RAPPORT FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET

om den første årlige evaluering af EU's og USA's værn om privatlivets fred

1.DEN FØRSTE ÅRLIGE EVALUERING – FORMÅL, UDARBEJDELSE OG FREMGANGSMÅDE

Kommissionen konstaterede i sin afgørelse af 12. juli 2016 ("afgørelsen om et tilstrækkeligt beskyttelsesniveau"), at EU's og USA's værn om privatlivets fred ("EU-US Privacy Shield") sikrer et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EU til foretagender i USA.

Værnet om privatlivets fred afspejler de principper og krav, som Domstolen har fastsat i sin afgørelse i Schrems-sagen, hvorved den tidligere safe harbour-ordning blev erklæret ugyldig. I forhold til safe harbour-ordningen omfatter det en række nye elementer, der styrker beskyttelsen af personoplysninger, når de overføres til USA. Dette indebærer strengere forpligtelser for virksomheder, der er certificeret under værnet om privatlivets fred, f.eks. vedrørende begrænsninger for, hvor længe en virksomhed kan opbevare personoplysninger (det såkaldte "datalagringsprincip"), eller på hvilke betingelser oplysninger kan deles med tredjeparter uden for ordningen (det såkaldte princip "om ansvar for videreoverførsel"). Det indebærer også, at det amerikanske handelsministerium (DoC) skal foretage en strengere og mere regelmæssig overvågning, og forbedrer EU-borgernes klagemuligheder i betydelig grad. Værnet om privatlivets fred bygger endvidere på specifikke skriftlige udredninger og garantier fra den amerikanske regering, i henhold til hvilke de offentlige myndigheders adgang til personoplysninger, der er overført under værnet om privatlivets fred af hensyn til den nationale sikkerhed, retshåndhævelse og andre offentlige interesser, er underlagt klare begrænsninger og garantier. Med henblik herpå er der også blevet indført en helt ny klageadgang, nemlig ombudsmandsmekanismen.

Kommissionen forpligtede sig til hvert år at evaluere sin konstatering af et tilstrækkeligt beskyttelsesniveau og foretager med henblik herpå en årlig evaluering af, hvordan værnet om privatlivets fred fungerer. Den første årlige evaluering af, hvordan værnet om privatlivets fred fungerer, er indeholdt i denne rapport. Evalueringen omfattede alle aspekter af værnet om privatlivets fred, dvs. de kompetente amerikanske myndigheders og organers gennemførelse og forvaltning af, tilsyn med samt håndhævelse af ordningen for værnet om privatlivets fred samt spørgsmål vedrørende de amerikanske offentlige myndigheders adgang til personoplysninger, der er overført under værnet om privatlivets fred med henblik på beskyttelse af offentlige interesser, navnlig nationale sikkerhedsinteresser. Helt konkret omfattede den også en dialog om automatiserede beslutninger og en vurdering af udviklingen i det amerikanske retssystem i det seneste år, som kunne have indvirkning på, hvordan værnet om privatlivets fred fungerer.

Ordningen for værnet om privatlivets fred har været operationel siden den 1. august 2016. I betragtning af at dette har været det første år, hvor ordningen har fungeret, har Kommissionen i sin årlige evaluering fokuseret på at kontrollere, at alle de mekanismer og procedurer, der indgår i ordningen – hvoraf mange er nyoprettede – er blevet fuldt gennemført og fungerer på den måde, der er fastsat i afgørelsen om et tilstrækkeligt beskyttelsesniveau. Kommissionen har endvidere lagt særlig vægt på at kontrollere, hvorvidt og hvordan de forskellige amerikanske myndigheder, der er involveret i gennemførelsen af ordningen, har levet op til forpligtelserne i deres udredninger og tilsagn, både med hensyn til forvaltningen af og tilsynet med de kommercielle aspekter af værnet om privatlivets fred og med hensyn til myndighedernes adgang til personoplysninger. Regeringsskiftet i USA i januar 2017 gjorde dette særdeles relevant.

Forud for gennemførelsen af den årlige evaluering indsamlede Kommissionen oplysninger og feedback om gennemførelsen og funktionen af ordningen for værnet om privatlivets fred fra relevante interessenter, navnlig fra virksomheder, der er certificeret under værnet for privatlivets fred, gennem deres respektive brancheorganisationer og fra ikkestatslige organisationer (NGO'er), der er aktive inden for grundlæggende rettigheder og især digitale rettigheder og privatlivets fred. Den har også søgt og indhentet skriftlige oplysninger fra de amerikanske myndigheder, der er involveret i gennemførelsen af ordningen, herunder relevante dokumenter og relevant materiale.

Den første årlige fælles evaluering fandt sted den 18. og 19. september 2017 i Washington D.C. Den blev indledt af kommissæren med ansvar for retlige anliggender, forbrugere og ligestilling mellem mænd og kvinder, Věra Jourová, og den amerikanske handelsminister, Wilbur Ross. Den årlige evaluering blev for EU's vedkommende foretaget af repræsentanter for Europa-Kommissionens Generaldirektorat for Retlige Anliggender og Forbrugere. EU's delegation omfattede også otte repræsentanter, der var udpeget af Artikel 29-Gruppen, som er det rådgivende organ, der samler de nationale databeskyttelsesmyndigheder, samt Den Europæiske Tilsynsførende for Databeskyttelse.

På amerikansk side deltog repræsentanter fra handelsministeriet, Den Føderale Handelskommission (FTC), transportministeriet, udenrigsministeriet, kontoret for den nationale efterretningsdirektør og justitsministeriet i evalueringen samt den fungerende ombudsmand, et medlem af rådet for tilsyn med privatlivets fred og borgerlige rettigheder (PCLOB) og kontoret for generalinspektøren for efterretningstjenesterne. Endvidere kom der under den årlige evaluering input fra repræsentanter fra organisationer, der tilbyder uafhængig tvistbilæggelse under værnet om privatlivets fred, den amerikanske voldgiftssammenslutning (American Arbitration Association) som administrator for voldgiftspanelet under værnet om privatlivets fred og en række virksomheder, der er certificeret under værnet om privatlivets fred.

Den årlige evaluering fandt endvidere sted på grundlag af offentligt tilgængeligt materiale såsom retsafgørelser, gennemførelsesbestemmelser og -procedurer fra de relevante amerikanske myndigheder, rapporter og undersøgelser fra NGO'er, gennemsigtighedsrapporter fra virksomheder, der er certificeret under værnet om privatlivets fred, artikler i pressen og andre medierapporter.

2.KONSTATERINGER, KONKLUSIONER OG ANBEFALINGER

Den årlige evaluering har vist, at de amerikanske myndigheder har indført de nødvendige strukturer og procedurer til sikring af, at værnet om privatlivets fred fungerer korrekt. Certificeringsprocessen er blevet håndteret på en generelt tilfredsstillende måde, og mere end 2 400 virksomheder er indtil videre blevet certificeret. De amerikanske myndigheder har indført klagebehandlings- og håndhævelsesmekanismer og -procedurer til beskyttelse af individuelle rettigheder. Dette omfatter også nye klagemuligheder for EU-borgere såsom voldgiftspanelet og ombudsmandsmekanismen. Med hensyn til sidstnævnte blev der udpeget en fungerende ombudsmand efter regeringsskiftet i januar 2017, mens der endnu ikke er udnævnt en permanent ombudsmand. Samarbejdet med de europæiske databeskyttelsesmyndigheder er blevet intensiveret. For så vidt angår offentlige myndigheders adgang til personoplysninger til nationale sikkerhedsformål gælder de relevante sikkerhedsforanstaltninger på amerikansk side fortsat, navnlig dem, der er baseret på det i 2014 udstedte Presidential Policy Directive 28 (PPD-28), som fastsætter begrænsninger og garantier for de nationale sikkerhedsmyndigheders anvendelse af personoplysninger uanset den pågældende persons nationalitet. I den forbindelse bemærkes det, at paragraf 702 i Foreign Intelligence Surveillance Act (FISA) udløber den 31. december 2017, og at der er drøftelser i gang om reformer i den amerikanske kongres.

De detaljerede faktuelle konstateringer vedrørende funktionen af alle aspekter af værnet om privatlivets fred efter det første år, hvor det har fungeret, fremlægges i det arbejdsdokument fra Kommissionens tjenestegrene om den årlige evaluering af EU's og USA's værn om privatlivets fred (SWD(2017) 344 final), som ledsager denne rapport.