45

En particular, los considerandos 68, 69, 76, 77, 109, 112 a 116, 120, 136 y 140 de la antedicha Decisión tienen el siguiente tenor: «(68) De conformidad con la Constitución de los Estados Unidos, corresponde al presidente, en su calidad de jefe de Estado y de Gobierno y capitán general de las Fuerzas Armadas, garantizar la seguridad nacional y, por lo que respecta a la inteligencia exterior, administrar los asuntos exteriores del país […]. Si bien el Congreso está facultado para imponer limitaciones, y así lo ha hecho en diversos aspectos, el presidente podrá dirigir dentro de estos límites las actividades de los servicios de inteligencia estadounidenses, en particular mediante executive orders (decretos) o presidential directives (directivas presidenciales). […] En la actualidad, los dos principales instrumentos jurídicos en este sentido son [la] Executive Order 12333 (en lo sucesivo, “EO 12333”) […] y la Presidential Policy Directive 28 (en lo sucesivo, “PPD-28”). (69) La PPD-28, adoptada el 17 de enero de 2014, impone una serie de limitaciones a las operaciones de “inteligencia de señales” […] Esta directiva presidencial es vinculante para los servicios de inteligencia de los Estados Unidos […] y permanece en vigor aunque se produzcan cambios en el Gobierno estadounidense […]. La PPD-28 reviste especial importancia para los ciudadanos no estadounidenses, entre ellos los interesados de la UE. […] […] (76) Aunque no se formule en tales términos jurídicos, estos principios [de la PPD-28] captan la esencia de los principios de necesidad y proporcionalidad. […] (77) Al estar contenidos en una directiva adoptada por el presidente en calidad de Jefe de Gobierno, estos requisitos vinculan a la totalidad de los servicios de inteligencia y se han aplicado asimismo a través de una serie de normas y procedimientos institucionales que incorporan los principios generales a las instrucciones específicas aplicables a sus operaciones cotidianas. […] […] (109) En cambio, con arreglo al artículo 702 de la [Foreign Intelligence Surveillance Act (FISA)], el [United States Foreign Intelligence Surveillance Court (FISC) (Tribunal de Vigilancia de la Inteligencia Exterior de los Estados Unidos)] no autoriza medidas de vigilancia individuales, sino programas de vigilancia (como PRISM o Upstream) sobre la base de certificaciones anuales elaboradas por el [United States Attorney General (fiscal general)] y el [Director of National Intelligence (DNI) (director de Inteligencia Nacional)]. […] Según se indica, las certificaciones que han de recibir el visto bueno del FISC no contienen información sobre las personas objetivo propiamente dichas, sino que identifican categorías de información de inteligencia exterior […]. Aunque el FISC no valora —sobre la base de la existencia de indicios razonables o de cualquier otra norma— si [las personas objetivo seleccionadas son adecuadas] para recabar información de inteligencia exterior […], su control abarca la condición de que uno de los principales fines de la recopilación de datos sea obtener ese tipo de información […] […] (112) En primer lugar, la FISA contempla una serie de recursos, también a disposición de los ciudadanos no estadounidenses, para impugnar la vigilancia electrónica ilegal […]. Esto incluye la posibilidad para las personas de interponer una demanda de indemnización por daños y perjuicios económicos contra los Estados Unidos cuando se haya utilizado o divulgado información sobre ellas de manera intencionada y no autorizada […]; de demandar a funcionarios públicos estadounidenses a título personal (“con apariencia de legalidad”) por daños y perjuicios económicos […]; y de impugnar la legalidad de la vigilancia (y solicitar la supresión de la información) en el supuesto de que el Gobierno de los Estados Unidos pretenda utilizar o divulgar cualquier información obtenida o derivada de la vigilancia electrónica en contra del interesado en diligencias judiciales o administrativas emprendidas en dicho país […] (113) En segundo lugar, el Gobierno estadounidense indicó a la Comisión una serie de vías adicionales que los interesados de la UE podían utilizar para presentar un recurso contra determinados funcionarios por el acceso no autorizado a datos personales y la utilización de estos por parte [d]el Gobierno, incluso con presuntos fines de seguridad nacional […] (114) Por último, el Gobierno de los Estados Unidos ha señalado la [Freedom of information Act (FOIA) (Ley de Libertad de Información)] como instrumento a disposición de los ciudadanos no estadounidenses para solicitar acceso a los registros que obran en poder de los servicios federales, en particular cuando estos contengan datos personales del interesado […]. Tal como está planteada, la FOIA no ofrece una vía de recurso individual propiamente dicha contra las injerencias en los datos personales, si bien podría, en principio, permitir a los interesados obtener acceso a la información pertinente que poseen los servicios de inteligencia nacional. […] (115) Si bien las personas, incluidos los interesados de la UE, disponen, por tanto, de una serie de vías de recurso cuando han sido objeto de vigilancia (electrónica) no autorizada a efectos de seguridad nacional, también es evidente que no están cubiertas todas las bases jurídicas que pueden invocar los servicios de inteligencia estadounidenses (por ejemplo, [la] EO 12333). Además, aunque los ciudadanos no estadounidenses dispongan, en principio, de la posibilidad de recurso jurisdiccional, como en el caso de la vigilancia en virtud de la FISA, los medios de acción previstos son limitados […] y las demandas interpuestas por personas físicas (incluidos los ciudadanos estadounidenses) se declararán improcedentes cuando estas no puedan demostrar su legitimación […], lo que restringe el acceso a los órganos jurisdiccionales ordinarios […] (116) Con miras a proporcionar una vía complementaria de recurso accesible a todos los interesados de la UE, el Gobierno de los Estados Unidos ha decidido crear una nueva figura, a saber, el Defensor del Pueblo, tal como se describe en la carta del Secretario de Estado a la Comisión, contenida en el anexo III de la presente Decisión. Dicha figura se basa en la designación, en virtud de la PPD-28, de un coordinador superior (con la categoría de subsecretario) en el seno del Departamento de Estado como punto de contacto para los gobiernos extranjeros que planteen cuestiones con respecto a las actividades de inteligencia de señales de los Estados Unidos, pero su cometido es mucho más amplio que el concepto original. […] (120) […] El Gobierno de los EE. UU. se compromete a garantizar que, en el ejercicio de sus funciones, el Defensor del Pueblo en el ámbito del Escudo de la privacidad podrá apoyarse en la cooperación de otros mecanismos de verificación del cumplimiento y de supervisión previstos en el Derecho estadounidense. […] En los casos en que se haya detectado algún incumplimiento por parte de uno de estos organismos de supervisión, el servicio de inteligencia en cuestión (por ejemplo, una agencia de inteligencia) deberá corregir el incumplimiento, ya que solo de este modo podrá el Defensor del Pueblo garantizar una respuesta “positiva” a la persona (es decir, que se ha subsanado el incumplimiento), con arreglo al compromiso del Gobierno de los EE. UU. […] […] (136) A la luz de las constataciones anteriormente expuestas, la Comisión considera que los Estados Unidos garantizan un nivel adecuado de protección de los datos personales transferidos desde la Unión a entidades autocertificadas en el marco del Escudo de la privacidad UE‑EE. UU. […] (140) Por último, sobre la base de la información disponible acerca del ordenamiento jurídico de los Estados Unidos, incluidas las declaraciones y compromisos prestados por el Gobierno estadounidense, la Comisión opina que las injerencias de los poderes públicos de los Estados Unidos en los derechos fundamentales de las personas cuyos datos se transfieran desde la Unión a dicho país en el marco del Escudo de la privacidad a efectos de seguridad nacional, aplicación de la ley u otros fines de interés público, y las consiguientes restricciones impuestas a las entidades autocertificadas con respecto a su adhesión a los principios de privacidad, se limitarán a lo estrictamente necesario para alcanzar el objetivo legítimo perseguido, y que existe una tutela judicial efectiva frente a tales injerencias.»