Każdy sąd UE może teraz nakazać dostawcy wprost

Co zmieniło się 18 sierpnia

Rozporządzenie (UE) 2023/1543 obowiązuje bezpośrednio w całej Unii Europejskiej od 18 sierpnia 2026 roku i tworzy instrument prawny zwany europejskim nakazem wydania. Organ sądowy jednego państwa członkowskiego może teraz zobowiązać dostawcę usług mającego siedzibę w innym państwie członkowskim do wydania danych abonenta, danych o ruchu lub danych o treści, bez konieczności kierowania wniosku najpierw przez rząd macierzysty dostawcy.

Ten ostatni punkt stanowi zmianę strukturalną. W ramach systemu wzajemnej pomocy prawnej, który to rozporządzenie zastępuje, francuski prokurator chcący uzyskać dane od spółki zarejestrowanej w Irlandii musiał prosić władze irlandzkie o działanie w jego imieniu, co mogło trwać miesiącami. Dzięki europejskiemu nakazowi wydania francuski organ może wysłać nakaz bezpośrednio do irlandzkiego dostawcy, który jest prawnie zobowiązany odpowiedzieć wprost. Towarzysząca dyrektywa, 2023/1544, miała zostać transponowana do prawa krajowego każdego państwa członkowskiego do 18 lutego 2026 roku, sześć miesięcy przed wejściem w stosowanie samego rozporządzenia, tak aby krajowe sądy i dostawcy dysponowali działającym mechanizmem już w dniu rozpoczęcia stosowania.

8-godzinny termin wyjaśniony

Obowiązują dwa terminy, a odstęp między nimi stanowi całe wyzwanie operacyjne. W procedurze standardowej dostawca usług, który otrzymuje europejski nakaz wydania, ma 10 dni na jego wykonanie. W procedurze pilnej, zarezerwowanej dla przypadków bezpośredniego zagrożenia życia, bezpieczeństwa fizycznego lub infrastruktury krytycznej, to okno kurczy się do 8 godzin.

Termin 8 godzin nie zostawia czasu na zwołanie zewnętrznych prawników, eskalację przez wielowarstwowy dział prawny czy czekanie, aż osoba odpowiedzialna za zgodność wróci z weekendu. Dostawca potrzebuje wyznaczonego przedstawiciela prawnego i gotowej ścieżki eskalacji, zanim nakaz nadejdzie, ponieważ budowanie tej ścieżki po rozpoczęciu odliczania zużywa sam ten czas. Kara do 2 procent światowego obrotu dotyczy dostawcy niezależnie od jego wielkości, więc narażenie rośnie wraz z przychodami, a nie z dojrzałością jego funkcji prawnej.

Dlaczego większość UE nie jest gotowa

Tylko cztery państwa członkowskie, Chorwacja, Włochy, Litwa i Słowacja, przyjęły krajowe przepisy wykonawcze potrzebne do faktycznego wydawania lub odbierania europejskich nakazów wydania w dniu rozpoczęcia stosowania rozporządzenia. Pozostałe 23 dzielą się na dwie grupy: Dania, która pozostaje całkowicie poza tymi ramami z powodu stałego wyłączenia z unijnych środków w przestrzeni wolności, bezpieczeństwa i sprawiedliwości, oraz pozostałe państwa członkowskie, które po prostu nie zdążyły transponować dyrektywy 2023/1544 przed terminem 18 lutego 2026 roku.

Komisja Europejska wszczęła postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego przeciwko 22 państwom 27 marca 2026 roku za nieterminową transpozycję dyrektywy. To nie jest techniczny szczegół ukryty w aktach sprawy; oznacza to, że sądy i organy ścigania w tych 22 państwach nie mają jasnej krajowej procedury wydawania europejskiego nakazu wydania dostawcy gdzie indziej w UE, a dostawcy mający siedzibę w tych państwach nie mają jasnej krajowej procedury odbierania go i odpowiadania na niego. Samo rozporządzenie obowiązuje bezpośrednio i nie czeka na krajowe wdrożenie, aby wywołać skutki prawne, więc obowiązek już istnieje, podczas gdy większość państw członkowskich wciąż buduje aparat administracyjny potrzebny do jego wykonania.

Co to oznacza dla relacji z dostawcą z siedzibą w UE

Założenie warte porzucenia to przekonanie, że hostowanie danych w UE, lub współpraca wyłącznie z dostawcami z UE, usuwa narażenie na transgraniczne żądania prawne. W tych ramach dzieje się odwrotnie. Ponieważ każdy organ sądowy UE może teraz wydać europejski nakaz wydania każdemu dostawcy z UE, firma, której platforma SaaS, host chmurowy, dostawca płac lub narzędzie komunikacyjne ma siedzibę w innym państwie członkowskim niż jej własne, zyskała nową kategorię powierzchni żądań prawnych, taką, która w sytuacjach pilnych przychodzi z 8-godzinnym zegarem i karą 2 procent obrotu dla dostawcy, który go nie dotrzyma.

Praktyczną odpowiedzią jest wcześniejsze ustalenie, gdzie każdy dostawca ma siedzibę prawną, czy ten dostawca ma wyznaczony punkt kontaktowy dla europejskich nakazów wydania i jak wygląda jego własny 8-godzinny plan eskalacji, ponieważ klient zależny od danych dostawcy ma bezpośredni interes w tym, jak szybko i starannie ten dostawca może odpowiedzieć. Ponieważ 22 z 27 państw członkowskich wciąż przechodzi przez postępowania w sprawie uchybienia zobowiązaniom dotyczące własnej transpozycji, zadanie tych pytań dostawcy już teraz, zamiast po nadejściu nakazu, stanowi różnicę między udokumentowanym planem reagowania na incydenty a improwizowanym.

Czytaj dalej: Apple ma cztery miesiące na komunikat o śledzeniu  |  Algorytm zwolnił kierowców. Uber płaci 825 milionów.