Andmevood on ülemaailmsed. Euroopa Liit on seotud aluslepingute ja Euroopa Liidu põhiõiguste hartaga, mis kaitsevad liidus igaüht. Euroopa Liidul on kohustus teha kõik võimalik, et õigust eraelu puutumatusele ja isikuandmeid kaitstaks kõigi andmetöötlustoimingute ajal, sealhulgas andmete edastamisel.

Alates 2013. aastast, mil jälgimistegevus tuli avalikuks, on Euroopa Liit koos strateegilise partneri Ameerika Ühendriikidega püüdnud määratleda uusi norme selle kohta, kuidas edastatakse Euroopa Liidust USAsse kaubanduslikel eesmärkidel isikuandmeid. Need normid põhineksid süsteemil, et äriühingud kinnitavad andmekaitse põhimõtete järgimist ise. Euroopa Andmekaitseinspektor mõistab samamoodi kui liikmesriikide andmekaitseasutused seda, kui tähtis on praegusel ajal, mil üle maailma edastatakse pidevalt tohutuid andmekoguseid, et maailma suurimate kaubanduspartnerite Euroopa Liidu ja USA kaubanduslikku andmevahetust reguleeriks jätkusuutlik õigusraamistik. Ent see raamistik peab olema igati kooskõlas ühistel demokraatlikel ja individuaalsetel õigustel põhinevate väärtustega, mida Euroopa Liidus on väljendatud Lissaboni lepingu ja põhiõiguste hartaga ning USAs põhiseadusega.

Andmekaitseraamistiku Privacy Shield eelnõu võib olla samm õiges suunas, kuid praeguses sõnastuses ei sisalda see meie arvates piisavalt kõiki asjakohaseid kaitsemeetmeid, et tagada Euroopa Liidus kehtiv üksikisikute õigus eraelu puutumatusele, samuti andmekaitse ja õiguskaitsevahendid. Kui Euroopa Komisjon soovib piisavusotsuse vastu võtta, tuleks seda oluliselt täiustada. Eelkõige peaks Euroopa Liidule olema paremini põhjendatud andmeedastuse vajadus ja proportsionaalsus, selle asemel et seadustada USA asutuste rutiinne juurdepääs edastatavatele andmetele kriteeriumidel, millel on seaduslik alus vastuvõtjariigis, kuid mitte Euroopa Liidus, nagu kinnitavad ka aluslepingud, kohtupraktika ja liikmesriikide põhiseaduslikud traditsioonid.

Peale selle võivad praegusel veebistunud ja jagatud võrgustikega ajal eraõiguslike organisatsioonide enesereguleerimine ning ametiisikute kinnitused ja kohustused toimida lühikest aega, kuid pikemas plaanis ei piisa neist, et kaitsta üksikisikute õigusi ja huve ning täielikult rahuldada üleilmastunud digimaailma, kus paljudel riikidel on olemas andmekaitse-eeskirjad.

Atlandi-üleses dialoogis oleks sel põhjusel teretulnud pikaajalisem lahendus. Ka siduvas föderaalses õigusaktis peaksid olema konkreetselt ja täpselt määratletud vähemalt peamised õiguste põhimõtted, nagu on määratletud teiste Euroopa Liidu väliste riikide korral, mida on piisava kaitsetaseme tagamiseks „rangelt hinnatud”. Schremsi otsuses sedastas Euroopa Liidu Kohus, et kaitse on piisav juhul, kui see „sisuliselt vastab” liidus tagatava kaitse tasemele, ning artikli 29 töörühma sõnul tähendab see, et kaitse peab kattuma andmekaitse „aluspõhimõtete olemusega”.

On positiivne, et USA riigiasutused on ilmutanud suuremat läbipaistvust, kasutades raamistiku Privacy Shield põhimõtete erandit õiguskaitse, riikliku julgeoleku ja avaliku huvi eesmärgil.

Ent kui 2000. aasta programmis Safe Harbor käsitati juurdepääsu riikliku julgeoleku eesmärgil ametlikult erandina, siis tähelepanu, mida raamistiku Privacy Shield otsuse eelnõus on pühendatud kaubanduslikul eesmärgil edastatavate isikuandmete juurdepääsule, filtreerimisele ja analüüsile õiguskaitse ja luure eesmärgil, viitab, nagu oleks erandist saanud reegel. Eelkõige toob Euroopa Andmekaitseinspektor otsuse eelnõu ja selle lisade põhjal esile, et vaatamata viimase aja suundumusele rakendada üleüldise valimatu jälgimise asemel sihipärasemat ja selektiivsemat meetodit, võib signaaliluure ulatus ja Euroopa Liidust edastatavate andmete maht, mida pärast edastamist ja eriti edastamise ajal võidakse potentsiaalselt koguda ja kasutada, olla endiselt väga suur ja see vajaks täpsemat käsitlemist.

Kuigi samasugust tegevust võib seostada ka teiste riikide luurega ja me väljendame heameelt USA riigiasutuste viimase aja läbipaistvuse üle, võib praegune otsuse eelnõu sellise tegevuse seaduspärastada. Sel põhjusel julgustame Euroopa Komisjoni rõhutama, et Lissaboni lepingust tulenevaid Euroopa Liidu kohustusi arvestades peaksid avaliku sektori asutused saama kaubanduslikul eesmärgil edastatud andmete juurdepääsu ja kasutusõiguse, ka edastamise ajal, ainult erandlikel asjaoludel ja siis, kui see on konkreetse avaliku huvi tõttu vältimatu.

Andmete kaubanduslikul eesmärgil edastamise sätetest lähtuvalt ei peaks vastutavad töötlejad nõuete täitmise mudeleid pidevalt muutma. Samas põhineb otsuse eelnõu olemasoleval Euroopa Liidu õigusraamistikul, mida alates 2018. aasta maist ehk vähem kui aasta pärast seda, kui vastutavad töötlejad raamistikku Privacy Shield täielikult rakendavad, hakkab asendama määrus (EL) 2016/679 (isikuandmete kaitse üldmäärus). Isikuandmete kaitse üldmäärusega kehtestatakse vastutavatele töötlejatele uued kohustused, mida raamistiku Privacy Shield üheksa põhimõtet ei hõlma. Soovitame Euroopa Komisjonil eelnõu lõplikele muudatustele vaatamata üksikasjalikult hinnata alates esimesest aruandest tulevikuväljavaateid, et tuvastada aegsasti olulised sammud pikaajaliste lahenduste leidmiseks, mis võiksid raamistiku Privacy Shield asendada tugevamate ja stabiilsemate Atlandi-üleseid suhteid hoogustavate õigusraamistikega.

Seega esitab Euroopa Andmekaitseinspektor raamistiku Privacy Shield kohta konkreetsed soovitused.