Transatlantski prijenos podataka pod pritiskom: kada politika SAD-a postane prijetnja
Razmjena podataka između Europe i SAD-a za njemačka je poduzeća poslovno kritična. No temelji tog transatlantskog prijenosa sve se više ljuljaju. Političke napetosti i pravne nesigurnosti pritom prerastaju u konkretan rizik za usklađenost, IT poslovanje i poslovne modele. Istodobno strukturne ovisnosti i pitanja digitalnog suvereniteta snažnije dolaze u fokus sigurnosne rasprave.
Što se dogodilo? – ključne činjenice o aktualnoj situaciji
Transatlantski prijenos podataka nalazi se u kritičnoj fazi. Vodeća njemačka gospodarska udruženja, prema listu Handelsblatt, upozoravaju na posljedice nepredvidive politike SAD-a. Razlog: američki predsjednik mogao bi jednostrano dovesti u pitanje postojeće sporazume o razmjeni podataka s EU-om i time prijenos podataka pretvoriti u političko sredstvo pritiska.
Holger Lösch, zamjenik glavnog direktora Saveznog udruženja njemačke industrije (BDI), naglašava za Handelsblatt da je pouzdan i pravno siguran promet podataka „neizostavan” za njemačku industriju. Neuspjeh sadašnjeg okvira imao bi „razorne posljedice”: poduzeća bi morala računati sa znatnim dodatnim naporom, pravnom nesigurnošću te potencijalnim tužbama i kaznama.
Konkretan znak destabilizacije očituje se u kadrovskim promjenama: 22. siječnja 2025. na poticaj američkog predsjednika Donalda Trumpa razriješeno je više članova Privacy and Civil Liberties Oversight Boarda (PCLOB). Prema Gospodarskoj komori, PCLOB nakon toga ima još samo jednog člana i time više nije sposoban donositi odluke. To tijelo ima središnju ulogu u nadzoru američkih obavještajnih službi u okviru sporazuma o zaštiti podataka.
Pravna osnova: Data Privacy Framework i Executive Order 14086
Središnja osnova transatlantskog prijenosa podataka je EU-U.S. Data Privacy Framework (DPF), koji vrijedi od srpnja 2023. On na temelju odluke o primjerenosti prema članku 45. GDPR-a omogućuje prijenos osobnih podataka u SAD bez dodatnih odobrenja – pod uvjetom da su američka poduzeća odgovarajuće certificirana.
Za mnoga je poduzeća taj sporazum ključan: bez tog mehanizma središnji poslovni procesi – od korištenja oblaka do upravljanja klijentima – pravno bi se teško dali provesti. Prijenos osobnih podataka u SAD za brojna poduzeća sastavni je dio poslovnog modela, primjerice korištenjem američkog softvera, konferencijskih platformi, CRM sustava ili usluga u oblaku.
Executive Order 14086 bivšeg američkog predsjednika Joea Bidena (listopad 2022.) utvrđuje obvezujuće zahtjeve zaštite podataka za američke obavještajne službe i stvara mehanizme kontrole, primjerice postupak za pritužbe (Data Protection Review Court). On čini središnju osnovu za EU-U.S. Data Privacy Framework jer treba poboljšati zaštitu osobnih podataka građana EU-a u SAD-u.
No stabilnost DPF-a sve je upitnija. Gospodarska komora već je u listopadu upozorila da bi navedeni razvoj mogao potkopati noseće mehanizme kontrole i zaštite tog okvira za zaštitu podataka. Kada središnje nadzorne strukture poput PCLOB-a više nisu funkcionalne ili se temeljne pravne osnove oslabe, ljulja se istovrijednost razine zaštite podataka – a time i središnja pravna osnova za prijenos podataka u cjelini.
Europska komisija doduše dosad ostaje pri toj odluci kako ne bi ugrozila promet podataka. No ako se pravni okvir u SAD-u bitno promijeni – primjerice ukidanjem Executive Ordera 14086 – morala bi reagirati. Posljedice bi mogle biti neposredne: od dodatnih obveza provjere za poduzeća do potpunog zaustavljanja prijenosa podataka na toj osnovi.
Sudska potvrda s ogradama: presuda Općeg suda od 3. rujna 2025.
Opći sud Europske unije presudom od 3. rujna 2025. doduše je potvrdio zakonitost aktualne odluke o primjerenosti. Ipak, izričito ju je vezao uz postojeće mehanizme zaštite. Istodobno je sud razjasnio da Europska komisija kod temeljnih izmjena američkog pravnog okvira ima mogućnost intervenirati – sve do suspenzije ili ukidanja odluke o primjerenosti.
Strukturni sukob: GDPR protiv američkog CLOUD Acta
Uz političke rizike postoji temeljni, dosad neriješen strukturni problem: bitna razlika između europskog shvaćanja zaštite podataka i američkih sigurnosnih zakona. Taj sukob transatlantski prijenos podataka trajno čini osjetljivim na pravne i političke lomove.
Američki CLOUD Act dopušta američkim tijelima pristup podacima – čak i onda kada su oni fizički pohranjeni na poslužiteljima unutar Europske unije. Za poduzeća iz toga proizlaze dvije središnje dimenzije rizika:
- Regulatorni rizik: ako sporazum otpadne, prijeti pravni vakuum. Bez održivih alternativa prijete dugotrajni postupci i sankcije do četiri posto svjetskog godišnjeg prometa.
- Operativna ovisnost: vlasnički sustavi američkih ponuditelja, prema Saveznom uredu za sigurnost u informacijskoj tehnici (BSI), stvaraju oblik „kibernetičke dominacije” – dakle strukturnu kontrolu nad IT infrastrukturama.
Digitalni suverenitet: od strategije do operativne nužnosti
U tom kontekstu digitalni suverenitet postaje operativna nužnost – a ne više samo strateška opcija. Sposobnost samostalnog raspolaganja podacima prerasta u središnji preduvjet otpornosti. Poduzeća se moraju pripremiti na to da geopolitički razvoj ima izravan utjecaj na njihovu IT i podatkovnu strategiju.
Tri praktična puta do veće otpornosti
1. Smanjiti ovisnosti
Poduzeća moraju analizirati svoj softverski krajolik: gdje se koriste poslovno kritična američka rješenja koja onemogućuju brzu promjenu (vendor lock-in)? EU Data Act ovdje nudi pravnu polugu za zahtijevanje prenosivosti podataka prema pružateljima i uklanjanje tehničkih prepreka za promjenu.
2. Planirati pravne scenarije
Poduzeća bi trebala djelovati na više razina:
- Migracija: za osjetljiva područja poput ljudskih resursa ili istraživanja preporučuje se prelazak na europske ponuditelje s nadležnim sudom u EU.
- Ugovorne zaštitne ograde: gdje su američki ponuditelji bez alternative, treba inzistirati na utvrđivanju „EU Data Residency” (pohrana u EU). To doduše ne pruža zaštitu od CLOUD Acta, ali otežava neovlašten pristup na administrativnoj razini.
- Izlazne strategije: za ozbiljan slučaj moraju postojati planovi za nužne situacije kako bi se podaci pravovremeno preselili u suverena okruženja u oblaku.
3. Implementirati tehnološke zaštitne štitove
Prava neovisnost nastaje tek tehnikom, a ne ugovorima:
- Načelo zero knowledge: primjena enkripcije kod koje ponuditelj tehnički nema pristup ključevima osigurava da podaci ostanu nečitljivi čak i uz obvezu izdavanja u trećoj državi.
- Koristiti standarde: davanje prednosti softveru s otvorenim sučeljima (API-jima) sprječava trajnu tehnološku vezanost uz jednog proizvođača.
- Štedljivost s podacima: automatizirani postupci trebali bi biti postavljeni tako da se dijeli samo apsolutno nužni minimum podataka za taj proces.
Zaključak: djelovati umjesto nadati se
Transatlantski prijenos podataka zasad ostaje funkcionalan – no njegova je budućnost neizvjesna. Poduzeća se kreću u polju napetosti između gospodarske nužnosti i rastuće nesigurnosti. Zaključak je jasan: tko se nada stabilnim okvirnim uvjetima, mogao bi se iznenaditi. Tko pak rano ulaže u otpornost i suverenitet, stječe stratešku prednost u sve politiziranijem podatkovnom prostoru.
Njemačkim je poduzećima uputno iznova ocijeniti svoju strategiju zaštite podataka – s naglaskom na pravne scenarije, tehnološku neovisnost i europske alternative. To nije reakcija iz panike, nego odgovorno planiranje kontinuiteta poslovanja u nesigurnim vremenima.
