EL Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης L 207/1

ΕΚΤΕΛΕΣΤΙΚΉ ΑΠΌΦΑΣΗ (ΕΕ) 2016/1250 ΤΗΣ ΕΠΙΤΡΟΠΉΣ

της 12ης Ιουλίου 2016

βάσει της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με την επάρκεια της προστασίας που παρέχεται από την ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ

[κοινοποιηθείσα υπό τον αριθμό C(2016) 4176]

(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,

Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,

Έχοντας υπόψη την οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (1), και ιδίως το άρθρο 25 παράγραφος 6,

Ύστερα από διαβούλευση με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων (2),

1. ΕΙΣΑΓΩΓΗ

(1) Με την οδηγία 95/46/ΕΚ καθορίζονται οι κανόνες για τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα από τα κράτη μέλη σε τρίτες χώρες στον βαθμό που οι εν λόγω διαβιβάσεις εμπίπτουν στο πεδίο εφαρμογής της.

(2) Το άρθρο 1 της οδηγίας 95/46/ΕΚ και οι αιτιολογικές σκέψεις 2 και 10 του προοιμίου της δεν αποσκοπούν μόνο στη διασφάλιση αποτελεσματικής και πλήρους προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων και, ιδίως, του θεμελιώδους δικαιώματος στον σεβασμό της ιδιωτικής ζωής έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, αλλά και στην κατοχύρωση υψηλού επιπέδου προστασίας των εν λόγω θεμελιωδών δικαιωμάτων και ελευθεριών (3).

(3) Η νομολογία του Δικαστηρίου (4) τονίζει τη σημασία τόσο του θεμελιώδους δικαιώματος στον σεβασμό της ιδιωτικής ζωής, που κατοχυρώνεται στο άρθρο 7 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, όσο και του θεμελιώδους δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα, που κατοχυρώνεται στο άρθρο 8 του Χάρτη.

(4) Σύμφωνα με το άρθρο 25 παράγραφος 1 της οδηγίας 95/46/ΕΚ απαιτείται από τα κράτη μέλη να προβλέπουν ότι η διαβίβαση προς τρίτη χώρα δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνον εάν η εν λόγω τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας και οι νόμοι του κράτους μέλους που εφαρμόζουν άλλες διατάξεις της οδηγίας τηρούνται πριν από τη διαβίβαση. Η Επιτροπή μπορεί να αποφανθεί ότι μια τρίτη χώρα εξασφαλίζει το εν λόγω ικανοποιητικό επίπεδο προστασίας λόγω της εσωτερικής της νομοθεσίας ή των διεθνών δεσμεύσεων που έχει αναλάβει με σκοπό την προστασία των δικαιωμάτων των ατόμων. Στην περίπτωση αυτή, και τηρουμένων των εθνικών διατάξεων που θεσπίζονται σύμφωνα με άλλες διατάξεις της οδηγίας, επιτρέπεται η διαβίβαση δεδομένων προσωπικού χαρακτήρα από τα κράτη μέλη χωρίς να είναι απαραίτητη η παροχή πρόσθετων εγγυήσεων.

(5) Σύμφωνα με το άρθρο 25 παράγραφος 2 της οδηγίας 95/46/ΕΚ, το επίπεδο της προστασίας δεδομένων που παρέχεται από τρίτη χώρα θα πρέπει να σταθμίζεται λαμβανομένων υπόψη όλων των περιστάσεων που επηρεάζουν μια διαβίβαση ή κατηγορία διαβιβάσεων δεδομένων, συμπεριλαμβανομένων των γενικών και τομεακών κανόνων δικαίου που ισχύουν στην εν λόγω τρίτη χώρα.

(6) Στην απόφαση 2000/520/ΕΚ της Επιτροπής (5), για τους σκοπούς του άρθρου 25 παράγραφος 2 της οδηγίας 95/46/ΕΚ, οι «αρχές ασφαλούς λιμένα για την προστασία της ιδιωτικής ζωής», που εφαρμόζονται σύμφωνα με την καθοδήγηση που παρέχεται από τις αποκαλούμενες «συχνές ερωτήσεις» που εκδόθηκαν από το Υπουργείο Εμπορίου των ΗΠΑ, θεωρήθηκε ότι παρέχουν ικανοποιητικό επίπεδο προστασίας για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από την Ένωση σε οργανισμούς εγκατεστημένους στις Ηνωμένες Πολιτείες της Αμερικής.

(7) Η Επιτροπή, στις ανακοινώσεις της COM(2013) 846 final (6) και COM(2013) 847 final της 27ης Νοεμβρίου 2013 (7), θεώρησε ότι η θεμελιώδης βάση του συστήματος ασφαλούς λιμένα έπρεπε να επανεξεταστεί και να ενισχυθεί στο πλαίσιο διαφόρων παραγόντων, συμπεριλαμβανομένων της αλματώδους αύξησης στις ροές δεδομένων και της κρίσιμης σημασίας τους για τη διατλαντική οικονομία, της ταχείας αύξησης του αριθμού των εταιρειών στις ΗΠΑ οι οποίες έχουν προσχωρήσει στο σύστημα του ασφαλούς λιμένα, καθώς και των νέων πληροφοριών σχετικά με την κλίμακα και την εμβέλεια ορισμένων προγραμμάτων παρακολούθησης των ΗΠΑ που ήγειραν ανησυχίες όσον αφορά το επίπεδο προστασίας που θα μπορούσε να εγγυηθεί το εν λόγω σύστημα. Επιπλέον, η Επιτροπή εντόπισε ορισμένα κενά και ανεπάρκειες στο σύστημα ασφαλούς λιμένα.

(8) Βάσει των αποδεικτικών στοιχείων τα οποία συγκέντρωσε η Επιτροπή, συμπεριλαμβανομένων των πληροφοριών που προέκυψαν από τις εργασίες της ομάδας επαφών ΕΕ–ΗΠΑ για την προστασία της ιδιωτικής ζωής (8) και των πληροφοριών σχετικά με τα προγράμματα παρακολούθησης των ΗΠΑ που παραλήφθηκαν στο πλαίσιο της ad hoc ομάδας εργασίας ΕΕ–ΗΠΑ (9), η Επιτροπή διατύπωσε 13 συστάσεις για την επανεξέταση του συστήματος ασφαλούς λιμένα. Οι συστάσεις αυτές επικεντρώνονταν στην ενίσχυση των ουσιαστικών αρχών προστασίας της ιδιωτικής ζωής, την αύξηση της διαφάνειας των πολιτικών τις οποίες εφαρμόζουν οι αυτοπιστοποιούμενες εταιρείες των ΗΠΑ όσον αφορά την προστασία της ιδιωτικής ζωής, τη βελτίωση της εποπτείας, της παρακολούθησης και της επιβολής της συμμόρφωσης των υπηρεσιών των ΗΠΑ με τις εν λόγω αρχές, τη διαθεσιμότητα οικονομικά προσιτών μηχανισμών επίλυσης διαφορών, καθώς και την ανάγκη να διασφαλιστεί ότι η χρήση της εξαίρεσης για λόγους εθνικής ασφάλειας που προβλέπεται στην απόφαση 2000/520/ΕΚ περιορίζεται στον βαθμό που είναι απολύτως αναγκαίος και αναλογικός.

(9) Στην απόφασή του της 6ης Οκτωβρίου 2015 στην υπόθεση C-362/14, Maximillian Schrems κατά Data Protection Commissioner (10), το Δικαστήριο της Ευρωπαϊκής Ένωσης κήρυξε ανίσχυρη την απόφαση 2000/520/ΕΚ. Χωρίς να εξετάσει το περιεχόμενο των αρχών ασφαλούς λιμένα για την προστασία της ιδιωτικής ζωής, το Δικαστήριο θεώρησε ότι η Επιτροπή δεν ανέφερε στην επίμαχη απόφαση ότι οι Ηνωμένες Πολιτείες της Αμερικής «εξασφαλίζουν» πραγματικά ικανοποιητικό επίπεδο προστασίας με την εσωτερική τους νομοθεσία ή με τις διεθνείς δεσμεύσεις που έχουν αναλάβει (11).

(10) Εν προκειμένω, το Δικαστήριο διευκρίνισε ότι, μολονότι η έκφραση «ικανοποιητικό επίπεδο προστασίας» στο άρθρο 25 παράγραφος 6 της οδηγίας 95/46/ΕΚ δεν σημαίνει το ίδιο ακριβώς επίπεδο προστασίας με αυτό που παρέχει η έννομη τάξη της Ένωσης, ωστόσο πρέπει να ερμηνευθεί υπό την έννοια ότι απαιτεί η τρίτη αυτή χώρα να διασφαλίζει επίπεδο προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών «ουσιαστικά ισοδύναμο» με αυτό που εξασφαλίζεται εντός της Ένωσης βάσει της οδηγίας 95/46/ΕΚ υπό το φως του Χάρτη των Θεμελιωδών Δικαιωμάτων. Ακόμη και αν τα μέσα που χρησιμοποιεί η χώρα αυτή, εν προκειμένω, μπορούν να διαφέρουν από αυτά που εφαρμόζονται εντός της Ένωσης, τα μέσα αυτά πρέπει, πάντως να αποδεικνύονται στην πράξη αποτελεσματικά (12).

(11) Το Δικαστήριο επέκρινε την έλλειψη επαρκών διαπιστώσεων στην απόφαση 2000/520/ΕΚ σχετικά με την ύπαρξη στις Ηνωμένες Πολιτείες κρατικών κανόνων για τον περιορισμό τυχόν επεμβάσεων στα θεμελιώδη δικαιώματα των προσώπων των οποίων τα δεδομένα διαβιβάζονται από την Ένωση στις Ηνωμένες Πολιτείες, επεμβάσεις στις οποίες επιτρέπεται να προβαίνουν κρατικοί φορείς των Ηνωμένων Πολιτειών, όταν υπηρετούν νόμιμους σκοπούς όπως η εθνική ασφάλεια, καθώς και σχετικά με την ύπαρξη δικαστικής προστασίας κατά τέτοιων επεμβάσεων (13).

(12) Το 2014 η Επιτροπή είχε ξεκινήσει συνομιλίες με τις αρχές των ΗΠΑ προκειμένου να συζητηθεί η ενίσχυση του συστήματος ασφαλούς λιμένα σύμφωνα με τις 13 συστάσεις που περιλαμβάνονται στην ανακοίνωση COM(2013) 847 final. Μετά την απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης στην υπόθεση Schrems, οι εν λόγω συνομιλίες εντατικοποιήθηκαν με σκοπό να καταλήξουν σε πιθανή νέα απόφαση περί επάρκειας η οποία να ανταποκρίνεται στις απαιτήσεις του άρθρου 25 της οδηγίας 95/46/ΕΚ όπως ερμηνεύθηκε από το Δικαστήριο. Τα έγγραφα τα οποία προσαρτώνται στην παρούσα απόφαση ως παραρτήματα, και τα οποία θα δημοσιευτούν επίσης στην επίσημη εφημερίδα της ομοσπονδιακής κυβέρνησης των ΗΠΑ (Federal Register), είναι το αποτέλεσμα αυτών των συζητήσεων. Οι αρχές προστασίας της ιδιωτικής ζωής (παράρτημα II) καθώς και οι επίσημες δηλώσεις και δεσμεύσεις εκ μέρους διαφόρων αρμόδιων αρχών των ΗΠΑ που περιλαμβάνονται στα έγγραφα των παραρτημάτων I και III έως VII αποτελούν την «ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ».

(13) Η Επιτροπή προέβη σε ενδελεχή ανάλυση του δικαίου και της πρακτικής των ΗΠΑ, συμπεριλαμβανομένων των εν λόγω επίσημων δηλώσεων και δεσμεύσεων. Βάσει των διαπιστώσεων που αναπτύσσονται στις αιτιολογικές σκέψεις 136-140, η Επιτροπή καταλήγει στο συμπέρασμα ότι οι Ηνωμένες Πολιτείες της Αμερικής εξασφαλίζουν ικανοποιητικό επίπεδο προστασίας για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από την Ένωση σε αυτοπιστοποιούμενους οργανισμούς στις Ηνωμένες Πολιτείες της Αμερικής στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ.

2. Η «ΑΣΠΙΔΑ ΠΡΟΣΤΑΣΙΑΣ ΤΗΣ ΙΔΙΩΤΙΚΗΣ ΖΩΗΣ ΕΕ–ΗΠΑ»

(14) Η ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ βασίζεται σε ένα σύστημα αυτοπιστοποίησης μέσω του οποίου οι οργανισμοί των ΗΠΑ δεσμεύονται να τηρούν ένα σύνολο αρχών προστασίας της ιδιωτικής ζωής —τις αρχές του πλαισίου της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ, συμπεριλαμβανομένων των συμπληρωματικών αρχών (εφεξής από κοινού: «οι Αρχές»)— που έχουν εκδοθεί από το Υπουργείο Εμπορίου των ΗΠΑ και παρατίθενται στο παράρτημα II της παρούσας απόφασης. Το σύνολο των Αρχών αυτών ισχύει τόσο για τους υπευθύνους επεξεργασίας όσο και για τους εκτελούντες την επεξεργασία (αντιπροσώπους), με την ιδιαιτερότητα ότι οι εκτελούντες την επεξεργασία πρέπει να δεσμεύονται βάσει σύμβασης ότι θα ενεργούν με βάση τις οδηγίες του υπευθύνου επεξεργασίας της ΕΕ και θα τον συνδράμουν ώστε να ανταποκρίνεται σε αιτήματα προσώπων που ασκούν τα δικαιώματά τους δυνάμει των Αρχών (14).

(15) Με την επιφύλαξη της συμμόρφωσης με τις εθνικές διατάξεις που θεσπίζονται βάσει της οδηγίας 95/46/ΕΚ, η παρούσα απόφαση έχει ως αποτέλεσμα να επιτρέπονται οι διαβιβάσεις από υπεύθυνο επεξεργασίας ή εκτελούντα την επεξεργασία στην Ένωση προς οργανισμούς στις ΗΠΑ που έχουν αυτοπιστοποιηθεί στο Υπουργείο Εμπορίου όσον αφορά την τήρηση των Αρχών εκ μέρους τους και έχουν δεσμευτεί να συμμορφώνονται με αυτές. Οι Αρχές εφαρμόζονται αποκλειστικά στην επεξεργασία προσωπικών δεδομένων από τον οργανισμό των ΗΠΑ στον βαθμό που η επεξεργασία από τέτοιου είδους οργανισμούς δεν εμπίπτει στο πεδίο εφαρμογής της νομοθεσίας της Ένωσης (15). Η ασπίδα προστασίας δεν θίγει την εφαρμογή της νομοθεσίας της Ένωσης που διέπει την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στα κράτη μέλη (16).

(16) Η προστασία που παρέχεται στα δεδομένα προσωπικού χαρακτήρα από την ασπίδα προστασίας ισχύει για κάθε πρόσωπο στην ΕΕ στο οποίο αναφέρονται τα δεδομένα (17), και του οποίου τα προσωπικά δεδομένα έχουν διαβιβαστεί από την Ένωση σε οργανισμούς στις ΗΠΑ που έχουν αυτοπιστοποιηθεί στο Υπουργείο Εμπορίου όσον αφορά την τήρηση των Αρχών.

(17) Οι Αρχές αρχίζουν να εφαρμόζονται μόλις πραγματοποιηθεί η πιστοποίηση. Μία εξαίρεση αφορά την αρχή της λογοδοσίας για περαιτέρω διαβίβαση στην περίπτωση που ένας οργανισμός που αυτοπιστοποιείται στην ασπίδα προστασίας έχει ήδη προϋπάρχουσες εμπορικές σχέσεις με τρίτους. Δεδομένου ότι ενδέχεται να απαιτηθεί χρόνος για τη συμμόρφωση των εν λόγω εμπορικών σχέσεων με τους κανόνες που εφαρμόζονται δυνάμει της αρχής της λογοδοσίας για περαιτέρω διαβίβαση, ο οργανισμός θα υποχρεούται να διασφαλίσει τη συμμόρφωση το συντομότερο δυνατόν και σε κάθε περίπτωση το αργότερο εντός εννέα μηνών από την αυτοπιστοποίηση (υπό την προϋπόθεση ότι αυτή λαμβάνει χώρα στους πρώτους δύο μήνες από την ημερομηνία έναρξης ισχύος της ασπίδας προστασίας). Κατά τη διάρκεια της ενδιάμεσης αυτής περιόδου, ο οργανισμός πρέπει να εφαρμόζει τις αρχές της κοινοποίησης και της επιλογής (παρέχοντας με τον τρόπο αυτό στο πρόσωπο της ΕΕ στο οποίο αναφέρονται τα δεδομένα την επιλογή της εξαίρεσης από τα δεδομένα) και, στην περίπτωση που τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται σε τρίτο που ενεργεί ως αντιπρόσωπος, πρέπει να διασφαλίζει ότι ο τελευταίος παρέχει τουλάχιστον το ίδιο επίπεδο προστασίας με αυτό που απαιτείται βάσει των Αρχών (18). Η μεταβατική αυτή περίοδος εξασφαλίζει μια λογική και κατάλληλη ισορροπία μεταξύ του σεβασμού του θεμελιώδους δικαιώματος στην προστασία των δεδομένων και των εύλογων αναγκών των επιχειρήσεων να έχουν στη διάθεσή τους επαρκή χρόνο για να προσαρμοστούν στο νέο πλαίσιο, στην περίπτωση που αυτό εξαρτάται επίσης από τις εμπορικές τους σχέσεις με τρίτους.

(18) Το σύστημα θα τελεί υπό τη διαχείριση και την παρακολούθηση του Υπουργείου Εμπορίου βάσει των δεσμεύσεών του που παρατίθενται στις δηλώσεις της Υπουργού Εμπορίου των ΗΠΑ (παράρτημα I της παρούσας απόφασης). Όσον αφορά την επιβολή των Αρχών, η Ομοσπονδιακή Επιτροπή Εμπορίου (Federal Trade Commission — FTC) και το Υπουργείο Μεταφορών έχουν καταρτίσει δηλώσεις που περιλαμβάνονται στα παραρτήματα IV και V της παρούσας απόφασης.

2.1. Αρχές προστασίας της ιδιωτικής ζωής

(19) Στο πλαίσιο της αυτοπιστοποίησής τους βάσει της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ, οι οργανισμοί πρέπει να αναλάβουν τη δέσμευση να συμμορφώνονται με τις Αρχές (19).

(20) Σύμφωνα με την αρχή της κοινοποίησης, οι οργανισμοί υποχρεούνται να παρέχουν στα πρόσωπα στα οποία αναφέρονται τα δεδομένα πληροφορίες σχετικά με ορισμένα βασικά στοιχεία που αφορούν την επεξεργασία των προσωπικών τους δεδομένων (π.χ. το είδος των δεδομένων που συλλέγονται, τον σκοπό της επεξεργασίας, το δικαίωμα πρόσβασης και επιλογής, τις προϋποθέσεις περαιτέρω διαβίβασης και την ευθύνη). Εφαρμόζονται δε περαιτέρω διασφαλίσεις, ιδίως η υποχρέωση των οργανισμών να δημοσιοποιούν τις πολιτικές τους που αφορούν την προστασία της ιδιωτικής ζωής (στις οποίες πρέπει να αποτυπώνονται οι Αρχές) και να παρέχουν συνδέσμους προς τον δικτυακό τόπο του Υπουργείου Εμπορίου (με περισσότερες λεπτομέρειες για την αυτοπιστοποίηση, τα δικαιώματα των προσώπων στα οποία αναφέρονται τα δεδομένα και τους διαθέσιμους μηχανισμούς προσφυγής), τον κατάλογο της ασπίδας προστασίας της ιδιωτικής ζωής που αναφέρεται στην αιτιολογική σκέψη 30 και τον δικτυακό τόπο ενδεδειγμένου παρόχου υπηρεσιών εναλλακτικής επίλυσης διαφορών.

(21) Σύμφωνα με την αρχή της ακεραιότητας των δεδομένων και του περιορισμού του σκοπού, τα δεδομένα προσωπικού χαρακτήρα πρέπει να περιορίζονται σε όσα είναι συναφή με τον σκοπό της επεξεργασίας, αξιόπιστα για τη χρήση για την οποία προορίζονται, ακριβή, πλήρη και ενημερωμένα. Ένας οργανισμός δεν επιτρέπεται να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα κατά τρόπο που αντιβαίνει στον σκοπό για τον οποίο συνελέγησαν αρχικά ή για τον οποίο δόθηκε μεταγενέστερα άδεια από το πρόσωπο στο οποίο αναφέρονται τα δεδομένα. Οι οργανισμοί πρέπει να διασφαλίζουν ότι τα δεδομένα προσωπικού χαρακτήρα είναι αξιόπιστα για τη σκοπούμενη χρήση τους, ακριβή, πλήρη και επικαιροποιημένα.

(22) Στην περίπτωση που ένας νέος (τροποποιημένος) σκοπός είναι ουσιωδώς διαφορετικός αλλά εξακολουθεί να συνάδει με τον αρχικό σκοπό, η αρχή της επιλογής παρέχει στα πρόσωπα στα οποία αναφέρονται τα δεδομένα το δικαίωμα αντίταξης (εξαίρεση από τα δεδομένα). Η αρχή της επιλογής δεν υπερισχύει της ρητής απαγόρευσης της ασυμβίβαστης επεξεργασίας (20). Ειδικοί κανόνες οι οποίοι εν γένει επιτρέπουν την εξαίρεση «ανά πάσα στιγμή» από τη χρήση δεδομένων προσωπικού χαρακτήρα ισχύουν όσον αφορά την άμεση εμπορική προώθηση (21). Στην περίπτωση των ευαίσθητων δεδομένων, οι οργανισμοί πρέπει συνήθως να εξασφαλίζουν τη ρητή συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα (οικειοθελής συμμετοχή).

(23) Ωστόσο, σύμφωνα με την αρχή της ακεραιότητας των δεδομένων και του περιορισμού του σκοπού, οι πληροφορίες προσωπικού χαρακτήρα μπορούν να διατηρούνται υπό μορφή με την οποία καθίσταται γνωστή ή μπορεί να εξακριβωθεί η ταυτότητα ενός προσώπου (και, κατά συνέπεια, υπό τη μορφή δεδομένων προσωπικού χαρακτήρα) μόνον για το χρονικό διάστημα για το οποίο εξυπηρετούν τον (τους) σκοπό(-ούς) για τον (τους) οποίο(-ους) συνελέγησαν αρχικά ή εγκρίθηκαν στη συνέχεια. Η υποχρέωση αυτή δεν παρεμποδίζει τους οργανισμούς της ασπίδας προστασίας να συνεχίσουν την επεξεργασία πληροφοριών προσωπικού χαρακτήρα για μεγαλύτερες περιόδους, αλλά μόνο για το χρονικό διάστημα και στον βαθμό που η επεξεργασία εξυπηρετεί ευλόγως έναν από τους ακόλουθους συγκεκριμένους σκοπούς: αρχειοθέτηση προς το δημόσιο συμφέρον, δημοσιογραφία, λογοτεχνία και τέχνη, επιστημονική και ιστορική έρευνα και στατιστική ανάλυση. Η τήρηση των δεδομένων προσωπικού χαρακτήρα για μεγαλύτερο χρονικό διάστημα για την εξυπηρέτηση ενός από τους εν λόγω σκοπούς θα υπόκειται στις διασφαλίσεις που παρέχονται από τις Αρχές.

(24) Σύμφωνα με την αρχή της ασφάλειας, οι οργανισμοί που δημιουργούν, διατηρούν, χρησιμοποιούν ή διαδίδουν δεδομένα προσωπικού χαρακτήρα οφείλουν να λαμβάνουν «εύλογα και κατάλληλα» μέτρα ασφαλείας, λαμβανομένων υπόψη των κινδύνων που ενέχει η επεξεργασία και της φύσης των δεδομένων. Σε περίπτωση υπεργολαβίας επεξεργασίας, οι οργανισμοί πρέπει να συνάπτουν σύμβαση με τον υπεργολάβο επεξεργασίας η οποία να εγγυάται το ίδιο επίπεδο προστασίας με αυτό που παρέχεται από τις Αρχές και να λαμβάνουν μέτρα για τη διασφάλιση της ορθής εφαρμογής της.

(25) Σύμφωνα με την αρχή της πρόσβασης (22), τα πρόσωπα στα οποία αναφέρονται τα δεδομένα έχουν το δικαίωμα, χωρίς απαίτηση αιτιολόγησης και μόνον έναντι εύλογου αντιτίμου, να λαμβάνουν επιβεβαίωση από έναν οργανισμό για το αν ο εν λόγω οργανισμός προβαίνει σε επεξεργασία δεδομένων που τα αφορούν καθώς και να εξασφαλίζουν ότι θα τους κοινοποιούνται τα εν λόγω δεδομένα εντός εύλογου χρονικού διαστήματος. Το δικαίωμα αυτό μπορεί να περιοριστεί μόνο σε εξαιρετικές περιστάσεις· τυχόν άρνηση ή περιορισμός του δικαιώματος πρόσβασης πρέπει να είναι αναγκαίος και δεόντως αιτιολογημένος, και ο οργανισμός είναι εκείνος που οφείλει να αποδείξει ότι πληρούνται οι συγκεκριμένες απαιτήσεις. Τα πρόσωπα στα οποία αναφέρονται τα δεδομένα πρέπει να έχουν τη δυνατότητα να διορθώνουν, να τροποποιούν ή να διαγράφουν πληροφορίες προσωπικού χαρακτήρα όταν είναι ανακριβείς ή έχουν υποβληθεί σε επεξεργασία κατά παράβαση των Αρχών. Στους τομείς στους οποίους οι εταιρείες είναι πιθανότερο να καταφύγουν στην αυτοματοποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα για να λάβουν αποφάσεις που επηρεάζουν το εκάστοτε πρόσωπο (π.χ. παροχή πίστωσης, προσφορά ενυπόθηκων δανείων, απασχόληση), το δίκαιο των ΗΠΑ προβλέπει ειδικές ρυθμίσεις προστασίας από τη λήψη αρνητικών αποφάσεων (23). Οι εν λόγω πράξεις συνήθως προβλέπουν ότι τα πρόσωπα έχουν το δικαίωμα να ενημερώνονται για τους συγκεκριμένους λόγους στους οποίους βασίζεται η απόφαση (π.χ. απόρριψη της χορήγησης πίστωσης), να αμφισβητούν ελλιπείς ή λανθασμένες πληροφορίες (καθώς και το να βασίστηκε η απόφαση σε παράνομους παράγοντες), και να ζητούν επανόρθωση. Οι κανόνες αυτοί περιλαμβάνουν ρυθμίσεις προστασίας για τις κατά πάσα πιθανότητα περιορισμένες περιπτώσεις στις οποίες οι αυτοματοποιημένες αποφάσεις θα λαμβάνονται από τον ίδιο τον οργανισμό της ασπίδας προστασίας (24). Ωστόσο, δεδομένης της αυξημένης χρήσης της αυτοματοποιημένης επεξεργασίας (συμπεριλαμβανομένης της κατάρτισης προφίλ) ως βάσης για τη λήψη αποφάσεων που επηρεάζουν τους ιδιώτες στη σύγχρονη ψηφιακή οικονομία, ο τομέας αυτός θα πρέπει να παρακολουθείται στενά. Προκειμένου να διευκολυνθεί η παρακολούθηση αυτή, έχει συμφωνηθεί με τις αρχές των ΗΠΑ ότι ο διάλογος σχετικά με τη λήψη αυτοματοποιημένων αποφάσεων, συμπεριλαμβανομένης ανταλλαγής πληροφοριών σχετικά με τις ομοιότητες και τις διαφορές στην προσέγγιση της ΕΕ και των ΗΠΑ εν προκειμένω, θα συμπεριληφθεί στα θέματα της πρώτης ετήσιας επανεξέτασης καθώς και επόμενων επανεξετάσεων, εφόσον απαιτηθεί.

(26) Σύμφωνα με την αρχή της προσφυγής, της επιβολής και της ευθύνης (25), οι συμμετέχοντες οργανισμοί πρέπει να παρέχουν άρτιους μηχανισμούς για τη διασφάλιση της συμμόρφωσης με τις λοιπές Αρχές και της δυνατότητας προσφυγής για τα πρόσωπα από την ΕΕ στα οποία αναφέρονται τα δεδομένα και των οποίων τα δεδομένα προσωπικού χαρακτήρα έχουν υποβληθεί σε επεξεργασία κατά τρόπο που δεν συμμορφώνεται με τις εν λόγω Αρχές, συμπεριλαμβανομένων αποτελεσματικών μέσων έννομης προστασίας. Άπαξ και ένας οργανισμός αποφασίσει οικειοθελώς να αυτοπιστοποιηθεί (26) στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ, η αποτελεσματική συμμόρφωση με τις Αρχές είναι υποχρεωτική. Προκειμένου να επιτρέπεται στον εν λόγω οργανισμό να συνεχίσει να λαμβάνει δεδομένα προσωπικού χαρακτήρα από την Ένωση επί τη βάσει της ασπίδας προστασίας, ο οργανισμός πρέπει να επαναπιστοποιεί σε ετήσια βάση τη συμμετοχή του στο συγκεκριμένο πλαίσιο. Οι οργανισμοί πρέπει, επίσης, να λαμβάνουν μέτρα προκειμένου να εξακριβώνουν (27) ότι οι δημοσιευμένες πολιτικές τους που αφορούν την προστασία της ιδιωτικής ζωής συνάδουν με τις Αρχές και τηρούνται πραγματικά. Αυτό μπορεί να επιτευχθεί είτε μέσω ενός συστήματος αυτοαξιολόγησης, το οποίο πρέπει να περιλαμβάνει εσωτερικές διαδικασίες που διασφαλίζουν ότι οι εργαζόμενοι λαμβάνουν κατάρτιση σχετικά με την εφαρμογή των πολιτικών του οργανισμού όσον αφορά την προστασία της ιδιωτικής ζωής και ότι η συμμόρφωση ελέγχεται ανά τακτά διαστήματα με αντικειμενικό τρόπο, είτε με εξωτερικούς ελέγχους συμμόρφωσης, για τους οποίους οι σχετικές μέθοδοι μπορούν να περιλαμβάνουν ελεγκτικές διαδικασίες ή δειγματοληπτικές επιθεωρήσεις. Επιπλέον, ο οργανισμός πρέπει να θέσει σε εφαρμογή αποτελεσματικό μηχανισμό προσφυγής για την αντιμετώπιση τυχόν καταγγελιών (βλέπε σχετικά επίσης την αιτιολογική σκέψη 43) και να υπόκειται στις εξουσίες διεξαγωγής ερευνών και επιβολής της FTC, του Υπουργείου Μεταφορών ή άλλου εξουσιοδοτημένου επίσημου φορέα ο οποίος θα διασφαλίζει αποτελεσματικά τη συμμόρφωση με τις Αρχές.

(27) Ειδικοί κανόνες εφαρμόζονται στις επονομαζόμενες «περαιτέρω διαβιβάσεις», δηλαδή στις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα από οργανισμό σε τρίτο υπεύθυνο επεξεργασίας ή εκτελούντα την επεξεργασία, ανεξαρτήτως του αν ο τελευταίος βρίσκεται στις Ηνωμένες Πολιτείες ή σε τρίτη χώρα εκτός των ΗΠΑ (και της Ένωσης). Ο σκοπός των κανόνων αυτών είναι να διασφαλιστεί ότι οι ρυθμίσεις προστασίας που εξασφαλίζονται για τα δεδομένα προσωπικού χαρακτήρα των προσώπων από την ΕΕ στα οποία αναφέρονται τα δεδομένα δεν υπονομεύονται και δεν μπορούν να παρακαμφθούν, μέσω της διαβίβασής τους σε τρίτους. Αυτό είναι ιδιαιτέρως συναφές σε περισσότερο σύνθετες αλυσίδες επεξεργασίας οι οποίες είναι συνήθεις στη σύγχρονη ψηφιακή οικονομία.

(28) Σύμφωνα με την αρχή της λογοδοσίας για περαιτέρω διαβίβαση (28), κάθε περαιτέρω διαβίβαση μπορεί να πραγματοποιηθεί μόνο i) για περιορισμένους και καθορισμένους σκοπούς, ii) βάσει σύμβασης (ή παρόμοιας συμφωνίας στο πλαίσιο εταιρικού ομίλου (29)) και iii) μόνον εάν η εν λόγω σύμβαση παρέχει το ίδιο επίπεδο προστασίας με αυτό το οποίο διασφαλίζεται από τις Αρχές, το οποίο περιλαμβάνει την απαίτηση η εφαρμογή των Αρχών να είναι δυνατόν να περιοριστεί μόνο στον βαθμό που κρίνεται αναγκαίος για την εκπλήρωση σκοπών εθνικής ασφάλειας, επιβολής του νόμου και άλλων σκοπών δημοσίου συμφέροντος (30). Αυτό θα πρέπει να εφαρμόζεται σε συνδυασμό με την αρχή της κοινοποίησης και, στην περίπτωση περαιτέρω διαβίβασης σε τρίτο υπεύθυνο επεξεργασίας (31), με την αρχή της επιλογής, σύμφωνα με την οποία τα πρόσωπα στα οποία αναφέρονται τα δεδομένα πρέπει να ενημερώνονται (μεταξύ άλλων) σχετικά με το είδος/την ταυτότητα τυχόν τρίτου αποδέκτη, τον σκοπό της περαιτέρω διαβίβασης καθώς και τις επιλογές που τους προσφέρονται και μπορούν να αντιτάσσονται (δικαίωμα εξαίρεσης) ή, σε περίπτωση ευαίσθητων δεδομένων, πρέπει να παρέχουν «ρητή συγκατάθεση» (οικειοθελής συμμετοχή) για τις περαιτέρω διαβιβάσεις δεδομένων. Βάσει της αρχής της ακεραιότητας των δεδομένων και του περιορισμού του σκοπού, η υποχρέωση παροχής του ίδιου επιπέδου προστασίας με αυτό που διασφαλίζεται από τις Αρχές προϋποθέτει ότι ο τρίτος δύναται μόνο να επεξεργάζεται τις πληροφορίες προσωπικού χαρακτήρα που διαβιβάζονται σε αυτόν για σκοπούς που δεν αντιβαίνουν στους σκοπούς για τους οποίους συνελέγησαν αρχικά ή εγκρίθηκαν στη συνέχεια από το πρόσωπο.

(29) Η υποχρέωση παροχής του ίδιου επιπέδου προστασίας με αυτό που απαιτείται βάσει των Αρχών ισχύει για κάθε τρίτο και για όλους τους τρίτους που συμμετέχουν στην επεξεργασία των δεδομένων που διαβιβάζονται με τον τρόπο αυτό, ανεξαρτήτως του τόπου στον οποίο βρίσκονται (στις ΗΠΑ ή σε άλλη τρίτη χώρα), καθώς και στην περίπτωση που ο αρχικός τρίτος αποδέκτης διαβιβάζει ο ίδιος τα εν λόγω δεδομένα σε άλλο τρίτο αποδέκτη, για παράδειγμα για σκοπούς επεξεργασίας στο πλαίσιο υπεργολαβίας. Σε κάθε περίπτωση, στη σύμβαση με τρίτο αποδέκτη πρέπει να προβλέπεται ότι ο τελευταίος θα ενημερώσει τον οργανισμό της ασπίδας προστασίας εάν αποφασίσει ότι δεν δύναται πλέον να συμμορφώνεται με την υποχρέωση αυτή. Εάν ληφθεί τέτοιου είδους απόφαση, η επεξεργασία από τον τρίτο παύει ή λαμβάνονται άλλα εύλογα και κατάλληλα μέτρα για την επανόρθωση της κατάστασης (32). Σε περίπτωση που προκύψουν προβλήματα συμμόρφωσης στην αλυσίδα (υπεργολαβίας) επεξεργασίας, ο οργανισμός της ασπίδας προστασίας που ενεργεί ως ο υπεύθυνος της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα θα πρέπει να αποδείξει ότι δεν είναι υπεύθυνος για το γεγονός που προκαλεί τη ζημία, ειδάλλως υπέχει ευθύνη, όπως ορίζεται στην αρχή της προσφυγής, της επιβολής και της ευθύνης. Στην περίπτωση περαιτέρω διαβίβασης σε τρίτο αντιπρόσωπο εφαρμόζονται πρόσθετες ρυθμίσεις προστασίας (33).

2.2. Διαφάνεια, διαχείριση και εποπτεία της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ

(30) Η ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ προβλέπει μηχανισμούς εποπτείας και επιβολής, προκειμένου να επαληθεύεται και να διασφαλίζεται ότι οι αυτοπιστοποιούμενες εταιρείες των ΗΠΑ συμμορφώνονται με τις Αρχές και ότι κάθε περίπτωση μη συμμόρφωσης αντιμετωπίζεται. Οι μηχανισμοί αυτοί παρατίθενται στις Αρχές (παράρτημα II) και στις δεσμεύσεις που έχουν αναληφθεί από το Υπουργείο Εμπορίου (παράρτημα I), την FTC (παράρτημα IV) και το Υπουργείο Μεταφορών (παράρτημα V).

(31) Για τη διασφάλιση της ορθής εφαρμογής της ασπίδας προστασίας ΕΕ–ΗΠΑ τα ενδιαφερόμενα μέρη, όπως είναι τα πρόσωπα στα οποία αναφέρονται τα δεδομένα, οι εξαγωγείς δεδομένων και οι εθνικές αρχές προστασίας δεδομένων (ΑΠΔ), πρέπει να μπορούν να αναγνωρίζουν τους οργανισμούς εκείνους που τηρούν τις Αρχές. Για τον σκοπό αυτό, το Υπουργείο Εμπορίου έχει αναλάβει να διατηρεί και να θέτει στη διάθεση του κοινού κατάλογο των οργανισμών οι οποίοι έχουν αυτοπιστοποιηθεί δηλώνοντας ότι τηρούν τις αρχές προστασίας της ιδιωτικής ζωής και οι οποίοι εμπίπτουν στη δικαιοδοσία μιας τουλάχιστον από τις αρχές επιβολής που αναφέρονται στα παραρτήματα I και II της παρούσας απόφασης («κατάλογος της ασπίδας προστασίας») (34). Το Υπουργείο Εμπορίου θα επικαιροποιεί τον κατάλογο με βάση τις ετήσιες υποβαλλόμενες δηλώσεις επαναπιστοποίησης ενός οργανισμού και όποτε ένας οργανισμός αποχωρεί ή διαγράφεται από την ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ. Επίσης, θα τηρεί και θα θέτει στη διάθεση του κοινού επίσημο αρχείο των οργανισμών που έχουν διαγραφεί από τον κατάλογο, προσδιορίζοντας σε κάθε περίπτωση τον λόγο της διαγραφής. Τέλος, θα παρέχει σύνδεσμο προς τον κατάλογο των υποθέσεων επιβολής του νόμου της FTC που σχετίζονται με την ασπίδα προστασίας, ο οποίος είναι δημοσιευμένος στον δικτυακό τόπο της FTC.

(32) Το Υπουργείο Εμπορίου θα δημοσιοποιεί τόσο τον κατάλογο της ασπίδας προστασίας όσο και τις υποβαλλόμενες δηλώσεις επαναπιστοποίησης μέσω ειδικού δικτυακού τόπου. Οι αυτοπιστοποιούμενοι οργανισμοί πρέπει με τη σειρά τους να παρέχουν τη διαδικτυακή διεύθυνση του Υπουργείου που περιλαμβάνει τον κατάλογο της ασπίδας προστασίας. Επιπλέον, εάν είναι διαθέσιμη στο διαδίκτυο, η πολιτική προστασίας της ιδιωτικής ζωής ενός οργανισμού πρέπει να περιλαμβάνει υπερσύνδεσμο προς τον δικτυακό τόπο της ασπίδας προστασίας, καθώς και υπερσύνδεσμο προς τον δικτυακό τόπο ή έντυπο υποβολής καταγγελίας του ανεξάρτητου μηχανισμού προσφυγής που διατίθεται για τη διερεύνηση ανεπίλυτων καταγγελιών. Το Υπουργείο Εμπορίου θα επαληθεύει συστηματικά, σε σχέση με την πιστοποίηση και επαναπιστοποίηση ενός οργανισμού βάσει του συγκεκριμένου πλαισίου, ότι οι πολιτικές του για την προστασία της ιδιωτικής ζωής συνάδουν με τις εν λόγω Αρχές.

(33) Οι οργανισμοί για τους οποίους διαπιστώνεται επανειλημμένη μη συμμόρφωση με τις Αρχές θα διαγράφονται από τον κατάλογο της ασπίδας προστασίας και θα υποχρεούνται να επιστρέφουν ή να διαγράφουν τα δεδομένα προσωπικού χαρακτήρα τα οποία έχουν παραλάβει βάσει της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ. Σε άλλες περιπτώσεις διαγραφής, όπως η οικειοθελής αποχώρηση ή η μη επαναπιστοποίηση, ο οργανισμός μπορεί να διατηρεί τα εν λόγω δεδομένα εάν επιβεβαιώνει στο Υπουργείο Εμπορίου σε ετήσια βάση τη δέσμευσή του να συνεχίσει να εφαρμόζει τις Αρχές ή εάν παρέχει επαρκή προστασία για τα δεδομένα προσωπικού χαρακτήρα με άλλο επιτρεπόμενο τρόπο (π.χ. με χρήση σύμβασης που αντικατοπτρίζει πλήρως τις απαιτήσεις των σχετικών πρότυπων συμβατικών ρητρών που εγκρίνονται από την Επιτροπή)· Σε αυτή την περίπτωση, ο οργανισμός πρέπει να ορίσει ένα σημείο επαφής εντός της οργανωτικής δομής του για όλα τα ζητήματα που σχετίζονται με την ασπίδα προστασίας.

(34) Το Υπουργείο Εμπορίου θα παρακολουθεί τους οργανισμούς που δεν είναι πλέον μέλη της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ, είτε επειδή αποχώρησαν οικειοθελώς είτε επειδή έληξε η πιστοποίησή τους, προκειμένου να εξακριβώνει αν θα επιστρέψουν, θα διαγράψουν ή θα διατηρήσουν (35) τα δεδομένα προσωπικού χαρακτήρα που είχαν λάβει προηγουμένως βάσει του συγκεκριμένου πλαισίου. Εάν διατηρήσουν τα εν λόγω δεδομένα, οι οργανισμοί υποχρεούνται να συνεχίσουν να εφαρμόζουν τις Αρχές στα δεδομένα αυτά. Σε περιπτώσεις στις οποίες το Υπουργείο Εμπορίου διαγράφει οργανισμούς από το εν λόγω πλαίσιο λόγω επανειλημμένης μη συμμόρφωσής τους με τις Αρχές, θα διασφαλίζει ότι οι οργανισμοί αυτοί θα επιστρέψουν ή θα διαγράψουν τα δεδομένα προσωπικού χαρακτήρα που έλαβαν βάσει του πλαισίου.

(35) Όταν ένας οργανισμός αποχωρεί από την ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ για οποιονδήποτε λόγο, πρέπει να αποσύρει όλες τις δημόσιες δηλώσεις που υποδεικνύουν ότι συνεχίζει να συμμετέχει στην ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ ή ότι δικαιούται να επωφελείται από αυτήν, ειδικότερα δε να αφαιρεί από τη δημοσιευμένη πολιτική του για την προστασία της ιδιωτικής ζωής οποιαδήποτε αναφορά στην ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ. Το Υπουργείο Εμπορίου θα εντοπίζει και θα αντιμετωπίζει ψευδείς ισχυρισμούς περί συμμετοχής στο πλαίσιο, μεταξύ άλλων από πρώην μέλη (36). Κάθε ψευδής δήλωση προς το ευρύ κοινό στην οποία προβαίνει οργανισμός όσον αφορά την τήρηση των αρχών της ασπίδας προστασίας εκ μέρους του μπορεί να συνεπάγεται την ανάληψη δράσης επιβολής από την FTC, το Υπουργείο Μεταφορών ή από άλλες αρμόδιες αρχές επιβολής των ΗΠΑ· οι ψευδείς δηλώσεις προς το Υπουργείο Εμπορίου συνεπάγονται επιβολή κυρώσεων βάσει του νόμου περί υποβολής ψευδούς δήλωσης (False Statements Act) (18 U.S.C. § 1001) (37).

(36) Το Υπουργείο Εμπορίου θα παρακολουθεί αυτεπαγγέλτως τυχόν ψευδείς ισχυρισμούς περί συμμετοχής στην ασπίδα προστασίας ή τυχόν καταχρηστική χρήση του σήματος πιστοποίησης της ασπίδας προστασίας, και οι ΑΠΔ μπορούν να παραπέμπουν οργανισμούς για έλεγχο σε ειδικό προς τούτο σημείο επαφής εντός του Υπουργείου. Σε περίπτωση αποχώρησης, μη επαναπιστοποίησης ή διαγραφής ενός οργανισμού από την ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ, το Υπουργείο Εμπορίου θα επαληθεύει σε συνεχή βάση ότι ο οργανισμός έχει διαγράψει από τη δημοσιευμένη πολιτική του για την προστασία της ιδιωτικής ζωής οποιαδήποτε αναφορά στην ασπίδα προστασίας που υποδηλώνει τη συνέχιση της συμμετοχής του και, εάν ο οργανισμός εξακολουθήσει να προβαίνει σε ψευδείς δηλώσεις, το Υπουργείο θα παραπέμπει το ζήτημα στην FTC, στο Υπουργείο Μεταφορών ή σε άλλη αρμόδια αρχή για πιθανές ενέργειες επιβολής του νόμου. Θα αποστέλλει επίσης ερωτηματολόγια σε οργανισμούς των οποίων έχει λήξει η ισχύς της αυτοπιστοποίησης ή οι οποίοι έχουν εθελοντικά αποχωρήσει από την ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ ώστε να ελέγξει αν ο οργανισμός θα επανέλθει, θα διαγραφεί ή θα συνεχίσει να εφαρμόζει τις αρχές προστασίας της ιδιωτικής ζωής στα δεδομένα προσωπικού χαρακτήρα που έλαβε κατά τη διάρκεια της συμμετοχής του στην ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ, και εάν πρόκειται να διατηρηθούν δεδομένα προσωπικού χαρακτήρα, θα εξακριβώνει το άτομο που θα λειτουργεί ως συνεχές σημείο επαφής εντός του οργανισμού για θέματα που σχετίζονται με την ασπίδα προστασίας.

(37) Σε συνεχή βάση, το Υπουργείο Εμπορίου θα διενεργεί αυτεπαγγέλτως ελέγχους συμμόρφωσης (38) των αυτοπιστοποιούμενων οργανισμών, μεταξύ άλλων και μέσω της αποστολής αναλυτικών ερωτηματολογίων. Επίσης, θα προβαίνει συστηματικά σε διεξαγωγή ελέγχων όποτε λαμβάνει συγκεκριμένη (ουσιαστική) καταγγελία, όταν ένας οργανισμός δεν παρέχει ικανοποιητικές απαντήσεις στα ερωτήματά του ή όταν υπάρχουν αξιόπιστα στοιχεία που υποδηλώνουν ενδεχόμενη έλλειψη συμμόρφωσης ενός οργανισμού με τις Αρχές. Κατά περίπτωση, το Υπουργείο Εμπορίου θα διαβουλεύεται επίσης με τις ΑΠΔ σχετικά με τους εν λόγω ελέγχους συμμόρφωσης.

2.3. Μηχανισμοί προσφυγής, διαχείριση καταγγελιών και επιβολή

(38) Η ασπίδα προστασίας ΕΕ–ΗΠΑ, μέσω της αρχής της προσφυγής, της επιβολής και της ευθύνης, απαιτεί από τους οργανισμούς να παρέχουν μέσα προσφυγής στα πρόσωπα που θίγονται από περιπτώσεις μη συμμόρφωσης και, ως εκ τούτου, παρέχει τη δυνατότητα στα πρόσωπα από την ΕΕ στα οποία αναφέρονται τα δεδομένα να υποβάλλουν καταγγελίες σχετικά με περιπτώσεις μη συμμόρφωσης αυτοπιστοποιούμενων οργανισμών των ΗΠΑ και να εξασφαλίζουν την εξεύρεση λύσης στις εν λόγω καταγγελίες, εν ανάγκη μέσω απόφασης που παρέχει αποτελεσματική έννομη προστασία.

(39) Στο πλαίσιο της αυτοπιστοποίησής τους, οι οργανισμοί πρέπει να πληρούν τις απαιτήσεις της αρχής της προσφυγής, της επιβολής και της ευθύνης παρέχοντας αποτελεσματικούς και άμεσα διαθέσιμους ανεξάρτητους μηχανισμούς προσφυγής μέσω των οποίων καθίσταται δυνατή η διερεύνηση και η άμεση διευθέτηση των καταγγελιών και των διαφορών κάθε ιδιώτη χωρίς κόστος για τον ιδιώτη.

(40) Οι οργανισμοί δύνανται να επιλέγουν ανεξάρτητους μηχανισμούς προσφυγής που βρίσκονται είτε στην Ένωση είτε στις Ηνωμένες Πολιτείες. Αυτό περιλαμβάνει τη δυνατότητα οικειοθελούς δέσμευσης για συνεργασία με τις ΑΠΔ της ΕΕ. Ωστόσο, δεν παρέχεται εύρος επιλογών στους οργανισμούς όσον αφορά την επεξεργασία δεδομένων ανθρώπινου δυναμικού, καθώς η συνεργασία με τις ΑΠΔ στην περίπτωση αυτή είναι υποχρεωτική. Άλλες πιθανές εναλλακτικές λύσεις είναι η εναλλακτική επίλυση διαφορών ή προγράμματα προστασίας της ιδιωτικής ζωής που έχουν αναπτυχθεί από τον ιδιωτικό τομέα και στους κανόνες των οποίων έχουν ενσωματωθεί οι αρχές της ασπίδας προστασίας. Στα προγράμματα αυτά πρέπει να περιλαμβάνονται αποτελεσματικοί μηχανισμοί επιβολής σύμφωνα με τις απαιτήσεις της αρχής της προσφυγής, της επιβολής και της ευθύνης. Οι οργανισμοί υποχρεούνται να αποκαθιστούν κάθε πρόβλημα μη συμμόρφωσης. Πρέπει επίσης να αναφέρουν ότι υπόκεινται στις εξουσίες διεξαγωγής ερευνών και επιβολής της FTC, του Υπουργείου Μεταφορών και κάθε άλλου επίσημα εξουσιοδοτημένου φορέα.

(41) Κατά συνέπεια, το πλαίσιο της ασπίδας προστασίας παρέχει στα πρόσωπα στα οποία αναφέρονται τα δεδομένα σειρά δυνατοτήτων για την επιβολή των δικαιωμάτων τους, την υποβολή καταγγελιών σχετικά με περιπτώσεις μη συμμόρφωσης των αυτοπιστοποιούμενων εταιρειών των ΗΠΑ και την επίλυση των καταγγελιών αυτών, εν ανάγκη μέσω απόφασης που παρέχει αποτελεσματική έννομη προστασία. Τα πρόσωπα μπορούν να υποβάλλουν καταγγελίες απευθείας σε έναν οργανισμό, σε ανεξάρτητο φορέα επίλυσης διαφορών που έχει ορίσει ο οργανισμός, στις εθνικές ΑΠΔ ή στην FTC.

(42) Στις περιπτώσεις στις οποίες οι καταγγελίες δεν επιλύονται στο πλαίσιο ενός από τους εν λόγω μηχανισμούς προσφυγής και επιβολής, τα πρόσωπα έχουν επίσης το δικαίωμα να επικαλεστούν τη δεσμευτική διαιτησία της επιτροπής της ασπίδας προστασίας (παράρτημα 1 του παραρτήματος II της παρούσας απόφασης). Εκτός από την επιτροπή διαιτησίας, για την επίκληση της οποίας πρέπει πρώτα να έχουν εξαντληθεί ορισμένα άλλα μέσα προσφυγής, τα πρόσωπα είναι ελεύθερα να προσφεύγουν σε οποιονδήποτε ή σε όλους τους μηχανισμούς προσφυγής της επιλογής τους και δεν υποχρεούνται να επιλέγουν ένα μηχανισμό αντί άλλου ή να ακολουθούν συγκεκριμένη σειρά. Ωστόσο, υπάρχει μια συγκεκριμένη λογική σειρά που συνιστάται να ακολουθείται, η οποία περιγράφεται στη συνέχεια.

(43) Πρώτον, τα πρόσωπα από την ΕΕ στα οποία αναφέρονται τα δεδομένα μπορούν να δίνουν συνέχεια σε περιπτώσεις μη συμμόρφωσης με τις Αρχές μέσω απευθείας επαφών με την αυτοπιστοποιούμενη εταιρεία των ΗΠΑ. Για τη διευκόλυνση της επίλυσης, ο οργανισμός πρέπει να θέτει σε εφαρμογή αποτελεσματικό μηχανισμό αποκατάστασης για τον χειρισμό των εν λόγω καταγγελιών. Ως εκ τούτου, η πολιτική για την προστασία της ιδιωτικής ζωής ενός οργανισμού πρέπει να ενημερώνει με σαφήνεια το κοινό σχετικά με την ύπαρξη σημείου επαφής, είτε εντός είτε εκτός του οργανισμού, το οποίο θα χειρίζεται τις καταγγελίες (συμπεριλαμβανομένου οποιουδήποτε συναφούς φορέα στην Ένωση που μπορεί να απαντά σε ερωτήματα ή καταγγελίες) και σχετικά με τους ανεξάρτητους μηχανισμούς χειρισμού καταγγελιών.

(44) Αμέσως μετά την παραλαβή μιας καταγγελίας, απευθείας από το πρόσωπο ή μέσω του Υπουργείου Εμπορίου κατόπιν παραπομπής από ΑΠΔ, ο οργανισμός οφείλει να παράσχει απάντηση στο πρόσωπο στην ΕΕ στο οποίο αναφέρονται τα δεδομένα εντός περιόδου 45 ημερών. Η απάντηση αυτή πρέπει να περιλαμβάνει αξιολόγηση του βάσιμου της καταγγελίας και πληροφορίες για τον τρόπο με τον οποίο ο οργανισμός θα διορθώσει το πρόβλημα. Ομοίως, οι οργανισμοί οφείλουν να απαντούν άμεσα σε ερωτήσεις και άλλα αιτήματα για πληροφορίες που υποβάλλονται από το Υπουργείο Εμπορίου ή από ΑΠΔ (39) (εφόσον οργανισμός έχει δεσμευτεί να συνεργάζεται με τις ΑΠΔ) και αφορούν τη συμμόρφωσή τους με τις Αρχές. Οι οργανισμοί πρέπει να διατηρούν αρχείο σχετικά με την εφαρμογή των πολιτικών τους για την προστασία της ιδιωτικής ζωής και να το καθιστούν διαθέσιμο κατόπιν αίτησης σε ανεξάρτητο μηχανισμό προσφυγής ή στην FTC (ή σε άλλη αρχή των ΗΠΑ που έχει αρμοδιότητα για τη διερεύνηση αθέμιτων και δόλιων πρακτικών) στο πλαίσιο έρευνας ή καταγγελίας περί μη συμμόρφωσης.

(45) Δεύτερον, τα πρόσωπα μπορούν επίσης να υποβάλλουν καταγγελία απευθείας σε ανεξάρτητο φορέα επίλυσης διαφορών (είτε στις ΗΠΑ είτε στην Ένωση) που έχει οριστεί από έναν οργανισμό για τη διερεύνηση και την επίλυση καταγγελιών ιδιωτών (εκτός εάν είναι προφανώς αβάσιμες ή ανούσιες) και για την παροχή κατάλληλου δωρεάν μηχανισμού προσφυγής για ιδιώτες. Οι κυρώσεις και τα διορθωτικά μέτρα που επιβάλλονται από τον εν λόγω φορέα πρέπει να είναι αρκούντως αυστηρά ώστε να διασφαλίζουν τη συμμόρφωση των οργανισμών με τις Αρχές και θα πρέπει να προβλέπουν την άρση ή τη διόρθωση, εκ μέρους του οργανισμού, των αποτελεσμάτων της έλλειψης συμμόρφωσης και, ανάλογα με τις περιστάσεις, τον τερματισμό της περαιτέρω επεξεργασίας των επίμαχων δεδομένων προσωπικού χαρακτήρα και/ή τη διαγραφή τους, καθώς και τη δημοσιοποίηση των διαπιστώσεων περί μη συμμόρφωσης. Οι ανεξάρτητοι φορείς επίλυσης διαφορών που ορίζονται από έναν οργανισμό θα υποχρεούνται να συμπεριλαμβάνουν στους δημόσιους δικτυακούς τους τόπους συναφείς πληροφορίες για την ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ και για τις υπηρεσίες τις οποίες παρέχουν στο πλαίσιο αυτής. Σε ετήσια βάση, πρέπει να δημοσιεύουν ετήσια έκθεση στην οποία θα παρατίθενται συγκεντρωτικά στατιστικά στοιχεία σχετικά με τις εν λόγω υπηρεσίες (40).

(46) Στο πλαίσιο των διαδικασιών του για τον έλεγχο της συμμόρφωσης, το Υπουργείο Εμπορίου θα εξακριβώνει ότι οι αυτοπιστοποιούμενες εταιρείες των ΗΠΑ έχουν πράγματι καταχωριστεί στους ανεξάρτητους μηχανισμούς προσφυγής στους οποίους ισχυρίζονται ότι είναι καταχωρισμένες. Τόσο οι οργανισμοί όσο και οι αρμόδιοι ανεξάρτητοι μηχανισμοί προσφυγής υποχρεούνται να απαντούν αμέσως σε ερωτήματα και αιτήματα για παροχή πληροφοριών τα οποία υποβάλλονται από το Υπουργείο Εμπορίου σχετικά με την ασπίδα προστασίας.

(47) Σε περιπτώσεις που ο οργανισμός δεν συμμορφώνεται με την απόφαση φορέα επίλυσης διαφορών ή αυτορρυθμιζόμενου φορέα, ο εν λόγω φορέας πρέπει να γνωστοποιεί αυτή την έλλειψη συμμόρφωσης στο Υπουργείο Εμπορίου και στην FTC (ή σε άλλη αρχή των ΗΠΑ που έχει αρμοδιότητα για τη διερεύνηση αθέμιτων και δόλιων πρακτικών), ή σε αρμόδιο δικαστήριο (41). Εάν ένας οργανισμός αρνείται να συμμορφωθεί με τελική απόφαση αυτορρυθμιζόμενου φορέα στον τομέα της προστασίας της ιδιωτικής ζωής, ανεξάρτητου φορέα επίλυσης διαφορών ή κυβερνητικού φορέα ή στην περίπτωση που ο εν λόγω φορέας αποφασίσει ότι ένας οργανισμός επανειλημμένως δεν συμμορφώνεται με τις Αρχές, αυτό θα θεωρηθεί επανειλημμένη μη συμμόρφωση, με αποτέλεσμα το Υπουργείο Εμπορίου, κατόπιν παροχής προειδοποίησης 30 ημερών και της ευκαιρίας στον μη συμμορφούμενο οργανισμό να απαντήσει, να διαγράψει τον οργανισμό από τον κατάλογο (42). Εάν, μετά τη διαγραφή από τον κατάλογο, ο οργανισμός συνεχίσει να ισχυρίζεται ότι είναι πιστοποιημένος στο πλαίσιο της ασπίδας προστασίας, το Υπουργείο θα τον παραπέμπει στην FTC ή σε άλλη υπηρεσία επιβολής (43).

(48) Τρίτον, τα πρόσωπα δύνανται επίσης να υποβάλλουν τις καταγγελίες τους στην εθνική αρχή προστασίας δεδομένων. Οι οργανισμοί υποχρεούνται να συνεργάζονται κατά τη διερεύνηση και την επίλυση καταγγελίας από ΑΠΔ είτε όσον αφορά την επεξεργασία δεδομένων ανθρώπινου δυναμικού που συλλέγονται στο πλαίσιο εργασιακής σχέσης ή όταν ο αντίστοιχος μηχανισμός έχει οικειοθελώς υποβληθεί στην εποπτεία των ΑΠΔ. Συγκεκριμένα, οι οργανισμοί οφείλουν να απαντούν σε ερωτήματα, να συμμορφώνονται με τις συμβουλές που διατυπώνει η ΑΠΔ, μεταξύ άλλων και όσον αφορά διορθωτικά ή αντισταθμιστικά μέτρα, καθώς και να παρέχουν στην ΑΠΔ γραπτή επιβεβαίωση της λήψης των εν λόγω μέτρων.

(49) Οι συμβουλές των ΑΠΔ θα δίδονται μέσω ενός ανεπίσημου φορέα των ΑΠΔ που θα συσταθεί σε επίπεδο Ένωσης (44), ο οποίος θα βοηθήσει στην εξασφάλιση μιας εναρμονισμένης και συνεκτικής προσέγγισης σε μια συγκεκριμένη καταγγελία. Οι συμβουλές θα παρέχονται εφόσον και οι δύο πλευρές μιας διαφοράς είχαν την ευκαιρία να υποβάλουν τις παρατηρήσεις τους και να προσκομίσουν τα αποδεικτικά στοιχεία που επιθυμούν. Ο φορέας θα παρέχει συμβουλές στο συντομότερο χρονικό διάστημα που επιτρέπει η απαίτηση τήρησης των διαδικαστικών εγγυήσεων, και κατά κανόνα εντός 60 ημερών από την παραλαβή μιας καταγγελίας. Εάν ένας οργανισμός δεν συμμορφωθεί εντός 25 ημερών από την παροχή της σχετικής συμβουλής και δεν έχει παράσχει ικανοποιητικές εξηγήσεις για την καθυστέρηση, ο εν λόγω φορέας θα γνωστοποιεί την πρόθεσή του είτε να υποβάλει το θέμα στην FTC (ή σε άλλη αρμόδια αρχή επιβολής των ΗΠΑ) είτε να συμπεράνει ότι η δέσμευση συνεργασίας έχει παραβιαστεί σοβαρά. Η πρώτη εναλλακτική επιλογή μπορεί να οδηγήσει σε ενέργειες επιβολής του νόμου βάσει του τμήματος 5 του νόμου περί της Ομοσπονδιακής Επιτροπής Εμπορίου (FTC Act) (ή παρόμοιας νομοθετικής πράξης). Σύμφωνα με τη δεύτερη εναλλακτική επιλογή, ο ως άνω φορέας θα ενημερώσει το Υπουργείο Εμπορίου το οποίο θα θεωρήσει την άρνηση του οργανισμού να συμμορφωθεί με τη συμβουλή του φορέα της ΑΠΔ ως επανειλημμένη μη συμμόρφωση που θα οδηγήσει στη διαγραφή του οργανισμού από τον κατάλογο της ασπίδας προστασίας.

(50) Εάν η ΑΠΔ στην οποία απευθύνεται η καταγγελία δεν προβεί σε καμία ενέργεια ή δεν αναλάβει επαρκή δράση για την αντιμετώπιση μιας καταγγελίας, ο καταγγέλλων ιδιώτης έχει τη δυνατότητα να προσφύγει κατά της εν λόγω δράσης (ή αδράνειας) στα εθνικά δικαστήρια του αντίστοιχου κράτους μέλους.

(51) Οι ιδιώτες μπορούν επίσης να υποβάλλουν καταγγελίες στις ΑΠΔ ακόμη και όταν ο φορέας των ΑΠΔ δεν έχει οριστεί ως φορέας επίλυσης διαφορών του οργανισμού. Στις περιπτώσεις αυτές, η ΑΠΔ μπορεί να παραπέμπει τις καταγγελίες αυτές είτε στο Υπουργείο Εμπορίου είτε στην FTC. Προκειμένου να διευκολύνει και να αυξήσει τη συνεργασία σε θέματα σχετικά με τις μεμονωμένες καταγγελίες και περιπτώσεις μη συμμόρφωσης οργανισμών της ασπίδας προστασίας, το Υπουργείο Εμπορίου θα καθορίσει ειδικό σημείο επαφής που θα ενεργεί ως σύνδεσμος και θα παρέχει συνδρομή σε σχέση με τα ερωτήματα των ΑΠΔ τα οποία αφορούν τη συμμόρφωση ενός οργανισμού με τις Αρχές (45). Ομοίως, η FTC έχει δεσμευτεί να καθορίσει ειδικό σημείο επαφής (46) και να παρέχει ερευνητική συνδρομή στις ΑΠΔ δυνάμει του νόμου των ΗΠΑ για την ασφάλεια του διαδικτύου (U.S. SAFE WEB Act) (47).

(52) Τέταρτον, το Υπουργείο Εμπορίου έχει δεσμευτεί να παραλαμβάνει, να ελέγχει και να καταβάλλει τις βέλτιστες δυνατές προσπάθειες για την εξεύρεση λύσης σε καταγγελίες που αφορούν την έλλειψη συμμόρφωσης ενός οργανισμού με τις Αρχές. Για τον σκοπό αυτόν, το Υπουργείο Εμπορίου παρέχει ειδικές διαδικασίες βάσει των οποίων οι ΑΠΔ μπορούν να παραπέμπουν καταγγελίες σε ειδικό σημείο επαφής, να παρακολουθούν την εξέλιξή τους και να επικοινωνούν εν συνεχεία με τις εταιρείες για τη διευκόλυνση της εξεύρεσης λύσης. Προκειμένου να επιταχυνθεί η διεκπεραίωση των καταγγελιών ιδιωτών, το σημείο επαφής θα επικοινωνεί απευθείας με την αντίστοιχη ΑΠΔ σε θέματα συμμόρφωσης και, ειδικότερα, θα την ενημερώνει για την πορεία των καταγγελιών εντός διαστήματος που δεν υπερβαίνει τις 90 ημέρες από την παραπομπή. Με τον τρόπο αυτόν παρέχεται στα πρόσωπα στα οποία αναφέρονται τα δεδομένα η δυνατότητα να υποβάλλουν καταγγελίες περί μη συμμόρφωσης αυτοπιστοποιούμενων εταιρειών των ΗΠΑ απευθείας στην εθνική τους ΑΠΔ και να εξασφαλίζουν ότι οι καταγγελίες τους θα καταλήξουν στο Υπουργείο Εμπορίου ως αρχή των ΗΠΑ που είναι αρμόδια για τη διαχείριση της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ. Το Υπουργείο Εμπορίου έχει επίσης δεσμευτεί να υποβάλλει, στην ετήσια επανεξέταση της λειτουργίας της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ, έκθεση στην οποία αναλύονται σε συγκεντρωτική μορφή οι καταγγελίες που λαμβάνει ετησίως (48).

(53) Εάν, με βάση τις αυτεπάγγελτες επαληθεύσεις του, καταγγελίες ή οποιαδήποτε άλλη πληροφορία, το Υπουργείο Εμπορίου καταλήξει στο συμπέρασμα ότι ένας οργανισμός παρουσιάζει επανειλημμένη μη συμμόρφωση με τις αρχές προστασίας της ιδιωτικής ζωής, θα διαγράφει τον εν λόγω οργανισμό από τον κατάλογο της ασπίδας προστασίας. Η άρνηση συμμόρφωσης με τελική απόφαση οποιουδήποτε αυτορρυθμιζόμενου φορέα προστασίας της ιδιωτικής ζωής, ανεξάρτητου φορέα επίλυσης διαφορών ή κρατικού φορέα, συμπεριλαμβανομένων των ΑΠΔ, θα θεωρείται επανειλημμένη έλλειψη συμμόρφωσης.

(54) Πέμπτον, ένας οργανισμός της ασπίδας προστασίας πρέπει να υπόκειται στις εξουσίες διεξαγωγής ερευνών και επιβολής των αρχών των ΗΠΑ ιδίως, της Ομοσπονδιακής Επιτροπής Εμπορίου (49) που θα διασφαλίζει αποτελεσματικά τη συμμόρφωση με τις Αρχές. Η FTC θα εξετάζει κατά προτεραιότητα τις παραπομπές για λόγους έλλειψης συμμόρφωσης με τις αρχές προστασίας της ιδιωτικής ζωής τις οποίες λαμβάνει από ανεξάρτητους φορείς επίλυσης διαφορών ή αυτορρυθμιζόμενους φορείς, από το Υπουργείο Εμπορίου και από ΑΠΔ (που ενεργούν με δική τους πρωτοβουλία ή κατόπιν καταγγελιών) προκειμένου να αποφανθεί αν έχει παραβιαστεί το τμήμα 5 του νόμου περί της Ομοσπονδιακής Επιτροπής Εμπορίου (FTC Act) (50) Η FTC έχει δεσμευτεί να δημιουργήσει μια τυποποιημένη διαδικασία παραπομπής, να ορίσει σημείο επαφής στην υπηρεσία για τις παραπομπές από ΑΠΔ και να προβαίνει σε ανταλλαγή πληροφοριών σχετικά με τις παραπομπές. Επιπλέον, θα δέχεται καταγγελίες απευθείας από ιδιώτες και θα αναλαμβάνει τη διενέργεια ερευνών σε σχέση με την ασπίδα προστασίας με δική της πρωτοβουλία, ειδικότερα στο πλαίσιο των ευρύτερων ερευνών της σε θέματα προστασίας της ιδιωτικής ζωής.

(55) Η FTC μπορεί να επιβάλλει τη συμμόρφωση μέσω διοικητικών διαταγών, όπως είναι οι διαταγές κατόπιν συμφωνίας («consent orders»), και θα παρακολουθεί συστηματικά τη συμμόρφωση με τις εν λόγω διαταγές. Σε περίπτωση μη συμμόρφωσης των οργανισμών, η FTC μπορεί να παραπέμψει την υπόθεση στο αρμόδιο δικαστήριο προκειμένου να επιδιώξει την επιβολή αστικών κυρώσεων και άλλων μέσων έννομης προστασίας, μεταξύ άλλων και για κάθε ζημία που προκλήθηκε από την παράνομη συμπεριφορά. Εναλλακτικά, η FTC μπορεί να αιτηθεί απευθείας την έκδοση προσωρινών ή μόνιμων διαταγών για άρση και παράλειψη της προσβολής ή άλλων μέσων έννομης προστασίας από ομοσπονδιακό δικαστήριο. Κάθε διαταγή κατόπιν συμφωνίας που εκδίδεται για οργανισμό της ασπίδας προστασίας θα περιλαμβάνει διατάξεις περί ιδίας υποβολής εκθέσεων (51), και οι οργανισμοί θα υποχρεούνται να δημοσιεύουν όλα τα σχετικά με την ασπίδα προστασίας τμήματα οποιασδήποτε έκθεσης συμμόρφωσης ή έκθεσης αξιολόγησης που υποβάλλεται στην FTC. Τέλος, η FTC θα διατηρεί ηλεκτρονικό κατάλογο των εταιρειών για τις οποίες έχουν εκδοθεί διαταγές της FTC ή δικαστικές διαταγές σε υποθέσεις που άπτονται της ασπίδας προστασίας.

(56) Έκτον, ως έσχατη λύση σε επίπεδο μηχανισμών προσφυγής σε περίπτωση που κανένα από τα υπόλοιπα διαθέσιμα μέσα έννομης προστασίας δεν έχει αποδώσει ικανοποιητική λύση σε καταγγελία ιδιώτη, το πρόσωπο από την ΕΕ στο οποίο αναφέρονται τα δεδομένα μπορεί να επικαλεστεί τη δεσμευτική διαιτησία της «επιτροπής της ασπίδας προστασίας». Οι οργανισμοί πρέπει να ενημερώνουν τα πρόσωπα σχετικά με τη δυνατότητά τους, υπό ορισμένες συνθήκες, να επικαλούνται τη δεσμευτική διαιτησία και υποχρεούνται να ανταποκρίνονται σε αυτό μόλις το πρόσωπο επικαλεστεί την επιλογή αυτή επιδίδοντας κοινοποίηση στον εμπλεκόμενο οργανισμό (52).

(57) Η διαιτητική αυτή επιτροπή θα απαρτίζεται από ένα σύνολο τουλάχιστον 20 διαιτητών που θα οριστούν από το Υπουργείο Εμπορίου και την Ευρωπαϊκή Επιτροπή με κριτήρια την ανεξαρτησία τους, την ακεραιότητά τους καθώς και την πείρα που διαθέτουν στο δίκαιο των ΗΠΑ σχετικά με την προστασία της ιδιωτικής ζωής και στο δίκαιο της Ένωσης σχετικά με την προστασία δεδομένων. Για κάθε μεμονωμένη διαφορά, τα εμπλεκόμενα μέρη θα επιλέγουν από το προαναφερθέν σύνολο μια επιτροπή αποτελούμενη από έναν ή τρεις (53) διαιτητές. Η διαδικασία θα διέπεται από πρότυπους κανόνες διαιτησίας που πρόκειται να συμφωνηθούν μεταξύ του Υπουργείου Εμπορίου και της Επιτροπής. Οι κανόνες αυτές θα συμπληρώνουν το ήδη συμφωνηθέν πλαίσιο το οποίο περιλαμβάνει ορισμένα στοιχεία τα οποία ενισχύουν την προσβασιμότητα του μηχανισμού αυτού για τα πρόσωπα στην ΕΕ στα οποία αναφέρονται τα δεδομένα: i) κατά την κατάρτιση προσφυγής ενώπιον του φορέα, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα μπορεί να λάβει συνδρομή από την εθνική του ΑΠΔ· ii) παρότι η διαδικασία διαιτησίας θα διεξάγεται στις ΗΠΑ, τα πρόσωπα από την ΕΕ στα οποία αναφέρονται τα δεδομένα μπορούν να επιλέξουν να συμμετάσχουν μέσω βιντεοδιάσκεψης ή τηλεδιάσκεψης, η οποία θα παρέχεται στον ιδιώτη χωρίς επιβάρυνση· iii) παρότι η γλώσσα που θα χρησιμοποιείται στη διαδικασία διαιτησίας θα είναι κατά κανόνα η αγγλική, κατόπιν αιτιολογημένου αιτήματος του προσώπου στο οποίο αναφέρονται τα δεδομένα θα παρέχονται συνήθως (54) υπηρεσίες διερμηνείας κατά τη διαδικασία διαιτησίας και υπηρεσίες μετάφρασης, χωρίς επιβάρυνση του προσώπου· iv) τέλος, παρότι καθένα εκ των μερών οφείλει να αναλάβει τα δικά του έξοδα για την αμοιβή δικηγόρου, εφόσον εκπροσωπηθεί από δικηγόρο ενώπιον της επιτροπής, το Υπουργείο Εμπορίου θα συστήσει ταμείο χρηματοδοτούμενο με ετήσιες εισφορές από τους οργανισμούς της ασπίδας προστασίας, το οποίο θα καλύπτει τα επιλέξιμα έξοδα της διαδικασίας διαιτησίας έως ορισμένα μέγιστα ποσά που πρόκειται να καθοριστούν από τις αρχές των ΗΠΑ κατόπιν διαβούλευσης με την Επιτροπή.

(58) Η επιτροπή της ασπίδας προστασίας θα έχει την εξουσία να επιβάλλει «ειδικά ανά ιδιώτη, μη χρηματικά εύλογα μέτρα» (55) που είναι απαραίτητα για τη διόρθωση της μη συμμόρφωσης με τις Αρχές. Παρότι η επιτροπή, κατά την έκδοση της απόφασής της, θα λαμβάνει υπόψη άλλα μέσα έννομης προστασίας που έχουν ήδη εξασφαλιστεί μέσω άλλων μηχανισμών της ασπίδας προστασίας, οι ιδιώτες μπορούν σε κάθε περίπτωση να προσφεύγουν στη διαιτησία εάν θεωρούν ότι τα εν λόγω άλλα μέσα έννομης προστασίας είναι ανεπαρκή. Με τον τρόπο αυτόν θα παρέχεται στα πρόσωπα από την ΕΕ στα οποία αναφέρονται τα δεδομένα η δυνατότητα να επικαλούνται τη διαιτησία σε όλες τις περιπτώσεις όπου η δράση ή η αδράνεια των αρμόδιων αρχών των ΗΠΑ (επί παραδείγματι της FTC) δεν έχει αποδώσει ικανοποιητική λύση στις καταγγελίες τους. Η επίκληση της διαιτησίας δεν είναι δυνατή εάν μια ΑΠΔ διαθέτει νόμιμη εξουσία να επιλύσει την επίμαχη προσφυγή σε σχέση με την αυτοπιστοποιούμενη εταιρεία των ΗΠΑ, ειδικά σε περιπτώσεις στις οποίες ο οργανισμός είτε είναι υποχρεωμένος να συνεργάζεται και να συμμορφώνεται με τις συμβουλές των ΑΠΔ όσον αφορά την επεξεργασία δεδομένων ανθρώπινου δυναμικού που συλλέγονται στο πλαίσιο της απασχόλησης είτε έχει δεσμευτεί οικειοθελώς να το πράττει. Οι ιδιώτες μπορούν να επιτύχουν την εκτέλεση της διαιτητικής απόφασης στα δικαστήρια των ΗΠΑ δυνάμει του ομοσπονδιακού νόμου περί διαιτησίας (Federal Arbitration Act), διασφαλίζοντας έτσι ένα ένδικο βοήθημα σε περίπτωση μη συμμόρφωσης μιας εταιρείας.

(59) Έβδομον, εάν ένας οργανισμός δεν συμμορφώνεται με τη δέσμευσή του να τηρεί τις Αρχές και τη δημοσιευμένη πολιτική του για την προστασία της ιδιωτικής ζωής, μπορεί να διατίθενται πρόσθετα μέσα δικαστικής προσφυγής σύμφωνα με το δίκαιο των ΗΠΑ, που προβλέπουν ένδικα βοηθήματα βάσει του δικαίου περί αδικοπραξιών και σε περιπτώσεις δόλιων ψευδών δηλώσεων, αθέμιτων ή παραπλανητικών πράξεων ή πρακτικών ή αθέτησης σύμβασης.

(60) Επιπροσθέτως, εάν μια ΑΠΔ λάβει προσφυγή ενός προσώπου από την ΕΕ στο οποίο αναφέρονται τα δεδομένα και θεωρήσει ότι η διαβίβαση δεδομένων προσωπικού χαρακτήρα ενός προσώπου σε οργανισμό στις ΗΠΑ πραγματοποιείται κατά παράβαση της νομοθεσίας της Ένωσης για την προστασία των δεδομένων, συμπεριλαμβανομένης της περίπτωσης κατά την οποία ο εξαγωγέας δεδομένων της ΕΕ έχει λόγο να πιστεύει ότι ο οργανισμός δεν συμμορφώνεται με τις Αρχές, μπορεί επίσης να ασκήσει τις εξουσίες της έναντι του εξαγωγέα των δεδομένων και, εάν είναι απαραίτητο, να διατάξει την αναστολή της διαβίβασης των δεδομένων.

(61) Βάσει των πληροφοριών που παρατίθενται στο παρόν τμήμα, η Επιτροπή θεωρεί ότι οι Αρχές που εκδόθηκαν από το Υπουργείο Εμπορίου των ΗΠΑ εξασφαλίζουν οι ίδιες ένα επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που είναι κατ' ουσίαν ισοδύναμο με αυτό που διασφαλίζεται από τις ουσιαστικές βασικές αρχές που προβλέπονται στην οδηγία 95/46/ΕΚ.

(62) Επιπλέον, η αποτελεσματική εφαρμογή των Αρχών κατοχυρώνεται με τις υποχρεώσεις διαφάνειας και τη διαχείριση και τον έλεγχο συμμόρφωσης προς την ασπίδα προστασίας από το Υπουργείο Εμπορίου.

(63) Επιπλέον, η Επιτροπή θεωρεί ότι, συνολικά, οι μηχανισμοί εποπτείας, προσφυγής και επιβολής που προβλέπονται στην ασπίδα προστασίας αφενός παρέχουν τη δυνατότητα να εντοπίζονται και να τιμωρούνται στην πράξη οι παραβιάσεις των Αρχών από τους οργανισμούς της ασπίδας προστασίας και αφετέρου προσφέρουν ένδικα βοηθήματα στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα, ώστε να αποκτά πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που το αφορούν και, εντέλει, να επιτυγχάνει τη διόρθωση ή τη διαγραφή των εν λόγω δεδομένων.

3. ΠΡΟΣΒΑΣΗ ΚΑΙ ΧΡΗΣΗ ΑΠΟ ΔΗΜΟΣΙΕΣ ΑΡΧΕΣ ΤΩΝ ΗΠΑ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΠΟΥ ΔΙΑΒΙΒΑΖΟΝΤΑΙ ΒΑΣΕΙ ΤΗΣ ΑΣΠΙΔΑΣ ΠΡΟΣΤΑΣΙΑΣ ΤΗΣ ΙΔΙΩΤΙΚΗΣ ΖΩΗΣ ΕΕ–ΗΠΑ

(64) Όπως προκύπτει από το παράρτημα II τμήμα I παράγραφος 5, η τήρηση των Αρχών περιορίζεται, στο μέτρο που αυτό είναι αναγκαίο για να πληρούνται απαιτήσεις εθνικής ασφάλειας, δημόσιου συμφέροντος και επιβολής του νόμου.

(65) Η Επιτροπή αξιολόγησε τους περιορισμούς και τις διασφαλίσεις που περιλαμβάνονται στο δίκαιο των ΗΠΑ όσον αφορά την πρόσβαση και τη χρήση δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ από δημόσιες αρχές των ΗΠΑ για λόγους εθνικής ασφάλειας, επιβολής του νόμου και άλλους σκοπούς δημόσιου συμφέροντος. Επιπλέον, η κυβέρνηση των ΗΠΑ, μέσω του Γραφείου του Διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών (Office of the Director of National Intelligence — ODNI) (56), υπέβαλε στην Επιτροπή λεπτομερείς δηλώσεις και δεσμεύσεις που περιλαμβάνονται στο παράρτημα VI της παρούσας απόφασης. Με επιστολή που υπογράφεται από τον Υπουργό Εξωτερικών των ΗΠΑ και επισυνάπτεται ως παράρτημα III της παρούσας απόφασης, η κυβέρνηση των ΗΠΑ έχει επίσης δεσμευτεί να δημιουργήσει έναν νέο μηχανισμό εποπτείας για τις επεμβάσεις για λόγους εθνικής ασφάλειας, τον Διαμεσολαβητή της ασπίδας προστασίας της ιδιωτικής ζωής, ο οποίος είναι ανεξάρτητος από την κοινότητα των υπηρεσιών πληροφοριών. Τέλος, στη δήλωση του Υπουργείου Δικαιοσύνης των ΗΠΑ, η οποία περιλαμβάνεται στο παράρτημα VII της παρούσας απόφασης, περιγράφονται οι περιορισμοί και οι διασφαλίσεις που ισχύουν για την πρόσβαση και χρήση δεδομένων από τις δημόσιες αρχές για σκοπούς επιβολής του νόμου και άλλους σκοπούς δημόσιου συμφέροντος. Προκειμένου να ενισχυθεί η διαφάνεια και να αποτυπωθεί η νομική φύση των δεσμεύσεων αυτών, καθένα από τα έγγραφα που απαριθμούνται και προσαρτώνται στην παρούσα απόφαση θα δημοσιευτεί στην επίσημη εφημερίδα της ομοσπονδιακής κυβέρνησης των ΗΠΑ (Federal Register).

(66) Οι διαπιστώσεις της Επιτροπής σχετικά με τους περιορισμούς στην πρόσβαση και τη χρήση, από τις δημόσιες αρχές των ΗΠΑ, των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση στις Ηνωμένες Πολιτείες της Αμερικής, καθώς και σχετικά με την ύπαρξη αποτελεσματικής νομικής προστασίας αναπτύσσονται αναλυτικότερα στη συνέχεια.

3.1. Πρόσβαση και χρήση από τις δημόσιες αρχές των ΗΠΑ για σκοπούς εθνικής ασφάλειας

(67) Από την ανάλυση της Επιτροπής προκύπτει ότι το δίκαιο των ΗΠΑ προβλέπει ορισμένους περιορισμούς στην πρόσβαση και τη χρήση δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ για σκοπούς εθνικής ασφάλειας, καθώς και μηχανισμούς εποπτείας και αποκατάστασης που παρέχουν επαρκείς διασφαλίσεις για τα δεδομένα που πρέπει να προστατεύονται αποτελεσματικά από παράνομες επεμβάσεις και από τον κίνδυνο κατάχρησης (57). Από το 2013, οπότε η Επιτροπή εξέδωσε τις δύο ανακοινώσεις της (βλέπε αιτιολογική σκέψη 7), το νομικό αυτό πλαίσιο έχει ενισχυθεί σημαντικά, όπως περιγράφεται κατωτέρω.

3.1.1. Περιορισμοί

(68) Σύμφωνα με το Σύνταγμα των ΗΠΑ, η προάσπιση της εθνικής ασφάλειας εμπίπτει στην εξουσία του Προέδρου ως ανώτατου διοικητή και ως ανώτατου εκτελεστικού οργάνου, ο οποίος, όσον αφορά τη χρήση πληροφοριών από την αλλοδαπή, είναι αρμόδιος για την άσκηση της εξωτερικής πολιτικής των ΗΠΑ (58). Παρότι το Κογκρέσο έχει την εξουσία να επιβάλλει περιορισμούς, όπως και το έχει πράξει σε διάφορες περιπτώσεις, εντός των ορίων αυτών ο πρόεδρος μπορεί να κατευθύνει τις δραστηριότητες της κοινότητας των υπηρεσιών πληροφοριών των ΗΠΑ, ιδίως μέσω εκτελεστικών διαταγμάτων ή προεδρικών οδηγιών. Αυτό, ασφαλώς, ισχύει και στους τομείς στους οποίους δεν υφίσταται καθοδήγηση εκ μέρους του Κογκρέσου. Επί του παρόντος, οι δύο κεντρικές νομικές πράξεις εν προκειμένω είναι το εκτελεστικό διάταγμα 12333 («E.O. 12333») (59) και η προεδρική οδηγία πολιτικής (Presidential Policy Directive — PPD) 28.

(69) Με την προεδρική οδηγία πολιτικής 28 («PPD-28»), που εκδόθηκε στις 17 Ιανουαρίου 2014, επιβάλλονται ορισμένοι περιορισμοί για τις σχετικές με τις «πληροφορίες σημάτων» πράξεις (60). Η εν λόγω προεδρική οδηγία έχει δεσμευτική ισχύ για τις αρχές πληροφοριών των ΗΠΑ (61) και παραμένει σε ισχύ κατόπιν αλλαγής της κυβέρνησης των ΗΠΑ (62). Η PPD-28 είναι ιδιαίτερα σημαντική για πρόσωπα που δεν είναι πολίτες των ΗΠΑ, συμπεριλαμβανομένων των προσώπων από την ΕΕ στα οποία αναφέρονται τα δεδομένα. Μεταξύ άλλων, ορίζει ότι: α) η συγκέντρωση πληροφοριών σημάτων πρέπει να βασίζεται σε νόμο ή προεδρική έγκριση και πρέπει να πραγματοποιείται σύμφωνα με το Σύνταγμα των ΗΠΑ (και ειδικότερα την Τέταρτη Τροπολογία) και το δίκαιο των ΗΠΑ· β) κάθε πρόσωπο θα πρέπει να αντιμετωπίζεται με αξιοπρέπεια και σεβασμό, ανεξαρτήτως της ιθαγένειάς του ή του τόπου κατοικίας του· γ) κάθε πρόσωπο έχει έννομο συμφέρον προστασίας της ιδιωτικής του ζωής κατά τον χειρισμό των πληροφοριών προσωπικού χαρακτήρα που το αφορούν· δ) η προστασία της ιδιωτικής ζωής και των ατομικών ελευθεριών αποτελούν αναπόσπαστες παραμέτρους του προγραμματισμού των δραστηριοτήτων που συνδέονται με τις πληροφορίες σημάτων· ε) συνεπώς, οι δραστηριότητες των ΗΠΑ που συνδέονται με τις πληροφορίες σημάτων πρέπει να περιλαμβάνουν κατάλληλες διασφαλίσεις για τις πληροφορίες προσωπικού χαρακτήρα όλων των ατόμων, ανεξαρτήτως της ιθαγένειάς τους ή του τόπου κατοικίας τους.

(70) Η PPD-28 προβλέπει ότι η συλλογή πληροφοριών σημάτων είναι δυνατή αποκλειστικά και μόνον όταν υπάρχει σκοπός σχετικός με πληροφορίες από την αλλοδαπή ή με την αντικατασκοπεία για την υποστήριξη εθνικών και υπουργικών αποστολών, και ότι δεν επιτρέπεται για κανέναν άλλο σκοπό (π.χ. για την επίτευξη ανταγωνιστικού πλεονεκτήματος για τις εταιρείες των ΗΠΑ). Εν προκειμένω, το ODNI αναφέρει ότι οι μονάδες της κοινότητας των υπηρεσιών πληροφοριών «θα πρέπει να απαιτούν, όπου αυτό είναι πρακτικά εφικτό, να εστιάζεται η συλλογή σε συγκεκριμένους στόχους ή θέματα σχετικά με πληροφορίες από την αλλοδαπή μέσω της χρήσης κριτηρίων διάκρισης (π.χ. ειδικών εγκαταστάσεων, όρων επιλογής και αναγνωριστικών)» (63). Επιπλέον, οι δηλώσεις παρέχουν διαβεβαίωση ότι οι αποφάσεις σχετικά με τη συλλογή πληροφοριών δεν επαφίενται στη διακριτική ευχέρεια μεμονωμένων πρακτόρων των υπηρεσιών πληροφοριών, αλλά υπόκεινται στις πολιτικές και τις διαδικασίες τις οποίες οφείλουν να εφαρμόζουν οι διάφορες μονάδες (υπηρεσίες) της κοινότητας των υπηρεσιών πληροφοριών των ΗΠΑ κατ' εφαρμογή της PPD-28 (64). Συνεπώς, η έρευνα και ο προσδιορισμός κατάλληλων κριτηρίων επιλογής πραγματοποιείται σύμφωνα με το συνολικό εθνικό πλαίσιο προτεραιοτήτων για τις υπηρεσίες πληροφοριών (National Intelligence Priorities Framework — NIPF) το οποίο διασφαλίζει ότι οι προτεραιότητες στον τομέα της συλλογής πληροφοριών καθορίζονται από υψηλού επιπέδου φορείς χάραξης πολιτικής και επανεξετάζονται τακτικά προκειμένου να συνεχίζουν να ανταποκρίνονται στις πραγματικές απειλές για την εθνική ασφάλεια και λαμβανομένων υπόψη των πιθανών κινδύνων, συμπεριλαμβανομένων των κινδύνων που άπτονται της προστασίας της ιδιωτικής ζωής (65). Σε αυτή τη βάση, το προσωπικό των υπηρεσιών ερευνά και εντοπίζει ειδικούς όρους επιλογής μέσω των οποίων αναμένεται η συλλογή πληροφοριών από την αλλοδαπή σύμφωνα με τις προτεραιότητες (66). Οι όροι ή τα κριτήρια επιλογής πρέπει να επανεξετάζονται τακτικά προκειμένου να διαπιστώνεται αν εξακολουθούν να παρέχουν χρήσιμες πληροφορίες σύμφωνα με τις προτεραιότητες (67).

(71) Επιπλέον, οι απαιτήσεις που ορίζονται στην PPD-28, σύμφωνα με τις οποίες η συλλογή πληροφοριών σε κάθε περίπτωση (68) πρέπει να είναι «όσο το δυνατόν περισσότερο εξατομικευμένη» και ότι η κοινότητα των υπηρεσιών πληροφοριών δίνει προτεραιότητα στη διαθεσιμότητα άλλων πληροφοριών και κατάλληλων και εφικτών εναλλακτικών λύσεων (69), αντικατοπτρίζουν έναν γενικό κανόνα απόδοσης προτεραιότητας στη στοχευμένη έναντι της μαζικής συλλογής. Σύμφωνα με τη διαβεβαίωση που παρέχεται από το ODNI, διασφαλίζουν ιδίως ότι η μαζική συλλογή δεν πραγματοποιείται ούτε «καθολικά» ούτε «αδιακρίτως» και ότι η εξαίρεση δεν αναιρεί τον κανόνα (70).

(72) Παρότι η PPD-28 διευκρινίζει ότι οι μονάδες της κοινότητας των υπηρεσιών πληροφοριών πρέπει ενίοτε να προβαίνουν σε μαζική συλλογή πληροφοριών σημάτων σε ορισμένες περιστάσεις, για παράδειγμα με σκοπό την αναγνώριση και αξιολόγηση νέων ή αναδυόμενων απειλών, διατάσσει τις εν λόγω μονάδες να χρησιμοποιούν κατά προτεραιότητα εναλλακτικές μεθόδους που καθιστούν δυνατή τη διεξαγωγή στοχευμένης συλλογής πληροφοριών σημάτων (71). Από τα παραπάνω προκύπτει ότι μαζική συλλογή πραγματοποιείται μόνο όταν η στοχευμένη συλλογή μέσω της χρήσης κριτηρίων διάκρισης —π.χ. αναγνωριστικό που συνδέεται με συγκεκριμένο στόχο (όπως η διεύθυνση ηλεκτρονικού ταχυδρομείο ή ο αριθμός τηλεφώνου του στόχου)— δεν είναι εφικτή «λόγω τεχνικών ή επιχειρησιακών παραμέτρων» (72). Αυτό ισχύει τόσο για τον τρόπο με τον οποίο συλλέγονται οι πληροφορίες σημάτων όσο και για το ποιες ακριβώς πληροφορίες συλλέγονται (72).

(73) Σύμφωνα με τις δηλώσεις του ODNI, ακόμη και στην περίπτωση που η κοινότητα υπηρεσιών πληροφοριών δεν μπορεί να χρησιμοποιήσει συγκεκριμένα αναγνωριστικά για στοχευμένη συλλογή, θα καταβάλλει προσπάθειες προκειμένου να περιορίσει τη συλλογή «όσο το δυνατόν περισσότερο». Για τον σκοπό αυτόν, «εφαρμόζει φίλτρα και άλλα τεχνικά εργαλεία για να εστιάσει τη συλλογή στις εγκαταστάσεις εκείνες που είναι πιθανό να περιέχουν επικοινωνίες που έχουν αξία σε επίπεδο πληροφοριών από την αλλοδαπή» (και ως εκ τούτου θα πληρούνται οι απαιτήσεις που θέτουν οι φορείς χάραξης πολιτικής των ΗΠΑ δυνάμει της διαδικασίας που περιγράφεται ανωτέρω στην αιτιολογική σκέψη 70). Κατά συνέπεια, η μαζική συλλογή θα είναι στοχευμένη τουλάχιστον κατά δύο τρόπους: Πρώτον, θα αφορά σε κάθε περίπτωση ειδικούς στόχους συλλογής πληροφοριών από την αλλοδαπή (π.χ. για την απόκτηση πληροφοριών σημάτων σχετικά με τις δραστηριότητες τρομοκρατικής ομάδας που δρα σε συγκεκριμένη περιοχή) και θα εστιάζει τη συλλογή σε επικοινωνίες που έχουν τέτοιου είδους σύνδεση. Σύμφωνα με τη διαβεβαίωση που παρέχεται από το ODNI, αυτό αντικατοπτρίζεται στο γεγονός ότι «οι δραστηριότητες συλλογής πληροφοριών σημάτων των Ηνωμένων Πολιτειών αφορούν μικρό μόνο μέρος των επικοινωνιών που πραγματοποιούνται μέσω του διαδικτύου» (73). Δεύτερον, στις δηλώσεις του ODNI αναφέρεται ότι τα φίλτρα και τα άλλα τεχνικά εργαλεία που χρησιμοποιούνται θα σχεδιαστούν κατά τρόπον ώστε να εστιάζεται η συλλογή «με όσο το δυνατόν μεγαλύτερη ακρίβεια» προκειμένου να διασφαλίζεται η ελαχιστοποίηση της ποσότητας των «μη σχετικών πληροφοριών» που συλλέγονται.

(74) Τέλος, ακόμη και σε περίπτωση που οι ΗΠΑ θεωρήσουν απαραίτητη τη μαζική συλλογή πληροφοριών σημάτων, υπό τις προϋποθέσεις που αναφέρονται στις αιτιολογικές σκέψεις 70-73, η PPD-28 περιορίζει τη χρήση των εν λόγω πληροφοριών σε ειδικό κατάλογο που περιλαμβάνει έξι σκοπούς εθνικής ασφάλειας με στόχο την προστασία της ιδιωτικής ζωής και των ατομικών ελευθεριών όλων των προσώπων, ανεξαρτήτως της ιθαγένειας και του τόπου κατοικίας τους (74). Στους επιτρεπτούς αυτούς σκοπούς περιλαμβάνονται μέτρα για τον εντοπισμό και την αντιμετώπιση απειλών που απορρέουν από κατασκοπεία, τρομοκρατία, όπλα μαζικής καταστροφής, απειλές κατά της κυβερνοασφάλειας, κατά των ενόπλων δυνάμεων ή στρατιωτικού προσωπικού, καθώς και διακρατικών εγκληματικών απειλών που συνδέονται με τους υπόλοιπους πέντε σκοπούς, και θα επανεξετάζονται τουλάχιστον σε ετήσια βάση. Σύμφωνα με τις δηλώσεις της κυβέρνησης των ΗΠΑ, οι μονάδες της κοινότητας των υπηρεσιών πληροφοριών έχουν ενισχύσει τις πρακτικές και τα πρότυπα ανάλυσης που εφαρμόζουν για την αναζήτηση μη αξιολογημένων πληροφοριών σημάτων προκειμένου να συμμορφωθούν με αυτές τις απαιτήσεις· η χρήση στοχευμένων ερωτημάτων «διασφαλίζει ότι μόνον εκείνα τα στοιχεία που θεωρείται ότι έχουν δυνητική αξία από πλευράς πληροφοριών ασφαλείας θα υποβάλλονται στους αναλυτές προς εξέταση» (75).

(75) Οι περιορισμοί αυτοί αφορούν ιδίως τα δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται στο πλαίσιο της ασπίδας προστασίας ΕΕ–ΗΠΑ, ειδικότερα σε περίπτωση που η συλλογή δεδομένων προσωπικού χαρακτήρα πραγματοποιείται εκτός των Ηνωμένων Πολιτειών, συμπεριλαμβανομένης και της μετάβασής τους μέσω των διατλαντικών καλωδίων από την Ένωση προς τις ΗΠΑ. Όπως επιβεβαιώνεται από τις αρχές των ΗΠΑ στις δηλώσεις του ODNI, οι περιορισμοί και οι διασφαλίσεις που καθορίζονται στις εν λόγω δηλώσεις —συμπεριλαμβανομένων εκείνων της PPD-28— ισχύουν για την προαναφερόμενη συλλογή (76).

(76) Μολονότι δεν διατυπώνονται με τους συγκεκριμένους νομικούς όρους, οι εν λόγω αρχές ανταποκρίνονται στην ουσία των αρχών της αναγκαιότητας και της αναλογικότητας. Δίνεται σαφώς προτεραιότητα στη στοχευμένη συλλογή πληροφοριών, ενώ η μαζική συλλογή περιορίζεται σε (εξαιρετικές) περιπτώσεις όπου η στοχευμένη συλλογή δεν είναι δυνατή για τεχνικούς ή επιχειρησιακούς λόγους. Ακόμη και όταν η μαζική συλλογή δεν μπορεί να αποφευχθεί, η περαιτέρω «χρήση» των εν λόγω δεδομένων μέσω της πρόσβασης περιορίζεται αυστηρά σε περιπτώσεις ειδικών, νόμιμων σκοπών εθνικής ασφάλειας (77).

(77) Δεδομένου ότι πρόκειται για οδηγία που εκδόθηκε από τον Πρόεδρο ως το ανώτατο εκτελεστικό όργανο, οι εν λόγω απαιτήσεις δεσμεύουν ολόκληρη την κοινότητα των υπηρεσιών πληροφοριών και έχουν εφαρμοστεί περαιτέρω μέσω κανόνων και διαδικασιών των υπηρεσιών που μεταφέρουν τις γενικές αρχές σε ειδικές οδηγίες για τις καθημερινές δραστηριότητες. Επιπλέον, παρότι το Κογκρέσο αυτό καθαυτό δεν δεσμεύεται από την PPD-28, έλαβε επίσης μέτρα προκειμένου να διασφαλίσει ότι η συλλογή και η πρόσβαση σε δεδομένα προσωπικού χαρακτήρα στις ΗΠΑ είναι στοχευμένες και δεν πραγματοποιούνται σε «γενικευμένη βάση».

(78) Όπως προκύπτει από τις διαθέσιμες πληροφορίες, συμπεριλαμβανομένων των δηλώσεων που έχουν ληφθεί από την κυβέρνηση των ΗΠΑ, άπαξ και τα δεδομένα διαβιβαστούν σε οργανισμούς που είναι εγκατεστημένοι στις ΗΠΑ και έχουν αυτοπιστοποιηθεί στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ, οι υπηρεσίες πληροφοριών των ΗΠΑ δύνανται να ζητούν δεδομένα προσωπικού χαρακτήρα μόνον (78) εφόσον το αίτημά τους συμμορφώνεται με τον νόμο περί παρακολούθησης επικοινωνιών αλλοδαπών υπηρεσιών πληροφοριών (Foreign Intelligence Surveillance Act — FISA) ή υποβάλλεται από το Ομοσπονδιακό Γραφείο Ερευνών (Federal Bureau of Investigation — FBI) βάσει εγγράφου που αποκαλείται Επιστολή Εθνικής Ασφάλειας (National Security Letter — NSL) (79). Υπάρχουν διάφορες νομικές βάσεις στο πλαίσιο του FISA οι οποίες μπορούν να χρησιμοποιηθούν για τη συλλογή (και εν συνεχεία την επεξεργασία) των δεδομένων προσωπικού χαρακτήρα προσώπων από την ΕΕ στα οποία αναφέρονται τα δεδομένα, που διαβιβάζονται στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ. Πέραν του τμήματος 104 του FISA (80) που καλύπτει την παραδοσιακή εξατομικευμένη ηλεκτρονική παρακολούθηση και του τμήματος 402 του FISA (81) σχετικά με την εγκατάσταση συσκευών καταγραφής κλήσεων ή συσκευών εντοπισμού θέσης, τα δύο βασικά νομικά κείμενα είναι το τμήμα 501 του FISA (πρώην τμήμα 215 του αμερικανικού νόμου κατά της τρομοκρατίας — USA PATRIOT ACT) και το τμήμα 702 του FISA (82).

(79) Εν προκειμένω, ο αμερικανικός νόμος για τον περιορισμό της μαζικής συλλογής δεδομένων (USA FREEDOM Act), ο οποίος θεσπίστηκε στις 2 Ιουνίου 2015, απαγορεύει τη μαζική συλλογή αρχείων με βάση το τμήμα 402 του νόμου FISA (άδεια χρήσης συσκευών καταγραφής κλήσεων και συσκευών εντοπισμού θέσης), το τμήμα 501 του νόμου FISA (πρώην τμήμα 215 του αμερικανικού νόμου κατά της τρομοκρατίας — USA PATRIOT ACT) (83) και μέσω της χρήσης NSL, και αντιθέτως απαιτεί τη χρήση ειδικών «όρων επιλογής» (84).

(80) Παρότι ο νόμος FISA περιλαμβάνει περαιτέρω νόμιμες εγκρίσεις για τη διενέργεια δραστηριοτήτων συλλογής πληροφοριών από υπηρεσίες σε εθνικό επίπεδο, συμπεριλαμβανομένων των πληροφοριών σημάτων, από την αξιολόγηση της Επιτροπής προέκυψε ότι, όσον αφορά τα δεδομένα προσωπικού χαρακτήρα που πρόκειται να διαβιβαστούν στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ, οι εν λόγω εγκρίσεις περιορίζουν εξίσου τις παρεμβάσεις από τις δημόσιες αρχές στη στοχευμένη συλλογή και πρόσβαση.

(81) Αυτό είναι σαφές για την παραδοσιακή εξατομικευμένη ηλεκτρονική παρακολούθηση δυνάμει του τμήματος 104 του νόμου FISA (85). Όσον αφορά το τμήμα 702 του FISA, που παρέχει τη βάση για δύο σημαντικά προγράμματα συλλογής πληροφοριών τα οποία τελούν υπό τη διαχείριση των υπηρεσιών πληροφοριών των ΗΠΑ (PRISM, UPSTREAM), πραγματοποιούνται αναζητήσεις με στοχευμένο τρόπο με τη χρήση ατομικών κριτηρίων επιλογής που προσδιορίζουν συγκεκριμένα στοιχεία επικοινωνίας, όπως τη διεύθυνση ηλεκτρονικού ταχυδρομείου ή τον τηλεφωνικό αριθμό του στόχου, αλλά όχι λέξεις κλειδιά, ούτε καν μάλιστα τα ονόματα των στοχευόμενων προσώπων (86). Κατά συνέπεια, όπως επισημαίνεται από την Επιτροπή Εποπτείας της Ιδιωτικής Ζωής και Ατομικών Ελευθεριών (Privacy and Civil Liberties Oversight Board — PCLOB), η παρακολούθηση δυνάμει του τμήματος 702 «συνίσταται εξ ολοκλήρου στη στόχευση συγκεκριμένων προσώπων [που δεν είναι πολίτες των ΗΠΑ] για τα οποία έχει ληφθεί εξατομικευμένη απόφαση» (87). Λόγω ρήτρας λήξης ισχύος, το τμήμα 702 του νόμου FISA θα πρέπει να επανεξεταστεί το 2017, οπότε η Επιτροπή θα πρέπει να επαναξιολογήσει τις διαθέσιμες διασφαλίσεις για τα πρόσωπα από την ΕΕ στα οποία αναφέρονται τα δεδομένα.

(82) Επιπλέον, στις δηλώσεις της, η κυβέρνηση των ΗΠΑ παρέχει στην Ευρωπαϊκή Επιτροπή ρητή διαβεβαίωση ότι η κοινότητα των υπηρεσιών πληροφοριών των ΗΠΑ «δεν επιδίδεται αδιακρίτως σε παρακολούθηση ατόμων, συμπεριλαμβανομένων των απλών ευρωπαίων πολιτών» (88). Όσον αφορά τα δεδομένα προσωπικού χαρακτήρα που συλλέγονται εντός των ΗΠΑ, η δήλωση αυτή υποστηρίζεται από εμπειρικά στοιχεία που υποδεικνύουν ότι τα αιτήματα πρόσβασης μέσω NSL και δυνάμει του νόμου FISA, τόσο σε μεμονωμένη βάση όσο και συγκεντρωτικά, αφορούν μικρό μόνον αριθμό στόχων σε σύγκριση με τη συνολική ροή δεδομένων στο διαδίκτυο (89).

(83) Όσον αφορά την πρόσβαση σε συλλεχθέντα δεδομένα και την ασφάλεια των δεδομένων, η PPD-28 απαιτεί ότι η πρόσβαση «περιορίζεται στα εξουσιοδοτημένα μέλη του προσωπικού που έχουν ανάγκη γνώσης των πληροφοριών για την εκτέλεση της αποστολής τους» και ότι οι πληροφορίες προσωπικού χαρακτήρα «υποβάλλονται σε επεξεργασία και αποθηκεύονται υπό προϋποθέσεις που παρέχουν επαρκή προστασία και εμποδίζουν την πρόσβαση μη εξουσιοδοτημένων προσώπων, σύμφωνα με τις διασφαλίσεις που εφαρμόζονται για τις ευαίσθητες πληροφορίες». Το προσωπικό των υπηρεσιών πληροφοριών λαμβάνει κατάλληλη και επαρκή εκπαίδευση σχετικά με τις αρχές που καθορίζονται στην PPD-28 (90).

(84) Τέλος, όσον αφορά την αποθήκευση και περαιτέρω διάδοση των δεδομένων προσωπικού χαρακτήρα που συλλέγονται από υπηρεσίες πληροφοριών των ΗΠΑ για πρόσωπα από την ΕΕ στα οποία αναφέρονται τα δεδομένα, η PPD-28 ορίζει ότι όλα τα πρόσωπα (συμπεριλαμβανομένων των προσώπων που δεν είναι πολίτες των ΗΠΑ) θα πρέπει να αντιμετωπίζονται με αξιοπρέπεια και σεβασμό, ότι όλα τα πρόσωπα έχουν έννομο συμφέρον ως προς τον χειρισμό των δεδομένων προσωπικού χαρακτήρα που τα αφορούν και ότι, κατά συνέπεια, οι μονάδες της κοινότητας των υπηρεσιών πληροφοριών πρέπει να θεσπίσουν πολιτικές που να παρέχουν κατάλληλες διασφαλίσεις για τα εν λόγω δεδομένα οι οποίες να είναι «εύλογα σχεδιασμένες ώστε να ελαχιστοποιούν τη διάδοση και τη διατήρησή [τους]» (91).

(85) Η κυβέρνηση των ΗΠΑ έχει διευκρινίσει ότι αυτή η απαίτηση περί εύλογου χαρακτήρα σημαίνει ότι οι μονάδες της κοινότητας των υπηρεσιών πληροφοριών δεν υποχρεούνται να εγκρίνουν «οποιοδήποτε μέτρο που θα ήταν θεωρητικά εφικτό», αλλά θα πρέπει να «εξισορροπήσουν τις προσπάθειές τους για την προστασία των έννομων συμφερόντων προστασίας της ιδιωτικής ζωής και των ατομικών ελευθεριών με τις έμπρακτες ανάγκες των δραστηριοτήτων πληροφοριών σημάτων» (92). Εν προκειμένω, οι μη Αμερικανοί θα αντιμετωπίζονται με τον ίδιο τρόπο που αντιμετωπίζονται και οι Αμερικανοί, βάσει διαδικασιών που εγκρίνονται από τον Γενικό Εισαγγελέα (93).

(86) Σύμφωνα με τους κανόνες αυτούς, η διατήρηση εν γένει περιορίζεται σε μέγιστη διάρκεια πέντε ετών, εκτός εάν υπάρχει συγκεκριμένη πρόβλεψη βάσει νόμου ή ρητή απόφαση του Διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών κατόπιν προσεκτικής αξιολόγησης των παραμέτρων προστασίας της ιδιωτικής ζωής —λαμβανομένων υπόψη των απόψεων του υπαλλήλου του ODNI που είναι αρμόδιος για την προστασία των ατομικών ελευθεριών καθώς και υπαλλήλων που είναι αρμόδιοι για την προστασία της ιδιωτικής ζωής και των ατομικών ελευθεριών— ότι η συνέχιση της διατήρησης είναι προς όφελος της εθνικής ασφάλειας (94). Η διάδοση περιορίζεται σε περιπτώσεις στις οποίες οι πληροφορίες είναι σχετικές με τον βασικό σκοπό της συλλογής και ως εκ τούτου ανταποκρίνονται σε εγκεκριμένη απαίτηση συλλογής πληροφοριών από την αλλοδαπή ή απαίτηση επιβολής του νόμου (95).

(87) Σύμφωνα με τις διαβεβαιώσεις που παρείχε η κυβέρνηση των ΗΠΑ, δεν επιτρέπεται η διάδοση πληροφοριών προσωπικού χαρακτήρα ενός ατόμου αποκλειστικά και μόνον επειδή πρόκειται για πρόσωπο που δεν είναι πολίτης των ΗΠΑ και «οι πληροφορίες σημάτων σχετικά με τις καθημερινές δραστηριότητες ενός αλλοδαπού προσώπου δεν θεωρούνται πληροφορίες από την αλλοδαπή που θα μπορούσαν να διαδοθούν ή να διατηρηθούν μόνιμα με βάση αυτό το συγκεκριμένο γεγονός και μόνον, εκτός εάν οι πληροφορίες αυτές ανταποκρίνονται με άλλον τρόπο σε εγκεκριμένη απαίτηση συλλογής πληροφοριών από την αλλοδαπή» (96).

(88) Βάσει όλων των ανωτέρω, η Επιτροπή συμπεραίνει ότι υφίστανται κανόνες στις ΗΠΑ που είναι σχεδιασμένοι έτσι ώστε να περιορίζουν οποιαδήποτε επέμβαση για σκοπούς εθνικής ασφάλειας στα θεμελιώδη δικαιώματα των προσώπων των οποίων τα δεδομένα προσωπικού χαρακτήρα διαβιβάζονται από την Ένωση στις ΗΠΑ στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ στον απολύτως αναγκαίο βαθμό για την επίτευξη του εν λόγω νόμιμου στόχου.

(89) Όπως προέκυψε από την ανωτέρω ανάλυση, το δίκαιο των ΗΠΑ διασφαλίζει ότι τα μέτρα παρακολούθησης θα εφαρμόζονται μόνο για την απόκτηση πληροφοριών από την αλλοδαπή –που αποτελεί νόμιμο στόχο πολιτικής (97) —και θα είναι όσο το δυνατόν περισσότερο εξατομικευμένα. Συγκεκριμένα, η μαζική συλλογή θα επιτρέπεται μόνο κατ' εξαίρεση όταν η στοχευμένη συλλογή δεν είναι εφικτή και θα συνοδεύεται από πρόσθετες διασφαλίσεις για την ελαχιστοποίηση του όγκου των δεδομένων που συλλέγονται και της μετέπειτα πρόσβασης (η οποία θα πρέπει να είναι στοχευμένη και να επιτρέπεται μόνο για συγκεκριμένους σκοπούς).

(90) Κατά την εκτίμηση της Επιτροπής, αυτό συμμορφώνεται με το πρότυπο που έθεσε το Δικαστήριο της ΕΕ στην απόφαση Schrems, σύμφωνα με το οποίο ρύθμιση που συνεπάγεται επέμβαση στα θεμελιώδη δικαιώματα που προστατεύονται από τα άρθρα 7 και 8 του Χάρτη πρέπει να επιβάλλει «ελάχιστο αριθμό απαιτήσεων» (98) και «δεν περιορίζεται στα όρια του απολύτως αναγκαίου εφόσον επιτρέπει κατά γενικευμένο τρόπο τη διατήρηση του συνόλου των δεδομένων προσωπικού χαρακτήρα όλων των προσώπων των οποίων τα δεδομένα διαβιβάστηκαν από την Ένωση στις Ηνωμένες Πολιτείες, χωρίς καμία διαφοροποίηση, περιορισμό ή εξαίρεση σε σχέση με τον επιδιωκόμενο σκοπό και χωρίς να προβλέπεται αντικειμενικό κριτήριο που θα μπορούσε να οριοθετήσει την πρόσβαση των δημόσιων αρχών στα δεδομένα και τη μεταγενέστερη χρήση τους για συγκεκριμένους σκοπούς, αυστηρά περιορισμένους, που μπορούν να δικαιολογήσουν την προσβολή που συνεπάγεται τόσο η πρόσβαση όσο και η χρήση των δεδομένων αυτών» (99). Δεν θα υπάρχει ούτε απεριόριστη συλλογή και διατήρηση δεδομένων όλων των προσώπων χωρίς περιορισμούς, ούτε απεριόριστη πρόσβαση. Επιπλέον, οι δηλώσεις που διαβιβάζονται στην Επιτροπή, συμπεριλαμβανομένης της διαβεβαίωσης ότι οι δραστηριότητες συλλογής πληροφοριών σημάτων των ΗΠΑ αφορούν μικρό μόνο μέρος των επικοινωνιών που πραγματοποιούνται μέσω του διαδικτύου, αποκλείουν το ενδεχόμενο να υπάρχει πρόσβαση «σε γενικευμένη βάση» (100) στο περιεχόμενο των ηλεκτρονικών επικοινωνιών.

3.1.2. Αποτελεσματική δικαστική προστασία

(91) Η Επιτροπή αξιολόγησε τόσο τους μηχανισμούς εποπτείας που υπάρχουν στις ΗΠΑ όσον αφορά τυχόν επέμβαση των υπηρεσιών πληροφοριών των ΗΠΑ σε δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται στις ΗΠΑ όσο και τις διαθέσιμες οδούς μέσω των οποίων τα πρόσωπα από την ΕΕ στα οποία αναφέρονται τα δεδομένα μπορούν να ζητήσουν ατομική έννομη προστασία.

Εποπτεία

(92) Η κοινότητα των υπηρεσιών πληροφοριών των ΗΠΑ υπόκειται σε διάφορους μηχανισμούς ελέγχου και εποπτείας που υπάγονται στις τρεις εξουσίες του κράτους. Μεταξύ αυτών περιλαμβάνονται εσωτερικοί και εξωτερικοί φορείς της εκτελεστικής εξουσίας, ορισμένες επιτροπές του Κογκρέσου, καθώς και δικαστική εποπτεία, η οποία αφορά ειδικά τις δραστηριότητες δυνάμει του νόμου FISA.

(93) Πρώτον, οι δραστηριότητες των αρχών των ΗΠΑ όσον αφορά τη συλλογή πληροφοριών υπόκεινται σε εκτενή εποπτεία από φορείς της εκτελεστικής εξουσίας.

(94) Σύμφωνα με την PPD-28, τμήμα 4(a)(iv), οι πολιτικές και οι διαδικασίες των μονάδων της κοινότητας των υπηρεσιών πληροφοριών «περιλαμβάνουν κατάλληλα μέτρα για τη διευκόλυνση της εποπτείας της εφαρμογής των διασφαλίσεων για την προστασία των πληροφοριών προσωπικού χαρακτήρα»· τα εν λόγω μέτρα θα πρέπει να περιλαμβάνουν περιοδικό έλεγχο (101).

(95) Εν προκειμένω έχουν συγκροτηθεί πολλαπλά επίπεδα εποπτείας, συμπεριλαμβανομένων υπαλλήλων που είναι αρμόδιοι για την προστασία των ατομικών ελευθεριών ή της ιδιωτικής ζωής, γενικών επιθεωρητών, του Γραφείου Προστασίας των Ατομικών Ελευθεριών και της Ιδιωτικής Ζωής του ODNI, της PCLOB, και της Επιτροπής Εποπτείας Υπηρεσιών Πληροφοριών του Προέδρου. Τα εν λόγω καθήκοντα εποπτείας υποστηρίζονται από προσωπικό που είναι αρμόδιο για θέματα συμμόρφωσης σε όλες τις υπηρεσίες (102).

(96) Όπως διευκρινίζεται από την κυβέρνηση των ΗΠΑ (103), υπάλληλοι αρμόδιοι για την προστασία των ατομικών ελευθεριών ή της ιδιωτικής ζωής με αρμοδιότητες εποπτείας υφίστανται σε διάφορα υπουργεία με αρμοδιότητες συλλογής πληροφοριών και σε υπηρεσίες πληροφοριών (104). Παρότι οι ειδικές εξουσίες των εν λόγω υπαλλήλων διαφέρουν κάπως ανάλογα με τον νόμο διά του οποίου τους ανατίθενται οι σχετικές εξουσίες, κατά κανόνα περιλαμβάνουν την εποπτεία των διαδικασιών προκειμένου να διασφαλίζεται ότι το αντίστοιχο υπουργείο/η αντίστοιχη υπηρεσία συνεκτιμά επαρκώς τα ζητήματα προστασίας της ιδιωτικής ζωής και των ατομικών ελευθεριών και ότι εφαρμόζει επαρκείς διαδικασίες για την αντιμετώπιση καταγγελιών από πρόσωπα που θεωρούν ότι η ιδιωτική τους ζωή ή οι ατομικές τους ελευθερίες έχουν παραβιαστεί (και σε ορισμένες περιπτώσεις, όπως στην περίπτωση του ODNI, ενδέχεται να έχουν οι ίδιες οι υπηρεσίες εξουσία διερεύνησης των καταγγελιών (105)). Ο επικεφαλής του υπουργείου/της υπηρεσίας οφείλει, με τη σειρά του, να διασφαλίζει ότι ο εν λόγω υπάλληλος λαμβάνει όλες τις πληροφορίες και ότι του παρέχεται πρόσβαση σε όλο το υλικό που είναι απαραίτητο για την εκτέλεση των καθηκόντων του. Οι υπάλληλοι που είναι αρμόδιοι για την προστασία των ατομικών ελευθεριών και της ιδιωτικής ζωής υποβάλλουν εκθέσεις ανά τακτά διαστήματα στο Κογκρέσο και στην PCLOB, μεταξύ άλλων και όσον αφορά τον αριθμό και τη φύση των καταγγελιών που έχει λάβει το υπουργείο/η υπηρεσία καθώς και σύνοψη της έκβασης των εν λόγω καταγγελιών, των ελέγχων και ερευνών που διενεργήθηκαν και του αντίκτυπου των δραστηριοτήτων που εκτελέστηκαν από τον αρμόδιο υπάλληλο (106). Σύμφωνα με την αξιολόγηση των εθνικών αρχών προστασίας των δεδομένων, η εσωτερική εποπτεία που ασκείται από τους υπαλλήλους που είναι αρμόδιοι για την προστασία των ατομικών ελευθεριών ή της ιδιωτικής ζωής μπορεί να θεωρηθεί «επαρκώς ισχυρή», αν και, κατά την άποψή τους, οι εν λόγω υπάλληλοι δεν διαθέτουν το απαιτούμενο επίπεδο ανεξαρτησίας (107).

(97) Επιπλέον, κάθε μονάδα της κοινότητας πληροφοριών έχει τον δικό της Γενικό Επιθεωρητή με αρμοδιότητα, μεταξύ άλλων, την εποπτεία των δραστηριοτήτων συλλογής πληροφοριών από την αλλοδαπή (108). Αυτό περιλαμβάνει, στο πλαίσιο του ODNI, ένα Γραφείο του Γενικού Επιθεωρητή με πλήρη δικαιοδοσία επί του συνόλου της κοινότητας των υπηρεσιών πληροφοριών και με εξουσιοδότηση για τη διερεύνηση καταγγελιών ή πληροφοριών σχετικά με ισχυρισμούς περί παράνομης συμπεριφοράς ή κατάχρησης εξουσίας, σε σχέση με το ODNI και/ή προγράμματα και δραστηριότητες της κοινότητας των υπηρεσιών πληροφοριών (109). Οι Γενικοί Επιθεωρητές είναι βάσει νόμου ανεξάρτητες (110) μονάδες με αρμοδιότητα διεξαγωγής ελέγχων και ερευνών σχετικά με τα προγράμματα και τις επιχειρήσεις που εκτελούνται από την αντίστοιχη υπηρεσία για σκοπούς συλλογής πληροφοριών από υπηρεσίες σε εθνικό επίπεδο, μεταξύ άλλων για κατάχρηση ή παράβαση του νόμου (111). Είναι εξουσιοδοτημένοι να έχουν πρόσβαση σε όλα τα αρχεία, εκθέσεις, ελέγχους, αξιολογήσεις, τεκμήρια, έγγραφα, συστάσεις ή άλλο σχετικό υλικό, εάν χρειάζεται μέσω κλήτευσης, και μπορούν να λαμβάνουν καταθέσεις μαρτύρων (112). Παρότι οι Γενικοί Επιθεωρητές μπορούν να εκδίδουν μόνο μη δεσμευτικές συστάσεις για διορθωτικά μέτρα, οι εκθέσεις τους, συμπεριλαμβανομένων των εκθέσεων περί μέτρων παρακολούθησης (ή περί μη λήψης τέτοιων μέτρων) δημοσιοποιούνται και επιπροσθέτως αποστέλλονται στο Κογκρέσο το οποίο μπορεί στη βάση αυτή να ασκεί το εποπτικό του καθήκον (113).

(98) Επιπλέον, η Επιτροπή Εποπτείας της Ιδιωτικής Ζωής και των Ατομικών Ελευθεριών (Privacy and Civil Liberties Oversight Board — PCLOB), μια ανεξάρτητη υπηρεσία (114) στο πλαίσιο της εκτελεστικής εξουσίας η οποία απαρτίζεται από δικομματική πενταμελή επιτροπή (115) που διορίζεται από τον Πρόεδρο για καθορισμένη εξαετή θητεία με την έγκριση της Γερουσίας, είναι επιφορτισμένη με αρμοδιότητες στον τομέα των αντιτρομοκρατικών πολιτικών και της εφαρμογής τους, με στόχο την προστασία της ιδιωτικής ζωής και των ατομικών ελευθεριών. Στο πλαίσιο του ελέγχου που ασκεί επί της δράσης της κοινότητας των υπηρεσιών πληροφοριών, μπορεί να έχει πρόσβαση σε όλα τα σχετικά αρχεία, εκθέσεις, ελέγχους, αξιολογήσεις, τεκμήρια, έγγραφα και συστάσεις της υπηρεσίας, συμπεριλαμβανομένων διαβαθμισμένων πληροφοριών, να διεξάγει συνεντεύξεις και να λαμβάνει καταθέσεις μαρτύρων. Λαμβάνει εκθέσεις από τους υπαλλήλους των διαφόρων ομοσπονδιακών υπουργείων/υπηρεσιών που είναι αρμόδιοι για την προστασία των ατομικών ελευθεριών και της ιδιωτικής ζωής (116), μπορεί να εκδίδει συστάσεις προς τους εν λόγω φορείς και υποβάλλει τακτικά εκθέσεις σε επιτροπές του Κογκρέσου και στον Πρόεδρο (117). Η PCLOB είναι επίσης επιφορτισμένη, εντός των ορίων της εντολής της, με το καθήκον να καταρτίσει έκθεση για την αξιολόγηση της εφαρμογής της PPD-28.

(99) Τέλος, οι προαναφερθέντες μηχανισμοί εποπτείας συμπληρώνονται από την Επιτροπή Εποπτείας Υπηρεσιών Πληροφοριών (Intelligence Oversight Board) που έχει συσταθεί στο πλαίσιο της Συμβουλευτικής Επιτροπής Υπηρεσιών Πληροφοριών (Intelligence Advisory Board) του Προέδρου η οποία επιβλέπει τη συμμόρφωση των υπηρεσιών πληροφοριών των ΗΠΑ με το Σύνταγμα και όλους τους ισχύοντες κανόνες.

(100) Για τη διευκόλυνση της εποπτείας, οι μονάδες της κοινότητας των υπηρεσιών πληροφοριών ενθαρρύνονται να σχεδιάσουν πληροφοριακά συστήματα που παρέχουν τη δυνατότητα παρακολούθησης, καταγραφής και ελέγχου των ερωτημάτων ή άλλων αναζητήσεων πληροφοριών προσωπικού χαρακτήρα (118). Οι φορείς εποπτείας και συμμόρφωσης θα ελέγχουν κατά περιόδους τις πρακτικές των μονάδων της κοινότητας των υπηρεσιών πληροφοριών για την προστασία των πληροφοριών προσωπικού χαρακτήρα που περιέχονται σε πληροφορίες σημάτων καθώς και τη συμμόρφωσή τους με τις εν λόγω διαδικασίες (119).

(101) Τα εν λόγω καθήκοντα εποπτείας υποστηρίζονται επιπλέον από εκτενείς απαιτήσεις υποβολής εκθέσεων όσον αφορά περιπτώσεις έλλειψης συμμόρφωσης. Ειδικότερα, οι διαδικασίες των υπηρεσιών πρέπει να διασφαλίζουν ότι όταν προκύπτει σημαντικό ζήτημα συμμόρφωσης σε σχέση με πληροφορίες προσωπικού χαρακτήρα οποιουδήποτε προσώπου, ανεξαρτήτως ιθαγένειας, οι οποίες έχουν συγκεντρωθεί μέσω της συλλογής πληροφοριών σημάτων, το εν λόγω ζήτημα αναφέρεται αμέσως στον επικεφαλής της μονάδας της κοινότητας των υπηρεσιών πληροφοριών που ενημερώνει με τη σειρά του τον Διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών, ο οποίος, σύμφωνα με την PPD-28, καθορίζει αν απαιτούνται τυχόν διορθωτικές ενέργειες (120). Επιπλέον, σύμφωνα με το εκτελεστικό διάταγμα (E.O.) 12333, όλες οι μονάδες της κοινότητας των υπηρεσιών πληροφοριών υποχρεούνται να αναφέρουν στην Επιτροπή Εποπτείας Υπηρεσιών Πληροφοριών τα περιστατικά έλλειψης συμμόρφωσης (121). Οι μηχανισμοί αυτοί διασφαλίζουν ότι το ζήτημα θα αντιμετωπιστεί στο υψηλότερο επίπεδο εντός της κοινότητας των υπηρεσιών πληροφοριών. Σε περίπτωση προσώπου που δεν είναι πολίτης των ΗΠΑ, ο Διευθυντής της Εθνικής Υπηρεσίας Πληροφοριών, κατόπιν διαβούλευσης με τον Υπουργό Εξωτερικών και τον επικεφαλής του υπουργείου ή της υπηρεσίας που έχει προβεί στη σχετική ενημέρωση, καθορίζει αν θα πρέπει να πραγματοποιηθούν ενέργειες προκειμένου να ενημερωθεί η σχετική αλλοδαπή κυβέρνηση, οι οποίες να συνάδουν με την προστασία των πηγών και των μεθόδων καθώς και του προσωπικού των ΗΠΑ (122).

(102) Δεύτερον, πέραν των εν λόγω μηχανισμών εποπτείας στο πλαίσιο της εκτελεστικής εξουσίας, και το Κογκρέσο των ΗΠΑ, ιδίως οι επιτροπές πληροφοριών και δικαιοσύνης της Βουλής των Αντιπροσώπων και της Γερουσίας, διαθέτει αρμοδιότητες εποπτείας σχετικά με όλες τις δραστηριότητες των ΗΠΑ που αφορούν πληροφορίες από την αλλοδαπή, συμπεριλαμβανομένης της συλλογής πληροφοριών σημάτων από τις ΗΠΑ. Σύμφωνα με τον νόμο περί εθνικής ασφάλειας (National Security Act), «[ο] πρόεδρος διασφαλίζει ότι οι επιτροπές πληροφοριών του Κογκρέσου τηρούνται πλήρως και διαρκώς ενήμερες για τις δραστηριότητες συλλογής πληροφοριών των Ηνωμένων Πολιτειών, συμπεριλαμβανομένης οποιασδήποτε σημαντικής προβλεπόμενης δραστηριότητας συλλογής πληροφοριών που απαιτείται από το παρόν υποκεφάλαιο» (123). Επίσης, «[ο] πρόεδρος διασφαλίζει ότι αναφέρεται αμέσως στις επιτροπές πληροφοριών του Κογκρέσου κάθε παράνομη δραστηριότητα συλλογής πληροφοριών, καθώς και κάθε διορθωτική ενέργεια που έχει αναληφθεί ή προγραμματίζεται σε σχέση με την εν λόγω παράνομη δραστηριότητα» (124). Τα μέλη των επιτροπών αυτών έχουν πρόσβαση σε διαβαθμισμένες πληροφορίες καθώς και στις μεθόδους και στα προγράμματα συλλογής πληροφοριών (125).

(103) Μεταγενέστεροι νόμοι έχουν επεκτείνει και προσδιορίσει λεπτομερέστερα τις απαιτήσεις υποβολής εκθέσεων, τόσο για τις μονάδες της κοινότητας των υπηρεσιών πληροφοριών, όσο και για τους σχετικούς Γενικούς Επιθεωρητές και για τον Γενικό Εισαγγελέα. Για παράδειγμα, ο νόμος FISA απαιτεί από τον Γενικό Εισαγγελέα να «ενημερώνει πλήρως» τις επιτροπές πληροφοριών και δικαιοσύνης της Γερουσίας και της Βουλής των Αντιπροσώπων σχετικά με τις δραστηριότητες της κυβέρνησης βάσει ορισμένων τμημάτων του νόμου FISA (126). Απαιτεί επίσης από την κυβέρνηση να υποβάλλει στις επιτροπές του Κογκρέσου «αντίγραφα όλων των αποφάσεων, διαταγών ή γνωμοδοτήσεων του δικαστηρίου δυνάμει του νόμου FISA (Foreign Intelligence Surveillance Court, FISC) ή του δευτεροβάθμιου δικαστηρίου δυνάμει του νόμου FISA (Foreign Intelligence Surveillance Court of Review, FISCR) που περιλαμβάνουν σημαντική διατύπωση ή ερμηνεία» διατάξεων του νόμου FISA. Ειδικότερα, όσον αφορά την παρακολούθηση δυνάμει του τμήματος 702 του νόμου FISA, η εποπτεία ασκείται μέσω της εκ του νόμου επιβεβλημένης υποβολής εκθέσεων προς τις επιτροπές πληροφοριών και δικαιοσύνης, καθώς και μέσω συχνών ενημερώσεων και ακροάσεων. Μεταξύ αυτών συγκαταλέγεται μια εξαμηνιαία έκθεση του Γενικού Εισαγγελέα στην οποία περιγράφεται η χρήση του τμήματος 702 του νόμου FISA, με έγγραφα τεκμηρίωσης που περιλαμβάνουν κυρίως τις εκθέσεις συμμόρφωσης του Υπουργείου Δικαιοσύνης και του ODNI καθώς και περιγραφή τυχόν περιστατικών έλλειψης συμμόρφωσης (127), και μια χωριστή εξαμηνιαία αξιολόγηση από τον Γενικό Εισαγγελέα και τον DNI όπου τεκμηριώνεται η συμμόρφωση με τις διαδικασίες στόχευσης και ελαχιστοποίησης, συμπεριλαμβανομένης της συμμόρφωσης με τις διαδικασίες που έχουν σχεδιαστεί έτσι ώστε να διασφαλίζουν ότι η συλλογή αφορά έγκυρο σκοπό συγκέντρωσης πληροφοριών από την αλλοδαπή (128). Το Κογκρέσο λαμβάνει επίσης εκθέσεις από τους Γενικούς Επιθεωρητές που είναι εξουσιοδοτημένοι να αξιολογούν τη συμμόρφωση των υπηρεσιών με τις διαδικασίες στόχευσης και ελαχιστοποίησης, καθώς και τις κατευθυντήριες γραμμές του Γενικού Εισαγγελέα.

(104) Σύμφωνα με τον νόμο USA FREEDOM Act του 2015, η κυβέρνηση των ΗΠΑ πρέπει να κοινολογεί στο Κογκρέσο (και στο κοινό), κάθε έτος, τον αριθμό των διαταγών και οδηγιών δυνάμει του νόμου FISA που έχουν ζητηθεί και ληφθεί, καθώς και εκτιμήσεις του αριθμού των προσώπων —πολιτών των ΗΠΑ και μη— που αποτέλεσαν στόχο παρακολούθησης, μεταξύ άλλων (129). Ο νόμος απαιτεί ακόμη τη δημόσια υποβολή πρόσθετων εκθέσεων σχετικά με τον αριθμό των NSL που έχουν εκδοθεί, επίσης τόσο για πολίτες των ΗΠΑ όσο και για πρόσωπα που δεν είναι πολίτες των ΗΠΑ (ενώ ταυτόχρονα επιτρέπει στους αποδέκτες διαταγών και πιστοποιήσεων δυνάμει του νόμου FISA, καθώς και αιτημάτων βάσει NSL, να εκδίδουν εκθέσεις διαφάνειας υπό ορισμένες προϋποθέσεις) (130).

(105) Τρίτον, για τις δραστηριότητες συλλογής πληροφοριών εκ μέρους δημόσιων αρχών των ΗΠΑ βάσει του νόμου FISA προβλέπεται η δυνατότητα ελέγχου, και σε ορισμένες περιπτώσεις η εκ των προτέρων έγκριση των μέτρων, από το δικαστήριο δυνάμει του νόμου FISA (FISC) (131), ένα ανεξάρτητο δικαιοδοτικό όργανο (132) του οποίου οι αποφάσεις επιδέχονται προσφυγή ενώπιον του δευτεροβάθμιου δικαστηρίου δυνάμει του νόμου FISA (Foreign Intelligence Surveillance Court of Review — FISCR) (133) και, σε τελευταίο βαθμό, ενώπιον του Ανώτατου Δικαστηρίου των Ηνωμένων Πολιτειών (134). Σε περίπτωση εκ των προτέρων έγκρισης, οι αιτούσες αρχές (FBI, NSA, CIA κ.λπ.) θα πρέπει να υποβάλουν σχέδιο αίτησης στους νομικούς του Τμήματος Εθνικής Ασφάλειας του Υπουργείου Δικαιοσύνης οι οποίοι θα το εξετάσουν και, εάν είναι απαραίτητο, θα ζητήσουν πρόσθετες πληροφορίες (135). Άπαξ και η αίτηση οριστικοποιηθεί, θα πρέπει να εγκριθεί από τον Γενικό Εισαγγελέα, τον Αναπληρωτή Γενικό Εισαγγελέα ή τον Βοηθό Γενικό Εισαγγελέα για θέματα εθνικής ασφάλειας (136). Το Υπουργείο Δικαιοσύνης θα υποβάλει εν συνεχεία την αίτηση στο FISC το οποίο θα την αξιολογήσει και θα εκδώσει προκαταρκτική απόφαση σχετικά με τη συνέχεια που θα πρέπει να δοθεί (137). Όταν πραγματοποιείται ακροαματική διαδικασία, το FISC έχει την εξουσία να λάβει κατάθεση μαρτύρων, που μπορεί να περιλαμβάνει συμβουλές εμπειρογνωμόνων (138).

(106) Το FISC (και το FISCR) επικουρείται από μόνιμη επιτροπή πέντε ατόμων που διαθέτουν πείρα σε θέματα εθνικής ασφάλειας καθώς και ατομικών ελευθεριών (139). Από την εν λόγω ομάδα το δικαστήριο ορίζει ένα άτομο που υπηρετεί ως amicus curiae προκειμένου να συνδράμει στην εξέταση κάθε αίτησης για διαταγή ή αναθεώρηση η οποία, κατά την άποψη του δικαστηρίου, παρουσιάζει νέα ή σημαντική ερμηνεία του νόμου, εκτός εάν το δικαστήριο αποφανθεί ότι δεν είναι σκόπιμος αυτός ο ορισμός (140). Με τον τρόπο αυτόν διασφαλίζεται ειδικότερα ότι οι παράμετροι προστασίας της ιδιωτικής ζωής αποτυπώνονται δεόντως στην εκτίμηση του δικαστηρίου. Το δικαστήριο μπορεί επίσης να ορίζει ένα άτομο ή οργανισμό που θα υπηρετεί ως amicus curiae, συμπεριλαμβανομένης της παροχής τεχνικής εμπειρογνωμοσύνης, όποτε το κρίνει σκόπιμο ή, κατόπιν αιτήματος, μπορεί να επιτρέπει σε άτομο ή οργανισμό να υποβάλει υπόμνημα amicus curiae (141).

(107) Όσον αφορά τις δύο νόμιμες εγκρίσεις παρακολούθησης δυνάμει του νόμου FISA που είναι οι πλέον σημαντικές για τις διαβιβάσεις δεδομένων στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ, η εποπτεία από το FISC διαφοροποιείται.

(108) Σύμφωνα με το τμήμα 501 του νόμου FISA (142), που επιτρέπει τη συλλογή «οιωνδήποτε απτών στοιχείων (συμπεριλαμβανομένων βιβλίων, αρχείων, εγγράφων, τεκμηρίων και άλλων αντικειμένων)», η αίτηση προς το FISC πρέπει να περιέχει δήλωση των πραγματικών περιστατικών που να καταδεικνύει ότι υπάρχει βάσιμος λόγος να θεωρείται ότι τα απτά στοιχεία που ζητούνται είναι σχετικά με εγκεκριμένη έρευνα (πλην αξιολόγησης απειλής) που διενεργείται για την εξασφάλιση πληροφοριών από την αλλοδαπή που δεν αφορούν πρόσωπο από τις ΗΠΑ ή για την προστασία από τη διεθνή τρομοκρατία ή από λαθραίες δραστηριότητες συλλογής πληροφοριών. Επίσης, η αίτηση πρέπει να περιέχει απαρίθμηση των διαδικασιών ελαχιστοποίησης που εγκρίνονται από τον Γενικό Εισαγγελέα για τη διατήρηση και τη διάδοση των συλλεχθεισών πληροφοριών (143).

(109) Αντιθέτως, σύμφωνα με το τμήμα 702 του νόμου FISA (144), το FISC δεν εγκρίνει μέτρα παρακολούθησης σε ατομική βάση· απεναντίας, εγκρίνει προγράμματα παρακολούθησης (όπως το PRISM ή το UPSTREAM) βάσει ετήσιων πιστοποιήσεων που καταρτίζονται από τον Γενικό Εισαγγελέα και τον Διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών. Το τμήμα 702 του νόμου FISA επιτρέπει τη στόχευση προσώπων για τα οποία εύλογα θεωρείται ότι βρίσκονται εκτός των ΗΠΑ με σκοπό τη συγκέντρωση πληροφοριών από την αλλοδαπή (145). Η εν λόγω στόχευση πραγματοποιείται από την NSA σε δύο στάδια: Κατά πρώτον, οι αναλυτές της NSA θα προσδιορίζουν πρόσωπα που δεν είναι πολίτες των ΗΠΑ και βρίσκονται στο εξωτερικό, των οποίων η παρακολούθηση θα οδηγήσει, σύμφωνα με την εκτίμηση των αναλυτών, στις σχετικές πληροφορίες από την αλλοδαπή που προσδιορίζονται στην πιστοποίηση. Κατά δεύτερον, άπαξ και τα συγκεκριμένα πρόσωπα προσδιοριστούν σε εξατομικευμένη βάση και εφόσον η στόχευσή τους εγκριθεί από εκτενή μηχανισμό ελέγχου εντός της NSA (146), θα «καθορίζονται» (δηλαδή θα καταρτίζονται και θα εφαρμόζονται) κριτήρια επιλογής που προσδιορίζουν στοιχεία επικοινωνίας (όπως διευθύνσεις ηλεκτρονικού ταχυδρομείου) που χρησιμοποιούνται από τους στόχους (147). Όπως επισημαίνεται, οι πιστοποιήσεις προς έγκριση από το FISC δεν περιέχουν καμία πληροφορία σχετικά με τα μεμονωμένα άτομα τα οποία στοχεύονται αλλά μάλλον προσδιορίζουν κατηγορίες πληροφοριών από την αλλοδαπή (148). Παρότι το FISC δεν αξιολογεί —βάσει πιθανής αιτίας ή οποιουδήποτε άλλου κριτηρίου— αν τα πρόσωπα στοχεύονται ορθώς με σκοπό τη συγκέντρωση πληροφοριών από την αλλοδαπή (149), ο έλεγχός του αφορά την προϋπόθεση ότι «σημαντικός σκοπός της συγκέντρωσης είναι η απόκτηση πληροφοριών από την αλλοδαπή» (150). Πράγματι, βάσει του τμήματος 702 του FISA, επιτρέπεται στην NSA να συλλέγει στοιχεία από τις επικοινωνίες προσώπων που δεν είναι πολίτες των ΗΠΑ και βρίσκονται εκτός της επικράτειας των ΗΠΑ μόνον εάν υπάρχει βάσιμος λόγος να θεωρείται ότι ένα δεδομένο μέσο επικοινωνίας χρησιμοποιείται με σκοπό την κοινοποίηση πληροφοριών από την αλλοδαπή (π.χ. που σχετίζονται με τη διεθνή τρομοκρατία, τη διάδοση πυρηνικών όπλων ή εχθρικές δραστηριότητες στον κυβερνοχώρο). Οι σχετικές αποφάσεις υπόκεινται σε δικαστικό έλεγχο (151). Οι πιστοποιήσεις πρέπει επίσης να προβλέπουν διαδικασίες στόχευσης και ελαχιστοποίησης των δεδομένων (152). Ο Γενικός Εισαγγελέας και ο Διευθυντής της Εθνικής Υπηρεσίας Πληροφοριών εξακριβώνουν τη συμμόρφωση και οι υπηρεσίες έχουν υποχρέωση να αναφέρουν τυχόν περιστατικά έλλειψης συμμόρφωσης στο FISC (153) (καθώς και στο Κογκρέσο και στην Επιτροπή Εποπτείας Υπηρεσιών Πληροφοριών του Προέδρου), το οποίο δύναται σε αυτή τη βάση να τροποποιήσει την πιστοποίηση (154).

(110) Επιπλέον, για την αύξηση της αποδοτικότητας της εποπτείας που ασκεί το FISC, η κυβέρνηση των ΗΠΑ συμφώνησε να εφαρμόσει σύσταση της PCLOB όσον αφορά την παροχή υλικού στο FISC για την τεκμηρίωση των αποφάσεων στόχευσης δυνάμει του τμήματος 702, συμπεριλαμβανομένου τυχαίου δείγματος φύλλων ανάθεσης, προκειμένου να παράσχει στο FISC τη δυνατότητα να αξιολογήσει με ποιον τρόπο καλύπτεται στην πράξη η απαίτηση του σκοπού συλλογής πληροφοριών από την αλλοδαπή (155). Ταυτόχρονα, η κυβέρνηση των ΗΠΑ αποδέχθηκε και έλαβε μέτρα για την αναθεώρηση των διαδικασιών στόχευσης της NSA για την καλύτερη τεκμηρίωση των λόγων συλλογής πληροφοριών από την αλλοδαπή όσον αφορά τις αποφάσεις στόχευσης (156).

Ατομική έννομη προστασία

(111) Στο πλαίσιο του δικαίου των ΗΠΑ διατίθενται διάφορα μέσα για τα πρόσωπα από την ΕΕ στα οποία αναφέρονται τα δεδομένα, σε περίπτωση που έχουν ανησυχίες για το αν τα δεδομένα προσωπικού χαρακτήρα που τα αφορούν αποτέλεσαν αντικείμενο επεξεργασίας (συλλογής, πρόσβασης κ.λπ.) από μονάδες της κοινότητας των υπηρεσιών πληροφοριών των ΗΠΑ και, εάν ναι, αν τηρήθηκαν οι ισχύοντες περιορισμοί δυνάμει του δικαίου των ΗΠΑ. Αφορούν κατά κύριο λόγο τρεις τομείς: επέμβαση δυνάμει του νόμου FISA· παράνομη, εσκεμμένη πρόσβαση σε δεδομένα προσωπικού χαρακτήρα από υπαλλήλους της κυβέρνησης των ΗΠΑ· και πρόσβαση σε πληροφορίες δυνάμει του νόμου περί ελευθερίας της πληροφόρησης (Freedom of Information Act — FOIA) (157).

(112) Πρώτον, ο νόμος περί παρακολούθησης επικοινωνιών αλλοδαπών υπηρεσιών πληροφοριών (Foreign Intelligence Surveillance Act — FISA) προβλέπει ορισμένα μέσα έννομης προστασίας, τα οποία είναι επίσης διαθέσιμα και σε πρόσωπα που δεν είναι πολίτες των ΗΠΑ, με τα οποία μπορούν να προσφύγουν κατά της παράνομης ηλεκτρονικής παρακολούθησης (158). Μεταξύ αυτών περιλαμβάνεται η δυνατότητα των φ