تحدث مفوض حماية البيانات البافارية ضد Mailchimp وحكم Schremps II بشأن نقل البيانات إلى الولايات المتحدة الأمريكية.

هذه ليست عقوبة، ولا عقوبة ، ولكنها سابقة قانونية يمكن أن تسبب ، في المستقبل ، العديد من الروافع لمزيد من الاقتراحات في السياق الأوروبي. ولكن ما هو بالضبط؟ ولماذا قد يكون هذا الحكم بهذه الأهمية؟

نحن نتحدث عن Mailchimp، إحدى أشهر أدوات البريد الإلكتروني المجمعة في السوق ، على سبيل المثال لإرسال البيانات الشخصية خارج الأراضي الأوروبيةعلى وجه التحديد في الولايات المتحدة الأمريكية. إجراء غير شرعي حتى لو كان مبنيًا على بنود تعاقدية معينة - خاصةً إذا لم يتم اتباعها مزيد من التدابير. وهذه "الإجراءات الإضافية" بالتحديد ، التي لم يتم تحديدها حقًا ، هي التي تثير النقاش.

حكم شريمس الثاني: ماذا حدث؟

La BayLDA، أو DPA البافاري ، ضامن الخصوصية البافاري ، حكم مؤخرًا ضد Mailchimp بسبب عدم الامتثال للإشارات الواردة في حكم Schrems II بشأن نقل البيانات إلى الولايات المتحدة الأمريكية.

القرار يشكل سابقة مهمة للغاية في مجال القانون الرقمي. على الرغم من عدم وجود عقوبات مالية أو عقوبات بالسجن ، فإن هذه هي أول قضية بعد شريمس XNUMX تخضع لقرار رسمي من قبل السلطات. لكن دعنا نذهب بالترتيب.

ما هو Schrems II الحكم الذي يبطل درع الخصوصية؟

أرسلت CJEU (محكمة العدل في الاتحاد الأوروبي) طلبًا للتوضيح بشأن حماية البيانات من خلال المحامي الناشط Schrems ، في عام 2015. وكان الهدف هو مطالبة مشرف حماية البيانات الأيرلندي بإجبار Facebook على نقل البيانات من الاتحاد الأوروبي إلى الولايات المتحدة ، بناءً على البنود التعاقدية القياسية.

نحن نتحدث عن الفترة التي سبقت إصدار اللائحة العامة لحماية البيانات وجميع البنود المتعلقة بمعالجة البيانات. جاء الحكم في 16 يوليو 2020 ، وأبطل Schrems II درع الخصوصية كآلية لنقل البيانات من الاتحاد الأوروبي إلى الولايات المتحدة ، مما يوفر إرشادات مهمة للشركات الأمريكية فيما يتعلق بالبيانات الأمريكية. 'أوروبا.

باختصار ، من أجل منح التحويل إلى الولايات المتحدة ، كان ذلك ضروريًا ضمان مستوى مناسب من حماية البيانات. كيف حالك؟ تمتلك الشركات الكبيرة ، مثل Google و Microsoft ، مراكز بيانات في مواقع استراتيجية في جميع أنحاء العالم. ومع ذلك ، فإن قوانين البيانات الشخصية في الولايات المتحدة تختلف عن تلك الموجودة في الاتحاد الأوروبي. بمعنى آخر: يمكن لوكالة الأمن الوطنية NSA الوصول إليه في أي وقت.

هذا هو سبب الاستثناءات من اللائحة العامة لحماية البيانات (GDPR): إنها موجودة البنود المعتمدة من قبل المفوضية الأوروبية والسلطة الإشرافية والتي تمت الموافقة عليها بناءً على طلب الشركة، ولها قيمة محددة فقط للنشاط الموصوف في المرسوم. من بين الأجهزة المختلفة لحماية البيانات هناك أيضًا تلك الخاصة بـ SCC ، أو البنود التعاقدية القياسية. من الناحية العملية ، يجب أن توافق كل من الشركة الموجودة في أوروبا والشركة الأجنبية على استخدام عقد محدد يجب أن يوافق عليه الاتحاد الأوروبي أولاً. سيحتاج بعد ذلك إلى توقيع SCC حتى يسري تبادل البيانات.

ومع ذلك ، فإن حكم شريمس الثاني له بطريقة ما تقليص حجم الإجراءات القياسية المستخدمة عادة ، وفرض "مزيد من التدابير". أدى الغموض الذي يكتنف هذا الأمر إلى قيام العديد من الشركات بتجنب العقدة ، وتجاوزها ببساطة لتجاهلها. ومع ذلك ، يتعين على السلطات أن تفعل شيئًا ، وربما ، مع حكم بيلدا ، يمكن الوصول إلى خطوة جديدة نحو الاتفاق.

ماذا حدث في بافاريا؟ ماذا عن "الإجراءات الإضافية"؟

قرر مواطن بافاري ، تلقى قائمة بريدية نيابة عن مجلة محلية عبر Mailchimp ، تقديم شكوى إلى السلطة المختصة. لقد وضعت هذه السلطة يدها بالقول إن إرسال بيانات الاتحاد الأوروبي إلى الولايات المتحدة ليس دائمًا غير شرعي ، ومع ذلك فهو كذلك إذا لم يتم احترام إملاءات اللائحة العامة لحماية البيانات كما فسرتها محكمة العدل الأوروبية. باختصار: قامت Mailchimp بهذا الشيء ، لكن لم يُقال إن نقل البيانات إلى الولايات المتحدة كان احتياليًا. تحتاج أولاً إلى إثبات ذلك ، من خلال تعميق طرق النقل المستخدمة.

جلبت شركة Mailchimp الأمريكية شركتها الخاصة تفسير "تدابير إضافية" الذي تحدثنا عنه سابقًا. منها ، مع ذلك ، من Schrems II ، النسخة النهائية لم تنشر بعد.

على الرغم من أن السلطة الإشرافية قد أيدت بطريقة ما اقتراح Mailchimp ، إلا أنه كان ينبغي على الشركة على الأقل معالجة مشكلة إرسال البيانات إلى الأراضي الأمريكية ، وتنفيذ تقييم DPIA واحد على الأقل لتقييم درجة مخاطر العملية. وغني عن القول أن هذا التقييم لم يتم إجراؤه أبدًا.

وبسبب الإخفاق في نشر هذه "الإجراءات الإضافية" بالكامل ، قررت السلطة عدم معاقبة Mailchimp. ولا هو مراقب البيانات.

لماذا يعتبر هذا قرارًا مهمًا؟

يعد قرار Mailchimp أمرًا أساسيًا لأنه ، إذا بدا في القراءة الأولى أنه رائد للعديد من الإجراءات الاحتيالية ، فهو بدلاً من ذلك خطوة أولى نحو تطبيق جملة Schrems II ، التي ظلت تتراكم حتى الآن.

ما نوع الغرامة التي تم تطبيقها؟

كما قلنا ، لم تتلق Mailchimp أي نوع من الغرامات. ومع ذلك ، أكدت الهيئة أنه على الرغم من نقل البيانات باستخدام طرق غير مقبولة ، فإن الفرد المرخص له - أي المواطن الحر - ليس لديه سلطة طلب العقوبة.

باختصار ، فرد خاص لا يمكنه نقل المثيل في حالة مثل Mailchimp. بعد كل شيء ، هذه القضية لا تتعلق بحقوق وحريات الطرف المعني ، ولكن هدفها هو تأكيد المصلحة العامة في إنفاذ القانون.

ما هي السيناريوهات المستقبلية المحتملة لهذا القرار؟

من الصعب تحديد النتائج الفعلية لهذه الجملة ، والتي يمكن اعتبارها ، في الوقت الحالي ، سابقة صحيحة. في الواقع ، يمكن أن تميل السلطات الأخرى نحو قرارات غير شرعية غير مصحوبة بعقوبات مالية. أو يمكن أن يحدث تطوير هذه "التدابير الإضافية" المأمول كثيرًا.

الشيء الوحيد المؤكد هو أنه بغض النظر عن الغرامة ، ترك Mailchimp انطباعًا سيئًا أمام عملائه ، حيث فقد صورته.