FI Euroopan unionin virallinen lehti L 207/1

KOMISSION TÄYTÄNTÖÖNPANOPÄÄTÖS (EU) 2016/1250,

annettu 12 päivänä heinäkuuta 2016,

Euroopan parlamentin ja neuvoston direktiivin 95/46/EY nojalla EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn tarjoaman tietosuojan tason riittävyydestä

(tiedoksiannettu numerolla C(2016) 4176)

(ETA:n kannalta merkityksellinen teksti)

EUROOPAN KOMISSIO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (1) ja erityisesti sen 25 artiklan 6 kohdan,

on kuullut Euroopan tietosuojavaltuutettua (2),

1. JOHDANTO

(1) Direktiivissä 95/46/EY vahvistetaan säännöt henkilötietojen siirtämisestä jäsenvaltioista kolmansiin maihin siinä määrin kuin kyseiset siirrot kuuluvat sen soveltamisalaan.

(2) Direktiivin 95/46/EY 1 artiklan ja sen johdanto-osan 2 ja 10 kappaleen tarkoituksena on turvata tehokas ja kattava suoja luonnollisten henkilöiden perusvapauksille ja -oikeuksille, erityisesti perusoikeudelle yksityiselämän kunnioittamiseen henkilötietojen käsittelyssä, ja lisäksi näiden perusvapauksien ja -oikeuksien suojan korkeatasoisuus (3).

(3) Euroopan unionin tuomioistuimen oikeuskäytännössä on painotettu sekä Euroopan unionin perusoikeuskirjan 7 artiklassa taattua yksityiselämän kunnioittamista koskevaa perusoikeutta että 8 artiklassa taattua henkilötietojen suojan perusoikeutta (4).

(4) Direktiivin 95/46/EY 25 artiklan 1 kohdan mukaan jäsenvaltioiden on säädettävä siitä, että henkilötietoja voidaan siirtää kolmanteen maahan vain, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso ja jos direktiivin muiden säännösten täytäntöönpanemiseksi annettuja jäsenvaltion lakeja noudatetaan ennen tietojen siirtämistä. Komissio voi todeta, että kolmannessa maassa taataan tietosuojan riittävä taso kyseisen maan lainsäädännön tai niiden kansainvälisten sitoumusten perusteella, jotka se on tehnyt henkilöiden oikeuksien turvaamiseksi. Tässä tapauksessa, jollei direktiivin muiden säännösten mukaisesti säädetyistä kansallisista säännöksistä muuta johdu, henkilötietoja voidaan siirtää jäsenvaltioista ilman lisätakeita.

(5) Direktiivin 95/46/EY 25 artiklan 2 kohdan mukaan kolmannessa maassa taattavaa tietosuojan tasoa olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden pohjalta, mukaan lukien kyseisessä kolmannessa maassa voimassa olevat yleiset tai alakohtaiset oikeussäännöt.

(6) Komission päätöksessä 2000/520/EY (5) katsottiin direktiivin 95/46/EY 25 artiklan 2 kohdan soveltamiseksi, että niin sanotut safe harbor -periaatteet, jotka on pantu täytäntöön Yhdysvaltojen kauppaministeriön julkaisemissa tavallisimmissa kysymyksissä annettujen ohjeiden mukaisesti, takaavat riittävän suojan henkilötiedoille, jotka siirretään unionista Yhdysvalloissa toimiville organisaatioille.

(7) Komission 27 päivänä marraskuuta 2013 antamissa tiedonannoissa COM(2013) 846 final (6) ja COM(2013) 847 final (7) komissio katsoi, että safe harbor -järjestelmän perustaa oli tarkistettava ja vahvistettava useiden tekijöiden vuoksi. Näitä tekijöitä olivat muun muassa tietovirtojen voimakas kasvu ja niiden kriittinen merkitys transatlanttiselle taloudelle, safe harbor -järjestelmään liittyneiden yhdysvaltalaisten yritysten määrän nopea kasvu ja tiettyjen Yhdysvaltojen tiedusteluohjelmien laajuus ja kattavuus, mikä herätti epäilyjä suojelun tasosta, joka järjestelmällä voitaisiin taata. Lisäksi komissio havaitsi eräitä puutteita safe harbor -järjestelmässä.

(8) Komissio esitti 13 suositusta safe harbor -järjestelmän tarkistamiseksi komission keräämien todisteiden perusteella. Näitä todisteita olivat muun muassa EU:n ja Yhdysvaltojen kontaktiryhmän (8) työhön perustuvat tiedot ja EU:n ja Yhdysvaltojen ad hoc -tietosuojatyöryhmässä (9) Yhdysvaltojen tiedusteluohjelmista saadut tiedot. Suosituksissa keskityttiin yksityisyyden suojaa koskevien aineellisoikeudellisten periaatteiden vahvistamiseen, yhdysvaltalaisten oman varmennuksen antaneiden yritysten tietosuojaperiaatteiden avoimuuden lisäämiseen, Yhdysvaltojen viranomaisten toteuttaman, näiden periaatteiden noudattamista koskevan valvonnan, seurannan ja täytäntöönpanon parantamiseen, kohtuuhintaisten riitojenratkaisumekanismien saatavuuteen sekä tarpeeseen varmistaa, että päätöksen 2000/520/EY mukaista kansalliseen turvallisuuteen perustuvaa poikkeusta käytetään vain siinä määrin kuin se on ehdottoman välttämätöntä ja oikeasuhteista.

(9) Euroopan unionin tuomioistuin julisti 6 päivänä lokakuuta 2015 asiassa C-362/14 (Maximillian Schrems v. Data Protection Commissioner) (10) antamassaan tuomiossa päätöksen 2000/520/EY pätemättömäksi. Tarkastelematta yksityisyyden suojaa koskevien safe harbor -periaatteiden sisältöä tuomioistuin katsoi, että komissio ei ollut todennut kyseisessä päätöksessä, että Yhdysvallat tosiasiallisesti takaa tietosuojan riittävän tason sisäisen lainsäädäntönsä tai kansainvälisten sitoumustensa johdosta (11).

(10) Tältä osin unionin tuomioistuin täsmensi, että vaikka direktiivin 95/46/EY 25 artiklan 6 kohdan ilmaisu ”tietosuojan riittävä taso” ei tarkoita tietosuojan tasoa, joka olisi täysin sama kuin unionin oikeusjärjestyksessä taattu taso, sen on kuitenkin ymmärrettävä tarkoittavan vaatimusta, että kolmas maa takaa perusvapauksien ja -oikeuksien suojan sellaisen tason, joka pääosiltaan vastaa tasoa, joka taataan unionissa direktiivin 95/46/EY nojalla, luettuna perusoikeuskirjan valossa. Vaikka keinot, joita kyseinen kolmas maa tässä yhteydessä käyttää, voivat poiketa niistä, joita unionissa käytetään, keinojen on käytännössä osoittauduttava tehokkaiksi (12).

(11) Unionin tuomioistuin arvosteli sitä, ettei päätös 2000/520/EY sisällä riittäviä toteamuksia siitä, että Yhdysvalloissa olisi valtiollisia sääntöjä, joilla olisi tarkoitus rajoittaa mahdollista puuttumista henkilöiden, joiden tietoja siirretään unionista Yhdysvaltoihin, perusoikeuksiin myös silloin, kun kyseinen puuttuminen olisi kyseisen maan valtiollisille elimille sallittua niiden pyrkiessä kansallisen turvallisuuden kaltaisiin legitiimeihin tavoitteisiin, eikä siitä, että tällaista puuttumista vastaan on olemassa tehokasta oikeussuojaa (13).

(12) Komissio aloitti vuonna 2014 neuvottelut Yhdysvaltojen viranomaisten kanssa keskustellakseen safe harbor -järjestelmän vahvistamisesta komission tiedonantoon COM(2013) 847 final sisältyvien 13 suosituksen mukaisesti. Sen jälkeen, kun Euroopan unionin tuomioistuin oli antanut tuomion asiassa Schrems, neuvotteluja tiivistettiin, jotta mahdollisesti saataisiin aikaan uusi tietosuojan riittävyyttä koskeva päätös, joka täyttäisi direktiivin 95/46/EY 25 artiklan vaatimukset, sellaisina kuin unionin tuomioistuin on niitä tulkinnut. Asiakirjat, jotka ovat tämän päätöksen liitteenä ja jotka julkaistaan myös Yhdysvaltojen Federal Register -lehdessä, ovat näiden keskustelujen tulosta. Yksityisyyden suojaa koskevat periaatteet (liite II) sekä Yhdysvaltojen viranomaisten viralliset lausumat ja sitoumukset, jotka sisältyvät liitteissä I ja III–VII oleviin asiakirjoihin, muodostavat EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn.

(13) Komissio on analysoinut huolellisesti Yhdysvaltojen lainsäädäntöä ja käytäntöä, mukaan lukien kyseiset viralliset lausumat ja sitoumukset. Johdanto-osan 136–140 kappaleessa esitettyjen havaintojen perusteella komissio päättelee, että Yhdysvallat takaa tietosuojan riittävän tason henkilötiedoille, jotka siirretään EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn puitteissa unionista Yhdysvalloissa sijaitseville oman varmennuksen antaneille organisaatioille.

2. EU:N JA YHDYSVALTOJEN VÄLINEN PRIVACY SHIELD -JÄRJESTELY

(14) EU:n ja Yhdysvaltojen välinen Privacy Shield -järjestely perustuu omaan varmennukseen, jolla yhdysvaltalaiset organisaatiot sitoutuvat tiettyihin yksityisyyden suojaa koskeviin periaatteisiin eli EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn periaatteisiin, mukaan lukien täydentävät periaatteet, jäljempänä yhdessä ’järjestelyn periaatteet’, jotka on antanut Yhdysvaltojen kauppaministeriö ja jotka sisältyvät tämän päätöksen liitteeseen II. Sitä sovelletaan sekä rekisterinpitäjiin että henkilötietojen käsittelijöihin (edustajiin) siten, että henkilötietojen käsittelijöiden on oltava sopimuksen nojalla velvollisia toimimaan ainoastaan EU:n rekisterinpitäjän ohjeiden perusteella ja avustamaan sitä vastattaessa henkilöille, jotka käyttävät järjestelyn periaatteiden mukaisia oikeuksiaan (14).

(15) Rajoittamatta direktiivin 95/46/EY nojalla annettujen kansallisten säännösten soveltamista, tällä päätöksellä sallitaan siirrot unionissa olevalta rekisterinpitäjältä tai henkilötietojen käsittelijältä Yhdysvalloissa sijaitseville organisaatioille, jotka ovat antaneet Yhdysvaltojen kauppaministeriölle oman varmennuksen järjestelyn periaatteiden noudattamisesta ja ovat sitoutuneet noudattamaan niitä. Periaatteita sovelletaan ainoastaan yhdysvaltalaisen organisaation suorittamaan henkilötietojen käsittelyyn siltä osin kuin tällaisten organisaatioiden suorittama käsittely ei kuulu unionin lainsäädännön soveltamisalaan (15). Privacy Shield -järjestely ei vaikuta henkilötietojen käsittelyä jäsenvaltioissa koskevan unionin lainsäädännön soveltamiseen (16).

(16) Privacy Shield -järjestelyn tarjoamaa henkilötietojen suojaa sovelletaan kaikkiin EU:n rekisteröityihin (17), joiden henkilötietoja on siirretty unionista sellaisille Yhdysvalloissa oleville organisaatioille, jotka ovat antaneet kauppaministeriölle oman varmennuksen järjestelyn periaatteiden noudattamisesta.

(17) Järjestelyn periaatteita sovelletaan välittömästi varmennuksen jälkeen. Tietojen edelleen siirtämiseen liittyvää vastuuvelvollisuutta koskevaan periaatteeseen sovelletaan kuitenkin poikkeusta, jos Privacy Shield -järjestelyyn oman varmennuksen antaneella organisaatiolla on jo olemassa olevia kaupallisia suhteita kolmansien osapuolten kanssa. Kun otetaan huomioon, että kyseisten kaupallisten suhteiden saattaminen tietojen edelleen siirtämiseen liittyvää vastuuvelvollisuutta koskevaan periaatteeseen sisältyvien sääntöjen mukaisiksi voi viedä hieman aikaa, organisaation on tehtävä niin mahdollisimman pian ja joka tapauksessa viimeistään yhdeksän kuukauden kuluttua oman varmennuksen antamisesta (edellyttäen, että tämä tapahtuu kahden ensimmäisen kuukauden kuluessa päivästä, jona Privacy Shield -järjestely tulee voimaan). Tämän siirtymäkauden aikana organisaation on sovellettava ilmoitus- ja valintaperiaatteita (jolloin EU:n rekisteröity voi jättäytyä tiedonsiirron ulkopuolelle), ja jos henkilötietoja siirretään edustajana toimivalle kolmannelle osapuolelle, on varmistettava, että viimeksi mainittu tarjoaa vähintään saman suojelun tason kuin järjestelyn periaatteet edellyttävät (18). Siirtymäkausi tarjoaa kohtuullisen ja asianmukaisen tasapainon, kun on toisaalta kyse tietosuojaa koskevan perusoikeuden kunnioittamisesta ja toisaalta yritysten oikeutetusta tarpeesta saada riittävästi aikaa mukautua uuteen järjestelyyn silloin, kun tämä riippuu myös niiden kaupallisista suhteista kolmansien osapuolten kanssa.

(18) Järjestelmää hallinnoi ja valvoo Yhdysvaltojen kauppaministeriö niiden antamiensa sitoumusten perusteella, jotka sisältyvät Yhdysvaltojen kauppaministerin lausumiin (tämän päätöksen liite I). Järjestelyn periaatteiden valvonnan osalta Yhdysvaltojen liittovaltion kauppakomissio (Federal Trade Commission, FTC) ja liikenneministeriö ovat antaneet lausumia, jotka sisältyvät tämän päätöksen liitteisiin IV ja V.

2.1 Yksityisyyden suojaa koskevat periaatteet

(19) Osana EU:n ja Yhdysvaltojen Privacy Shield -järjestelyn puitteissa toteutettavaa omaa varmennusta organisaatioiden on sitouduttava noudattamaan järjestelyn periaatteita (19).

(20) Ilmoitusperiaatteen mukaan organisaatioiden on annettava rekisteröidyille tiedot useista heidän henkilötietojensa käsittelyyn liittyvistä keskeisistä aiheista (esim. kerättävien tietojen laji, tietojen käsittelyn tarkoitus, oikeus tutustua tietoihin ja valinnanoikeus, tietojen edelleen siirtämistä koskevat ehdot ja vastuu). Lisäksi sovelletaan muita suojatoimia, erityisesti organisaatioille asetettua vaatimusta julkistaa tietosuojaperiaatteensa (joissa otetaan huomioon järjestelyn periaatteet) ja esittää linkit kauppaministeriön verkkosivustolle (ja lisätiedot omasta varmennuksesta, rekisteröityjen oikeuksista ja käytettävissä olevista muutoksenhakumenettelyistä), johdanto-osan 30 kappaleessa mainittuun Privacy Shield -luetteloon ja asianmukaisen vaihtoehtoisen riitojenratkaisuelimen verkkosivustolle.

(21) Tietojen eheyttä ja käyttötarkoituksen rajoittamista koskevan periaatteen mukaan henkilötiedot on rajoitettava siihen, mikä on tarpeen tietojen käsittelyn kannalta, ja niihin tietoihin, jotka ovat käyttötarkoitukseensa nähden luotettavia, sekä niihin, jotka ovat tarkkoja, täydellisiä ja ajantasaisia. Organisaatio ei saa käsitellä henkilötietoja tavalla, joka ei vastaa tietojen keruun alkuperäistä tarkoitusta tai tarkoitusta, johon kyseinen rekisteröity oli sittemmin antanut suostumuksensa. Organisaatioiden on varmistettava, että henkilötiedot ovat käyttötarkoitukseensa nähden luotettavia ja että ne ovat tarkkoja, täydellisiä ja ajantasaisia.

(22) Jos uusi (muutettu) käyttötarkoitus on olennaisesti erilainen, mutta silti yhteensopiva alkuperäisen tarkoituksen kanssa, valintaperiaatteen mukaan rekisteröidyillä on oikeus vastustaa henkilötietojensa käsittelyä (opt out). Valintaperiaate ei korvaa periaatteiden vastaisen tietojen käsittelyn nimenomaista kieltoa (20). Suoramarkkinoinnissa sovelletaan erityisiä sääntöjä, jotka yleensä mahdollistavat henkilötietojen käytön kieltämisen ”milloin tahansa” (21). Arkaluonteisten tietojen tapauksessa organisaatioiden on tavallisesti hankittava rekisteröidyn nimenomainen myönteinen suostumus (opt in).

(23) Tietojen eheyttä ja käyttötarkoituksen rajoittamista koskevan periaatteen mukaan henkilötiedot voidaan säilyttää muodossa, jossa henkilö tunnistetaan tai voidaan tunnistaa (eli henkilötietojen muodossa) ainoastaan niin kauan kuin on tarpeen sitä tarkoitusta varten, johon tiedot alun perin kerättiin tai joka myöhemmin hyväksyttiin. Tämä velvoite ei estä Privacy Shield -järjestelyyn liittyneitä organisaatioita käsittelemästä henkilötietoja pidempää aikaa, mutta ainoastaan niin kauan ja siinä määrin kuin tällainen käsittely kohtuudella palvelee jotain seuraavista tarkoituksista: arkistointi yleisen edun nimissä, journalismi, kirjallisuus ja taide, tieteellinen ja historiantutkimus ja tilastollinen analyysi. Henkilötietojen säilyttäminen pidempään näitä tarkoituksia varten edellyttää järjestelyn periaatteiden mukaisia suojatoimia.

(24) Turvallisuusperiaatteen mukaan organisaatioiden, jotka luovat, ylläpitävät, käyttävät tai levittävät henkilötietoja, on toteutettava ”kohtuullisia ja asianmukaisia” turvallisuustoimenpiteitä, ottaen huomioon tietojen käsittelyyn liittyvät riskit ja tietojen luonne. Alihankintana teetettävän tietojen käsittelyn osalta organisaatioiden on tehtävä alihankkijan kanssa sopimus, jossa taataan samantasoinen suoja kuin järjestelyn periaatteissa, ja varmistettava sen asianmukainen täytäntöönpano.

(25) Tiedonsaantiperiaatteen (22) mukaan rekisteröidyillä on oikeus ilman perusteluja ja ainoastaan kohtuullista maksua vastaan saada organisaation vahvistus siitä, käsitteleekö kyseinen organisaatio heihin liittyviä henkilötietoja, ja saada tiedot kohtuullisessa ajassa. Tätä oikeutta voidaan rajoittaa vain poikkeuksellisissa olosuhteissa; mahdollisen tiedonsaantioikeuden epäämisen tai rajoittamisen on oltava välttämätön ja asianmukaisesti perusteltu, ja organisaation on osoitettava, että nämä vaatimukset täyttyvät. Rekisteröidyillä on oltava mahdollisuus oikaista, muuttaa tai poistaa henkilötietonsa, jos ne ovat epätarkkoja tai niitä on käsitelty vastoin järjestelyn periaatteita. Aloilla, joilla yritykset todennäköisimmin käyttävät henkilötietojen automatisoitua käsittelyä, kun ne tekevät henkilöön vaikuttavia päätöksiä (esim. luotonanto, asuntolainatarjoukset, työllisyys), Yhdysvaltojen lainsäädäntö tarjoaa erityisiä suojatoimia kielteisiä päätöksiä vastaan (23). Henkilöillä on yleensä näiden säädösten mukaan oikeus saada tietoonsa päätöksen (esim. luoton hylkääminen) perustana olleet erityiset syyt, riitauttaa puutteelliset tai virheelliset tiedot (sekä lainvastaisten perusteiden käyttö), ja hakea muutosta. Nämä säännöt tarjoavat suojaa niissä todennäköisesti melko harvoissa tapauksissa, joissa Privacy Shield -organisaatio tekisi automatisoidut päätökset itse (24). Kun kuitenkin otetaan huomioon, että automatisoitua käsittelyä käytetään yhä enemmän (mukaan lukien profilointi) perustana yksityishenkilöihin vaikuttavassa uudenaikaisen digitaalitalouden päätöksenteossa, kyseessä on ala, jota on seurattava tiiviisti. Seurannan helpottamiseksi Yhdysvaltojen viranomaisten kanssa on sovittu, että automatisoitua päätöksentekoa koskeva vuoropuhelu, mukaan lukien näkemysten vaihto EU:n ja Yhdysvaltojen lähtökohtien yhtäläisyyksistä ja eroista tältä osin, on tarvittaessa osa ensimmäistä vuosittaista tarkastelua ja myöhempiä tarkasteluja.

(26) Järjestelyyn osallistuvilla organisaatioilla on muutoksenhaku-, täytäntöönpano- ja vastuuperiaatteen (25) mukaan oltava vankat mekanismit sen varmistamiseksi, että muita järjestelyn periaatteita noudatetaan ja että EU:n rekisteröityjen, joiden henkilötietoja on käsitelty säännösten vastaisella tavalla, käytettävissä on muutoksenhakumahdollisuus, mukaan lukien tehokkaat oikeussuojakeinot. Kun organisaatio on vapaaehtoisesti päättänyt antaa oman varmennuksen (26) EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn puitteissa, sen on todella noudatettava järjestelyn periaatteita. Jotta organisaatio voi jatkaa osallistumistaan Privacy Shield -järjestelyyn saadakseen henkilötietoja unionista, sen on vuosittain varmennettava uudelleen osallistumisensa järjestelyyn. Organisaatioiden on myös toteutettava toimenpiteitä sen varmistamiseksi (27), että niiden julkaistut tietosuojaperiaatteet vastaavat järjestelyn periaatteita ja että niitä tosiasiallisesti noudatetaan. Tämä voidaan tehdä joko itsearviointijärjestelmän avulla, johon on sisällyttävä sisäiset menettelyt, joilla varmistetaan, että työntekijät saavat koulutusta organisaation tietosuojaperiaatteiden täytäntöönpanosta ja että periaatteiden noudattamista tarkastellaan säännöllisesti ja puolueettomasti, tai ulkoisen uudelleentarkastelun avulla, mihin voi sisältyä tarkastuksia ja pistokokeita. Lisäksi organisaation on otettava käyttöön tehokas oikeussuojamekanismi mahdollisten valitusten käsittelemiseksi (ks. myös johdanto-osan 43 kappale) ja sen on oltava liittovaltion kauppakomission, Yhdysvaltojen liikenneministeriön tai muun valtuutetun lakisääteisen elimen tutkinta- ja täytäntöönpanovallan alainen järjestelyn periaatteiden noudattamisen varmistamiseksi.

(27) Erityisiä sääntöjä sovelletaan niin sanottuun ”tietojen edelleen siirtämiseen” eli henkilötietojen siirtämiseen organisaatiolta rekisterinpitäjänä tai henkilötietojen käsittelijänä toimivalle kolmannelle osapuolelle, riippumatta siitä, sijaitseeko viimeksi mainittu Yhdysvalloissa vai Yhdysvaltojen (ja unionin) ulkopuolisessa kolmannessa maassa. Näiden sääntöjen tarkoituksena on varmistaa, että EU:n rekisteröityjen henkilötiedoille taattu suoja ei vaarannu eikä sitä voida kiertää siirtämällä tietoja kolmansille osapuolille. Tämä koskee erityisesti monimutkaisempia käsittelyketjuja, jotka ovat tyypillisiä tämän päivän digitaalitaloudelle.

(28) Tietojen edelleen siirtämiseen liittyvää vastuuvelvollisuutta koskevan periaatteen (28) nojalla edelleen siirtäminen voi tapahtua vain i) rajoitetusti ja tiettyihin tarkoituksiin, ii) sopimuksen (tai vastaavan konsernin sisäisen järjestelyn (29)) perusteella ja iii) vain, jos sopimuksessa määrätään samasta suojelun tasosta kuin järjestelyn periaatteissa. Tähän sisältyy vaatimus siitä, että periaatteiden soveltamista voidaan rajoittaa vain siinä määrin kuin se on tarpeen kansallisen turvallisuuden, lainvalvonnan ja muiden yleisen edun mukaisten tarkoitusten nimissä (30). Tämä olisi luettava yhdessä ilmoitusperiaatteen kanssa ja, kun kyseessä on tietojen siirtäminen rekisterinpitäjänä toimivalle kolmannelle osapuolelle (31), valintaperiaatteen kanssa, jonka mukaan rekisteröidyille on ilmoitettava (muun muassa) mahdollisen kolmannen vastaanottajan tyyppi/nimi, edelleensiirron tarkoitus samoin kuin tarjottu valintaoikeus. Rekisteröidyille on myös ilmoitettava mahdollisuudesta kieltää tiedonsiirto (opt out) tai arkaluonteisten tietojen tapauksessa myös siitä, että niiden on annettava nimenomainen ”myönteinen” suostumus (opt in) tietojen siirrolle. Ottaen huomioon tietojen eheyttä ja käyttötarkoituksen rajoittamista koskevan periaatteen velvoite tarjota samantasoinen suoja kuin mikä taataan järjestelyn periaatteissa edellyttää, että kolmas osapuoli voi käsitellä sille lähetettyjä henkilökohtaisia tietoja vain tarkoituksiin, jotka eivät ole ristiriidassa niiden tarkoitusten kanssa, joita varten tiedot alun perin kerättiin tai joihin henkilö myöhemmin antoi luvan.

(29) Velvollisuutta tarjota periaatteissa vaadittua vastaava suoja sovelletaan kaikkiin kolmansiin osapuoliin, jotka osallistuvat siirrettyjen tietojen käsittelyyn sijainnistaan (Yhdysvalloissa tai muussa kolmannessa maassa) riippumatta samoin kuin silloin, kun alkuperäinen kolmantena osapuolena toimiva vastaanottaja itse siirtää kyseisiä tietoja toiselle kolmantena osapuolena olevalle vastaanottajalle esimerkiksi alihankintana teetettävää käsittelyä varten. Kaikissa tapauksissa kolmantena osapuolena olevan vastaanottajan kanssa tehdyssä sopimuksessa on määrättävä siitä, että kyseinen osapuoli ilmoittaa Privacy Shield -järjestelyyn osallistuvalle organisaatiolle, jos se toteaa, ettei se voi enää täyttää tätä vaatimusta. Kun tällaiseen toteamukseen on päädytty, kolmannen osapuolen on lopetettava tietojen käsittely tai ryhdyttävä muihin kohtuullisiin ja asianmukaisiin toimiin tilanteen korjaamiseksi (32). Kun periaatteiden noudattamiseen liittyviä ongelmia esiintyy (alihankinnan) käsittelyketjussa, Privacy Shield -järjestelyyn osallistuvan organisaation, joka toimii henkilötietojen rekisterinpitäjänä, on todistettava, että se ei ole vastuussa vahingon aiheuttaneesta tapahtumasta, tai muuten se joutuu vastuuseen muutoksenhaku-, täytäntöönpano- ja vastuuperiaatteen mukaisesti. Lisäsuojatoimia sovelletaan, kun tietoja siirretään edelleen edustajana toimivalle kolmannelle osapuolelle (33).

2.2 EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn avoimuus, hallinto ja valvonta

(30) EU:n ja Yhdysvaltojen välisessä Privacy Shield -järjestelyssä määrätään valvonta- ja täytäntöönpanomekanismeista, jotta voidaan tarkastaa ja varmistaa, että oman varmennuksen antaneet yhdysvaltalaiset yritykset noudattavat järjestelyn periaatteita ja että mahdolliseen periaatteiden noudattamatta jättämiseen puututaan. Nämä mekanismit on esitetty järjestelyn periaatteissa (liite II) ja kauppaministeriön (liite I), liittovaltion kauppakomission (liite IV) ja liikenneministeriön (liite V) antamissa sitoumuksissa.

(31) EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn asianmukaisen soveltamisen varmistamiseksi asianomaisten osapuolten, kuten rekisteröityjen, tiedonviejien ja kansallisten tietosuojaviranomaisten, on voitava tunnistaa järjestelyn periaatteita noudattavat organisaatiot. Sen vuoksi Yhdysvaltojen kauppaministeriö on sitoutunut pitämään yllä ja saattamaan yleisön saataville luettelon organisaatioista, jotka ovat ilmoittaneet noudattavansa järjestelyn periaatteita ja jotka kuuluvat ainakin yhden tämän päätöksen liitteissä I ja II tarkoitetun täytäntöönpanoviranomaisen toimivallan piiriin, jäljempänä ’Privacy Shield -luettelo’ (34). Kauppaministeriö päivittää luettelon organisaatioiden vuosittain antamien uudelleenvarmennusten perusteella ja aina kun organisaatio peruuttaa osallistumisensa EU:n ja Yhdysvaltojen väliseen Privacy Shield -järjestelyyn tai se poistetaan järjestelyn piiristä. Se myös ylläpitää ja saattaa yleisön saataville virallisen luettelon organisaatioista, jotka on poistettu luettelosta, ja ilmoittaa kussakin tapauksessa poistamisen syyn. Lisäksi se luo linkin Privacy Shield -järjestelyyn liittyvistä liittovaltion kauppakomission käsittelemistä tapauksista laadittuun luetteloon, jota ylläpidetään kauppakomission verkkosivustolla.

(32) Kauppaministeriö julkaisee sekä Privacy Shield -luettelon että uudelleenvarmennukset erityisellä verkkosivustolla. Oman varmennuksen antaneiden organisaatioiden on puolestaan ilmoitettava ministeriön verkkosivuilla olevan luettelon internetosoite. Lisäksi organisaation tietosuojaperiaatteissa, jos ne ovat saatavilla verkossa, on oltava hyperlinkki Privacy Shield -verkkosivustolle sekä hyperlinkki sellaisen riippumattoman muutoksenhakumekanismin verkkosivustolle tai valituslomakkeeseen, joka voi tutkia ratkaisemattomat valitukset. Kauppaministeriö tarkastaa järjestelmällisesti järjestelyyn osallistuvan organisaation varmennuksen ja uudelleenvarmennuksen yhteydessä, että kyseisen organisaation tietosuojaperiaatteet ovat järjestelyn periaatteiden mukaiset.

(33) Organisaatiot, jotka ovat toistuvasti jättäneet noudattamatta järjestelyn periaatteita, poistetaan Privacy Shield -luettelosta ja niiden on palautettava tai poistettava henkilötiedot, jotka ne ovat vastaanottaneet EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn puitteissa. Muissa luettelosta poistamista koskevissa tapauksissa, esimerkiksi silloin kun organisaatio vetäytyy vapaaehtoisesti järjestelystä tai ei anna uutta varmennusta, organisaatio voi säilyttää henkilötiedot, jos se vahvistaa kauppaministeriölle vuosittain sitoumuksensa jatkaa periaatteiden soveltamista tai tarjoaa riittävän suojan henkilötiedoille muiden hyväksyttyjen keinojen avulla (esimerkiksi käyttämällä sopimusta, joka vastaa täysin komission hyväksymien vakiomuotoisten sopimuslausekkeiden vaatimuksia). Tällöin organisaation on nimettävä organisaatiossaan yhteyspiste kaikkia Privacy Shield -järjestelyyn liittyviä kysymyksiä varten.

(34) Kauppaministeriö valvoo organisaatioita, jotka eivät ole enää EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn jäseniä, koska ne ovat joko vapaaehtoisesti vetäytyneet järjestelystä tai koska niiden antaman varmennuksen voimassaolo on päättynyt, sen selvittämiseksi, aikovatko ne palauttaa, poistaa tai säilyttää (35) aikaisemmin järjestelyn puitteissa saamansa henkilötiedot. Jos organisaatiot säilyttävät nämä tiedot, niiden on jatkettava järjestelyn periaatteiden soveltamista. Jos kauppaministeriö on poistanut organisaatiot järjestelystä, koska ne ovat jatkuvasti jättäneet noudattamatta järjestelyn periaatteita, se varmistaa, että nämä organisaatiot palauttavat tai poistavat järjestelyn puitteissa saamansa henkilötiedot.

(35) Jos organisaatio jostain syystä jättäytyy EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn ulkopuolelle, sen on poistettava kaikki julkiset lausumat, jotka antaisivat ymmärtää, että se osallistuu edelleen Privacy Shield -järjestelyyn tai että se on oikeutettu järjestelyn etuihin, erityisesti kaikki sen julkaistuissa tietosuojaperiaatteissa olevat viittaukset Privacy Shield -järjestelyyn. Lisäksi kauppaministeriö etsii aktiivisesti järjestelyyn osallistumista koskevia totuudenvastaisia väitteitä ja puuttuu niihin myös entisten jäsenten tapauksessa (36). Liittovaltion kauppakomissio, liikenneministeriö tai muut asiaankuuluvat Yhdysvaltojen täytäntöönpanoviranomaiset voivat ryhtyä toimiin sellaisten virheellisten tietojen johdosta, jotka organisaatio on antanut yleisölle harhaanjohtavien lausumien tai käytäntöjen muodossa järjestelyn periaatteiden noudattamisesta; kauppaministeriölle toimitetut väärät tiedot voivat johtaa toimiin totuudenvastaisia lausuntoja koskevan lain (False Statements Act, 18 U.S.C. § 1001) nojalla (37).

(36) Kauppaministeriö valvoo viran puolesta totuudenvastaisia väitteitä osallistumisesta Privacy Shield -järjestelyyn tai Privacy Shield -varmennusmerkin epäasianmukaista käyttöä, ja tietosuojaviranomaiset voivat ottaa yhteyttä ministeriön yhteyspisteeseen, jotta organisaation toimintaa voitaisiin tarkastella. Jos organisaatio on vetäytynyt EU:n ja Yhdysvaltojen välisestä Privacy Shield -järjestelystä tai laiminlyönyt uudelleenvarmennuksen taikka se poistetaan Privacy Shield -luettelosta, kauppaministeriö varmistaa jatkuvasti, että organisaatio on poistanut julkaistuista tietosuojaperiaatteistaan kaikki sellaiset viittaukset Privacy Shield -järjestelyyn, jotka antaisivat ymmärtää sen osallistuvan edelleen järjestelyyn, ja jos organisaatio jatkaa totuudenvastaisten väitteiden esittämistä, kauppaministeriö voi viedä asian liittovaltion kauppakomission, liikenneministeriön tai muun toimivaltaisen viranomaisen käsiteltäväksi mahdollisia täytäntöönpanotoimia varten. Se myös lähettää kyselylomakkeet niille organisaatioille, joiden omat varmennukset raukeavat tai jotka ovat vapaaehtoisesti vetäytyneet EU:n ja Yhdysvaltojen välisestä Privacy Shield -järjestelystä, sen tarkistamiseksi, aikooko organisaatio palauttaa tai poistaa Privacy Shield -järjestelyn puitteissa saamansa henkilötiedot tai aikooko se jatkaa järjestelyn periaatteiden soveltamista kyseisiin henkilötietoihin, ja jos henkilötiedot aiotaan säilyttää, kuka organisaatiossa toimii yhteyspisteenä järjestelyyn liittyvissä kysymyksissä.

(37) Kauppaministeriö tarkastaa viran puolesta jatkuvasti (38), esimerkiksi lähettämällä yksityiskohtaisia kyselylomakkeita, että oman varmennuksen antaneet organisaatiot noudattavat sovellettavia periaatteita. Se tekee järjestelmällisesti tarkastuksia myös silloin, kun se on saanut tietyn (aiheellisen) valituksen, kun organisaatio ei anna tyydyttävää vastausta sen tiedusteluihin tai kun on uskottavia todisteita siitä, että organisaatio ei ehkä noudata järjestelyn periaatteita. Tarvittaessa kauppaministeriö myös kuulee tietosuojaviranomaisia tällaisista periaatteiden noudattamista koskevista tarkasteluista.

2.3 Oikeussuojakeinot, valitusten käsittely ja täytäntöönpano

(38) EU:n ja Yhdysvaltojen välisessä Privacy Shield -järjestelyyn sisältyvässä muutoksenhaku-, täytäntöönpano- ja vastuuperiaatteessa edellytetään, että organisaatiot tarjoavat sellaisille henkilöille mahdollisuuden muutoksenhakuun, joihin järjestelyn periaatteiden noudattamatta jättäminen on vaikuttanut. Näin EU:n rekisteröidyillä on mahdollisuus tehdä valitus, kun yhdysvaltalaiset oman varmennuksen antaneet yritykset eivät noudata periaatteita, ja saada valitukset ratkaistua, tarvittaessa päätöksellä, jossa määrätään tehokkaasta korjaustoimenpiteestä.

(39) Oman varmennuksen osana organisaatioiden on täytettävä muutoksenhaku-, täytäntöönpano- ja vastuuperiaatteen vaatimukset ottamalla käyttöön tehokkaat ja helposti saatavilla olevat riippumattomat muutoksenhakumenettelyt, jotta kunkin henkilön valitukset ja riitatapaukset voidaan tutkia ja ratkaista nopeasti ilman kyseiselle henkilölle aiheutuvia kuluja.

(40) Organisaatiot voivat valita joko unionissa tai Yhdysvalloissa sijaitsevan riippumattoman muutoksenhakumenettelyn. Tähän sisältyy mahdollisuus sitoutua vapaaehtoisesti yhteistyöhön EU:n tietosuojaviranomaisten kanssa. Tällaista mahdollisuutta ei kuitenkaan ole silloin, kun organisaatiot käsittelevät henkilöstötietoja, jolloin yhteistyö tietosuojaviranomaisten kanssa on pakollista. Muita vaihtoehtoja ovat riippumaton vaihtoehtoinen riitojenratkaisu ja yksityisen sektorin kehittämät yksityisyydensuojaohjelmat, joiden säännöt sisältävät järjestelyn periaatteet. Viimeksi mainittuihin on sisällyttävä tehokkaat täytäntöönpanomekanismit muutoksenhaku-, täytäntöönpano- ja vastuuperiaatteen mukaisesti. Organisaatioiden on korjattava mahdolliset periaatteiden noudattamatta jättämistä koskevat ongelmat. Niiden on myös vahvistettava, että ne kuuluvat liittovaltion kauppakomission, liikenneministeriön tai jonkin muun Yhdysvaltojen toimivaltaisen lakisääteisen elimen tutkinta- ja täytäntöönpanovallan piiriin.

(41) Näin ollen Privacy Shield -järjestely tarjoaa rekisteröidyille useita mahdollisuuksia käyttää oikeuksiaan ja tehdä valituksia, kun oman varmennuksen antaneet yhdysvaltalaiset yritykset eivät noudata järjestelyn periaatteita, sekä saada valituksensa ratkaistua, tarvittaessa päätöksellä, jossa määrätään tehokkaasta korjaustoimenpiteestä. Henkilöt voivat tehdä valituksen suoraan organisaatiolle, organisaation nimeämälle riippumattomalle riitojenratkaisuelimelle, kansallisille tietosuojaviranomaisille tai liittovaltion kauppakomissiolle.

(42) Jos valitusta ei ole voitu ratkaista millään näistä muutoksenhaku- tai täytäntöönpanomekanismeilla, henkilöillä on myös oikeus turvautua Privacy Shield -paneelin sitovaan välimiesmenettelyyn (tämän päätöksen liitteen II liite 1). Lukuun ottamatta välimiespaneelia, joka edellyttää, että kaikki tietyt oikeussuojakeinot on jo käytetty, henkilöt voivat vapaasti turvautua mihin tahansa valitsemaansa oikeussuojakeinoon tai niihin kaikkiin eikä niiden tarvitse valita yhtä mekanismia toisen sijaan tai käyttää niitä tietyssä järjestyksessä. On kuitenkin viisaampaa noudattaa tiettyä loogista järjestystä, kuten jäljempänä esitetään.

(43) Ensinnäkin EU:n rekisteröidyt voivat saattaa järjestelyn periaatteiden noudattamatta jättämiseen liittyvät tapaukset käsiteltäväksi ottamalla suoraan yhteyttä kyseiseen yhdysvaltalaiseen oman varmennuksen antaneeseen yritykseen. Valitusten käsittelyn helpottamiseksi organisaation on otettava käyttöön tehokas oikeussuojamekanismi. Organisaation tietosuojaperiaatteissa on sen vuoksi ilmoitettava selvästi yhteyspiste, joka on joko organisaatiossa tai sen ulkopuolella ja joka käsittelee valitukset (mukaan lukien unionissa mahdollisesti sijaitsevat asiaankuuluvat elimet, jotka voivat vastata tiedusteluihin tai valituksiin), ja riippumattomat valitusten käsittelymekanismit.

(44) Saatuaan valituksen joko suoraan kyseiseltä henkilöltä tai kauppaministeriöltä, kun tietosuojaviranomaiset ovat siirtäneet asian käsittelyn sille, organisaation on toimitettava vastaus EU:n rekisteröidylle 45 päivän kuluessa. Vastauksessa on arvioitava valituksen aiheellisuus ja annettava tiedot siitä, miten organisaatio aikoo korjata ongelman. Samoin organisaatioiden on vastattava viipymättä järjestelyn periaatteiden noudattamiseen liittyviin tiedusteluihin ja muihin tietopyyntöihin, jotka on tehnyt Yhdysvaltojen kauppaministeriö tai tietosuojaviranomainen (39) (jos organisaatio on sitoutunut tekemään yhteistyötä tietosuojaviranomaisten kanssa). Organisaatioiden on säilytettävä dokumentaatio tietosuojaperiaatteidensa täytäntöönpanosta ja esitettävä ne pyynnöstä riippumattomalle muutoksenhakumekanismille tai liittovaltion kauppakomissiolle (tai muulle Yhdysvaltojen viranomaiselle, jolla on toimivalta tutkia sopimattomia ja vilpillisiä käytäntöjä), tutkinnan tai periaatteiden noudattamatta jättämistä koskevan valituksen yhteydessä.

(45) Toiseksi henkilöt voivat esittää valituksen suoraan (joko Yhdysvalloissa tai unionissa olevalle) riippumattomalle riitojenratkaisuelimelle, jonka organisaatio on nimittänyt tutkimaan ja ratkaisemaan yksittäiset valitukset (elleivät ne ole ilmeisen perusteettomia tai aiheettomia) ja tarjoamaan asianmukaisen ja ilmaisen muutoksenhakumenettelyn. Tällaisen elimen määräämien seuraamusten ja oikeussuojakeinojen on oltava riittävän tiukkoja sen varmistamiseksi, että organisaatiot noudattavat järjestelyn periaatteita ja peruuttavat tai korjaavat periaatteiden noudattamatta jättämisestä aiheutuvat vaikutukset ja olosuhteista riippuen lopettavat henkilötietojen jatkokäsittelyn ja/tai poistavat ne. Lisäksi on julkistettava periaatteiden noudattamatta jättämistä koskevat havainnot. Organisaation nimeämien riippumattomien riitojenratkaisuelimien on sisällytettävä niiden julkisille verkkosivuille asiaankuuluvat tiedot, jotka koskevat EU:n ja Yhdysvaltojen Privacy Shield -järjestelyä ja niiden sen puitteissa tarjoamia palveluja. Niiden on julkaistava vuosittain vuosikertomus, jossa esitetään näitä palveluja koskevat kootut tilastot (40).

(46) Periaatteiden noudattamista koskevien tarkastelumenettelyjen osana kauppaministeriö varmistaa, että oman varmennuksen antaneet yhdysvaltalaiset yritykset ovat todella rekisteröityneet niihin riippumattomiin muutoksenhakumekanismeihin, joihin ne väittävät rekisteröityneensä. Organisaatioiden ja vastuussa olevien riippumattomien muutoksenhakumekanismien on vastattava nopeasti Privacy Shield -järjestelyä koskeviin kauppaministeriön tiedusteluihin ja tietopyyntöihin.

(47) Jos organisaatio ei noudata riitojenratkaisu- tai itsesääntelyelimen päätöstä, tämän on ilmoitettava sovellettavien periaatteiden noudattamatta jättämisestä kauppaministeriölle ja liittovaltion kauppakomissiolle (tai muulle Yhdysvaltojen viranomaiselle, jolla on toimivalta tutkia sopimattomia ja vilpillisiä käytäntöjä) tai toimivaltaiselle tuomioistuimelle (41). Jos organisaatio kieltäytyy noudattamasta jonkin yksityisyyden suojan itsesääntelystä vastaavan tahon, riippumattoman riitojenratkaisuelimen tai valtiollisen elimen lopullista päätöstä tai jos tällainen elin katsoo, että organisaatio jättää toistuvasti järjestelyn periaatteet noudattamatta, se katsotaan periaatteiden jatkuvaksi noudattamatta jättämiseksi. Tämän seurauksena organisaatio poistetaan luettelosta, kun kauppaministeriö on ilmoittanut tästä kyseiselle organisaatiolle 30 päivää ennen ja antanut periaatteita rikkoneelle organisaatiolle mahdollisuuden esittää vastineensa (42). Jos organisaatio luettelosta poistamisen jälkeen väittää edelleen osallistuvansa Privacy Shield -järjestelyyn, kauppaministeriö siirtää asian liittovaltion kauppakomission tai muun toimivaltaisen viraston käsiteltäväksi (43).

(48) Kolmanneksi henkilöt voivat tehdä valituksen myös kansalliselle tietosuojaviranomaiselle. Organisaatiot ovat velvollisia tekemään yhteistyötä, kun tietosuojaviranomaiset tutkivat valituksia ja tekevät niitä koskevia päätöksiä, joko silloin, kun valitus koskee työsuhteen yhteydessä kerättyjä henkilöstötietojen käsittelyä tai kun asianomainen organisaatio on vapaaehtoisesti suostunut tietosuojaviranomaisten valvontaan. Organisaatioiden on erityisesti vastattava tiedusteluihin, noudatettava tietosuojaviranomaisen antama lausuntoa, mukaan lukien korjaavat tai korvaavat toimenpiteet, ja toimitettava tietosuojaviranomaiselle kirjallinen vahvistus siitä, että kyseiset toimenpiteet on toteutettu.

(49) Tietosuojaviranomaisten lausunto toimitetaan unionin tasoisen epävirallisen tietosuojaviranomaisten paneelin kautta, mikä auttaa yhtenäisen ja johdonmukaisen lähestymistavan varmistamisessa tietyn valituksen osalta (44). Lausunto annetaan, kun kiistan molemmilla osapuolilla on ollut asianmukainen tilaisuus esittää haluamansa huomiot ja todistusaineisto. Paneeli antaa lausunnon niin nopeasti kuin asianmukainen menettely sallii ja yleensä 60 päivän kuluessa valituksen vastaanottamisesta. Jos organisaatio ei noudata lausuntoa 25 päivän kuluessa niiden antamisesta eikä anna mitään tyydyttävää selitystä viivästykselle, paneeli ilmoittaa aikomuksestaan joko saattaa asia kauppakomissiolle (tai muulle toimivaltaiselle yhdysvaltalaiselle täytäntöönpanoviranomaiselle) tai katsoa, että yhteistyötä koskevaa sitoumusta on rikottu vakavasti. Ensimmäisessä tapauksessa tämä voi johtaa FTC-lain (tai vastaavan säädöksen) 5 §:n mukaisiin täytäntöönpanotoimiin. Toisessa tapauksessa paneeli ilmoittaa asiasta kauppaministeriölle, joka katsoo, että jos organisaatio kieltäytyy noudattamasta tietosuojaviranomaisten paneelin lausuntoa, kyseessä on periaatteiden jatkuva noudattamatta jättäminen. Tällöin organisaatio poistetaan Privacy Shield -luettelosta.

(50) Jos tietosuojaviranomainen, jolle valitus on osoitettu, ei ole toteuttanut toimenpiteitä tai ne ovat riittämättömiä valituksen käsittelemiseksi, valituksen tekijällä on mahdollisuus hakea muutosta toimenpiteiden tai niiden puuttumisen johdosta kyseisen jäsenvaltion kansallisissa tuomioistuimissa.

(51) Henkilöt voivat tehdä valituksen tietosuojaviranomaisille myös silloin, kun tietosuojaviranomaisten paneelia ei ole nimetty organisaation riitojenratkaisuelimeksi. Näissä tapauksissa tietosuojaviranomainen voi saattaa tällaiset valitukset joko Yhdysvaltojen kauppaministeriön tai liittovaltion kauppakomission käsiteltäväksi. Yhteistyön helpottamiseksi ja lisäämiseksi tapauksissa, joissa on kyse henkilöiden tekemistä valituksista tai joissa Privacy Shield -järjestelyyn osallistuva organisaatio ei ole noudattanut periaatteita, kauppaministeriö perustaa erityisen yhteyspisteen pitämään yhteyttä tietosuojaviranomaisiin ja avustamaan niitä tutkimuksissa, jotka koskevat järjestelyn periaatteiden noudattamista organisaatiossa (45). Samoin liittovaltion kauppakomissio on sitoutunut perustamaan yhteyspisteen (46) ja avustamaan tietosuojaviranomaisia tutkimuksissa Yhdysvaltojen verkkoturvallisuuslain (U.S. SAFE WEB Act) (47) mukaisesti.

(52) Neljänneksi kauppaministeriö on sitoutunut vastaanottamaan, tarkastamaan ja parhaansa mukaan käsittelemään valitukset organisaatioista, jotka eivät ole noudattaneet järjestelyn periaatteita. Tätä varten kauppaministeriö laatii tietosuojaviranomaisille erityismenettelyt, joiden puitteissa valitukset siirretään erityiselle yhteyspisteelle, niitä seurataan ja niiden johdosta toteutetaan lisätoimia yritysten kanssa ratkaisun löytymisen helpottamiseksi. Yksittäisten valitusten käsittelyn jouduttamiseksi yhteyspiste toimii suoraan asiaankuuluvan tietosuojaviranomaisen kanssa sovellettavien periaatteiden noudattamista koskevissa kysymyksissä ja erityisesti ilmoittaa tälle valitusten käsittelyn etenemisestä enintään 90 päivän kuluessa siitä, kun asia on siirretty käsiteltäväksi. Tämä antaa rekisteröidyille mahdollisuuden tehdä valitus suoraan kansalliselle tietosuojaviranomaiselle, kun yhdysvaltalaiset oman varmennuksen antaneet yritykset eivät noudata sovellettavia periaatteita, ja saada valitus siirrettyä Yhdysvaltojen kauppaministeriölle, joka on EU:n ja Yhdysvaltojen Privacy Shield -järjestelyä hallinnoiva viranomainen. Kauppaministeriö on myös sitoutunut laatimaan EU:n ja Yhdysvaltojen Privacy Shield -järjestelyn toimintaa koskevan vuotuisen tarkastelun yhteydessä kertomuksen, jossa sen vuoden aikana saamia valituksia analysoidaan kootussa muodossa (48).

(53) Jos kauppaministeriö toteaa viran puolesta tehtyjen tarkastusten, valitusten tai muiden tietojen perusteella, että organisaatio on jatkuvasti jättänyt noudattamatta järjestelyn periaatteita, se poistaa tällaisen organisaation Privacy Shield -luettelosta. Jos organisaatio kieltäytyy noudattamasta minkä tahansa yksityisyyden suojan itsesääntelystä vastaavan tahon, riippumattoman riitojenratkaisuelimen tai valtiollisen elimen, mukaan lukien tietosuojaviranomainen, lopullista päätöstä, se katsotaan periaatteiden jatkuvaksi noudattamatta jättämiseksi.

(54) Viidenneksi Privacy Shield -järjestelyyn osallistuvan organisaation on kuuluttava Yhdysvaltojen viranomaisten, erityisesti liittovaltion kauppakomission (Federal Trade Commission, FTC) (49) tutkinta- ja täytäntöönpanovallan piiriin, jotta voidaan tehokkaasti varmistaa periaatteiden noudattaminen. Liittovaltion kauppakomissio asettaa etusijalle sellaiset järjestelyn periaatteiden noudattamatta jättämistä koskevat tapaukset, jotka on saatu riippumattomilta riitojenratkaisu- tai itsesääntelyelimiltä, kauppaministeriöltä ja tietosuojaviranomaisilta (jotka toimivat joko omasta aloitteestaan tai valitusten perusteella), sen määrittämiseksi, onko FTC-lain 5 §:ää rikottu (50). Liittovaltion kauppakomissio on sitoutunut luomaan vakiomuotoisen siirtomenettelyn, nimeämään yhteyspisteen tietosuojaviranomaisten sille tekemille siirroille ja vaihtamaan tietoja siirroista. Lisäksi se ottaa suoraan vastaan henkilöiden tekemiä valituksia ja toteuttaa Privacy Shield -järjestelyyn liittyviä tutkimuksia omasta aloitteestaan, erityisesti osana yksityisyyden suojaa koskevia laajempia tutkimuksiaan.

(55) Liittovaltion kauppakomissio voi toteuttaa täytäntöönpanotoimia antamalla hallinnollisia määräyksiä (”suostumusmääräys”, consent order), ja se valvoo järjestelmällisesti tällaisten määräysten noudattamista. Jos organisaatio ei noudata määräyksiä, liittovaltion kauppakomissio voi viedä asian toimivaltaisen tuomioistuimen käsiteltäväksi hakeakseen siviilioikeudellisia seuraamuksia ja muita korjaavia toimenpiteitä, mukaan lukien seuraamukset lainvastaisen toiminnan aiheuttamasta vahingosta. Vaihtoehtoisesti liittovaltion kauppakomissio voi pyytää suoraan alustavaa tai pysyvää kieltotuomiota tai muita korjaavia toimenpiteitä liittovaltion tuomioistuimessa. Privacy Shield -järjestelyyn kuuluvalle organisaatiolle annettuun suostumusmääräykseen liittyy omatoimista raportointia koskevia säännöksiä (51), ja organisaatioiden on julkaistava kaikki liittovaltion kauppakomissiolle toimitettuun, periaatteiden noudattamista koskevaan kertomukseen tai arviointikertomukseen sisältyvät, Privacy Shield -järjestelyyn liittyvät osuudet. Lisäksi liittovaltion kauppakomissio pitää verkossa yllä luetteloa yrityksistä, joille on annettu kauppakomission tai tuomioistuimen määräys Privacy Shield -järjestelyyn liittyvissä tapauksissa.

(56) Kuudenneksi, jos valitusta ei ole ratkaistu tyydyttävästi minkään muun oikeussuojamekanismin avulla, EU:n rekisteröity voi turvautua viimesijaisena muutoksenhakumekanismina toimivan Privacy Shield -paneelin sitovaan välimiesmenettelyyn. Organisaatioiden on ilmoitettava henkilöille, että nämä voivat tietyin edellytyksin pyytää sitovaa välimiesmenettelyä, ja niillä on velvollisuus esittää vastineensa, kun henkilö on turvautunut tähän mahdollisuuteen toimittamalla ilmoituksen asianomaiselle organisaatiolle (52).

(57) Välimiespaneeli koostuu vähintään 20:stä välimiehestä, jotka kauppaministeriö ja komissio ovat nimittäneet heidän riippumattomuutensa, nuhteettomuutensa ja Yhdysvaltojen yksityisyyden suojaa koskevasta lainsäädännöstä ja unionin tietosuojalainsäädännöstä saamansa kokemuksen perusteella. Kunkin yksittäisen kiistan osalta osapuolet valitsevat välimiehistä yhden välimiehen tai kolmen välimiehen paneelin (53). Menettelyssä sovelletaan tavanomaisia välimiesmenettelysääntöjä, joista kauppaministeriö ja komissio sopivat. Nämä säännöt täydentävät jo laadittua kehystä, joka sisältää useita tämän mekanismin käyttömahdollisuuksia parantavia piirteitä EU:n rekisteröityjen kannalta: i) kansallinen tietosuojaviranomainen voi avustaa rekisteröityä tämän valmistellessa vaatimustaan paneelin käsiteltäväksi; ii) vaikka välimiesmenettely tapahtuu Yhdysvalloissa, EU:n rekisteröidyt voivat osallistua menettelyyn video- tai puhelinneuvottelun avulla, josta ei aiheudu henkilölle kustannuksia; iii) vaikka välimiesmenettelyssä käytettävä kieli on tavallisesti englanti, istunto voidaan yleensä tulkata ja aineisto kääntää (54) perustellusta pyynnöstä ilman että tästä aiheutuu rekisteröidylle kustannuksia; iv) vaikka kunkin osapuolen on maksettava omat asianajopalkkionsa, kauppaministeriö perustaa Privacy Shield -järjestelyyn osallistuvien organisaatioiden vuotuisista rahoitusosuuksista rahaston, josta katetaan välimiesmenettelyn tukikelpoiset kustannukset sellaiseen enimmäismäärään asti, jonka Yhdysvaltojen viranomaiset määrittävät komissiota kuultuaan.

(58) Privacy Shield -paneelilla on valtuudet määrätä yksilökohtaisesta, ei-rahallisesta kompensaatiosta (individual-specific, non-monetary equitable relief) (55), joka on tarpeen järjestelyn periaatteiden noudattamatta jättämisen korjaamiseksi. Vaikka paneeli ottaa päätöstä tehdessään huomioon muut Privacy Shield -mekanismien perusteella toteutetut korjaavat toimenpiteet, henkilöt voivat silti turvautua välimiesmenettelyyn, jos ne pitävät näitä muita toimenpiteitä riittämättöminä. Näin EU:n rekisteröidyt voivat vedota välimiesmenettelyyn kaikissa tapauksissa, joissa Yhdysvaltojen toimivaltaisten viranomaisten (esimerkiksi liittovaltion kauppakomission) toiminnan tai toimimatta jättämisen vuoksi valituksia ei ole ratkaistu tyydyttävästi. Välimiesmenettelyyn ei voida vedota, jos tietosuojaviranomaisella on toimivalta ratkaista vaade yhdysvaltalaisen oman varmennuksen antaneen yrityksen osalta, toisin sanoen tapauksissa, joissa organisaatio on joko velvollinen tekemään yhteistyötä tietosuojaviranomaisten kanssa ja noudattamaan ohjeita työsuhteen yhteydessä kerättyjen henkilöstötietojen käsittelyn osalta tai on vapaaehtoisesti sitoutunut tekemään niin. Henkilöt voivat panna välimiesoikeuden päätöksen täytäntöön Yhdysvaltojen tuomioistuimissa liittovaltion välimiesmenettelystä annetun lain (Federal Arbitration Act) nojalla, ja varmistaa siten, että heidän käytössään on oikeussuojakeinoja, jos yritys ei noudata päätöstä.

(59) Seitsemänneksi, jos organisaatio ei kunnioita sitoumustaan noudattaa järjestelyn periaatteita ja julkaistuja tietosuojaperiaatteita, muita oikeussuojakeinoja voi olla käytettävissä Yhdysvaltojen osavaltioiden lainsäädännön nojalla tapauksissa, joissa on kyse vahingonkorvauslainsäädännön (tort law) mukaisista korjaavista toimenpiteistä tai harhaanjohtavista lausumista, sopimattomista tai vilpillisistä toimista tai käytännöistä taikka sopimusrikkomuksista.

(60) Lisäksi jos tietosuojaviranomainen EU:n rekisteröidyn esittämän vaateen saatuaan katsoo, että henkilötietoja siirretään Yhdysvalloissa sijaitsevalle organisaatiolle EU:n tietosuojalainsäädännön vastaisesti, mukaan lukien tapaukset, joissa EU:n tiedonviejällä on syytä uskoa, että organisaatio ei noudata järjestelyn periaatteita, se voi myös käyttää toimivaltaansa suhteessa tiedonviejään ja tarvittaessa määrätä, että tietojen siirto on keskeytettävä.

(61) Tässä jaksossa esitettyjen tietojen perusteella komissio katsoo, että Yhdysvaltojen kauppaministeriön hyväksymät järjestelyn periaatteet varmistavat sellaisen henkilötietojen suojan tason, joka olennaisilta osin vastaa direktiivissä 95/46/EY vahvistetuissa aineellisoikeudellisissa perusperiaatteissa taattua tasoa.

(62) Lisäksi järjestelyn periaatteiden tehokas soveltaminen taataan läpinäkyvillä velvoitteilla ja Privacy Shield -järjestelyn hallinnolla ja periaatteiden noudattamista koskevilla tarkastelumenettelyillä, joista huolehtii kauppaministeriö.

(63) Lisäksi komissio katsoo, että kokonaisuutena tarkasteltuna Privacy Shield -järjestelyyn kuuluvien valvonta-, muutoksenhaku- ja täytäntöönpanomekanismien avulla voidaan havaita tapaukset, joissa järjestelyyn liittynyt organisaatio rikkoo järjestelyn periaatteita, ja rangaista niistä käytännössä ja tarjota oikeussuojakeinoja rekisteröidylle, jotta tämä voi tutustua itseään koskeviin henkilötietoihin ja saada nämä tiedot oikaistuiksi tai poistetuiksi.

3. YHDYSVALTALAISTEN VIRANOMAISTEN PÄÄSY EU:N JA YHDYSVALTOJEN VÄLISEN PRIVACY SHIELD -JÄRJESTELYN PUITTEISSA SIIRRETTYIHIN HENKILÖTIETOIHIN JA NIIDEN KÄYTTÖ

(64) Kuten liitteen II I.5 kohdasta ilmenee, järjestelyn periaatteiden noudattamista rajoitetaan siinä määrin kuin se on tarpeen kansallisen turvallisuuden, yleisen edun tai lainvalvonnan vaatimusten vuoksi.

(65) Komissio on arvioinut Yhdysvaltojen lainsäädännön mukaiset rajoitukset ja suojatoimet siltä osin kuin on kyse yhdysvaltalaisten viranomaisten pääsystä EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn puitteissa siirrettyihin henkilötietoihin ja niiden käytöstä kansallisen turvallisuuden, lainvalvonnan ja muiden yleisen edun mukaisten tarkoitusten nimissä. Lisäksi Yhdysvaltojen hallitus on toimittanut komissiolle kansallisen tiedusteluviraston johtajan (Office of the Director of National Intelligence, ODNI) (56) kautta yksityiskohtaisia lausumia ja sitoumuksia, jotka sisältyvät tämän päätöksen liitteeseen VI. Yhdysvaltojen hallitus on myös ulkoministerin allekirjoittamalla ja tämän päätöksen liitteessä III olevalla kirjeellä sitoutunut luomaan uuden valvontamekanismin, joka liittyy tietoihin pääsyyn kansallisen turvallisuuden vuoksi, eli tiedusteluyhteisöstä riippumattoman, tietosuojasta vastaavan oikeusasiamiehen viran. Lisäksi tämän päätöksen liitteeseen VII sisältyvässä Yhdysvaltojen oikeusministeriön lausumassa kuvataan rajoituksia ja suojatoimia, joita sovelletaan viranomaisten pääsyyn tietoihin ja niiden käyttöön lainvalvonnan ja muiden yleisen edun mukaisten tarkoitusten nimissä. Avoimuuden lisäämiseksi ja näiden sitoumusten oikeudellisen luonteen huomioon ottamiseksi jokainen lueteltu ja tämän päätöksen liitteenä oleva asiakirja julkaistaan Yhdysvaltojen Federal Register -lehdessä.

(66) Jäljempänä selvitetään tarkemmin komission päätelmiä rajoituksista, jotka koskevat yhdysvaltalaisten viranomaisten pääsyä Euroopan unionista Yhdysvaltoihin siirrettyihin henkilötietoihin ja niiden käyttöä sekä tehokkaan oikeussuojan olemassaoloa.

3.1. Yhdysvaltalaisten viranomaisten pääsy tietoihin ja niiden käyttö kansallisen turvallisuuden nimissä

(67) Komission analyysi osoittaa, että Yhdysvaltojen lainsäädäntö sisältää useita rajoituksia EU:n ja Yhdysvaltojen Privacy Shield -järjestelyn puitteissa siirrettyihin tietoihin pääsylle ja niiden käytölle kansallisen turvallisuuden nimissä sekä valvontamekanismeja ja oikeussuojakeinoja, jotka tarjoavat riittävät suojatoimet tietojen suojaamiseksi tehokkaasti laittomalta pääsyltä ja väärinkäytösten riskiltä (57). Tätä oikeudellista kehystä on vahvistettu huomattavasti vuoden 2013 jälkeen, jolloin komissio julkaisi kaksi tiedonantoa, kuten jäljempänä esitetään (ks. johdanto-osan 7 kappale).

3.1.1 Rajoitukset

(68) Yhdysvaltojen perustuslain mukaan kansallisen turvallisuuden varmistaminen kuuluu presidentin toimivaltaan armeijan ylipäällikkönä ja ylimpänä toimeenpanevana viranomaisena, ja ulkomaantiedustelun osalta presidentti johtaa Yhdysvaltojen ulkoasioita (58). Vaikka kongressilla on valtuudet asettaa rajoituksia, minkä se onkin tehnyt monessa suhteessa, presidentti voi näissä rajoissa johtaa Yhdysvaltojen tiedusteluyhteisön toimintaa erityisesti toimeenpanoasetusten (Executive Orders) tai presidentin määräysten (Presidential Directives) avulla. Tätä sovelletaan tietenkin myös niillä aloilla, joilla ei ole kongressin antamia ohjeita. Tällä hetkellä kaksi keskeistä oikeudellista välinettä tässä yhteydessä ovat toimeenpanoasetus 12333 (”toimeenpanoasetus (E.O.) 12333”) (59) ja presidentin määräys ”Presidential Policy Directive 28”.

(69) Presidentin määräyksessä PPD-28 (Presidential Policy Directive 28), joka annettiin 17 päivänä tammikuuta 2014, asetetaan useita rajoituksia signaalitiedustelutoiminnalle (60). Kyseinen määräys sitoo Yhdysvaltojen tiedusteluviranomaisia (61) ja pysyy voimassa Yhdysvaltojen hallinnossa tapahtuvista muutoksista huolimatta (62). PPD-28 on erityisen tärkeä ei-yhdysvaltalaisille henkilöille, myös EU:n rekisteröidyille. Siinä säädetään muun muassa, että: a) tietojen keruun signaalitiedustelun avulla on perustuttava säädökseen tai presidentin hyväksyntään ja se on suoritettava Yhdysvaltojen perustuslain (erityisesti sen neljännen lisäyksen) ja Yhdysvaltojen lainsäädännön mukaisesti; b) kaikkia henkilöitä olisi kohdeltava ihmisarvoisesti ja kunnioittavasti, riippumatta heidän kansalaisuudestaan tai siitä, missä he mahdollisesti asuvat; c) kaikki henkilöt ovat oikeutettuja yksityisyyden suojaan heidän henkilötietojensa käsittelyssä; d) yksityisyyden suoja ja kansalaisvapaudet muodostavat olennaisen osan Yhdysvaltojen signaalitiedustelutoiminnan suunnittelussa; e) Yhdysvaltojen signaalitiedustelutoiminnassa on sen vuoksi huomioitava asianmukaiset suojatoimet kaikkien henkilöiden henkilötietojen osalta riippumatta heidän kansallisuudestaan tai siitä, missä he mahdollisesti asuvat.

(70) PPD-28:n mukaan signaalitiedustelutietoja voidaan kerätä ainoastaan, jos tarkoituksena on ulkomaantiedustelu tai vastatiedustelu kansallisen tai ministeriötason tehtävien tukemiseksi, ei mihinkään muuhun tarkoitukseen (esim. kilpailuedun antamiseksi yhdysvaltalaisille yhtiöille). Tältä osin ODNI selittää, että tiedusteluyhteisön toimijoiden ”olisi vaadittava, että keruun olisi mahdollisuuksien mukaan keskityttävä tiettyihin ulkomaisiin tiedustelukohteisiin tai -aiheisiin erottelutekijöiden avulla (esim. erityiset viestintävälineet, valintakriteerit ja tunnisteet)” (63). Lisäksi lausumat varmistavat, että tiedustelutietojen keräämistä koskevien päätösten tekemistä ei jätetä yksittäisten tiedustelupalvelun edustajien harkintavaltaan, vaan niihin sovelletaan sellaisia toimintaperiaatteita ja menettelytapoja, jotka Yhdysvaltojen tiedusteluyhteisön eri toimijoiden (virastot) on otettava käyttöön PPD-28:n panemiseksi täytäntöön (64). Tämän vuoksi asianmukaisten valintakriteerien tutkiminen ja määrittäminen tapahtuu yleisen kansallisia tiedusteluprioriteetteja koskevan kehyksen (National Intelligence Priorities Framework) puitteissa. Näin varmistetaan, että korkean tason poliittiset päättäjät asettavat tiedustelun painopisteet ja että niitä tarkistetaan säännöllisesti, jotta ne vastaavat ajankohtaisia kansallisia turvallisuusuhkia, ja että niissä otetaan huomioon mahdolliset riskit, myös ne, jotka kohdistuvat yksityisyyden suojaan (65). Tämän perusteella viraston henkilöstö tutkii ja määrittelee erityiset valintakriteerit, joiden avulla on tarkoitus kerätä painopisteitä vastaavia ulkomaantiedustelutietoja (66). Valintakriteerejä on tarkistettava säännöllisesti, jotta nähdään, tarjoavatko ne edelleen arvokasta tiedustelutietoa painopisteiden mukaisesti (67).

(71) Lisäksi PPD-28:ssa olevat vaatimukset, joiden mukaan tiedusteluaineiston keruun on aina (68) oltava ”mahdollisimman räätälöityä” ja että tiedusteluyhteisön on asetettava etusijalle muiden tietojen saatavuus ja asianmukaiset ja toteuttamiskelpoiset vaihtoehdot (69), ovat kohdennetun keruun priorisointia valikoimattoman keruun sijaan koskevan yleissäännön mukaiset. ODNIn antaman vakuutuksen mukaan näillä vaatimuksilla varmistetaan erityisesti, että valikoimaton keruu ei ole ”laajamittaista” eikä ”kohdentamatonta” ja että poikkeus ei mene säännön edelle (70).

(72) Vaikka PPD-28:n mukaan tiedusteluyhteisön toimijoiden on joskus tietyissä olosuhteissa kerättävä valikoimattomia signaalitiedustelutietoja esimerkiksi havaitakseen ja arvioidakseen uusia tai kehittyviä uhkia, siinä ohjataan nämä toimijat antamaan etusija vaihtoehdoille, jotka mahdollistavat kohdennetun signaalitiedustelun (71). Tästä seuraa, että valikoimatonta keruuta suoritetaan vain, jos kohdennettu keruu erottelutekijöitä (ts. tiettyyn kohteeseen liittyvä tunniste, kuten kohteen sähköpostiosoite tai puhelinnumero) käyttämällä ei ole mahdollista ”teknisistä tai toiminnallisista syistä” (72). Tämä koskee sekä tapaa, jolla signaalitiedustelutiedot kerätään, että sitä, mitä todellisuudessa kerätään (72).

(73) ODNIn lausumien mukaan tiedusteluyhteisö pyrkii rajoittamaan keruuta ”mahdollisimman paljon” myös silloin, kun se ei voi käyttää erityisiä tunnisteita keruun kohdentamiseksi. Tämän varmistamiseksi se ”soveltaa suodattimia ja muita teknisiä keinoja keskittääkseen keruun niihin välineisiin, jotka todennäköisesti sisältävät ulkomaantiedustelun kannalta arvokasta viestintätietoa” (ja näin ollen vastaavat Yhdysvaltojen poliittisten päättäjien esittämiä vaatimuksia edellä johdanto-osan 70 kappaleessa kuvatun prosessin mukaisesti). Tämän seurauksena valikoimatonta keruuta kohdennetaan vähintään kahdella tavalla. Ensinnäkin sen on aina liityttävä tiettyihin ulkomaantiedustelun tavoitteisiin (esim. signaalitiedustelutietojen hankkimiseksi tietyllä alueella toimivan terroristiryhmän toiminnasta) ja keskityttävä sellaisen viestinnän keruuseen, jolla on tämä yhteys. ODNIn vakuutusten mukaan tämä näkyy siitä, että ”Yhdysvaltojen signaalitiedustelutoiminta koskee vain murto-osaa internetviestinnästä” (73). Toiseksi ODNIn lausumissa selitetään, että käytettävät suodattimet ja muut tekniset keinot suunnitellaan niin, että keruu keskitetään mahdollisimman tarkasti, jotta varmistetaan, että kerätyn ”merkityksettömän tiedon” määrä on mahdollisimman pieni.

(74) Myös silloin kun Yhdysvallat pitää tarpeellisena kerätä valikoimattomia signaalitiedustelutietoja johdanto-osan 70–73 kappaleessa esitettyjen edellytysten mukaisesti, määräyksessä PPD-28 rajoitetaan tällaisten tietojen käyttö erityiseen luetteloon, johon sisältyy kuusi kansalliseen turvallisuuteen liittyvää käyttötarkoitusta, kaikkien henkilöiden yksityisyyden suojan ja kansalaisvapauksien suojelemiseksi heidän kansalaisuudestaan tai asuinpaikastaan riippumatta (74). Näihin sallittuihin käyttötarkoituksiin kuuluvat toimenpiteet, joiden avulla voidaan havaita ja torjua uhkia, jotka johtuvat vakoilusta, terrorismista, joukkotuhoaseista, tai uhkia, jotka kohdistuvat verkkoturvallisuuteen, asevoimiin tai sotilashenkilöstöön, samoin kuin kansainvälisen rikollisuuden uhkia, jotka liittyvät muihin viiteen käyttötarkoitukseen. Niitä tarkistetaan vähintään vuosittain. Yhdysvaltojen hallituksen lausumien mukaan tiedusteluyhteisön toimijat ovat vahvistaneet analysoimattomiin signaalitiedustelutietoihin liittyviä pyyntöjä koskevia analyyttisiä menetelmiään ja standardejaan, jotta ne olisivat näiden vaatimusten mukaisia; kohdennettujen pyyntöjen käyttö ”varmistaa, että vain ne tiedot, joilla on mahdollisesti tiedusteluarvoa, esitetään analyytikoille tutkittavaksi” (75).

(75) Nämä rajoitukset ovat erityisen tärkeitä EU:n ja Yhdysvaltojen Privacy Shield -järjestelyn puitteissa toimitettujen henkilötietojen kannalta erityisesti tapauksissa, joissa henkilötietojen keruu oli tarkoitus suorittaa Yhdysvaltojen ulkopuolella, mukaan lukien niiden siirtäminen transatlanttisia kaapeleita pitkin unionista Yhdysvaltoihin. Kuten Yhdysvaltojen viranomaiset ovat ODNIn lausumissa vahvistaneet, tällaiseen tietojen keruuseen sovelletaan kyseisissä lausumissa esitettyjä rajoituksia ja suojatoimia, myös niitä, jotka on vahvistettu PPD-28:ssa (76).

(76) Vaikka näitä periaatteita ei olekaan ilmaistu kyseisin oikeudellisin termein, niissä otetaan huomioon tarpeellisuutta ja suhteellisuutta koskevien periaatteiden keskeinen sisältö. Kohdennettu tietojenkeruu on selvästi etusijalla, kun taas valikoimaton keruu rajoittuu (poikkeuksellisiin) tilanteisiin, joissa kohdennettu keruu ei ole mahdollinen teknisistä tai toiminnallisista syistä. Myös silloin kun valikoimatonta keruuta ei voida välttää, tällaisten tietojen myöhempi ”käyttö” tietoihin pääsyn kautta rajoittuu tiukasti tiettyihin, kansalliseen turvallisuuteen liittyviin laillisiin tarkoituksiin (77).

(77) Nämä vaatimukset sitovat koko tiedusteluyhteisöä, koska ne sisältyvät presidentin ylimpänä toimeenpanevana viranomaisena antamaan määräykseen, ja ne on pantu täytäntöön sellaisten viraston sääntöjen ja menettelyjen avulla, joilla yleiset periaatteet muunnetaan päivittäisiä toimintoja koskeviksi erityisohjeiksi. Vaikka PPD-28 ei sido kongressia, kongressi on itse toteuttanut toimenpiteitä, joilla varmistetaan, että henkilötietojen keruu Yhdysvalloissa ja niihin pääsy on kohdennettua, eikä sitä toteuteta ”yleiseltä pohjalta”.

(78) Saatavilla olevien tietojen, kuten Yhdysvaltojen hallitukselta saatujen lausumien, perusteella voidaan todeta, että Yhdysvaltojen tiedusteluvirastot voivat sen jälkeen, kun tiedot on siirretty Yhdysvalloissa sijaitseville organisaatioille, jotka ovat antaneet oman varmennuksen EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn puitteissa, pyytää henkilötietoja ainoastaan silloin (78), kun pyyntö on ulkomaantiedustelun valvontaa koskevan lain (Foreign Intelligence Surveillance Act, FISA) mukainen tai sen on tehnyt Yhdysvaltojen liittovaltion poliisi (Federal Bureau of Investigation, FBI) niin sanotun kansallista turvallisuutta koskevan kirjeen (National Security Letter, NSL) (79) perusteella. FISA-laki sisältää useita oikeusperustoja, joita voidaan käyttää EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn puitteissa siirrettyjen, EU:n rekisteröityjä koskevien henkilötietojen keräämiseksi ja käsittelemiseksi. Näitä oikeusperustoja ovat FISA-lain 104 § (80), joka kattaa perinteisen yksilöllisen sähköisen valvonnan, ja 402 § (81), joka käsittelee lähtevän ja saapuvan teleliikenteen tietojen tallennusjärjestelmien (pen registers, trap and trace devices) asennusta. Muut kaksi keskeistä välinettä ovat FISA-lain 501 § (entinen U.S. PATRIOT ACT -lain 215 §) ja 702 § (82).

(79) Tältä osin USA FREEDOM Act -laissa, joka annettiin 2 päivänä kesäkuuta 2015, kielletään valikoimattomien tietojen kerääminen FISA-lain 402 §:n (lähtevän ja saapuvan teleliikenteen tietojen tallennusjärjestelmien käyttölupa), FISA-lain 501 §:n (aikaisemmin U.S. PATRIOT ACT -lain 215 §) (83) ja NSL-kirjeiden perusteella. Sen sijaan siinä vaaditaan erityisten valintakriteerien käyttöä (84).

(80) Vaikka FISA-laki sisältää muita oikeusperustoja kansalliselle tiedustelutoiminnalle, myös signaalitiedustelulle, komission arviointi osoittaa, että julkisten viranomaisten toimet rajoitetaan myös näissä oikeusperustoissa EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn puitteissa siirrettyjen henkilötietojen osalta tietojen kohdennettuun keruuseen ja niihin pääsyyn.

(81) Tämä on selvää kun on kyse perinteisestä yksilöllisestä sähköisestä valvonnasta FISA-lain 104 §:n nojalla (85). FISA-lain 702 §:n, joka muodostaa perustan kahdelle tärkeälle Yhdysvaltojen tiedusteluvirastojen tiedusteluohjelmalle (PRISM, UPSTREAM), mukaan tiedonhaut suoritetaan kohdennetusti käyttämällä yksittäisiä valintakriteerejä, joilla yksilöidään tietyt viestintävälineet, kuten kohteen sähköpostiosoite tai puhelinnumero, mutta ei avainkäsitteitä tai kohteena olevien henkilöiden nimiä (86). Kuten Privacy and Civil Liberties Oversight Board (PCLOB) on huomauttanut, 702 §:n mukaisen valvonnan ”kohteena ovat tietyt [ei-yhdysvaltalaiset] henkilöt, jotka on määritetty yksilöllisesti” (87). Päättymislausekkeen vuoksi FISA-lain 702 §:ää on tarkasteltava uudelleen vuonna 2017, jolloin komission on arvioitava EU:n rekisteröityjen käytettävissä olevia suojatoimia.

(82) Lisäksi Yhdysvaltojen hallitus on lausumissaan antanut Euroopan komissiolle nimenomaisen vakuutuksen siitä, että Yhdysvaltojen tiedusteluyhteisö ”ei harjoita kehenkään, esimerkiksi tavallisiin unionin kansalaisiin, kohdistuvaa kohdentamatonta valvontaa” (88). Yhdysvalloissa kerättyjen henkilötietojen osalta tätä lausuntoa tukevat empiiriset todisteet, jotka osoittavat, että tietopyynnöt, jotka on tehty käyttämällä NSL-kirjettä tai FISA-lain mukaisesti joko yksittäin tai yhdessä, koskevat ainoastaan suhteellisen pientä määrää kohteita, kun tilannetta verrataan internetin yleiseen tietovirtaan (89).

(83) Kerättyihin tietoihin pääsyn ja tietoturvan osalta PPD-28:ssa edellytetään, että pääsy ”on rajoitettu vain luvan omaavaan henkilöstöön, joille tiedot ovat tarpeen tehtävänsä suorittamiseksi” ja että henkilötiedot ”on käsiteltävä ja säilytettävä arkaluonteisiin tietoihin sovellettavien suojatoimien mukaisesti sellaisissa olosuhteissa, jotka antavat riittävän suojan ja estävät sellaisilta henkilöiltä niihin pääsyn, joilla ei ole lupaa päästä tietoihin”. Tiedusteluhenkilöstö saa PPD-28:ssa vahvistettuja periaatteita koskevaa asianmukaista ja riittävää koulutusta (90).

(84) Yhdysvaltojen tiedusteluviranomaisten keräämien, EU:n rekisteröityjen henkilötietojen säilyttämisestä ja edelleen levittämisestä PPD-28:ssa todetaan, että kaikkia henkilöitä (myös ei-yhdysvaltalaisia) olisi kohdeltava ihmisarvoisesti ja kunnioittavasti, että kaikki henkilöt ovat oikeutettuja yksityisyyden suojaan henkilötietojensa käsittelyssä ja että tiedusteluyhteisön toimijoiden on sen vuoksi laadittava politiikkoja, jotka tarjoavat tällaisille tiedoille asianmukaiset suojatoimet, jotka ”on kohtuudella suunniteltu niin, että ne minimoivat [tietojen] levittämisen ja säilyttämisen” (91).

(85) Yhdysvaltojen hallituksen mukaan tämä kohtuusvaatimus tarkoittaa sitä, että tiedusteluyhteisön toimijoiden ei tarvitse ottaa käyttöön ”mitä tahansa teoriassa mahdollista toimenpidettä” vaan että niiden on ”tasapainotettava toimensa yksityisyyttä ja kansalaisvapauksia koskevien oikeutettujen etujen suojelemiseksi signaalitiedustelutoiminnan käytännön vaatimusten kanssa” (92). Tältä osin ei-yhdysvaltalaisia henkilöitä kohdellaan samoin kuin yhdysvaltalaisia Yhdysvaltojen oikeusministerin hyväksymien menettelyjen perusteella (93).

(86) Näiden sääntöjen mukaan tietoja säilytetään yleensä enintään viisi vuotta, ellei laissa ole erityissäännöstä tai ellei kansallisen tiedusteluviraston johtaja yksityisyyden suojaa koskevia kysymyksiä huolellisesti arvioituaan ja ODNIn kansalaisvapauksien suojasta vastaavan neuvonantajan samoin kuin viraston kansalaisvapauksiin liittyviä tehtäviä hoitavien virkamiesten näkemykset huomioon ottaen määrää, että tietojen säilyttämisen jatkaminen on kansallisen turvallisuuden edun mukaista (94). Tietojen levittäminen on rajattu tapauksiin, joissa tiedot ovat merkityksellisiä keruun tarkoituksen kannalta ja näin ollen ne vastaavat hyväksytyn ulkomaantiedustelun tai lainvalvonnan tiedontarvetta (95).

(87) Yhdysvaltojen hallituksen antamien vakuutusten mukaan henkilötietoja ei saa levittää pelkästään sillä perusteella, että asianomainen henkilö ei ole yhdysvaltalainen ja että ”ulkomaalaisen henkilön tavanomaiseen toimintaan kohdistuvaa signaalitiedustelua ei katsottaisi ulkomaantiedusteluksi, jota voitaisiin levittää tai säilyttää pysyvästi pelkästään tämän seikan perusteella, ellei se muutoin vastaa hyväksyttyä ulkomaantiedustelutiedon tarvetta” (96).

(88) Edellä olevan perusteella komissio katsoo, että Yhdysvalloissa on käytössä sääntöjä, joilla pyritään rajoittamaan puuttumista kansallisen turvallisuuden nimissä sellaisten henkilöiden perusoikeuksiin, joiden henkilötietoja siirretään unionista Yhdysvaltoihin EU:n ja Yhdysvaltojen Privacy Shield -järjestelyn nojalla, siihen mikä on ehdottomasti tarpeen oikeutetun tavoitteen saavuttamiseksi.

(89) Kuten edellä oleva analyysi osoittaa, Yhdysvaltojen lainsäädännössä varmistetaan, että valvonta- ja tarkkailutoimenpiteitä käytetään ainoastaan ulkomaantiedustelutiedon hankkimiseksi – mikä on oikeutettu poliittinen tavoite (97) – ja niitä räätälöidään mahdollisimman paljon. Erityisesti on huomattava, että valikoimaton keruu voidaan hyväksyä ainoastaan poikkeuksellisesti, jos kohdennettu keruu ei ole mahdollinen, ja siihen liitetään ylimääräisiä suojatoimia, joilla kerättyjen tietojen määrä ja niihin pääsy minimoidaan (pääsy on kohdennettava ja sallittava ainoastaan tiettyihin tarkoituksiin).

(90) Komission arvioinnin mukaan tämä vastaa unionin tuomioistuimen tuomiossa Schrems vahvistamaa standardia. Tuomion mukaan säännöstössä, jolla puututaan perusoikeuskirjan 7 ja 8 artiklassa taattuihin perusoikeuksiin, on säädettävä ”vähimmäisvaatimuksista” (98), minkä lisäksi tuomiossa todetaan, että ”siihen, mikä on ehdottomasti tarpeen, ei siis rajoitu säännöstö, jossa sallitaan yleisesti kaikkien henkilöiden, joiden henkilötiedot on siirretty unionista Yhdysvaltoihin, kaikkien henkilötietojen säilyttäminen tekemättä mitään erottelua, rajoitusta tai poikkeusta tavoiteltavan päämäärän mukaan ja säätämättä objektiivisesta perusteesta, jolla voitaisiin rajoittaa viranomaisten pääsyä tietoihin ja rajata niiden myöhempi käyttö tarkoituksiin, jotka ovat täsmällisiä, täysin rajallisia ja omiaan oikeuttamaan puuttumisen, jota niin henkilötietoihin pääsy kuin niiden käyttökin merkitsevät” (99). Rajoittamatonta kaikkien henkilöiden tietojen keruuta ja säilyttämistä ilman rajoituksia ei harrasteta, ei myöskään rajoittamatonta pääsyä tietoihin. Lisäksi komissiolle annetut lausumat, mukaan lukien vakuutus siitä, että Yhdysvaltojen signaalitiedustelutoiminta koskee vain murto-osaa internetviestinnästä, sulkevat pois mahdollisuuden ”yleisestä” pääsystä (100) sähköisen viestinnän sisältöön.

3.1.2 Tehokas oikeussuoja

(91) Komissio on arvioinut sekä Yhdysvalloissa käytössä olevat valvontamekanismit siltä osin kuin on kyse Yhdysvaltojen tiedusteluviranomaisten puuttumisesta Yhdysvaltoihin siirrettyihin henkilötietoihin että EU:n rekisteröityjen käytettävissä olevat oikeussuojakeinot.

Valvonta

(92) Yhdysvaltojen tiedusteluyhteisöön sovelletaan erilaisia tarkastelu- ja valvontamekanismeja, jotka kuuluvat valtionhallinnon kolmeen haaraan. Näitä ovat toimeenpanohaaran sisäiset ja ulkoiset elimet, useat kongressin valiokunnat sekä tuomioistuinvalvonta, viimeksi mainittu erityisesti ulkomaantiedustelun valvontaa koskevan lain (Foreign Intelligence Surveillance Act) soveltamisalaan kuuluvan toiminnan osalta.

(93) Ensinnäkin toimeenpanohaaran sisällä valvotaan laajasti Yhdysvaltojen viranomaisten tiedustelutoimintaa.

(94) PPD-28:n 4(a)(iv) kohdan mukaan tiedusteluyhteisön toimintaperiaatteisiin ja menettelytapoihin ”on sisällytettävä asianmukaisia toimenpiteitä, joilla helpotetaan henkilötietojen suojatoimien täytäntöönpanon valvontaa”; näihin toimenpiteisiin on kuuluttava säännölliset tarkastukset (101).

(95) Tältä osin on otettu käyttöön useita valvontakerroksia, mukaan lukien kansalaisvapauksiin tai yksityisyyden suojaan liittyviä tehtäviä hoitavat virkamiehet, valvontaviranomaiset, ODNIn kansalaisvapauksista ja yksityisyyden suojasta vastaava toimisto (ODNI Civil Liberties and Privacy Office), PCLOB ja presidentin tiedusteluvalvontakomitea (President's Intelligence Oversight Board). Näitä valvontatehtäviä tukevat määräysten noudattamisesta vastaava henkilöstö kaikissa virastoissa (102).

(96) Kuten Yhdysvaltojen hallitus on todennut (103), kansalaisvapauksiin tai yksityisyyden suojaan liittyviä tehtäviä hoitavia virkamiehiä, jotka vastaavat valvonnasta, on niissä ministeriöissä, joilla on tiedusteluvastuita, ja tiedusteluvirastoissa (104). Vaikka näiden viranomaisten toimivalta voi vaihdella jonkin verran perustana olevan lainsäädännön mukaan, ne yleensä kattavat menettelyjen valvonnan sen varmistamiseksi, että kyseessä oleva ministeriö/virasto ottaa asianmukaisesti huomioon yksityisyyden suojaan ja kansalaisvapauksiin liittyvät huolenaiheet ja että se on ottanut käyttöön asianmukaiset menettelyt, jotta voidaan käsitellä sellaisten henkilöiden valitukset, jotka katsovat, että heidän yksityisyyttään tai kansalaisvapauksiaan on loukattu (ja joissakin tapauksissa niillä voi olla esimerkiksi ODNIn tapaan toimivalta tutkia valituksia (105)). Ministeriön/viraston johtajan on puolestaan varmistettava, että virkamies saa kaikki tiedot ja pääsee tutustumaan kaikkeen aineistoon, joka on tarpeen hänen tehtävänsä suorittamiseksi. Kansalaisvapauksiin tai yksityisyyden suojaan liittyviä tehtäviä hoitavat virkamiehet raportoivat säännöllisesti kongressille ja PCLOBille muun muassa seuraavista: ministeriön/viraston vastaanottamien valitusten lukumäärä ja luonne sekä yhteenveto niihin annetuista päätöksistä, suoritetut arvioinnit ja tarkastelut ja virkamiehen toteuttamien toimien vaikutus (106). Kansallisten tietosuojaviranomaisten arvion mukaan kansalaisvapauksiin tai yksityisyyden suojaan liittyviä tehtäviä hoitavien virkamiesten suorittamaa sisäistä valvontaa voidaan pitää suhteellisen tehokkaana, vaikka tietosuojaviranomaisten mielestä kyseisten virkamiesten riippumattomuus ei ole vaaditulla tasolla (107).

(97) Lisäksi kullakin tiedusteluyhteisön toimijalla on oma valvontaviranomaisensa (Inspector General), jonka tehtävänä on muun muassa valvoa ulkomaantiedustelua (108). Tähän sisältyy ODNIn yhteydessä oleva valvontaviranomaisen toimisto, jolla on kattava toimivalta koko tiedusteluyhteisön suhteen ja valtuudet tutkia valituksia tai tietoja, jotka koskevat väitteitä lainvastaisesta menettelystä tai toimivallan väärinkäytöstä ODNIn ja/tai tiedusteluyhteisön ohjelmien ja toimien yhteydessä (109). Valvontaviranomaiset muodostavat lakisääteisesti riippumattomia (110) yksikköjä, joiden tehtävänä on suorittaa tarkastuksia ja tutkimuksia, jotka koskevat kansalliseen tiedusteluun liittyviä, kyseessä olevan viraston ohjelmia ja niiden toteuttamia toimia, mukaan lukien valtaoikeuksien väärinkäyttö tai lain rikkominen (111). Niillä on oikeus saada käyttöönsä kaikki tiedot, raportit, tarkastusaineistot, arvioinnit, asiakirjat, työpaperit, suositukset tai muu asianmukainen aineisto, tarvittaessa haasteteitse, ja ne voivat ottaa todistajanlausuntoja (112). Vaikka valvontaviranomaiset voivat antaa vain ei-sitovia suosituksia korjaavista toimista, niiden raportit, mukaan lukien jatkotoimia (tai niiden puutetta) koskevat, julkistetaan ja lähetetään kongressille, joka voi tällä perusteella harjoittaa valvontatehtäväänsä (113).

(98) Lisäksi yksityisyyden suojan ja kansalaisvapauksien valvonnasta vastaavan lautakunnan (Privacy and Civil Liberties Oversight Board, PCLOB), joka on toimeenpanohaaraan kuuluva (114) puolueiden välinen, riippumaton viisijäseninen elin (115), jonka presidentti nimittää kuusivuotiskaudeksi ja jonka nimityksen senaatti hyväksyy, vastuualaan kuuluu terrorismin vastainen politiikka ja sen täytäntöönpano yksityisyyden suojan ja kansalaisvapauksien suojelemiseksi. Tarkastellessaan tiedusteluyhteisön toimintaa kyseinen elin voi saada käyttöönsä kaikki asiaankuuluvat tiedot, raportit, tarkastusaineistot, arvioinnit, asiakirjat, työpaperit ja suositukset, mukaan lukien salaisiksi luokitellut tiedot, suorittaa haastatteluja ja kuulla todistajia. Se saa raportteja useiden liittovaltion ministeriöiden/virastojen (116) kansalaisvapauksiin tai yksityisyyden suojaan liittyviä tehtäviä hoitavilta virkamiehiltä, ja se voi antaa niille suosituksia. Lisäksi se raportoi säännöllisesti kongressin valiokunnille ja presidentille (117). PCLOBin tehtävänä on myös toimeksiantonsa puitteissa laatia arviointiraportti PPD-28:n täytäntöönpanosta.

(99) Lisäksi edellä mainittuja valvontamekanismeja täydentää tiedustelutoiminnan valvonnasta vastaava lautakunta (Intelligence Oversight Board), joka on perustettu presidentin tiedustelutoimintaa käsittelevän neuvoa-antavan lautakunnan osaksi ja joka valvoo, että Yhdysvaltojen tiedusteluviranomaiset noudattavat perustuslakia ja kaikkia sovellettavia sääntöjä.

(100) Valvonnan helpottamiseksi tiedusteluyhteisön toimijoita kannustetaan suunnittelemaan tietojärjestelmiä, jotka mahdollistavat henkilötietoja koskevien tiedustelujen tai muiden hakujen seurannan, tallennuksen ja arvioinnin (118). Valvonnasta vastaavat ja sääntöjen noudattamista valvovat elimet tarkastavat säännöllisesti tiedusteluyhteisön toimijoiden käytännöt, joita ne soveltavat signaalitiedusteluun sisältyvien henkilötietojen suojaan, ja sen, noudattavatko toimijat kyseisiä menettelyjä (119).

(101) Näitä valvontatehtäviä tuetaan myös vaatimuksilla raportoida laajasti tapauksista, joissa sääntöjä ei ole noudatettu. Erityisesti virastojen soveltamilla menettelyillä on varmistettava, että kun huomataan, että signaalitiedustelun avulla kerättyjen, mitä tahansa kansallisuutta olevan henkilön henkilötietoihin liittyy merkittävä sääntöjen noudattamiseen liittyvä ongelma, tässä ongelmasta on ilmoitettava välittömästi kyseisen tiedusteluyhteisön toimijan johtajalle, joka puolestaan ilmoittaa asiasta kansallisen tiedusteluviraston johtajalle, jonka on PPD-28:n nojalla päätettävä, tarvitaanko korjaavia toimia (120). Lisäksi toimeenpanoasetuksen (E.O.) 12333 mukaisesti kaikkien tiedusteluyhteisön toimijoiden on raportoitava tiedustelutoiminnan valvonnasta vastaavalle lautakunnalle sääntöjen noudattamatta jättämistä koskevat tapaukset (121). Näillä mekanismeilla varmistetaan, että asiaa käsitellään tiedusteluyhteisön korkeimmalla tasolla. Jos tapaus liittyy ei-yhdysvaltalaiseen henkilöön, kansallisen tiedusteluviraston johtajan on ulkoministeriä ja ilmoituksen tehneen yksikön tai viraston johtajaa kuultuaan päätettävä, olisiko ryhdyttävä toimenpiteisiin asiasta ilmoittamiseksi asianomaiselle ulkovaltojen hallitukselle niin, että suojellaan lähteitä, menetelmiä ja yhdysvaltalaista henkilöstöä (122).

(102) Toiseksi näiden toimeenpanohaaran valvontamekanismien lisäksi Yhdysvaltojen kongressilla, erityisesti edustajainhuoneen ja senaatin tiedustelu- ja oikeusasioiden valiokunnilla, on kaikkeen Yhdysvaltojen harjoittamaan ulkomaantiedusteluun, myös signaalitiedusteluun, liittyviä valvontavelvoitteita. Kansallista turvallisuutta koskevan lain (National Security Act) mukaan ”presidentti varmistaa, että kongressin tiedusteluvaliokunnille tiedotetaan täysimääräisesti ja viipymättä Yhdysvaltojen tiedustelutoiminnasta, mukaan lukien tässä alaluvussa edellytetty merkittävä ennakoitu tiedustelutoiminta” (123). Samoin ”presidentti varmistaa, että kaikesta laittomasta tiedustelutoiminnasta ilmoitetaan viipymättä kongressin tiedusteluvaliokunnille samoin kuin mahdollisista korjaavista toimista, jotka on toteutettu tai jotka aiotaan toteuttaa laittoman toiminnan johdosta” (124). Näiden valiokuntien jäsenillä on pääsy sekä salaisiksi luokiteltuihin tietoihin että tiedustelumenetelmiin ja -ohjelmiin (125).

(103) Myöhemmillä säädöksillä on laajennettu ja tarkennettu raportointivaatimuksia, jotka koskevat sekä tiedusteluyhteisön toimijoita, asianomaisia valvontaviranomaisia että oikeusministeriä. Esimerkiksi FISA-laissa edellytetään, että oikeusministeri ”tiedottaa täysimääräisesti” tiettyjen kyseisen lain pykälien mukaisesti senaatin ja edustajainhuoneen tiedustelu- ja oikeusasioiden valiokunnille hallituksen toimista (126). Se edellyttää myös, että hallitus antaa kongressin valiokunnille jäljennökset ”kaikista ulkomaantiedustelun valvonnasta vastaavan tuomioistuimen (Foreign Intelligence Surveillance Court) tai ulkomaantiedustelun valvonnan muutoksenhakutuomioistuimen (Foreign Intelligence Surveillance Court of Review) päätöksistä, määräyksistä tai lausunnoista, joihin sisältyy [FISA-lain säännösten] merkittävää tulkintaa”. Erityisesti mitä tulee FISA-lain 702 §:n mukaiseen valvontaan, tällaista toimintaa valvotaan toimittamalla vaaditut raportit tiedustelu- ja oikeusasioiden valiokunnille sekä toteuttamalla säännöllisiä katsauksia ja kuulemisia. Näihin kuuluvat oikeusministerin puolivuotiskertomus, jossa esitellään FISA-lain 702 §:n soveltamista ja jossa ovat liitteenä erityisesti oikeusministeriön ja ODNIn selvitykset sääntöjen noudattamisesta ja kuvaus mahdollisista tapauksista, joissa sääntöjä ei ole noudatettu (127), ja oikeusministerin ja DNI:n erillinen puolivuosittainen arvio, jossa selvitetään kohdentamiseen ja minimointiin liittyvien menettelyjen noudattamista, mukaan lukien niiden menettelyjen noudattaminen, joiden tarkoituksena on varmistaa, että tiedonkeruu liittyy perusteltuun ulkomaantiedustelutavoitteeseen (128). Kongressi saa myös valvontaviranomaisten kertomukset. Kyseisillä viranomaisilla on valtuudet arvioida, noudattavatko virastot kohdentamiseen ja minimointiin liittyviä menettelyjä sekä oikeusministerin ohjeita.

(104) Vuoden 2015 USA Freedom Act -lain mukaan Yhdysvaltojen hallituksen on vuosittain ilmoitettava kongressille (ja yleisölle) muun muassa haettujen ja myönnettyjen FISA-määräysten (FISA orders and directives) lukumäärä sekä arviot valvonnan kohteena olevien yhdysvaltalaisten ja ei-yhdysvaltalaisten henkilöiden määrästä (129). Lisäksi laissa edellytetään, että kansallista turvallisuutta koskevien kirjeiden (NSL) määrästä annetaan julkinen raportti sekä yhdysvaltalaisten että ei-yhdysvaltalaisten osalta (samalla FISA-määräysten ja -sertifiointipäätösten sekä NSL-pyyntöjen vastaanottajat voivat antaa avoimuusraportin tietyin edellytyksin) (130).

(105) Kolmanneksi ulkomaantiedustelun valvonnasta vastaava tuomioistuin (FISC) (131) voi tarkastella Yhdysvaltojen viranomaisten FISA-lakiin perustuvaa tiedustelutoimintaa ja joissain tapauksessa toimenpiteille on hankittava kyseisen tuomioistuimen ennakkohyväksyntä. FISC on riippumaton tuomioistuin (132), jonka päätöksistä voi valittaa ulkomaantiedustelun valvonnan muutoksenhakutuomioistuimelle (FISCR) (133) ja viimeksi Yhdysvaltojen korkeimmalle oikeudelle (134). Ennakkohyväksynnän saamiseksi pyynnön esittäneiden viranomaisten (FBI, NSA, CIA jne.) on toimitettava hakemusluonnos oikeusministeriön kansallisen turvallisuuden osaston lakimiehille, jotka tutkivat hakemuksen ja pyytävät tarvittaessa lisätietoja (135). Kun hakemus on valmis, se on hyväksytettävä oikeusministerillä, varaoikeusministerillä tai kansallisesta turvallisuudesta vastaavalla apulaisoikeusministerillä (136). Tämän jälkeen oikeusministeriö toimittaa hakemuksen FISC-tuomioistuimelle, joka arvioi sen ja tekee alustavan päätöksen siitä, miten asiassa edetään (137). Kuulemisessa FISC-tuomioistuimella on valtuudet ottaa todistajanlausuntoja, joihin voi sisältyä asiantuntijaneuvoja (138).

(106) FISC-tuomioistuimen (ja FISCR:n) tukena on viisihenkinen pysyvä paneeli. Sen jäsenillä on kokemusta kansalliseen turvallisuuteen ja kansalaisvapauksiin liittyvissä kysymyksissä (139). Tuomioistuin nimittää ryhmästä yhden toimimaan amicus curiaen ominaisuudessa tehtävänään avustaa määräystä tai muutoksenhakua koskevissa hakemuksissa, joissa tuomioistuimen mukaan on kyse lainsäädännön uudesta tai merkittävästä tulkinnasta, ellei tuomioistuin katso, että kyseinen nimitys ei ole asianmukainen (140). Tällä varmistetaan erityisesti, että yksityisyyden suojaan liittyvät näkökohdat otetaan asianmukaisesti huomioon tuomioistuimen tekemässä arvioinnissa. Tuomioistuin voi myös nimittää yksittäisen henkilön tai organisaation toimimaan amicus curiaena, esimerkiksi toimimaan teknisenä asiantuntijana, kun se katsoo sen tarpeelliseksi, tai antaa yksittäiselle henkilölle tai organisaatiolle tämän hakemuksesta luvan saada esittää amicus curiae -kirjelmä (141).

(107) FISC-tuomioistuimen valvontatoimissa on eroavaisuuksia siltä osin kuin on kyse kahdesta FISA-lain mukaisesta valvontaa koskevasta lakisääteisestä luvasta, jotka ovat tärkeimmät EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn mukaisten tiedonsiirtojen kannalta.

(108) FISA-lain 501 §:ssä (142) sallitaan ”aineellisten esineiden (mukaan lukien kirjanpitokirjat, tiedostot, työpaperit, asiakirjat ja muu materiaali)” keruu. Kyseisen pykälän mukaan FISC-tuomioistuimelle toimitettavan hakemuksen on sisällettävä tosiasioita koskeva lausuma, joka osoittaa, että on perusteltua syytä uskoa, että etsityt aineelliset esineet ovat merkityksellisiä sellaisen luvallisen tutkimuksen kannalta (muu kuin uhka-arviointi), jonka tarkoituksena on hankkia ei-yhdysvaltalaista henkilöä koskevia ulkomaantiedustelutietoja tai suojautua kansainväliseltä terrorismilta tai laittomalta tiedustelutoiminnalta. Lisäksi hakemuksessa on oltava luettelo oikeusministerin hyväksymistä minimointimenettelyistä, jotka koskevat kerättyjen tietojen säilyttämistä ja levittämistä (143).

(109) Sen sijaan FISC-tuomioistuin ei FISA-lain 702 §:n (144) nojalla anna lupaa yksittäisille valvontatoimenpiteille. Sen sijaan se hyväksyy valvontaohjelmia (kuten PRISM, UPSTREAM) oikeusministerin ja kansallisen tiedusteluviraston johtajan valmistelemien vuotuisten sertifiointihakemusten perusteella. FISA-lain 702 §:n mukaan ulkomaantiedustelutietojen hankinnan kohteena voi olla henkilöjä, joiden voidaan kohtuudella uskoa olevan Yhdysvaltojen ulkopuolella (145). Yhdysvaltojen kansallinen turvallisuusvirasto NSA suorittaa kohdentamisen kahdessa vaiheessa. Ensin NSA:n analyytikot tunnistavat ne ulkomailla olevat ei-yhdysvaltalaiset henkilöt, joiden valvonta johtaa analyytikkojen arvion mukaan sertifiointipäätöksessä määriteltyyn ulkomaantiedustelutietoon. Sen jälkeen kun henkilöt on tunnistettu ja heidän kohdentamisensa on hyväksytty NSA:n kattavassa arviointijärjestelmässä (146), kehitetään valintakriteerit ja sovelletaan niitä (”tasked selectors”). Näiden kriteerien avulla tunnistetaan kohteiden käyttämät viestintävälineet (esimerkiksi sähköpostiosoitteet) (147). Kuten edellä todettiin, FISC-tuomioistuimen antamiin sertifiointipäätöksiin ei sisälly tietoa kohteena olevista yksittäisistä ihmisistä, vaan niiden avulla yksilöidään ulkomaantiedustelutietojen luokat (148). Vaikka FISC-tuomioistuin ei arvioi todennäköisen syyn perusteella tai muulla tavalla, onko henkilöt kohdennettu asianmukaisesti ulkomaantiedustelutietojen hankkimiseksi (149), se valvoo, että ”hankinnan huomattavana tarkoituksena on hankkia ulkomaantiedustelutietoja” (150). Itse asiassa FISA-lain 702 §:n mukaan NSA voi kerätä Yhdysvaltojen ulkopuolella tietoja ei-yhdysvaltalaisista henkilöistä vain, jos voidaan kohtuudella olettaa, että tiettyä viestintävälinettä käytetään ulkomaantiedustelutiedon (esim. kansainväliseen terrorismiin, ydinaseiden levittämiseen tai vihamielisten tietoverkkojen toimintaan liittyvien tietojen) välittämiseen. Tällaisiin määrityksiin voidaan hakea muutosta tuomioistuimessa (151). Sertifioinneissa on myös otettava huomioon kohdentamista ja minimointia koskevat menettelyt (152). Oikeusministeri ja kansallisen tiedusteluviraston johtaja tarkastavat, että vaatimuksia noudatetaan, ja virastojen on raportoitava kaikista vaatimustenvastaisista tapauksista FISC-tuomioistuimelle (153) (sekä kongressille ja presidentin tiedustelutoiminnan valvonnasta vastaavalle lautakunnalle), joka tällä perusteella voi muuttaa lupaa (154).

(110) Lisäksi FISC-tuomioistuimen valvonnan tehostamiseksi Yhdysvaltojen viranomaiset ovat luvanneet panna täytäntöön PCLOBin suosituksen, jonka mukaan kyseiselle tuomioistuimelle toimitetaan asiakirjat 702 §:n mukaisista kohdentamispäätöksistä, mukaan lukien satunnaisotannalla poimittu otos käyttöön otetuista valintakriteereistä, jotta se voi arvioida, miten ulkomaantiedustelun tarkoitusta koskeva vaatimus täytetään käytännössä (155). Yhdysvaltojen viranomaiset ovat myös hyväksyneet ja toteuttaneet toimenpiteitä tarkoituksenaan tarkistaa NSA:n kohdentamismenettelyjä dokumentoidakseen paremmin kohdentamispäätöksien perustana olevat ulkomaantiedusteluun liittyvät syyt (156).

Oikeussuojakeinot

(111) EU:n rekisteröityjen käytettävissä on useita Yhdysvaltojen lainsäädännön mukaisia keinoja, jos he ovat huolissaan siitä, että Yhdysvaltojen tiedusteluyhteisön toimijat ovat mahdollisesti käsitelleet (keränneet, saaneet käyttöönsä jne.) heidän henkilötietojaan, ja siitä, onko tässä tapauksessa noudatettu Yhdysvaltojen lainsäädännössä sovellettuja rajoituksia. Nämä keinot liittyvät erityisesti kolmeen alaan: FISA-lakiin perustuva tietoihin pääsy; henkilötietojen tahallinen, laiton käyttö hallituksen virkamiesten toimesta; ja tietoihin pääsy Freedom of Information Act -lain (FOIA) nojalla (157).

(112) Ensinnäkin ulkomaantiedustelun valvontaa koskevassa laissa säädetään useista korjaavista toimenpiteistä, jotka ovat myös ei-yhdysvaltalaisten henkilöiden käytettävissä, laittoman sähköisen valvonnan riitauttamiseksi (158). Tähän sisältyy henkilöiden mahdollisuus nostaa Yhdysvaltoja vastaan siviilikanne rahamääräisen vahingonkorvauksen saamiseksi, kun heitä koskevia tietoja on laittomasti ja tahallisesti käytetty tai luovutettu (159); nostaa Yhdysvaltojen hallituksen virkamiehiä vastaan kanne niiden henkilökohtaisessa ominaisuudessa (”lain varjolla”) rahamääräisen vahingonkorvauksen saamiseksi (160); ja riitauttaa valvonnan laillisuus (ja vaatia tietojen hävittämistä) siinä tapauksessa, että Yhdysvaltojen hallitus aikoo käyttää tai luovuttaa mitä tahansa sähköisessä valvonnassa hankittuja tai siitä johdettuja tietoja kyseistä henkilöä vastaan oikeudellisessa tai hallinnollisessa menettelyssä Yhdysvalloissa (161).

(113) Toiseksi Yhdysvaltojen hallitus esitti komissiolle useita muita keinoja, joita EU:n rekisteröidyt voisivat käyttää ryhtyäkseen oikeudellisiin toimenpiteisiin hallituksen virkamiehiä vastaan, kun hallituksen virkamiehet ovat lainvastaisesti päässeet henkilötietoihin tai käyttäneet niitä, myös väitettyihin kansalliseen turvallisuuteen liittyviin tarkoituksiin (eli Computer Fraud and Abuse Act (162); Electronic Communications Privacy Act (163); ja Right to Financial Privacy Act (164)). Kaikki nämä kanneperusteet koskevat tiettyjä tietoja, kohteita ja/tai pääsylajeja (esim. tietokoneen etäyhteys internetin kautta) ja tietyin edellytyksin (esim. tarkoituksellinen/tahallinen toiminta, virkatehtävien ulkopuolinen toiminta, aiheutunut vahinko) (165). Hallintomenettelylaki (Administrative Procedure Act, 5 U.S.C. § 702) tarjoaa yleisemmän oikeussuojakeinon, jonka mukaan ”henkilöllä, jonka oikeuksia on loukattu viraston toiminnan seurauksena tai johon viraston toiminta vaikuttaa haitallisesti tai jonka etua on loukattu” on oikeus hakea muutosta tuomioistuimesta. Tähän sisältyy mahdollisuus pyytää tuomioistuinta ”toteamaan lainvastaiseksi ja kumoamaan viraston sellaiset toimet, havainnot ja päätelmät, joiden katsotaan olevan […] mielivaltaisia, epämääräisiä, harkintavallan väärinkäyttöä tai muuten lainvastaisia” (166).

(114) Lopuksi on todettava, että Yhdysvaltojen hallitus on viitannut FOIAan, jota ei-yhdysvaltalaiset henkilöt voivat käyttää keinona saada käyttöönsä liittovaltion virastoissa olevia asiakirjoja, myös silloin, kun niihin sisältyy kyseisen henkilön henkilötietoja (167). FOIAn painopisteen vuoksi yksittäiset henkilöt eivät voi sen nojalla ryhtyä toimenpiteisiin henkilötietoihin pääsyä vastaan, vaikka henkilöt voisivatkin periaatteessa saada sen perusteella käyttöönsä tietoja, jotka ovat kansallisten tiedusteluvirastojen hallussa. Kuitenkin mahdollisuudet vaikuttavat tältä osin rajallisilta, koska virastot voivat olla paljastamatta tietoja, jotka kuuluvat tiettyjen lueteltujen poikkeusten piiriin, mukaan lukien pääsy luokiteltuihin kansallista turvallisuutta koskeviin tietoihin sekä lainvalvonnassa tehtyjen tutkimusten tietoihin (168). On kuitenkin huomattava, että henkilöt voivat riitauttaa kansallisten tiedusteluvirastojen tällaisten poikkeusten käytön, sillä ne voivat hakea muutosta sekä hallintoviranomaiselta että tuomioistuimelta.

(115) Vaikka henkilöiden, myös EU:n rekisteröityjen, käytettävissä on tämän vuoksi useita oikeussuojakeinoja, kun he ovat olleet laittoman (sähköisen) valvonnan kohteena kansallisen turvallisuuden nimissä, on kuitenkin selvää, että tämä ei koske eräitä Yhdysvaltojen tiedusteluviranomaisten käytössä olevia oikeusperustoja (esim. toimeenpanoasetus (E.O.) 12333). Lisäksi on todettava, että vaikka periaatteessa ei-yhdysvaltalaisten henkilöiden käytettävissä on oikeussuojakeinoja, esimerkiksi kun on kyse FISAn mukaisesta valvonnasta, käytössä olevat kanneperusteet ovat vähäiset (169) ja henkilöiden (myös yhdysvaltalaisten) nostamat kanteet jätetään tutkimatta, jos ne eivät pysty osoittamaan kanneoikeuttaan (170). Tämä rajoittaa pääsyä yleisiin tuomioistuimiin (171).

(116) Tarjotakseen kaikille EU:n rekisteröidyille ylimääräisen oikeussuojakeinon, Yhdysvaltojen hallitus on päättänyt perustaa uuden oikeusasiamiesmekanismin, kuten tämän päätöksen liitteessä III olevassa Yhdysvaltojen ulkoministerin kirjeessä komissiolle esitetään. Tämän järjestelmän perustana on PPD-28:n perusteella nimettävä johtava koordinaattori (valtiosihteeri), joka toimii ulkoministeriössä yhteyspisteenä ja jonka kautta ulkomaiset hallitukset voivat esittää Yhdysvaltojen signaalitiedustelua koskevia kysymyksiä, mutta oikeusasiamiehen tehtävä menee tätä alkuperäistä suunnitelmaa huomattavasti pidemmälle.

(117) Yhdysvaltojen hallituksen sitoumusten mukaan oikeusasiamiesmekanismi takaa etenkin, että yksittäiset valitukset tutkitaan ja käsitellään asianmukaisesti ja että henkilöt saavat riippumattoman vahvistuksen sille, että Yhdysvaltojen lakeja on noudatettu, tai jos tällaisia lakeja on rikottu, että noudattamatta jättäminen on korjattu (172). Mekanismiin kuuluu tietosuojasta vastaava oikeusasiamies eli alivaltiosihteeri ja muuta henkilöstöä sekä muita toimivaltaisia valvontaelimiä, jotka valvovat tiedusteluyhteisön eri toimijoita, joiden yhteistyöhön oikeusasiamies tukeutuu valituksia käsitellessään. Varsinkin silloin, kun henkilön kysymys koskee sitä, onko valvonta ja tarkkailu Yhdysvaltojen lainsäädännön mukaista, oikeusasiamies voi tukeutua riippumattomiin valvontaelimiin, joilla on tutkintavaltuudet (kuten ministeriöiden ja virastojen valvontaviranomaiset tai PCLOB). Kussakin tapauksessa ulkoministeri varmistaa, että oikeusasiamiehen käytettävissä on keinot sen varmistamiseksi, että sen vastaukset henkilöiden pyyntöihin perustuvat kaikkiin tarvittaviin tietoihin.

(118) Tämän yhdistelmärakenteen avulla oikeusasiamiesmekanismi takaa riippumattoman valvonnan ja oikeussuojakeinot. Lisäksi yhteistyö muiden valvontaelinten kanssa varmistaa, että käytettävissä on tarvittavaa asiantuntemusta. Se, että mekanismi velvoittaa oikeusasiamiehen vahvistamaan, onko sovellettavia periaatteita noudatettu tai miten noudattamatta jättämistä koskeva tilanne korjataan, heijastaa Yhdysvaltojen hallituksen sitoumusta käsitellä ja ratkaista EU:n kansalaisten tekemät valitukset.

(119) Ensinnäkin toisin kuin puhtaasti hallitusten välisessä järjestelmässä oikeusasiamies vastaanottaa yksittäisiä valituksia ja vastaa niihin. Valitukset voidaan osoittaa jäsenvaltioissa oleville kansallisten turvallisuuspalveluiden ja/tai viranomaisten suorittamien henkilötietojen käsittelyn valvonnasta vastaaville viranomaisille, jotka toimittavat valitukset EU:n keskitetylle elimelle, josta ne siirretään edelleen Privacy Shield -järjestelyn oikeusasiamiehelle (173). Tämä hyödyttää EU:n kansalaisia, jotka voivat kääntyä lähellä olevan kansallisen viranomaisen puoleen omalla kielellään. Tämän viranomaisen tehtävänä on tukea henkilöä, joka esittää oikeusasiamiehelle pyynnön, joka sisältää perustiedot ja jota voidaan siten pitää ”täydellisenä”. Henkilön ei tarvitse osoittaa, että Yhdysvaltojen hallitus on todella päässyt hänen henkilötietoihinsa käsiksi signaalitiedustelun kautta.

(120) Toiseksi Yhdysvaltojen hallitus sitoutuu varmistamaan, että oikeusasiamies voi tehtävissään tukeutua muiden Yhdysvaltojen lainsäädännön mukaisten valvonnasta ja sääntöjen noudattamisesta vastaavien mekanismien kanssa tehtävään yhteistyöhön. Tähän osallistuvat toisinaan kansalliset tiedusteluviranomaiset, erityisesti silloin, kun pyynnön on tulkittava koskevan oikeutta tutustua asiakirjoihin tiedonvapautta koskevan FOIA-lain nojalla. Muissa tapauksissa, erityisesti silloin kun pyynnöt koskevat valvonnan yhteensopivuutta Yhdysvaltojen lainsäädännön kanssa, tällaiseen yhteistyöhön osallistuu riippumattomia valvontaelimiä (esim. virastojen/ministeriöiden valvontaviranomaiset), joiden vastuulla ja toimivallassa on perusteellisen tutkinnan suorittaminen (ja erityisesti heillä on mahdollisuus tutustua kaikkiin asiaa koskeviin asiakirjoihin ja valtuudet pyytää tietoja ja lausuntoja) ja ryhtyä toimenpiteisiin, jos sovellettavia periaatteita ei noudateta (174). Oikeusasiamies voi siirtää asioita myös PCLOBin käsiteltäväksi (175). Jos jokin näistä valvontaelimistä toteaa, että periaatteita ei ole noudatettu, kyseisen tiedusteluyhteisön toimijan (esim. tiedusteluviraston) on korjattava tilanne, sillä vain siten oikeusasiamies voi antaa Yhdysvaltojen hallituksen sitoumuksen mukaisen ”positiivisen” vastauksen henkilölle (toisin sanoen sen, että mahdollinen noudattamatta jättäminen on korjattu). Yhteistyön osana oikeusasiamiehelle myös ilmoitetaan tutkinnan tuloksesta, ja oikeusasiamiehellä on käytettävissään keinot varmistaa, että se saa kaikki tarvittavat tiedot vastauksensa laatimiseksi.

(121) Lopuksi on todettava, että oikeusasiamies on Yhdysvaltojen tiedusteluyhteisöstä riippumaton eikä ota vastaan sen ohjeita (176). Tämä on erityisen tärkeää, kun otetaan huomioon, että oikeusasiamiehen on ”vahvistettava”, että i) valitus on tutkittu asianmukaisesti ja että ii) sovellettavaa Yhdysvaltojen lainsäädäntöä – erityisesti liitteessä VI esitettyjä rajoituksia ja suojatoimia – on noudatettu, tai jos periaatteita ei noudateta, rikkominen on korjattu. Riippumattoman vahvistuksen antamiseksi oikeusasiamiehen on saatava tutkintaa koskevat tarvittavat tiedot arvioidakseen valitukseen annetun vastauksen virheettömyyden. Lisäksi ulkoasiainministeri on sitoutunut varmistamaan, että valtiosihteeri toimii oikeusasiamiehen tehtävässä puolueettom