Fogalomtár › Szabályozás és jog
EU–USA adatvédelmi keretrendszer (DPF)
angolul: EU–U.S. Data Privacy Framework
Megállapodáson alapuló szabályrendszer, amely lehetővé teszi, hogy az európaiak személyes adatai jogszerűen kerülhessenek az ehhez csatlakozott amerikai cégekhez.
Érthetően
Az EU-ban a személyes adataidat szigorú szabály, a GDPR védi. Ez a védelem nem szűnhet meg attól, hogy az adat átlépi a határt, ezért az EU-n kívülre főszabály szerint csak akkor lehet adatot küldeni, ha ott is megfelelő védelmet kap.
A keretrendszer olyan, mint egy megbízható utasoknak fenntartott gyorsított sáv a repülőtéren. Az az amerikai cég, amely előre vállalja a szabályokat és felkerül a hivatalos listára, külön papírmunka nélkül fogadhat adatot Európából. Aki nincs a listán, annak a lassabb sor marad: egyedi szerződések és kockázatelemzés.
Az AI miatt ez a mindennapjaidat is érinti. A legtöbb ismert csevegőrobot, felhőszolgáltatás és AI-agent mögött amerikai cég áll, így amit beírsz vagy feltöltesz, az gyakran amerikai szerverekre kerül. A keretrendszer az egyik fő jogi eszköz, amely ezt az adattovábbítást megengedi.
Kétféle védelmet ad. A cégeknek adatkezelési elveket ír elő, az amerikai hírszerzés hozzáférését pedig a szükséges és arányos mértékre korlátozza, és az európaiaknak panaszlehetőséget nyit ellene.
Hogyan működik
- Az Európai Bizottság úgynevezett megfelelőségi határozatban kimondta, hogy a keretrendszerhez csatlakozott amerikai cégek az európaival lényegében egyenértékű védelmet nyújtanak.
- Az amerikai cég önként tanúsítja magát az USA Kereskedelmi Minisztériumánál: nyilvánosan vállalja az adatvédelmi elveket (például célhoz kötöttség, tájékoztatás, adatbiztonság, hozzáférés a saját adataidhoz), és ezt évente megújítja.
- A tanúsított cégek nyilvános listára kerülnek, amelyen bárki ellenőrizheti, hogy egy szolgáltató tagja-e a rendszernek.
- A vállalások betartását amerikai hatóságok, elsősorban a Szövetségi Kereskedelmi Bizottság (FTC) kényszerítik ki; a szabályszegő céget bírság érheti, és lekerülhet a listáról.
- Ha úgy gondolod, hogy az amerikai hírszerzés jogellenesen fért hozzá az adataidhoz, a hazai adatvédelmi hatóságon keresztül (Magyarországon a NAIH) panaszt tehetsz, amelyet végső fokon egy erre létrehozott amerikai testület, az Adatvédelmi Felülvizsgálati Bíróság bírál el.
Példa a mindennapokból
A munkahelyed bevezet egy amerikai AI-asszisztenst, amely az ügyfelek leveleit összefoglalja, vagyis nevek és elérhetőségek kerülnek amerikai szerverekre. Az adatvédelmi felelős ilyenkor megnézi, hogy a szolgáltató érvényes tanúsítással szerepel-e a keretrendszer listáján. Ha igen, magához az adattovábbításhoz nem kell külön szerződéses garanciákat kiépíteni, de az adatfeldolgozói szerződést ettől még meg kell kötni.
Kit érint
Gyakori félreértés
Korlátok és kockázatok
- A két elődjét, a Safe Harbort és a Privacy Shieldet az Európai Unió Bírósága érvénytelenítette, ezért sok szakértő ezt a rendszert is sérülékenynek tartja.
- A hírszerzési garanciák nagyrészt amerikai elnöki rendeleten alapulnak, amelyet egy későbbi elnök módosíthat vagy visszavonhat. A bizonytalanságot növelte, hogy 2025 elején a hírszerzést felügyelő független amerikai testület (PCLOB) több tagját elmozdították, és a testület határozatképtelenné vált.
- A cégek maguk tanúsítják magukat, előzetes független ellenőrzés nélkül, és a tanúsítás le is járhat, ezért a listát érdemes rendszeresen újra megnézni.
- Arról nem mond semmit, hogy egy AI-szolgáltató felhasználja-e az adataidat a modellje tanítására; ezt a szolgáltatás saját feltételeiben kell megnézned.
Hasonló, de nem ugyanaz
- Általános adatvédelmi rendelet (GDPR) – A GDPR az EU átfogó adatvédelmi jogszabálya, a keretrendszer csak egy eszköz, amely a GDPR egyik követelményét, a külföldre történő adattovábbítás feltételét teljesíti az USA felé.
- Általános szerződési feltételek (SCC) – Az SCC az Európai Bizottság által kiadott mintaszöveg az adattovábbításhoz (nem a cégek hétköznapi ÁSZF-je). A két félnek egymással kell megkötnie, és kockázatelemzéssel kell alátámasztania, a keretrendszer viszont a listán szereplő cégekre külön szerződés nélkül érvényes.
- Adatvédelmi pajzs (Privacy Shield) – A Privacy Shield a korábbi, 2020-ban érvénytelenített megoldás volt, a mostani keretrendszer szigorúbb hírszerzési korlátokkal és új jogorvoslati testülettel váltotta fel.
Kapcsolódó fogalmak
Adatvédelem, Általános adatvédelmi rendelet (GDPR), Nemzetközi adattovábbítás, Megfelelőségi határozat
Adatvédelmi Felülvizsgálati Bíróság, Öntanúsítás
Általános szerződési feltételek (SCC), Adatvédelmi pajzs (Privacy Shield), Adatszuverenitás, Felhőszolgáltatás, EU MI-rendelet (AI Act)
Röviden a története
Az Európai Unió Bírósága 2015-ben a Safe Harbor, 2020-ban a Privacy Shield rendszert érvénytelenítette, mindkétszer Max Schrems osztrák jogász panasza nyomán (Schrems I és Schrems II ítélet). Az Egyesült Államok 2022 októberében elnöki rendelettel korlátozta a hírszerzési hozzáférést, erre építve az Európai Bizottság 2023. július 10-én fogadta el a keretrendszerről szóló megfelelőségi határozatot.
Hol tart most
A keretrendszer hatályban van, több ezer amerikai cég csatlakozott hozzá, köztük a nagy felhő- és AI-szolgáltatók. Az EU Törvényszéke 2025 szeptemberében elutasította a megsemmisítésére irányuló keresetet (Latombe-ügy), a felperes azonban fellebbezett az Európai Unió Bíróságához, így a hosszú távú sorsa továbbra sem biztos.
Más nevei
EU–USA adatvédelmi keret · EU–US adatvédelmi keretrendszer · transzatlanti adatvédelmi keretrendszer · DPF · EU–U.S. DPF · EU-US Data Privacy Framework · Data Privacy Framework · Trans-Atlantic Data Privacy Framework
Források
A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.