2020. gada 16. jūlijā Eiropas Savienības Tiesa (EST) pasludināja spriedumu lietā C-311/18 Schrems. EST tiesvedības pamatā ir Austrijas privātuma aizsardzības aktīvista Maksimiliana Šrema (Maximilian Schrems) tiesvedība pret Īrijas datu aizsardzības komisāru par aizlieguma noteikšanu Facebook Ireland pārsūtīt viņa kā Facebook platformas lietotāja datus uz ASV, jo tā nenodrošina pietiekamu ASV uzglabāto personas datu aizsardzību pret publisko iestāžu veiktajām uzraudzības darbībām.
Šajā lietā EST atzina, ka Komisijas 2016. gada 12. jūlija Īstenošanas lēmums 2016/1250 saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46 par pienācīgu aizsardzību, ko nodrošina ES un ASV privātuma vairogs (Lēmums 2016/1250) nav spēkā. EST konstatēja, ka personas datu aizsardzības ierobežojumi, kuri izriet no ASV tiesiskā regulējuma par ASV publisko iestāžu piekļuvi no ES uz trešo valsti pārsūtītiem personas datiem un šādu datu izmantošanu un kurus Eiropas Komisija ir izvērtējusi Lēmumā 2016/1250, nav formulēti tādā veidā, lai atbilstu prasībām, kas būtībā ir līdzvērtīgas tām, kuras ES tiesībās ir izvirzītas ar samērīguma principu, jo uz šo tiesisko regulējumu balstītās uzraudzības programmas nav ierobežotas līdz absolūti nepieciešamajam. Proti, attiecībā uz atsevišķām uzraudzības programmām Lēmums 2016/1250 neparedz pilnvaru ierobežojumus attiecībā uz šo programmu īstenošanu, kā arī garantijas un tiesības personām, kuras nav ASV pilsoņi un kuras potenciāli skar šīs programmas. Turklāt EST nekonstatēja, ka ar Lēmumu 2016/1250 izveidotais ombuda mehānisms sniegtu garantijas, kuras būtu līdzvērtīgas ES tiesībās prasītajam, lai nodrošinātu gan šajā mehānismā paredzēto ombuda neatkarību, gan to, ka pastāv normas, kas pilnvaro šo ombudu pieņemt ASV izlūkdienestiem saistošus lēmumus.
No vienas puses, šis spriedums tika sagaidīts ar prieku, jo tas spiež ASV pārskatīt savu uzraudzības regulējumu, ja ASV uzņēmumi vēlas, lai arī turpmāk tiem būtu nozīmīga loma ES tirgū. Un tas ir katra ES iedzīvotāja interesēs, ka tā personas dati ir pakļauti augstam aizsardzības standartam, jo īpaši tad, ja uzņēmumi ievāc apjomīgus personas datus.
Tomēr EST spriedums skar ne tikai Facebook platformu, kura iegūst un ievāc par lietotājiem ļoti plašu informāciju, bet arī jebkuru citu transatlantiskajā digitālajā ekonomikā iesaistītu uzņēmumu. Tas attiecas arī uz tādiem uzņēmumiem, kuri pakalpojumu sniegšanai iegūst tikai pamatinformāciju par to klientiem: vārdu, e-pastu u.tml. Spriedums tiecas virzīties uz sistēmu, kurā dati paliek vietā, kur tie iegūti – ES. Lielākiem uzņēmumiem tas varētu nesagādāt pārāk lielas grūtības, jo īpaši, ja tiem jau tagad ir datu centri Eiropā (piemēram, Amazon, Microsoft un IBM), bet citiem uzņēmumiem tās var būt pārāk lielas izmaksas, lai apsvērtu, vai turpināt savu darbību ES. Tas var sāpīgi ietekmēt ES patērētāju un uzņēmumu iespējas saņemt digitālos pakalpojumus.
Papildus tam šis spriedums rada šaubas par datu pārsūtīšanas drošību arī uz jebkuru citu trešo valsti un tajās pastāvošo datu aizsardzības režīmu atbilstību ES aizsardzības līmenim. Turklāt jāpatur prātā, ka arī Lielbritānija pēc Breksita kļuvusi par trešo valsti un Eiropas Komisija vairs nevar kontrolēt tās personas datu aizsardzības noteikumu atbilstību ES tiesībām. Taču Lielbritānijā ir bāzējušies daudzi Eiropas digitālo pakalpojumu sniedzēji tās inovatīvu pakalpojumu attīstītājiem labvēlīgā tiesiskā regulējuma dēļ.
Eiropas Komisija ir paudusi, ka tā pēc šā sprieduma uzsāks sarunas ar ASV, lai atrastu veidu, kā uzlabot datu pārsūtīšanas noteikumus. Tomēr, lai arī, no vienas puses, tā ir iespēja nodrošināt augstāku ES iedzīvotāju personas datu aizsardzības līmeni, no otras puses, ir jārūpējas par to, lai mazinātu EST sprieduma izraisītās ekonomiskās sekas, kā arī iespējas attīstīt digitālo pakalpojumu tirgu, kurā nozīmīga loma ir datu ieguvei, pārsūtīšanai un apstrādei.