Käesoleva aruande esitamisega lõpetatakse raamistiku Privacy Shield toimimise teine iga-aastane läbivaatamine. Käesolev aruanne ja sellele lisatud komisjoni talituste töödokument (SWD(2018) 497) on üles ehitatud esimese iga-aastase aruande eeskujul. Neis dokumentides on käsitletud raamistiku Privacy Shield toimimise kõiki aspekte, sealhulgas viimase aasta sündmusi. Komisjoni analüüsis on keskendutud eelkõige sellele, kuidas on rakendatud soovitusi, mille ta esitas esimese iga-aastase läbivaatamise tulemusel.

Esimese läbivaatamise tähelepanekute põhjal järeldas komisjon, et Ameerika Ühendriigid tagavad endiselt piisava kaitsetaseme isikuandmetele, mis edastatakse raamistiku Privacy Shield alusel liidust Ameerika Ühendriikides asuvatele organisatsioonidele. Samas leidis komisjon, et raamistiku Privacy Shield praktilist rakendamist saaks veelgi parandada, et selles sätestatud tagatised ja kaitsemeetmed toimiksid nii, nagu ette nähtud. Seda silmas pidades esitas komisjon kümme soovitust.

12. juulil 2016 võttis komisjon vastu otsuse (edaspidi „kaitse piisavuse otsus“), milles ta leidis, et ELi ja USA isikuandmete kaitse raamistik Privacy Shield (edaspidi „raamistik Privacy Shield“) tagab piisava kaitse isikuandmetele, mis on edastatud EList USAs asuvatele organisatsioonidele . Kaitse piisavuse otsuse kohaselt peab komisjon igal aastal analüüsima raamistiku toimimise kõiki aspekte. Esimene iga-aastane läbivaatamine toimus 18. ja 19. septembril 2017 Washingtonis. 18. oktoobril 2017 võttis komisjon vastu aruande Euroopa Parlamendile ja nõukogule, millele on lisatud komisjoni talituste töödokument (SWD(2017) 344 final) .

Kaubandusaspektid hõlmavad sertifitseeritud äriühingute suhtes kohaldatavate kohustuste haldamist, järelevalvet ja täitmist. Nende kohta märkis komisjon, et vastavalt soovitustele, mille ta esitas esimese iga-aastase läbivaatamise tulemusel, on kaubandusministeerium sertifitseerimisprotsessi tugevdanud ja kehtestanud uued järelevalvemenetlused. Eelkõige kehtestas kaubandusministeerium korra, mille kohaselt ei tohi esmakordsed taotlejad esitada avalikke kinnitusi seoses osalemisega raamistikus Privacy Shield enne, kui kaubandusministeerium on nende sertifitseerimise menetluse lõpule viinud. Lisaks on kaubandusministeerium võtnud kasutusele uued mehhanismid nõuete täitmise alaste probleemide avastamiseks. Nii näiteks tehakse pistelist kohapealset kontrolli, mida iga-aastase läbivaatamise ajaks oli tehtud umbes 100 organisatsioonis, ning jälgitakse meedias ilmuvaid teateid selle kohta, kuidas raamistikus Privacy Shield osalejad tagavad eraelu puutumatust. Et leida üles valeväited raamistikus osalemise kohta, on kaubandusministeerium kasutusele võtnud mitmesugused vahendid. Näiteks kontrollib ta kord kvartalis äriühinguid, kelle puhul valeväidete esitamise oht on suurem, ning on juurutanud internetist kujutiste ja teksti otsingu süsteemi. Nende uute võtete ja menetluste tulemusel on kaubandusministeerium pärast esimest iga-aastast läbivaatamist andnud üle 50 juhtumi menetlemiseks föderaalsele kaubanduskomisjonile, kes omakorda on võtnud täitemeetmeid juhtudel, kui pelgast juhtumi üleandmisest asjaomase äriühingu korralekutsumiseks ei piisanud.

Täitmise tagamise küsimuses märkis Euroopa Komisjon, et föderaalne kaubanduskomisjon, kes tegeleb ennetava tegevusega rikkumiste ärahoidmiseks, esitas hiljuti teabenõude mitmele raamistikus Privacy Shield osalevale äriühingule. Föderaalne kaubanduskomisjon on samuti kinnitanud, et uurib Facebooki ja Cambridge Analytica juhtumit. Kuigi komisjon on seisukohal, et föderaalse kaubanduskomisjoni uus, senisest ennetavam lähenemisviis nõuetele vastavuse kontrollimisele on oluline edasiminek, avaldab ta kahetsust, et föderaalne kaubanduskomisjon ei saanud esialgu esitada rohkem teavet uute uurimiste kohta. Komisjon jälgib tähelepanelikult sündmuste arengut selles valdkonnas.

Teise iga-aastase läbivaatamise käigus on arvesse võetud ka Ameerika Ühendriikide õigussüsteemi arengut eraelu puutumatuse valdkonnas. Eelkõige peetakse silmas kaubandusministeeriumi algatatud konsulteerimist föderaalse isikuandmete kaitse küsimuses ning föderaalses kaubanduskomisjonis toimuvat arutelu, mis käsitleb föderaalse kaubanduskomisjoni pädevust eraelu puutumatuse kaitse valdkonnas ja tema korrigeerimisvolituste kasutamise tulemuslikkust.

Facebooki ja Cambridge Analytica juhtumist ning muudest paljastustest saab järeldada, et EL ja USA peaksid ühtlustama oma tegevust selles valdkonnas. Seda silmas pidades on komisjon jälginud eespool nimetatud algatusi suure huviga ja on osalenud kaubandusministeeriumi konsultatsiooniprotsessis, esitades kirjalikult oma seisukoha.

Teise iga-aastase läbivaatamise käigus käsitleti ka küsimust, milline on Ameerika Ühendriikide ametiasutuste juurdepääs isikuandmetele ja kuidas nad isikuandmeid kasutavad. Keskenduti õigusraamistiku, eelkõige asutuste tegevuspõhimõtete ja -korra arengule, uuematele suundumustele järelevalve teostamises ning oluliste järelevalve- ja heastamismehhanismide loomisele ja toimimisele.

Olulisim sündmus valitsuse juurdepääsuõiguse küsimuses oli see, et 2018. aasta alguses saadi luba taas kohaldada välisluure jälitustegevuse seaduse (Foreign Intelligence Surveillance Act, edaspidi „seadus“) paragrahvi 702. Loa saamisest hoolimata ei inkorporeeritud seadusesse presidendi poliitikasuunist nr 28, mida oli soovitanud komisjon. See ei takistanud siiski kohaldamast ühtki seaduses sisalduvat kaitsemeedet, mis kehtisid isikuandmete kaitse raamistikku Privacy Shield käsitleva otsuse vastuvõtmise ajal. Lisaks sellele ei laiendatud muudatustega Ameerika Ühendriikide luureteenistuste õigust saada välisluureteavet, kogudes paragrahvile 702 toetudes andmeid muude riikide kodanike kohta. Seevastu kehtestati 2017. aasta muudatuste taaslubamise seadusega (Amendments Reauthorization Act), millega muudeti 1978. aasta välisluure jälitustegevuse seadust, mõningad väiksemad eraelu puutumatuse kaitsemeetmed näiteks läbipaistvuse valdkonnas.

Olulisi sündmusi on toimunud ka eraelu puutumatuse ja kodanikuvabaduste järelevalve komisjoni (Privacy and Civil Liberties Oversight Board) tegevuses. Esimese iga-aastase läbivaatamise ajal oli sellesse jäänud ainult üks liige, mistõttu soovitas Euroopa Komisjon kiires korras nimetada sellesse uusi liikmeid. 11. oktoobril 2018 nimetas Ameerika Ühendriikide senat ametisse eraelu puutumatuse ja kodanikuvabaduste järelevalve komisjoni esimehe ning kaks liiget. Nüüd tegutseb komisjon täies koosseisus ja tal on võimalik täita kõiki ülesandeid. Esimese iga-aastase läbivaatamise tulemusel soovitas Euroopa Komisjon ka avalikustada selle komisjoni aruande presidendi poliitikasuunise nr 28 kohta. Aruanne avaldati 16. oktoobril 2018 . Sellest selgub, et presidendi poliitikasuunist nr 28 kohaldavad kõik luureteenistused. Eelkõige kinnitatakse aruandes, et pärast presidendi poliitikasuunise nr 28 avaldamist on kõik asjaomased luureteenistused võtnud vastu üksikasjalikud eeskirjad kõnealuse suunise rakendamiseks ning teinud sellest tulenevalt oma tegevuses muudatusi.

Mis aga puudutab Euroopa Komisjoni soovitust kiiresti ametisse nimetada raamistiku Privacy Shield ombudsman, oli käesoleva aruande koostamise ajal endiselt alaliselt ametisse nimetamata see välisministeeriumi asekantsler, kellele allub ombudsmani büroo. Sellega seoses võttis komisjon teadmiseks asjaolu, et Ameerika Ühendriikide valitsus tunnistas teise iga-aastase läbivaatamise ajal vajadust asekantsler kiiresti ametisse nimetada ja kinnitas, et see protsess on käimas.

Käesoleva aruande koostamise ajal ei olnud ombudsmani mehhanismile veel esitatud ühtki taotlust, kuid ombudsmanile mõeldud kaebus oli esitatud Horvaatia isikuandmete kaitse asutusele ning sellest tulenev kontroll oli alanud.

Üksikasjalikud järeldused raamistiku Privacy Shield toimimise kõigi aspektide kohta pärast teist tegevusaastat on esitatud komisjoni talituste töödokumendis ELi-USA isikuandmete kaitse raamistiku Privacy Shield toimimise teise iga-aastase läbivaatamise kohta (SWD(2018) 497 final), mis on lisatud käesolevale aruandele.

Teise iga-aastase läbivaatamise käigus kogutud teave kinnitab komisjoni poolt kaitse piisavuse otsuses esitatud järeldusi nii raamistiku kaubandusaspektide kohta kui ka seoses Ameerika Ühendriikide ametiasutuste juurdepääsuga isikuandmetele, mida edastatakse raamistiku Privacy Shield alusel.

Nende järelduste põhjal järeldab komisjon, et Ameerika Ühendriigid tagavad endiselt piisava kaitse isikuandmetele, mis edastatakse raamistiku Privacy Shield alusel liidust Ameerika Ühendriikides asuvatele organisatsioonidele.

Eelkõige on pärast esimest iga-aastast läbivaatamist võetud komisjoni soovituste kohaselt meetmeid raamistiku praktilise toimimise parandamiseks, tagades füüsilistele isikutele kogu kaitse, millele neil on õigus vastavalt kaitse piisavuse otsusele.

Mõned nimetatud meetmed on aga võetud alles hiljuti ja sellest tingitud protsessid ei ole veel lõpule jõudnud. Neid protsesse tuleb hoolikalt jälgida, kuna need mõjutavad elemente, mis on olulised isikuandmete kaitse järjekindluse tagamiseks. Eelkõige puudutab see järgmist:

1.Kaubandusministeeriumi poolt raamistiku teisel kehtimisaastal kasutusele võetud selliste mehhanismide tõhusus, millega teostatakse ennetavat järelevalvet raamistiku Privacy Shield põhimõtete järgimise üle. Eelkõige tuleb jälgida seda, kuidas sertifitseeritud äriühingud täidavad sisulisi nõudeid ja kohustusi.

2.Nende vahendite tulemuslikkus, mille kaubandusministeerium võttis pärast esimest iga-aastast läbivaatamist kasutusele raamistikus osalemist käsitlevate valeväidete avastamiseks, pöörates erilist tähelepanu selliste äriühingute valeväidetele, kes ei ole sertifitseerimist isegi mitte taotlenud.

3.Föderaalse kaubanduskomisjoni poolt raamistiku Privacy Shield teisel tegevusaastal raamistiku Privacy Shield suurte rikkumiste väljaselgitamiseks teabenõuete abil läbi viidud ex officio lauskontrolli käik ja tulemused.