Datové toky jsou globální. Evropská unie je vázána Smlouvami a Listinou základních práv Evropské unie, které chrání všechny osoby v EU. EU je povinna přijmout veškerá nezbytná opatření, aby zajistila, že práva na soukromí a na ochranu osobních údajů budou dodržována během všech operací zpracování, včetně předávání. Poté, co byly v roce 2013 odhaleny aktivity tajných služeb, se EU a její strategický partner USA snaží definovat nový soubor norem, vycházející ze systému autocertifikace, pro předávání osobních údajů z EU do USA pro komerční účely. Stejně jako vnitrostátní orgány pro ochranu údajů v EU i evropský inspektor ochrany údajů v dnešní éře globálních, okamžitých a nepředvídatelných datových toků uznává význam udržitelného právního rámce pro předávání údajů v komerčním prostředí mezi EU a USA, které představuje největší obchodní partnerství na světě. Tento rámec však musí plně odrážet sdílené hodnoty vycházející z demokracie a práv jednotlivce, jak jsou vyjádřeny v Lisabonské smlouvě a Listině základních práv na straně EU a Ústavou USA na straně Spojených států. Navrhovaná dohoda Privacy Shield může být krokem správným směrem, ale v podobě, v jaké je v současnosti formulována, dle našeho názoru nezahrnuje dostatečně všechna příslušná opatření na ochranu práv EU, pokud jde o práva jednotlivce na soukromí a ochranu osobních údajů, také s ohledem na soudní nápravu. Jsou nutná významná zlepšení, má-li Evropská komise přijmout rozhodnutí o přiměřenosti. Zejména musí EU získat další ujištění, pokud jde o nezbytnost a přiměřenost, namísto legitimizace rutinního přístupu k přeneseným datům ze strany amerických úřadů na základě kritérií, které mají právní základ v přijímající zemi, ale jako takové ne v EU, jak je potvrzují Smlouvy, rozhodnutí EU a ústavní tradice společné členským státům. Navíc, v době vysoké konektivity a distribuovaných sítí samoregulace ze strany soukromých organizací, stejně jako prohlášení a závazky ze strany veřejných činitelů, mohou hrát roli v krátkodobém horizontu, zatímco v dlouhodobém výhledu nejsou dostačující pro zajištění práv a zájmů jednotlivců a plné uspokojení potřeb globalizovaného digitálního světa, kde je mnoho zemí již nyní vybaveno pravidly na ochranu osobních údajů. Z tohoto důvodu by v transatlantickém dialogu bylo vítané dlouhodobější řešení, aby byly zavedeny jasně a přesně identifikované hlavní principy práv rovněž do závazného federálního práva, jako je tomu v jiných zemích mimo EU, které byly „přísně posouzeny“ jako zajišťující odpovídající úroveň ochrany; což Soudní dvůr Evropské unie ve svém rozsudku ve věci Schrems označil jako znamenající, že jsou „v podstatě rovnocenné“ normám platným v rámci práva EU, což podle pracovní skupiny zřízené podle článku 29 znamená, že zahrnují „podstatu základních principů“ ochrany údajů. Přijímáme pozitivně zvýšenou transparentnost projevenou americkými úřady, pokud jde o použití výjimky z dohody Privacy Shield pro účely vymáhání práva, národní bezpečnosti a veřejného zájmu. Zatímco však rozhodnutí o dohodě Safe Harbour z roku 2000 formálně považovalo přístup kvůli národní bezpečnosti za výjimku, pozornost, která je v návrhu rozhodnutí k dohodě Privacy Shield věnována přístupu, filtrování a analýze osobních údajů předávaných ke komerčním účelům ze strany donucovacích orgánů a zpravodajských služeb, naznačuje, že výjimka by se mohla stát pravidlem. Evropský inspektor ochrany údajů zejména v návrhu rozhodnutí a jeho přílohách zaznamenal, že navzdory současným trendům přecházet od nevybíravého sledování na obecném základě k cílenějším a vybraným přístupům rozsah elektronických odposlechů a objem dat přenesených z EU, která mohou být shromážděna a použita po předání, a zejména v tranzitu, může být stále vysoký, a tudíž musí být otevřenou otázkou. Ačkoliv se tyto postupy mohou týkat i zpravodajských služeb v jiných zemích a ačkoliv vítáme transparentnost amerických úřadů v rámci této nové reality, současný návrh rozhodnutí může tyto postupy legitimizovat. Proto vyzýváme Evropskou komisi, aby vydala silnější signál: vzhledem k povinnostem uloženým EU v rámci Lisabonské smlouvy by přístup a využívání dat přenášených ke komerčním účelům a dat v tranzitu ze strany veřejných orgánů měl probíhat pouze ve výjimečných případech a je-li to nezbytné pro stanovené účely veřejného zájmu. Pokud jde o ustanovení o předávání ke komerčním účelům, není možné očekávat, že správci budou neustále měnit modely pro splnění požadavků. A navíc je návrh rozhodnutí založen na stávajícím právním rámci EU, který bude nahrazen nařízením (EU) 2016/679 (obecné nařízení o ochraně údajů) v květnu 2018, méně než jeden rok po úplném zavedení dohody Privacy Shield ze strany správců. Obecné nařízení o ochraně údajů vytváří a posiluje povinnosti správců, které sahají nad rámec devíti zásad stanovených v dohodě Privacy Shield. Bez ohledu na jakékoliv konečné změny v návrhu doporučujeme, aby Evropská komise komplexně posoudila budoucí perspektivu od své první zprávy, aby včas rozpoznala případné kroky pro dlouhodobější řešení nahrazující případně dohodu Privacy Shield, a to řešení s robustnějšími a stabilnějšími právními rámci, které posílí transatlantické vztahy. Evropský inspektor ochrany údajů proto vydává konkrétní doporučení k dohodě Privacy Shield.