1.DEN TREDJE ÅRLIGE EVALUERING – BAGGRUND, UDARBEJDELSE OG FREMGANGSMÅDE

Den 12. juli 2016 vedtog Kommissionen en afgørelse ("tilstrækkelighedsafgørelsen"), ifølge hvilken den fandt, at EU's og USA's værn om privatlivets fred ("EU-USA-privatlivsskjoldet") sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU til foretagender i USA. Afgørelsen om et tilstrækkeligt beskyttelsesniveau kræver bl.a., at Kommissionen foretager en årlig evaluering af alle aspekter af, hvordan ordningen fungerer, og på grundlag heraf udarbejder en offentlig rapport til Europa-Parlamentet og Rådet.

Den første årlige evaluering fandt sted i september 2017 i Washington D.C., og i oktober 2017 vedtog Kommissionen sin rapport til Europa-Parlamentet og Rådet, ledsaget af et arbejdsdokument fra Kommissionens tjenestegrene (SWD(2017) 344 final). Kommissionen konkluderede, at USA fortsat sikrede et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU til USA under privatlivsskjoldet, men fremsatte ti anbefalinger med henblik på forbedring af ordningens funktion i praksis.

Den anden årlige evaluering foregik i oktober 2018 i Bruxelles, og Kommissionen vedtog sin rapport til Europa-Parlamentet og Rådet i december 2018, igen ledsaget af et arbejdsdokument fra Kommissionens tjenestegrene (SWD(2018) 487 final). De oplysninger, der blev indsamlet i forbindelse med den anden årlige evaluering, bekræftede Kommissionens konklusioner i tilstrækkelighedsafgørelsen, både med hensyn til ordningens "kommercielle aspekter" (dvs. aspekter af certificerede virksomheders overholdelse af kravene i henhold til EU-USA-privatlivsskjoldet og de kompetente amerikanske myndigheders forvaltning af, tilsyn med og håndhævelse af sådanne krav) og aspekter vedrørende offentlige myndigheders adgang til personoplysninger, som overføres under privatlivsskjoldet.

Navnlig havde de skridt, der blev taget for at gennemføre Kommissionens henstillinger efter den første årlige evaluering, medført forbedring af adskillige aspekter af ordningens praktiske funktion. Således havde det amerikanske handelsministerium indført nye metoder til afsløring af eventuelle overholdelsesproblemer, den føderale handelskommission havde vedtaget en mere proaktiv tilgang til overvågning af overholdelse og håndhævelse, og rådet for tilsyn med privatlivets fred og borgerlige rettigheder (Privacy and Civil Liberties Oversight Board) havde offentliggjort sin rapport om gennemførelsen af præsidentielt politisk direktiv 28 . Da nogle af disse skridt imidlertid blev taget lige før den anden årlige evaluering, og visse processer stadig pågik, konkluderede Kommissionen, at yderligere udvikling vedrørende disse processer og mekanismer krævede nøje overvågning.

Selv om funktionen som ombudsmand for EU-USA-privatlivsskjoldet blev varetaget af den fungerende statssekretær i det amerikanske udenrigsministerium, og ombudsmandsmekanismen således var fuldt fungerende, understregede Kommissionen endvidere, at det var vigtigt at besætte stillingen som ombudsmand for EU-USA-privatlivsskjoldet fast, og opfordrede navnlig den amerikanske regering til at udpege en kandidat til stillingen inden den 28. februar 2019.

Det tredje årlige evalueringsmøde fandt sted i Washington D.C. den 12. og 13. september 2019. Evalueringen blev indledt af generaldirektøren for GD for Retlige Anliggender og Forbrugere, Tiina Astola, den amerikanske handelsminister, Wilbur Ross, formanden for den føderale handelskommission, Joseph Simons, og formanden for Det Europæiske Databeskyttelsesråd, Ventsislav Karadjov. Evalueringsmødet blev for EU's vedkommende varetaget af repræsentanter for Europa-Kommissionens Generaldirektorat for Retlige Anliggender og Forbrugere. Otte repræsentanter udpeget af Det Europæiske Databeskyttelsesråd deltog også i mødet.

På amerikansk side deltog repræsentanter fra handelsministeriet, udenrigsministeriet, den føderale handelskommission, transportministeriet, kontoret for direktøren for den nationale efterretningstjeneste, justitsministeriet og medlemmer af rådet for tilsyn med privatlivets fred og borgerlige rettigheder i evalueringen sammen med den nyligt udpegede ombudsmand (fast, jf. nedenfor) og generalinspektøren for efterretningstjenesterne. Desuden fremlagde repræsentanter fra to organisationer, der tilbyder uafhængig tvistbilæggelse under EU-USA-privatlivsskjoldet, og den amerikanske voldgiftssammenslutning (American Arbitration Association), som forvalter voldgiftspanelet for EU-USA-privatlivsskjoldet, oplysninger under de relevante evalueringsmøder. Endelig bidrog en række organisationer, der er certificeret i henhold til EU-USA-privatlivsskjoldet, til oplysningen af den årlige evaluering med deres præsentationer om, hvordan virksomheder overholder kravene ifølge ordningen.

Med henblik på forberedelsen af den tredje årlige evaluering havde Kommissionen indsamlet oplysninger fra relevante interessenter (navnlig virksomheder, der er certificeret i henhold til EU-USA-privatlivsskjoldet gennem deres respektive brancheorganisationer, og ikkestatslige organisationer, som har aktiviteter på området grundlæggende rettigheder, især digitale rettigheder og privatlivets fred). Ud over indsamlingen af skriftlige bidrag holdt Kommissionen møder med branche- og erhvervssammenslutninger den 9. september 2019 og med ikkestatslige organisationer den 11. september 2019.

Kommissionens konklusioner er blevet yderligere underbygget af offentligt tilgængeligt materiale såsom retsafgørelser, gennemførelsesbestemmelser og -procedurer fra relevante amerikanske myndigheder, rapporter og undersøgelser fra ikkestatslige organisationer, gennemsigtighedsrapporter udarbejdet af virksomheder certificeret i henhold til EU-USA-privatlivsskjoldet, årlige rapporter fra uafhængige klageinstanser samt medieomtaler.

Med denne rapport afsluttes den tredje årlige evaluering af EU-USA-privatlivsskjoldet. Rapporten og det ledsagende arbejdsdokument fra Kommissionens tjenestegrene (SWD(2019) 390 final) har samme struktur som dokumenterne fra de to tidligere evalueringer. Den dækker alle aspekter af, hvordan EU-USA-privatlivsskjoldet fungerer, og har især fokus på de elementer, som Kommissionen havde identificeret under den anden årlige evaluering og udpeget til nøje overvågning.

I sin vurdering har Kommissionen også taget hensyn til den videreudvikling, som er sket gennem det seneste år, herunder den verserende sag for Den Europæiske Unions Domstol om EU-USA-privatlivsskjoldet. I denne henseende har evalueringen givet Kommissionen anledning til at indhente præciseringer fra de amerikanske myndigheder om visse specifikke aspekter af den amerikanske retlige ramme for indsamling af udenlandske efterretninger, som blev efterlyst i forbindelse med den såkaldte Schrems II-sag. Ikke desto mindre kan Kommissionen blive nødt til at revurdere situationen, når Domstolen har afgjort de verserende sager.

2.RESULTATER AF UNDERSØGELSEN

I det tredje driftsår for EU-USA-privatlivsskjoldet, som på tidspunktet for evalueringsmødet havde over 5 000 deltagende virksomheder, har man forladt den indledende fase og er nået over i driftsfasen. Da den tredje årlige evaluering dækker både kommercielle aspekter og problemer med myndighedernes adgang til personoplysninger, er den blevet rettet mod erfaringer med den praktiske anvendelse af ordningen.

De detaljerede undersøgelsesresultater vedrørende driften af EU-USA-privatlivsskjoldet efter dets tredje funktionsår fremlægges i det arbejdsdokument fra Kommissionens tjenestegrene om den tredje årlige evaluering af EU-USA-privatlivsskjoldet (SWD(2019) 390 final), som ledsager denne rapport.

2.1.Kommercielle aspekter

I lyset af undersøgelsesresultaterne fra sidste års evaluering har Kommissionen i sin vurdering af de kommercielle aspekter navnlig rettet blikket mod de fremskridt, der er gjort hos handelsministeriet med hensyn til i) recertificeringsprocessen, ii) effektiviteten af de ordninger, som det amerikanske handelsministerium har indført til proaktivt at overvåge de certificerede virksomheders regeloverholdelse (de såkaldte "kontroller på stedet"), iii) redskaberne til afsløring af falske påstande, iv) fremskridt med og resultater af den føderale handelskommissions håndhævelsesindsats vedrørende overtrædelser af EU-USA-privatlivsskjoldet og v) udviklingen inden for retningslinjer for oplysninger om menneskelige ressourcer.

Med hensyn til recertificeringsprocessen kom det frem under den tredje årlige evaluering, at det ved udløbet af (re)certificeringsperioden er normal praksis, hvis en virksomhed endnu ikke har fuldført recertificeringsprocessen, at handelsministeriet efter en intern procedure tildeler virksomheden en betydelig "henstandsperiode". I denne periode (ca. 3,5 måneder eller i visse tilfælde og afhængigt af, hvornår handelsministeriet finder ud af, at recertificeringsprocessen ikke er fuldført, endda længere), figurerer virksomheden fortsat på den "aktive" liste vedrørende EU-USA-privatlivsskjoldet. Så længe virksomheden er på listen som deltager i EU-USA-privatlivsskjoldet, er ordningens forpligtelser fortsat bindende og kan håndhæves fuldt ud. En så lang periode, hvor fristen for et selskabs recertificering er overskredet, mens selskabet fortsat står på listen som aktiv deltager i EU-USA-privatlivsskjoldet, mindsker imidlertid denne listes gennemsigtighed og læselighed for både virksomheder og borgere i EU. Det giver heller ikke de deltagende virksomheder incitament til nøje at overholde kravet om årlig recertificering.

Med hensyn til proaktiv overvågning af virksomheders overholdelse af kravene ifølge EU-USA-privatlivsskjoldet indførte handelsministeriet i april 2019 et system med kontrol af 30 virksomheder hver måned. Kommissionen hilser det velkomment, at handelsministeriet regelmæssigt og systematisk udfører proaktive kontroller på stedet, hvilket er meget betydningsfuldt for forbedringen af den samlede overholdelse af ordningen og for at påvise tilfælde, som kræver den føderale handelskommissions håndhævelsesindsats. Den bemærker imidlertid, at disse kontroller på stedet som oftest er begrænset til formelle krav såsom manglende svar fra udpegede kontaktpunkter, eller at en virksomheds databeskyttelsespolitik ikke er tilgængelig online. Selv om der her er tale om absolut relevante aspekter af overholdelsen af kravene ifølge EU-USA-privatlivsskjoldet, bør sådanne kontroller også omfatte materielle forpligtelser, f.eks. overholdelse af princippet om ansvar for videreoverførsel, idet handelsministeriet bør anvende de instrumenter fuldt ud, som det har til rådighed i henhold til ordningen. Kravene vedrørende videreoverførsel er blevet skærpet betydeligt i forbindelse med EU-USA-privatlivsskjoldet, idet manglende beskyttelsesforanstaltninger i sådanne situationer ville underminere ordningens garanti for beskyttelse. Selv om kontrollerne på stedet bør fortsætte på regelmæssig og systematisk vis, er overholdelsen af disse mere materielle krav også afgørende for kontinuiteten i EU-USA-privatlivsskjoldet og bør være omfattet af streng overvågning og håndhævelse fra de amerikanske myndigheders side.