ii) Zásady a záruky ochrany údajů

Níže uvedené články se týkají významných zásad pro zpracovávání osobních údajů, jakož i klíčových záruk a omezení.

i) Omezení účelu a použití (článek 6)

V souladu s Listinou základních práv Evropské unie a s acquis EU uplatňuje článek 6 zásadu účelového omezení na veškerá předávání osobních údajů, na která se vztahuje zastřešující dohoda, a to jak v případě předávání v souvislosti s konkrétními případy, tak v případech, kdy USA a EU / její členské státy uzavřou dohodu, která umožňuje předávání osobních údajů ve velkém množství. Zpracování (což zahrnuje i předávání) může proběhnout pouze pro výslovný a legitimní účel v rámci působnosti zastřešující dohody, tj. v případech, kdy jde o předcházení, vyšetřování, odhalování nebo stíhání trestných činů, včetně terorismu.

Další zpracování osobních informací ze strany dalších (donucovacích, regulačních nebo správních) orgánů, jiných, než je první přijímací orgán strany, je povoleno za podmínky, že není v rozporu s účelem původního předání údajů a že takový další orgán splňuje všechna ostatní ustanovení zastřešující dohody.

Předávající příslušný orgán může v konkrétních případech rovněž uložit dodatečné podmínky (týkající se např. využití údajů).

Osobní informace se zpracovávají pouze tehdy, mají-li přímou souvislost a nepřesahují-li účely takového zpracování.

Článek 6 je klíčovým ustanovením dohody: zajišťuje uplatňování záruk pro celý „životní cyklus“ daného souboru údajů od původního předání údajů z EU ke zpracování příslušným orgánem USA či naopak až k dalšímu možnému sdílení/zpracování jiným orgánem USA nebo, v případě předání údajů z USA příslušnému orgánu EU nebo (jednomu) jejímu členskému státu, dalšímu možnému sdílení/zpracování jiným orgánem EU nebo členského státu.

ii) Další předávání (článek 7)

Omezení na další předávání stanovená v článku 7 znamenají, že pokud má orgán USA v úmyslu dále předávat údaje, které obdržel z EU či z jednoho jejího členského státu, do třetí země/mezinárodní organizaci, které nejsou vázány touto dohodou, bude nejprve muset získat souhlas orgánu činného v trestním řízení v EU, jenž původně předal údaje do USA. Toto pravidlo rovněž platí v případě, že má některý orgán EU nebo jednoho z jejích členských států v úmyslu dále předávat údaje, které obdržel z USA, do třetí země nebo mezinárodní organizaci.

Při rozhodování, zda udělit souhlas, bude muset původní předávající orgán řádně zohlednit všechny relevantní faktory, včetně účelu, pro který byly údaje původně předány, a zda dotyčná třetí země nebo mezinárodní organizace poskytuje odpovídající úroveň ochrany osobních informací. Může rovněž předávání podmínit určitými podmínkami.

Navíc pokud jde o články týkající se účelového omezení (viz. výše článek 6), lhůty pro uchovávání údajů (viz níže článek 12) a ochrany citlivých údajů (viz níže článek 13), tento článek výslovně zohledňuje zvláštní citlivost předávání hromadných údajů o nepodezřelých osobách (například údaje jmenné evidence cestujících o každém cestujícím uskutečňujícím let, bez ohledu na jakékoli konkrétní podezření) v tom smyslu, že vyžaduje, aby jakékoli další předávání osobních údajů „jiné než v souvislosti s konkrétními případy“ bylo možné uskutečnit pouze za zvláštních podmínek stanovených v dohodě, kdy je poskytnuto řádné zdůvodnění dalšího předávání.

Zvláštní situace dalšího předávání do jiného státu v rámci EU (např. když francouzská policie sdílí s německou policií informace, které obdržela od FBI USA) je rovněž předmětem tohoto článku (odstavec 4), který stanoví, že pokud jsou tato předání podle platných pravidel podmíněna předchozím souhlasem, orgán, který původně informace zaslal (tj. FBI USA), nebude moci odmítnout souhlas, ani stanovit podmínky z důvodu ochrany údajů (neboť všechny dotčené orgány jsou vázány zastřešující dohodou).

iii) Kvalita údajů a integrita informací (článek 8)

Strany podniknou přiměřené kroky k zajištění, aby předané osobní údaje byly zachovány v takovém stavu přesnosti, relevantnosti, aktuálnosti a úplnosti, jak je pro zákonné zpracování údajů nezbytné a vhodné. Pokud přijímající nebo předávající orgán zjistí závažné pochybnosti, pokud jde o relevantnost, aktuálnost, úplnost nebo přesnost obdržených nebo předávaných osobních údajů, musí o tom, je-li to možné, informovat předávající/přijímající orgán.

iv) Bezpečnost informací (článek 9) a oznamování incidentů týkajících se bezpečnosti informací (článek 10)

Tyto články přispívají k zajištění vysoké úrovně ochrany osobních údajů, které si vyměňují strany zastřešující dohody.

Za prvé, podle článku 9 strany zavedou příslušná technická, bezpečnostní a organizační opatření za účelem ochrany osobních údajů proti náhodnému nebo protiprávnímu zničení, náhodné ztrátě nebo neoprávněnému vyzrazení, pozměnění a přístupu, nebo jinému zpracování. Tato opatření mimo jiné zajistí, že bude přístup k osobním údajům umožněn pouze oprávněným zaměstnancům.

Zadruhé, podle článku 10 musí být v případě incidentu v oblasti bezpečnosti, který představuje významné riziko škody, neprodleně přijata vhodná opatření ke zmírnění škod, včetně informování předávajícího orgánu a tam, kde je to vhodné vzhledem k okolnostem incidentu, dotyčné osoby. Výjimky z oznamovací povinnosti jsou taxativně uvedeny v tomto ustanovení a odpovídají přiměřeným omezením (např. národní bezpečnost).

v) Vedení záznamů (článek 11)