KOMISJONI ARUANNE EUROOPA PARLAMENDILE JA NÕUKOGULE

ELi-USA andmekaitseraamistiku Privacy Shield toimimise esimese iga-aastase läbivaatamise kohta

1.ESIMENE IGA-AASTANE LÄBIVAATAMINE — EESMÄRK, ETTEVALMISTAMINE JA PROTSESS

Oma 12. juuli 2016. aasta otsuses (edaspidi „kaitse piisavuse otsus“) leidis komisjon, et ELi-USA andmekaitseraamistik Privacy Shield (edaspidi „andmekaitseraamistik“ või „Privacy Shield“) tagab piisava kaitse isikuandmetele, mis on edastatud Euroopa Liidust USAs asuvatele organisatsioonidele.

Privacy Shield vastab põhimõtetele ja nõuetele, mis on sätestatud Euroopa Kohtu otsuses kohtuasjas Schrems, millega tunnistati kehtetuks eelmine Safe Harbor raamistik. Võrreldes programmiga Safe Harbor on Privacy Shieldis mitu uut elementi, millega parandatakse Ameerika Ühendriikidesse edastamisel isikuandmete kaitset. Muu hulgas kehtestatakse rangemad kohustused andmekaitseraamistiku kohaselt sertifitseeritud äriühingutele, näiteks piiranguid sellele, kui kaua võib äriühing isikuandmeid säilitada (nn andmete säilitamise põhimõte) või tingimused, mille alusel võib andmeid jagada kolmandate isikutega väljaspool raamistikku (andmete edasisaatmisel rakendatava vastutuse põhimõte). Samuti nähakse ette korrapärasem ja põhjalik järelevalve kaubandusministeeriumi poolt ja parandatakse oluliselt ELi kodanike võimalusi õiguskaitse saamiseks. Lisaks tugineb andmekaitseraamistik Ameerika Ühendriikide valitsuse konkreetsetele kirjalikele esildistele ja kinnitustele selle kohta, et ametiasutuste juurdepääsu suhtes isikuandmetele, mis on edastatud andmekaitseraamistiku alusel riikliku julgeoleku, õiguskaitse ja muu avaliku huvi tagamise eesmärgil, kehtivad selged piirangud ja kaitsemeetmed. Selleks luuakse ka täiesti uus õiguskaitsemehhanism – ombudsman.

Komisjon võttis kohustuse hinnata oma andmekaitse piisavust igal aastal ning korraldab selleks iga-aastase andmekaitseraamistiku toimimise läbivaatamise. Esimene iga-aastane andmekaitseraamistiku Privacy Shield toimimise läbivaatamine lõpetatakse käesoleva aruande esitamisega. Läbivaatamine hõlmas Privacy Shieldi kõiki aspekte, st Privacy Shield raamistiku rakendamist, haldamist, järelevalvet ja jõustamist USA pädevate asutuste ja organite poolt ning küsimusi USA ametiasutuste juurdepääsu kohta isikuandmetele, mis on edastatud andmekaitseraamistiku Privacy Shield alusel avaliku huvi, eelkõige riikliku julgeoleku tagamise eesmärgil. See hõlmas ka dialoogi automatiseeritud otsustusprotsessi teemal ja selliste USA õigussüsteemis aasta jooksul toimunud muutuste hindamist, mis võivad mõjutada andmekaitseraamistiku Privacy Shield toimimist.

Privacy Shield on toiminud alates 1. augustist 2016. Võttes arvesse, et see oli esimene toimimisaasta, kontrollis komisjon oma iga-aastases läbivaatamises eelkõige seda, kas kõik raamistikus ette nähtud ja sealhulgas paljud uued mehhanismid ja menetlused on täielikult tööle rakendatud ja toimivad nii, nagu kaitse piisavuse otsuses ette nähtud. Lisaks pööras komisjon eritähelepanu sellele, kas ja kuidas on raamistiku rakendamisse kaasatud USA eri ametiasutused täitnud oma kinnitusi ja kohustusi nii seoses Privacy Shieldi kaubandusaspektide halduse ja järelevalve kui ka valitsuse juurdepääsuga isikuandmetele. USA valitsuse vahetumine jaanuaris 2017 tegi selle veel eriti oluliseks.

Iga-aastase läbivaatamise ettevalmistamise käigus kogus komisjon andmekaitseraamistiku rakendamise toimimise kohta teavet ja tagasisidet asjaomastelt sidusrühmadelt, eelkõige andmekaitseraamistiku kohaselt sertifitseeritud äriühingutelt nende kutseorganisatsioonide esindajate kaudu ning põhiõiguste ja eriti digitaalsete õiguste ja eraelu puutumatuse valdkonnas tegevatelt valitsusvälistelt organisatsioonidelt. Samuti taotles ja sai komisjon kirjalikku teavet, sealhulgas dokumendid ja materjalid, raamistiku rakendamisse kaasatud USA ametiasutustelt.

Esimene iga-aastane ühine läbivaatamine toimus 18. ja 19. septembril 2017 Washingtonis. Selle avasid õigus- ja tarbijaküsimuste ning soolise võrdõiguslikkuse volinik Věra Jourová ja USA kaubandusminister Wilbur Ross. Iga-aastase läbivaatamise teostasid ELi jaoks Euroopa Komisjoni õigus- ja tarbijaküsimuste peadirektoraadi esindajad. Euroopa Liidu delegatsiooni kuulusid ka kaheksa esindajat, kelle määras artikli 29 kohane töörühm, mis on nõuandev organ, kuhu kuuluvad liikmesriikide riiklikud andmekaitseasutused ja Euroopa andmekaitseinspektor.

USA poolt võtsid läbivaatamisest osa kaubandusministeeriumi, föderaalse kaubanduskomisjoni, transpordiministeeriumi, välisministeeriumi, riikliku luuredirektori büroo ja justiitsministeeriumi esindajad, samuti ombudsmani kohusetäitja, eraelu puutumatuse ja kodanikuvabaduste järelevalve komisjoni (PCLOB) liige ja luureühenduse peainspektori büroo esindaja. Lisaks osalesid läbivaatamises nõu ja jõuga ka esindajad organisatsioonidest, kes pakuvad andmekaitseraamistiku raames sõltumatut vaidluste lahendamist, esindajad Ameerika Vahekohtu Assotsiatsioonist, kes on andmekaitseraamistiku vahekohtu haldaja, ning mõned andmekaitseraamistiku kohaselt sertifitseeritud äriühingud.

Iga-aastase läbivaatamise tarbeks saadi teavet ka avalikult kättesaadavatest materjalidest, näiteks kohtuotsustest, USA asjaomaste ametiasutuste rakenduseeskirjadest ja menetlustest, valitsusväliste organisatsioonide aruannetest ja uuringutest, andmekaitseraamistiku kohaselt sertifitseeritud äriühingute läbipaistvusaruannetest, ajakirjanduses ilmunud artiklitest ja aruannetest.

2.JÄRELDUSED JA SOOVITUSED

Iga-aastane läbivaatamine on näidanud, et USA ametiasutused on kehtestanud vajalikud struktuurid ja menetlused, mis tagavad andmekaitseraamistiku Privacy Shield nõuetekohase toimimise. Sertifitseerimisprotsessi korraldus oli üldiselt rahuldav ja praeguseks on sertifitseeringu saanud rohkem kui 2 400 äriühingut. USA ametiasutused on kehtestanud kaebuste käsitlemise ja jõustamise mehhanismid ja menetlused, et kaitsta üksikisiku õigusi. See hõlmab ka uusi täiendavaid õiguskaitsevõimalusi ELi üksikisikute jaoks, nagu vahekohus ja ombudsmani mehhanism. Ombudsmani osas tuleb märkida, et ombudsmani kohusetäitja määrati pärast valitsuse vahetumist 2017. aasta jaanuaris, kuid alalist ombudsmani ei ole veel ametisse nimetatud. Koostöö Euroopa andmekaitseasutuste vahel on intensiivistunud. Seoses ametiasutuste juurdepääsuga isikuandmetele riikliku julgeoleku eesmärgil, on asjakohased kaitsemeetmed USAs jäänud samaks, nimelt need, mis põhinevad presidendi poliitikasuunisel nr 28 (välja antud 2014. aastal), milles on sätestatud piirangud ja kaitsemeetmed, mis kohalduvad isikuandmete kasutamisel siseriiklike julgeolekuasutuste poolt, olenemata isiku kodakondsusest. Sellega seoses tuleb märkida ka seda, et USA vastuluureseaduse (Foreign Intelligence Surveillance Act (FISA)) paragrahvi 702 kehtivus lõpeb 31. detsembril 2017 ning et reformiettepanekud on USA Kongressis arutusel.

Üksikasjalikud järeldused andmekaitseraamistiku Privacy Shield toimimise kõigi aspektide kohta pärast esimest tegevusaastat on esitatud komisjoni talituste töödokumendis ELi-USA andmekaitseraamistiku Privacy Shield toimimise kohta (SWD(2017) 344 final), mis on lisatud käesolevale aruandele.