Wyrok niemieckiego sądu został wydany jako nakaz tymczasowy wobec czego może on na późniejszym etapie ulec zmiany. Jednak już teraz warto opisać jakie konsekwencje mogą wyniknąć w przypadku podtrzymania stanowiska przez sąd.

Co ciekawe w sprawie, którą zajmuje się niemiecki sąd podmiot zarządzającymi plikami cookies miał siedzibę w Unii Europejskiej, ale zawarł umowę z europejskim przedstawicielem amerykańskiej firmy na przechowywanie danych. Co więcej dane zgodnie z zebranymi dowodami były przechowywane na serwerach zlokalizowanych w Unii. Pomimo tych okoliczności zdaniem sądu doszło do niezgodnego z prawem przekazania danych w związku z wykorzystaniem do zbierania adresów IP i danych użytkowników przez firmą mającą siedzibę w USA.

Sąd oparł swój wyrok na dwóch okolicznościach, adres IP jest daną osobową zgodnie z wyrokiem Trybunałem Sprawiedliwości Unii Europejskiej oraz, że amerykańska firma może zostać zobowiązana na podstawie amerykańskiego prawodawstwa do udostępnienia amerykańskim agencjom danych będących w jej posiadaniu.

Co ważne, przed wydaniem wyroku sąd nie badał czy faktycznie doszło do przekazania danych. Interpretacja zaprezentowana przez sąd odbiega od niedawno zaprezentowanego przez EROD stanowiska, która stanowi, że przekazanie ma miejsce o ile dojdzie do faktycznego przekazania danych. Interpretacja sądu jest szersza i zakłada, że samo zawarcie umowy z firmą z siedzibą w stanach Zjednoczonych stanowi transfer danych do państwa trzeciego.

Pomiędzy stronami zostały zawarte standardowe klauzule umowne, ale nie zostały one również wzięte pod uwagę przez sąd. W związku z brakiem analizy zawartych standardowych klauzul umownych sąd również nie ocenił czy istnieje faktyczne ryzyko podważenia zabezpieczeń określonych w standardowych klauzulach umownych przez prawo amerykańskie. Jak wynika z stanowiska sądu transfer danych do USA powinien opierać się jedynie na art. 48 lub 49 RODO.

Wydany wyrok zdaje się wpisywać w szerszy trend rozpoczęty przez wyrok TSUE w sprawie Schrems II, który skomplikował transfer danych osobowych z Unii Europejskiej. Jednak wyrok prezentuje szerszą definicję przekazywania danych poza Unię Europejską niż dotychczas była prezentowana przez unijne organy. Z pewnością warto obserwować dalszy rozwój sprawy. W przypadku dotrzymania stanowiska przez sąd może ona wywołać kolejne ograniczenia w transferach danych do państw trzecich.

Źródło: https://iapp.org/news/a/new-eu-data-blockage-as-german-court-would-ban-many-cookie-management-providers/