Privacy Shield -vaatimusten noudattamista koskevan yritysten ennakoivan seurannan osalta kauppaministeriö otti huhtikuussa 2019 käyttöön järjestelmän, jossa se tarkastaa 30 yritystä joka kuukausi. Komissio on tyytyväinen siihen, että kauppaministeriö tekee säännöllisesti ja järjestelmällisesti ennakoivia sääntöjen noudattamista koskevia satunnaistarkastuksia, mikä on erittäin tärkeää, jotta voidaan parantaa järjestelyn yleistä noudattamista ja havaita tapauksia, joissa tarvitaan liittovaltion kauppakomission täytäntöönpanotoimia. Komissio panee kuitenkin merkille, että nämä satunnaistarkastukset koskevat usein vain virallisia vaatimuksia, kuten yhteyspisteiltä saatavien vastausten tai verkossa esitettävien yrityksen tietosuojaperiaatteiden puuttumista. Vaikka nämä ovat tietenkin olennaisia näkökohtia Privacy Shield -järjestelyn vaatimusten noudattamisessa, tarkastusten pitäisi koskea myös aineellisia velvoitteita, esimerkiksi tietojen edelleen siirtämiseen liittyvää vastuuvelvollisuutta koskevan periaatteen noudattamista, ja hyödyntää tässä täysimääräisesti välineitä, jotka kauppaministeriöllä on järjestelyn puitteissa käytettävissään. Edelleen siirtämiseen liittyviä vaatimuksia on vahvistettu merkittävästi Privacy Shield -järjestelyssä, sillä suojatoimien puuttuminen tällaisissa tilanteissa heikentäisi järjestelyn avulla taattua suojaa. Vaikka satunnaistarkastuksia olisi tehtävä edelleen säännöllisesti ja järjestelmällisesti, myös näiden aineellisempien vaatimusten noudattaminen on ratkaisevan tärkeää Privacy Shield -järjestelyn jatkumisen kannalta, ja Yhdysvaltojen viranomaisten olisi valvottava niitä tarkasti ja pantava niitä täytäntöön.

Uudelleenvarmennusprosessin osalta kolmannessa vuosittaisessa tarkastelussa kävi ilmi, että jos yritys ei ole suorittanut uudelleenvarmennusprosessia (uudelleen)varmennuksen määräaikaan mennessä, kauppaministeriö tavallisesti myöntää yritykselle huomattavan pitkän ”armonajan” sisäisen menettelyn perusteella. Kyseisen ajanjakson (joka kestää noin 3,5 kuukautta tai joissakin tapauksissa jopa pidemmän aikaa sen mukaan, milloin kauppaministeriö huomaa, ettei uudelleenvarmennusprosessia ole toteutettu) aikana yritys pysyy ”aktiivisena” Privacy Shield -luettelossa. Niin kauan kuin yritys on merkitty Privacy Shield -järjestelyyn osallistuvaksi, järjestelyn velvoitteet ovat sitovia ja yrityksen on pantava ne täytäntöön täysimääräisesti. Tällainen pitkä ajanjakso, jonka aikana yrityksen uudelleenvarmennuksen määräaika on kulunut umpeen mutta yritys on merkitty Privacy Shield ‑järjestelyn aktiiviseksi osallistujaksi, vähentää kuitenkin Privacy Shield -luettelon avoimuutta ja ymmärrettävyyttä EU:n yrityksille ja kansalaisille. Se ei myöskään kannusta järjestelyyn osallistuvia yrityksiä noudattamaan tarkasti vuosittaista uudelleenvarmistusta koskevaa vaatimusta.

Mitä tulee kauppaministeriön toteuttamaan Privacy Shield -järjestelyyn osallistumista koskevien totuudenvastaisten väitteiden etsimiseen, komissio pani merkille, että kauppaministeriö oli jatkanut etsintöjä neljännesvuosittain. Tämä oli johtanut useiden totuudenvastaisten väitteiden havaitsemiseen, ja osa tapauksista oli siirretty myös liittovaltion kauppakomissiolle. Etsintöjen kohteena oli kuitenkin ollut vain yrityksiä, jotka olivat jo jollain tavalla varmennettuja tai jotka olivat hakeneet Privacy Shield -varmennusta (mutta joita ei ollut esimerkiksi uudelleenvarmennettu). On tärkeää, että etsinnät kohdistuvat myös yrityksiin, jotka eivät ole koskaan hakeneet Privacy Shield -varmennusta. Kaikista totuudenvastaisista väitteistä haitallisimpia saattavat olla sellaisten yritysten esittämät väitteet, jotka eivät ole koskaan hakeneet varmennusta. Tämä koskee henkilöiden yksityisyyden suojaa, sillä yritykset, jotka eivät ole koskaan hakeneet varmennusta, eivät ole toteuttaneet liiketoiminnassaan mitään Privacy Shield -järjestelyllä taattuja suojatoimia. Se koskee myös yrityksiä, sillä yritysten tasapuoliset toimintaedellytykset heikentyvät, jos varmennuksen tuottamista eduista voivat hyötyä myös organisaatiot, jotka eivät noudata järjestelyn vaatimuksia.

Komissio pani tyytyväisenä merkille, että yhä useammat EU:n rekisteröidyt käyttävät Privacy Shield ‑järjestelyn mukaisia oikeuksiaan ja että asiaan sovellettavat oikeussuojamekanismit toimivat hyvin. Riippumattomille muutoksenhakumekanismeille toimitettujen valitusten määrä kasvoi, ja niitä ratkaistiin asianomaisten EU:n kansalaisten hyväksi. Myös järjestelyyn osallistuvat yritykset käsittelivät EU:n kansalaisten pyyntöjä asianmukaisesti.

Täytäntöönpanon osalta komissio pani merkille, että viime vuodesta lähtien liittovaltion kauppakomissio on saattanut päätökseen seitsemän Privacy Shield -järjestelyn rikkomista koskevaa täytäntöönpanotoimea – myös ilmoitettujen viran puolesta tehtyjen tehotarkastusten tuloksena. Kaikki seitsemän tapausta koskivat totuudenvastaisia väitteitä järjestelyyn osallistumisesta. Tapauksista kaksi koski myös Privacy Shield -järjestelyn aineellisempien vaatimusten rikkomista, esimerkiksi sitä, että yrityksen Privacy Shield -käytännöistään antamien vakuutusten paikkansapitävyyttä tai niiden täytäntöönpanoa ei ollut tarkastettu yrityksen itsensä tai ulkopuolisen tahon suorittaman periaatteiden noudattamista koskevan arvioinnin perusteella. Komissio on tyytyväinen täytäntöönpanotoimiin, jotka liittovaltion kauppakomissio on toteuttanut Privacy Shield -järjestelyn kolmantena toimintavuonna. Komissio olisi kuitenkin odottanut, että Privacy Shield -periaatteiden aineellisten rikkomusten osalta olisi ryhdytty tarmokkaammin täytäntöönpanotoimiin, kun otetaan huomioon viraston viime vuonna antama ilmoitus ja toisen vuosittaisen tarkastelun yhteydessä annetut vakuutukset.

Komissio pani tältä osin merkille kolmannessa vuosittaisessa tarkastelussa annetun selityksen siitä, että useat käynnissä olevat tutkinnat vievät paljon aikaa, sillä liittovaltion kauppakomissio tutkii kaikkia mahdollisia rikkomuksia. Liittovaltion kauppakomission ilmoittamat tiedot olivat kuitenkin liian suppeita, jotta täytäntöönpanon edistymistä olisi voitu arvioida asianmukaisesti. Vaikka tällaiset tiedot saattavat olla rajoitettuja oikeutetun luottamuksellisuuden vuoksi, ei vaikuta perustellulta, että liittovaltion kauppakomissio ei voi kertoa enempää tietoja viran puolesta suorittamistaan tehotarkastuksista edes yhdistetyssä ja nimettömässä muodossa. Tämä lähestymistapa ei vastaa viranomaisten välistä yhteistyöhenkeä, johon Privacy Shield -järjestely perustuu, joten liittovaltion kauppakomission pitäisi löytää tapoja, joilla se voi jakaa merkittävää tietoa täytäntöönpanotoimistaan komission ja EU:n tietosuojaviranomaisten kanssa, jotka vastaavat osaltaan järjestelyn täytäntöönpanosta.

Tarkastelun aikana keskusteltiin jälleen siitä, miten henkilöstötietoja käsitellään Privacy Shield ‑järjestelyssä. Kuten sidosryhmät vahvistivat, kauppaministeriön, liittovaltion kauppakomission ja EU:n tietosuojaviranomaisten yhteisten ohjeiden kehittäminen toisi todellista lisäarvoa. Komissio panee tältä osin merkille, että tahot ovat olleet äskettäin yhteydessä, mikä on jossain määrin edistänyt ongelmien ymmärtämistä mutta ei ole vielä johtanut konkreettisiin tuloksiin.

2.2.Yhdysvaltojen julkisten viranomaisten pääsy henkilötietoihin ja niiden käyttö

Siltä osin kuin on kyse Yhdysvaltojen julkisten viranomaisten pääsystä henkilötietoihin ja niiden käytöstä, kolmannessa vuosittaisessa tarkastelussa keskityttiin ensinnäkin varmistamaan, että kaikkia rajoituksia ja suojatoimia, joihin tietosuojan riittävyyttä koskeva päätös perustuu, sovelletaan edelleen. Kolmannessa vuosittaisessa tarkastelussa voitiin lisäksi tarkastella uutta kehitystä ja selventää edelleen oikeudellisen kehyksen tiettyjä näkökohtia sekä eri valvontamekanismeja ja mahdollisia oikeussuojakeinoja, erityisesti oikeusasiamiehen saamien valitusten käsittelyä ja ratkaisemista.

Vaikka ulkomaantiedustelun valvontaa koskevan lain 702 §:n mukaista ulkomaantiedustelutietojen keräämistä koskevaa uutta oikeudellista kehitystä ei ollut, komissio oli tyytyväinen Yhdysvaltojen viranomaisten antamiin selvennyksiin tavasta, jolla tiedustelutietojen kerääminen kohdistetaan ulkomaantiedustelun valvontaa koskevan lain 702 §:n mukaisesti toteutetuissa tiedusteluohjelmissa (eli Prismissa ja Upstreamissa). Selvennyksillä vahvistettiin komission tietosuojan riittävyyttä koskevassa päätöksessä tekemät havainnot siitä, että ulkomaantiedustelutietojen kerääminen ulkomaantiedustelun valvontaa koskevan lain 702 §:n mukaisesti kohdistetaan aina käyttämällä valintakriteerejä ja että valintakriteerien valintaa säännellään lailla ja siihen sovelletaan riippumatonta oikeudellista ja lainsäädännöllistä valvontaa.

Komissio pani lisäksi merkille, että joidenkin sellaisten hyväksyntien voimassaolo, joiden nojalla ulkomaan tiedustelutietoja hankitaan ulkomaantiedustelun valvontaa koskevan lain 501 §:n mukaisesti, sellaisena kuin se on muutettuna vuoden 2015 USA FREEDOM -lailla, päättyy 15. joulukuuta 2019. Koska tietojen kerääminen ulkomaantiedustelun valvontaa koskevan lain 501 §:n mukaisesti on merkityksellistä Privacy Shield -järjestelyssä ja sitä on siksi arvioitu tietosuojan riittävyyttä koskevassa komission päätöksessä, on tärkeää, että olemassa olevia rajoituksia ja suojatoimia, kuten valikoimattoman keruun kieltämistä, sovelletaan edelleen myös uudelleenhyväksynnässä.

Presidentin määräyksen nro 28 osalta Yhdysvaltojen viranomaiset vahvistivat nimenomaisesti, että määräys pysyy täysimääräisesti voimassa eikä sitä ole muutettu. Presidentin määräyksen nro 28 täytäntöönpanomenettelyjä tiedusteluyhteisön eri virastoissa ei myöskään ole muutettu. Komissio pani lisäksi merkille Yhdysvaltojen viranomaisten antamat selvitykset siitä, että presidentin määräykseen nro 28 sisältyviä tietojen valikoimatonta keräämistä ja väliaikaista hankintaa koskevia säännöksiä ei sovelleta ulkomaantiedustelutietojen keräämiseen Yhdysvalloissa (esimerkiksi tietojen keräämiseen varmennetulta yritykseltä, joka käsittelee Privacy Shield -järjestelyn mukaisesti EU:sta siirrettyjä tietoja), kuten ulkomaantiedustelun valvontaa koskevan lain 702 §:n nojalla tapahtuvaan keräämiseen Prism- tai Upstream-ohjelmassa, sillä tällainen kerääminen on aina kohdennettua.

Yksityisyyden suojan ja kansalaisvapauksien valvonnasta vastaava lautakunta on tärkeä valvontaelin hallituksen valvonnan alalla, ja komissio oli tyytyväinen siihen, että lautakunnassa on ensimmäisen kerran sitten vuoden 2016 täydet viisi jäsentä, koska Yhdysvaltojen senaatti nimitti siihen kaksi uutta jäsentä. Komissio pani myös merkille, että lautakunnan henkilöstömäärä on kaksinkertaistunut edellisen vuosittaisen tarkastelun jälkeen ja että lautakunta on hyväksynyt kunnianhimoisen työohjelman. Ohjelma koostuu kymmenestä käynnissä olevasta valvontahankkeesta, joista osa on erityisen tärkeitä komission toteuttamalle Privacy Shield -järjestelyn säännölliselle tarkastelulle.

Mitä tulee Privacy Shield -järjestelyn oikeusasiamiesmekanismiin, Yhdysvaltojen presidentti nimitti 18. tammikuuta 2019 Keith Krachin alivaltiosihteeriksi, joka toimii myös oikeusasiamiehenä. Senaatti vahvisti Krachin nimityksen 20. kesäkuuta 2019. Komissio on tyytyväinen Krachin nimitykseen Privacy Shield -järjestelyn oikeusasiamieheksi, mikä varmistaa paikan pysyvän täyttämisen.

Ensimmäistä valitusta, joka toimitettiin oikeusasiamiesmekanismiin Kroatian tietosuojaviranomaisen kautta juuri ennen edellistä vuosittaista tarkastelua, ei lopulta otettu käsiteltäväksi, sillä se liittyi seikkoihin, jotka oli saatettu päätökseen ennen Privacy Shield -päätöksen hyväksymistä. Valitus tarjosi kuitenkin mahdollisuuden kokeilla asiaankuuluvien menettelyjen toimintaa käytännössä. Sekä vuosittaiseen tarkasteluun osallistuvat Euroopan tietosuojalautakunnan edustajat että oikeusasiamies vahvistivat, että kaikki menettelyn asiaankuuluvat vaiheet oli käynnistetty ja saatettu päätökseen tyydyttävällä tavalla. Komissio on tyytyväinen ensimmäisen pyynnön onnistuneeseen käsittelyyn, sillä se on tärkeä osoitus siitä, että oikeusasiamiesmekanismi toimii asianmukaisesti.

Yhdysvaltojen viranomaiset toimittivat myös lisätietoja siitä, miten oikeusasiamies tekee yhteistyötä muiden riippumattomien valvontaelimien kanssa ja korjaa rikkomuksia. Viranomaiset vahvistivat erityisesti, että riippumattomalle tiedusteluyhteisön valvontaviranomaiselle ilmoitettaisiin järjestelmällisesti oikeusasiamiehelle toimitetuista valituksista ja että valvontaviranomainen tekisi niistä oman arvionsa. Viranomaiset selittivät lisäksi, että jos oikeusasiamiehelle tehdystä valituksesta kävisi ilmi, että ulkomaantiedustelun valvontaa koskevan lain 702 §:n mukaisia kohdentamismenettelyjä on rikottu, rikkomuksesta ilmoitettaisiin ulkomaantiedustelun valvonnasta vastaavalle tuomioistuimelle, joka tekisi asiasta riippumattoman arvion ja tarvittaessa määräisi asiaankuuluvan tiedusteluviraston ryhtymään korjaaviin toimiin. Korjaavat toimet voivat vaihdella yksittäisistä toimenpiteistä rakenteellisiin, esimerkiksi laittomasti hankittujen tietojen poistamisesta keruumenettelyn muuttamiseen, myös henkilöstön ohjeistuksen ja koulutuksen osalta.

Lopuksi vahvistettiin, että jos oikeusasiamiehelle tehdyn valituksen tarkastelun yhteydessä havaittaisiin Yhdysvaltojen lainsäädännön rikkomista (kuten toimeenpanoasetusten, presidentin määräysten ja virastojen sääntöjen ja menettelyjen, esimerkiksi ulkomaantiedustelun valvonnasta vastaavan tuomioistuimen hyväksymien kohdentamis- ja minimisointimenettelyjen, rikkomista), laittomasti kerätyt tiedot poistettaisiin kaikista hallituksen tietokannoista ja mahdolliset viittaukset kyseisiin tietoihin poistettaisiin tiedusteluraporteista. EU:n kansalainen voisi siis saada henkilötietonsa poistetuiksi, jos ne olisivat Yhdysvaltojen tiedusteluyhteisön laittomasti keräämiä ja käsittelemiä.

Komissio on tyytyväinen näihin lisäselvityksiin, jotka osoittavat, miten eri riippumattomien valvontaelinten yhteistyöllä vahvistetaan oikeusasiamiesmekanismin tehokkuutta. Oli myös tärkeää selventää sitä, että oikeusasiamiesmekanismin avulla EU:n kansalaiset voivat todellakin käyttää oikeuttaan tietojen poistamiseen, mikä on henkilötiedon suojaa koskevan oikeuden keskeinen osatekijä.

3.PÄÄTELMÄT

Kolmannen vuosittaisen tarkastelun yhteydessä kerätyt tiedot vahvistavat komission havainnot, jotka esitetään tietosuojan riittävyyttä koskevassa päätöksessä ja jotka koskevat sekä järjestelyn kaupallisia näkökohtia että viranomaisten pääsyä Privacy Shield -järjestelyn mukaisesti siirrettyihin henkilötietoihin. Tältä osin komissio pani merkille, että järjestelyn toimintaa oli monin tavoin parannettu ja tärkeimpiin valvontaelimiin oli tehty nimityksiä.

Päivittäisen kokemuksen myötä esiin tulleiden tai järjestelyn käytännön toteutuksessa olennaisiksi havaittujen ongelmien perusteella komissio katsoo kuitenkin, että on ryhdyttävä useisiin konkreettisiin toimiin, jotta Privacy Shield -järjestelyn tehokas käytännön toiminta varmistetaan entistä paremmin:

1.Kauppaministeriön olisi lyhennettävä lisäaikoja, joita se myöntää yrityksille uudelleenvarmennusprosessin loppuunsaattamiseksi. Yhteensä enintään 30 päivän jakso vaikuttaisi riittävältä, jotta yrityksillä on aikaa uudelleenvarmennukseen ja uudelleenvarmennusprosessissa havaittujen ongelmien korjaamiseen. Samalla varmistettaisiin prosessin tehokkuus. Jos uudelleenvarmennusta ei ole saatu päätökseen tässä ajassa, kauppaministeriön pitäisi lähettää varoituskirje viipymättä.