CS Úřední věstník Evropské unie L 207/1

PROVÁDĚCÍ ROZHODNUTÍ KOMISE (EU) 2016/1250

ze dne 12. července 2016

podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající úrovni ochrany poskytované štítem EU–USA na ochranu soukromí

(oznámeno pod číslem C(2016) 4176)

(Text s významem pro EHP)

EVROPSKÁ KOMISE,

s ohledem na Smlouvu o fungování Evropské unie,

s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,

po konzultaci s evropským inspektorem ochrany údajů (2),

1. ÚVOD

(1) Směrnice 95/46/ES stanoví pravidla pro předávání osobních údajů z členských států do třetích zemí, pokud toto předávání spadá do oblasti působnosti uvedené směrnice.

(2) Z článku 1 a z 2. a 10. bodu odůvodnění směrnice 95/46/ES vyplývá, že předmětem směrnice je nejen zajištění účinné a úplné ochrany základních práv a svobod fyzických osob, zejména základního práva na respektování soukromého života v souvislosti se zpracováním osobních údajů, ale i zajištění vysoké úrovně ochrany těchto základních práv a svobod (3).

(3) Význam jak základního práva na respektování soukromého života zaručeného článkem 7 Listiny základních práv Evropské unie, tak základního práva na ochranu osobních údajů zaručeného článkem 8 této listiny je vyzdvižen v judikatuře Soudního dvora (4).

(4) Podle čl. 25 odst. 1 směrnice 95/46/ES členské státy stanoví, že k předávání osobních údajů do třetí země může dojít, pouze pokud dotyčná třetí země zajistí odpovídající úroveň ochrany a pokud jsou před předáním dodrženy právní předpisy členského státu přijaté na základě ostatních ustanovení směrnice. Komise může shledat, že třetí země zajišťuje takovou odpovídající úroveň ochrany, na základě vnitrostátních předpisů dotyčné třetí země nebo mezinárodních závazků v oblasti ochrany práv fyzických osob, k nimž se dotyčná země zavázala. V takovém případě, a aniž je dotčeno dodržení vnitrostátních právních předpisů přijatých na základě ostatních ustanovení směrnice, mohou být osobní údaje z členských států předávány bez nutnosti dodatečných záruk.

(5) Podle čl. 25 odst. 2 směrnice 95/46/ES by úroveň ochrany údajů poskytovaná třetí zemí měla být posouzena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, mimo jiné s ohledem na právní předpisy, obecné či odvětvové, platné v dotčené třetí zemi.

(6) V rozhodnutí Komise 2000/520/ES (5) bylo shledáno, že pro účely čl. 25 odst. 2 směrnice 95/46/ES poskytují „zásady „bezpečného přístavu““, prováděné v souladu s pokyny uvedenými v tzv. „často kladených otázkách“ vydaných Ministerstvem obchodu USA, odpovídající úroveň ochrany osobních údajů předávaných z Unie organizacím ve Spojených státech.

(7) Ve sděleních COM(2013) 846 final (6) a COM(2013) 847 final ze dne 27. listopadu 2013 (7) Komise uvedla, že základní pilíř systému zásad „bezpečného přístavu“ je třeba přezkoumat a posílit v kontextu řady faktorů, mimo jiné exponenciálního nárůstu toku údajů a jejich zásadního významu pro transatlantickou ekonomiku, rychlého nárůstu počtu amerických společností, které přijaly zásady „bezpečného přístavu“, a nových informací o rozsahu a záběru některých amerických zpravodajských programů, které nastolily otázky ohledně úrovně ochrany, jakou „bezpečný přístav“ může zaručit. Kromě toho Komise v systému zásad „bezpečného přístavu“ odhalila řadu slabin a nedostatků.

(8) Na základě důkazů, mimo jiné informací vyplynuvších z práce Kontaktní skupiny EU–USA pro ochranu soukromí (8) a informací o amerických zpravodajských programech získaných v rámci ad-hoc pracovní skupiny EU–USA (9), formulovala Komise 13 doporučení pro přezkum systému zásad „bezpečného přístavu“. Tato doporučení se zaměřila na posílení hmotněprávních zásad ochrany soukromí, zvýšení transparentnosti politik ochrany soukromí amerických autocertifikovaných společností, lepší dohled, monitorování a vymáhání těchto zásad ze strany orgánů USA, dostupnost finančně přijatelných mechanismů řešení sporů a potřebu zajistit, aby výjimka z důvodu národní bezpečnosti stanovená v rozhodnutí 2000/520/ES byla omezena na rozsah striktně nezbytný a přiměřený.

(9) Rozsudkem ze dne 6. října 2015 ve věci C-362/14, Maximillian Schrems proti Data Protection Commissioner (10), prohlásil Soudní dvůr Evropské unie rozhodnutí 2000/520/ES za neplatné. Aniž by zkoumal obsah zásad „bezpečného přístavu“, soud konstatoval, že Komise v uvedeném rozhodnutí neuvedla, že Spojené státy skutečně „zajišťují“ odpovídající úroveň ochrany na základě svých vnitrostátních předpisů nebo mezinárodních závazků (11).

(10) V tomto ohledu Soudní dvůr vysvětlil, že přestože výraz „odpovídající úroveň ochrany“ obsažený v čl. 25 odst. 6 směrnice 95/46/ES neznamená stejnou úroveň ochrany, jako je úroveň zajištěná v unijním právním řádu, musí být chápán v tom smyslu, že vyžaduje, aby třetí země zajišťovala takovou úroveň ochrany základních práv a svobod, která je „v zásadě rovnocenná“ ochraně zaručené v rámci Unie směrnicí 95/46/ES vykládanou ve světle Listiny základních práv. I když se prostředky, které tato třetí země využívá v tomto směru k zajištění takovéto úrovně ochrany, mohou lišit od prostředků zavedených v rámci Unie, musí se přesto tyto prostředky v praxi ukázat jako účinné (12).

(11) Soudní dvůr zkritizoval, že rozhodnutí 2000/520/ES neobsahuje dostatečná zjištění ohledně existence pravidel státního charakteru ve Spojených státech, jež mají omezit případné zásahy do základních práv osob, jejichž osobní údaje jsou předávány z Unie do Spojených států, tj. zásahy, jež by státní subjekty této země byly oprávněny činit v případě, že sledují takové legitimní cíle, jako je národní bezpečnost, a ohledně existence účinné právní ochrany před zásahy tohoto druhu (13).

(12) V roce 2014 Komise zahájila s orgány USA rozhovory, aby prodiskutovala posílení režimu „bezpečného přístavu“ na základě 13 doporučení uvedených ve sdělení COM(2013) 847 final. Po rozsudku Soudního dvora Evropské unie ve věci Schrems tyto rozhovory dále zintenzivnily ve snaze dospět k případnému novému rozhodnutí o odpovídající úrovni ochrany, které by vyhovovalo požadavkům článku 25 směrnice 95/46/ES tak, jak je vyložil Soudní dvůr. Výsledkem těchto diskusí jsou dokumenty, které tvoří přílohu tohoto rozhodnutí a které budou zveřejněny také ve Federálním úředním věstníku USA (U.S. Federal Register). Zásady ochrany soukromí (příloha II) společně s oficiálními prohlášeními a závazky různých orgánů USA obsaženými v dokumentech v přílohách I a III až VII tvoří „štít EU–USA na ochranu soukromí“.

(13) Komise provedla pečlivou analýzu práva a praxe USA, jakož i těchto oficiálních prohlášení a závazků. Na základě zjištění rozepsaných ve 136. až 140. bodě odůvodnění Komise došla k závěru, že Spojené státy zajišťují odpovídající úroveň ochrany osobních údajů předávaných v rámci štítu EU–USA na ochranu soukromí z Unie autocertifikovaným organizacím ve Spojených státech.

2. „ŠTÍT EU–USA NA OCHRANU SOUKROMÍ“

(14) Štít EU–USA na ochranu soukromí je založen na systému autocertifikace, kterým se organizace USA zavazují dodržovat soubor zásad ochrany soukromí – rámcové zásady štítu EU–USA na ochranu soukromí, včetně doplňkových zásad (dále dohromady jen „zásady“) – vydaných Ministerstvem obchodu USA a obsažených v příloze II tohoto rozhodnutí. Použije se jak na správce, tak zpracovatele (zprostředkovatele) s tím, že zpracovatelé musí být smluvně zavázáni k tomu, že budou konat pouze na pokyny správce z EU a že mu budou nápomocni při odpovídání fyzickým osobám uplatňujícím svá práva podle zásad (14).

(15) Aniž je dotčena povinnost vyhovět vnitrostátním ustanovením přijatým podle směrnice 95/46/ES, má toto rozhodnutí účinek v tom smyslu, že je povoleno předávání údajů od správce nebo zpracovatele v Unii organizacím v USA, které autocertifikovaly přijetí zásad u Ministerstva obchodu a které se zavázaly je dodržovat. Zásady se použijí pouze na zpracování osobních údajů organizací USA potud, pokud zpracování takovými organizacemi nespadá do oblasti působnosti právních předpisů Unie (15). Štítem na ochranu soukromí není dotčeno uplatňování právních předpisů Unie, jimiž se řídí zpracování osobních údajů v členských státech (16).

(16) Ochrana poskytovaná osobním údajům štítem na ochranu soukromí se vztahuje na všechny subjekty údajů z EU (17), jejichž osobní údaje byly předány z Unie organizacím v USA, které autocertifikovaly přijetí zásad u Ministerstva obchodu.

(17) Zásady jsou použitelné bezprostředně po certifikaci. Jediná výjimka se vztahuje na zásadu odpovědnosti za další předávání v případech, kdy organizace autocertifikující přijetí zásad štítu na ochranu soukromí má obchodní vztahy s třetími stranami z dřívější doby. Poněvadž může jistou dobu trvat, než budou tyto obchodní vztahy uvedeny v soulad s pravidly podle zásady odpovědnosti za další předávání, bude taková organizace povinna uvést je v soulad co nejdříve a v každém případě nejpozději do devíti měsíců od autocertifikace (za předpokladu, že k tomu dojde v prvních dvou měsících ode dne, kdy štít na ochranu soukromí nabyl účinku). Během tohoto přechodného období musí organizace uplatňovat zásadu oznamovací povinnosti a zásadu možnosti volby (a umožnit tak subjektu údajů z EU vyslovit nesouhlas) a v případě, že jsou osobní údaje předávány třetí straně jednající jako zprostředkovatel, musí zajistit, že tato třetí strana poskytuje alespoň stejnou úroveň ochrany požadovanou podle zásad (18). Tímto přechodným obdobím je přiměřeně a vhodně vyváženo dodržování základního práva na ochranu údajů s legitimní potřebou podniků mít dostatek času na přizpůsobení se novému rámci i v případech, kdy toto závisí také na jejich obchodních vztazích s třetími stranami.

(18) Tento systém bude spravován a monitorován Ministerstvem obchodu na základě jeho závazků uvedených v prohlášeních ministryně obchodu USA (příloha I tohoto rozhodnutí). Pokud jde o prosazování zásad, Federální obchodní komise (FTC) a Ministerstvo obchodu vydaly prohlášení, která jsou obsažena v příloze IV a V tohoto rozhodnutí.

2.1 Zásady ochrany soukromí

(19) Součástí autocertifikace v rámci štítu EU–USA na ochranu soukromí je, že se organizace musí zavázat k dodržování zásad (19).

(20) Podle zásady oznamovací povinnosti jsou organizace povinny subjektům údajů poskytovat informace o řadě klíčových prvků týkajících se zpracování jejich osobních údajů (např. o druhu shromažďovaných údajů, o účelu zpracování, o právu na přístup a volbu, o podmínkách dalšího předávání a o odpovědnosti). Platí další ochranná opatření, zejména požadavek, aby organizace zveřejnily svoji politiku ochrany soukromí (odrážející zásady) a aby poskytly odkazy na web Ministerstva obchodu (s dalšími podrobnostmi o autocertifikaci, právech subjektů údajů a dostupných odvolacích mechanismech), na seznam organizací štítu na ochranu soukromí (uvedený ve 30. bodě odůvodnění) a na web příslušného poskytovatele alternativního řešení sporů.

(21) Podle zásady integrity údajů a účelového omezení musí být osobní údaje omezeny na údaje relevantní k účelu zpracování, spolehlivé z hlediska zamýšleného použití, přesné, úplné a aktuální. Organizace nesmí zpracovávat osobní údaje způsobem, který je neslučitelný s účelem, pro který byly původně shromážděny nebo následně subjektem údajů povoleny. Organizace musí zajistit, aby osobní údaje byly spolehlivé z hlediska zamýšleného použití, přesné, úplné a aktuální.

(22) Pokud je nový (změněný) účel významně odlišný, ale stále slučitelný s původním účelem, dává zásada možnosti volby subjektům údajů možnost vyslovit nesouhlas (opt-out). Zásada možnosti volby nenahrazuje výslovný zákaz neslučitelného zpracování (20). Zvláštní pravidla, která obecně umožňují vyslovení nesouhlasu s používáním osobních údajů „kdykoli“, se týkají přímého marketingu (21). V případě citlivých údajů musí organizace v zásadě obdržet potvrzující výslovný souhlas (tzv. opt-in) subjektu údajů.

(23) Ještě pokud jde o zásadu integrity údajů a účelového omezení, lze osobní informace uchovávat v podobě ztotožňující fyzickou osobu nebo umožňující jeho ztotožnění (tedy v podobě osobních údajů) jen potud, pokud tyto informace slouží účelu (účelům), pro který byly původně shromážděny nebo následně povoleny. Tato povinnost organizacím účastnícím se štítu na ochranu soukromí nebrání v tom, aby nadále zpracovávaly osobní informace po delší období, mohou tak ale činit jen po dobu a v rozsahu, který přiměřeně slouží jednomu z následujících konkrétních účelů: archivace ve veřejném zájmu, žurnalistika, literatura a umění, vědecký a historický výzkum a statistická analýza. Delší uchovávání osobních údajů pro jeden z těchto účelů podléhá ochranným opatřením podle zásad.

(24) Podle zásady bezpečnosti musí organizace vytvářející, uchovávají, používající nebo šířící osobní údaje přijmout „přiměřená a vhodná“ bezpečnostní opatření s přihlédnutím k rizikům spojeným se zpracováním a povahou údajů. Jsou-li údaje zpracovávány externě, musí organizace uzavřít s externím zpracovatelem smlouvu, která zaručí stejnou úroveň ochrany, jakou poskytují zásady, a přijmout opatření k zajištění jejího řádného plnění.

(25) Podle zásady práva na přístup (22) mají subjekty údajů právo na to, aby jim bez nutnosti zdůvodňování a pouze za přiměřený poplatek organizace potvrdila, zda tato organizace zpracovává osobní údaje, které se jich týkají, a aby jim tyto údaje byly v přiměřené lhůtě sděleny. Toto právo lze omezit jen za výjimečných okolností; jakékoli odepření tohoto práva či jeho omezení musí být nezbytné a řádně odůvodněné, přičemž důkazní břemeno toho, že jsou tyto požadavky splněny, leží na organizaci. Subjektům údajů musí být umožněno opravovat, upravovat či vymazávat osobní informace, pokud jsou nepřesné nebo pokud byly zpracovány v rozporu se zásadami. V oblastech, kde společnosti nejčastěji využívají automatizovaného zpracování osobních údajů pro rozhodování, které má dopad na fyzickou osobu (např. úvěry a půjčky, nabídky hypoték, zaměstnání), poskytuje právo USA konkrétní ochranu proti negativním rozhodnutím (23). Tyto předpisy obvykle stanoví, že fyzické osoby mají právo být informovány o konkrétních důvodech, které stály za rozhodnutím (např. zamítnutím úvěru), rozporovat neúplné nebo nepřesné informace (jakož i použití nezákonných faktorů) a požadovat nápravu. Tato pravidla poskytují ochranu v pravděpodobně poměrně omezeném počtu případů, kde by automatizovaná rozhodnutí činila sama organizace účastnící se štítu na ochranu soukromí (24). Nicméně vzhledem k rostoucímu využití automatizovaného zpracování (včetně profilování) jakožto základu pro rozhodování, které má dopad na fyzické osoby, v moderní digitální ekonomice, je třeba tuto oblast úzce monitorovat. Za účelem usnadnění tohoto monitorování bylo s orgány USA dohodnuto, že součástí prvního každoročního přezkumu a případně následujících přezkumů bude dialog na téma automatizovaného rozhodování, včetně výměny názorů na podobnosti a rozdílnosti v přístupech EU a USA.

(26) Podle zásady odvolání, prosazování a odpovědnosti (25) musí účastnící se organizace poskytnout robustní mechanismy, které zajistí dodržování ostatních zásad, a subjektům údajů, jejichž údaje byly zpracovány nenáležitým způsobem, musí poskytnout možnost odvolání i účinnou nápravu. Jakmile se organizace dobrovolně rozhodla autocertifikovat (26) v rámci štítu EU–USA na ochranu soukromí, její faktické dodržování zásad se stává povinným. Aby organizace mohla v rámci štítu EU–USA na ochranu soukromí získávat i nadále osobní údaje z Unie, musí každý rok recertifikovat svou účast v rámci. Organizace musí také přijmout opatření k ověření (27) toho, zda politika ochrany soukromí, kterou zveřejňují, vyhovuje zásadám a je v praxi dodržována. Toto lze provádět buď systémem sebehodnocení, jehož součástí musí být interní postupy, kterými se zajistí, aby zaměstnanci obdrželi školení k provádění politiky ochrany soukromí organizace a aby dodržování této politiky bylo pravidelně a objektivně kontrolováno, anebo externími přezkumy jejího dodržování, které mohou mít podobu auditu nebo namátkových kontrol. Kromě toho musí organizace zajistit účinný nápravný mechanismus k vyřizování jakýchkoli stížností (v tomto ohledu viz také 43. bod odůvodnění) a podléhat vyšetřovací a donucovací pravomoci FTC, Ministerstva dopravy nebo jiného pověřeného, zákonem zřízeného orgánu USA, které zajistí dodržování zásad.

(27) Zvláštní pravidla platí pro tzv. „další předávání“, tj. předávání osobních údajů z organizace třetí straně jednající jako správce nebo zpracovatel nehledě na to, zda je taková třetí strana ve Spojených státech nebo ve třetí zemi mimo Spojené státy (a Unii). Účelem těchto pravidel je zajistit, aby ochrana osobních údajů subjektů údajů z EU nebyla narušena a aby nemohla být obejita tak, že budou údaje postoupeny třetím stranám. To je zejména významné v komplexnějších zpracovatelských řetězcích, které jsou typické pro dnešní digitální ekonomiku.

(28) Podle zásady odpovědnosti za další předávání (28) může k jakémukoli dalšímu předání dojít pouze i) k omezeným a konkrétním účelům, ii) na základě smlouvy (nebo srovnatelného ujednání v rámci skupiny společností (29)) a iii) jen pokud taková smlouva poskytuje stejnou úroveň ochrany, jakou poskytují zásady, což zahrnuje požadavek, že uplatňování zásad lze omezit v rozsahu nezbytném k tomu, aby byl splněn účel národní bezpečnosti, prosazování práva a jiných veřejných zájmů (30). Předchozí je třeba vykládat ve spojení se zásadou oznamovací povinnosti a v případě dalšího předání třetí straně-správci (31), se zásadou možnosti volby, podle níž musí být subjekty informovány (mimo jiné) o druhu/totožnosti jakékoli třetí strany-příjemce, o účelu dalšího předání, jakož i o možnosti volby a mohou vyslovit nesouhlas (opt-out), nebo v případě citlivých údajů, musí vyslovit „potvrzující výslovný souhlas“ (opt-in) s dalším předáním. Ve světle zásady integrity údajů a účelového omezení povinnost poskytnout stejnou úroveň ochrany, jaká je zaručena zásadami, předpokládá, že třetí strana smí zpracovat osobní informace jí předané pro účely, které nejsou neslučitelné s účely, pro které byly původně shromážděny nebo fyzickou osobou následně povoleny.

(29) Povinnost poskytnout stejnou úroveň ochrany, jakou požadují zásady, se vztahuje na jakékoli a všechny třetí strany, které jsou zapojeny do zpracování takto předávaných údajů nehledě na jejich umístění (v USA nebo v jiné třetí zemi), jakož i v případě, kdy původní příjemce, který je třetí stranou, sám předá tyto údaje jinému příjemci, který je třetí stranou, např. za účelem externího zpracování. Ve všech případech musí smlouva s třetí stranou-příjemcem, stanovit, že tento příjemce organizaci účastnící se štítu na ochranu soukromí oznámí, pokud zjistí, že již tuto podmínku nesplňuje. Je-li takové zjištění učiněno, zpracování touto třetí stranou bude ukončeno nebo musí být přijaty jiné přiměřené a vhodné kroky k nápravě této situace (32). Vzniknou-li problémy s dodržováním zásad v (externím) zpracovatelském řetězci, organizace účastnící se štítu na ochranu soukromí a jednající jako správce osobních údajů bude muset dokázat, že není odpovědná za událost, která vedla ke škodě, nebo v opačném případě nést odpovědnost, jak je uvedeno v zásadě odvolání, prosazování a odpovědnosti. V případě dalšího předání třetí straně-zprostředkovateli, platí doplňková ochrana (33).

2.2 Transparentnost, správa štítu EU–USA na ochranu soukromí a dohled nad ním

(30) Štít EU–USA na ochranu soukromí stanoví dohled a donucovací mechanismy k ověřování a zajištění dodržování zásad ze strany autocertifikovaných společností z USA a řešení veškerých případů nedodržení. Tyto mechanismy jsou popsány v zásadách (příloha II) a závazcích přijatých Ministerstvem obchodu (příloha I), Federální obchodní komisí (příloha IV) a Ministerstvem dopravy (příloha V).

(31) Pro zajištění řádného uplatňování štítu EU–USA na ochranu soukromí musí být zúčastněné strany, např. subjekty údajů, vývozci údajů a vnitrostátní orgány pro ochranu údajů, schopny identifikovat organizace, které zásady přijaly. Za tímto účelem se Ministerstvo obchodu zavázalo vést a veřejně zpřístupnit seznam organizací, které autocertifikovaly (samy osvědčily) přijetí zásad a které podléhají pravomoci alespoň jednoho z donucovacích orgánů uvedených v přílohách I a II tohoto rozhodnutí (dále jen „seznam organizací štítu na ochranu soukromí“) (34). Ministerstvo obchodu bude tento seznam aktualizovat na základě každoročních recertifikací organizací a kdykoli některá organizace štít EU–USA na ochranu soukromí opustí nebo z něj bude odstraněna. Ministerstvo rovněž povede a veřejnosti zpřístupní autoritativní evidenci organizací, které byly ze seznamu odstraněny, v každém jednotlivém případě s uvedením důvodu pro toto odstranění. Ministerstvo také poskytne odkaz na seznam případů Federální obchodní komise souvisejících s prosazováním zásad štítu na ochranu soukromí zveřejněný na webu FTC.

(32) Ministerstvo obchodu seznam organizací štítu na ochranu soukromí i recertifikace veřejně zpřístupní na zvláštním webu. Autocertifikované organizace pak musí poskytnout adresu tohoto webu ministerstva, kde je zveřejněn seznam organizací štítu na ochranu soukromí. Zveřejňuje-li organizace politiku ochrany soukromí online, musí být navíc v této police uveden hypertextový odkaz na web štítu na ochranu soukromí a hypertextový odkaz na web nebo na formulář pro podávání stížností v rámci nezávislého odvolacího mechanismu, který je k dispozici pro prošetřování nevyřešených stížností. Ministerstvo obchodu bude systematicky v kontextu certifikace a recertifikace organizace ověřovat, zda její politika ochrany soukromí splňuje zásady.

(33) Organizace, které soustavně nedodržují zásady, budou odstraněny ze seznamu organizací a musí vrátit nebo smazat osobní údaje, které obdržely v rámci štítu EU–USA na ochranu soukromí. V jiných případech odstranění, například pokud organizace dobrovolně ukončí účast ve štítu nebo pokud se nerecertifikuje, si organizace může takové údaje ponechat, pokud Ministerstvo obchodu každoročně ujistí o svém závazku řídit se zásadami nebo pokud osobním údajům zajistí odpovídající ochranu jiným povoleným způsobem (např. smlouvou, která plně vyhovuje požadavkům příslušných standardních smluvních doložek schválených Komisí). V tomto případě musí organizace určit kontaktní místo uvnitř organizace pro veškeré otázky související se štítem na ochranu soukromí.

(34) Ministerstvo obchodu bude monitorovat organizace, které již nejsou členem štítu EU–USA na ochranu soukromí buď proto, že jej dobrovolně opustily, nebo že skončila platnost jejich certifikace, za účelem ověření, zda vrátí, vymažou nebo si ponechají (35) osobní údaje dříve získané v rámci štítu. Pokud si tyto údaje ponechají, jsou organizace povinny na ně i nadále uplatňovat zásady. V případech, kdy Ministerstvo obchodu odstraní organizace z rámce štítu kvůli soustavnému nedodržování zásad, zajistí, aby tyto organizace musely vrátit nebo vymazat osobní údaje, které v rámci štítu získaly.

(35) Pokud organizace z jakéhokoli důvodu opustí štít EU–USA na ochranu soukromí, musí odstranit veškerá veřejná prohlášení, která implikují, že se štítu EU–USA na ochranu soukromí nadále účastní nebo že má nárok na výhody z něj plynoucí, a zejména veškeré odkazy na štít EU–USA na ochranu soukromí v politice ochrany soukromí, kterou organizace zveřejňuje. Ministerstvo obchodu bude vyhledávat a řešit nepravdivá tvrzení o účasti v rámci včetně ze strany bývalých členů (36). Jakékoli uvedení široké veřejnosti v omyl ohledně přijetí zásad zavádějícími prohlášeními nebo postupy je postižitelné Federální obchodní komisí, Ministerstvem dopravy nebo jiným příslušným donucovacím orgánem USA; uvedení Ministerstva obchodu v omyl je postižitelné podle zákona o nepravdivých tvrzeních (False Statements Act, 18 U. S. C. § 1001) (37).

(36) Ministerstvo obchodu bude z moci úřední monitorovat jakákoli nepravdivá tvrzení o účasti ve štítu na ochranu soukromí či podvodné použití certifikační značky štítu a orgány pro ochranu údajů mohou organizace postupovat specializovanému kontaktnímu místu ministerstva ke kontrole. Pokud organizace opustí štít EU–USA na ochranu soukromí, nerecertifikuje se, nebo je odstraněna ze seznamu organizací štítu na ochranu soukromí, bude Ministerstvo obchodu průběžně ověřovat, zda organizace ze své politiky ochrany soukromí, kterou zveřejňuje, odstranila veškeré odkazy na štít na ochranu soukromí, které implikují, že se jej nadále účastní, a pokud s nepravdivými tvrzeními nepřestane, postoupí věc Federální obchodní komisi, Ministerstvu dopravy nebo jinému kompetentnímu úřadu za účelem případného postihu. Ministerstvo obchodu také organizacím, kterým autocertifikace končí nebo které dobrovolně opustily štít EU–USA na ochranu soukromí, rozešle dotazníky za účelem ověření, zda organizace osobní údaje, které obdržela během své účasti ve štítu EU–USA na ochranu soukromí, vrátí, vymaže, nebo zda na ně bude nadále uplatňovat zásady ochrany soukromí, a pokud údaje mají být nadále uchovány, za účelem ověření, kdo uvnitř organizace bude nadále fungovat jako kontaktní místo pro otázky související se štítem na ochranu soukromí.

(37) Ministerstvo obchodu bude průběžně a z moci úřední prozkoumávat dodržování zásad (38) v autocertifikovaných organizacích, mimo jiné zasíláním podrobných dotazníků. Systematické kontroly bude provádět, také kdykoli obdrží konkrétní (nikoli bezdůvodnou) stížnost, pokud organizace na jeho dotazy neodpoví uspokojivě, nebo pokud existují věrohodné důkazy nasvědčující tomu, že organizace pravděpodobně nedodržuje zásady. Ve vhodných případech bude Ministerstvo obchodu prováděcí těchto přezkumů dodržování zásad konzultovat s orgány pro ochranu údajů.

2.3 Nápravné mechanismy, vyřizování stížností a prosazování

(38) Štít EU–USA na ochranu soukromí prostřednictvím zásady odvolání, prosazování a odpovědnosti po organizacích požaduje, aby fyzickým osobám, které byly poškozeny nedodržením zásad, poskytly možnosti odvolání, a tudíž aby subjektům údajů z EU daly možnost podávat stížnosti týkající se nedodržování zásad ze strany autocertifikovaných společností z USA a dosáhnout vyřešení těchto stížností, případně formou rozhodnutí poskytujícího účinnou nápravu.

(39) V rámci autocertifikace musí organizace vyhovět požadavkům zásady odvolání, prosazování a odpovědnosti, a to zajištěním účinných a snadno dostupných nezávislých odvolacích mechanismů, pomocí kterých lze stížnosti fyzických osob a spory vyšetřit a promptně vyřešit, aniž by fyzické osobě vznikly náklady.

(40) Organizace si mohou zvolit nezávislé odvolací mechanismy buď v Unii nebo ve Spojených státech. Sem patří možnost dobrovolného závazku ke spolupráci s orgány EU pro ochranu údajů. Tato volba však není možná, pokud organizace zpracovávají údaje o lidských zdrojích, neboť v tom případě je spolupráce s orgány pro ochranu údajů povinná. K dalším alternativám patří nezávislé alternativní řešení sporů nebo soukromým sektorem vyvinuté programy na ochranu soukromí, do kterých jsou začleněny zásady ochrany soukromí. Programy na ochranu soukromí musí obsahovat účinné donucovací mechanismy v souladu s požadavky zásady odvolání, prosazování a odpovědnosti. Organizace jsou povinny napravit veškeré problémy související s neplněním zásad. Musí také uvést, že podléhají vyšetřovací a donucovací pravomoci Federální obchodní komise, Ministerstva dopravy nebo jiného pověřeného, zákonem zřízeného orgánu USA.

(41) Rámec štítu na ochranu soukromí tedy subjektům údajů poskytuje řadu možností jak uplatnit svá práva, podávat stížnosti týkající se nedodržování zásad ze strany autocertifikovaných společností z USA a dosáhnout vyřešení těchto stížností, případně formou rozhodnutí poskytujícího účinnou nápravu. Fyzické osoby mohou stížnost předložit přímo organizaci, nezávislému subjektu pro řešení sporů označeného organizací, vnitrostátnímu orgánu pro ochranu údajů nebo Federální obchodní komisi.

(42) V případech, kdy jejich stížnosti nebyly vyřešeny ani jedním z odvolacích či donucovacích mechanismů, mají fyzické osoby také právo využít závazného rozhodčího řízení u panelu štítu na ochranu soukromí (příloha 1 přílohy II tohoto rozhodnutí). Kromě rozhodčího panelu, jehož využití vyžaduje, aby předtím byly vyčerpány určité opravné prostředky, mohou fyzické osoby využít kterýkoli nebo všechny nápravné mechanismy dle vlastní volby a nejsou povinny zvolit si jeden mechanismus na úkor jiného ani postupovat podle jakési určené posloupnosti. Existuje však doporučený logický postup, který je rozveden níže.

(43) Za prvé, subjekty údajů z EU mohou případy nedodržení zásad řešit přímým kontaktováním autocertifikované společnosti z USA. Pro usnadnění řešení musí organizace zavést účinný nápravný mechanismus. Organizace tedy musí fyzické osoby ve své politice ochrany soukromí jasně informovat o kontaktním místě uvnitř organizace nebo mimo ni, které bude vyřizovat stížnosti (včetně jakéhokoli relevantního zařízení v Unii, které může odpovídat na dotazy nebo stížnosti), a o nezávislých mechanismech vyřizování stížností.

(44) Po přijetí stížnosti fyzické osoby buď přímo od ní nebo prostřednictvím Ministerstva obchodu v návaznosti na postoupení orgánem pro ochranu údajů musí organizace subjektu údajů z EU odpovědět do 45 dní. Tato odpověď musí obsahovat posouzení důvodnosti stížnosti a informace o tom, jak bude problém napraven. Organizace jsou taktéž povinny promptně odpovídat na dotazy a jiné žádosti o informace ze strany Ministerstva obchodu nebo orgánu pro ochranu údajů (39) (pokud se organizace zavázala s ním spolupracovat) týkající se jejich přijetí zásad. Organizace musí uchovávat záznamy o provádění svých politik ochrany soukromí a na žádost v souvislosti s vyšetřováním nebo stížností na nedodržování zásad je poskytovat nezávislému odvolacímu orgánu nebo Federální obchodní komisi (nebo jinému orgánu USA příslušnému vyšetřovat nekalé a klamavé praktiky).

(45) Za druhé, fyzické osoby mohou stížnost podat přímo u nezávislého subjektu pro řešení sporů (buď ve Spojených státech, nebo v Unii), který je organizací pověřen, aby šetřil a řešil stížností fyzických osob (nejsou-li zjevně nepodložené nebo bezdůvodné) a zdarma fyzickým osobám poskytoval odpovídající právní ochranu. Sankce a opravné prostředky uložené takovým subjektem musí být natolik přísné, aby bylo zajištěno dodržení zásad ze strany organizací, a měly by organizacím umožňovat obrácení nebo nápravu účinků nedodržování zásad a dále v závislosti na okolnostech by měly zajistit ukončení dalšího zpracovávání dotčených osobních údajů a/nebo jejich výmaz a také sloužit k propagaci zjištění o nedodržení zásad. Nezávislé subjekty pro řešení sporů ustanovené organizací budou povinny na svých veřejných webech uvádět relevantní informace týkající se štítu EU–USA na ochranu soukromí a služby, které v jeho rámci poskytují. Každý rok musí zveřejnit výroční zprávu s uvedením souhrnných statistik ohledně těchto služeb (40).

(46) V rámci svého přezkumu dodržování zásad bude Ministerstvo obchodu ověřovat, zda se autocertifikované společnosti z USA skutečně zaregistrovaly u nezávislých odvolacích orgánů, u kterých se dle vlastního tvrzení zaregistrovat měly. Jak organizace, tak odpovědné nezávislé odvolací orgány jsou povinny promptně odpovídat na dotazy a žádosti Ministerstva obchodu o informace týkající se štítu na ochranu soukromí.

(47) V případě, že organizace nedodrží usnesení subjektu pro řešení sporů nebo samoregulačního subjektu, musí tento subjekt takové nedodržení oznámit Ministerstvu obchodu a Federální obchodní komisi (nebo jinému orgánu USA příslušnému vyšetřovat nekalé a klamavé praktiky), nebo příslušnému soudu (41). Odmítne-li se organizace podřídit konečnému rozhodnutí vydanému jakýmkoli samoregulačním subjektem pro otázky ochrany soukromí, nezávislým subjektem pro řešení sporů nebo vládním subjektem, nebo pokud takový subjekt zjistí, že organizace nedodržuje zásady často, bude to chápáno jako soustavné nedodržování zásad s tím výsledkem, že Ministerstvo obchodu poté, co nejprve v 30denní lhůtě poskytne organizaci, která nedodržela zásady, možnost vyjádřit se, vyškrtne organizaci ze seznamu (42). Pokud po odstranění ze seznamu organizace nadále tvrdí, že je certifikována v rámci štítu na ochranu soukromí, postoupí Ministerstvo obchodu věc Federální obchodní komisi či jinému donucovacímu orgánu (43).

(48) Za třetí mohou fyzické osoby podávat stížnosti u vnitrostátního orgánu pro ochranu údajů. Organizace jsou povinny spolupracovat s orgánem pro ochranu údajů na šetření a vyřešení stížnosti, buď pokud se týká zpracování údajů o lidských zdrojích shromážděných v kontextu zaměstnaneckého vztahu, nebo pokud se příslušná organizace dobrovolně podřídila dohledu orgánů pro ochranu údajů. Konkrétně musí organizace odpovídat na dotazy, řídit se doporučeními orgánu pro ochranu údajů, pokud jde mimo jiné o nápravné nebo odškodňující opatření, a předkládat orgánu pro ochranu údajů písemná potvrzení o tom, že příslušný krok byl podniknut.

(49) Orgány pro ochranu údajů poskytují doporučení prostřednictvím neformálního panelu orgánů pro ochranu údajů vytvořeného na úrovni Unie (44), jehož smyslem je přispět k harmonizovanému a koherentnímu přístupu k jednotlivým stížnostem. Doporučení se vydá poté, co byla oběma stranám sporu poskytnuta dostatečná příležitost vyjádřit stanovisko a předložit jakékoli důkazy. Panel vydá doporučení v co nejkratší době v souladu s požadavkem na spravedlivé řízení a obecně do 60 dní po obdržení stížnosti. Jestliže se organizace nepodrobí doporučení do 25 dnů od jeho doručení a zpoždění uspokojivě nevysvětlí, vydá panel oznámení v tom smyslu, že hodlá buď věc předložit Federální obchodní komisi (či jinému příslušnému donucovacímu orgánu USA), nebo dospět k závěru, že závazek ke spolupráci byl závažným způsobem porušen. V prvním případě to může vést k postihu na základě § 5 zákona o Federální obchodní komisi (nebo jiného právního předpisu). V druhém případě panel informuje Ministerstvo obchodu, které toto odmítnutí organizace podrobit se doporučení orgánu pro ochranu údajů posoudí jako soustavné nedodržování zásad, což povede k odstranění organizace ze seznamu organizací štítu na ochranu soukromí.

(50) Pokud orgán pro ochranu údajů, jemuž byla stížnost adresována, nepřijme žádná opatření nebo přijme nedostatečná opatření k vyřešení stížnosti, má stěžovatel možnost napadnout tato opatření (nebo jejich absenci) u vnitrostátního soudu příslušného členského státu.

(51) Fyzické osoby mohou stížnosti u orgánů pro ochranu údajů podávat i v případě, kdy panel orgánů pro ochranu údajů nebyl organizací určen jako její subjekt pro řešení sporů. V těchto případech může orgán pro ochranu údajů takové stížnosti postupovat buď Ministerstvu obchodu nebo Federální obchodní komisi. Pro usnadnění a prohloubení spolupráce ve věcech týkajících se stížností fyzických osob a nedodržování zásad ze strany organizací účastnících se štítu na ochranu soukromí zřídí Ministerstvo obchodu specializované kontaktní místo, které bude fungovat jako styčný bod a které bude orgánům pro ochranu údajů pomáhat s dotazy na dodržování zásad ze strany organizací (45). Taktéž Federální obchodní komise se zavázala zřídit zvláštní kontaktní místo (46) a poskytovat orgánům pro ochranu údajů pomoc při šetřeních v souladu se zákonem o bezpečném internetu (47).

(52) Za čtvrté, Ministerstvo obchodu se zavázalo přijímat a posuzovat stížnosti na nedodržování zásad ze strany organizace a vynaložit veškeré rozumné úsilí k jejich vyřešení. K tomuto účelu poskytuje Ministerstvo obchodu orgánům pro ochranu údajů zvláštní postupy pro postupování stížností specializovanému kontaktnímu místu, jejich sledování a dořešení se společnostmi. Aby bylo zpracování jednotlivých stížností co nejrychlejší, kontaktní místo jedná ve věcech dodržování zásad v přímé součinnosti s příslušným orgánem pro ochranu údajů a zejména jej během nejvýše 90 dní od postoupení informuje o stavu stížností. Subjekty údajů mohou díky tomu stížnosti na nedodržení zásad ze strany autocertifikovaných společností z USA podávat u svých vnitrostátních orgánů pro ochranu údajů, které pak tyto stížnosti zašlou Ministerstvu obchodu jakožto orgánu USA spravujícímu štít EU–USA na ochranu soukromí. Ministerstvo obchodu se také zavázalo vypracovat v rámci každoročního přezkumu fungování štítu EU–USA na ochranu soukromí zprávu souhrnně analyzující stížnosti, které každý rok obdrží (48).

(53) Pokud Ministerstvo obchodu na základě vlastních ověření z moci úřední, stížností nebo jiných informací dospěje k závěru, že organizace soustavně nedodržuje zásady ochrany soukromí, odstraní takovou organizaci ze seznamu organizací štítu na ochranu soukromí. Odmítnutí podřídit se konečnému rozhodnutí vydanému jakýmkoli samoregulačním subjektem pro otázky ochrany soukromí, nezávislým subjektem pro řešení sporů nebo vládním subjektem, včetně orgánu pro řešení sporů, bude chápáno jako soustavné nedodržování zásad.

(54) Za páté, organizace účastnící se štítu na ochranu soukromí musí podléhat vyšetřovací a donucovací pravomoci orgánů USA, zejména pak Federální obchodní komise (49), která účinně zajišťuje dodržování zásad. Federální obchodní komise bude prioritně řešit případy nedodržení zásad ochrany soukromí postoupené nezávislými subjekty pro řešení sporů nebo samoregulačními orgány, Ministerstvem obchodu a orgány pro ochranu údajů (jednajícími z vlastní iniciativy nebo na základě stížnosti) za účelem stanovení, zda byl porušen § 5 zákona o Federální obchodní komisi (Federal Trade Commission Act) (50). Federální obchodní komise se zavázala vytvořit standardizovaný postup postupování případů, ustanovit kontaktní místo uvnitř komise pro případy postoupené orgány pro ochranu údajů, a sdílet informace o postupovaných případech. Kromě toho bude přijímat přímé stížnosti fyzických osob a z vlastní iniciativy provádět šetření případů souvisejících se štítem na ochranu soukromí, zejména jako součást jejích vlastních širších šetření případů porušení soukromí.

(55) Federální obchodní komise může prosazovat dodržování zásad správními příkazy (consent orders) a bude systematicky monitorovat plnění těchto příkazů. Pokud organizace příkaz neplní, Federální obchodní komise smí takový příkaz postoupit příslušnému soudu, aby v občanskoprávním řízení rozhodl o odpovědnosti a jiných opravných prostředcích, včetně za jakoukoli újmu způsobenou nezákonným jednáním. Federální obchodní komise může případně také přímo požádat federální soud o předběžný nebo trvalý soudní příkaz nebo jiné opravné prostředky. Každý consent order vydaný organizaci, která se účastní štítu na ochranu soukromí, bude obsahovat ustanovení o podávání zpráv (51) a organizace budou povinny zveřejnit jakoukoli relevantní, štítu na ochranu soukromí se týkající část každé hodnotící zprávy nebo zprávy o dodržování zásad předložené Federální obchodní komisi. A konečně Federální obchodní komise povede online seznam společností, jimž byl vydán soudní příkaz nebo příkaz správní FTC v případech týkajících se štítu na ochranu soukromí.

(56) Za šesté, v případě, že žádnou z ostatních dostupných možností nápravy nebyla stížnost fyzické osoby vyřešena, smí subjekt údajů z EU využít závazného rozhodčího řízení u „panelu štítu na ochranu soukromí (Privacy Shield Panel)“. Organizace musí fyzické osoby informovat o tom, že za určitých podmínek mají možnost využít závazného rozhodčího řízení, a jsou povinny reagovat, jakmile fyzická osoba tuto možnost využila zasláním oznámení dotčené organizaci (52).

(57) Tento rozhodčí panel bude sestávat ze skupiny nejméně 20 rozhodců jmenovaných Ministerstvem obchodu a Komisí na základě jejich nezávislosti, bezúhonnosti a zkušeností v právu USA o ochraně soukromí i v právu EU o ochraně údajů. Pro každý jednotlivý spor strany z této skupiny vyberou panel jednoho nebo tří rozhodců (53). Řízení se bude řídit standardními rozhodčími pravidly, na nichž se Ministerstvo obchodu a Komise dohodnou. Tato pravidla doplní již uzavřený rámec, který obsahuje několik rysů, jež zvyšují dostupnost tohoto mechanismu pro subjekty údajů z EU: i) při přípravě podnětů pro panel může subjektu údajů pomáhat jeho vnitrostátní orgán pro ochranu údajů; ii) přestože se řízení bude konat ve Spojených státech, mají subjekty údajů v EU možnost se jej zúčastnit pomocí videokonferenční nebo telekonferenční služby, která jim bude poskytnuta zdarma; iii) přestože jazykem rozhodčího řízení bude zásadně angličtina, na odůvodněnou žádost bude subjektu údajů během rozhodčího jednání obvykle (54) a zdarma poskytnuto tlumočení; iv) a konečně poněvadž každá ze stran musí hradit odměnu pro svého právního zástupce, je-li jím před panelem zastupována, zřídí Ministerstvo obchodu fond financovaný z ročních příspěvků organizací štítu na ochranu soukromí, z nějž budou hrazeny způsobilé náklady rozhodčího řízení až do maximální částky, kterou stanoví orgány USA v konzultaci s Komisí.

(58) Panel štítu na ochranu soukromí bude mít pravomoc ukládat „individuální, nepeněžité přiměřené opatření“ (55), které je nezbytné k nápravě nedodržení zásad. Panel sice ve svém rozhodování zohlední jiné opravné prostředky získané prostřednictvím jiných mechanismů štítu na ochranu soukromí, pokud však mají fyzické osoby za to, že tyto jiné opravné prostředky jsou nepostačující, mohou využít rozhodčího řízení. To subjektům údajů z EU umožní, aby využívali rozhodčího řízení ve všech případech, kdy opatření příslušných orgánů USA (například Federální obchodní komise) nebo absence takových opatření jejich stížnost nevyřešila uspokojivým způsobem. Rozhodčího řízení nelze využít, je-li předmětný nárok vůči autocertifikované společnosti z USA ze zákona oprávněn řešit orgán pro ochranu údajů, zejména v případech, kdy je organizace buď povinna spolupracovat a řídit se doporučením orgánu pro ochranu údajů, pokud jde o zpracování údajů o lidských zdrojích shromážděných v kontextu zaměstnávání, nebo se k tomu dobrovolně zavázala sama. Fyzické osoby mohou rozhodnutí rozhodčího řízení vykonávat prostřednictvím soudů USA v souladu s federálním zákonem o rozhodčím řízení (Federal Arbitration Act), a zajistit si tak procesní prostředek pro případ, kdy společnost nedodrží zásady ochrany údajů.

(59) Za sedmé, pokud organizace poruší svůj závazek dodržovat zásady a politiku ochrany soukromí, kterou zveřejnila, mohou dodatečné možnosti soudní nápravy poskytovat právní předpisy jednotlivých států USA, které stanoví procesní prostředky v rámci práva mimosmluvních občanskoprávních deliktů a v případech podvodného uvedení v omyl, nekalého nebo klamavého jednání či praktik nebo porušení smlouvy.

(60) Pokud navíc orgán pro ochranu údajů po přijetí nároku subjektu údajů z EU shledá, že předání osobních údajů fyzické osoby organizaci ve Spojených státech proběhlo v rozporu s právem EU v oblasti ochrany údajů, včetně případů, kdy vývozce údajů z EU má důvod se domnívat, že organizace nedodržuje zásady, může také uplatnit své pravomoci vůči vývozci údajů a v případě potřeby vydat příkaz k pozastavení předání údajů.

(61) Ve světle informací uvedených v tomto oddíle má Komise za to, že zásady vydané Ministerstvem obchodu USA jako takové zajišťují úroveň ochrany osobních údajů, která je v zásadě rovnocenná úrovni ochrany zaručené hmotněprávními základními zásadami stanovenými ve směrnici 95/46/ES.

(62) Účinné uplatňování zásad kromě toho zaručují povinnosti ohledně transparentnosti a správa štítu na ochranu soukromí a přezkum dodržování zásad štítu vykonávané Ministerstvem obchodu.

(63) Komise má dále za to, že dohledové, odvolací a donucovací mechanismy stanovené štítem na ochranu soukromí jako celek umožňují, aby porušení zásad ze strany organizací, které jsou součástí štítu na ochranu soukromí, byla v praxi odhalována a postihována, a poskytují subjektu údajů procesní prostředky, které mu umožní získat přístup k osobním údajům, které se jej týkají, a v konečném důsledku dosáhnout opravy nebo výmazu takových údajů.

3. PŘÍSTUP ORGÁNŮ VEŘEJNÉ MOCI USA K OSOBNÍM ÚDAJŮM PŘEDÁVANÝM V RÁMCI ŠTÍTU EU–USA NA OCHRANU SOUKROMÍ A POUŽITÍ TĚCHTO ÚDAJŮ TĚMITO ORGÁNY

(64) Jak vyplývá z přílohy II oddílu I bodu 5, přijetí zásad je omezeno v rozsahu nezbytném ke splnění požadavků národní bezpečnosti, veřejného zájmu či prosazování práva.

(65) Komise posoudila omezení a ochranná opatření, která jsou k dispozici v právu USA, pokud jde o přístup orgánů veřejné moci USA k osobním údajům předávaným v rámci štítu EU–USA na ochranu soukromí a použití těchto údajů těmito orgány pro účely národní bezpečnosti, prosazování práva a jiné účely veřejného zájmu. Vláda USA kromě toho prostřednictvím Úřadu ředitele národních zpravodajských služeb (Office of the Director of National Intelligence, ODNI) (56) poskytla Komisi podrobná prohlášení a závazky, které jsou uvedeny v příloze VI tohoto rozhodnutí. Dopisem ministra zahraničních věcí, který tvoří přílohu III tohoto rozhodnutí, se vláda USA zavázala rovněž vytvořit nový mechanismus pro dohled nad zásahy z důvodu národní bezpečnosti, úřad ombudsmana ve věcech štítu na ochranu soukromí, který je nezávislý na zpravodajské komunitě. A konečně prohlášení Ministerstva spravedlnosti USA, které tvoří přílohu VII tohoto rozhodnutí, popisuje omezení a ochranná opatření použitelná na přístup orgánů veřejné správy k údajům a jejich použití těmito orgány pro účely prosazování práva a jiné účely veřejného zájmu. Pro vyšší transparentnost a aby byla podtrhnuta právní povaha těchto závazků, bude každý z výše uvedených dokumentů připojených k tomu rozhodnutí zveřejněn ve Federálním úředním věstníku USA (U.S. Federal Register).

(66) Zjištění Komise o omezeních přístupu orgánů veřejné moci USA k osobním údajům předávaným z Evropské unie do Spojených států, o omezení jejich použití těmito orgány a o existenci účinné právní ochrany jsou dále podrobně rozvedena níže.

3.1 Přístup orgánů veřejné moci USA k údajům a použití údajů těmito orgány pro účely národní bezpečnosti

(67) Z analýzy Komise plyne, že právo USA obsahuje několik omezení přístupu orgánů veřejné moci USA k osobním údajům předávaným v rámci štítu EU–USA na ochranu soukromí pro účely národní bezpečnosti a použití těchto údajů těmito orgány, jakož i dohledové a nápravné mechanismy, které poskytují dostatečná ochranná opatření k tomu, aby byly tyto údaje účinně ochráněny před nezákonnými zásahy a rizikem zneužití (57). Od roku 2013, kdy Komise zveřejnila dvě sdělení k tomuto tématu (viz 7. bod odůvodnění), byl tento právní rámec významně posílen, jak je popsáno níže.

3.1.1 Omezení

(68) Podle Ústavy USA spadá zajištění národní bezpečnosti do pravomoci prezidenta jakožto vrchního velitele ozbrojených sil a vrchního představitele výkonné moci, a pokud jde o zahraniční zpravodajství, do jeho pravomoci jednat v zahraničních věcech USA (58). Kongres USA sice má právo ukládat omezení, a v minulosti tak v mnoha ohledech učinil, v těchto mezích však prezident smí řídit činnost zpravodajské komunity USA, zejména prostřednictvím výkonných dekretů nebo prezidentských směrnic. To se samozřejmě týká i oblastí, pro které pokyny Kongresu neexistují. Dvěma ústředními právními nástroji v tomto smyslu v současnosti jsou výkonný dekret 12333 (Executive Order 12333, dále také jen „EO 12333“) (59) a prezidentská politická směrnice 28.

(69) Prezidentská politická směrnice 28 (Presidential Political Directive, dále také jen „PPD-28“) ze dne 17. ledna 2014 ukládá řadu omezení operací „signálového zpravodajství“ (60). Tato prezidentská směrnice je závazná pro zpravodajské orgány USA (61) a zůstává v platnosti i po změně administrativy USA (62). Směrnice PPD-28 je zvlášť důležitá pro osoby, které nejsou občany USA, včetně subjektů údajů z EU. Směrnice mimo jiné stanoví, že: a) sběr signálových zpravodajských informací musí být podložen zákonem nebo zmocněním prezidenta a musí být prováděn v souladu s Ústavou USA (zejména jejím čtvrtým dodatkem) a zákony USA; b) se všemi osobami by mělo být zacházeno důstojně a s úctou bez ohledu na jejich státní příslušnost či bydliště; c) všechny osoby mají z hlediska ochrany soukromí legitimní zájem o to, jak je s jejich osobními informacemi nakládáno; d) soukromí a občanské svobody jsou nedílnou součástí plánování činnosti signálového zpravodajství USA; e) činnosti signálového zpravodajství USA proto musí obsahovat příslušná opatření na ochranu osobních informací všech fyzických osob nehledě na jejich státní příslušnost či bydliště.

(70) Směrnice PPD-28 ukládá, aby signálové zpravodajské informace byly shromažďovány výhradně tehdy, existuje-li z důvodu zahraničního zpravodajství či kontrašpionáže účel podpory národních a ministerských misí, a pro žádný jiný účel (např. pro poskytnutí konkurenční výhody společnostem z USA). V tomto ohledu, jak vysvětluje ODNI, by prvky zpravodajské komunity „měly vyžadovat, aby sběr, kdykoli je to proveditelné, byl soustředěn na konkrétní cíle nebo témata zahraničního zpravodajství, a to za použití diskriminantů (např. specifických komunikačních prostředků, selekčních termínů a identifikátorů)“ (63). Prohlášení poskytují dále ujištění v tom smyslu, že rozhodnutí o sběru zpravodajských informací nejsou na uvážení jednotlivých zpravodajských úředníků, nýbrž podléhají politice a postupům, které jsou jednotlivé prvky (agentury) zpravodajské komunity USA povinny zavést v rámci provádění směrnice PPD-28 (64). Hledání a určování vhodných selektorů tak probíhá v zastřešujícím „rámci priorit národního zpravodajství“ (National Intelligence Priorities Framework, NIPF), jehož cílem je, aby zpravodajské priority byly stanovovány tvůrci politik na vysoké úrovni a aby byly pravidelně přezkoumávány tak, aby pohotově reagovaly na aktuální hrozby národní bezpečnosti a zohledňovaly možná rizika, včetně rizik z hlediska ochrany soukromí (65). Na tomto základě pracovníci zpravodajské agentury vyhledávají a určují konkrétní selekční termíny, díky nimž budou nasbírány zahraniční zpravodajské informace, které pohotově reagují na priority (66). Selektory musí být pravidelně přezkoumávány, zda i nadále poskytují cenné zpravodajské informace v souladu s prioritami (67).

(71) Dále požadavky uvedené ve směrnici PPD-28 ukládají, aby sběr zpravodajských informací byl vždy (68)„v nejvyšší možné míře uzpůsoben na míru,“ a aby zpravodajská komunita upřednostňovala jiné dostupné informace a vhodné a proveditelné alternativy (69), a reflektovala obecné pravidlo upřednostňování cíleného sběru nad hromadným. Dle ujištění ODNI tyto požadavky zejména zajišťují, aby hromadný sběr nebyl „masový“ ani „nahodilý“ aby se z výjimky nestalo pravidlo (70).

(72) Směrnice PPD-28 vysvětluje, že prvky zpravodajské komunity musí někdy za určitých okolností shromažďovat signálové zpravodajské informace hromadně, např. aby mohly identifikovat a vyhodnocovat nové nebo vznikající hrozby, zároveň ale těmto prvkům ukládá, aby upřednostňovaly alternativy, které umožní provádění cíleného signálového zpravodajství (71). Z toho plyne, že k hromadnému sběru dojde jen tehdy, pokud cílený sběr pomocí determinantů – tj. identifikátoru asociovaného s konkrétním cílem (např. e-mailová adresa nebo telefonní číslo cíle) – není možný „z technických či provozních důvodů“ (72). To se týká jak způsobu sběru signálových zpravodajských informací, tak toho, jaké informace jsou shromažďovány (72).

(73) Podle prohlášení ODNI se zpravodajská komunita snaží „co nejvíce“ zúžit sběr i v případech, kdy nemůže použít specifické identifikátory pro cílený sběr. Dosahuje toho tím, že „používá filtry a jiné technické nástroje, aby sběr soustředila na ty prostředky, které budou pravděpodobně obsahovat komunikaci, která má hodnotu z hlediska zahraničních zpravodajských informací“ (a bude tedy responsivní k požadavkům stanoveným politiky USA v souladu s postupem popsaným v 70. bodě odůvodnění). U hromadného sběru tedy bude cílení prováděno alespoň dvěma způsoby. Za prvé, bude se vždy týkat pouze konkrétních zahraničně zpravodajských cílů (např. získávání signálového zpravodajství o činnostech teroristické skupiny operující v konkrétní oblasti) a zaměří sběr na komunikace, které s tím mají souvislost. Podle ujištění poskytnutých ODNI se toto odráží ve skutečnosti, že „činnosti Spojených států v oblasti signálového zpravodajství se dotýkají jen zlomku komunikace na internetu“ (73). Za druhé, ODNI v prohlášeních vysvětluje, že filtry a jiné použité technické nástroje budou navrženy tak, aby sběr soustřeďovaly „co možná nejpřesněji“ tak, aby bylo zajištěno, že objem „irelevantních informací“ bude minimalizován.

(74) I v případech, kdy Spojené státy považují za nezbytné shromažďovat signálové zpravodajství hromadně za podmínek stanovených v 70.–73. bodě odůvodnění, omezuje směrnice PPD-28 využívání takových informací na šest konkrétních účelů, jejichž cílem je ochrana soukromí a občanských svobod všech osob bez ohledu na jejich státní příslušnost či bydliště (74). Tyto přípustné účely zahrnují opatření na odhalování a potírání hrozeb pro ozbrojené síly nebo vojsko plynoucích ze špionáže, terorismu, zbraní hromadného ničení, hrozeb kybernetické bezpečnosti, jakož i přeshraničních hrozeb trestné činnosti týkajících se ostatních pěti účelů, a budou přezkoumávány alespoň jednou ročně. Podle prohlášení orgánů vlády USA posílily jednotlivé prvky zpravodajské komunity svoji analytickou praxi a normy pro dotazování nevyhodnocených signálových zpravodajských informací tak, aby bylo těmto požadavkům vyhověno; použití cílených dotazů „zajišťuje, že analytikům budou k přezkoumání předloženy jen ty informace, které jsou potenciálně zpravodajsky hodnotné“ (75).

(75) Tato omezení jsou obzvláště relevantní pro osobní údaje předávané v rámci štítu EU–USA na ochranu soukromí, zejména v případech, kdy má ke sběru osobních údajů dojít mimo Spojené státy, mimo jiné během jejich cesty transatlantickými kabely z Unie do Spojených států. Na takový sběr, jak potvrdily orgány USA v prohlášeních ODNI, se vztahují v nich stanovená omezení a ochranná opatření, včetně omezení a ochranných opatření podle směrnice PPD-28 (76).

(76) Tyto zásady vystihují podstatu zásady nezbytnosti a zásady proporcionality, ačkoli těmito právními termíny nejsou vyjádřeny. Jasně upřednostňován je cílený sběr, zatímco hromadný sběr je omezen na (výjimečné) situace, kdy cílený sběr není možný z technických nebo provozních důvodů. I v případech, kdy je hromadný sběr nevyhnutelný, je další „využívání“ těchto údajů formou přístupu k nim striktně omezeno na konkrétní, legitimní účely národní bezpečnosti (77).

(77) Tyto požadavky, které mají podobu směrnice vydané prezidentem jakožto vrchním představitelem výkonné moci, zavazují celou zpravodajskou komunitu a byly dále implementovány prostřednictvím provozních řádů jednotlivých zpravodajských agentur, které transponují obecné zásady do konkrétních pokynů pro každodenní operace. Přestože Kongres sám není směrnicí PPD-28 vázán, i on přijal opatření k zajištění toho, aby sběr osobních údajů a přístup k nim ve Spojených státech byl cílený, a nikoli „všeobecný“.

(78) Z dostupných informací, včetně prohlášení vlády USA, vyplývá, že jakmile jsou údaje předány organizacím umístěným ve Spojených státech a autocertifikovaným v rámci štítu EU–USA na ochranu soukromí, mohou zpravodajské agentury USA prohledávat osobní údaje pouze (78) tehdy, pokud je jejich žádost v souladu se zákonem o zabezpečování informací o činnostech cizí moci (Foreign Intelligence Surveillance Act, FISA) nebo pokud žádost podal Federální vyšetřovací úřad (FBI) na základě tzv. National Security Letter (NSL) (79). V zákoně FISA existuje několik právních základů pro sběr (a následné zpracování) osobních údajů subjektů údajů z EU předávaných v rámci štítu EU–USA na ochranu soukromí. Kromě § 104 zákona FISA (80), kterým se řídí tradiční elektronické sledování fyzických osob, a § 402 zákona FISA (81) o instalaci zařízení k záznamu příchozích a odchozích telefonních čísel jsou dvěma ústředními nástroji § 501 zákona FISA (bývalý § 215 zákona U.S. PATRIOT ACT) a § 702 FISA (82).

(79) V tomto ohledu zákon USA FREEDOM Act, který byl přijat 2. června 2015, zakazuje hromadný sběr záznamů na základě § 402 zákona FISA (instalace zařízení k záznamu příchozích a odchozích telefonních čísel), § 501 zákona FISA (bývalý § 215 zákona U.S. PATRIOT ACT) (83) a prostřednictvím NSL, a požaduje místo toho použití konkrétních „selekčních termínů“ (84).

(80) Ačkoli zákon FISA obsahuje další zákonná zmocnění k provádění národní zpravodajské činnosti, včetně signálového zpravodajství, z hodnocení Komise vyplynulo, že pokud jde o osobní údaje, které mají být předávány v rámci štítu EU–USA na ochranu soukromí, omezují tato zákonná zmocnění rovněž veřejný zásah do cíleného sběru údajů a přístupu k nim.

(81) To je jasné u tradičního elektronického sledování fyzických osob podle § 104 zákona FISA (85). Pokud jde o § 702 zákona FISA, který představuje základ pro dva významné zpravodajské programy zpravodajských agentur USA (PRISM, UPSTREAM), vyhledávání je prováděno cíleně použitím individuálních selektorů, které identifikují konkrétní komunikační prostředky, jako např. e-mailovou adresu nebo telefonní číslo cíle, avšak nikoli pomocí klíčových slov či dokonce jmen cílených fyzických osob (86). Tudíž, jak poznamenal Výbor pro dohled nad ochranou soukromí a občanských svobod (PCLOB), sledování podle § 702 „spočívá zcela ve sledování konkrétních osob, [které nejsou občany USA a] o kterých bylo učiněno individualizované zjištění“ (87). Podle ustanovení o skončení platnosti bude § 702 zákona FISA přezkoumán v roce 2017, kdy také bude Komise muset přehodnotit ochranná opatření, které mají subjekty údajů v EU k dispozici.

(82) Kromě toho vláda USA ve svých prohlášeních Evropskou komisi výslovně ujistila, že zpravodajská komunita USA „neprovádí nahodilé sledování kohokoli, ani běžných evropských občanů“ (88). Pokud jde o osobní údaje shromažďované na území Spojených států, je toto prohlášení podloženo empirickými důkazy, které dokládají, že žádosti o přístup podávané prostřednictvím NSL a podle zákona FISA se jak jednotlivě, tak jako celek týkají pouze relativně malého počtu cílů vzhledem k celkovému toku dat na internetu (89).

(83) Pokud jde o přístup k shromážděným údajům a bezpečnost údajů, směrnice PPD-28 požaduje, aby přístup byl „omezen na pracovníky s oprávněním, kteří mají potřebu informace znát, aby mohli plnit svoje úkoly“, a aby osobní informace byly „zpracovávány a uchovávány za podmínek, které v souladu s platnými opatřeními na ochranu citlivých informací zajišťují odpovídající ochranu a zabraňují osobám bez oprávnění v přístupu k nim“. Zpravodajští pracovníci jsou patřičně a příslušně obeznámeni se zásadami uvedenými ve směrnici PPD-28 (90).

(84) Pokud jde o uchovávání a další šíření osobních údajů subjektů údajů z EU shromažďovaných orgány zpravodajství USA, stanoví směrnice PPD-28, že se všemi osobami (včetně osob, které nejsou osobami USA) by mělo být zacházeno důstojně a s úctou, že všechny osoby mají z hlediska ochrany soukromí legitimní zájem o to, jak je s jejich osobními informacemi nakládáno, a že prvky zpravodajské komunity tedy musí vypracovat politiky, které poskytnou vhodná opatření na ochranu těchto údajů a budou „navrženy tak, aby bylo minimalizováno šíření a uchovávání [těchto údajů]“ (91).

(85) Vláda USA vysvětlila, že tento požadavek na přiměřenost znamená, že prvky zpravodajské komunity nebudou muset přijímat „jakékoli teoreticky možné opatření“, nýbrž budou muset „vyvažovat snahu vyhovět legitimním zájmům o ochranu soukromí a občanských svobod s praktickými potřebami činností signálového zpravodajství“ (92). V tomto ohledu bude s osobami, které nejsou osobami USA, zacházeno stejně jako s osobami USA na základě postupů schválených ministrem spravedlnosti USA (93).

(86) Podle těchto pravidel je uchovávání obecně omezeno na nejvýše pět let, nestanoví-li výslovně jinak právní předpisy nebo ředitel národních zpravodajských služeb po pečlivém vyhodnocení obav v oblasti ochrany soukromí – a s přihlédnutím ke stanoviskům vedoucího odboru ODNI pro otázky ochrany občanských svobod a úředníků ODNI pro otázky ochrany soukromí a občanských svobod – v tom smyslu, že pokračující uchování údajů je v zájmu národní bezpečnosti (94). Šíření je omezeno na případy, kdy jsou informace relevantní pro původní a základní účel sběru, a reagují tudíž na oprávněný zahraničně zpravodajský nebo donucovací požadavek (95).

(87) Podle ujištění vlády USA nesmí být osobní informace šířeny pouze proto, že dotčená osoba není osobou USA, a „signálové zpravodajské informace o rutinních činnostech cizí osoby by nebyly považovány za zahraniční zpravodajské informace, které by bylo možno šířit nebo trvale uchovávat pouze na základě této skutečnosti, ledaže by reagovaly na oprávněný zahraničně zpravodajský požadavek“ (96).

(88) Na základě výše uvedeného Komise konstatuje, že ve Spojených státech jsou zavedena pravidla, jejichž smyslem je omezovat jakékoli zásahy pro účely národní bezpečnosti do základních práv osob, jejichž osobní údaje jsou předávány z Unie do USA v rámci štítu EU–USA na ochranu soukromí, na rozsah striktně nezbytný k tomu, aby bylo dosaženo příslušného legitimního cíle.

(89) Jak vyplývá z výše uvedené analýzy, právo USA zajišťuje, že opatření ke sledování budou využita jen k získání zahraničních zpravodajských informací – což je legitimní politický cíl (97) – a budou co nejvíce přizpůsobené. Konkrétně hromadný sběr bude povolen pouze výjimečně v případech, kdy cílený sběr není možný, a bude doprovázen dodatečnými ochrannými opatřeními za účelem minimalizace množství sbíraných údajů a následného přístupu k nim (který bude muset být cílený a povolen pouze pro konkrétní účely).

(90) Podle posouzení Komise je toto v souladu s normou stanovenou Soudním dvorem v rozsudku Schrems, podle nějž právní úprava zasahující do základních práv zaručených články 7 a 8 Listiny musí stanovit „minimální požadavky“ (98) a „na naprosto nezbytné se tedy neomezuje taková právní úprava, která globálně dovoluje uchovávání všech osobních údajů všech osob, jejichž osobní údaje byly předány z Unie do Spojených států bez jakéhokoli rozlišení, omezení nebo výjimky činěných v závislosti na sledovaném cíli a bez stanovení objektivního kritéria umožňujícího vymezit přístup veřejných orgánů k údajům a jejich následné využití pro konkrétní účely, striktně omezené a způsobilé odůvodnit zásah způsobený jak přístupem k těmto údajům, tak jejich využíváním“ (99). Nebude docházet ani k neomezenému sběru a uchovávání údajů všech osob bez jakýchkoli omezení, ani k neomezenému přístupu. Prohlášení poskytnutá Komisi, včetně ujištění, že signálové zpravodajské činnosti USA se dotýkají pouze zlomku komunikace na internetu, navíc vylučují, že by existoval „globální“ (100) přístup k obsahu elektronických komunikací.

3.1.2 Účinná právní ochrana

(91) Komise posoudila jak mechanismy dohledu, které existují ve Spojených státech v souvislosti s jakýmkoli zásahem zpravodajských orgánů USA do osobních dat předávaných do Spojených států, tak možnosti individuální nápravy, jaké mají subjekty údajů z EU k dispozici.

Dohled

(92) Zpravodajská komunita USA podléhá řadě přezkumných a dohledových mechanismů, které spadají do působnosti tří složek státní moci. Mezi tyto mechanismy patří interní a externí subjekty v rámci výkonné moci, několik výborů Kongresu a soudní dohled – posledně jmenovaný pak konkrétně v souvislosti s činnostmi podle zákona FISA.

(93) Zpravodajská činnost orgánů USA je v první řadě předmětem rozsáhlého dohledu ze strany výkonné moci.

(94) Podle § 4(a)(iv) směrnice PPD-28 politiky a postupy prvků zpravodajské komunity „obsahují odpovídající opatření k usnadnění dohledu nad prováděním opatření na ochranu osobních informací“; k takovým opatřením by měl patřit pravidelný audit (101).

(95) V tomto ohledu bylo zavedeno několik vrstev dohledu, mimo jiné úředníci pro otázky ochrany občanských svobod nebo soukromí, generální inspektoři, odbor ODNI pro otázky ochrany občanských svobod a soukromí, Výbor pro dohled nad ochranou soukromí a občanských svobod (PCLOB), a Výbor prezidenta pro dohled nad zpravodajstvím. Ve všech zpravodajských agenturách jsou tyto dohledové funkce dále doplněny činností pracovníků pověřených kontrolou dodržování předpisů (compliance) (102).

(96) Jak vysvětluje vláda USA (103), na řadě ministerstev, která mají v náplni práce zpravodajskou činnost, a ve zpravodajských agenturách (104) existují úředníci pro otázky ochrany občanských svobod nebo soukromí, k jejichž pracovním povinnostem patří dohled. V závislosti na pověřovacích aktech se konkrétní pravomoci těchto úředníků sice mohou lišit, ale většinou k nim patří dozor nad postupy, aby bylo zajištěno, že dané ministerstvo/agentura přistupuje adekvátně k ochraně občanských svobod a soukromí, že zavedlo adekvátní postupy pro řešení stížností fyzických osob, které mají za to, že jejich soukromí nebo občanské svobody byly porušeny (a v některých případech, např. na ODNI, mohou mít sami pravomoc šetřit stížnosti (105)). Vedoucí ministerstva/agentury pak musí zajistit, aby tento úředník obdržel veškeré informace a aby dostal přístup k veškerým materiálům, které k výkonu své funkce potřebuje. Úředníci pro otázky ochrany občanských svobod a soukromí předkládají Kongresu a Výboru pro dohled nad ochranou soukromí a občanských svobod pravidelné zprávy, mimo jiné o počtu a povaze stížností obdržených ministerstvem/agenturou, a shrnutí o povaze stížností, provedených kontrolách a šetřeních a dopadu kroků podniknutých úředníkem (106). Podle posouzení vnitrostátních orgánů pro ochranu údajů lze vnitřní dohled prováděný úředníky pro otázky ochrany občanských svobod nebo soukromí považovat za „poměrně robustní“, přestože dle jejich mínění nesplňuje požadovanou úroveň nezávislosti (107).

(97) Každý prvek zpravodajské komunity má dále vlastního generálního inspektora, do jehož popisu práce patří mimo jiné dohled nad zahraniční zpravodajskou činností (108). Sem patří odbor generálního inspektora v rámci ODNI, kterému je svěřena všeobecná pravomoc nad celou zpravodajskou komunitou a který je oprávněn šetřit stížnosti nebo informace týkající se údajného nezákonného jednání či zneužití pravomoci v souvislosti s ODNI a/nebo programy či činnostmi zpravodajské komunity (109). Generální inspektoři jsou ze zákona nezávislá (110) oddělení odpovědná za provádění auditů a vyšetřování týkajících se programů a operací prováděných příslušnou agenturou pro účely národního zpravodajství, a mimo jiné za zneužití nebo porušení zákona (111). Jsou oprávněni mít přístup ke všem záznamům, zprávám, auditům, přezkumům, dokumentům, listinám, doporučením a dalším relevantním materiálům, v případě potřeby i prostřednictvím předvolání, a mohou vyslýchat (112). Generální inspektoři sice mohou vydávat jen nezávazná doporučení k nápravě, avšak jejich zprávy, včetně zpráv o následných krocích (nebo jejich absenci) se zveřejňují a navíc předkládají Kongresu, který na tomto základě může vykonat svou funkci dohledu (113).

(98) Dále je zde Výbor pro dohled nad ochranou soukromí a občanských svobod (Privacy and Civil Liberties Oversight Board, PCLOB), nezávislá agentura (114) v rámci výkonné moci zahrnující výbor složený z pěti zástupců obou politických stran (115) jmenovaných prezidentem se souhlasem Senátu na pevné období šesti let, které je svěřena ochrana soukromí a občanských svobod v oblasti politik boje proti terorismu a jejich provádění. V rámci přezkumu činnosti zpravodajské komunity smí tento výbor přistupovat ke všem relevantním záznamům, zprávám, auditům, přezkumům, dokumentům, listinám, doporučením a dalším relevantním materiálům jednotlivých agentur, včetně utajovaných informací, a provádět pohovory a vyslýchat svědky. Výboru jsou předkládány zprávy úředníků pro otázky ochrany občanských svobod a soukromí několika federálních ministerstev či agentur (116), jimž může vydávat doporučení, a naopak on předkládá pravidelné zprávy výborům Kongresu a prezidentovi (117). Jedním z úkolů výboru je v mezích jeho mandátu připravit hodnotící zprávu o provádění směrnice PPD-28.

(99) Výše uvedené mechanismy dohledu doplňuje nakonec Výbor pro dohled nad zpravodajstvím zřízený v rámci Poradního výboru prezidenta pro zpravodajství, který dohlíží na to, jak a zda zpravodajské orgány USA dodržují Ústavu USA a veškeré platné předpisy.

(100) Za účelem usnadnění dohledu mají prvky zpravodajské komunity budovat informační systémy umožňující monitoring, zaznamenávání a kontrolu dotazů a jiných vyhledávání osobních informací (118). Subjekty pro dohled a dodržování předpisů budou pravidelně kontrolovat praxi prvků zpravodajské komunity z hlediska ochrany osobních informací obsažených v signálovém zpravodajství a to, zda tyto postupy dodržují (119).

(101) Na tyto funkce dohledu pak navazují rozsáhlé požadavky na hlášení případů nedodržování předpisů. Postupy jednotlivých agentur musí konkrétně zajišťovat, aby každé závažné porušení předpisů, které se týká osobních informací jakékoli osoby bez ohledu na její státní příslušnost shromážděných signálovým zpravodajstvím, bylo bezodkladně hlášeno řediteli tohoto prvku zpravodajské komunity, který je dále nahlásí řediteli národních zpravodajských služeb, který pak podle směrnice PPD-28 posoudí, zda je nutná náprava (120). Podle EO 12333 jsou navíc všechny prvky zpravodajské komunity povinny hlásit případy nedodržení předpisů Výboru pro dohled nad zpravodajstvím (121). Tyto mechanismy zaručují, že věc bude řešena na nejvyšší úrovni zpravodajské komunity. V případech, ve kterých jde o osobu, která není osobou USA, rozhodne ředitel národních zpravodajských služeb v konzultaci s ministrem zahraničních věcí a ředitelem ministerstva nebo agentury, která případ nahlásila, zda je třeba přijmout kroky k informování příslušné cizí vlády v souladu s pravidly ochrany zdrojů a metod a pracovníků vlády USA (122).

(102) Za druhé, kromě těchto mechanismů dohledu v rámci výkonné moci má odpovědnost za dohled nad veškerou zahraniční zpravodajskou činností USA, včetně signálového zpravodajství USA, Kongres USA, konkrétně výbory Sněmovny reprezentantů a Senátu pro zpravodajství a pro justici. Podle zákona o národní bezpečnosti (National Security Act) „prezident zajistí, aby výbory Kongresu pro zpravodajství byly plně a aktuálně informovány o zpravodajské činnosti Spojených států, včetně o veškeré významné očekávané zpravodajské činnosti, jak je stanoveno v této podkapitole“ (123). Dále „prezident zajistí, aby byly výbory Kongresu pro zpravodajství bezodkladně informovány o veškeré nelegální činnosti i o nápravných krocích, jež byly nebo mají být přijaty v souvislosti s takovou nelegální činností“ (124). Členové těchto výborů mají přístup k utajovaným informacím i ke zpravodajským metodám a programům (125).

(103) Pozdější předpisy dále rozšířily a zpřesnily požadavky na hlášení, pokud jde jak o prvky zpravodajské komunity a příslušné generální inspektory, tak o ministra spravedlnosti. Podle zákona FISA je například ministr spravedlnosti povinen „plně informovat“ výbory Senátu a Sněmovny reprezentantů pro zpravodajství a pro justici o činnostech vlády podle určitých paragrafů tohoto zákona (126). Vláda je podle tohoto zákona dále povinna těmto výborům Kongresu předkládat kopie „veškerých rozhodnutí, příkazů či stanovisek Soudu pro uplatňování zákona FISA nebo Odvolacího soudu pro uplatňování zákona FISA, které obsahují významný výklad či interpretaci“ ustanovení zákona FISA. Konkrétně pokud jde o sledování podle § 702 zákona FISA, probíhá dohled formou povinných hlášení výborům Kongresu pro zpravodajství a pro justici a častých brífinků a slyšení. Patří k nim pololetní zpráva ministra spravedlnosti o používání § 702 zákona FISA s podkladovými dokumenty, především zprávami Ministerstva spravedlnosti a Úřadu ředitele národních zpravodajských služeb o dodržování předpisů a popisem všech případů nedodržení (127), a samostatné pololetní hodnocení ministra spravedlnosti a ředitele národních zpravodajských služeb o dodržování postupů cíleného sběru a minimalizace, včetně dodržování postupů k zajištění toho, že údaje jsou shromažďovány pro platný účel zahraničního zpravodajství (128). Kongresu adresují zprávy také generální inspektoři, kteří jsou oprávněni hodnotit, jak agentury dodržují postupy cíleného sběru a minimalizace a pokyny ministra spravedlnosti.

(104) Podle zákona USA FREEDOM Act z roku 2015 musí vláda USA každý rok Kongresu (a veřejnosti) oznamovat počet příkazů a pokynů vyžádaných a obdržených podle zákona o zpravodajském sledování cizích cílů a mimo jiné odhad počtu osob USA a osob, které nejsou osobami USA, které se staly cílem sledování (129). Zákon dále stanoví povinnost zveřejňovat počty vydaných NSL, a to opět jak u osob USA, tak u osob, které nejsou osobami USA (přičemž adresátům příkazů a osvědčení podle zákona FISA i žádostí na základě NSL dovoluje za určitých podmínek vydávat zprávy o transparentnosti) (130).

(105) Za třetí, zpravodajská činnost orgánů veřejné moci USA založená na zákoně FISA počítá s přezkumem a v některých případech s předchozím povolením opatření Soudem pro uplatňování zákona FISA (FISA Court, FISC) (131), nezávislým soudem (132), jehož rozhodnutí je možné napadnout u Odvolacího soudu pro uplatňování zákona FISA (FISCR) (133) a dále u Nejvyššího soudu Spojených států (134). V případě nutnosti předchozího povolení musí žádající orgány (FBI, NSA, CIA atd.) předložit návrh žádosti právníkům odboru národní bezpečnosti Ministerstva spravedlnosti, kteří ji zkontrolují a v případě potřeby vyžádají doplňující informace (135). Jakmile je žádost finalizována, musí ji schválit ministr spravedlnosti, zástupce ministra spravedlnosti nebo náměstek ministra spravedlnosti pro otázky národní bezpečnosti (136). Poté Ministerstvo spravedlnosti žádost předloží Soudu pro uplatňování zákona FISA, který ji vyhodnotí a předběžně rozhodne o dalších krocích (137). Koná-li se ve věci jednání, má Soud pro uplatňování zákona FISA pravomoc vyslýchat, a to i znalce (138).

(106) Soudu pro uplatňování zákona FISA (i Odvolacímu soudu pro uplatňování zákona FISA) je nápomocen stálý panel pěti osob se zkušenostmi ve věcech národní bezpečnosti i občanských svobod (139). Z této skupiny soud jmenuje jednu osobu, která bude soudu jako amicus curiae nápomocna při posuzování žádosti o příkaz nebo přezkum, která podle soudu představuje nový nebo významný výklad práva, ledaže soud shledá, že takové jmenování není vhodné (140). Tím se zejména zajistí, aby soud ve svém hodnocení řádně zohledňoval hledisko ochrany soukromí. Soud může také jmenovat fyzickou osobu nebo organizaci, aby soudu jako amicus curiae poskytli odborný znalecký posudek, je-li to dle názoru soudu vhodné, nebo na návrh fyzické osoby či organizace svolit k přerušení jednání za účelem vypracování posudku (amicus curiae brief) (141).

(107) Pokud jde o dvě zákonná zmocnění ke sledování podle zákona FISA, která jsou nejdůležitější z hlediska předávání údajů v rámci štítu EU–USA na ochranu soukromí, dohled ze strany Soudu pro uplatňování zákona FISA se různí.

(108) Podle § 501 zákona FISA (142), kterým je povolen sběr „jakýchkoli hmatatelných věcí (včetně knih, záznamů, papírů, dokumentů a jiných položek)“, musí žádost podávaná u Soudu pro uplatňování zákona FISA obsahovat skutkový popis, který dokládá, že existuje důvodné podezření, že hledané hmatatelné věci jsou relevantní pro povolené vyšetřování (jiné než posouzení hrozby) za účelem získání zahraničních zpravodajských informací netýkajících se osoby USA nebo ochrany před mezinárodním terorismem nebo tajnými výzvědnými aktivitami. V žádosti musí být rovněž uveden výčet minimalizačních postupů přijatých ministrem spravedlnosti za účelem uchovávání a šíření shromážděných zpravodajských informací (143).

(109) Naproti tomu podle § 702 zákona FISA (144) nepovoluje Soud pro uplatňování zákona FISA jednotlivá sledovací opatření, nýbrž povoluje celé sledovací programy (např. PRISM, UPSTREAM), a to na základě ročních osvědčení, která vypracovávají ministr spravedlnosti a ředitel národních zpravodajských služeb. Paragraf 702 zákona FISA dovoluje cílené sledování osob, o nichž se lze důvodně domnívat, že se nacházejí mimo území Spojených států, za účelem získávání zahraničních zpravodajských informací (145). Toto cílené sledování provádí NSA ve dvou krocích: nejprve analytici NSA identifikují osoby, které nejsou osobami USA a které se nacházejí v zahraničí a jejichž sledování povede na základě posouzení analytiků k získání zahraničního zpravodajství, které je konkretizováno v osvědčení. Za druhé, jakmile jsou tyto individualizované osoby identifikovány a jejich cílené sledování schváleno rozsáhlým přezkumným mechanismem uvnitř NSA (146), budou „zaúkolovány“ (tj. vyvinuty a použity) selektory identifikující komunikační prostředky (např. e-mailová adresa) používané cíli (147). Jak bylo uvedeno výše, osvědčení, která Soud pro uplatňování zákona FISA schvaluje, neobsahují žádné informace o jednotlivých osobách, které jsou předmětem cíleného sledování, nýbrž jen identifikují kategorie zahraničních zpravodajských informací (148). Soud pro uplatňování zákona FISA sice nezjišťuje – podle principu důvodného podezření či jiného principu –, zda jsou za účelem získání zahraničních zpravodajských informací fyzické osoby cíleny správně (149), kontroluje však podmínku, že „důležitým účelem získávání informací je získání zahraničních zpravodajských informací“ (150). Podle § 702 zákona FISA je totiž NSA oprávněna shromažďovat komunikaci osob, které nejsou osobami USA a které pobývají mimo území USA, jen tehdy, lze-li se důvodně domnívat, že předmětný způsob komunikace je používán k předávání zahraničních zpravodajských informací (např. souvisí s mezinárodním terorismem, šířením jaderných zbraní nebo nepřátelskými aktivitami v kyberprostoru). Rozhodnutí v tomto ohledu podléhají soudnímu přezkumu (151). Osvědčení musí rovněž stanovit postupy cíleného sběru a minimalizace (152). Dodržování předpisů ověřují ministr spravedlnosti a ředitel národních zpravodajských služeb, přičemž agentury mají povinnost hlásit veškeré případy nedodržení Soudu pro uplatňování zákona FISA (153) (jakož i Kongresu a Výboru prezidenta pro dohled nad zpravodajstvím), který na tomto základě může povolení změnit (154).

(110) Za účelem zvýšení účinnosti dohledu prováděného Soudem pro uplatňování zákona FISA souhlasila vláda USA dále s tím, že provede doporučení výboru PCLOB poskytovat tomuto soudu dokumentaci k rozhodnutím o cíleném sběru podle § 702, a to včetně náhodného vzorku úkolovacích listů, aby tento soud mohl posoudit, jak je požadavek účelu zahraničního zpravodajství plněn v praxi (155). Vláda USA zároveň s tím přijala a podnikla kroky k revizi postupů cíleného sběru v NSA tak, aby lépe dokumentovaly zahraničně zpravodajské důvody pro rozhodnutí o cíleném sběru (156).

Individuální náprava

(111) Právní předpisy USA poskytují subjektům údajů z EU několik možností nápravy, pokud se obávají, zda jejich osobní údaje byly zpracovány prvky zpravodajské komunity USA (zda je shromáždily, získaly k nim přístup apod.) a pokud ano, zda byla dodržena omezení podle platných právních předpisů. Tato omezení se v zásadě týkají těchto tří oblastí: zásah podle zákona FISA; nezákonný úmyslný přístup vládních úředníků k osobním údajům; a přístup k informacím podle zákona o svobodě informací (Freedom of Information Act, FOIA) (157).

(112) Za prvé, zákon o zabezpečování informací o činnostech cizí moci obsahuje řadu opravných prostředků, jimiž lze napadnout nezákonné elektronické sledování a jež jsou dostupné i osobám, které nejsou osobami USA (158). Patří k nim možnost domáhat se občanskoprávními žalobami proti Spojeným státům peněžité náhrady škody v případě, kdy informace o nich byly použity nebo zveřejněny nezákonně a vědomě (159); žalovat úředníky vlády USA soukromě (za „zneužití pravomoci“) o peněžitou náhradu škody (160); a napadnout zákonnost sledování (a domáhat se utajení informací) v případě, kdy vláda USA hodlá použít nebo zveřejnit informace získané nebo odvozené z elektronického sledování proti fyzické osobě v soudním nebo správním řízení ve Spojených státech (161).

(113) Za druhé, vláda USA odkázala Komisi na několik dalších možností, jimiž by se subjekty údajů z EU mohly domáhat právního postihu vůči vládním úředníkům za nezákonný přístup vlády k jejich osobním údajům nebo jejich nezákonné použití, včetně k účelům národní bezpečnosti (např. na zákon o počítačových podvodech a zneužití počítače (Computer Fraud and Abuse Act) (162); zákon o soukromí elektronických komunikací (Electronic Communications Privacy Act) (163); a zákon o právu na finanční soukromí (Right to Financial Privacy Act) (164)). Všechny tyto právní kroky se týkají konkrétních údajů, cílů a/nebo typů přístupu (např. vzdálený přístup k počítači prostřednictvím internetu) a jsou dostupné za určitých podmínek (např. úmyslné/vědomé jednání, zneužití úřední pravomoci, vznik škody) (165). Obecnější možnost nápravy umožňuje zákon o správním řízení (Administrative Procedure Act, 5 U.S.C. § 702), podle kterého „kdokoli, jemuž krok agentury způsobí právní křivdu nebo kdo je krokem agentury negativně postižen nebo poškozen,“ má právo domáhat se soudního přezkumu. Sem spadá možnost požádat soud, „aby prohlásil za neplatné nebo zrušil krok, zjištění a závěry agentury, které jsou výsledkem […] aktu svévole či zvůle, zneužitím diskreční pravomoci či jinak v rozporu se zákonem“ (166).

(114) A konečně vláda USA upozornila to, že na základě zákona o svobodě informací se osoby, které nejsou osobami USA, mohou domáhat přístupu k existujícím záznamům federálních vládních agentur, včetně případů, kdy tyto záznamy obsahují osobní údaje této osoby (167). Vzhledem ke svému zaměření neposkytuje tento zákon fyzickým osobám žádnou možnost obrátit se na soud kvůli zásahu do osobních údajů, ačkoli by jim měl v zásadě umožnit přístup k relevantním informacím, které drží národní zpravodajské agentury. I v tomto ohledu se možnosti zdají být omezené, neboť agentury nemusí poskytnout informace, které spadají pod několik vyjmenovaných výjimek, mimo jiné pod přístup k utajovaným informacím souvisejícím s národní bezpečností a k informacím o vyšetřováních donucovacích orgánů (168). Fyzické osoby mohou využívání těchto výjimek národními zpravodajskými agenturami napadnout u soudu a domáhat se jak správního, tak soudního přezkumu.

(115) Zatímco fyzické osoby, včetně subjektů údajů z EU, tedy mají k dispozici několik možností nápravy, pokud se staly předmětem nezákonného (elektronického) sledování z důvodu národní bezpečnosti, je stejně tak jasné, že přinejmenším některých z právních základů, které zpravodajské orgány USA mohou využít (např. EO 12223), se to netýká. Navíc i tehdy, pokud pro osoby, které nejsou osobami USA, možnosti nápravy v zásadě existují, např. u sledování podle zákona FISA, jsou dostupné právní kroky omezené (169) a nároky vznesené fyzickými osobami (včetně osob USA), které neprokáží „aktivní legitimaci“, budou prohlášeny za nepřípustné (170), což omezuje přístup k běžným soudům (171).

(116) Ve snaze poskytnout dodatečnou možnost nápravy, k níž by měli přístup všechny subjekty údajů z EU, rozhodla se vláda USA vytvořit mechanismus ombudsmana, který je popsán v dopise ministra zahraničí Komisi, jenž tvoří přílohu III tohoto rozhodnutí. Tento mechanismus vychází z toho, že podle směrnice PPD-28 je na Ministerstvu zahraničních věcí zřízen post senior koordinátora (na úrovni tajemníka ministra), který slouží jako kontaktní místo, u nějž mohou cizí vlády vyjádřit své obavy v souvislosti se signálovým zpravodajstvím USA, avšak tento základní koncept dále podstatně rozvádí.

(117) Podle závazků vlády USA mechanismus ombudsmana zejména zaručí, aby jednotlivé stížnosti byly řádně prošetřeny a řešeny a aby fyzické osoby obdržely nezávislé potvrzení o tom, že právní předpisy USA byly dodrženy, nebo že v případě jejich porušení bylo toto nedodržení napraveno (172). Tento mechanismus obsahuje „ombudsmana ve věcech štítu na ochranu soukromí“, tj. tajemníka ministra a další zaměstnance a dále subjekty dohledu, které jsou příslušné dohlížet na jednotlivé prvky zpravodajské komunity a na jejichž spolupráci se ombudsman ve věcech štítu na ochranu soukromí bude spoléhat při vyřizování stížností. Konkrétně pokud se žádost fyzické osoby týká slučitelnosti sledování se zákony USA, bude se ombudsman ve věcech štítu na ochranu soukromí moci spoléhat na nezávislé subjekty dohledu s vyšetřovacími pravomocemi (jako jsou generální inspektoři nebo PCLOB). V každém případě ministr zahraničních věcí zajistí, aby ombudsman měl možnost zajistit, aby jeho odpověď na žádosti fyzických osob byla založena na veškerých nezbytných informacích.

(118) Touto „smíšenou strukturou“ mechanismu ombudsmana je zajištěn nezávislý dohled a individuální náprava. Spoluprací s jinými subjekty dohledu je pak také zajištěn přístup k nezbytným odborným znalostem. A konečně tím, že má ombudsman ve věcech štítu na ochranu soukromí povinnost potvrdit dodržování zásad nebo nápravu nedodržení zásad, odráží tento mechanismus závazek vlády USA jako celku řešit stížnosti fyzických osob z EU.

(119) Za prvé, na rozdíl od čistě mezivládního mechanismu se ombudsman ve věcech štítu na ochranu soukromí bude zabývat stížnostmi jednotlivých fyzických osob. Tyto stížnosti mohou být adresovány orgánům dohledu v členských státech odpovědným za dohled nad službami národní bezpečnosti a/nebo zpracováváním osobních údajů orgány veřejné moci, které pak tyto stížnosti budou předávat centralizovanému subjektu na úrovni EU, který je bude postupovat ombudsmanovi ve věcech štítu na ochranu soukromí (173). To bude ku prospěchu fyzických osob z EU, které se mohou obracet na jim blízký vnitrostátní subjekt a v jejich vlastním jazyce. Úkolem takového orgánu bude pomáhat fyzické osobě při podávání žádosti ombudsmanovi ve věcech štítu na ochranu soukromí, která obsahuje základní informace, a kterou tak lze považovat za „úplnou“. Fyzická osob přitom nemusí prokázat, že vláda USA činností signálového zpravodajství získala přístup k jeho osobním údajům.

(120) Za druhé, vláda USA ze zavazuje zajistit, že při výkonu svých funkcí se ombudsman ve věcech štítu na ochranu soukromí bude moci spoléhat na spolupráci jiných mechanismů dohledu a přezkumu dodržování předpisů, které existují v právu USA. To bude někdy zahrnovat národní zpravodajské orgány, zejména tam, kdy má žádost být vykládána jako žádost o přístup k dokumentům podle zákona o svobodě informací. V jiných případech, zejména pokud se žádosti týkají slučitelnosti sledování s právem USA, bude taková spolupráce zahrnovat nezávislé subjekty dohledu (např. generální inspektory) s odpovědností a pravomocí provádět důkladné vyšetřování (zejména přístupem ke všem relevantním dokumentům a pravomocí žádat o informace a prohlášení) a řešit případy nedodržení zásad (174). Ombudsman ve věcech štítu na ochranu soukromí bude také moci postupovat věci Výboru pro dohled nad ochranou soukromí a občanských svobod k posouzení (175). Zjistí-li některý z těchto subjektů dohledu nedodržení, bude muset dotčený prvek zpravodajské komunity (např. zpravodajská služba) toto nedodržení napravit, neboť jen tak bude ombudsman moci dát fyzické osobě „kladnou“ odpověď (tj. že nedodržení bylo napraveno), k čemuž se vláda USA zavázala. Součástí spolupráce bude také informování ombudsmana ve věcech štítu na ochranu soukromí o výsledku vyšetřování a ombudsman bude mít možnost zajistit, aby obdržel veškeré nezbytné informace pro přípravu odpovědi.

(121) A konečně ombudsman ve věcech štítu na ochranu soukromí bude nezávislý, a tudíž nepodléhající pokynům zpravodajské komunity USA (176). To je zásadně důležité, jelikož ombudsman bude muset „osvědčit“, zda i) byla stížnost řádně prošetřena a zda ii) bylo dodrženo právo USA – včetně omezení a ochranných opatření uvedených v příloze VI –, nebo v případě nedodržení bylo takové porušení napraveno. Aby mohl toto nezávislé osvědčení vydat, ombudsman ve věcech štítu na ochranu soukromí bude muset disponovat nezbytnými informacemi o vyšetřování, aby mohl posoudit přesnost odpovědi stěžovateli. Ministr zahraničních věcí se kromě toho zavázal zajistit, že tajemník ministra bude funkci ombudsmana ve věci štítu na ochranu soukromí vykonávat objektivně a nezávisle na jakémkoli nevhodném vlivu, který by mohl mít dopad na odpověď, která má být poskytnuta.

(122) Celkově vzato tento mechanismus zajišťuje, že jednotlivé stížnosti fyzických osob budou důkladně vyšetřeny a vyřešeny a že přinejmenším v oblasti sledování bude toto zahrnovat nezávislé subjekty dohledu s nezbytnými zkušenostmi a vyšetřovacími pravomocemi a ombudsmana, který bude schopen vykonávat své funkce nezávisle na nevhodném, zejména politickém vlivu. Fyzické osoby budou navíc stížnosti moci podívat, aniž by musely dokazovat či jen poskytovat náznaky o tom, že byly předmětem sledování (177). Ve světle těchto vlastností je Komise přesvědčena o tom, že existují odpovídající a účinné záruky proti zneužití.

(123) Na základě výše uvedeného Komise konstatuje, že Spojené státy zajišťují účinnou právní ochranu před zásahy jejich zpravodajských orgánů do základních práv osob, jejichž data jsou předávána z Unie do Spojených států v rámci štítu EU–USA na ochranu soukromí.

(124) V tomto ohledu Komise bere na vědomí rozsudek Soudního dvora ve věci Schrems, podle nějž „právní úprava, která nestanoví procesním subjektům žádnou možnost využít právních prostředků s cílem získat přístup k osobním údajům, které se jich týkají, nebo dosáhnout opravy či výmazu těchto údajů, nerespektuje podstatu základního práva na účinnou právní ochranu zakotveného v článku 47 Listiny“ (178). Posouzení Komise potvrdilo, že ve Spojených státech jsou takové právní prostředky k dispozici, a to mimo jiné zavedením mechanismu ombudsmana. Mechanismus ombudsmana poskytuje nezávislý dohled s vyšetřovacími pravomocemi. Účinnost tohoto mechanismu bude vyhodnocena v rámci průběžného monitorování štítu na ochranu soukromí ze strany Komise, včetně prostřednictvím výročního společného přezkumu, který bude rovněž zahrnovat ombudsmana.

3.2 Přístup orgánů veřejné moci USA k údajům a použití údajů těmito orgány pro účely prosazování práva a veřejného zájmu

(125) Pokud jde o zásahy do osobních údajů předávaných v rámci štítu EU–USA na ochranu soukromí pro účely prosazování práva, poskytla vláda USA (prostřednictvím Ministerstva spravedlnosti) ujištění týkající se použitelných omezení a ochranných opatření, která dle posouzení Komise dokládají odpovídající úroveň ochrany.

(126) Podle těchto informací je v souladu s čtvrtým dodatkem Ústavy USA (179) pro účel domovní prohlídky a zabavení ze strany donucovacích orgánů především (180) požadován soudní příkaz vystavený na základě prokázání „důvodného podezření“. V několika málo konkrétně stanovených a výjimečných případech, kdy se požadavek soudního příkazu nepoužije (181), je prosazení práva podmíněno ověřením „přiměřenosti“ (182). Zda je domovní prohlídka nebo zabavení věci přiměřené, „se stanoví na straně jedné posouzením míry, do jaké tento úkon zasahuje do soukromí fyzické osoby, a na straně druhé posouzením míry, do jaké je tento úkon nutný za účelem prosazení legitimních zájmů vlády“ (183). Obecněji řečeno tedy čtvrtý dodatek americké ústavy zaručuje soukromí, důstojnost a chrání před svévolnými a invazivními akty úředníků vlády USA (184). Toto pojetí vystihuje myšlenku nezbytnosti a proporcionality v právu Unie. Jakmile donucovací orgány přestanou mít potřebu použít zabavené věci jako důkaz, měly by být věci vráceny (185).

(127) Ačkoli práva plynoucí ze čtvrtého dodatku se nevztahují na osoby, které nejsou osobami USA a které nepobývají ve Spojených státech, jsou tyto osoby jeho ochranou částečně chráněny z toho titulu, že osobní údaje drží společnosti z USA, což má ten účinek, že donucovací orgány musí v každém případě žádat soud o povolení (anebo alespoň řídit se požadavkem přiměřenosti) (186). Další ochrana je poskytována prostřednictvím zvláštních právních předpisů a pokynů Ministerstva spravedlnosti, které omezují přístup donucovacích orgánů k údajům z důvodů rovnocenných zásadám nezbytnosti a proporcionality (např. požadavkem, aby FBI používala co nejméně invazivní vyšetřovací metody, jaké jsou možné, s ohledem na jejich dopad na soukromí a občanské svobody) (187). Podle prohlášení vlády USA platí stejná nebo vyšší úroveň ochrany pro vyšetřování donucovacích orgánů na úrovni federálních států (s ohledem na vyšetřování prováděná podle zákonů státu) (188).

(128) Ačkoli předchozí povolení soudu nebo velké poroty (vyšetřující složky soudu sestavené soudcem nebo magistrátním soudcem) se nevyžaduje ve všech případech (189), správní předvolání (subpoena) jsou omezena na konkrétní případy a budou předmětem nezávislého soudního přezkumu alespoň v případech, kdy se vláda domáhá prosazení práva před soudem (190).

(129) Totéž platí pro správní předvolání pro účely veřejného zájmu. Kromě toho podle prohlášení vlády USA platí podobná hmotněprávní omezení v tom, že agentury se mohou domáhat přístupu pouze k těm údajům, které mají souvislost s věcmi, jež spadají do jejich pravomoci, a musí respektovat zásadu přiměřenosti.

(130) Právo USA dále fyzickým osobám poskytuje několik možností soudní nápravy vůči orgánu veřejné moci nebo jeho úředníkovi v případech, kdy tyto orgány zpracovávají osobní údaje. Mezi tyto možnosti patří zejména zákon o správním řízení (Administrative Procedure Act, APA), zákon o svobodě informací (Freedom of Information Act, FOIA) a zákon o soukromí elektronických komunikací (Electronic Communications Privacy Act, ECPA), které mohou využít všechny fyzické osoby bez ohledu na jejich státní příslušnost s výhradou některých platných podmínek.

(131) Obecně podle zákona o správním řízení (191)„kdokoli, jemuž krok agentury způsobí právní křivdu nebo kdo je krokem agentury negativně postižen nebo poškozen,“ má právo domáhat se soudního přezkumu (192). Sem spadá možnost požádat soud, „aby prohlásil za neplatné nebo zrušil krok, zjištění a závěry agentury, které byly shledány […] aktem svévole či zvůle, zneužitím diskreční pravomoci či jinak v rozporu se zákonem“ (193).

(132) Konkrétněji pak hlava II zákona o soukromí elektronických komunikací (194) stanoví systém zákonných práv v oblasti soukromí a jako taková upravuje přístup donucovacích orgánů k obsahu telefonních, ústních nebo elektronických komunikací uložených třetími stranami-poskytovateli služeb (195). Trestně postihuje nezákonný (tj. nepovolený soudem nebo jinak přípustný) přístup k takovým komunikacím a umožňuje postižené fyzické osobě možnost právní ochrany podáním občanskoprávní žaloby u federálního soudu USA na náhradu škody skutečné a punitivní, jakož i na vydání přiměřeného nebo deklaratorního nápravného opatření proti úředníkovi vlády, který takové nezákonné činy vědomě spáchal, nebo proti Spojeným státům.

(133) Podle zákona o svobodě informací (FOIA, 5 U.S.C. § 552) má také každá osoba právo získat přístup k záznamům federální agentury a po vyčerpání správních opravných prostředků domáhat se tohoto práva u soudu, kromě případů, kdy jsou takové záznamy chráněny proti zveřejnění výjimkou nebo zvláštním vyloučením pro účely prosazení práva (196).

(134) Několik dalších zákonů dává fyzickým osobám právo žalovat orgán veřejné moci USA nebo úředníka, pokud jde o zpracování osobních údajů, například zákon o odposleších (Wiretap Act) (197), zákon o počítačových podvodech a zneužití počítače (Computer Fraud and Abuse Act) (198), zákon o deliktních žalobách u federálního soudu (Federal Torts Claim Act) (199), zákon o právu na finanční soukromí (Right to Financial Privacy Act) (200), a zákon o spravedlivém informování o úvěrové spolehlivosti (Fair Credit Reporting Act) (201).

(135) Komise tedy konstatuje, že ve Spojených státech jsou zavedena pravidla, jejichž smyslem je omezovat zásahy pro účely prosazování práva (202) nebo jiné účely veřejného zájmu do základních práv osob, jejichž osobní údaje jsou předávány z Unie do Spojených států v rámci štítu EU–USA na ochranu soukromí, na rozsah striktně nezbytný k tomu, aby bylo dosaženo příslušného legitimního cíle, a která zajišťují účinnou právní ochranu před takovými zásahy.

4. ODPOVÍDAJÍCÍ ÚROVEŇ OCHRANY V RÁMCI ŠTÍTU EU–USA NA OCHRANU SOUKROMÍ

(136) Ve světle těchto zjištění Komise konstatuje, že Spojené státy zajišťují odpovídající úroveň ochrany osobních údajů předávaných z Unie autocertifikovaným organizacím ve Spojených státech v rámci štítu EU–USA na ochranu soukromí.

(137) Komise má zejména za to, že zásady vydané Ministerstvem obchodu USA jako celek zajišťují úroveň ochrany osobních údajů, která je v zásadě rovnocenná úrovni ochrany zaručené základními zásadami stanovenými ve směrnici 95/46/ES.

(138) Účinné uplatňování zásad kromě toho zaručují povinnosti ohledně transparentnosti a správa štítu na ochranu soukromí Ministerstvem obchodu.

(139) Komise má dále za to, že dohlížecí a odvolací mechanismy poskytované štítem na ochranu soukromí jako celek umožňují, aby porušení zásad ze strany organizací, které jsou součástí štítu na ochranu soukromí, byla v praxi odhalována a postihována, a poskytují subjektu údajů procesní prostředky, které mu umožní získat přístup k osobním údajům, která se jej týkají, a v konečném důsledku dosáhnout opravy nebo výmazu takových údajů.

(140) Konečně na základě dostupných informací o právním řádu USA, včetně prohlášení a závazků vlády USA, Komise konstatuje, že jakýkoli zásah orgány veřejné moci USA do základních práv osob, jejichž údaje jsou předávány z Unie do Spojených států v rámci štítu na ochranu soukromí za účelem národní bezpečnosti, prosazování práva nebo jiného veřejného zájmu, a z toho plynoucí omezení kladená na autocertifikované společnosti s ohledem na jejich přijetí zásad bude omezen na rozsah striktně nezbytný k tomu, aby bylo dosaženo příslušného legitimního cíle, a že existuje účinná právní ochrana proti takový zásahům.

(141) Komise došla k závěru, že tím jsou splněny požadavky článku 25 směrnice 95/46/ES vykládaného ve světle Listiny základních práv Evropské unie, jak vysvětlil Soudní dvůr zejména v rozsudku ve věci Schrems.

5. POSTUP ORGÁNŮ PRO OCHRANU ÚDAJŮ A INFORMACE PRO KOMISI

(142) Soudní dvůr v rozsudku ve věci Schrems vysvětlil, že Komise není příslušná omezovat pravomoci orgánů pro ochranu údajů, které vyplývají z článku 28 směrnice 95/46/ES (včetně pravomoci zastavit přenosy údajů) v případě, že osoba v rámci žádosti podané na základě tohoto ustanovení zpochybní slučitelnost rozhodnutí Komise o odpovídající úrovni ochrany s ochranou základního práva na soukromí a ochranu údajů (203).

(143) Aby mohla Komise účinně monitorovat fungování štítu na ochranu soukromí, měly by ji členské státy informovat o relevantních krocích orgánů pro ochranu údajů.

(144) Soudní dvůr dále konstatoval, že v souladu s čl. 25 odst. 6 druhým pododstavcem směrnice 95/46/ES musí členské státy a jejich orgány přijmout opatření nezbytná pro dosažení souladu s akty orgánů Unie, neboť jim v zásadě svědčí presumpce legality, a tudíž zakládají právní účinky tak dlouho, dokud nejsou vzaty zpět, zrušeny v rámci žaloby na neplatnost nebo prohlášeny za neplatné v návaznosti na žádost o rozhodnutí o předběžné otázce nebo na námitku protiprávnosti. V důsledku toho je rozhodnutí Komise o odpovídající úrovni ochrany podle čl. 25 odst. 6 směrnice 95/46/ES závazné pro všechny orgány členských států, kterým je určeno, a to i pro nezávislé orgány dozoru (204). Jestliže takový orgán obdrží stížnost, jež zpochybňuje soulad rozhodnutí Komise o odpovídající úrovni ochrany s ochranou základního práva na soukromí a