ET Euroopa Liidu Teataja L 207/1

KOMISJONI RAKENDUSOTSUS (EL) 2016/1250,

12. juuli 2016,

isikuandmete kaitse piisavuse kohta ELi-USA andmekaitseraamistikus Privacy Shield vastavalt Euroopa Parlamendi ja nõukogu direktiivile 95/46/EÜ

(teatavaks tehtud numbri C(2016) 4176 all)

(EMPs kohaldatav tekst)

EUROOPA KOMISJON,

võttes arvesse Euroopa Liidu toimimise lepingut,

võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta, (1) eriti selle artikli 25 lõiget 6,

pärast konsulteerimist Euroopa Andmekaitseinspektoriga (2),

1. SISSEJUHATUS

(1) Direktiiviga 95/46/EÜ on kehtestatud eeskirjad isikuandmete edastamiseks liikmesriikidest kolmandatesse riikidesse, kuivõrd edastamine kuulub direktiivi kohaldamisalasse.

(2) Direktiivi 95/46/EÜ artikli 1 ning põhjenduste 2 ja 10 eesmärk on tagada mitte ainult füüsiliste isikute põhiõiguste ja -vabaduste ning eelkõige eraelu puutumatuse põhiõiguse tõhus ja täielik kaitse isikuandmete töötlemisel, vaid ka nende põhiõiguste ja -vabaduste kaitse kõrge tase (3).

(3) Seda, et nii Euroopa Liidu põhiõiguste harta artikliga 7 tagatud põhiõigus eraelu puutumatusele kui ka artikliga 8 tagatud põhiõigus isikuandmete kaitsele on olulised, on lisaks rõhutatud ka Euroopa Kohtu praktikas (4).

(4) Direktiivi 95/46/EÜ artikli 25 lõike 1 kohaselt peavad liikmesriigid sätestama, et isikuandmeid võib kolmandasse riiki edastada üksnes juhul, kui kõnealuses kolmandas riigis on tagatud nende kaitse piisav tase ning enne andmete edastamist järgitakse direktiivi muude sätete rakendamist käsitlevaid liikmesriigi õigusakte. Komisjon võib leida, et kolmas riik tagab kaitse piisava taseme oma siseriikliku õigusega või endale võetud rahvusvaheliste kohustustega eraelu puutumatuse ja üksikisikute põhivabaduste ja -õiguste kaitsmisel. Sel juhul võib liikmesriikidest isikuandmeid edastada ilma lisatagatisteta, kui direktiivi muude sätete kohaselt vastuvõetud siseriiklikest sätetest ei tulene teisiti.

(5) Vastavalt direktiivi 95/46/EÜ artikli 25 lõikele 2 tuleks andmekaitse taset kolmandates riikides hinnata, pidades silmas kõiki andmete edastamise toimingute või andmete edastamise toimingute kogumi asjaolusid, sealhulgas kõnealuses kolmandas riigis kehtivaid nii üldiseid kui ka konkreetse sektori õigusnorme.

(6) Komisjoni otsusega 2000/520/EÜ (5) leiti, et direktiivi 95/46/EÜ artikli 25 lõike 2 tähenduses tagavad programmi Safe Harbour eraelu puutumatuse kaitse põhimõtted, rakendatuna kooskõlas Ameerika Ühendriikide kaubandusministeeriumi poolt välja antud nn korduma kippuvate küsimustega, piisava kaitse taseme liidust Ameerika Ühendriikides asuvatele organisatsioonidele edastatavatele isikuandmetele.

(7) Oma 27. novembri 2013. aasta teatistes COM(2013) 846 final (6) ja COM(2013) 847 final (7) leidis komisjon, et tulenevalt mitmest erinevast tegurist, sealhulgas andmevoogude eksponentsiaalsest kasvust, nende väga suurest tähtsusest Atlandi-ülesele majandusele, programmiga Safe Harbour liituvate USA äriühingute arvu kiirest kasvust ja uuest teabest mõnede USA järelevalveprogrammide ulatuse ja eesmärgi kohta, millega seoses tekkisid küsimused seoses Safe Harbour süsteemiga tagatava kaitse tasemega, tuleb programmi Safe Harbour põhimõtted uuesti üle vaadata ja neid tõhustada. Lisaks tuvastas komisjon programmis Safe Harbour mitmeid puudusi ja vigu.

(8) Tuginedes komisjoni poolt kogutud tõenditele, sealhulgas ELi-USA eraelu puutumatusega tegeleva kontaktrühma (8) töötulemustele ning ELi ja USA ad hoc töörühmalt (9) saadud andmetele USA järelevalveprogrammide kohta, sõnastas komisjon 13 soovitust programmi Safe Harbour läbivaatamiseks. Nimetatud soovitused keskendusid eraelu puutumatust käsitlevate aluspõhimõtete tugevdamisele, eraelu puutumatuse normide läbipaistvuse suurendamisele põhimõtete järgimist kinnitanud USA äriühingutes, USA ametiasutuste paremale järelevalvele, seirele ja kontrollile selle üle, kuidas neid põhimõtteid järgitakse, võimalusele kasutada taskukohaseid vaidluste lahendamise mehhanisme ja vajadusele tagada, et otsuses 2000/520/EÜ sätestatud riikliku julgeoleku ja õiguskaitse erandit kasutatakse ainult rangelt vajalikus ja proportsionaalses ulatuses.

(9) Oma 6. oktoobri 2015. aasta otsusega kohtuasjas C-362/14, Maximillian Schrems vs. Data Protection Commissioner, (10) tunnistas Euroopa Liidu Kohus otsuse 2000/520/EÜ kehtetuks. Kohus, kes ei analüüsinud programmi Safe Harbour eraelu puutumatuse põhimõtteid sisuliselt, leidis, et komisjon ei tõdenud nimetatud otsuses, et Ameerika Ühendriigid siseriikliku õigusega või endale võetud rahvusvaheliste kohustustega tõepoolest „tagavad“ kaitse piisava taseme (11).

(10) Euroopa Kohus selgitas sellega seoses, et ehkki direktiivi 95/46/EÜ artikli 25 lõike 6 mõiste „kaitse piisav tase“ ei tähenda, et kaitse tase peab olema ELi õiguskorraga tagatuga identne, tuleb seda siiski mõista kui nõuet, et kolmas riik tõepoolest tagaks oma siseriikliku õigusega või endale võetud rahvusvaheliste kohustustega põhiõiguste ja -vabaduste kaitse taseme, mis on sisuliselt samaväärne sellega, mis on liidus tagatud vastavalt direktiivile 95/46/EÜ koostoimes põhiõiguste hartaga. Kuigi vahendid, mida kolmas riik sellega seoses kasutab, võivad olla erinevad nendest, mida liidus rakendatakse, peavad need vahendid siiski praktikas osutuma tõhusaks (12).

(11) Euroopa Kohus heitis otsuse 2000/520/EÜ suhtes ette asjaolu, et see ei sisaldanud piisavalt järeldusi selle kohta, kas Ameerika Ühendriikides kehtib riigi tasandil õigusnorme, mille eesmärk oleks piirata võimalikke sekkumisi nende isikute põhiõigustesse, kelle andmeid edastatakse liidust Ameerika Ühendriikidesse, kusjuures neid sekkumisi on selle riigi asutustel lubatud toime panna, kui nad taotlevad õiguspäraseid eesmärke, nagu riiklik julgeolek, ja kas selliste sekkumiste vastu on olemas tõhus õiguslik kaitse (13).

(12) Komisjon alustas 2014. aastal USA ametiasutustega läbirääkimisi, et arutada programmi Safe Harbour tugevdamist vastavalt teatises COM(2013) 847 final esitatud 13 soovitusele. Pärast Euroopa Liidu Kohtu otsust kohtuasjas Schrems neid läbirääkimisi elavdati eesmärgiga jõuda võimaluse korral uue piisavusotsuseni, mis vastaks direktiivi 95/46/EÜ artikli 25 nõuetele kooskõlas Euroopa Liidu Kohtu tõlgendusega. Nende läbirääkimiste tulemuseks on käesolevale otsusele lisatud dokumendid, mis avaldatakse ka USA ametlikus teatajas Federal Register. Eraelu puutumatuse põhimõtted (II lisa) ning lisade I ja III–VII koosseisu kuuluvates dokumentides esitatud erinevate USA ametiasutuste antud kinnitused ja tagatised moodustavad ELi-USA andmekaitseraamistiku Privacy Shield.

(13) Komisjon on põhjalikult uurinud USA seadust ja tava, sealhulgas nimetatud ametlikke kinnitusi ja kohustusi. Põhjendustes 136–140 kirjeldatud järeldusi arvestades leiab komisjon, et Ameerika Ühendriigid tagavad piisava kaitsetaseme isikuandmetele, mis edastatakse ELi-USA andmekaitseraamistiku Privacy Shield alusel liidust põhimõtete järgimist kinnitanud organisatsioonidele Ameerika Ühendriikides.

2. ELI-USA ANDMEKAITSERAAMISTIK PRIVACY SHIELD

(14) ELi-USA andmekaitseraamistik Privacy Shield põhineb kinnituste süsteemil, mille kohaselt USA organisatsioonid kohustuvad järgima teatavaid eraelu puutumatuse põhimõtteid ehk ELi-USA andmekaitseraamistiku Privacy Shield põhimõtteid, sealhulgas täiendavaid põhimõtteid (edaspidi üheskoos „põhimõtted“), mille on välja andnud Ameerika Ühendriikide kaubandusministeerium ja mis on esitatud käesoleva otsuse II lisas. See kehtib nii vastutavatele töötlejatele kui ka volitatud töötlejatele (esindajatele), selle erinevusega, et volitatud töötlejad peavad olema sõlminud lepingu, mille kohaselt nad tegutsevad ainult vastavalt juhistele ELi vastutavalt töötlejalt, keda nad abistavad põhimõtete kohaseid õigusi kasutavate isikute taotlustele reageerimisel (14).

(15) Ilma et see piiraks siseriiklikke sätted, mis on vastu võetud direktiivi 95/46/EÜ alusel, on käesolev otsus sellise toimega, et liidu vastutaval töötlejal või volitatud töötlejal on lubatud andmeid edastada USA organisatsioonidele, kes on kinnitanud Ameerika Ühendriikide kaubandusministeeriumile põhimõtete järgmist ja on kohustunud neid järgima. Põhimõtted kehtivad ainult isikuandmete töötlemisele USA organisatsiooni poolt, kuna selliste organisatsioonide poolne andmete töötlemine ei kuulu liidu õigusaktide kohaldamisalasse (15). Raamistik Privacy Shield ei mõjuta nende liidu õigusaktide kohaldamist, mis käsitlevad isikuandmete töötlemist liikmesriikides (16).

(16) Raamistikuga Privacy Shield isikuandmetele tagatud kaitse laieneb kõikidele ELi andmesubjektidele, (17) kelle isikuandmed on edastatud sellistele USA organisatsioonidele, kes on kinnitanud Ameerika Ühendriikide kaubandusministeeriumile põhimõtete järgmist.

(17) Põhimõtteid kohaldatakse pärast nende kinnitamist viivitamata. On üks erand seoses edasisaatmise põhimõttega seotud vastutusega, seda juhul, kui raamistiku Privacy Shield põhimõtete järgimist kinnitaval organisatsioonil on eelnevalt olemas kaubandussidemed kolmandate isikutega. Kuna nimetatud kaubandussidemete vastavusse viimine andmete edasisaatmise põhimõtte alusel kehtivate eeskirjadega võib osutuda aeganõudvaks, on organisatsioonil kohustus teha seda nii kiiresti kui võimalik ja igal juhul mitte hiljem kui üheksa kuud pärast põhimõtete järgimise kinnitamist (tingimusel et see toimub raamistiku Privacy Shield käivitumispäevale järgneva kahe kuu jooksul). Selle üleminekuaja kestel peab organisatsioon kohaldama teate ja valikuvõimaluse põhimõtet (mis tähendab, et ELi andmesubjektil on keeldumisvõimalus) ja kui isikuandmeid edastatakse kolmandale isikule, kes on esindaja, peab ta tagama, et nimetatud kolmas isik tagab vähemalt samal tasemel kaitse, kui on nõutud põhimõtetes (18). See üleminekuperiood loob mõistliku ja sobiva tasakaalu ühelt poolt andmekaitset käsitleva põhiõiguse järgimise ja teiselt poolt ettevõtjate põhjendatud vajaduse vahel saada piisavalt aega uue raamistikuga kohanemiseks, kuna see sõltub ka nende ärisuhetest kolmandate isikutega.

(18) Süsteemi haldab ja kontrollib kaubandusministeerium vastavalt oma kohustustele, mis on esitatud Ameerika Ühendriikide kaubandusministri kinnitustes (käesoleva otsuse I lisa). Seoses põhimõtete järgimise tagamisega on föderaalne kaubanduskomisjon (edaspidi „FTC“) ja transpordiministeerium andnud kinnitused, mis on esitatud käesoleva otsuse lisas IV ja lisas V.

2.1. Eraelu puutumatuse põhimõtted

(19) Osana ELi-USA andmekaitseraamistiku Privacy Shield põhimõtete järgimise kohta antavast kinnitusest peavad organisatsioonid kohustuma neid põhimõtteid järgima (19).

(20) Vastavalt teate põhimõttele kohustuvad organisatsioonid andma andmesubjektidele teavet nende isikuandmete töötlemise mitmete tähtsaimate aspektide kohta (nt kogutavate andmete liik, töötlemise eesmärk, juurdepääsu- ja valikuõigus, edasisaatmise tingimused ja vastutus). Kaitsemeetmeid on veel, eelkõige organisatsioonidele esitatav nõue avalikustada oma eraelu puutumatuse normid (mis on kooskõlas põhimõtetega) ja esitada lingid kaubandusministeeriumi veebisaidile (millel on üksikasjalikumalt kirjeldatud põhimõtete järgimise kinnitust, andmesubjektide õigusi ja olemasolevaid kaebuste käsitlemise mehhanisme), Privacy Shieldi nimekirjale (millele on viidatud põhjenduses 30) ning sobiliku alternatiivse vaidluste lahendamise organi veebisaidile.

(21) Vastavalt andmete terviklikkuse ja eesmärgi piiramise põhimõttele tohib koguda üksnes töötlemise eesmärgile vastavaid isikuandmeid, mis on kavatsetud kasutuseks usaldusväärsed, täpsed, täielikud ja ajakohased. Organisatsioon ei tohi isikuandmeid töödelda viisil, mis ei vasta eesmärgile, milleks need koguti või milleks andmesubjekt seejärel loa andis. Organisatsioonid peavad veenduma, et isikuandmed on kavatsetud kasutuseks usaldusväärsed, täpsed, täielikud ja ajakohased.

(22) Kui andmete kasutamise uus (muudetud) eesmärk on algsest eesmärgist oluliselt erinev, ent siiski sellega kooskõlas, annab valikuvõimaluse põhimõte andmesubjektidele õiguse esitada vastuväide (opt out). Valikuvõimaluse põhimõte ei asenda sõnaselgelt eesmärgiga vastuolus oleva andmete töötlemise keeldu (20). Otseturundusele kehtivad erieeskirjad, mis võimaldavad keelduda isikuandmete kasutamise lubamisest „igal ajal“ (21). Tundlike andmete korral peab organisatsioonidel üldjuhul olema andmesubjekti konkreetne nõusolek (opt in).

(23) Samuti vastavalt andmete terviklikkuse ja eesmärgi piiramise põhimõttele võib isikuandmeid säilitada kujul, mis võimaldab isikut tuvastada või muuta isiku tuvastatavaks (ja seega isikuandmete kujul) ainult seni, kuni see vastab eesmärgile või eesmärkidele, milleks need algselt koguti või milleks seejärel luba anti. See kohustus ei takista raamistiku Privacy Shield alusel tegutsevatel organisatsioonidel jätkata isikuandmete töötlemist pikema aja vältel, ent ainult nii kaua ja sellises ulatuses, kui see on mõistlikult vajalik järgnevatel konkreetsetel eesmärkidel: arhiveerimine avaliku huvi eesmärgil, ajakirjandus, kirjandus ja kunst, teadus- ja ajaloouuringud ning statistiline analüüs. Andmete pikaajalisemale säilitamisele ühel neist eesmärkidest kohaldatakse põhimõtetega kehtestatud kaitsemeetmeid.

(24) Vastavalt turvalisuse põhimõttele peavad organisatsioonid, mis tekitavad, säilitavad, kasutavad või levitavad isikuandmeid, rakendama „mõistlikke ja kohaseid“ turvameetmeid, võttes arvesse töötlemisega seotud riske ning andmete laadi. Edasise töötlemise korral peavad organisatsioonid sõlmima alltöötlejaga lepingu, millega tagatakse põhimõtetes kehtestatuga samal tasemel kaitse, ja astuma samme selle nõuetekohase rakendamise tagamiseks.

(25) Juurdepääsu põhimõtte (22) alusel on andmesubjektidel õigus ilma põhjendusi esitamata ja ainult mõõduka tasu eest saada organisatsioonilt kinnitus selle kohta, kas kõnealune organisatsioon töötleb nendega seotud isikuandmeid, ja saada mõistliku aja jooksul teavet nende andmete kohta. Seda õigust võib piirata üksnes erandlikel asjaoludel; juurdepääsuõiguse keelamine või piiramine peab olema vajalik ja nõuetekohaselt põhjendatud ning organisatsioonil on kohustus tõendada, et need tingimused on täidetud. Andmesubjektidel peab olema võimalus parandada, muuta või kustutada isikuandmed, mis on ebatäpsed või kui neid on töödeldud põhimõtteid rikkudes. Neis valdkondades, kus on kõige suurem tõenäosus, et ettevõtted töötlevad isikuandmeid automatiseeritult isikut mõjutavate otsuste tegemiseks (näiteks krediidiandmine, hüpoteeklaenud, tööpakkumised), on USA õigusaktidega ette nähtud konkreetsed kaitsemeetmed negatiivsete otsuste eest (23). Nendega on üldjuhul sätestatud, et isikul on õigus saada teavet otsuse (näiteks krediidi andmisest keeldumine) aluseks olevate konkreetsete põhjuste kohta, vaidlustada puudulik või ebatäpne teave (samuti toetumine ebaseaduslikele teguritele) ja nõuda heastamist. Nimetatud eeskirjad tagavad kaitse neil tõenäoliselt piiratud arvuga juhtudel, kui automatiseeritud otsused on teinud raamistiku Privacy Shield alusel tegutsev organisatsioon ise (24). Sellest hoolimata, kuna kaasaegses digitaalmajanduses tehakse isikut mõjutavaid otsuseid üha rohkem automatiseeritud andmetöötluse (muu hulgas profiilianalüüs) abil, tuleb seda valdkonda tähelepanelikult jälgida. Jälgimise hõlbustamiseks on USA ametiasutustega kokku lepitud, et automatiseeritud otsustusprotsess, sealhulgas ELi ja USA sellega seonduva lähenemisviisi sarnasused ja erinevused, kuulub esimese iga-aastase läbivaatamise ja vajaduse korral ka järgmiste läbivaatamiste päevakorda.

(26) Vastavalt kaebuste käsitlemise, nõuete täitmise tagamise ja vastutuse põhimõttele (25) peavad liikmesorganisatsioonid nägema ette tõhusad mehhanismid, millega tagatakse vastavus muudele põhimõtetele ja kaebuste käsitlemise võimalus ELi andmesubjektidele, kelle isikuandmeid on töödeldud põhimõtteid eirates, sealhulgas tõhusad õiguskaitsevahendid. Kui organisatsioon otsustab ELi-USA raamistiku Privacy Shield raames põhimõtete järgimist kinnitada, (26) on tal kohustus põhimõtteid tegelikult järgida. Et organisatsioonil oleks õigus andmekaitseraamistikule Privacy Shield tuginedes jätkuvalt liidust isikuandmeid saada, peab ta enda osalemise raamistikus igal aastal üle kinnitama. Samuti peavad organisatsioonid võtma meetmeid, et kontrollida (27) nende poolt avaldatud eraelu puutumatuse normide vastavust põhimõtetele ja seda, et neid ka tegelikult järgitakse. Selleks saab kasutada enesehindamise süsteemi, mis peab hõlmama sisemenetlusi töötajate koolitamiseks organisatsiooni eraelu puutumatuse normide alal ja nõuete täitmise korrapäraseks objektiivseks kontrollimiseks, või välist vastavuskontrolli, mis võib hõlmata muu hulgas auditeerimist ja pistelist kontrolli. Lisaks peavad organisatsioonid kehtestama kaebuste käsitlemiseks tõhusa õiguskaitsemehhanismi (sellega seoses vt ka põhjendus 43) ning tunnustama uurimis- ja nõuete täitmise tagamise õigusi, mis on FTC-l, transpordiministeeriumil või muul Ameerika Ühendriikide volitatud täitevasutusel, kes tagab praktikas põhimõtete järgimise.

(27) Erieeskirjad kehtivad nn edastamisele, st organisatsiooni poolsele isikuandmete edasisaatmisele kolmandast isikust vastutavale või volitatud töötlejale sõltumata sellest, kas nimetatud töötleja asub Ameerika Ühendriikides või kolmandas riigis väljaspool Ameerika Ühendriike (ja Euroopa Liitu). Nende eeskirjade eesmärk on tagada, et ELi andmesubjektide isikuandmetele tagatud kaitsemeetmeid ei kahjustata ega neist ei saa mööda hiilida andmete edastamisega kolmandatele isikutele. See on eriti asjakohane seoses tänapäeva digitaalmajandusele iseloomulike tavalisest keerukamate töötlemisahelatega.

(28) Kolmandale isikule andmete edastamise eest vastutuse põhimõtte (28) kohaselt võib andmete edastamine toimuda ainult i) piiratud ja konkreetsel eesmärgil, ii) lepingu (või sellega võrdväärse kontsernisisese kokkuleppe) (29) alusel ja iii) juhul kui nimetatud lepingust tuleneb samal tasemel kaitse, kui on tagatud põhimõtetega, mis hõlmab ka nõuet, et põhimõtete kohaldamist on võimalik piirata ainult ulatuses, mis on vajalik riikliku julgeoleku, õiguskaitse ja muu avaliku huvi tagamise eesmärgil (30). Seda tuleks lugeda koostoimes teate põhimõtte ja kolmandast isikust vastutavale töötlejale edasisaatmise korral (31) valiku põhimõttega, mille kohaselt andmesubjektidele tuleb teada anda (muu hulgas) kolmandast isikust andmete vastuvõtja liik/isik, andmete edastamise eesmärk ja pakutud valik; ka tuleb neid teavitada võimalusest edasisaatmisest keelduda (opt out) või tundlike andmete korral sellest, et nad peavad selleks andma oma konkreetse nõusoleku (opt in). Andmete terviklikkuse ja eesmärgi piiramise põhimõtet arvestades eeldatakse kohustusega anda samal tasemel kaitse, kui on tagatud põhimõtetega, et kolmas isik tohib talle edastatud isikuandmeid töödelda ainult eesmärkidel, mis ei ole vastuolus nende eesmärkidega, milleks andmed algselt koguti või milleks isik seejärel loa andis.

(29) Kohustus tagada samal tasemel kaitse nagu põhimõtetes nõutud, kehtib kõigile kolmandatele isikutele, kes on andmete töötlemisega seotud, sõltumata nende asukohast (USA või muu kolmas riik), samuti juhul kui algne kolmandast isikust andmete vastuvõtja ise edastab nimetatud andmed muule kolmandast isikust vastuvõtjale, näiteks edasise töötlemise eesmärgil. Igal juhul tuleb kolmanda isikuga sõlmitud lepingus ette näha, et nimetatud kolmas isik teavitab raamistiku Privacy Shield alusel tegutsevat organisatsiooni, kui ta leiab, et ei suuda enam seda kohustust täita. Kui selline järeldus tehakse, lõpetab kolmas isik andmete töötlemise või tuleb astuda muid mõistlikke ja asjakohaseid samme olukorra parandamiseks (32). Juhul kui andmete (edasise) töötlemise ahelas tekivad probleemid nõuetele vastavusega, peab raamistiku Privacy Shield alusel tegutsev organisatsioon, kes tegutseb isikuandmete vastutava töötlejana, tõestama, et ta ei ole vastutav sündmuse eest, mille tagajärjel kahju tekkis, või võtma muul viisil vastutuse vastavalt kaebuste käsitlemise, täitmise tagamise ja vastutuse põhimõttele. Andmete edastamisel kolmandast isikust esindajale kehtivad täiendavad kaitsemeetmed (33).

2.2. ELi-USA raamistiku Privacy Shield läbipaistvus, haldamine ja järelvalve

(30) ELi-USA raamistikuga Privacy Shield on ette nähtud järelevalve- ja nõuete täitmise tagamise mehhanismid, et kontrollida põhimõtete järgimist nende järgimist kinnitanud USA ettevõtetes ning tagada, et iga eiramise suhtes võetakse meetmed. Nimetatud mehhanismid on sätestatud põhimõtetes (II lisa) ja kohustustes, mille on võtnud kaubandusministeerium (I lisa), FTC (IV lisa) ja transpordiministeerium (V lisa).

(31) ELi-USA raamistiku Privacy Shield nõuetekohase rakendamise tagamiseks peab huvitatud osapooltel, nagu andmesubjektid, andmeeksportijad ja riiklikud andmekaitseasutused (edaspidi „DPAd“), olema võimalik kindlaks teha organisatsioonid, kes põhimõtteid järgivad. Sel otstarbel on kaubandusministeerium võtnud kohustuse hoida ja avalikkusele kättesaadavaks teha loetelu organisatsioonidest, kes on kinnitanud põhimõtete järgimist ning kuuluvad vähemalt ühe käesoleva otsuse I ja II lisas loetletud täitevasutuse pädevusse (edaspidi „Privacy Shieldi nimekiri“) (34). Kaubandusministeerium uuendab seda nimekirja organisatsioonide iga-aastaste korduskinnituste teatiste alusel ja iga kord, kui mõni organisatsioon loobub osalemisest ELi-USA raamistikus Privacy Shield või sellest eemaldatakse. Samuti kogub ja avalikustab ta usaldusväärseid andmeid organisatsioonide kohta, kes on nimekirjast kustutatud, märkides igaühe kohta ära ka kustutamise põhjuse. Lõpuks lisab ta lingi FTC poolt käsitletavate andmekaitseraamistikuga Privacy Shield seotud täitemenetluste loetelule, mis on avaldatud FTC veebisaidil.

(32) Kaubandusministeerium teeb nii Privacy Shieldi nimekirja kui ka korduskinnituste teatised vastava veebisaidi vahendusel avalikult kättesaadavaks. Põhimõtete järgimist kinnitanud organisatsioonid peavad omakorda esitama ministeeriumi veebilehel oleva Privacy Shieldi nimekirja veebiaadressi. Kui organisatsiooni eraelu puutumatuse normid on kättesaadavad veebis, siis peab neis sisalduma hüperlink andmekaitseraamistiku Privacy Shield veebilehele või hüperlink lahendamata kaebuste uurimiseks ettenähtud sõltumatu kaebuste käsitlemise mehhanismi veebilehele või kaebuse esitamise vormile. Kaubandusministeerium kontrollib seoses organisatsiooni poolse esimese ja iga järgneva andmekaitseraamistikuga seotud kinnituse andmisega, et organisatsiooni eraelu puutumatuse normid oleksid põhimõtetega kooskõlas.

(33) Organisatsioonid, kes ei järgi põhimõtteid püsivalt, eemaldatakse Privacy Shieldi nimekirjast ning nad peavad tagastama või kustutama isikuandmed, mille nad ELi-USA raamistiku Privacy Shield raames said. Muudel nimekirjast eemaldamise juhtudel, näiteks vabatahtliku lahkumise või korduvkinnituse andmata jätmise korral, võib organisatsioon sellised andmed säilitada, kui ta kinnitab kaubandusministeeriumile igal aastal põhimõtetest kinnipidamist või tagab isikuandmetele asjakohase kaitse teiste lubatud meetoditega (näiteks kasutades lepingut, mis sisaldab täies ulatuses asjakohaseid standardseid komisjoni poolt heakskiidetud lepingusätteid). Sel juhul peab organisatsioon määrama enda organisatsioonis kontaktpunkti kõigi andmekaitseraamistikuga Privacy Shield seotud küsimuste jaoks.

(34) Kaubandusministeerium jälgib organisatsioone, kes ei osale enam ELi-USA raamistikus Privacy Shield kas sellepärast, et nad on vabatahtlikult sellest loobunud või siis sellepärast, et nende kinnituse kehtivus on lõppenud, et teha kindlaks, kas nad tagastavad, kustutavad või säilitavad (35) varem raamistiku alusel saadud isikuandmed. Juhul kui organisatsioonid andmed säilitavad, on neil kohustus jätkata nende andmete suhtes põhimõtete kohaldamist. Juhul kui kaubandusministeerium on organisatsioonid raamistikust kõrvaldanud püsiva põhimõtetele mittevastavuse tõttu, tagab ta, et need organisatsioonid tagastavad või kustutavad raamistiku alusel saadud isikuandmed.

(35) Kui organisatsioon lahkub mingil põhjusel ELi-USA raamistikust Privacy Shield, peab ta kustutama kõik avalikud viited, nagu jätkaks organisatsioon ELi-USA raamistikus Privacy Shield osalemist või omaks sellest tulenevaid õigusi, eelkõige enda avaldatud eraelu puutumatuse normides sisalduvad viited ELi-USA raamistikule Privacy Shield. Kaubandusministeerium otsib osalemise kohta esitatud valeväiteid ja võtab nendega seoses meetmeid, sealhulgas juhul, kui need on esitanud endised liikmed (36).Juhul kui organisatsioon on esitanud üldsusele eksitavate väidete või tavade kujul mis tahes valeandmeid põhimõtete järgimise kohta, võtavad FTC, transpordiministeerium või muu asjakohane USA täitevasutus täitemeetmeid; kaubandusministeeriumile valeandmete esitamine on hagetav valeandmete seaduse alusel (False Statements Act, 18 U.S.C. § 1001) (37).

(36) Kaubandusministeerium jälgib ametiülesande korras valeväiteid raamistikus Privacy Shield osalemise kohta ja sellele vastavust tõendava tähise väärkasutust ning DPAd võivad esitada ministeeriumi spetsiaalsele kontaktpunktile taotlusi organisatsioonide kontrollimiseks. Kui organisatsioon on ELi-USA andmekaitseraamistikust Privacy Shield lahkunud, ei ole esitanud iga-aastast kinnitust või on Privacy Shieldi nimekirjast kustutatud, kontrollib kaubandusministeerium jooksvalt, et ta oleks kustutanud enda avaldatud eraelu puutumatuse normidest kõik viited, nagu osaleks ta endiselt kõnealuses raamistikus, ning kui ta valeväidete esitamist ei lõpeta, edastab asja menetlemiseks FTC-le, transpordiministeeriumile või muule pädevale asutusele, kes võib võtta täitemeetmeid. Ministeerium saadab välja ka küsimustikud organisatsioonidele, kelle esitatud kinnitused põhimõtete järgimise kohta on aegunud või kes on vabatahtlikult andmekaitseraamistikust Privacy Shield lahkunud, et teha kindlaks, kas organisatsioon tagastab või kustutab isikuandmed, mille ta sai raamistikus osalemise ajal või jätkab ta nende andmete kasutamist ja eraelu puutumatuse põhimõtete rakendamist, ning kui isikuandmed säilitatakse, teeb kindlaks, kellele selles organisatsioonis edaspidi edastada andmekaitseraamistikuga Privacy Shield seotud küsimused.

(37) Kaubandusministeerium viib jooksvalt läbi põhimõtete järgimist kinnitanud organisatsioonide ametikohustuslikke vastavuskontrolle, (38) sealhulgas saates üksikasjalikke küsimustikke. Samuti viib ta regulaarselt läbi kontrolle juhul, kui talle on esitatud konkreetne (tõsiseltvõetav) kaebus organisatsiooni vastavuse kohta, kui organisatsioon ei vasta rahuldavalt ministeeriumi järelepärimistele või kui on olemas usutavad tõendid, et organisatsioon võib mitte vastata põhimõtetele. Kui see on asjakohane, konsulteerib kaubandusministeerium nimetatud vastavuskontrollidega seoses DPAdega.

2.3. Õiguskaitsemehhanismid, kaebuste käsitlemine ja nõuete täitmise tagamine

(38) ELi-USA raamistiku Privacy Shield kaebuste käsitlemise, täitmise tagamise ja vastutuse põhimõtte kohaselt peavad organisatsioonid nägema ette kaebuste käsitlemise mehhanismi isikutele, keda põhimõtete järgimata jätmine mõjutab, ja seega võimaluse ELi andmesubjektidele esitada kaebusi seoses põhimõtete järgimist kinnitatud USA ettevõte nõuetele mittevastavusega ning et saada neile kaebustele lahendus, vajaduse korral tõhusat õiguskaitset pakkuva otsusega.

(39) Osana põhimõtete järgimise kinnitamisest peavad organisatsioonid vastama kaebuste käsitlemise, nõuete täitmise tagamise ja vastutuse põhimõtte nõuetele, nähes ette kergesti kättesaadavad sõltumatud kaebuste käsitlemise mehhanismid, mille abil iga üksikisiku kaebusi ja vaidlusi uuritakse ja need lahendatakse tulemuslikult, selle eest üksikisikult tasu küsimata.

(40) Organisatsioonid võivad valida kas liidus või Ameerika Ühendriikides paiknevad sõltumatud kaebuste käsitlemise mehhanismid. Sealhulgas on võimalus võtta vabatahtlikult kohustus teha koostööd ELi DPAdega. Ent juhul kui organisatsioon töötleb personaliandmeid, nimetatud valik puudub ja koostöö DPAdega on sel juhul kohustuslik. Muud võimalused on sõltumatu alternatiivne vaidluste lahendamine või erasektori poolt välja töötatud eraelu puutumatuse programmid, mille eeskirjadesse on lisatud eraelu puutumatuse põhimõtted. Programmid peavad kooskõlas kaebuste käsitlemise, nõuete täitmise tagamise ja vastutuse põhimõtte nõuetega hõlmama tõhusaid nõuete täitmise tagamise mehhanisme. Organisatsioonidel on kohustus hüvitada kõik nõuete eiramise probleemid. Samuti peavad nad täpsustama, et nad tunnustavad FTC, transpordiministeeriumi või muu Ameerika Ühendriikide täitevasutuse uurimis- ja nõuete täitmise tagamise õigusi.

(41) Sellest tulenevalt annab raamistik Privacy Shield andmesubjektidele mitu võimalust oma õiguste kasutamiseks, kaebuste esitamiseks seoses põhimõtete järgimist kinnitanud USA ettevõte nõuetele mittevastavusega ning neile kaebustele lahenduse saamiseks, vajaduse korral tõhusat õiguskaitset pakkuva otsusega. Üksikisikud võivad esitada oma kaebuse otse organisatsioonile, organisatsiooni poolt viidatud sõltumatule vaidluste lahendamise organile, riiklikele DPAdele või FTC-le.

(42) Juhul kui ühegi sellise kaebuste käsitlemise või nõuete täitmise tagamise mehhanismi abil kaebusele lahendust ei leita, on üksikisikutel samuti õigus algatada Privacy Shieldi paneelis siduv vahekohtumenetlus (käesoleva otsuse II lisa 1. lisa). Üksikisikud võivad vabal valikul kasutada ükskõik millist õiguskaitsemehhanismi või neid kõiki ning neil ei ole kohustust eelistada üht mehhanismi teisele ega järgida konkreetset järjekorda; erandiks on vahekohus, kus menetluse algatamise eeltingimuseks on teatud õiguskaitsevahendite ammendumine. Sellest hoolimata on soovitatav järgida teatud loogikat, mis on esitatud järgnevalt.

(43) Esiteks võivad ELi andmesubjektid esitada kaebused põhimõtete järgimata jätmise kohta otse põhimõtete järgimist kinnitanud USA ettevõttele. Selliste kaebuste lahendamise soodustamiseks peab organisatsioon nende menetlemiseks kehtestama tõhusa õiguskaitsemehhanismi. Organisatsiooni eraelu puutumatuse normides tuleb seega esitada üksikisikutele selge teave, mis käsitleb kas organisatsioonisisest või -välist kontaktpunkti, mille kaudu kaebusi käsitletakse (selleks võib olla ka ükskõik milline asjakohane asutus liidus, kes on pädev järelepärimistele või kaebustele vastama), ja sõltumatuid kaebuste käsitlemise mehhanisme.

(44) Üksikisiku esildise saamisel kas otse üksikisikult või kaubandusministeeriumilt, kellele selle on edastanud DPA, peab organisatsioon 45 päeva jooksul ELi andmesubjektile vastama. Vastus peab hõlmama hinnangut kaebuse põhjendatuse kohta ning teavet selle kohta, kuidas organisatsioon probleemi heastab. Samuti peavad organisatsioonid kiiresti reageerima päringutele, mille on esitanud kaubandusministeerium või DPA (39) (juhul kui organisatsioon on kohustunud DPAga koostööd tegema) ja mis käsitlevad nendepoolset põhimõtete järgimist. Organisatsioonid peavad säilitama dokumendid oma eraelu puutumatuse normide rakendamise kohta ja tegema need mittevastavuse uurimise või sellekohase kaebuse korral nõudmisel kättesaadavaks sõltumatule kaebuste käsitlemise mehhanismile või FTC-le (või mis tahes muule USA ametiasutusele, kellel on pädevus kõlvatute tavade või pettuse uurimiseks).

(45) Teiseks võivad üksikisikud esitada kaebuse otse sõltumatule vaidluste lahendamise organile (kas Ameerika Ühendriikides või liidus), kelle organisatsioon on määranud ning kes uurib ja lahendab üksikkaebusi (välja arvatud juhul, kui need on selgelt alusetud või tõsiseltvõetamatud) ja osutab üksikisikutele tasuta vajalikku abi. Sellise organi poolt kohaldatavad karistused ja heastamismeetmed peavad olema piisavalt ranged, et tagada organisatsioonide vastavus põhimõtetele, ja nendega tuleks ette näha mittevastavuse mõju heastamine organisatsiooni poolt ning sõltuvalt olukorrast asjaomaste andmete töötlemise lõpetamine ja/või nende kustutamine, samuti avastatud põhimõtete järgimata jätmise avalikustamine. Organisatsiooni määratud sõltumatud vaidluste lahendamise organid peavad oma veebisaidil esitama asjakohase teabe seoses ELi-USA andmekaitseraamistikuga Privacy Shield ning teenustega, mida nad selle raames osutavad. Igal aastal peavad nad avaldama nende vaidluste lahendamise teenuse kohta koondstatistikat sisaldava aruande (40).

(46) Osana oma vastavuskontrollimeetmetest kontrollib kaubandusministeerium, et põhimõtete järgimist kinnitanud USA ettevõtted on ka tegelikkuses registreerinud end sõltumatute kaebuste käsitlemise mehhanismide juures, kelle juures registreerumist nad kinnitavad. Nii organisatsioonid kui ka vastutavad sõltumatud kaebuste käsitlemise mehhanismid peavad kiiresti reageerima kaubandusministeeriumi päringutele ja taotlustele esitada raamistikuga Privacy Shield seotud teavet.

(47) Juhul kui organisatsioon ei täida kaebuste käsitlemise või iseregulatsiooniorgani otsust, peab nimetatud organ teavitama sellest kaubandusministeeriumit ja FTC-d (või mis tahes muud USA ametiasutust, kellel on pädevus kõlvatute tavade või pettuse uurimiseks) või pädevat kohust (41). Kui organisatsioon keeldub järgimast mis tahes eraelu puutumatuse iseregulatsiooni-, sõltumatu vaidluste lahendamise või valitsusorgani lõppotsust või kui selline organ otsustab, et organisatsioon ei ole korduvalt põhimõtteid järginud, loetakse see püsivaks mittevastavuseks ning kaubandusministeerium kustutab põhimõtteid mittejärginud organisatsiooni pärast 30 päevast etteteatamist, millele organisatsioonil on võimalus vastata, nimekirjast (42). Kui organisatsioon pärast nimekirjast kustutamist jätkuvalt väidab, et ta tegutseb kooskõlas andmekaitseraamistiku Privacy Shield põhimõtetega, pöördub ministeerium sellega seoses FTC või muu täitevasutuse poole (43).

(48) Kolmandaks võivad üksikisikud esitada oma kaebused ka riiklikule andmekaitseasutusele. Organisatsioonidel on kohustus DPA poolt läbiviidaval uurimisel ja kaebuse lahendamisel koostööd teha, kui kaebus on seotud töösuhte raames kogutud personaliandmete töötlemisega või kui nad on vabatahtlikult nõustunud DPAde järelevalvele alluma. Eelkõige peavad nad vastama päringutele, täitma DPA soovitusi, sealhulgas heastamis- ja hüvitamismeetmete kohta, ning DPA-le kirjalikult kinnitama, et nimetatud meetmed on võetud.

(49) DPAde nõuanded edastatakse liidu tasemel moodustatud mitteametliku DPAde paneeli kaudu, (44) mis aitab tagada ühtlustatud ja sidusa lähenemise konkreetsele kaebusele. Nõuanded väljastatakse pärast seda, kui kummalgi vaidluse osapoolel on olnud mõistlik võimalus esitada selgitused ja soovitud tõendid. Paneel saadab nõuande nii kiiresti, kui menetlusnõuded võimaldavad, üldjuhul 60 päeva jooksul pärast kaebuse saamisest. Kui organisatsioon ei järgi nõuannet 25 päeva jooksul pärast selle väljastamist ning ei ole viivitust rahuldavalt põhjendanud, teavitab paneel oma kavatsusest loovutada materjal FTC-le (või muule USA pädevale täitevasutusele) või järeldada, et koostöökohustust on tõsiselt rikutud. Esimesel juhul võib see kaasa tuua täitemeetmete võtmise föderaalse kaubanduskomisjoni seaduse (edaspidi „FTC Act“) paragrahvi 5 (või sarnase normi) alusel. Teisel juhul teavitab paneel kaubandusministeeriumi, kes käsitab organisatsiooni keeldumist DPA paneeli nõuannet järgida püsiva mittevastavusena, mis toob kaasa organisatsiooni kustutamise Privacy Shieldi nimekirjast.

(50) Kui DPA, kellele kaebus on adresseeritud, ei ole kaebuse lahendamisega tegelenud või on seda teinud ebapiisavalt, on üksikisikust kaebajal võimalus vaidlustada nimetatud tegevus või tegevusetus vastava liikmesriigi siseriiklikes kohtutes.

(51) DPAdele võivad kaebusi esitada ka üksikisikud, isegi kui organisatsioon ei ole määranud oma vaidluste lahendamise organiks DPA paneeli. Sellistel juhtudel võib DPA edastada kaebused kas kaubandusministeeriumile või siis FTC-le. Koostöö soodustamiseks ja elavdamiseks seoses üksikisikute kaebuste ja raamistiku Privacy Shield alusel tegutsevate organisatsioonide poolse põhimõtete järgimata jätmisega loob kaubandusministeerium spetsiaalse kontaktpunkti, et pidada sidet ja osutada DPAdele abi organisatsioonide põhimõtetele vastavuse uurimisel (45). Ka FTC on võtnud kohustuse luua spetsiaalne kontaktpunkt (46) ja osutada DPAdele uurimisabi vastavalt USA turvalise võrgu seadusele (SAFE WEB Act) (47).

(52) Neljandaks on kaubandusministeerium kohustunud võtma vastu, vaatama läbi ja püüdma parimal võimalikul viisil lahendada kaebusi põhimõtete järgimata jätmise kohta organisatsioonides. Selleks näeb kaubandusministeerium DPAdele ette erikorra kaebuste edastamiseks spetsiaalsesse kontaktpunkti, nende jälgimiseks ja ettevõtetega suhtlemiseks, et lahendamisele kaasa aidata. Et üksikisikute kaebuste menetlemist kiirendada, teeb kontaktpunkt vastavusküsimustes koostööd otse vastava DPAga ning eelkõige hoiab teda kursis kaebuste seisuga kuni 90 päeva jooksul nende esitamisest. See võimaldab andmesubjektidel esitada kaebusi põhimõtete järgimata jätmise kohta põhimõtete järgimist kinnitanud USA ettevõtete poolt otse oma riiklikule DPA-le ning lasta need suunata kaubandusministeeriumile, kes on ELi-USA andmekaitseraamistikku Privacy Shield haldaja USA-s. Kaubandusministeerium on kohustunud esitama ELi-USA andmekaitseraamistiku Privacy Shield toimimise aastaülevaates ka kokkuvõtliku aruande igal aastal laekunud kaebustest (48).

(53) Kui kaubandusministeerium oma ametikohaste kontrollide, kaebuste või muu teabe alusel leiab, et organisatsioon on eraelu puutumatuse põhimõtetele püsivalt mittevastav, kustutab ta selle organisatsiooni Privacy Shieldi nimekirjast. Püsivaks mittevastavuseks loetakse ka eraelu puutumatuse iseregulatsiooni organi, sõltumatu vaidluste lahendamise organi või valitsusasutuse, sealhulgas DPA lõpliku otsuse täitmisest keeldumine.

(54) Viiendaks peab raamistiku Privacy Shield alusel tegutsev organisatsioon tunnustama USA ametiasutuste, eriti föderaalse kaubanduskomisjoni (49) (kes tagab praktikas põhimõtete järgimise) volitusi uurimise ja täitemeetmete läbiviimiseks. FTC vaatab eelisjärjekorras läbi esildised, mille on eraelu puutumatuse põhimõtetele mittevastavuse kohta edastanud sõltumatud kaebuste lahendamise organid või iseregulatsiooniorganid, kaubandusministeerium ja DPAd (omal algatusel või kaebuste põhjal), et teha kindlaks, kas on rikutud FTC Acti paragrahvi 5 (50). FTC on võtnud kohustuse luua standardiseeritud menetlus esildiste käsitlemiseks, luua DPAde edastatud esildiste jaoks asutusesisene kontaktpunkt ning vahetada tehtud esildistega seotud teavet. Lisaks võtab ta kaebusi vastu ka otse üksikisikutelt ning kohustub omal algatusel läbi viima andmekaitseraamistikuga Privacy Shield seotud uurimisi, eelkõige eraelu puutumatuse kaitse küsimustega seotud laiemate uurimiste raames.

(55) FTC võib teha vastavusse viimiseks ettekirjutusi (nn consent orders) ning jälgib süsteemselt nimetatud ettekirjutuste täitmist. Kui organisatsioon neid ei täida, võib FTC saata juhtumi edasi pädevale kohtule, et rakendada tsiviilõiguslikke sanktsioone ja muid õiguskaitsevahendeid, sealhulgas ebaseadusliku tegevusega põhjustatud kahju suhtes. Alternatiivina võib FTC otse taotleda föderaalkohtult esialgset või püsivat õiguskaitset või muude õiguskaitsevahendite kasutamist. Iga raamistiku Privacy Shield alusel tegutsevale organisatsioonile tehtav ettekirjutus peab sisaldama aruandlussätteid (51) ja organisatsioonid peavad avalikustama FTC-le esitatavate vastavus- või hindamisaruannete asjakohased osad, mis on seotud raamistikuga Privacy Shield. Peale selle peab FTC Internetis loendit ettevõtetest, kellele FTC või kohtud on teinud raamistikuga Privacy Shield seotud asjades ettekirjutusi või määrusi.

(56) Kuuendaks võib ELi andmesubjekt viimase võimalusena, juhul kui ükski muu ettenähtud õiguskaitsevahend ei ole üksikisiku kaebusele rahuldavat lahendust toonud, algatada siduva vahekohtumenetluse nn Privacy Shieldi paneelis. Organisatsioonid peavad teavitama üksikisikuid võimalusest algatada teatud tingimusel vahekohtumenetlus ning neil on vastamiskohustus, kui üksikisik on nimetatud võimalust kasutanud ja esitanud asjaomasele organisatsioonile sellekohase teate (52).

(57) Vahekohus koosneb vähemalt 20 vahekohtunikust, kelle määravad kaubandusministeerium ja Euroopa Komisjon lähtuvalt nende sõltumatusest, aususest ja kogemustest USA eraelu puutumatuse kaitse õiguse ja liidu andmekaitseõiguse alal. Iga konkreetse vaidluse jaoks valivad pooled nimetatud koosseisust ühe kuni kolm (53) vahekohtunikku. Menetlusi reguleeritakse kaubandusministeeriumi ja komisjoni vahel kokku lepitavate vahekohtu standardeeskirjadega. Need eeskirjad lisanduvad juba sõlmitud raamkokkuleppele, mis hõlmab mitmeid sätteid nimetatud mehhanismi kättesaadavuse suurendamiseks ELi andmesubjektide jaoks: i) paneelile esitatava kaebuse koostamise juures võib andmesubjekt saada abi oma riiklikult DPA-lt; ii) vahekohtumenetlus toimub küll Ameerika Ühendriikides, kuid ELi andmesubjektid võivad soovi korral osaleda videokonverentsi või konverentskõne kaudu, mida võimaldatakse üksikisikule tasuta; iii) ehkki vahekohtumenetluses kasutatakse üldjuhul inglise keelt, võimaldatakse andmesubjektile harilikult põhjendatud taotluse alusel ja tasuta (54) istungi suuline ja dokumentide kirjalik tõlge; iv) kõik pooled, keda esindab paneelis advokaat, peavad enda õigusabikulud küll ise tasuma, kuid kaubandusministeerium moodustab andmekaitseraamistikus Privacy Shield osalevate organisatsioonide iga-aastastest sissemaksetest rahastatava fondi, mis katab vahekohtumenetluse toetuskõlblikud kulud vastavalt maksimummääradele, mille USA ametiasutused kehtestavad pärast Euroopa Komisjoniga nõupidamist.

(58) Privacy Shieldi paneelil on õigus kehtestada „konkreetsele isikule sobivad asjakohased mitterahalised kaitsemeetmed“, (55) mis on vajalikud põhimõte järgimata jätmise heastamiseks. Kuigi paneel võtab otsustamisel arvesse ka teisi heastamismeetmeid, mis on andmekaitseraamistiku Privacy Shield muude mehhanismide raames juba määratud, võivad üksikisikud siiski pöörduda vahekohtusse, kui nad peavad kõnealuseid muid heastamismeetmeid ebapiisavaks. See võimaldab ELi andmesubjektidel pöörduda vahekohtusse kõigil juhtudel, kus USA pädevate asutuste (näiteks FTC) tegevus või tegevusetus ei ole toonud nende kaebustele rahuldavat lahendust. Vahekohtumenetlust ei või algatada, kui DPA ise on põhimõtete järgimist kinnitanud USA ettevõtte suhtes õiguslikult pädev kõnealust küsimust lahendama, kuna organisatsioon on kohustatud tegema DPAdega koostööd ja järgima nende nõuandeid seoses töösuhte raames kogutud personaliandmete töötlemisega või on vabatahtlikult võtnud kohustuse seda teha. Üksikisikud saavad vahekohtu otsuse täitmisele pöörata USA kohtute kaudu föderaalse vahekohtu seaduse (Federal Arbitration Act) alusel, mis tagab õiguskaitse juhuks, kui ettevõte otsust ei täida.

(59) Seitsmendaks, kui organisatsioon ei täida oma kohustust järgida põhimõtteid ja eraelu puutumatuse avaldatud norme, võib USA osariikide õigus pakkuda täiendavaid õiguskaitsevahendeid näiteks lepinguvälise kahju hüvitamiseks ning teadliku valeandmete esitamise, kõlvatute tavade või pettuse ja lepingurikkumiste puhuks.

(60) Lisaks sellele, kui ELi andmesubjektilt nõude saanud DPA leiab, et selle üksikisiku isikuandmete edastamisel Ameerika Ühendriikide organisatsioonile rikutakse ELi andmekaitseseadust, sealhulgas juhul kui ELi andmeeksportijal on põhjust arvata, et organisatsioon ei vasta põhimõtetele, võib ta ka teostada enda volitusi andmeeksportija suhtes ning anda vajaduse korral käsu andmete edastamine peatada.

(61) Käesolevas jaos esitatud teavet arvestades leiab komisjon, et USA kaubandusministeeriumi avaldatud põhimõtted tervikuna tagavad isikuandmete kaitse sisuliselt samaväärsel tasemel, nagu on tagatud direktiiviga 95/46/EÜ kehtestatud oluliste aluspõhimõtetega.

(62) Põhimõtete tõhus rakendamine on tagatud ka läbipaistvuskohustustega ning raamistiku Privacy Shield haldamise ja vastavuskontrolliga kaubandusministeeriumi poolt.

(63) Lisaks leiab komisjon, et andmekaitseraamistiku Privacy Shield jaoks ette nähtud seire-, õiguskaitse- ja nõuete tagamise täitmise mehhanismid tervikuna võimaldavad praktikas tuvastada põhimõtete rikkumisi raamistiku Privacy Shield alusel tegutsevates organisatsioonides ja nende eest karistada ning pakuvad andmesubjektile õiguskaitsevahendeid temaga seotud isikuandmetele juurdepääsu tagamiseks ning vajadusel nimetatud andmete parandamiseks või kustutamiseks.

3. USA AVALIKU SEKTORI ASUTUSTE JUURDEPÄÄS ELI-USA ANDMEKAITSERAAMISTIKU PRIVACY SHIELD ALUSEL EDASTATUD ISIKUANDMETELE JA NENDE KASUTAMINE SELLISTE ASUTUSTE POOLT

(64) Nagu on sätestatud II lisa jaos I.5, on põhimõtete järgimine piiratud ulatusega, mis on vajalik riikliku julgeoleku, avaliku huvi või õiguskaitseliste vajaduste täitmiseks.

(65) Euroopa Komisjon on hinnanud piiranguid ja kaitsemeetmeid, mis on sätestatud USA õiguses seoses ELi-USA andmekaitseraamistiku Privacy Shield alusel edastatud isikuandmetele juurdepääsu ja nende kasutamisega USA avaliku sektori asutuste poolt riikliku julgeoleku, õiguskaitse ja muu avaliku huvi eesmärgil. Lisaks on USA valitsus esitanud riigi luuredirektori büroo (Office of the Director of National Intelligence, edaspidi „ODNI“) (56) kaudu Euroopa Komisjonile üksikasjalikud kinnitused ja kohustused, mis on ära toodud käesoleva otsuse VI lisas. USA välisministri allkirjaga kirjas, mis on esitatud otsuse III lisas, on USA valitsus võtnud ka kohustuse luua uus riikliku julgeolekuga seotud sekkumiste järelevalve mehhanism, nimelt andmekaitseraamistiku Privacy Shield ombudsman, kes on USA luureühendusest sõltumatu. Lõpuks on USA justiitsministeeriumi kinnituses, mis on esitatud käesoleva otsuse VII lisas, kirjeldatud piiranguid ja kaitsemeetmeid seoses isikuandmetele juurdepääsu ja nende kasutamisega avaliku sektori asutuste poolt õiguskaitse ja muudel avaliku huvi eesmärkidel. Läbipaistvuse suurendamiseks ja nimetatud kohustuste õigusliku siduvuse väljendamiseks avaldatakse kõik need eespool loetletud ja käesolevale otsusele lisatud dokumendid USA ametlikus teatajas Federal Register.

(66) Komisjoni järeldusi seoses piirangutega Euroopa Liidust Ameerika Ühendriikidesse edastatud isikuandmetele juurdepääsule ja nende kasutamisele USA avaliku sektori asutuste poolt ning tõhusa õiguskaitse olemasolu kohta kirjeldatakse üksikasjalikumalt allpool.

3.1. Juurdepääs ja kasutamine USA avaliku sektori asutuste poolt riikliku julgeoleku huvides

(67) Komisjoni analüüs näitab, et USA õiguses on sätestatud mitmed piirangud ELi-USA andmekaitseraamistiku Privacy Shield alusel edastatud isikuandmetele juurdepääsule ja nende kasutamisele riikliku julgeoleku huvides ning ka järelevalve- ja õiguskaitsemehhanismid, mis piisaval määral tagavad nende andmete tõhusa kaitse ebaseadusliku sekkumise ja kuritarvitamise riski eest (57). Alates 2013. aastast, mil komisjon avaldas oma kaks teatist (vt põhjendus 7), on seda õigusraamistikku järgnevalt kirjeldatud viisil oluliselt tugevdatud.

3.1.1. Piirangud

(68) Vastavalt USA konstitutsioonile kuulub riikliku julgeoleku tagamine presidendi pädevusse, kes on relvajõudude ülemjuhataja, täitevvõimu juht ja kes korraldab USA välissuhtlust välisluure valdkonnas (58). Kuigi kongressi pädevuses on kehtestada piiranguid ja ta on seda mitmes aspektis ka teinud, saab president nimetatud piires juhtida USA luureühenduse tööd, kasutades selleks eelkõige korraldusi või presidendi suuniseid. Mõistagi kehtib sama ka neis valdkondades, kus kongress suuniseid ei anna. Selle valdkonna kaks keskset õigusakti on praegu korraldus (Executive Order) 12333 (edaspidi „E.O. 12333“) (59) ja presidendi poliitikasuunis (Presidential Policy Directive) nr 28.

(69) Presidendi 17. jaanuari 2014. aasta poliitikasuunisega nr 28 (edaspidi „PPD-28“) on kehtestatud mitmed nn signaaliluurega seotud piirangud (60). See presidendi suunis on USA luureasutustele (61) siduv ja jääb kehtima kuni USA valitsuse vahetumiseni (62). PPD-28 on eriti oluline USA-välist päritolu isikutele, sealhulgas ELi andmesubjektidele. Selles on muu hulgas sätestatud, et: a) signaaliluure andmete kogumine peab põhinema õigusaktil või presidendi loal ning toimuma kooskõlas USA konstitutsiooni (eriti selle neljanda muudatuse) ja USA õigusega; b) iga isikut tuleb kohelda väärikalt ja austusega, olenemata tema kodakondsusest või elukohast; c) igal isikul on tema isikuandmete töötlemise suhtes seaduslikud eraelu puutumatuse kaitsega seotud huvid; d) USA signaaliluuretegevuse kavandamise lahutamatuks osaks on eraelu puutumatuse ja kodanikuvabadustega seotud kaalutlused; e) seetõttu tuleb USA signaaliluuretegevuses tagada nõuetekohased kaitsemeetmed kõikide isikute isikuandmetele olenemata nende kodakondsusest või elukohast.

(70) Vastavalt suunisele PPD-28 võib signaaliluureandmeid koguda üksnes juhul, kui selleks on riigi või riigiasutuste tegevust toetav välis- või vastuluurega seotud põhjus, aga mitte mis tahes muudel eesmärkidel (nt USA ettevõtetele konkurentsieelise loomiseks). Sellega seoses selgitab ODNI, et luureühenduse liikmed „peaksid nõudma, et võimaluse korral peab kogumine olema suunatud konkreetsetele välisluure sihtmärkidele või teemadele, kasutades diskriminante (nt konkreetsed vahendid, valikutingimused ja identifikaatorid)“ (63). Lisaks tagatakse kinnitustes, et luureandmete kogumise kohta ei hakka kaalutlusotsuseid tegema üksikud luureagendid, vaid rakendatakse põhimõtteid ja menetlusi, mille USA luureühenduse eri liikmed (asutused) peavad PPD-28 ellurakendamiseks kehtestama (64). Sellega seoses toimub sobivate tunnuste uurimine ja valik üldise riikliku luureprioriteetide raamistiku (General Intelligence Priorities Framework, NIPF) raames, mis tagab, et luureprioriteete kehtestavad kõrge taseme poliitikakujundajad ning need vaadatakse korrapäraselt läbi, et reageerida üksnes riigi julgeolekut ähvardavatele tegelikele ohtudele ning võtta arvesse võimalikke riske, sealhulgas eraelu puutumatusega seotud riske (65). Sellest lähtudes uurivad asutuse töötajad läbi ja määravad kindlaks konkreetsed valikutingimused, mis peaksid võimaldama koguda välisluureandmeid vastavalt prioriteetidele (66). Valikutingimused või nn tunnused tuleb korrapäraselt läbi vaadata, et veenduda, kas neil on säilinud prioriteetidele vastav luureväärtus (67).

(71) PPD-28 nõuete sätted, nagu see, et andmete kogumine peab alati (68) olema „võimalikult täpselt suunatud“ ning luureühendus peab püüdma esmajärjekorras kasutada muud saadaolevat teavet ning sobivaid ja teostatavaid alternatiive, (69) peegeldavad lisaks üldreeglit eelistada sihipärast andmete kogumist massiandmekogumisele. ODNI antud kinnituse kohaselt tagavad nad ennekõike, et massiandmekogumine ei ole ei massiline ega ka valimatu ja et erandit ei hakata kasutama rohkem kui reeglit (70).

(72) Kuigi suunises PPD-28 on selgitatud, et luureühenduse liikmetel on vahel tarvis luuresignaale masskoguda, näiteks uute või arengujärgus ohtude tuvastamiseks ja hindamiseks, antakse selles neile juhis kasutada esmajärjekorras alternatiive, mis võimaldavad signaaliluureandmete suunatud kogumist (71). Sellest tulenevalt toimub massiandmekogumine ainult juhul, kui sihipärane andmete kogumine diskriminante, st konkreetse sihtmärgiga seotud identifikaatorit (nt meiliaadressi või telefoninumbrit) kasutades ei ole võimalik „tehnilistel või operatiivsetel kaalutlustel“ (72). See kehtib nii signaaliluureandmete kogumise viisi kui ka selle suhtes, mida reaalselt kogutakse (72).

(73) ODNI kinnituste kohaselt üritab ta ka sel juhul, kui luureühendus ei saa andmete kogumise sihipärastamiseks kasutada konkreetseid identifikaatoreid, kitsendada andmete kogumise ulatust „nii palju kui võimalik“. Selleks kasutab ta „filtreid ja muid tehnilisi abivahendeid, et andmeid kogutaks nende vahendite põhjal, mis sisaldavad tõenäoliselt välisluure seisukohast väärtuslikke andmeid“ (ja on seega kooskõlas USA poliitikakujundajate poolt vastavalt põhjenduses 70 kirjeldatud menetlusele sätestatud nõuetega). Sellest tulenevalt sihipärastatakse massiandmekogumine vähemalt kahel viisil: esiteks seondub see alati konkreetse välisluure eesmärgiga (näiteks saada signaaliluureandmeid konkreetses piirkonnas tegutseva terrorirühmituse kohta) ja keskendub andmete kogumisel sellega seonduvale sidele. ODNI esitatud avalduse kohaselt annab sellest tunnistust asjaolu, et„Ameerika Ühendriikide signaaliluuretegevus puudutab ainult murdosa kogu internetis toimuvast suhtlusest“ (73). Teiseks on ODNI kinnitustes selgitatud, et kasutatavad filtrid ja muud tehnilised vahendid töötatakse välja andmete kogumiseks „nii täpselt kui võimalik“, et viia kogutud „asjassepuutumatu teabe“ hulk miinimumini.

(74) Lõpetuseks, isegi kui Ameerika Ühendriigid otsustavad signaaliluureandmeid põhjendustes 70–73 kirjeldatud tingimuste kohaselt masskoguda, piirab PPD-28 kogutud andmete kasutamist kuut riikliku julgeolekuga seotud eesmärki sisaldava konkreetse loendiga, et kaitsta kõigi isikute eraelu puutumatust ja kodanikuvabadusi nende olenemata kodakondsusest ja elukohast (74). Need lubatavad eesmärgid on meetmed spionaažist, terrorismist ja massihävitusrelvadest tulenevate ohtude ning küberjulgeoleku, relvajõudude ja sõjaväelaste vastu suunatud ohtude tuvastamiseks ja nende vastu võitlemiseks ning viie muu ohuga seotud rahvusvahelise kuritegevuse tuvastamiseks ja selle vastu võitlemiseks, ning need vaadatakse läbi vähemalt üks kord aastas. Vastavalt USA valitsuse kinnitustele on luureühenduse liikmed tugevdanud analüüsisüsteeme ja -standardeid, et filtreerida määratlemata signaaliluureandmeid vastavalt nimetatud nõuetele; suunatud päringute kasutamine „tagab, et analüütikutele antakse uurida üksnes selliseid andmeid, millel eeldatakse olevat potentsiaalne luurealane väärtus“ (75).

(75) Need piirangud on ELi-USA andmekaitseraamistiku Privacy Shield alusel edastatavate isikuandmete seisukohalt eriti olulised, eelkõige juhul, kui isikuandmete kogumise koht on väljaspool Ameerika Ühendriike, sh teel läbi transatlantiliste kaablite liidust Ameerika Ühendriikidesse. Nagu USA ametiasutused ODNI kinnitustes märkisid, kohaldatakse neis sätestatud piiranguid ja kaitsemeetmeid – sealhulgas PPD-28 sätteid – ka seda liiki kogumisele (76).

(76) Kuigi kasutatavad juriidilised mõisted on erinevad, vastavad need põhimõtted sisuliselt vajalikkuse ja proportsionaalsuse põhimõtetele. Suunatud kogumine toimub selgete prioriteetide alusel ning masskogumine piirdub (erandlike) olukordadega, kus suunatud kogumine ei ole tehnilistel või operatiivtööga seotud põhjustel võimalik. Isegi kui masskogumist pole võimalik vältida, on kogutud andmete edasine „kasutamine“ ehk juurdepääs neile rangelt piiratud konkreetsete õiguspäraste riikliku julgeoleku eesmärkidega (77).

(77) Kuna suunise on välja andnud president kui täitevvõimu juht, on need nõuded siduvad kogu luureühendusele ning neid on hiljem rakendatud asutusesiseste eeskirjade ja menetlustega, millega on üldpõhimõtted teisendatud konkreetseteks igapäevatöö juhisteks. Lisaks on kongress, ehkki PPD-28 pole talle siduv, astunud samme tagamaks, et isikuandmete kogumine ja neile juurdepääs oleks Ameerika Ühendriikides suunatud ega toimuks „üldistatud alustel“.

(78) Olemasolevast teabest, sealhulgas USA valitsuse kinnitustest tuleneb, et pärast andmete edastamist Ameerika Ühendriikide organisatsioonidele, kes on kinnitanud põhimõtete järgimist ELi-USA andmekaitseraamistiku Privacy Shield raames, võivad USA luureasutused neid isikuandmeid nõuda üksnes (78) juhul, kui nõue vastab välisluure ja jälitustegevuse seadusele (Foreign Intelligence Surveillance Act, edaspidi „FISA“) või selle esitab Föderaalne Juurdlusbüroo (Federeal Bureau of Investigation, edaspidi „FBI“) nn julgeoleku-teabenõude (National Security Letter, edaspidi „NSL“) alusel (79). FISA sisaldab mitmeid õiguslikke aluseid, millele tuginedes võib koguda (ja seejärel töödelda) ELi andmesubjektide isikuandmeid, mis on edastatud ELi-USA andmekaitseraamistiku Privacy Shield alusel. Lisaks FISA paragrahvile 104, (80) millega on hõlmatud tavapärane individualiseeritud elektrooniline jälgimine, ja FISA paragrahvile 402 (81) pealtkuulamisseadmete paigaldamise kohta, on kaks peamist alust FISA paragrahv 501 (endine seaduse U.S. PATRIOT ACT paragrahv 215) ja FISA paragrahv 702 (82).

(79) Sellega seoses keelab 2. juunil 2015 vastu võetud seadus USA FREEDOM Act FISA paragrahvi 402 (väljamineva ja sissetuleva side jälgimise seadmeid lubav norm) ja FISA paragrahvi 501 (varem seaduse U.S. PATRIOT ACT paragrahv 215) (83) alusel ning NSL-ide alusel andmete masskogumise ning nõuab, et selle asemel kasutataks konkreetseid „valikutingimusi“ (84).

(80) Ehkki FISA sisaldab veel õiguslikke aluseid riikliku julgeolekuga seotud tegevuseks, sealhulgas signaaliluureks, näitab komisjoni hinnang, et ELi-USA andmekaitseraamistiku Privacy Shield alusel edastatavate isikuandmete puhul piiravad nimetatud volitused avaliku sektori asutuste sekkumist suunatud kogumisse ja juurdepääsu samaväärselt.

(81) FISA paragrahvi 104 alusel toimuva tavapärase individualiseeritud elektroonilise jälgimise puhul on see selge (85). FISA paragrahvi 702 puhul, mis on aluseks kahele USA luureasutuste olulisele luureprogrammile (PRISM, UPSTREAM), tehakse otsinguid suunatult, kasutades individuaalseid tunnuseid vastavalt konkreetsetele sidevahenditele, näiteks sihtmärgi e-posti aadress või telefoninumber, mitte aga võtmesõnade ega isegi mitte sihtmärgiks olevate üksikisikute nimede järgi (86). Seega, nagu on märkinud eraelu puutumatuse ja kodanikuvabaduste järelevalve komisjon (Privacy and Civil Liberties Oversight Board, edaspidi „PCLOB“), on paragrahvi 702 alusel toimuv luure „suunatud üksnes konkreetsetele [USA-välistele] isikutele, kelle kohta on antud individuaalne korraldus“ (87). Aegumisklauslist tulenevalt vaadatakse FISA paragrahv 702 läbi 2017. aastal, mil komisjon peab uuesti hindama ka ELi andmesubjektidele pakutavaid kaitsemeetmeid.

(82) Peale selle on USA valitsus oma kinnitustes Euroopa Komisjonile selgesõnaliselt taganud, et USA luureühendus „ei tegele mis tahes isikute, ka mitte Euroopa tavakodanike valimatu jälgimisega“ (88). Ameerika Ühendriikides kogutud isikuandmete puhul kinnitavad seda avaldust empiirilised tõendid, mis näitavad, et juurdepääsutaotlused NSLide ja FISA alusel hõlmavad nii eraldi kui ka koos arvestatuna võrreldes Interneti andmevoogude üldise mahuga üksnes suhteliselt väikest arvu sihtmärke (89).

(83) Kogutud andmetele juurdepääsu ja andmekaitsega seoses on suunisega PPD-28 nõutud, et juurdepääs „peab olema piiratud volitatud töötajatega, kellel on vastavaid andmeid tarvis oma tööülesande täitmiseks“ ning isikuandmeid „tuleb töödelda ja hoida tingimustes, mis tagavad nende piisava kaitse ja välistavad volitamata isikute juurdepääsu kooskõlas tundliku teabe suhtes kohaldatavate kaitsemeetmetega“. Luuretöötajad saavad asjakohase ja piisava väljaõppe suunises PPD-28 sätestatud põhimõtete alal (90).

(84) Peale selle on suunises PPD-28 USA luureasutuste kogutavate ELi andmesubjektide isikuandmete säilitamise ja edasijagamise kohta märgitud, et iga isikut (sh USA-väliseid isikuid) tuleb kohelda väärikalt ja austusega, igal isikul on tema isikuandmete töötlemise suhtes seaduslikud eraelu puutumatuse kaitsega seotud huvid ning luureühenduse liikmed peavad seetõttu kehtestama normid nõuetekohaste andmekaitsemeetmete tagamiseks, mis on „mõistlikult kujundatud edasilevitamist ja säilitamist minimeerival viisil“ (91).

(85) USA valitsuse selgituse kohaselt tähendab kõnealune mõistlikkuse nõue, et luureühenduse liikmed ei pea mitte võtma „kõiki teoreetiliselt võimalikke meetmeid“, vaid et neil tuleb „tasakaalustada oma püüded kaitsta seaduslikke eraelu puutumatuse ja kodanikuvabaduste huve signaaliluuretegevuse praktiliste vajadustega“ (92). Seejuures koheldakse USA-väliseid isikuid samamoodi kui USA isikuid, võttes aluseks justiitsministri kinnitatud menetlused (93).

(86) Nende normide kohaselt ei või säilitamistähtaeg üldjuhul ületada viit aastat, kui seadusega pole ette nähtud teisiti ja puudub selgesõnaline vastupidine korraldus, mille annab riigi luuredirektor pärast eraelu puutumatuse kaitse kaalutluste hoolikat hindamist – võttes arvesse ODNI kodanikuvabaduste kaitse ametniku arvamust ning asutuste eraelu puutumatuse ja kodanikuvabaduste kaitse ametnike arvamusi, mille kohaselt on säilitamise jätkamine riikliku julgeoleku huvides (94). Jagamine piirdub juhtudega, kus teave on kogumise põhjuseks olnud eesmärgil vajalik ja vastab seega välisluure või õiguskaitsega seotud vajadusele ja loale (95).

(87) USA valitsus on kinnitanud, et isikuandmeid ei või jagada üksnes põhjusel, et asjaomane isik ei ole USA isik ning „signaaliluureandmeid välismaise isiku igapäevase tegevuse kohta ei loeta välisluureandmeteks, mida võib ainuüksi selle asjaolu alusel jagada või alaliselt säilitada, välja arvatud juhul, kui see vastab muul viisil välisluure või õiguskaitsega seotud vajadusele ja loale“ (96).

(88) Eeltoodu põhjal järeldab komisjon, et Ameerika Ühendriikides on olemas eeskirjad, mille ülesandeks on piirata selliste isikute põhiõiguste riivamist riikliku julgeoleku huvides, kelle isikuandmeid edastatakse liidust Ameerika Ühendriikidesse ELi-USA andmekaitseraamistiku Privacy Shield alusel, rangelt sellega, mis on vajalik asjaomase seadusliku eesmärgi saavutamiseks.

(89) Nagu eelnevast analüüsist nähtub, on USA seadustega tagatud, et jälgimismeetmeid rakendatakse ainult välisluureandmete saamiseks (mis kujutab endast õigustatud poliitilist eesmärki) (97) ja need on nii juhtumipõhised kui võimalik. Ennekõike on massiandmekogumine lubatud ainult erandjuhul, kui sihipärane kogumine ei ole võimalik, ja sellega koos rakendatakse täiendavaid meetmeid, et viia miinimumini kogutavate andmete hulk ja neile hilisem juurdepääs (mis peab olema sihipärane ja lubatud ainult konkreetsel eesmärgil).

(90) Komisjoni hinnangul vastab see Euroopa Kohtu poolt kohtuasjas Schrems antud otsusega väljendatud seisukohale, mille kohaselt õigusaktiga, millega kaasneb sekkumine harta artiklitega 7 ja 8 tagatud põhiõigustesse, peavad olema kehtestatud „miinimumnõuded [kaitsenõuded]“ (98) ja „[r]angelt vajalikuga ei piirdu õigusakt, mis annab üldise loa säilitada kõikide selliste isikute kõik isikuandmed, kelle andmed on edastatud liidust Ameerika Ühendriikidesse, ilma et olenevalt taotletavast eesmärgist esineks eristamist, piiranguid või erandeid ning ilma, et oleks ette nähtud objektiivset kriteeriumi, mis võimaldaks piiritleda ametiasutuste juurdepääsu andmetele ja nende hilisemat kasutamist konkreetsetel rangelt piiritletud eesmärkidel, millega nii andmete tutvumise kui ka kasutamisega kaasnev sekkumine võib olla põhjendatud“ (99). Ka ei ole lubatud piiramatu andmete kogumine ja säilitamine kõigi inimeste kohta igasuguste piiranguteta, samuti piiramatu juurdepääs neile. Lisaks sellele välistavad komisjonile antud kinnitused, mis hõlmavad lubadust, et Ameerika Ühendriikide signaaliluuretegevus puudutab ainult murdosa kogu internetis toimuvast suhtlusest, võimaluse „üldiseks“ (100) juurdepääsuks elektroonilise side sisule.

3.1.2. Tõhus õiguskaitse

(91) Komisjon on hinnanud nii Ameerika Ühendriikides olemasolevaid järelevalvemehhanisme, et uurida USA luureasutuste sekkumist Ameerika Ühendriikidesse isikuandmete edastamisse, kui ka ELi andmesubjektide võimalusi taotleda üksikisiku õiguskaitset.

Järelevalve

(92) USA luureühenduse suhtes kohaldatakse erinevaid läbivaatamis- ja järelevalvemehhanisme, mis kuuluvad riigivõimu kolme haru alla. Need hõlmavad täidesaatva võimu raames tegutsevaid sise- ja välisorganeid, mitut USA Kongressi komiteed, samuti spetsiaalselt välisluure jälitustegevuse seadusega reguleeritud tegevusega seonduvat kohtulikku järelevalvet.

(93) Esiteks teeb USA asutuste luuretegevuse üle ulatuslikku järelevalvet täidesaatev võim.

(94) Vastavalt PPD-28 paragrahvile 4(a)(iv) peavad luureühenduse liikmete normid ja menetlused „sisaldama sobivaid meetmeid isikuandmete kaitse abinõude rakendamise järelevalve soodustamiseks“; üks neist meetmetest peaks olema korrapärane auditeerimine (101).

(95) Selleks on loodud mitu järelevalvetasandit, sealhulgas kodanikuvabaduste või eraelu kaitse ametnikud, peainspektorid, ODNI eraelu puutumatuse ja kodanikuvabaduste järelevalve komisjon, PCLOB ning luuretegevuse järelevalve nõukogu presidendi juures. Neid järelevalvefunktsioone toetavad kõikides asutustes töötavad vastavuskontrolliametnikud (102).

(96) Nagu USA valitsus on selgitanud, (103) on luuretegevusega seotud ministeeriumites ja luureasutustes olemas järelevalvekohustusi täitvad kodanikuvabaduste või eraelu kaitse ametnikud (104). Ehkki nende ametnike konkreetsed volitused on volitusnormidest sõltuvalt erinevad, on üldjuhul nende pädevuses teha järelevalvet menetluste üle, millega tagatakse ministeeriumis/asutuses eraelu puutumatuse ja kodanikuvabaduste kaitsega seotud küsimuste nõuetekohane käsitlemine ning et asutus on kehtestatud nõuetekohased menetlused enda eraelu puutumatuse või kodanikuvabaduste rikkumise üle kaevanud üksikisikute kaebuste läbivaatamiseks (ning mõningatel asutustel, näiteks ODNI-l, on ka õigus kaebusi iseseisvalt uurida) (105). Ministeeriumi/asutuse juht peab omakorda tagama, et ametnik saaks kogu teabe ja juurdepääsu materjalidele, mida ta oma tööks vajab. Kodanikuvabaduste ja eraelu puutumatuse kaitse ametnikud esitavad kongressile ja PCLOB-le korrapäraselt aruandeid, mis sisaldavad ka laekunud kaebuste arvu ja liiki ministeeriumite/asutuste kaupa ning kokkuvõtet kaebuste lahendamisest, tehtud järelevalvest ja uuringutest ning ametniku tegevuse mõjust (106). Riiklike andmekaitseasutuste hinnangu kohaselt võib kodanikuvabaduste või eraelu kaitse ametnike tehtavat sisekontrolli pidada „küllaltki tõhusaks“, ehkki nende arvates ei ole need ametnikud vajalikul määral sõltumatud (107).

(97) Lisaks on igal luureühenduse liikmel oma peainspektor, kelle üheks tööülesandeks on jälgida välisluuretegevust (108). Nende hulka kuulub ODNI peainspektori amet, millel on ulatuslik pädevus kogu luureühenduse suhtes ning õigus uurida kaebusi või teavet väidetava ebaseadusliku tegevuse või võimu kuritarvitamise kohta ODNI ja/või luureühenduse programmides ja tegevustes (109). Peainspektorid on seaduse järgi sõltumatud (110) üksused, kes vastutavad vastava asutuse riikliku julgeolekuga seotud programmide ja tegevuste auditeerimise ja uurimise eest, sealhulgas kuritarvituste ja seaduserikkumiste puhul (111). Neil on juurdepääsuõigus kõikidele andmetele, aruannetele, audititele, protokollidele, dokumentidele, poliitikamaterjalidele, soovitustele ja muudele materjalidele, vajaduse korral kohtuliku teabenõude alusel, ning nad võivad võtta tunnistajatelt ütlusi (112). Ehkki peainspektorid võivad anda üksnes mittesiduvaid soovitusi parandusmeetmeteks, avalikustatakse nende aruanded ja teave aruannete alusel võetud meetmete (või nende puudumise) kohta ning saadetakse lisaks USA Kongressile, kes võib nende alusel ise järelevalvet teha (113).

(98) Peale selle täidab eraelu puutumatuse ja kodanikuvabaduste järelevalve komisjon (Privacy and Civil Liberties Oversight Board, edaspidi „PCLOB“), täitevvõimu osaks olev sõltumatu organ, (114) mille kaheparteilise ja viieliikmelise juhatuse (115) määrab ametisse president Senati heakskiidul, terrorismivastaste normide ja nende rakendamisega seotud ülesandeid, et kaitsta eraelu puutumatust ja kodanikuvabadusi. Luureühenduse tegevuse läbivaatamisel on tal juurdepääsuõigus kõikidele asjaomaste asutuste andmetele, aruannetele, audititele, protokollidele, dokumentidele, poliitikamaterjalidele ja soovitustele, sealhulgas salastatud teabele, ning õigus küsitleda isikuid ja võtta tunnistajatelt ütlusi. Ta saab aruandeid mitmete föderaalministeeriumite/asutuste (116) kodanikuvabaduste ja eraelu puutumatuse kaitse ametnikelt, võib anda neile soovitusi ning annab korrapäraselt aru USA Kongressi komisjonidele ja presidendile (117). PCLOB ülesandeks on koostada oma volituste ulatuses ka hindamisaruanne PPD-28 rakendamise kohta.

(99) Lisaks täiendab eespool nimetatud järelevalvemehhanisme presidendi luuretegevuse nõuandekogu juurde loodud luuretegevuse järelevalve nõukogu, mis jälgib USA luureorganite tegevuse vastavust konstitutsioonile ja kõigile kehtivatele eeskirjadele.

(100) Järelevalve hõlbustamiseks soovitatakse luureühenduse liikmetel kujundada infosüsteeme selliselt, et oleks võimalik jälgida, salvestada ja läbi vaadata isikuandmetega seotud päringuid ja muid otsinguid (118). Järelevalve- ja vastavuskontrolliorganid kontrollivad korrapäraselt luureühenduse liikmete tavasid signaaliluureandmetes sisalduvate isikuandmete kaitsmisel ja nimetatud menetluste järgimist (119).

(101) Neid järelevalvefunktsioone toetavad ka ulatuslikud vastavuskontrolliga seotud aruandlusnõuded. Asutuste menetlused peavad eelkõige tagama, et kui esineb oluline nõuetele vastavuse probleem seoses mis tahes kodakondsusega isiku signaaliluure raames kogutud isikuandmetega, teavitatakse probleemist viivitamata luureühenduse asjaomase liikme juhti, kes omakorda teavitab riigi luuredirektorit, kes otsustab vastavalt suunisele PPD-28 parandusmeetmete vajalikkuse üle (120). Lisaks peavad kõik luureühenduse liikmed vastavalt korraldusele E.O. 12333 andma mittevastavuse juhtumitest aru luuretegevuse järelevalve nõukogule (121). Need mehhanismid tagavad, et probleemiga tegeletakse luureühenduse kõrgeimal tasandil. Kui tegemist on USA-välise isikuga, otsustab riigi luuredirektor pärast välisministri ja mittevastavusest teatanud ministeeriumi või asutuse juhiga nõupidamist, kas tuleks astuda samme vastava välisriigi valitsuse teavitamiseks, tagades seejuures allikate ja meetodite ning USA teenistuses olevate isikute kaitse (122).

(102) Teiseks on lisaks neile täitevvõimu järelevalvemehhanismidele USA kongressil, täpsemalt esindajatekoja ja senati luure- ja kohtukomiteel järelevalvekohustused kogu USA välisluuretegevuse suhtes, kaasa arvatud USA signaaliluure. Vastavalt riikliku julgeoleku seadusele (National Security Act) peab president „tagama, et kongressi luurekomiteedel oleks täielik ja ajakohane teave Ameerika Ühendriikide luuretegevuse kohta, sealhulgas oluliste tulevikus kavandatavate luuretegevuste kohta vastavalt käesoleva alapeatüki nõuetele“ (123). Samuti peab president „tagama, et kongressi luurekomiteesid teavitatakse viivitamata mis tahes ebaseaduslikust luuretegevusest ja ebaseadusliku tegevusega seoses võetud või kavandatavatest parandusmeetmetest“ (124). Nimetatud komiteede liikmetel on juurdepääs salastatud teabele ning luuremeetoditele ja -programmidele (125).

(103) Hilisemate õigusaktidega on nii luureühenduse liikmete, asjaomaste peainspektorite kui ka justiitsministri aruandlusnõudeid laiendatud ja täpsustatud. Näiteks nõuab FISA, et justiitsminister peab senati ja esindajatekoja luure- ja kohtukomiteesid „täielikult teavitama“ mõningate FISA paragrahvide alla kuuluvatest valitsuse tegevustest (126). Samuti nõuab see, et valitsus esitaks kongressi komiteedele „koopiad kõikidest vastuluurekohtu või vastuluure apellatsioonikohtu otsustest, korraldustest ja arvamustest, millega olulisel määral sisustatakse või tõlgendatakse“ FISA sätteid. Eelkõige tehakse FISA paragrahvi 702 kohase jälgimisega seoses järelevalvet luure- ja kohtukomiteedele seaduse alusel esitatavate aruannete ning sagedase teavitamise ja kuulamiste kaudu. Nende hulgas on kaks korda aastas esitatav justiitsministri aruanne FISA paragrahvi 702 kasutamise kohta koos tõendavate dokumentidega, eelkõige justiitsministeeriumi ja ODNI vastavuskontrolli aruannetega ning mittevastavusjuhtumite kirjeldusega, (127) ning samuti kaks korda aastas esitatav justiitsministri ja DNI hinnang, milles kirjeldatakse suunamis- ja minimeerimismenetluste, sealhulgas selliste menetluste järgimist, mille ülesanne on tagada, et kogumine toimub õiguspärasel välisluure-eesmärgil (128). Samuti saab kongress aruandeid peainspektoritelt, kes on volitatud hindama suunamis- ja minimeerimismenetluste ning justiitsministri suuniste järgimist asutustes.

(104) Vastavalt 2015. aasta seadusele USA FREEDOM Act peab USA valitsus igal aastal kongressile (ja üldsusele) muu hulgas avaldama taotletud ja saadud FISA korralduste ja direktiivide arvu ning luuretegevuse objektiks olnud USA isikute ja USA-väliste isikute hinnangulise arvu (129). Kõnealune seadus nõuab ka välja antud NSL-ide arvu avalikustamist eraldi USA isikute ja USA-väliste isikute kohta (lubades samas FISA korralduste ja kinnituste ning NSL-ide saajatel avaldada teatavatel tingimustel läbipaistvusaruandeid) (130).

(105) Kolmandaks peab USA riigiasutuste luuretegevus olema kontrollitav ning eeldab teatavatel juhtudel ka meetmete eelnevat heakskiitu FISA kohtu (FISC) (131) poolt, mis on sõltumatu kohus, (132) kelle otsuseid saab vaidlustada välisluure apellatsioonikohus (FISCR) (133) ning lõpuks Ameerika Ühendriikide ülemkohtus (134). Kui on nõutav eelnev heakskiit, peavad taotlevad asutused (FBI, NSA, CIA jne) esitama taotluse projekti justiitsministeeriumi riikliku julgeoleku osakonna juristidele, kes vaatavad selle läbi ning küsivad vajaduse korral täiendavat teavet (135). Kui taotlus on lõplikult valmis, peab selle heaks kiitma justiitsminister, asejustiitsminister või asejustiitsminister riikliku julgeoleku küsimustes (136). Seejärel esitab justiitsministeerium taotluse FISC-le, kes hindab taotlust ja teeb esialgse otsuse, kuidas edasi tegutseda (137). Istungi toimumise korral on FISC-l õigus küsitleda tunnistajaid ja küsida nõu ekspertidelt (138).

(106) FISCd (ja FISCRi) abistab viieliikmeline alaline komitee, millesse kuuluvad riikliku julgeoleku küsimuste ja kodanikuvabaduste eksperdid (139). Kohus määrab nende seast ühe isiku täitma amicus curiae ülesandeid, et aidata läbi vaadata taotlusi või muudatusi, mis kohtu hinnangul sisaldavad õigusnormide uudset või olulist tõlgendust, välja arvatud juhul, kui kohus peab sellise ülesande määramist mittevajalikuks (140). See peab eelkõige tagama, et kohtu hinnangus võetakse nõuetekohaselt arvesse eraelu puutumatuse kaalutlusi. Kohus võib määrata mõne üksikisiku või organisatsiooni amicus curiae ülesannetesse ja tehniliseks eksperdiks ka juhul, kui ta seda vajalikuks peab, või anda seda taotlevale üksikisikule või organisatsioonile loa esitada amicus curiae memorandum (141).

(107) ELi-USA andmekaitseraamistiku Privacy Shield alusel toimuva andmete edastamisega seotud kahe tähtsaima juriidilise jälgimisloa järelevalve toimub FISCs erinevalt.

(108) Vastavalt FISA paragrahvile 501, (142) mis lubab koguda „mis tahes materiaalseid esemeid (sealhulgas raamatuid, andmekandjaid, pabereid, dokumente ja muid esemeid)“, peab FISC-le esitatav taotlus sisaldama asjaolude kirjeldust, millest nähtub, et on piisavalt alust pidada soovitavaid materiaalseid esemeid vajalikuks sellise sanktsioneeritud uurimise (muu kui ohuhindamise) huvides, mida viiakse läbi USA-välise isikuga seotud välisluureinfo kogumiseks või kaitseks rahvusvahelise terrorismi või salaluuretegevuse eest. Taotlus peab sisaldama ka kogutud luureandmete säilitamise ja jagamise minimeerimiseks justiitsministri poolt kehtestatud menetluste nimekirja (143).

(109) Seevastu FISA paragrahvi 702 puhul (144) ei anna FISC luba üksikuteks jälgimismeetmeteks; selle asemel annab ta load jälgimisprogrammide jaoks (nt PRISM, UPSTREAM) vastavalt iga-aastastele vastavuskinnitustele, mille koostavad justiitsminister ja riigi luuredirektor. FISA paragrahv 702 lubab võtta välisluureinfo kogumise sihtmärgiks isikuid, kelle puhul on piisavalt alust arvata, et nad asuvad väljaspool Ameerika Ühendriike (145). Sihipärastamist korraldab NSA kahes etapis: esiteks teevad NSA analüütikud kindlaks välismaal asuvad USA-välised isikud, kelle jälgimine võimaldab analüütikute hinnangul saada vastavuskinnituses sätestatud vajalikke välisluureandmeid. Teiseks, pärast nende üksikisikute kindlakstegemist ja nende sihtmärgiks võtmise kinnitamist NSA-sisese põhjaliku kontrollimehhanismi abil, (146) võetakse sihtmärkide kasutatavate sidevahendite (nt e-posti aadressid) identimistunnused „ülesandeks“ (st neid arendatakse ja kasutatakse) (147). Nagu märgitud, ei sisalda FISC heakskiidetavad kinnitused teavet sihtmärgiks võetavate konkreetsete isikute kohta, vaid neis määratletakse pigem välisluureinfo kategooriad (148). Kuigi FISC ei hinda (ei eeldatava põhjuse järgi ega mõnel muul alusel) seda, kas isikud on välisluureinfo kogumise sihtmärgiks valitud õigesti, (149) on tal õigus kontrollida tingimust, et „kogumise oluliseks eesmärgiks on saada välisluureinfot“ (150). Nimelt on vastavalt FISA paragrahvile 702 NSA-l lubatud jälgida USA-st väljaspool asuvate USA-väliste isikute sidet üksnes juhul, kui on piisavalt alust arvata, et konkreetset sidevahendit kasutatakse välisluureinfo edastamiseks (nt rahvusvahelise terrorismi, tuumarelvade leviku või vaenuliku kübertegevusega seoses). Vastavate diskretsiooniotsuste järelevalvet teevad kohtud (151). Kinnitustes tuleb sätestada ka suunamis- ja minimeerimismenetlused (152). Justiitsminister ja riigi luuredirektor kontrollivad vastavust ja asutused on kohustatud teatama kõikidest mittevastavuse juhtudest FISC-le (153) (samuti kongressile ja presidendi luuretegevuse järelevalve nõukogule), kes võib selle alusel luba muuta (154).

(110) Lisaks on USA valitsus FISC järelevalve efektiivsuse suurendamiseks nõustunud rakendama PCLOBi soovitust, mille kohaselt tuleb FISC-ile esitada dokumendid paragrahvi 702 kohaste sihitamisotsuste kohta, sealhulgas juhuvalik ülesandelehtedest, et FISC saaks hinnata välisluure-eesmärgi nõude järgimist praktikas (155). Samas on USA valitsus nõustunud muutma NSA sihitamismenetlusi ja astunud selleks samme, et sihitamisotsuste välisluurega seotud põhjuseid paremini dokumenteerida (156).

Üksikisiku õiguskaitse

(111) USA õigus pakub erinevaid võimalusi ELi andmesubjektidele, kes muretsevad, et nende isikuandmeid võib olla töödeldud (kogutud, vaadatud jm) USA luureühenduse liikmete poolt ja soovivad teada, kas seejuures on järgitud USA õigusest tulenevaid piiranguid. Need hõlmavad põhimõtteliselt kolme valdkonda: sekkumine FISA alusel, riigiametnike tahtlik ebaseaduslik juurdepääs isikuandmetele ja juurdepääs andmetele teabevahetuse seaduse (Freedom of Information Act, FOIA) alusel (157).

(112) Esiteks pakub välisluure jälitustegevuse seadus (Foreign Intelligence Surveillance Act) mitmeid USA-välistele isikutele kättesaadavaid õiguskaitsevahendeid ebaseadusliku elektroonilise jälgimise vaidlustamiseks (158). Muu hulgas on üksikisikutel võimalik esitada Ameerika Ühendriikide vastu tsiviilhagi, kui nende kohta käivaid andmeid on ebaseaduslikult ja tahtlikult kasutatud või avaldatud, (159) esitada (ametivolituste ületamise sätete alusel) rahalisi kahjunõudeid otse USA riigiametnike vastu (160) ja vaidlustada jälgimise õiguspärasus (ning otsida võimalusi andmeid mitte avalikustada), kui USA valitsus kavatseb isiku elektroonilise jälgimise käigus kogutud andmeid või neist tuletatud teavet kasutada või avaldada USA kohtu- või haldusmenetluses (161).

(113) Teiseks andis USA valitsus komisjonile viited mitmele muule võimalusele, mida ELi andmesubjektid saavad kasutada õiguskaitse hankimiseks riigiametnike vastu, juhul kui valitsusel on tema isikuandmetele juurdepääs või neid kavatsetakse kasutada ebaseaduslikult, sealhulgas väidetavalt riikliku julgeoleku huvides (näiteks arvutipettuste ja sellealase kuritarvitamise seadus (Computer Fraud and Abuse Act), (162) elektroonilise side seadus (163) ja finantsandmetega seotud eraelu puutumatuse seadus (Right to Financial Privacy Act)) (164). Kõik need kaebeõiguse alused on seotud konkreetsete andmete, sihtmärkide ja/või juurdepääsu liikidega (nt kaugjuurdepääs arvutile Interneti kaudu) ning neile saab tugineda teatavatel tingimustel (nt tahtlik/teadlik tegevus, ametivolituste ületamine, tekitatud kahju) (165). Üldisem õiguskaitsevõimalus on olemas haldusmenetluse seaduse (Administrative Procedure Act, 5 U.S.C. § 702) näol, mille kohaselt on „igal isikul, kelle õigusi on rikutud ametkonna tegevusega või keda on negatiivselt mõjutanud või kahjustanud ametkonna tegevus“ õigus pöörduda kohtusse. See hõlmab võimalust taotleda kohtult, et „tunnistatakse ebaseaduslikuks ja jäetakse arvesse võtmata organi tegevus, uurimistulemused ja järeldused, mis leitakse olevat [---] meelevaldsed, suvalised või põhinevat kaalutusõiguse kuritarvitamisel või mis pole muul viisil seadusega kooskõlas“ (166).

(114) Peale selle on USA valitsus osutanud, et USA-välised isikud saavad FOIA alusel taotleda juurdepääsu föderaalasutuste registritele, sealhulgas konkreetse isiku isikuandmeid sisaldavatele registritele (167). FOIA eesmärki arvestades ei paku see võimalust saada individuaalset õiguskaitset isikuandmete käsitlemise kui sellise vastu, ent võimaldab üksikisikutel põhimõtteliselt saada juurdepääsu riiklikes luureasutustes hoitavale asjakohasele teabele. Isegi sel juhul näivad võimalused olevat piiratud, kuna asutused võivad keelduda teatavate loetletud erandite alla kuuluva teabe avaldamisest, sealhulgas juurdepääsust riikliku julgeoleku huvides salastatud teabele ja õiguskaitseorganite uurimisinfole (168). Samas saavad üksikisikud riiklike luureasutuste poolt neile eranditele tuginemise vaidlustada nii haldusmenetluse korras kui ka kohtus.

(115) Kuigi isikutele, sealhulgas ELi andmesubjektidele, keda on riikliku julgeoleku huvides ebaseaduslikult (elektrooniliselt) jälgitud, on saadaval erinevaid õiguskaitsevõimalusi, on samas selge, et vähemalt mõnesid USA luureametkondade kasutatavaid õiguslikke aluseid (nt korraldust E.O. 12333) need ei hõlma. Isegi kui kohtuliku kaitse võimalused USA-välistele isikutele on põhimõtteliselt olemas, näiteks FISA alusel toimuva jälgimise puhul, on õiguskaitsevahendite kasutamine piiratud (169) ning üksikisikute (sh USA isikute) esitatavaid nõudeid ei võeta menetlusse, kui nad ei suuda tõendada „õigustatud huvi“, (170) mistõttu tavakohtutele juurdepääs on piiratud (171).

(116) Et luua veel üks kõikidele ELi andmesubjektidele kättesaadav õiguskaitsevõimalus, on USA valitsus otsustanud luua uue, ombudsmani mehhanismi, nagu on märgitud USA välisministri kirjas komisjonile, mis sisaldub käesoleva otsuse III lisas. See mehhanism põhineb PPD-28 kohasel välisministeeriumi juhtivkoordinaatori (asekantsleri tase) määramisel, kes on välisriikide valitsustele kontaktpunktiks USA signaaliluuretegevusega seotud probleemide tõstatamisel, kuid mehhanism pakub algsest kavandist tunduvalt rohkem lisavõimalusi.

(117) Eelkõige on USA valitsus võtnud kohustused, et ombudsmani mehhanism tagab üksikisikute kaebuste uurimise ja menetlemise ning et üksikisikud saavad sõltumatu kinnituse, et USA seadusi on järgitud, või kui neid on rikutud, kinnituse rikkumise kõrvaldamise kohta (172). Mehhanismi alla kuulub „raamistiku Privacy Shield ombudsman“, see tähendab asekantsler ja muud töötajad, samuti muud järelevalveorganid, kellel on pädevus teha järelevalvet erinevate luureühenduse liikmente üle, kellega koostöös raamistiku ombudsman kaebusi käsitleb. Eelkõige juhul, kui üksikisiku taotlus käsitleb jälgimise kooskõla USA seadustega, saab raamistiku Privacy Shield ombudsman tugineda sõltumatutele uurimisvolitusi omavatele järelevalveorganitele (näiteks peainspektorid või PCLOB). Iga üksiku juhtumi korral tagab riigisekretär ombudsmanile vahendid, mis võimaldavad tagada, et vastused isikute taotlustele põhinevad kogu vajalikul teabel.

(118) Selle „liitstruktuuri“ kaudu tagab ombudsmani mehhanism sõltumatu järelevalve ja üksikisiku õiguskaitse. Lisaks sellele tagab koostöö muude järelevalveorganitega vajalikud eksperditeadmised. Lõpuks, kehtestades raamistiku Privacy Shield ombudsmanile kohustuse kinnitada vastavust või heastada mis tahes mittevastavus, peegeldab mehhanism USA valitsuse kui terviku kindlat soovi ELi üksikisikute kaebuste menetlemiseks ja lahendamiseks.

(119) Esiteks, erinevalt puhtalt valitsustevahelistest mehhanismidest võtab raamistiku Privacy Shield ombudsman vastu kaebusi üksikisikutelt ja menetleb neid. Kaebused on võimalik esitada sellistele liikmesriikide järelevalveasutustele, kelle pädevusse kuulub järelevalve riiklike julgeolekuteenistuste üle ja/või avaliku sektori asutuste poolne isikuandmete töötlemine, ning kes esitavad need kesksele ELi organile, kust nad suunatakse raamistiku Privacy Shield ombudsmanile (173). ELi üksikisikutele on see kasulik, kuna nad saavad pöörduda riikliku ametiasutuse poole nii-öelda kodu lähedal ja oma keeles. Nimetatud asutuse ülesandeks on üksikisikuid abistada, et raamistiku Privacy Shield ombudsmanile esitatud taotlused sisaldaksid peamisi andmeid ja et neid saaks seega lugeda „täielikeks“. Üksikisik ei pea tõendama, et USA valitsus on signaaliluuretegevuse kaudu ka tegelikult tema isikuandmetele juurde pääsenud.

(120) Teiseks kohustub USA valitsus tagama, et oma ametiülesannete täitmisel on raamistik Privacy Shield ombudsmanil võimalik toetuda koostööle muude USA seadusega ette nähtud järelevalve- ja nõuetele vastavuse mehhanismidele. See võib mõnikord hõlmata riiklikke luureasutusi, eriti juhul, kui taotlust võib tõlgendada juurdepääsu taotlemisena teabevabaduse seaduse raames. Muudel juhtudel ja eriti, kui taotlused käsitlevad jälgimise kooskõla USA seadustega, hõlmab nimetatud koostöö sõltumatuid järelevalveorganeid (st peainspektoreid), kellel on kohustus ja volitused põhjalikku juurdlust läbi viia (eriti seoses ligipääsuga kõigile asjaomastele dokumentidele ning volitused järelepärimiste esitamiseks ja ütluste taotlemiseks) ja nõuetele mittevastavust menetleda (174). Privacy Shieldi ombudsman saab õiguse saata asju arutamiseks ka PCLOBile (175). Kui mõni neist järelevalveorganitest tuvastab nõuetele mittevastavuse, peab asjaomane luureühenduse liige (st luureasutus) mittevastavuse heastama, kuna ainult sellisel juhul on ombudsmanil võimalik anda üksikisikule „positiivne“ vastus (st mittevastavus on kõrvaldatud), milleks USA valitsus on kohustuse võtnud. Samuti teavitatakse raamistiku Privacy Shield ombudsmani koostöö raames juurdluse tulemustest ja ombudsmani käsitusse antakse vahendid, tagamaks, et talle edastatakse kogu vastuse ettevalmistamiseks vajalik teave.

(121) Kõigele lisaks on Privacy Shieldi ombudsman USA luureühendusest sõltumatu ega allu seega selle juhistele (176). See on väga oluline, kuna ombudsmani ülesandeks on „kinnitada“, et i) kaebust on nõuetekohaselt uuritud ja ii) kohaldatavat USA õigust, sealhulgas eelkõige VI lisas esitatud piiranguid ja kaitsemeetmeid ei ole rikutud või juhul kui on toimunud rikkumine, on see heastatud. Selle sõltumatu kinnituse andmiseks peab raamistiku Privacy Shield ombudsman saama vajaliku uurimisega seonduva teabe, et hinnata kaebuse vastuse paikapidavust. Lisaks on riigisekretär kohustunud tagama, et asekantsler tegutseb raamistiku Privacy Shield ombudsmani ametis objektiivselt ja vabana mis tahes väärmõjust, mis võib antavat vastust mõjutada.

(122) Üldiselt tagab see mehhanism, et üksikisikute kaebuste suhtes viiakse läbi üksikasjalik uurimine ja et need lahendatakse ning et vähemalt jälgimise valdkonnas on kaasatud sõltumatud järelevalveorganid, kellel on vajalikud eksperditeadmised ja uurimisvolitused, ja ombudsman, kes saab oma ülesandeid täita vabana kahjulikust, eriti poliitiliselt mõjust. Lisaks sellele on üksikisikutel võimalik esitada kaebusi, tõestamata selleks oma jälgimise all olemist, või esitada lihtsalt vihjed jälgimise all olemise kohta (177). Nende sätete valgusel leiab komisjon, et olemas on asjakohased ja tõhusad tagatised väärkasutamise vastu.

(123) Eeltoodu põhjal järeldab komisjon, et Ameerika Ühendriigid tagavad tõhusa õiguskaitse, mis ei lase tema luureasutustel riivata nende isikute põhiõigusi, kelle isikuandmeid ELi-USA andmekaitseraamistiku Privacy Shield alusel liidust Ameerika Ühendriikidesse edastatakse.

(124) Sellega seoses võtab komisjon teadmiseks Euroopa Kohtu otsuse kohtuasjas Schrems, mille kohaselt „[s]amuti ei järgi õigusakt, milles ei ole andmesubjektile ette nähtud mingit võimalust kasutada õiguskaitsevahendeid, et tutvuda teda puudutavate isikuandmetega või lasta neisse parandusi teha või neid kustutada, harta artiklis 47 sätestatud põhiõiguse tõhusale kohtulikule kaitsele põhisisu“ (178). Komisjoni hinnangu tulemusel on leidnud kinnitust, et seesugused õiguskaitsevahendid on Ameerika Ühendriikides olemas, sealhulgas ombudsmani mehhanismi loomise kaudu. Ombudsmani mehhanismiga nähakse ette sõltumatu uurimisvolitustega järelevalvesüsteem. Komisjoni jälgib raamistikku Privacy Shield jooksvalt, sealhulgas iga-aastase ühise läbivaatamise kaudu, milles osaleb ka ombudsman, ja selle raames antakse uus hinnang nimetatud mehhanismi tõhususele.

3.2. Juurdepääs ja kasutamine USA avaliku sektori asutuste poolt õiguskaitse ja avalikes huvides

(125) Seoses ELi-USA andmekaitseraamistiku Privacy Shield alusel edastatud isikuandmete riivega õiguskaitse huvides on USA valitsus (justiitsministeeriumi kaudu) kinnitanud, et kohaldatakse piiranguid ja kaitsemeetmeid, mis komisjoni hinnangul tagavad piisava kaitsetaseme.

(126) Esitatud teabe kohaselt eeldab õiguskaitseorganite poolne läbiotsimine ja konfiskeerimine USA põhiseaduse neljanda muudatuse kohaselt (179) põhimõtteliselt (180) kohtu määrust, mille saamiseks tuleb tõendada „põhjendatud kahtlust“. Üksikutel selgelt sätestatud erandjuhtudel, mille puhul määrust ei nõuta, (181) peavad õiguskaitseorganid juhinduma „mõistlikkuse põhimõttest“ (182). Läbiotsimise või konfiskeerimise mõistlikkuse kindlakstegemiseks tuleb „ühelt poolt hinnata, mil määral see riivab üksikisiku eraelu puutumatust, ja teiselt poolt, kui vajalik on see riigi õiguspäraste huvide teostamiseks“ (183). Üldisemalt tagab neljas muudatus eraelu puutumatuse, väärikuse ning kaitse valitsusesindajate meelevaldsete ja sekkuvate tegude eest (184). Sisuliselt kannavad need põhimõtted liidu õiguse vajalikkuse ja proportsionaalsuse ideed. Kui õiguskaitseorganid konfiskeeritud esemeid enam tõenditena ei vaja, tuleks need tagastada (185).

(127) Kuigi põhiseaduse neljanda parandusega antavad õigused ei laiene USA-välistele isikutele, kes ei ela Ameerika Ühendriikides, on neil sellegipoolest kaudselt kasu sellest tulenevast kaitsest, kuna isikuandmed on USA ettevõtete valduses ja sellest tulenevalt peavad õiguskaitseorganid igal juhul taotlema õigusasutuse luba (või vähemalt järgima mõistlikkuse nõuet) (186). Täiendava kaitse tagavad spetsiaalsed seaduse alusel tegutsevad ametiasutused ning justiitsministeeriumi suunised, mis piiravad õiguskaitseorganite juurdepääsu andmetele vajalikkus- ja proportsionaalsusnõudega sarnastel alustel (nt kohustades FBI-d kasutama uurimismeetodeid, millega kaasneb võimalikult väike eraelu puutumatuse ja kodanikuõiguste riive) (187). USA valitsuse kinnituste kohaselt kohaldatakse samaväärset või tugevamat kaitset ka (osariikide seaduste alusel toimuvatele) osariikide õiguskaitseorganite uurimistele (188).

(128) Ehkki kohtu või juurdluskogu (grand jury ehk kohtuniku või kohtu-uurija koostatud uurimisorgan) luba ei ole kõikidel juhtudel nõutav, (189) on haldusorganitel lubatud teabenõudeid kasutada vaid konkreetsetel juhtudel ning neile rakendatakse ka sõltumatut kohtulikku kontrolli, vähemalt juhul, kui valitsus taotleb kohtult nende jõustamist (190).

(129) Sama kehtib haldusorganite teabenõuetele, mis esitatakse avalikes huvides. Lisaks on USA valitsuse kinnitustes märgitud, et kehtivad ka sarnased sisulised piirangud, mille kohaselt asutused võivad taotleda juurdepääsu üksnes teabele, mis on seotud nende võimkonda kuuluvate küsimustega, ning peavad järgima seejuures mõistlikkuse põhimõtet.

(130) Lisaks on USA õigusega nähtud üksikisikutele ette mitu õiguskaitsevahendit kaitseks avaliku sektori asutuse või selle ametniku eest juhul, kui sellised asutused töötlevad isikuandmeid. Nimetatud vahendid, mille hulka kuulub haldusmenetluse seadus (Administrative Procedure Act, APA), teabevabaduse seadus (Freedom of Information Act, FOIA) ja elektroonilise side seadus (Electronic Communications Privacy Act, ECPA), on kättesaadavad kõigile isikutele hoolimata nende kodakondsusest ja sõltuvalt kohaldatavatest tingimustest.

(131) Üldiselt, vastavalt haldusmenetluse seaduse (191) sätetele kohtuliku läbivaatamise kohta, on „igal isikul, kelle õigusi on rikutud ametkonna tegevusega või keda on negatiivselt mõjutanud või kahjustanud ametkonna tegevus“ õigus pöörduda kohtusse (192). See hõlmab võimalust taotleda kohtult, et „tunnistatakse ebaseaduslikuks ja jäetakse arvesse võtmata organi tegevus, uurimistulemused ja järeldused, mis leitakse olevat [---] meelevaldsed, suvalised või põhinevat kaalutusõiguse kuritarvitamisel või mis pole muul viisil seadusega kooskõlas“ (193).

(132) Täpsemalt on elektroonilise side seaduse II jaotisega (194) kehtestatud eraelu puutumatuse õiguste süsteem, mis reguleerib õiguskaitse juurdepääsu kolmandatest isikutest teenusepakkujate poolt säilitavate telefonikõnede, vestluste või elektroonilise teabevahetuse sisule (195). See kriminaliseerib ebaseadusliku (st ilma kohtu loata või muul viisil lubatud) juurdepääsu sellisele teabevahetusele ja annab puudutatud isikule võimaluse esitada tsiviilhagi USA föderaalkohtule tegeliku ja karistusliku iseloomuga kahju eest, samuti õiglase hüvitise või tuvastushagi nimetatud ebaseaduslikud teod tahtlikult toime pannud valitsusametniku vastu või Ameerika Ühendriikide vastu.

(133) Samuti on vastavalt teabevahetuse seaduse (5 U.S.C. § 552) sätetele igal isikul õigus saada juurdepääs föderaalasutuste registritele ja kui halduslikud õiguskaitsevahendid on ammendunud, selle õiguse kasutamiseks kohtu kaudu, välja arvatud juhul, kui nimetatud registrid on kaitstud avalikustamise eest erandiga või õiguskorra tagamisega seonduva keeluga (196).

(134) Lisaks sellele võimaldavad veel mitu õigusakti üksikisikutel esitada hagi USA avaliku sektori asutuse või ametniku vastu, näiteks pealtkuulamisseadus (Wiretap Act), (197) arvutipettuste ja sellealase kuritarvitamise seadus (Computer Fraud and Abuse Act), (198) föderaalne õigusvastaselt tekitatud kahju hüvitamise seadus (Federal Torts Claim Act), (199) finantsandmetega seotud eraelu puutumatuse seadus (Right to Financial Privacy Act) (200) ja õiglase krediidiinfo seadus (Fair Credit Reporting Act) (201).

(135) Seetõttu järeldab komisjon, et Ameerika Ühendriikides on olemas eeskirjad, mille ülesandeks on piirata selliste isikute põhiõiguste riivamist õiguskaitse (202) või avaliku huvi eesmärgil, kelle isikuandmeid edastatakse liidust Ameerika Ühendriikidesse, piiratakse rangelt sellega, mis on vajalik asjaomase seadusliku eesmärgi saavutamiseks, ning millega tagatakse tõhus õiguskaitse selliste riive vastu.

4. KAITSETASEME PIISAVUS ELI-USA ANDMEKAITSERAAMISTIKU PRIVACY SHIELD RAAMES

(136) Neid järeldusi arvestades leiab komisjon, et Ameerika Ühendriigid tagavad ELi-USA andmekaitseraamistiku Privacy Shield alusel piisava kaitsetaseme isikuandmetele, mis edastatakse liidust põhimõtete järgimist kinnitanud organisatsioonidele Ameerika Ühendriikides.

(137) Eelkõige leiab komisjon, et USA kaubandusministeeriumi avaldatud põhimõtted tervikuna tagavad isikuandmete kaitse sisuliselt samaväärsel tasemel, nagu on tagatud direktiiviga 95/46/EÜ kehtestatud aluspõhimõtetega.

(138) Põhimõtete tõhus rakendamine on tagatud ka läbipaistvuskohustustega ning andmekaitseraamistiku Privacy Shield haldamisega kaubandusministeeriumi poolt.

(139) Lisaks leiab komisjon, et andmekaitseraamistiku Privacy Shield jaoks ette nähtud seire- ja kaebuste käsitlemise mehhanismid tervikuna võimaldavad praktikas tuvastada põhimõtete rikkumisi raamistiku Privacy Shield alusel tegutsevates organisatsioonides ja nende eest karistada ning pakuvad andmesubjektile õiguskaitsevahendeid temaga seotud isikuandmetele juurdepääsu tagamiseks ning lõpuks nimetatud andmete parandamiseks või kustutamiseks.

(140) Lisaks leiab komisjon USA õigussüsteemi kohta saada oleva teabe, sealhulgas USA valitsuse kinnituste ja kohustuste põhjal, et selliste isikute põhiõiguste riivamine Ameerika Ühendriikides riikliku julgeoleku, õiguskaitse või muu avaliku huvi eesmärgil, kelle isikuandmeid edastatakse liidust Ameerika Ühendriikidesse, ja põhimõtete järgimist kinnitanud organisatsioonidele sellest tulenevalt kehtivad piirangud eraelu puutumatuse põhimõtete järgimisel, piirduvad asjaomase seadusliku eesmärgi saavutamiseks rangelt vajalikuga ning tagatud on tõhus õiguskaitse selliste riive vastu.

(141) Komisjon järeldab, et see on kooskõlas direktiivi 95/46/EÜ artikli 25 nõuetega, mida tõlgendatakse koostoimes Euroopa Liidu põhiõiguste hartaga, nagu Euroopa Kohus on selgitanud eelkõige kohtuasja Schrems otsuses.

5. ANDMEKAITSEASUTUSTE (DPADE) TEGEVUS JA TEABE EDASTAMINE KOMISJONILE

(142) Kohtuasjas Schrems tehtud otsuses selgitas Euroopa Kohus, et komisjonil puudub pädevus piirata liikmesriigi DPAde volitusi, mis neil on tulenevalt direktiivi 95/46/EÜ artiklist 28 (sealhulgas õigus peatada andmeedastus), kui isik selle sätte alusel esitatud avalduses seab kahtluse alla selle, kas komisjoni piisavusotsus on kooskõlas eraelu puutumatuse ja andmekaitse põhiõigustega (203).

(143) Andmekaitseraamistiku Privacy Shield toimimise tõhusa järelevalve huvides peaksid liikmesriigid teavitama komisjoni DPAde sellealastest meetmetest.

(144) Euroopa Kohus leidis lisaks sellele, et vastavalt direktiivi 95/46/EÜ artikli 25 lõike 6 teisele lõigule peavad liikmesriigid ja nende organid võtma liidu institutsioonide aktid järgimiseks vajalikud meetmed, kuna üldjuhul eeldatakse nende õiguspärasust ja need tekitavad seega õiguslikke tagajärgi seni, kuni neid ei ole tagasi võetud, tühistamishagi menetlemise tulemusena tühistatud ega eelotsusemenetluse tulemusel või õigusvastasuse väite alusel kehtetuks tunnistatud. Seega on direktiivi 95/46/EÜ artikli 25 lõike 6 alusel vastu võetud komisjoni piisavusotsus siduv kõikide otsuse adressaadiks olevate liikmesriikide organitele, sealhulgas sõltumatutele järelevalveasutustele (204). Kui selline asutus on saanud kaebuse, milles seatakse kahtluse alla komisjoni piisavusotsuse kooskõla eraelu puutumatuse ja andmekaitse põhiõigustega ning ta leiab esitatud vastuväited olevat hästi põhjendatud, peab liikmesriigi õigusega olema ette nähtud õiguskaitsevahend, mis võimaldab tal edastada need vastuväited siseriiklikule kohtule, kes kahtluste korral peab menetluse peatama ja esitama eelotsusetaotluse Euroopa Kohtule (205).

6. PIISAVUSOTSUSE KORRAPÄRANE LÄBIVAATAMINE

(145) Kuna USA õiguskorrast tulenev kaitsetase võib muutuda, kontrollib komisjon pärast käesoleva otsuse vastuvõtmist korrapäraselt, kas järeldused ELi-USA andmekaitseraamistiku Privacy Shield raames Ameerika Ühendriikide poolt tagatava kaitse piisava taseme kohta on endiselt faktiliselt ja õiguslikult põhjendatud. Niisugune kontrollimine on igal juhul nõutav, kui komisjonile laekunud teave tekitab kõnealuse küsimuse suhtes põhjendatud kahtluse (206).

(146) Seepärast jälgib komisjon pidevalt ELi-USA andmekaitseraamistikuga Privacy Shield loodud isikuandmete edastamise üldraamistikku ning käesolevale otsusele lisatud dokumentides sisalduvate kinnituste ja kohustuste täitmist USA ametiasutuste poolt. Selle protsessi hõlbustamiseks on USA andnud lubaduse teavitada komisjoni olulistest raamistiku Privacy Shield suhtes asjakohastest arengusuundadest USA õiguses seoses andmekaitsega ning piirangute ja kaitsemehhanismidega, mida kohaldatakse avaliku sektori asutuste poolse isikuandmetele juurdepääsu suhtes. Lisaks vaadatakse käesolev otsus igal aastal ühiselt läbi ning see läbivaatamine hõlmab ELi-USA andmekaitseraamistiku Privacy Shield toimimise kõiki aspekte, sealhulgas riikliku julgeoleku ja õiguskaitsega seotud erandite tegemist põhimõtete