Každoroční přezkum prokázal, že orgány USA zavedly struktury a postupy potřebné pro zajištění řádného fungování štítu na ochranu soukromí. Certifikační proces probíhá celkově uspokojivým způsobem a dosud bylo certifikováno více než 2 400 společností. Orgány USA zavedly mechanismus a postupy vyřizování stížností a prosazování s cílem chránit práva fyzických osob. To zahrnuje rovněž nové dodatečné možnosti fyzických osob z EU, pokud jde o zjednání nápravy, jako je rozhodčí panel a mechanismus ombudsmana. Co se týká ombudsmana, po změně vlády v lednu 2017 byl určen úřadující ombudsman, přičemž v současnosti je projednáváno jmenování stálého ombudsmana. Spolupráce s evropskými orgány pro ochranu údajů se zintenzivnila. Pokud jde o přístup orgánů veřejné moci k osobním údajům pro účely národní bezpečnosti, na straně USA jsou i nadále zavedena příslušná ochranná opatření, zejména opatření založená na prezidentské směrnici 28 (Presidential Policy Directive 28, dále též „PPD-28“), která byla vydána v roce 2014 a která stanoví omezení a ochranná opatření vztahující se na používání osobních údajů vnitrostátními bezpečnostními orgány bez ohledu na státní příslušnost fyzické osoby. V této souvislosti je třeba rovněž zmínit, že dne 31. prosince 2017 má skončit platnost § 702 zákona USA o zabezpečování informací o činnostech cizí moci (Foreign Intelligence Surveillance Act, FISA) a že Kongres USA projednává návrhy reformy.

Rámec štítu na ochranu soukromí funguje od 1. srpna 2016. Vzhledem k tomu, že se jednalo o první rok jeho fungování, zaměřil se každoroční přezkum Komise na ověření toho, zda jsou plně zavedeny všechny mechanismy a postupy stanovené v rámci – z nichž mnohé byly vytvořeny nově – a zda jsou plně uplatňovány a fungují způsobem, který se předpokládá v rozhodnutí o odpovídající úrovni ochrany. Komise mimoto kladla zvláštní důraz na kontrolu toho, zda a jak různé orgány USA podílející se na provádění rámce dostály svým prohlášením a závazkům, a to jak z hlediska správy obchodních aspektů štítu na ochranu soukromí a dohledu nad nimi, tak i s ohledem na přístup vlády k osobním údajům. To je obzvláště důležité po změně vlády USA v lednu 2017.

Štít na ochranu soukromí odráží zásady a požadavky, jež Evropský soudní dvůr stanovil ve svém rozsudku ve věci Schrems, který zrušil platnost předchozího rámce „bezpečného přístavu“. Rozhodnutí stanoví v porovnání s „bezpečným přístavem“ řadu nových prvků, které posilují ochranu osobních údajů při jejich předávání do Spojených států. To zahrnuje přísnější povinnosti uložené společnostem certifikovaným v rámci štítu na ochranu soukromí, pokud jde například o omezení týkající se doby, po kterou může společnost uchovávat osobní údaje (tzv. zásada „uchovávání údajů“), nebo podmínky, za nichž lze údaje sdílet se třetími stranami mimo rámec (tzv. zásada „odpovědnosti za další předávání“). Stanoví rovněž pravidelnější a přísnější sledování ze strany Ministerstva obchodu a významně posiluje možnosti fyzických osob z EU, pokud jde o zjednání nápravy. Štít na ochranu soukromí mimoto vychází z konkrétních písemných prohlášení a ujištění vlády USA, že přístup orgánů veřejné moci k osobním údajům předaným v rámci štítu na ochranu soukromí pro účely národní bezpečnosti, prosazování práva a jiných veřejných zájmů podléhá jednoznačným omezením a ochranným opatřením. Za tímto účelem zřizuje rovněž zcela nový nápravný mechanismus, úřad ombudsmana.

Na základě těchto zjištění vyvozuje Komise závěr, že Spojené státy zajišťují i nadále odpovídající úroveň ochrany osobních údajů předávaných v rámci štítu na ochranu soukromí z Unie organizacím ve Spojených státech.

Komise se současně domnívá, že provádění rámce štítu na ochranu soukromí v praxi lze dále zlepšit, aby bylo zajištěno, že záruky a ochranná opatření v něm obsažená fungují v souladu s určeným účelem.

Za tímto účelem vydává Komise tato doporučení:

2.1Společnostem by nemělo být umožněno, aby odkazovaly veřejně na svou certifikaci v rámci štítu na ochranu soukromí dříve, než Ministerstvo obchodu certifikaci dokončí

Během každoročního přezkumu vyšlo najevo, že společnosti, které požádaly o certifikaci v rámci štítu na ochranu soukromí, jejichž certifikaci však Ministerstvo obchodu dosud nedokončilo, již mohou veřejně odkazovat na svou certifikaci v rámci štítu na ochranu soukromí. Může proto existovat rozpor mezi informacemi, které jsou veřejně dostupné, a seznamem Ministerstva obchodu týkajícím se organizací štítu na ochranu soukromí, který společnosti před dokončením certifikace neuvádí. Takovýto rozpor vyvolává nejistotu u fyzických osob z EU a společností v EU, které chtějí předávat údaje do USA, zvyšuje riziko nepravdivých tvrzení ohledně účasti a narušuje věrohodnost celého rámce.

Komise proto doporučuje, aby společnosti nemohly činit veřejná prohlášení týkající se jejich certifikace v souvislosti se štítem na ochranu soukromí dříve, než Ministerstvo obchodu dokončí certifikaci a zařadí společnost na seznam organizací štítu na ochranu soukromí. Informace, které Ministerstvo obchodu poskytne společnostem ohledně certifikačního procesu, včetně informací týkajících se internetových stránek štítu na ochranu soukromí, by měly být pozměněny tak, aby bylo zřejmé, že společnosti nemohou veřejně odkazovat na dodržování rámce z jejich strany před tím, než jsou zařazeny na seznam organizací štítu na ochranu soukromí.

2.2Aktivní a pravidelné vyhledávání nepravdivých tvrzení Ministerstvem obchodu

Komise doporučuje, aby Ministerstvo obchodu aktivně a pravidelně vyhledávalo nepravdivá tvrzení o přináležitosti ke štítu na ochranu soukromí, a to nejen v rámci certifikačního procesu, tj. s ohledem na společnosti, které zahájily certifikaci, zatím ji však nedokončily, nicméně již tvrdí, že se účastní rámce, nýbrž rovněž obecněji s ohledem na společnosti, které o certifikaci nepožádaly, činí však prohlášení, která veřejnosti naznačují, že splňují požadavky rámce. Ministerstvo obchodu by mělo za tímto účelem přijmout další opatření, včetně prohledávání internetu. Jak vyplývá ze zkušeností s předchůdcem štítu na ochranu soukromí, programem „bezpečný přístav“, zavádějící postupy nejsou neobvyklé a mohou oslabit věrohodnost a spolehlivost celého systému.

2.3Průběžné sledování dodržování zásad štítu na ochranu soukromí ze strany Ministerstva obchodu

Komise doporučuje, aby Ministerstvo obchodu provádělo pravidelně kontroly souladu. Ty by mohly mít například formu dotazníků v rámci přezkumu dodržování předpisů, které jsou zaslány reprezentativnímu vzorku certifikovaných společností a týkají se konkrétní „tematické“ otázky (např. další předávání, uchovávání údajů), nebo by Ministerstvo obchodu mohlo systematicky vyžadovat, aby mu certifikované společnosti žádající o recertifikaci předložily výroční zprávy o dodržování předpisů (přičemž se může jednat o sebehodnocení, nebo externí přezkum dodržování předpisů). Ministerstvo obchodu by pak mohlo výroční zprávy o dodržování předpisů použít k určení možných problémů v oblasti dodržování předpisů, jež mohou odůvodňovat přijetí následných opatření před recertifikací společnosti, nebo systematičtějších nedostatků ve fungování rámce, jimiž je třeba se zabývat.

2.4Zvyšování informovanosti

Komise Ministerstvo obchodu i orgány pro ochranu údajů vybízí, aby pokračovaly v úsilí o zvyšování informovanosti, které vyvíjely již v minulém roce, a dále je posílily.

K zajištění účinnější ochrany u fyzických osob z EU by orgány pro ochranu údajů mohly ve spolupráci s Komisí zvýšit své úsilí o informování fyzických osob z EU ohledně způsobu výkonu jejich práv v rámci štítu na ochranu soukromí, zejména ohledně podávání stížností.

2.5 Zlepšení spolupráce donucovacích orgánů

Komise doporučuje, aby Ministerstvo obchodu a orgány pro ochranu údajů spolupracovaly (je-li to vhodné) rovněž s Federální obchodní komisí při vypracování pokynů k výkladu některých pojmů ve štítu na ochranu soukromí, které vyžadují bližší objasnění. To by bylo v zájmu lepší spolupráce mezi orgány, které provádějí a prosazují rámec na obou stranách Atlantiku, s ohledem na další sbližování při výkladu pravidel štítu na ochranu soukromí a na větší právní jistotu pro podniky.

Z prvního každoročního přezkumu vyplynuly jako příklady pojmů, které by mohly mít prospěch z dalšího objasnění, zásada odpovědnosti za další předávání a vymezení údajů o lidských zdrojích.

2.6 Studie týkající se automatizovaného rozhodování

K vyvození přesnějších závěrů ohledně otázky automatizovaného rozhodování, též s ohledem na příští každoroční přezkum, zadá Komise studii za účelem shromáždění věcných důkazů a dalšího posouzení relevance automatizovaného rozhodování v případě předávání údajů na základě štítu na ochranu soukromí.

2.7 Zakotvení ochrany stanovené ve směrnici PPD-28 v zákoně o zabezpečování informací o činnostech cizí moci

Nadcházející diskuse o opětovném schválení § 702 zákona o zabezpečování informací o činnostech cizí moci (FISA) poskytuje vládě USA a Kongresu jedinečnou příležitost k posílení ochrany soukromí obsažené v zákoně FISA. Komise v této souvislosti doufá, že Kongres posoudí příznivě zakotvení ochrany, kterou zajišťuje prezidentská politická směrnice 28 s ohledem na osoby, které nejsou občany USA, v zákoně FISA k zajištění stability a kontinuity této ochrany. Jakékoli další reformy, jak z hlediska hmotněprávních omezení, tak i z hlediska procesních záruk, by měly být provedeny v duchu směrnice PPD-28, a tudíž zajišťovat ochranu bez ohledu na státní příslušnost nebo zemi bydliště.