DA Den Europæiske Unions Tidende L 207/1

KOMMISSIONENS GENNEMFØRELSESAFGØRELSE (EU) 2016/1250

af 12. juli 2016

i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af EU's og USA's værn om privatlivets fred

(meddelt under nummer C(2016) 4176)

(EØS-relevant tekst)

EUROPA-KOMMISSIONEN HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde,

under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 25, stk. 6,

efter høring af Den Europæiske Tilsynsførende for Databeskyttelse (2), og

1. INDLEDNING

(1) I direktiv 95/46/EF fastsættes reglerne for overførsel af personoplysninger fra medlemsstaterne til tredjelande, i det omfang overførslen falder inden for direktivets anvendelsesområde.

(2) Det fastslås i artikel 1 i direktiv 95/46/EF og af anden og tiende betragtning hertil, at direktivet ikke alene har til formål at sikre en effektiv og fuldstændig beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især den grundlæggende ret til respekt for privatlivet i forbindelse med behandling af personoplysninger, men også et højt beskyttelsesniveau for disse grundlæggende rettigheder og frihedsrettigheder (3).

(3) Betydningen af såvel den grundlæggende ret til respekt for privatlivet, der er sikret ved artikel 7, som den grundlæggende ret til beskyttelse af personoplysninger, der er sikret ved artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder, er desuden fremhævet i Domstolens retspraksis (4).

(4) Medlemsstaterne skal i henhold til artikel 25, stk. 1, i direktiv 95/46/EF fastsætte bestemmelser om, at overførsel af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og hvis den pågældende medlemsstats lovgivning til gennemførelse af direktivets andre bestemmelser overholdes forud for overførslen. Kommissionen kan fastslå, at et tredjeland sikrer et sådant tilstrækkeligt beskyttelsesniveau på grundlag af dets nationale lovgivning eller dets internationale forpligtelser med henblik på at beskytte den enkeltes grundlæggende rettigheder. I så fald kan der overføres personoplysninger fra medlemsstaterne, uden at det er nødvendigt, at der stilles yderligere garantier, forudsat at de nationale bestemmelser, der vedtages til gennemførelse af direktivets øvrige bestemmelser, overholdes.

(5) I henhold til artikel 25, stk. 2, i direktiv 95/46/EF skal vurderingen af, om beskyttelsesniveauet i et tredjeland er tilstrækkeligt, ske på grundlag af samtlige de forhold, der har indflydelse på en overførsel eller en type overførsel af oplysninger, herunder de retsregler — almindelige regler eller sektorregler — der er i kraft i det pågældende tredjeland.

(6) Det fremgår af Kommissionens beslutning 2000/520/EF (5), at »safe harbour-principperne«, der finder anvendelse i overensstemmelse med de normgivende såkaldte »hyppige spørgsmål« fra det amerikanske handelsministerium, på grundlag af artikel 25, stk. 2, i direktiv 95/46/EF, formodes at sikre et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU til foretagender i USA.

(7) I sine meddelelser COM(2013) 846 final (6) og COM(2013) 847 final (7) af 27. november 2013 anførte Kommissionen, at grundlaget for safe harbour-ordningen skal tages op til fornyet overvejelse og styrkes i betragtning af en række faktorer, herunder den eksponentielle stigning i datastrømme og deres afgørende betydning for den transatlantiske økonomi, den hurtige vækst i antallet af amerikanske virksomheder, der følger safe harbour-ordningen, og nye oplysninger om omfanget og udbredelsen af visse amerikanske efterretningsprogrammer, der rejser nye spørgsmål om det beskyttelsesniveau, som safe harbour-ordningen kan sikre. Kommissionen konstaterede desuden en række mangler i safe harbour-ordningen.

(8) Baseret på dokumentation, som er indsamlet af Kommissionen, bl.a. som led i arbejdet i EU-USA-kontaktgruppen vedrørende beskyttelse af privatlivets fred (8) og oplysninger om amerikanske efterretningsprogrammer, som er blevet fremlagt i EU-USA-ad hoc-arbejdsgruppen (9), udarbejdede Kommissionen 13 anbefalinger vedrørende en gennemgang af safe harbour-ordningen. Disse anbefalinger fokuserede på styrkelse af de materielle principper om beskyttelse af privatlivets fred, øget gennemsigtighed i amerikanske selvcertificerede virksomheders privatlivspolitikker, bedre tilsyn, overvågning og håndhævelse fra de amerikanske myndigheders side af virksomhedernes overholdelse af principperne, økonomisk overkommelige tvistbilæggelsesmekanismer og behovet for at sikre, at den nationale sikkerhedsundtagelse i beslutning 2000/520/EF kun anvendes, når det er strengt nødvendigt eller proportionalt.

(9) I sin dom af 6. oktober 2015 i sag C-362/14, Maximillian Schrems mod Data Protection Commissioner (10), erklærede Domstolen beslutning 2000/520/EF ugyldig. Uden at undersøge indholdet af safe harbour-principperne om beskyttelse af privatlivets fred bemærkede Domstolen, at Kommissionen ikke havde anført i nævnte beslutning, at USA faktisk »sikrer« et tilstrækkeligt beskyttelsesniveau på grundlag af landets nationale lovgivning eller dets internationale forpligtelser (11).

(10) Domstolen forklarede i denne forbindelse, at udtrykket »et tilstrækkeligt beskyttelsesniveau«, der er indeholdt i artikel 25, stk. 6, i direktiv 95/46/EF, ganske vist ikke indebærer et beskyttelsesniveau, som er identisk med det niveau, der er sikret i EU's retsorden, men at det imidlertid skal forstås således, at det opstiller et krav om, at tredjelandet sikrer et beskyttelsesniveau for de grundlæggende rettigheder og frihedsrettighederne, som »i det væsentlige svarer til« det niveau, der er sikret i EU i medfør af direktiv 95/46/EF sammenholdt med chartret om grundlæggende rettigheder. Selv om de midler, som tredjelandet anvender i denne henseende, kan være forskellige fra de midler, som anvendes inden for EU, skal disse midler ikke desto mindre i praksis vise sig at være effektive (12).

(11) Domstolen kritiserede, at beslutning 2000/520/EF ikke indeholdt nogen konstateringer om, hvorvidt der i USA foreligger regler af statslig karakter, hvorved det tilsigtes at begrænse eventuelle indgreb i de grundlæggende rettigheder hos de personer, hvis oplysninger bliver overført fra EU til USA, hvilke indgreb de statslige enheder i dette land er beføjet til at foretage, når der herved forfølges legitime mål, såsom statens sikkerhed, eller om hvorvidt der foreligger en effektiv domstolsbeskyttelse mod indgreb af denne art (13).

(12) I 2014 havde Kommissionen indledt drøftelser med de amerikanske myndigheder om en styrkelse af safe harbour-ordningen i overensstemmelse med de 13 anbefalinger i meddelelsen COM(2013) 847 final. Efter Domstolens dom i Schrems-sagen blev disse drøftelser intensiveret med henblik på en mulig ny afgørelse om et tilstrækkeligt beskyttelsesniveau, der opfylder kravene i artikel 25 i direktiv 95/46/EF som fortolket af Domstolen. De dokumenter, der er knyttet til nærværende afgørelse, og som ligeledes vil blive offentliggjort i USA's Federal Register, er resultatet af disse drøftelser. Principperne om beskyttelse af privatlivets fred (bilag II) og de officielle udredninger og tilsagn afgivet af forskellige amerikanske myndigheder i bilag I og III-VII udgør »EU's og USA's værn om privatlivets fred«.

(13) Kommissionen har foretaget en grundig analyse af amerikansk ret og praksis, herunder af disse officielle udredninger og tilsagn. På grundlag af overvejelserne i betragtning 136-140 konkluderer Kommissionen, at USA sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres under EU's og USA's værn om privatlivets fred fra EU til selvcertificerede foretagender i USA.

2. EU'S OG USA'S VÆRN OM PRIVATLIVETS FRED

(14) EU's og USA's værn om privatlivets fred er baseret på et selvcertificeringssystem, hvorved amerikanske foretagender forpligter sig til at overholde en række principper om beskyttelse af privatlivets fred — principperne i ordningen for EU's og USA's værn om privatlivets fred, herunder de supplerende principper (herefter samlet benævnt: »principperne«) — opstillet af det amerikanske handelsministerium og indeholdt i bilag II til denne afgørelse. Det finder anvendelse for såvel dataansvarlige som databehandlere (mandatarer) med den præcisering, at databehandlere skal være kontraktligt forpligtede til udelukkende at handle på den dataansvarlige i EU's anvisning og bistå denne med at besvare anmodninger fra fysiske personer, der udøver deres rettigheder i henhold til principperne (14).

(15) Uden at dette berører pligten til at overholde de nationale bestemmelser, der er vedtaget i henhold til direktiv 95/46/EF, medfører denne afgørelse tilladelse til at foretage overførsler fra en dataansvarlig eller databehandler i EU til foretagender i USA, der har anmeldt selvcertificering om tilslutning til principperne til det amerikanske handelsministerium og har forpligtet sig til at overholde dem. Principperne finder alene anvendelse for det amerikanske foretagendes behandling af personoplysninger for så vidt som disse foretagenders behandling ikke er omfattet af EU-lovgivningen (15). Værnet om privatlivets fred berører ikke anvendelsen af EU-lovgivningen vedrørende behandling af personoplysninger i medlemsstaterne (16).

(16) Beskyttelsen af personoplysninger under værnet om privatlivets fred gælder alle registrerede i EU (17), hvis personoplysninger er overført fra Unionen til foretagender i USA, der har anmeldt deres selvcertificering om tilslutning til principperne til det amerikanske handelsministerium.

(17) Principperne finder anvendelse straks efter certificering. Der gælder dog en undtagelse for princippet om ansvar for videreoverførsel, i de tilfælde hvor et foretagende, der har anmeldt selvcertificering om tilslutning til værnet om privatlivets fred, allerede har forretningsforbindelser med tredjeparter. Da det kan tage tid at bringe disse eksisterende forretningsforbindelser i overensstemmelse med bestemmelserne under princippet om ansvar for videreoverførsel, vil foretagendet være forpligtet til at gøre dette hurtigst muligt og under alle omstændigheder senest ni måneder efter selvcertificering (forudsat at dette sker inden for de første to måneder efter iværksættelsen af værnet om privatlivets fred). I denne overgangsperiode skal foretagendet anvende principperne om oplysningspligt og valgfrihed (og således give den EU-registrerede mulighed for at modsætte sig anvendelse) og, hvis personoplysningerne overføres til en tredjepart, der fungerer som mandatar, sikre, at sidstnævnte som minimum yder det samme niveau af beskyttelse som krævet efter principperne (18). Denne overgangsperiode sikrer en rimelig og passende balance mellem den grundlæggende ret til beskyttelse af dataoplysninger og virksomhedernes legitime behov for tilstrækkelig tid til at tilpasse sig de nye rammer, især når dette berører deres eksisterende forretningsforbindelser med tredjeparter.

(18) Ordningen vil blive forvaltet og overvåget af det amerikanske handelsministerium på grundlag af ministeriets tilsagn i udredningerne fra den amerikanske handelsminister (bilag I til denne afgørelse). Med hensyn til håndhævelsen af principperne har Federal Trade Commission (FTC) (den føderale handelskommission) og det amerikanske transportministerium udarbejdet udredninger, der er indeholdt i bilag IV og V til denne afgørelse).

2.1. Principper om beskyttelse af privatlivets fred

(19) Som led i deres selvcertificering under EU's og USA's værn om privatlivets fred skal foretagender forpligte sig til at overholde principperne (19).

(20) I henhold til princippet om oplysningspligt skal foretagender give oplysninger til registrerede om en række centrale elementer vedrørende behandlingen af deres personoplysninger (f.eks. type af indsamlede oplysninger, formål med behandlingen, retten til indsigt og valgfrihed, betingelser for videreoverførsel og ansvar). Der findes yderligere garantier, hvorved foretagender navnlig skal offentliggøre deres privatlivspolitik (som afspejler principperne) og angive link til handelsministeriets websted (med yderligere oplysninger om selvcertificering, de registreredes rettigheder og tilgængelige klageinstanser), listen over deltagere i værnet om privatlivets (omhandlet i betragtning 30) og webstedet for relevant udenretslig tvistbilæggelsesinstans.

(21) I henhold til princippet om dataintegritet og formålsbegrænsning skal personoplysninger begrænses til oplysninger, der er relevante for formålet med behandlingen og er pålidelige, nøjagtige, fuldstændige og ajourførte. Et foretagende må ikke behandle personoplysninger på en måde, der strider imod det formål, hvortil de oprindeligt er blevet indsamlet, eller det formål, der efterfølgende er blevet godkendt af den registrerede. Foretagender skal sikre, at personoplysningerne er pålidelige, nøjagtige, fuldstændige og ajourførte.

(22) Hvis et nyt (ændret) formål er væsentligt forskelligt men stadig foreneligt med det oprindelige formål, giver princippet om valgfrihed den registrerede ret til at modsætte sig anvendelsen af oplysningerne. Princippet om valgfrihed træder ikke i stedet for det udtrykkelige forbud mod uforenelig behandling (20). Ved direkte markedsføring gælder der særlige bestemmelser, der generelt giver mulighed for til enhver tid at vælge ikke at lade sine personoplysninger anvende (opt out) (21). I tilfælde af følsomme oplysninger skal de pågældende foretagender normalt indhente den registreredes udtrykkelige samtykke (opt in).

(23) I henhold til princippet om dataintegritet og formålsbegrænsning må personlige oplysninger dog alene opbevares i en form, der giver mulighed for at identificere eller gøre en person identificerbar (dvs. i form af personoplysninger), for så vidt som det tjener de(t) formål, hvortil de oprindeligt blev indsamlet eller efterfølgende godkendt. Denne pligt forhindrer ikke foretagender, der indgår i værnet om privatlivets fred, i at fortsætte med behandlingen af personoplysninger i længere perioder, men dog kun så længe og i det omfang en sådan behandling i rimeligt omfang tjener et af følgende formål: arkivering i samfundets interesse, journalistik, kunst og litteratur, videnskabelig og historisk forskning samt statistisk analyse. En længere opbevaring af personoplysninger til et af disse formål vil være underlagt garantierne i principperne.

(24) I henhold til princippet om sikkerhed skal foretagender, der opretter, vedligeholder, anvender eller spreder personoplysninger træffe »rimelige og passende« sikkerhedsforanstaltninger under hensyntagen til de risici, som behandlingen indebærer, og de pågældende oplysningers karakter. I forbindelse med udlicitering af databehandling skal foretagender indgå en aftale med den underkontraherede databehandler, der sikrer det samme niveau af beskyttelse som i principperne, og sørge for, at den gennemføres korrekt.

(25) I henhold til princippet om indsigt (22) har registrerede ret til uden begrundelse og mod betaling af et rimeligt gebyr at få oplyst, om et foretagende behandler personoplysninger om dem, og til at få udleveret oplysningerne inden for en rimelig tid. Denne ret kan kun begrænses i ekstraordinære tilfælde; enhver nægtelse eller begrænsning af retten til indsigt skal være nødvendig og behørigt begrundet, og foretagendet skal dokumentere, at disse krav er opfyldt. Registrerede skal have mulighed for at rette, ændre eller slette ukorrekte oplysninger eller oplysninger behandlet i strid med principperne. På de områder, hvor foretagender ofte anvender automatiseret behandling af personoplysninger til at træffe beslutninger vedrørende en fysisk person (f.eks. långivning, realkreditlån, ansættelse), indeholder amerikansk ret særlige garantier vedrørende negative beslutninger (23). Disse retsakter indeholder typisk bestemmelser, der giver fysiske personer ret til at blive oplyst om de specifikke årsager til beslutningen (f.eks. afvisning af lån), at bestride ufuldstændige eller unøjagtige oplysninger (samt anvendelsen af uretmæssige forhold) samt til at klage. Reglerne indeholder garantier i formodentlig meget begrænsede tilfælde, hvor de automatiserede beslutninger træffes af foretagender, der indgår i værnet om privatlivets fred (24). I betragtning af, at automatiseret behandling (herunder profilering) i stigende grad anvendes som grundlag for beslutninger vedrørende fysiske personer i den moderne digitale økonomi, er dette ikke desto mindre et område, der skal overvåges nøje. Med henblik på at lette denne overvågning er man nået til enighed med de amerikanske myndigheder om at afholde drøftelser om automatiserede beslutninger, herunder at drøfte ligheder og forskelle i EU's og USA's praksis, som led i den første årlige evaluering samt, efter behov, ved efterfølgende evalueringer.

(26) I henhold til princippet om klageadgang, håndhævelse og ansvar (25) skal de deltagende foretagender sørge for robuste mekanismer til at sikre overholdelsen af de øvrige principper og klageadgang for registrerede i EU, hvis personoplysninger er blevet behandlet i strid med principperne, herunder effektive retsmidler. Når et foretagende frivilligt har besluttet at foretage selvcertificering (26) under EU's og USA's værn om privatlivets fred, skal det overholde principperne til fulde. For fortsat at kunne modtage personoplysninger fra EU inden for rammerne af værnet om privatlivets fred skal disse foretagender årligt recertificere deres deltagelse. Foretagender skal desuden træffe foranstaltninger til at kontrollere (27), at deres offentliggjorte privatlivspolitik er i overensstemmelse med principperne og rent faktisk overholdes. Dette kan enten gøres gennem selvevaluering, som skal inkludere interne procedurer, der sikrer, at de ansatte informeres om implementeringen af foretagendets privatlivspolitik, og at overholdelsen kontrolleres regelmæssigt og objektivt, eller gennem ekstern kontrol af overholdelsen, der kan omfatte revision eller stikprøvekontrol. Foretagendet skal også indføre en effektiv klagemekanisme til behandling af eventuelle klager (se også betragtning 43) og være omfattet af de undersøgelses- og håndhævelsesbeføjelser, der er tillagt FTC, det amerikanske transportministerium eller et andet kompetent organ, der vil sikre overholdelsen af principperne.

(27) Der gælder særlige regler for såkaldte »videreoverførsler«, dvs. overførsler af personoplysninger fra et foretagende til en tredjepart (dataansvarlig eller databehandler), uanset om denne befinder sig i USA eller i et tredjeland uden for USA (og EU). Formålet med disse regler er at sikre, at den garanterede beskyttelse af EU-registreredes personoplysninger ikke undergraves og ikke kan omgås ved at overføre dem til tredjeparter. Det er særlig relevant i mere komplekse behandlingskæder, som er typiske for vor tids digitale økonomi.

(28) I henhold til princippet om ansvar for videreoverførsel (28) kan videreoverførsel alene finde sted i) til begrænsede og bestemte formål, ii) på grundlag af en aftale (eller tilsvarende arrangement i en koncern (29)) og iii) udelukkende, hvis denne aftale sikrer samme niveau af beskyttelse som principperne, som indeholder krav om, at anvendelsen af principperne kun kan begrænses, for så vidt som det er nødvendigt af hensyn til national sikkerhed, retshåndhævelse og andre almene interesser (30). Dette bør ses i sammenhæng med princippet om oplysningspligt og, i tilfælde af videreoverførsel til en dataansvarlig tredjepart (31), princippet om valgfrihed, ifølge hvilke den registrerede skal oplyses om (bl.a.) typen/identiteten af en eventuel tredjepartsmodtager, formålet med videreoverførslen samt om det valg, vedkommende kan træffe om at modsætte sig (opt out) eller, i forbindelse med følsomme oplysninger, at give sit udtrykkelige samtykke (opt in) til videreoverførslen. Med hensyn til princippet om dataintegritet og formålsbegrænsning indebærer forpligtelsen til at yde samme niveau af beskyttelse som under principperne, at tredjeparten udelukkende må råde over de personoplysninger, der er blevet overført til denne til formål, der ikke er i strid med de formål, hvortil oplysningerne oprindeligt blev indsamlet eller efterfølgende godkendt af den registrerede.

(29) Pligten til at yde samme niveau af beskyttelse som krævet i principperne gælder alle tredjeparter, der deltager i behandlingen af overførte oplysninger, uanset hvor de befinder sig (i USA eller et andet tredjeland), også når den oprindelige modtagende tredjepart selv overfører oplysningerne til en anden modtagende tredjepart f.eks. i forbindelse med udlicitering. Under alle omstændigheder skal det fastslås i aftalen med den modtagende tredjepart, at denne underretter foretagendet i værnet om privatlivets fred, hvis den beslutter, at den ikke længere kan opfylde denne pligt. Når en tredjepart træffer en sådan beslutning, skal den pågældende tredjepart ophøre med at behandle oplysningerne eller træffe andre rimelige og passende skridt for at rette op på situationen (32). I tilfælde af problemer med overholdelsen i udliciterings- eller behandlingskæden skal foretagendet i værnet om privatlivets fred, som fungerer som dataansvarlig for personoplysningerne, bevise, at det ikke er skyld i den begivenhed, der medførte skaden, og i modsat fald påtage sig ansvaret, jf. princippet om klageadgang, håndhævelse og ansvar. Der gælder yderligere garantier i tilfælde af en videreoverførsel til en tredjepart, der fungerer som mandatar (33).

2.2. Gennemsigtighed og forvaltning af samt tilsyn med EU's og USA's værn om privatlivets fred

(30) EU's og USA's værn om privatlivets fred indeholder tilsyns- og håndhævelsesmekanismer for at kontrollere og sikre, at selvcertificerede foretagender i USA overholder principperne, og at der tages hånd om eventuel manglende overholdelse. Disse mekanismer er indeholdt i principperne (bilag II) og de tilsagn, der er afgivet af det amerikanske handelsministerium (bilag I), FTC (bilag IV) og det amerikanske transportministerium (bilag V).

(31) For at sikre en korrekt anvendelse af EU's og USA's værn om privatlivets fred skal interesserede parter, f.eks. registrerede, dataeksportører og de nationale databeskyttelsesmyndigheder kunne identificere de foretagender, der har tilsluttet sig principperne. Handelsministeriet har til dette formål påtaget sig at føre og offentliggøre en liste over foretagender, der på grundlag af selvcertificering har tilsluttet sig principperne, og som er underlagt mindst en af de håndhævelsesmyndigheder, der er nævnt i bilag I og II til denne afgørelse (»listen over deltagere i værnet om privatlivets fred«) (34). Handelsministeriet vil ajourføre listen på grundlag af et foretagendes årlige anmeldelser om recertificering, og når et foretagende trækker sig ud af eller udelukkes fra EU's og USA's værn om privatlivets fred. Ministeriet vil ligeledes føre og offentliggøre en officiel fortegnelse over foretagender, der er blevet fjernet fra listen, og i hvert enkelt tilfælde angive årsagen hertil. Endelig vil ministeriet angive et link til listen over FTC-håndhævelsessager relateret til værnet om privatlivets fred på FTC's websted.

(32) Handelsministeriet offentliggør både listen over deltagere i værnet om privatlivets fred og anmeldelserne om recertificering på et særligt websted. De selvcertificerede foretagender skal til gengæld meddele deres webadresser til handelsministeriet med henblik på optagelse på listen. Hvis et foretagendes privatlivspolitik er tilgængeligt online, skal det desuden indeholde et link til webstedet for værnet om privatlivets fred samt et link til webstedet og klageformularer for den uafhængige klageinstans, der kan behandle åbne klager. Det amerikanske handelsministerium vil i forbindelse med et foretagendes certificering eller recertificering af sin deltagelse i ordningen systematisk kontrollere, om foretagendets privatlivspolitik er i overensstemmelse med principperne.

(33) Foretagender, der vedvarende overtræder principperne, vil blive fjernet fra listen over deltagere i værnet om privatlivets fred, og de skal tilbagesende eller slette modtagne personoplysninger under EU's og USA's værn om privatlivets fred. I andre tilfælde af fjernelse, f.eks. frivillig udtræden eller manglende recertificering, kan foretagendet beholde disse oplysninger, hvis det hvert år bekræfter over for handelsministeriet, at det fortsat vil anvende principperne, eller sikrer en tilstrækkelig beskyttelse af personoplysningerne på anden godkendt vis (f.eks. ved hjælp af en aftale, der fuldt ud afspejler kravene i de relevante standardkontraktbestemmelser, som Kommissionen har godkendt). I dette tilfælde skal et foretagende udpege et kontaktpunkt i foretagendet for alle spørgsmål relateret til værnet om privatlivets fred.

(34) Handelsministeriet vil desuden overvåge foretagender, der ikke længere deltager i EU's og USA's værn om privatlivets fred, enten fordi de frivilligt har trukket sig ud, eller fordi deres certificering er udløbet, for at kontrollere, om de agter at tilbagesende, slette eller beholde (35) de personoplysninger, som de tidligere har modtaget under ordningen. Hvis de beholder oplysningerne, skal foretagenderne fortsætte med at anvende principperne. Hvis handelsministeriet har fjernet foretagender fra listen over deltagere i værnet på grund af vedvarende overtrædelse af principperne, vil ministeriet sikre, at disse foretagender tilbagesender eller sletter de personoplysninger, som de modtog under ordningen.

(35) Hvis et foretagende af den ene eller anden årsag forlader EU's og USA's værn om privatlivets fred, skal det fjerne alle offentlige udtalelser, der lader formode, at foretagendet fortsat deltager i EU's og USA's værn om privatlivets fred eller er berettiget til at drage fordel heraf, navnlig alle henvisninger til EU's og USA's værn om privatlivets fred i den offentliggjorte privatlivspolitik. Handelsministeriet vil holde udkig efter og sætte ind over for falske påstande om deltagelse i ordningen, herunder påstande fremsat af tidligere deltagere (36). Et foretagende, der afgiver urigtige oplysninger til offentligheden vedrørende dets tilslutning til principperne i form af vildledende udtalelser eller praksis, kan indbringes for FTC, transportministeriet eller andre relevante håndhævelsesmyndigheder i USA; afgivelse af urigtige oplysninger til handelsministeriet kan indbringes i henhold til False Statements Act (18 U.S.C. § 1001) (37).

(36) Handelsministeriet vil ex officio føre tilsyn med falske påstande om deltagelse i værnet om privatlivets fred eller uretmæssig brug af certificeringsmærket for værnet om privatlivets fred, og databeskyttelsesmyndighederne kan henvise foretagender til et særligt kontaktpunkt i ministeriet med henblik på kontrol. Hvis et foretagende har trukket sig ud af EU's og USA's værn om privatlivets fred, ikke foretager en recertificering eller fjernes fra listen over deltagere i værnet om privatlivets fred, vil handelsministeriet løbende kontrollere, at foretagendet har slettet alle henvisninger til værnet om privatlivets fred i sin offentliggjorte privatlivspolitik, der lader formode, at foretagendet fortsat deltager heri, og — hvis foretagendet fortsætter med at fremsætte falske påstande — henvise sagen til FTC, transportministeriet eller en anden kompetent myndighed med henblik på eventuelle foranstaltninger. Ministeriet vil ligeledes fremsende spørgeskemaer til foretagender, hvis selvcertificeringer er udløbet, eller som frivilligt har trukket sig ud af EU's og USA's værn om privatlivets fred, for at kontrollere, om foretagendet agter at tilbagesende eller slette personoplysningerne eller fortsat vil anvende principperne om beskyttelse af privatlivets fred på de personoplysninger, som de modtog, mens de deltog i værnet om privatlivets fred, og hvis de beholder personoplysningerne, kontrollere, hvem der fremover fungerer som kontaktpunkt for spørgsmål relateret til værnet om privatlivets fred.

(37) Handelsministeriet vil løbende foretage ex officio-kontrol (38) af selvcertificerede foretagenders overholdelse, herunder gennem fremsendelse af detaljerede spørgeskemaer. Ministeriet vil ligeledes systematisk foretage kontrol, hver gang det modtager en specifik (begrundet) klage, hvis et foretagende ikke svarer tilfredsstillende på dets forespørgsler, eller hvis der er troværdig dokumentation for, at et foretagende muligvis ikke overholder principperne. Når det er relevant, vil handelsministeriet desuden konsultere databeskyttelsesmyndighederne i forbindelse med sådanne kontroller.

2.3. Klageadgang og -håndtering samt fuldbyrdelse

(38) I henhold til princippet om klageadgang, håndhævelse og ansvar inden for rammerne af EU's og USA's værn om privatlivets fred skal foretagender give fysiske personer, der er genstand for manglende overholdelse, mulighed for regres, dvs. give registrerede i EU mulighed for at indgive klager vedrørende selvcertificerede amerikanske foretagenders manglende overholdelse og om nødvendigt få disse klager afgjort ved en afgørelse om effektive afhjælpende foranstaltninger.

(39) Som led i deres slevcertificering skal foretagender opfylde kravene i princippet om klageadgang, håndhævelse og ansvar ved at sørge for effektive og let tilgængelige uafhængige klageinstanser, som kan undersøge og finde en hurtig løsning på klager fra fysiske personer eller eventuelle tvister, uden ekstra omkostninger for den pågældende.

(40) Foretagender kan vælge at benytte uafhængige klageinstanser i enten EU eller i USA. Det omfatter også muligheden for frivilligt at forpligte sig til at samarbejde med databeskyttelsesmyndighederne i EU. Denne valgmulighed findes dog ikke, når foretagenderne behandler oplysninger om menneskelige ressourcer, da det i dette tilfælde er obligatorisk at samarbejde med databeskyttelsesmyndighederne i EU. Andre alternativer er udenretslig tvistbilæggelse eller programmer til beskyttelse af privatlivets fred udviklet i den private sektor, som inkorporerer principperne. Sidstnævnte skal omfatte effektive fuldbyrdelsesmekanismer i overensstemmelse med kravene i princippet om klageadgang, håndhævelse og ansvar. Foretagender har pligt til at løse eventuelle problemer vedrørende manglende overensstemmelse. De skal ligeledes præcisere, at de er underlagt de undersøgelses- og håndhævelsesbeføjelser, der er tillagt FTC, transportministeriet eller ethvert andet godkendt kompetent organ.

(41) Ordningen for værnet om privatlivets fred giver således de registrerede en række muligheder for at udøve deres rettigheder, indgive klager vedrørende selvcertificerede amerikanske foretagenders manglende overholdelse og om nødvendigt at få klagerne afgjort gennem en afgørelse med effektive afhjælpende foranstaltninger. Fysiske personer kan indbringe en klage direkte til et foretagende, til en uafhængig tvistbilæggelsesinstans, der er udpeget af foretagendet, til de nationale databeskyttelsesmyndigheder eller til FTC.

(42) Hvis deres klager ikke afgøres ved hjælp af disse klage- eller håndhævelsesmekanismer, kan fysiske personer indbringe sagen til tvungen voldgift for panelet i værnet om privatlivets fred (bilag 1 til bilag II til denne afgørelse). Med undtagelse af indbringelse for voldgiftspanelet, der kræver at visse andre retsmidler først skal være udtømt, kan fysiske personer frit vælge at benytte enhver af eller alle disse mekanismer og er ikke forpligtet til at vælge en bestemt mekanisme frem for en anden eller til at følge en bestemt rækkefølge. Det anbefales dog at følge den logiske rækkefølge, der er beskrevet nedenfor.

(43) For det første kan registrerede i EU rette klager vedrørende manglende overholdelse af principperne direkte til det selvcertificerede amerikanske foretagende. Foretagendet skal indføre en effektiv klagemekanisme til behandling af disse klager for at fremme en løsning. Et foretagendes privatlivspolitik skal derfor indeholde klare oplysninger til fysiske personer om det kontaktpunkt i eller uden for foretagendet, der behandler klagerne (herunder ethvert relevant organ i EU, som kan besvare forespørgsler eller klager), og oplysninger om de uafhængige klageinstanser.

(44) Ved modtagelsen af en klage fra en fysisik person, enten direkte fra personen eller via handelsministeriet, som har fået sagen henvist fra en databeskyttelsesmyndighed, skal foretagendet fremsende et svar til den registrerede i EU inden for 45 dage. Dette svar skal indeholde en vurdering af klagens berettigelse og oplysninger om, hvordan foretagendet vil løse problemet. Foretagenderne skal ligeledes straks besvare henvendelser og andre anmodninger om oplysninger fra handelsministeriet eller en databeskyttelsesmyndighed (39) (hvis foretagendet har forpligtet sig til at samarbejde med databeskyttelsesmyndighederne) vedrørende deres tilslutning til principperne. Foretagenderne skal føre protokol over implementeringen af deres privatlivspolitik og på anmodning herom stille dem til rådighed for en uafhængig klageinstans eller FTC (eller den amerikanske myndighed, der har kompetence til at undersøge sager om illoyal eller vildledende praksis) i forbindelse med en undersøgelse eller en klage vedrørende manglende overholdelse.

(45) For det andet kan fysiske personer ligeledes indgive klagen direkte til den uafhængige tvistbilæggelsesinstans (enten i USA eller i EU), der er udpeget af et foretagende til at undersøge og afgøre individuelle klager (medmindre klagerne tydeligt er ubegrundede eller useriøse) og sikre egnet gratis klageadgang for fysiske personer. De sanktioner og afhjælpende foranstaltninger, der pålægges af denne instans, skal være af en sådan karakter, at foretagenderne tilskyndes til at overholde principperne, og de bør sikre, at foretagendet imødegår eller afhjælper følgerne af den manglende overholdelse, og afhængigt af omstændighederne, at den videre behandling af de pågældende personoplysninger indstilles, eller at oplysningerne slettes, og at konstateringerne af manglende overholdelse offentliggøres. De uafhængige tvistbilæggelsesinstanser, der udpeges af et foretagende, skal angive relevante oplysninger om EU's og USA's værn om privatlivets fred og om de tjenester, de tilvejebringer i tilknytning hertil, på deres offentlige websteder. De skal hvert år offentliggøre en årlig rapport med en samlet statistik over disse tjenester (40).

(46) Handelsministeriet vil som led i sin kontrol af overholdelsen ligeledes kontrollere, om selvcertificerede amerikanske foretagender rent faktisk har ladet sig registrere ved den uafhængige klageinstans, som de påstår at have registreret sig ved. Både foretagenderne og den ansvarlige uafhængige klageinstans skal straks besvare forespørgsler og anmodninger fra handelsministeriet om oplysninger vedrørende værnet om privatlivets fred.

(47) I de tilfælde hvor foretagendet ikke følger et tvistbilæggelsesorgans eller et selvregulerende organs afgørelse, skal disse indberette den manglende overholdelse til handelsministeriet og FTC (eller en anden amerikansk myndighed med kompetence til at undersøge sager om illoyal eller vildledende praksis) eller til en kompetent domstol (41). Hvis et foretagende nægter at følge et selvregulerende organs, et uafhængigt tvistbilæggelsesorgans eller et statsligt organs endelige afgørelse, eller hvis et sådant organ fastslår, at et foretagende regelmæssigt overtræder principperne, vil dette blive betragtet som en vedvarende overtrædelse med det resultat, at handelsministeriet, efter at have givet det pågældende foretagende 30 dages varsel og mulighed for at fremsætte bemærkninger, fjerner foretagendet fra listen over deltagere i værnet om privatlivets fred (42). Hvis foretagendet efter at være blevet fjernet fra listen fastholder påstande om deltagelse i værnet om privatlivets fred, henviser ministeriet det til FTC eller en anden retshåndhævende myndighed (43).

(48) For det tredje kan en fysisk person også indgive en klage til en national databeskyttelsesmyndighed. Foretagender er forpligtede til at samarbejde med databeskyttelsesmyndigheden i forbindelse med undersøgelsen og afgørelsen af klager, enten når det drejer sig om behandling af oplysninger om menneskelige ressourcer, der er indsamlet i forbindelse med ansættelsesforhold, eller når det pågældende foretagende frivilligt har underlagt sig databeskyttelsesmyndighedernes tilsyn. Foretagenderne skal navnlig besvare forespørgsler, rette sig efter databeskyttelsesmyndighedens anbefalinger, herunder om afhjælpende eller kompenserende foranstaltninger, og give databeskyttelsesmyndigheden en skriftlig bekræftelse på, at disse foranstaltninger er truffet.

(49) Databeskyttelsesmyndighedernes anbefalinger vil blive formidlet gennem et uformelt panel af databeskyttelsesmyndigheder etableret på EU-niveau (44), som vil bidrage til at sikre en ensartet og sammenhængende tilgang til en given klage. Anbefalingerne vil blive afgivet, når begge parter i sagen har haft passende mulighed for at fremsætte bemærkninger og fremlægge eventuel dokumentation, som de finder relevant. Panelet vil afgive sine anbefalinger så hurtigt som muligt under hensyntagen til kravet om behørig behandling og som hovedregel senest 60 dage efter modtagelse af klagen. Hvis et foretagende ikke har rettet sig efter en anbefaling senest 25 dage efter anbefalingens afgivelse og ikke har givet en tilfredsstillende forklaring på denne forsinkelse, vil panelet meddele, at det agter at indbringe sagen for FTC (eller et andet kompetent amerikansk retshåndhævende organ) eller at konkludere, at der er sket en væsentlig overtrædelse af samarbejdsaftalen. I det første tilfælde kan det føre til håndhævelsesforanstaltninger i henhold til Section 5 i FTC Act (eller tilsvarende lov). I det andet tilfælde vil panelet underrette handelsministeriet, der vil betragte foretagendets afslag om at efterkomme panelets anbefalinger som en vedvarende overtrædelse, der indebærer, at foretagendet fjernes fra listen over deltagere i værnet om privatlivets fred.

(50) Hvis den databeskyttelsesmyndighed, som har modtaget klagen, ikke har truffet eller har truffet utilstrækkelige foranstaltninger vedrørende en klage, har den enkelte klager mulighed for at indbringe sagen for de nationale domstole i den pågældende medlemsstat.

(51) Fysiske personer kan også indgive klager til databeskyttelsesmyndighederne, selv om foretagendet ikke har udpeget panelet som tvistbilæggelsesinstans. I disse tilfælde kan databeskyttelsesmyndigheden henvise klagen til enten handelsministeriet eller til FTC. For at fremme og styrke samarbejdet om spørgsmål relateret til individuelle klager og manglende overholdelse fra foretagender i værnet om privatlivets fred vil handelsministeriet udpege et særligt kontaktpunkt, der skal agere bindeled og hjælpe med at besvare forespørgsler om et foretagendes overholdelse af principperne (45). FCT har ligeledes forpligtet sig til at udpege et særligt kontaktpunkt (46) og yde databeskyttelsesmyndighederne efterforskningsbistand i henhold til USA's SAFE WEB Act (47).

(52) For det fjerde har handelsministeriet forpligtet sig til at modtage, gennemgå og gøre sit yderste for at behandle klager om et foretagendes manglende overholdelse af principperne. Handelsministeriet har i den forbindelse indført særlige procedurer, som databeskyttelsesmyndighederne skal følge ved henvisning af klager til et specifikt kontaktpunkt, sporing af klagerne og opfølgning over for foretagenderne for at fremme en løsning. For at fremskynde behandlingen af individuelle klager vil kontaktpunktet tage direkte kontakt til den pågældende databeskyttelsesmyndighed i tilfælde af problemer med overholdelsen og navnlig underrette myndigheden om status for klagerne senest 90 dage efter henvisningen. Dette giver registrerede mulighed for at indgive klager over amerikanske selvcertificerede foretagender, der ikke overholder principperne, direkte til deres nationale databeskyttelsesmyndighed og få dem kanaliseret til handelsministeriet, der er den amerikanske myndighed, som forvalter EU's og USA's værn om privatlivets fred. Handelsministeriet har ligeledes forpligtet sig til at forelægge en rapport, hvor de klager, ministeriet modtager hvert år, analyseres i aggregeret form, i forbindelse med den årlige evaluering af EU's og USA's værn om privatlivets fred (48).

(53) Hvis handelsministeriet på grundlag af sin ex officio-kontrol, klager eller andre oplysninger konkluderer, at et foretagende vedvarende overtræder principperne, vil ministeriet fjerne det fra listen over deltagere i værnet om privatlivets fred. Hvis et foretagende nægter at rette sig efter den endelige afgørelse truffet af en uafhængig selvregulerende tvistbilæggelsesinstans med kompetence inden for beskyttelse af privatlivets fred eller af en statslig instans, herunder en databeskyttelsesmyndighed, vil det blive betragtet som en vedvarende overtrædelse af principperne.

(54) For det femte skal et foretagende i værnet om privatlivets fred være underlagt de undersøgelses- og håndhævelsesbeføjelser, der er tillagt de amerikanske myndigheder, særligt Federal Trade Commission (49), som vil garantere overholdelsen af principperne. FTC vil prioritere sager om manglende overholdelse af principperne om privatlivets fred, der henvises fra uafhængige tvistbilæggelsesinstanser eller selvregulerende instanser, handelsministeriet og databeskyttelsesmyndighederne (der handler på eget initiativ eller på grundlag af klager) for at bestemme, om Section 5 i Federal Trade Commission Act er blevet overtrådt (50). FTC har forpligtet sig til at indføre en standardiseret henvisningsprocedure, til at udpege et kontaktpunkt for henvisninger fra databeskyttelsesmyndighederne og til at udveksle oplysninger om henvisninger. FTC vil derudover tage imod klager direkte fra fysiske personer og på eget initiativ foretage undersøgelser relateret til værnet om privatlivets fred, navnlig som led i sine mere generelle undersøgelser af forhold vedrørende beskyttelse af privatlivets fred.

(55) FTC kan håndhæve overholdelsen gennem administrative afgørelser (»consent orders« — forligsafgørelser) og vil systematisk overvåge overholdelsen af disse afgørelser. Hvis et foretagende ikke efterlever afgørelsen, kan FTC henvise sagen til den kompetente domstol med henblik på idømmelse af civilretlige sanktioner eller andre afhjælpende foranstaltninger, herunder for enhver skade som følge af den ulovlige adfærd. FTC kan alternativt anmode en føderal domstol om at udstede et foreløbigt eller endeligt forbud eller påbud eller andre afhjælpende foranstaltninger. Enhver forligsafgørelse, der udstedes til et foretagende i værnet om privatlivets fred, vil indeholde bestemmelser om selvrapportering (51), og foretagenderne vil blive anmodet om at offentliggøre alle afsnit relateret til værnet om privatlivets fred i alle overholdelses- eller vurderingsrapporter forelagt FTC. Endelig vil FTC føre en onlineliste over foretagender omfattet FTC- eller retsafgørelser i sager om værnet om privatlivets fred.

(56) Hvis en klage fra en fysisk person ikke er blevet afgjort på tilfredsstillende vis via de andre tilgængelige klagemuligheder, kan den registrerede i EU for det sjette som en sidste udvej indbringe sagen for »panelet i værnet om privatlivets fred« med henblik på tvungen voldgift. Foretagender skal informere de registrerede om muligheden for, på visse betingelser, at indbringe sagen til tvungen voldgift, og de er forpligtede til at reagere, når en registreret benytter sig af denne mulighed ved at rette henvendelse til det berørte foretagende (52).

(57) Voldgiftspanelet vil bestå af en pulje af mindst 20 voldgiftsmænd udpeget af det amerikanske handelsministerium og Kommissionen på grundlag af disses uafhængighed, integritet samt erfaring med USA's og EU's databeskyttelsesregler. I forbindelse med de enkelte tvister skal parterne sammensætte et panel med en eller tre voldgiftsmænd fra denne pulje (53). Voldgiftsproceduren vil være underlagt almindelige voldgiftsregler, der skal fastlægges af handelsministeriet og Kommissionen. Disse regler vil supplere de allerede eksisterende regler, der indeholder flere elementer til at give registrerede i EU større mulighed for at anvende denne mekanisme, bl.a. i) kan den registrerede få hjælp af sin nationale databeskyttelsesmyndighed til at fremsætte en klage for panelet, ii) den registrerede i EU har mulighed for at deltage i voldgiftsbehandlingen, som foregår i USA, via video- eller telekonference uden ekstra omkostninger for den registrerede, iii) voldgiftsproceduren vil som regel foregå på engelsk, men den registrerede vil på begrundet anmodning normalt have adgang til tolkning under voldgiftsbehandlingen og oversættelser uden ekstra omkostninger for den registrerede (54) iv) og endelig skal hver part afholde egne omkostninger til advokatsalær, hvis parten møder ved advokat for panelet, men handelsministeriet vil etablere en fond finansieret via årlige bidrag fra foretagenderne i værnet om privatlivets fred, som skal dække støtteberettigede voldgiftsomkostninger op til maksimumsbeløb, der skal fastlægges af de amerikanske myndigheder i samråd med Kommissionen.

(58) Panelet i værnet om privatlivets fred har beføjelse til at give rimelig individuel ikkepengemæssig oprejsning (55) (»individual-specific, non-monetary equitable relief«) for at afhjælpe overtrædelsen af principperne. Selv om panelet vil tage højde for andre afhjælpende foranstaltninger, der allerede er iværksat gennem andre mekanismer i værnet om privatlivets fred, når det træffer sin afgørelse, kan den enkelte stadig vælge at få sagen afgjort ved voldgift, hvis den pågældende mener, at disse andre retsmidler er utilstrækkelige. Det vil give registrerede i EU mulighed for at kræve sagen afgjort ved voldgift, hver gang de kompetente amerikanske myndigheders (f.eks. FTC) tiltag eller mangel på tiltag ikke har ført til en tilfredsstillende afgørelse af deres klager. Der kan ikke stilles krav om voldgift, hvis en databeskyttelsesmyndighed har retligt grundlag for at afgøre den pågældende klage over det selvcertificerede amerikanske foretagende, nemlig i de sager, hvor foretagendet enten er forpligtet til at samarbejde med og rette sig efter databeskyttelsesmyndighedernes anbefalinger om behandling af personoplysninger om menneskelige ressourcer, der indsamles inden for rammerne af et ansættelsesforhold, eller hvis de frivilligt har forpligtet sig til at gøre dette. Fysiske personer kan få fuldbyrdet voldgiftsafgørelser ved de amerikanske domstole i henhold til Federal Arbitration Act, som således sikrer effektive retsmidler i tilfælde af, at et foretagende ikke overholder principperne.

(59) For det syvende kan der i tilfælde af et foretagendes manglende overholdelse af principperne og af dens privatlivspolitik findes andre muligheder for retslig prøvelse i de enkelte amerikanske staters lovgivning, som indeholder bestemmelser om retsmidler under erstatningsretten og i tilfælde af svigagtig afgivelse af urigtige oplysninger, illoyal eller vildledende praksis eller kontraktbrud.

(60) Hvis en databeskyttelsesmyndighed modtager en klage fra en registreret i EU og finder, at overførslen af en persons personoplysninger til et foretagende i USA sker i strid med EU's regler om databeskyttelse, herunder også når dataeksportøren i EU har grund til at tro, at foretagendet ikke overholder principperne, kan den også udøve sine beføjelser i forhold til dataeksportøren og om nødvendigt beordre suspension af dataoverførslen.

(61) På grundlag af oplysningerne i dette afsnit finder Kommissionen, at de principper, som det amerikanske handelsministerium har opstillet, i deres helhed sikrer et niveau af beskyttelse af personoplysninger, der i det væsentlige svarer til det niveau, der er garanteret ved de grundlæggende principper i direktiv 95/46/EF.

(62) Den effektive anvendelse af principperne er desuden garanteret ved gennemsigtighedskrav og handelsministeriets forvaltning og kontrol af værnet om privatlivets fred.

(63) Kommissionen mener desuden, at mekanismerne for tilsyn og klageadgang i værnet om privatlivets fred gør det muligt at identificere overtrædelser af principperne begået af foretagender i værnet om privatlivets fred og straffe disse i praksis og sikre registrerede retsmidler med henblik på at få adgang til personoplysninger, som vedrører de pågældende, eller til at få sådanne oplysninger berigtiget eller slettet.

3. DE AMERIKANSKE MYNDIGHEDERS ADGANG TIL OG BRUG AF PERSONOPLYSNINGER OVERFØRT UNDER EU'S OG USA'S VÆRN OM PRIVATLIVETS FRED

(64) Som anført i bilag II, afsnit I, punkt 5, er overholdelsen af principperne begrænset til et niveau, der er tilstrækkeligt til at opfylde kravene med hensyn til den nationale sikkerhed, den offentlige interesse eller retshåndhævelse.

(65) Kommissionen har vurderet begrænsningerne og garantierne i amerikansk ret for de amerikanske myndigheders adgang til og brug af personoplysninger overført under EU's og USA's værn om privatlivets fred med henblik på beskyttelsen af den nationale sikkerhed, retshåndhævelse og andre offentlige interesser. Den amerikanske regering har desuden gennem Office of the Director of National Intelligence (ODNI) (56) forelagt detaljerede udredninger og tilsagn for Kommissionen, som findes i bilag VI til denne afgørelse. Ved brev fra den amerikanske udenrigsminister knyttet som bilag III til denne afgørelse har den amerikanske regering ligeledes forpligtet sig til at indføre en ny tilsynsmekanisme for nationale sikkerhedsforanstaltninger, nemlig ombudsmanden i værnet om privatlivets fred, der er uafhængig af de amerikanske efterretningstjenester. Endelig beskrives I bilag VII til denne afgørelse de gældende begrænsninger og garantier for de offentlige myndigheders adgang til og brug af oplysninger med henblik på retshåndhævelse og andre offentlige interesser i en udredning fra det amerikanske justitsministerium. For at øge gennemsigtigheden og afspejle den retlige karakter af disse forpligtelser vil de enkelte dokumenter, der er anført i og knyttet til denne afgørelse, blive offentliggjort i USA's Federal Register.

(66) Nedenfor redegøres der nærmere for Kommissionens konklusioner om begrænsningerne for de amerikanske offentlige myndigheders adgang til og brug af personoplysninger overført fra EU til USA og om adgangen til en effektiv domstolsbeskyttelse.

3.1. De amerikanske myndigheders adgang til og brug af personoplysninger til nationale sikkerhedsformål

(67) Kommissionens analyse viser, at amerikansk ret indeholder en række klare begrænsninger for adgangen til og brugen af personoplysninger, der er overført under EU's og USA's værn om privatlivets fred til nationale sikkerhedsformål, samt tilsyns- og klagemekanismer, der giver tilstrækkelige garantier for, at disse oplysninger beskyttes effektivt mod risikoen for ulovlig adgang og risikoen for misbrug (57). Siden 2013, hvor Kommissionen offentliggjorde sine to meddelelser (jf. betragtning 7), er dette retsgrundlag blevet betydeligt styrket som anført nedenfor.

3.1.1. Begrænsninger

(68) I henhold til den amerikanske forfatning skal præsidenten som øverstbefalende og regeringsleder beskytte den nationale sikkerhed og, hvad angår udenlandsk efterretningsvirksomhed, føre den amerikanske udenrigspolitik (58). Selv om den amerikanske kongres har beføjelse til at pålægge begrænsninger og har gjort dette i mange henseender, kan præsidenten inden for disse grænser styre de amerikanske efterretningstjenesters aktiviteter, navnlig gennem præsidentielle dekreter (executive orders) eller præsidentielle direktiver (presidential directives). Det gælder naturligvis også på de områder, hvor der ikke er nogen retningslinjer fra kongressen. De to centrale retlige instrumenter på dette område i øjeblikket er et præsidentielt dekret, Executive Order 12333 (»E.O. 12333«) (59), og et præsidentielt direktiv, Presidential Policy Directive 28.

(69) I Presidential Policy Directive 28 (»PPD-28«), udstedt den 17. januar 2014, pålægges en række begrænsninger for »signalefterretningsaktiviteter« (60). Dette præsidentielle direktiv er bindende for de amerikanske efterretningsmyndigheder (61) og vil fortsat være i kraft efter et regeringsskifte i USA (62). PPD-28 er særlig relevant for ikke-amerikanske personer, herunder registrerede i EU. Bl.a. fastslås følgende: a) indsamlingen af signalefterretninger skal være hjemlet i lov eller præsidentiel bemyndigelse og skal foretages i overensstemmelse med den amerikanske forfatning (navnlig det fjerde amendment) og amerikansk ret b) alle mennesker bør behandles med værdighed og respekt, uanset deres nationalitet eller bopæl c) alle mennesker har legitime interesser i beskyttelsen af privatlivets fred ved behandlingen af deres personoplysninger d) hensynet til privatlivets fred og borgerlige rettigheder skal integreres i planlægningen af amerikanske signalefterretningsaktiviteter e) amerikanske signalefterretningsaktiviteter skal derfor omfatte tilstrækkelige garantier for alle personers personoplysninger uanset deres nationalitet eller bopæl.

(70) Ifølge PPD-28 må signalefterretninger kun indsamles til udenlandske efterretnings- eller kontraspionageformål, der understøtter nationale eller ministerielle opgaver, og de må ikke indsamles til noget andet formål (f.eks. for at give amerikanske virksomheder en konkurrencefordel). ODNI forklarer i den forbindelse, at efterretningsenhederne »skal stille krav om, at indsamlingen så vidt muligt rettes mod specifikke udenlandske efterretningsmål eller -emner ved brug af diskriminanter (f.eks. specifikke faciliteter, selektorer og identifikatorer)« (63). I udredningerne gives der endvidere sikkerhed for, at afgørelser om indsamling af efterretninger ikke overlades til de enkelte efterretningsfolk, men er underlagt de politikker og procedurer, som de forskellige amerikanske efterretningsenheder (agenturer) skal indføre som led i gennemførelsen af PPD-28 (64). Søgningen efter og fastlæggelsen af passende selektorer sker derfor inden for rammerne af den overordnede »National Intelligence Priorities Framework« (NIPF), som sikrer, at efterretningsprioriteterne fastlægges af politiske beslutningstagere på højt niveau, og at de gennemgås regelmæssigt, således at de tilpasses de reelle nationale sikkerhedstrusler og mulige risici, herunder risiciene for krænkelse af privatlivets fred (65). På denne baggrund søger agenturerne efter og identificerer specifikke selektorer, som forventes at resultere i indsamlingen af udenlandske efterretninger i overensstemmelse med prioriteterne (66). Selektorerne skal gennemgås jævnligt for at undersøge, om de stadig tilvejebringer værdifulde efterretninger, som er i overensstemmelse med prioriteterne (67).

(71) Kravene i PPD-28 om, at indsamlingen altid (68) skal være »så målrettet som muligt«, og at de amerikanske efterretningstjenester skal prioritere andre tilgængelige oplysninger og hensigtsmæssige og mulige alternativer (69) er desuden udtryk for en generel regel om at prioritere målrettet indsamling frem for masseindsamling. Ifølge ODNI's udredninger sikrer den navnlig, at masseindsamlingen hverken er »omfattende« eller »vilkårlig«, og at undtagelsen ikke bliver reglen (70).

(72) Selv om det anføres i PPD-28, at efterretningsenhederne i visse situationer kan være nødsaget til at foretage masseindsamling af signalefterretninger, f.eks. for at identificere og evaluere nye trusler eller trusler under udvikling, pålægges enhederne at prioritere alternativer, der gør det muligt at målrette indsamlingen af signalefterretninger (71). Heraf følger, at der alene foretages masseindsamling, når målrettet indsamling ved anvendelse af diskriminanter — dvs. en identifikator, der er knyttet til et bestemt mål (f.eks. målets e-mailadresse eller telefonnummer) — ikke er mulig »på grund af tekniske eller praktiske forhold« (72). Det gælder både den måde, hvorpå signalefterretningerne indsamles, og det der rent faktisk indsamles (72).

(73) Selv når efterretningstjenesterne ikke kan bruge specifikke identifikatorer til at målrette indsamlingen søger ODNI ifølge dens udredninger at indsnævre indsamlingen »så vidt muligt«. Med henblik herpå bruger den »filtre og andre tekniske redskaber til at målrette indsamlingen de faciliteter, der kan formodes at indeholde kommunikation af relevans for udenlandske efterretningsaktiviteter« (og dermed opfylder de amerikanske beslutningstageres krav i henhold til den procedure, der er beskrevet i betragtning 70). Masseindsamling gøres således målrettet på to måder: For det første vil den altid vedrøre specifikke mål for den udenlandske efterretningsvirksomhed (f.eks. at indhente signalefterretninger om en terrorgruppes aktiviteter i en bestemt region) og være rettet mod indsamling af kommunikation i relation hertil. Ifølge ODNI's udredninger kommer dette til udtryk ved, at »amerikanske signalefterretningsaktiviteter kun vedrører en meget lille del af kommunikationen på internettet« (73). For det andet fremgår det af ODNI's udredninger, at filtrene og de øvrige tekniske redskaber vil være udformet således, at indsamlingen bliver »så målrettet som muligt« for at sikre, at andelen af »ikke-relevante oplysninger« blive så lille som muligt.

(74) Selv når USA vurderer, at det er nødvendigt at foretage masseindsamling af signalefterretninger på de betingelser, der er anført i betragtning 70-73, begrænser PPD-28 anvendelsen af disse oplysninger til en specifik liste med seks nationale sikkerhedsformål for at beskytte alle personers privatliv og borgerlige rettigheder uanset nationalitet og bopæl (74). De tilladte formål omfatter foranstaltninger til sporing og imødegåelse af trusler fra spionage, terrorisme og masseødelæggelsesvåben mod de væbnede styrker, trusler mod cybersikkerheden eller militærpersonel samt transnationale kriminelle trusler relateret til de fem andre formål, og de vil blive gennemgået mindst en gang årligt. Ifølge udredningerne fra den amerikanske regering har efterretningstjenesterne styrket deres analysepraksis og standarder for søgning efter ikkeevaluerede signalefterretninger for at opfylde disse krav. Anvendelsen af målrettede søgninger »sikrer, at analytikerne kun får forelagt de oplysninger, der formodes at have en potentiel efterretningsværdi, til analyse« (75).

(75) Disse begrænsninger er særlig relevante for personoplysninger overført under EU's og USA's værn om privatlivets fred, navnlig hvis indsamlingen af personoplysninger skal finde sted uden for USA, herunder under transit på de transatlantiske kabler fra EU til USA. Som de amerikanske myndigheder har bekræftet i ODNI's udredninger, finder de heri anførte begrænsninger og garantier — herunder i PPD-28 — anvendelse på denne indsamling (76).

(76) Selv om disse principper ikke er formuleret ved brug af disse juridiske begreber, afspejler de det væsentligste indhold af principperne om nødvendighed og proportionalitet. Målrettet indsamling er klart prioriteret, hvorimod masseindsamling er begrænset til (særlige) situationer, hvor målrettet indsamling ikke er mulig af tekniske eller operationelle årsager. Selv når masseindsamling ikke kan undgås, er videre »anvendelse« af disse oplysninger gennem adgang strengt begrænset til specifikke legitime nationale sikkerhedsformål (77).

(77) Da direktivet er udstedt af præsidenten som regeringsleder, er disse krav bindende for alle amerikanske efterretningstjenester, og de er blevet udbygget i agenturernes regler og procedurer, der omsætter de generelle principper til specifikke retningslinjer for daglige aktiviteter. Selv om den amerikanske kongres ikke er bundet af PPD-28, har den ligeledes truffet foranstaltninger til at sikre, at indsamling af og adgang til personoplysninger i USA er målrettet og ikke foretages »på generaliseret vis«.

(78) Ifølge de foreliggende oplysninger, herunder udredningerne fra den amerikanske regering, må amerikanske efterretningsagenturer, når oplysningerne er blevet overført til selvcertificerede foretagender i USA under EU's og USA's værn om privatlivets fred, kun søge personoplysninger (78), hvis deres anmodning er i overensstemmelse med Foreign Intelligence Surveillance Act (FISA), eller hvis anmodningen foretages af Federal Bureau of Investigation (FBI) på grundlag af et såkaldt »National Security Letter« (NSL) (nationalt sikkerhedsbrev) (79). Der er en række retsgrundlag i FISA, som kan anvendes til at indsamle (og efterfølgende behandle) personoplysninger for registrerede i EU overført under EU's og USA's værn om privatlivets fred. Foruden Sec. 104 i FISA (80) vedrørende individualiseret elektronisk overvågning og Sec. 402 i FISA (81) om installation af pen-register- eller trap and trace-anordninger er de to centrale instrumenter Sec. 501 i FISA (ex-Section 215 U.S. PATRIOT ACT) og Section 702 i FISA (82).

(79) I den forbindelse forbyder USA FREEDOM Act, som trådte i kraft den 2. juni 2015, masseindsamling af oplysninger baseret på Sec. 402 i FISA (pen-register og trap and trace-tilladelse), Sec. 501 i FISA (tidligere Sec 215 i U.S. PATRIOT Act) (83) og anvendelsen af NSL, idet der i stedet anvendes specifikke selektorer (84).

(80) Selv om FISA indeholder yderligere lovbestemte tilladelser til at udføre nationale efterretningsaktiviteter, herunder signalefterretning, viser Kommissionens vurdering, at disse tilladelser i forbindelse med overførsel af personoplysninger under EU's og USA's værn om privatlivets fred ligeledes begrænser offentlige indgreb til målrettet indsamling og adgang.

(81) Dette er klart for traditionel individualiseret elektronisk overvågning i henhold til Sec. 104 i FISA (85). I henhold til Sec. 702 i FISA, der udgør retsgrundlaget for to af de amerikanske efterretningsagenturers vigtige efterretningsprogrammer (Prism og Upstream), skal søgninger foretages målrettet ved brug af individuelle selektorer, der identificerer specifikke kommunikationsfaciliteter såsom målets e-mailadresse eller telefonnummer, men ikke nøgleord eller endog navnene på de pågældende personer (86). Som påpeget af Privacy and Civil Liberties Oversight Board (PCLOB) (rådet for tilsyn med privatlivets fred og borgerlige rettigheder) er overvågning i henhold til Sec. 702 således »udelukkende rettet mod specifikke [ikke-amerikanske] personer, som er blevet individuelt identificeret« (87). På grund af en udløbsklausul skal Sec. 702 i FISA revideres i 2017, og Kommissionen skal på dette tidspunkt revurdere de garantier, som registrerede i EU har.

(82) Den amerikanske regering har i sine udredninger desuden specifikt forsikret Europa-Kommissionen om, at de amerikanske efterretningstjenester »ikke foretager vilkårlig overvågning af nogen, herunder almindelige europæiske borgere« (88). Med hensyn til personoplysninger indsamlet i USA understøttes denne erklæring af empirisk dokumentation, der viser, at anmodninger om indsigt gennem NSL og i henhold til FISA, både hver for sig og samlet, kun vedrører et forholdsvis lille antal mål sammenlignet med den generelle datastrøm på internettet (89).

(83) Med hensyn til indsigt i indsamlede data og datasikkerhed skal indsigt i henhold til PPD-28 »begrænses til autoriseret personale, der har brug for oplysningerne for at varetage deres opgaver«, og personoplysninger skal »behandles og lagres under forhold, der giver tilstrækkelig beskyttelse og hindrer personer uden tilladelse i at få indsigt i overensstemmelse med de gældende garantier for følsomme oplysninger«. Det amerikanske efterretningspersonale skal oplyses om principperne i PPD-28 på passende og tilstrækkelig vis (90).

(84) Med hensyn til lagring og yderligere formidling af personoplysninger fra registrerede i EU, der er indsamlet af de amerikanske efterretningsmyndigheder, anføres det i PPD-28, at alle personer (herunder ikke-amerikanske personer) bør behandles med værdighed og respekt, at alle personer har legitime interesser i beskyttelsen af privatlivets fred ved behandlingen af deres personoplysninger, og at efterretningsenhederne derfor skal indføre politikker, der giver tilstrækkelige garantier for sådanne oplysninger og »i rimeligt omfang er udformet med henblik på at minimere formidlingen og opbevaringen heraf« (91).

(85) Den amerikanske regering har forklaret, at dette krav om rimelighed betyder, at efterretningsenhederne ikke skal gennemføre »enhver foranstaltning, der er teoretisk mulig«, men at de skal »veje deres foranstaltninger til beskyttelse af legitime hensyn til privatlivets fred og borgerlige rettigheder op mod de praktiske krav til signalefterretningsaktiviteter« (92). Ikke-amerikanske personer vil i denne forbindelse blive behandlet på samme måde som amerikanske borgere i henhold til procedurer godkendt af den amerikanske justitsminister (Attorney General) (93).

(86) I henhold til disse bestemmelser må oplysninger generelt kun opbevares i højst fem år, medmindre der er en særlig bestemmelse i lovgivningen, eller medmindre direktøren for National Intelligence efter grundig evaluering af beskyttelsen af privatlivets fred og under hensyntagen til de holdninger, som ODNI's Civil Liberties Protection Officer samt databeskyttelsesansvarlige (privacy and civil liberties officers) i de forskellige agenturer giver udtryk for, bestemmer, at fortsat opbevaring er i den nationale sikkerheds interesse (94). Formidlingen er begrænset til tilfælde, hvor oplysningerne er relevante for det underliggende formål med indsamlingen og således opfylder godkendte udenlandske efterretnings- eller retshåndhævelsesformål (95).

(87) Ifølge den amerikanske regerings garantier må personoplysninger ikke formidles udelukkende med den begrundelse, at den pågældende er udlænding, og »signalefterretninger om en udlændings rutinemæssige aktiviteter vil ikke blive betragtet som udenlandske efterretninger, der kan formidles eller opbevares permanent alene af denne årsag, medmindre de på anden vis opfylder et godkendt behov for udenlandske efterretninger« (96).

(88) Kommissionen konkluderer på baggrund af ovenstående, at USA har indført regler, hvorved det tilsigtes at begrænse de eventuelle indgreb af hensyn til den nationale sikkerhed i de grundlæggende rettigheder hos de personer, hvis oplysninger overføres fra EU til USA under EU's og USA's værn om privatlivets fred, til det strengt nødvendige med henblik på at nå det tilsigtede mål.

(89) Som ovenstående analyse har vist, sikrer amerikansk ret, at overvågningsforanstaltningerne kun vil blive anvendt til indsamling af udenlandske efterretningsoplysninger, hvilket er et legitimt politisk mål (97), og at de vil være så målrettede som muligt. Navnlig vil masseindsamling kun undtagelsesvist blive godkendt i tilfælde, hvor målrettet indsamling ikke er mulig, og skal ledsages af ekstra garantier, som minimerer mængden af indsamlede oplysninger og den efterfølgende adgang hertil (som skal målrette og kun godkendes til specifikke formål).

(90) Efter Kommissionens opfattelse passer dette med den standard, som Domstolen har sat i Schrems-dommen, ifølge hvilken den lovgivning, som indebærer et indgreb i de ved chartrets artikel 7 og 8 sikrede grundlæggende rettigheder, skal indføre »minimumsgarantier« (98) og »på generel vis tillader opbevaring af samtlige personoplysninger fra samtlige de personer, hvis oplysninger er blevet overført fra Unionen til USA, uden at der bliver foretaget nogen form for differentiering, begrænsning eller undtagelse under hensyn til det forfulgte mål, og uden at der bliver fastsat noget objektivt kriterium, som gør det muligt at afgrænse de offentlige myndigheders adgang til oplysningerne og deres senere anvendelse heraf med henblik på veldefinerede formål, der er strengt begrænsede, og som kan begrunde det indgreb, som såvel adgangen til disse oplysninger som anvendelsen heraf indebærer, er således ikke begrænset til det strengt nødvendige« (99). Der vil heller ikke være ubegrænset indsamling og opbevaring af oplysninger for alle personer uden nogen begrænsninger eller ubegrænset adgang. Derudover udelukkes det i de udredninger, som Kommissionen har modtaget, herunder garantierne om, at USA's signalefterretningsaktiviteter kun vedrører en meget lille del af kommunikationen på internettet, at der vil være tale om en »generel« afgang til indholdet af den elektroniske kommunikation (100).

3.1.2. Effektiv retsbeskyttelse

(91) Kommissionen har både vurderet de eksisterende mekanismer i USA for tilsyn med de amerikanske efterretningsmyndigheders indgreb i personoplysninger overført til USA og de individuelle klagemuligheder, som registrerede i EU har.

Tilsyn

(92) Den amerikanske efterretningstjeneste er genstand for adskillige kontrol- og tilsynsordninger, som hører under statsmagtens tre grene. Der er tale om interne og eksterne organer under den udøvende magt, et antal kongresudvalg og enheder, der har til opgave at føre retsligt tilsyn med aktiviteter under Foreign Intelligence Surveillance Act.

(93) For det første er de amerikanske myndigheders efterretningsaktiviteter underlagt et omfattende tilsyn fra den udøvende magts side.

(94) I henhold til PPD-28, afsnit 4(a)(iv), skal efterretningsenhedernes politikker og procedurer »omfatte passende foranstaltninger, der letter tilsynet med gennemførelsen af garantier for beskyttelse af personoplysninger«, og disse foranstaltninger bør omfatte regelmæssig revision (101).

(95) Der er i denne forbindelse indført flere lag, herunder databeskyttelsesansvarlige (privacy and civil liberties officers), generalinspektører (inspectors general), ODNI's Civil Liberties and Privacy Office, PCLOB og President's Intelligence Oversight Board. Disse tilsynsfunktioner understøttes at kontrolmedarbejdere i alle agenturerne (102).

(96) Som anført af den amerikanske regering (103) er der udpeget databeskyttelsesansvarlige (civil liberties or privacy officers) med tilsynsfunktioner i forskellige ministerier med efterretningsopgaver og i efterretningsagenturer (104). Selv om disse databeskyttelsesansvarliges specifikke beføjelser kan variere afhængigt af lovhjemlen, omfatter de typisk tilsynet med procedurer for at sikre, at det pågældende ministerium/agentur tager tilstrækkeligt hensyn til beskyttelsen af privatlivets fred og borgerlige rettigheder, og at der er indført passende procedurer for behandling af klager fra fysiske personer, der mener, at deres privatliv eller borgerlige rettigheder er blevet krænket (og i nogle tilfælde har de selv beføjelse til at undersøge klager (105), f.eks. ODNI). Lederen af ministeriet/agenturet skal sikre, at den databeskyttelsesansvarlige modtager alle de oplysninger og får adgang til alt det materiale, der er nødvendigt for at udføre dennes opgaver. Databeskyttelsesansvarlige rapporterer regelmæssigt til den amerikanske kongres og PCLOB, herunder om antallet og karakteren af de klager, som ministeriet/agenturet har modtaget, med en oversigt over afgørelserne i disse klagesager, de gennemførte undersøgelser og forespørgsler og resultaterne af deres aktiviteter (106). Ifølge den vurdering, som de nationale databeskyttelsesmyndigheder har foretaget, kan de databeskyttelsesansvarliges interne tilsyn betragtes som »forholdsvis robust«, om end de set fra deres synspunkt ikke har den nødvendige uafhængighed (107).

(97) Hver efterretningsenhed har desuden sin egen generalinspektør med ansvar for tilsyn med bl.a. udenlandske efterretningsaktiviteter (108). ODNI har således sit eget Office of the Inspector General (generalinspektørens kontor) med brede beføjelser til at føre tilsyn med alle amerikanske efterretningstjenester og til at undersøge klager eller oplysninger om påstande om ulovlig praksis eller magtmisbrug i forbindelse med ODNI's og/eller efterretningstjenesternes programmer og aktiviteter (109). Generalinspektører er lovmæssigt uafhængige (110) enheder med ansvar for revisioner og undersøgelser af de programmer og operationer, det pågældende agentur gennemfører til nationale efterretningsformål, herunder af misbrug og lovovertrædelser (111). De er bemyndiget til at få adgang til alle optegnelser, rapporter, revisioner, evalueringer, dokumenter, papirer, anbefalinger eller andet relevant materiale, om nødvendigt på grundlag af en »subpoena« (pålæg), og kan indhente vidneudsagn (112). Selv om generalinspektørerne kun kan fremsætte ikkebindende anbefalinger om korrigerende foranstaltninger, offentliggøres deres rapporter, herunder om opfølgende foranstaltninger (eller mangel herpå), og de fremsendes desuden til den amerikanske kongres, der på dette grundlag kan udøve sin tilsynsfunktion (113).

(98) Privacy and Civil Liberties Oversight Board (PCLOB), som er et uafhængigt eksekutivt råd (114) bestående af fem medlemmer fra de to partier (115) og udnævnt af præsidenten for en fast seksårig periode med senatets godkendelse, har en række ansvarsområder relateret til terrorbekæmpelsespolitikker og deres gennemførelse med henblik på at beskytte privatlivets fred og borgerlige rettigheder. Rådet kan i forbindelse med sin revision af efterretningstjenestens handlinger få adgang til alle agenturernes relevante optegnelser, rapporter, revisioner, evalueringer, dokumenter, papirer og anbefalinger, herunder klassificerede informationer, gennemføre interview og indhente vidneudsagn. Det modtager rapporter fra databeskyttelsesansvarlige i en række føderale ministerier og agenturer (116), det kan udstede anbefalinger til dem og rapporterer regelmæssigt til forskellige kongresudvalg og præsidenten (117). PCLOB har ligeledes til opgave at udarbejde en rapport inden for sit mandat med en vurdering af gennemførelsen af PPD-28.

(99) Endelig suppleres ovennævnte tilsynsmekanismer af Intelligence Oversight Board nedsat under President's Intelligence Advisory Board, der fører tilsyn med de amerikanske efterretningsmyndigheders overholdelse af forfatningen og alle gældende bestemmelser.

(100) For at lette tilsynet opfordres efterretningsenheder til at udforme informationssystemer, der gør det muligt at overvåge, registrere og gennemgå søgninger eller andre forespørgsler om personoplysninger. (118) Tilsyns- og kontrolorganer vil jævnligt kontrollere efterretningsenhedernes praksis for beskyttelse af personoplysninger indeholdt i signalefterretninger og deres overholdelse af disse procedurer (119).

(101) Disse tilsynsfunktioner er ligeledes understøttet af omfattende krav om rapportering af manglende overholdelse. Agenturernes procedurer skal navnlig sikre, at alvorlige tilfælde af manglende overholdelse, der involverer personoplysninger, uanset for hvem og uanset nationalitet, indsamlet gennem signalefterretning, straks indberettes til lederen af efterretningsenheden, som herefter underretter direktøren for National Intelligence, der i henhold til PPD-28 beslutter, om der skal træffes korrigerende foranstaltninger (120). I henhold til E.O. 12333 skal alle efterretningsenheder indberette tilfælde af manglende overholdelse til Intelligence Oversight Board (121). Disse mekanismer sikrer, at dette spørgsmål behandles på højeste niveau i efterretningstjenesterne. Hvis en ikke-amerikansk person er involveret, beslutter direktøren for National Intelligence i samråd med den amerikanske udenrigsminister og lederen af det indberettende ministerium/agentur, om der bør tages skridt til at underrette den relevante udenlandske regering, hvis det er foreneligt med beskyttelsen af kilder og metoder og personer i De Forenede Staters tjeneste (122).

(102) Ud over disse tilsynsmekanismer i den udøvende magt fører den amerikanske kongres, navnlig Repræsentanternes Hus og Senatets efterretnings- og retsudvalg — House and Senate Intelligence and Judiciary Committees — tilsyn med alle amerikanske udenlandske efterretningsaktiviteter, herunder amerikansk signalefterretning. I henhold til National Security Act, »sikrer præsidenten, at kongressens efterretningsudvalg orienteres fuldt ud og løbende om amerikanske efterretningsaktiviteter, herunder om betydelige forventede efterretningsaktiviteter som krævet i dette afsnit« (123). Det anføres ligeledes, at »præsidenten sikrer, at enhver ulovlig efterretningsaktivitet og enhver gennemført eller planlagt korrigerende foranstaltning over for denne ulovlige aktivitet straks indberettes til kongressens efterretningsudvalg« (124). Udvalgsmedlemmerne har både adgang til klassificerede informationer og efterretningsmetoder og -programmer (125).

(103) Senere love har udvidet og finjusteret rapporteringskravene, både til efterretningsenhederne, de relevante generalinspektører og den amerikanske justitsminister. I henhold til FISA skal den amerikanske justitsminister f.eks. »orientere« Repræsentanternes Hus og Senatets efterretnings- og retsudvalg »fuldt ud« om regeringens aktiviteter i henhold til bestemte paragraffer i FISA (126). Der stilles ligeledes krav om at give kongresudvalgene kopier af »alle afgørelser, kendelser eller udtalelser fra Foreign Intelligence Surveillance Court eller Foreign Intelligence Surveillance Court of Review, som indeholder en væsentlig forståelse eller fortolkning« af FISA-bestemmelser. Med hensyn til overvågning i henhold til afsnit 702 i FISA udøves tilsynet navnlig gennem lovpligtige rapporter til efterretnings- og retsudvalgene og gennem hyppige briefinger og høringer. Disse omfatter en halvårlig rapport udarbejdet af den amerikanske justitsminister om anvendelsen af afsnit 702 i FISA med tilhørende dokumenter, herunder navnlig justitsministeriets og ODNI's overholdelsesrapporter og en redegørelse for eventuelle tilfælde af manglende overholdelse (127), og en særskilt halvårlig vurdering fra den amerikanske justitsminister og DNI, der dokumenterer overholdelsen af målretnings- og minimeringsprocedurerne, herunder overholdelse af de procedurer, der skal sikre, at oplysninger indsamles til godkendte udenlandske efterretningsformål (128). Den amerikanske kongres modtager ligeledes rapporter fra generalinspektørerne, der har beføjelse til at evaluere agenturernes overholdelse af målretnings- og minimeringsprocedurerne og den amerikanske justitsministers retningslinjer.

(104) I henhold til USA FREEDOM Act fra 2015 skal den amerikanske regering hvert år bl.a. oplyse kongressen (og offentligheden) om det antal FISA-kendelser og -direktiver, der er anmodet om og udstedt, og om det skønnede antal overvågede amerikanske og ikke-amerikanske personer (129). I loven stilles der ligeledes yderligere krav om offentliggørelse af antallet af udstedte NSL'er, også her vedrørende både amerikanske og ikke-amerikanske personer (og modtagerne af FISA-kendelser og -certificeringer og NSL-anmodninger får mulighed for at udarbejde gennemsigtighedsrapporter på visse betingelser) (130).

(105) De amerikanske offentlige myndigheders efterretningsaktiviteter i henhold til FISA er undergivet FISA-domstolens (FISC) (131) prøvelsesret, og foranstaltningerne skal i nogle tilfælde forhåndsgodkendes af domstolen, der er en uafhængig domstol (132), hvis afgørelser kan indbringes for Foreign Intelligence Court of Review (FISCR) (133) og i sidste ende for Supreme Court of the United States (De Forenede Staters højesteret) (134). For at opnå en forhåndsgodkendelse skal de anmodende myndigheder (FBI, NSA, CIA osv.) indsende et udkast af anmodningen til jurister i det amerikanske justitsministeriums departement for national sikkerhed, som vil undersøge det og om nødvendigt anmode om yderligere oplysninger (135). Når anmodningen er udarbejdet, skal den godkendes af justitsministeren (Attorney General), vicejustitsministeren (Deputy Attorney General) eller den assisterende justitsminister for national sikkerhed (Assistant Attorney General for National Security) (136). Justitsministeriet vil herefter forelægge anmodningen for FISC, som vil vurdere anmodningen og træffe en foreløbig afgørelse om det videre forløb (137). I forbindelse med høringer har FISC beføjelse til at indhente vidneudsagn, herunder ekspertrådgivning (138).

(106) FISC (og FISCR) understøttes af et fast panel bestående af fem eksperter i national sikkerhed og borgerlige rettigheder (139). Domstolen udnævner en person fra denne gruppe til at optræde som amicus curiae og bistå ved behandlingen af en anmodning om en kendelse eller prøvelse, der efter domstolens mening udgør en ny eller væsentlig fortolkning af lovbestemmelser, medmindre domstolen finder, at en sådan udnævnelse ikke er hensigtsmæssig (140). Dette skal navnlig sikre, at hensynet til privatlivets fred afspejles behørigt i domstolens vurdering. Domstolen kan ligeledes udpege en person eller et foretagende til at optræde som amicus curiae, herunder bistå med teknisk ekspertise, når den finder det hensigtsmæssigt, eller på begæring tillade personer eller foretagender at indgive amicus curiae-indlæg (141).

(107) Med hensyn til de to lovbestemte tilladelser til at foretage overvågning i henhold til FISA, der har størst betydning for dataoverførsler under EU's og USA's værn om privatlivets fred, er FISC's tilsyn forskelligt.

(108) I henhold til afsnit 501 i FISA (142), der tillader indsamlingen af konkrete ting — »tangible things« — (herunder bøger, optegnelser, papirer, dokumenter og andre oplysninger), skal anmodningen til FISC indeholde en redegørelse for sagens kendsgerninger, der viser, at der er rimelige grunde til at antage, at de konkrete ting, der ønskes indsamlet, er relevante for en godkendt undersøgelse (ikke en trusselsvurdering) med henblik på indsamling af udenlandske efterretninger om ikke-amerikanske personer eller beskyttelse mod international terrorisme eller hemmelige efterretningsaktiviteter. Anmodningen skal desuden indeholde oplysninger om de minimeringsprocedurer, som den amerikanske justitsminister har indført for opbevaring og formidling af de indsamlede efterretninger. (143)

(109) I henhold til afsnit 702 i FISA (144) tillader FISC derimod ikke individuelle overvågningsforanstaltninger, men overvågningsprogrammer (f.eks. Prism, Upstream) på grundlag af årlige certificeringer udformet af den amerikanske justitsminister og direktøren for National Intelligence. I henhold til afsnit 702 i FISA kan der foretages en målrettet overvågning af personer, som med rimelighed kan antages at befinde sig uden for USA, med henblik på indsamling af efterretningsoplysninger (145). NSA foretager denne målrettede overvågning i to trin: NSA-analytikere vil først identificere ikke-amerikanske personer uden for USA, hvor en overvågning ifølge analytikernes vurdering vil resultere i indsamling af relevante udenlandske efterretningsoplysninger som præciseret i certificeringen. Når disse individualiserede personer er blevet identificeret og den målrettede overvågning godkendt på grundlag af en omfattende evalueringsmekanisme i NSA (146), vil de selektorer, der identificerer de kommunikationsfaciliteter (f.eks. e-mailadresser), som anvendes af målene, derefter blive udvalgt (dvs. udviklet og anvendt) (147). Som anført indeholder de certificeringer, der skal godkendes af FISC, ingen oplysninger om de enkelte personer, der skal overvåges, men identificerer derimod kategorier af udenlandske efterretningsoplysninger (148). Selv om FISC — på grundlag af en begrundet mistanke eller enhver anden standard — vurderer, at fysiske personer ikke er velegnede mål for indsamling af udenlandske efterretningsoplysninger (149), kan der stadig indsamles oplysninger, såfremt »et væsentligt formål med indsamlingen er at indhente udenlandske efterretningsoplysninger« (150). I henhold til afsnit 702 i FISA kan NSA kun indsamle kommunikation fra ikke-amerikanske personer uden for USA, hvis det med rimelighed kan antages, at et bestemt kommunikationsmiddel anvendes til at kommunikere udenlandske efterretningsoplysninger (f.eks. vedrørende international terrorisme, nuklear spredning eller fjendtlige cyberaktiviteter). Sådanne afgørelser er omfattet af domstolsprøvelse (151). Certificeringer skal ligeledes omfatte målretnings- og minimeringsprocedurer (152). Den amerikanske justitsminister og direktøren for National Intelligence kontrollerer overholdelsen, og agenturerne skal indberette eventuelle tilfælde af manglende overholdelse til FISC (153) (samt til den amerikanske kongres og President's Intelligence Oversight Board), som kan ændre tilladelsen på dette grundlag (154).

(110) For at øge effektiviteten af FISC's tilsyn har den amerikanske administration desuden indvilliget i at følge en anbefaling fra PCLOB om at fremsende dokumentation for afsnit 702-afgørelser om målrettet overvågning til FISC, herunder en stikprøve af overvågningsmål, således at FISC kan vurdere, hvordan kravet om et udenlandsk efterretningsformål opfyldes i praksis (155). Den amerikanske administration har samtidig accepteret og truffet foranstaltninger til at revidere NSA's målretningsprocedurer, således at agenturet nemmere kan dokumentere de udenlandske efterretningsformål, der ligger bag afgørelser om målrettet overvågning (156).

Individuel klageadgang

(111) I henhold til amerikansk ret har registrerede i EU en række klagemuligheder, hvis de er usikre på, om deres personoplysninger er blevet behandlet (indsamlet, vurderet osv.) af amerikanske efterretningsenheder, og i så fald om de gældende begrænsninger i amerikansk ret er blevet overholdt. Disse vedrører navnligt tre områder: indgreb i henhold til FISA, embedsmænds ulovlige, forsætlige adgang til personoplysninger og indsigt i oplysninger i henhold til den amerikanske offentlighedslov, Freedom of Information Act (FOIA) (157).

(112) Foreign Intelligence Surveillance Act indeholder for det første en række retsmidler, der kan anvendes til at klage over ulovlig elektronisk overvågning, og som ligeledes kan anvendes af ikke-amerikanske personer (158). Dette omfatter fysiske personers mulighed for at anlægge private søgsmål for økonomisk erstatning mod USA, når den pågældendes personoplysninger ulovligt og forsætligt er blevet anvendt eller videregivet (159), muligheden for at sagsøge embedsmænd personligt (»i lovens navn«) for økonomisk erstatning (160), og muligheden for at gøre indsigelse mod overvågningens lovlighed (og anmode om at få oplysningerne fjernet), hvis den amerikanske regering agter at bruge eller videregive oplysninger indhentet gennem eller udledt af elektronisk overvågning mod den pågældende i forbindelse med retslige eller administrative procedurer i USA (161).

(113) Den amerikanske regering har for det andet oplyst Kommissionen om en række yderligere muligheder, som registrerede i EU kan anvende til at sagsøge embedsmænd for ulovlig statslig adgang til eller brug af personoplysninger, herunder til påståede nationale sikkerhedsformål (Computer Fraud Abuse Act (162), Electronic Communications Privacy Act (163), og Right to Financial Privacy Act (164)). Alle disse klagemuligheder vedrører specifikke oplysninger, mål og/eller typer af adgang (f.eks. fjernadgang via computer via internettet) og kan anvendes i visse tilfælde (f.eks. forsætlig adfærd, handlinger, der ligger uden for udførelsen af et hverv, lidt skade) (165). En mere generel klageadgang findes i Administrative Procedure Act (United States Code, afsnit 5, paragraf 702), ifølge hvilken »enhver person, mod hvem der er begået juridisk uret på grund af et agenturs foranstaltninger, eller som er blevet krænket eller forurettet herved« kan begære retslig prøvelse. Det omfatter muligheden for at anmode domstolen om at »erklære agenturets foranstaltninger, konstateringer og konklusioner for ulovlige og annullere dem, hvis de er vilkårlige, ustadige eller udtryk for magtmisbrug eller på anden vis ikke i overensstemmelse med loven« (166).

(114) Den amerikanske regering har endelig understreget, at ikke-amerikanske personer kan henholde sig til FOIA som et middel til at søge indsigt i de amerikanske forbundsorganers eksisterende optegnelser, herunder om de pågældendes personoplysninger (167). I lyset af FOIA's anvendelsesområde giver loven ikke den enkelte mulighed for at gøre indsigelse mod indgreb i personoplysninger som sådan, selv om den i princippet giver dem mulighed for at få adgang til relevante oplysninger, der opbevares af nationale efterretningsagenturer. Selv på dette område er mulighederne tilsyneladende begrænsede, da agenturerne kan tilbageholde oplysninger, der er omfattet af visse anførte undtagelser, herunder adgang til klassificerede informationer om den nationale sikkerhed og informationer om retshåndhævende efterforskning (168). Når dette er sagt, kan nationale efterretningsagenturers anvendelse af disse undtagelser påklages af den registrerede, som både kan anmode om administrativ og retlig prøvelse.

(115) Selv om personer, herunder registrerede i EU, således har en række klagemuligheder, når de har været genstand for ulovlig (elektronisk) overvågning af hensyn til den nationale sikkerhed, står det ligeledes klart, at i hvert fald nogle af de retsgrundlag, som de amerikanske efterretningsmyndigheder kan anvende (f.eks. E.O. 12333), ikke er omfattet. Selv når ikke-amerikanske personer i princippet har klageadgang, f.eks. i forbindelse med overvågning i henhold til FISA, er de tilgængelige klagemuligheder desuden begrænsede (169), og søgsmål fra registrerede (herunder amerikanere) vil blive afvist, hvis de ikke kan dokumentere deres søgsmålskompetence (»standing« (170)), hvilket begrænser adgangen til almindelige domstole (171).

(116) For at give alle registrerede i EU en yderligere klagemulighed har den amerikanske regering besluttet at oprette en ny mekanisme, ombudsmanden i værnet om privatlivets fred, som anført i brevet fra den amerikanske udenrigsminister til Kommissionen, der er indeholdt i bilag III til denne afgørelse. Denne mekanisme er baseret på udpegningen i medfør af PPD-28 af en seniorkoordinator (på viceministerniveau) i det amerikanske udenrigsministerium som kontaktpunkt for udenlandske regeringer, der bl.a. kan rejse bekymringer over amerikanske signalefterretningsaktiviteter, men mekanismen er langt mere vidtrækkende end den oprindelige idé.

(117) I henhold til tilsagnene fra den amerikanske regering vil ombudsmandsmekanismen sikre, at individuelle klager bliver ordentligt undersøgt, og at de enkelte modtager en uafhængig bekræftelse af, at den amerikanske lovgivning er blevet overholdt, eller at den manglende overholdelse er blevet afhjulpet i tilfælde af en overtrædelse af lovgivningen (172). Mekanismen omfatter »ombudsmanden i værnet om privatlivets fred«, dvs. viceministeren og yderligere personale såvel som tilsynsorganer, der er kompetente til at føre tilsyn med de forskellige dele af efterretningstjenesten, hvis samarbejde er nødvendigt for, at ombudsmanden i værnet om privatlivets fred kan håndtere klager. Navnlig i tilfælde, hvor en persons klage vedrører foreneligheden af overvågningen med amerikansk lovgivning, vil ombudsmanden i værnet om privatlivets fred kunne støtte sig til uafhængige tilsynsorganer med undersøgelsesbeføjelser (såsom generalinspektører eller PCLOB). I hvert enkelt tilfælde sørger den amerikanske udenrigsminister for, at ombudsmanden har midlerne til at sikre, at svaret på de individuelle anmodninger er baseret på alle de nødvendige oplysninger.

(118) Ombudsmandsmekanismen garanterer via denne sammensatte struktur uafhængigt tilsyn og individuel klageadgang. Derudover sikrer samarbejdet med de øvrige tilsynsorganer adgang til den nøvendige ekspertise. Ved at pålægge ombudsmanden i værnet om privatlivets fred en forpligtelse til at bekræfte overholdelse eller afhjælpning af manglende overholdelse, afspejler mekanismen den amerikanske regerings generelle tilsagn om at behandle klager fra EU-borgere.

(119) For det første vil ombudsmanden i værnet om privatlivets fred modtage og besvare individuelle klager, hvilket ikke er tilfældet for en ren mellemstatslig mekanisme. Disse klager kan fremsendes til de organer i medlemsstaterne, der fører tilsyn med nationale sikkerhedstjenester og/eller offentlige myndigheders behandling af personoplysninger, som vil fremsende dem til et centraliseret EU-organ, hvorfra de vil blive kanaliseret videre til ombudsmanden i værnet om privatlivets fred (173). Dette vil rent faktisk være til fordel for fysiske personer i EU, der kan henvende sig til et nationalt organ tæt på og på deres eget sprog. Et sådant organ skal bistå den registrerede med udarbejdelsen af en anmodning til ombudsmanden i værnet om privatlivets fred, der indeholder de grundlæggende oplysninger og således kan betragtes som »fuldstændig«. Den enkelte skal ikke dokumentere, at den amerikanske regering rent faktisk har fået adgang til vedkommendes personoplysninger gennem signalefterretningsaktiviteter.

(120) For det andet forpligter den amerikanske regering sig til at sikre, at ombudsmanden i værnet om privatlivets fred i udførelsen af sine opgaver vil kunne regne med et samarbejde med andre uafhængige organer for tilsyn med og kontrol af overholdelsen i amerikansk ret. Dette vil til tider involvere nationale efterretningsmyndigheder, navnlig i tilfælde hvor anmodningen kan tolkes som en anmodning om indsigt i dokumenter i henhold til Freedom of Information Act. I andre tilfælde, specielt hvor anmodningerne vedrører foreneligheden af overvågningen med amerikansk lovgivning, vil et sådant samarbejde involvere uafhængige tilsynsorganer (f.eks. generalinspektører) med ansvar for og bemyndigelse til at foretage en grundig undersøgelse (navnlig via adgang til alle relevante dokumenter og bemyndigelse til at anmode om oplysninger og udtalelser) og gribe ind over for manglende overholdelse (174). Ombudsmanden i værnet om privatlivets fred kan ligeledes henvise sager til PCLOB (175). Hvis en af disse tilsynsorganer konstaterer manglende overholdelse, skal den pågældende efterretningsenhed (f.eks. en efterretningstjeneste) afhjælpe den manglende overholdelse, eftersom ombudsmanden kun derved vil kunne give den enkelte person et »positivt« svar (dvs. at den manglende overholdelse er afhjulpet), hvilket den amerikanske regering har forpligtet sig til. Som en del af samarbejdet vil ombudsmanden i værnet om privatlivets fred blive orienteret om undersøgelsens udfald, og ombudsmanden vil have midlerne til at sikre, at den modtager alle de oplysninger, der er nødvendige for at forberede sit svar.

(121) Endelig er ombudsmanden i værnet om privatlivets fred uafhængig og modtager således ikke instrukser fra de amerikanske efterretningstjenester (176). Dette er af væsentlig betydning, da ombudsmanden skal »bekræfte«, at i) klagen er blevet behørigt undersøgt, og at ii) den relevante amerikanske lovgivning — herunder navnlig de begrænsninger og garantier, der er anført i bilag VI — er blevet overholdt, eller at den manglende overholdelse er blevet afhjulpet i tilfælde af en overtrædelse. For at kunne give denne uafhængige bekræftelse skal ombudsmanden i værnet om privatlivets fred modtage de nødvendige oplysninger vedrørende undersøgelsen for at kunne vurdere nøjagtigheden af svaret til klageren. Derudover har den amerikanske udenrigsminister forpligtet sig til at sikre, at viceministeren vil udføre hvervet som ombudsmand i værnet om privatlivets fred på objektiv vis og fri for uhensigtsmæssig indflydelse, der vil kunne påvirke det svar, der skal gives.

(122) Samlet set sikrer denne mekanisme, at individuelle klager bliver grundigt undersøgt og behandlet, og det i det mindste på tilsynsområdet vil involvere tilsynsorganer med den nødvendige ekspertise og undersøgelsesbeføjelser og en ombudsmand, som er i stand til at varetage sine opgaver fri for uretmæssig, navnlig politisk, indflydelse. Derudover vil de registrerede kunne indgive klager uden at skulle bevise eller blot forelægge tegn på, at de er blevet overvåget (177). Kommissionen finder det på baggrund af disse elementer godtgjort, at der er tale om tilstrækkeligt og effektive garantier mod misbrug.

(123) Kommissionen konkluderer på baggrund af ovenstående, at USA sikrer en effektiv retsbeskyttelse mod de amerikanske efterretningsmyndigheders indgreb i de grundlæggende rettigheder for de personer, hvis oplysninger overføres fra EU til USA under EU's og USA's værn om privatlivets fred.

(124) Kommissionen noterer sig i den forbindelse Domstolens dom i Schrems-sagen, ifølge hvilken »lovgivning, der ikke fastsætter nogen mulighed for retssubjektet til at gøre brug af retsmidler med henblik på at få adgang til personoplysninger, som vedrører den pågældende, eller til at få sådanne oplysninger berigtiget eller slettet, [opfylder] ikke det væsentligste indhold af den grundlæggende ret til en effektiv domstolsbeskyttelse, således som denne er sikret ved chartrets artikel 47« (178). Kommissionens vurdering har bekræftet, at der findes sådanne afhjælpende foranstaltninger i USA, herunder via indførelsen af ombudsmandsmekanismen. Ombudsmandsmekanismen omfatter uafhængigt tilsyn og undersøgelsesbeføjelser. Mekanismens effektivitet vil blive revurderet inden for rammerne af Kommissionens fortsatte overvågning af værnet om privatlivets fred, herunder gennem den årlige fælles evaluering, som også vil involvere ombudsmanden.

3.2. De amerikanske offentlige myndigheders adgang til og brug af personoplysninger med henblik på retshåndhævelse og andre offentlige interesser

(125) Med hensyn til indgreb i personoplysninger overført under EU's og USA's værn om privatlivets fred med henblik på retshåndhævelse har den amerikanske regering (gennem det amerikanske justitsministerium) givet sikkerhed for de gældende begrænsninger og garantier, som efter Kommissionens opfattelse dokumenterer, at beskyttelsesniveauet er tilstrækkeligt.

(126) Ifølge disse oplysninger skal de retshåndhævende myndigheder i henhold til fjerde amendment i den amerikanske forfatning (179) først og fremmest have en dommerkendelse (180), der afgives på grundlag af dokumentation for begrundet mistanke (»probable cause«), inden ransagning og beslaglæggelse. I de få specifikke særlige tilfælde, hvor der ikke skal foreligge en kendelse (181), er retshåndhævelsen betinget af en »rimelighedstest« (182). Rimeligheden af en ransagning eller beslaglæggelse »vurderes ved på den ene side at vurdere, i hvilken grad den griber ind i en persons privatliv, og på den anden side vurdere, i hvilket omfang der er behov herfor for at fremme legitime regeringsinteresser« (183). Fjerde amendment garanterer mere generelt privatlivets fred og den enkeltes værdighed og beskytter mod myndighedernes vilkårlige og invasive foranstaltninger (184). Disse begreber afspejler principperne om nødvendighed og proportionalitet i EU-retten. Når de retshåndhævende myndigheder ikke længere har brug for de beslaglagte genstande som bevis, skal disse tilbagegives (185).

(127) Om end det fjerde amendment ikke omfatter ikke-amerikanske personer bosiddende uden for USA, er disse ikke desto mindre indirekte beskyttet heraf, under forudsætning af at det er amerikanske foretagender, der ligger inde med personoplysningerne, hvilket betyder, at de retshåndhævende myndigheder under alle omstændigheder skal anmode om en retskendelse (eller i det mindste opfylde kravet om rimelighed) (186). Der ydes yderligere beskyttelse i særlige lovbestemmelser og i det amerikanske justitsministeriums retningslinjer, som begrænser de retshåndhævende myndigheders adgang til data, der opfylder princippet om nødvendighed og proportionalitet (f.eks. ved at kræve, at FBI anvender de mindst indgribende efterforskningsmetoder under hensyntagen til indvirkningen på privatlivets fred og borgerlige rettigheder) (187). Ifølge den amerikanske regerings udredninger er der det samme eller et højere beskyttelsesniveau i forbindelse med retshåndhævende efterforskninger på delstatsniveau (efterforskn