jednou žalobou právě kvůli dohodě s USA brání Evropská komise a společnost Microsoft. Firma to sama vysvětluje tím, že spor rozhodne, zda ona a její zákazníci mohou DPF dál používat. Úřad, který rámec vytvořil, i firma, která podle něj pracuje, tak potřebují totéž: aby platil. Americké firmy by bez evropských zákazníků přišly o velkou část tržeb. Evropa by bez amerických firem přišla o velkou část své digitální infrastruktury a v potřebném rozsahu by neměla kam jít.
Závislost se netýká jen soukromí. V únoru 2025 uvalily Spojené státy sankce na hlavního žalobce Mezinárodního trestního soudu Karima Khana, a ten pak přišel o přístup ke svému e-mailu u Microsoftu. Microsoft trvá na tom, že službu soudu jako instituci „v žádném okamžiku nepřerušil ani nepozastavil“ a v dubnu 2025 veřejně slíbil, že by v případě potřeby žaloval vlastní vládu. Soud se stejně rozhodl přejít na open source software.
Do budoucna se celé dilema spíš vyostří – a to i díky nástupu AI. Služba, která má shrnout nebo rozebrat vaše dokumenty, je musí umět přečíst. Čím víc nám cloud díky umělé inteligenci „rozumí“, tím hůř před ním lze obsah technicky skrýt. A tím víc ochrana stojí na zákonech a institucích. Tedy přesně na tom, co poslední rozsudek oslabil.
