Tämänvuotinen tarkastelu toteutettiin aikana, jona tietosuojaan kohdistuu luonteeltaan yhä globaalimpia haasteita, kuten Facebook / Cambridge Analytica -tapaus osoitti. Sekä EU että Yhdysvallat ovat tietoisia siitä, että niiden on ratkaistava samantyyppisiä haasteita henkilötietojen suojaamiseksi. Kumpikin osapuoli korosti tarkastelun aikana, että henkilötietojen väärinkäyttöön on puututtava muun muassa siten, että EU:n tietosuojaviranomainen ja Yhdysvaltojen liittovaltion kauppakomissio valvovat tiukasti sääntöjen noudattamista.

Komissio totesi kaupallisten näkökohtien osalta (hallinto, varmennettuihin yrityksiin sovellettavien velvoitteiden seuranta ja noudattamisen valvonta), että kauppaministeriö on lujittanut edelleen varmennusmenettelyä ja ottanut käyttöön uusia valvontamenettelyjä ensimmäisen vuosittaisen arvioinnin perustella annettujen suositusten mukaisesti. Kauppaministeriö on erityisesti ottanut käyttöön uuden menettelyn, jossa edellytetään, etteivät ensimmäistä kertaa varmennusta hakevat tahot esittele julkisesti Privacy Shield -järjestelyyn osallistumistaan ennen kuin kauppaministeriö on saanut niiden varmennuksen valmiiksi. Lisäksi kauppaministeriö on ottanut käyttöön uusia mekanismeja, joiden avulla havaitaan mahdolliset sääntöjen noudattamiseen liittyvät ongelmat. Näihin kuuluvat muun muassa satunnaistarkastukset (vuosittaiseen tarkastukseen mennessä tällaisia tarkastuksia oli tehty noin 100 organisaatiolle) ja seurantamenettely, jonka avulla tarkastetaan, että Privacy Shield -järjestelyyn osallistuvien organisaatioiden antamat julkiset raportit yksityisyydensuojakäytännöistään pitävät paikkansa. Kauppaministeriö käyttää nyt aktiivisesti useita eri välineitä löytääkseen organisaatiot, jotka väittävät totuudenvastaisesti osallistuvansa järjestelyyn. Se laatii esimerkiksi neljännesvuosittain katsauksen yrityksistä, joiden on todettu todennäköisesti esittävän totuudenvastaisia väitteitä, ja se on luonut järjestelmän, jonka avulla internetissä voi tehdä asiaa koskevia kuva- ja tekstihakuja. Näiden uusien käytäntöjen ja menettelyjen tuloksena kauppaministeriö on ensimmäisen vuosittaisen tarkastelun jälkeen toimittanut liittovaltion kauppakomission käsiteltäväksi yli 50 tapausta, ja kauppakomissio on toteuttanut niiden perusteella täytäntöönpanotoimia tapauksissa, joissa pelkkä asiasta ilmoittaminen ei saanut asianomaista yritystä noudattamaan sääntöjä.

Täytäntöönpanon valvonnan osalta komissio totesi, että liittovaltion kauppakomissio pyrkii proaktiivisesti seuraamaan Privacy Shield -järjestelyn periaatteiden noudattamista ja on esittänyt hiljattain hallinnollisia haasteita, joiden tarkoituksena on pyytää tietoja useilta järjestelyyn osallistuvilta organisaatioilta. Liittovaltion kauppakomissio on myös vahvistanut, että Facebook / Cambridge Analytica -asiassa on parhaillaan käynnissä tutkinta. Vaikka komissio pitää liittovaltion kauppakomission uutta ja entistä proaktiivisempaa lähestymistapaa sääntöjen noudattamisen valvonnassa merkittävänä edistysaskeleena, se pitää valitettavana, että kauppakomissio ei voinut tässä vaiheessa toimittaa lisätietoja viimeaikaisista tutkintatoimistaan. Komissio aikoo tältä osin seurata tiiviisti tilanteen kehittymistä.

Toisessa vuosittaisessa tarkastelussa otettiin huomioon myös yksityisyyden suojan alalla Yhdysvaltojen oikeusjärjestelmässä tapahtunut kehitys. Tämä koskee erityisesti kauppaministeriön käynnistämää kuulemista, jossa pohditaan liittovaltion tasolla sovellettavaa lähestymistapaa tietosuojaan, sekä liittovaltion kauppakomission pohdintaprosessia, joka koskee kauppakomission nykyisiä valtuuksia yksityisyyden suojan alalla ja sen korjaavien toimien suhteen käyttämiensä valtuuksien tehokkuutta.

Kuten Facebook / Cambridge Analytica -tapaus ja muut viimeaikaiset paljastukset ovat osoittaneet, on tärkeää, että EU ja Yhdysvallat yhdenmukaistavat edelleen toimiaan. Komissio onkin pannut edellä mainitut aloitteet merkille erittäin kiinnostuneena ja osallistunut kauppaministeriön kuulemisprosessiin toimittamalla kirjallisen lausunnon.

Tarkasteltaessa Yhdysvaltojen viranomaisten pääsyä henkilötietoihin ja niiden käyttöä toisessa vuotuisessa tarkastelussa keskityttiin Yhdysvaltojen oikeudellisen kehityksen keskeiseen kehitykseen, esimerkiksi asiaankuuluviin viranomaisten toimintapolitiikkoihin ja menettelyihin, valvontatoimien uusiin suuntauksiin sekä merkittävien valvonta- ja muutoksenhakumekanismien perustamisessa ja toiminnassa tapahtuneisiin muutoksiin.

Tärkein oikeudellinen muutos, joka koskee viranomaisten pääsyä henkilötietoihin, oli ulkomaantiedustelun valvontaa koskevan lain 702 §:n uudelleenhyväksyminen vuoden 2018 alussa. Vaikka presidentin määräyksessä nro 28 vahvistettuja suojatoimia ei tämän johdosta sisällytetty lakiin, kuten komissio oli ehdottanut, myöskään niitä lakiin sisältyviä suojatoimia ei rajoitettu, jotka olivat voimassa silloin kun Privacy Shield -päätös annettiin. Muutoksilla ei myöskään laajennettu Yhdysvaltojen tiedusteluyhteisön valtuuksia hankkia ulkomaantiedustelutietoja kohdistamalla tiedustelutoimia muihin kuin Yhdysvaltojen kansalaisiin ulkomaantiedustelun valvontaa koskevan lain 702 §:n nojalla. Sen sijaan muutosten uudelleenhyväksyntää koskevalla vuoden 2017 lailla, jolla muutetaan vuonna 1978 annettua ulkomaantiedustelun valvontaa koskevaa lakia, otettiin käyttöön joitakin rajoitettuja lisäsuojatoimia esimerkiksi avoimuuden alalla.

Myös yksityisyyden suojan ja kansalaisvapauksien valvonnasta vastaavan lautakunnan toiminnassa on tapahtunut merkittävää kehitystä. Ensimmäisen vuosittaisen tarkastelun aikaan lautakunnassa oli enää yksi jäsen. Komissio on sen vuoksi suosittanut, että puuttuvat lautakunnan jäsenet nimitetään nopeasti. Yhdysvaltojen senaatti vahvisti 11. lokakuuta 2018 yksityisyyden suojan ja kansalaisvapauksien valvonnasta vastaavan lautakunnan puheenjohtajan ja kahden muun jäsenen nimitykset. Lautakunta on nyt täysilukuinen ja voi hoitaa kaikkia tehtäviään. Ensimmäisen vuosittaisen tarkastelun jälkeen komissio oli myös suosittanut, että presidentin määräystä nro 28 koskeva lautakunnan raportti asetettaisiin julkisesti saataville. Raportti julkaistiin 16. lokakuuta 2018. Siinä vahvistetaan, että presidentin määräystä nro 28 noudatetaan kaikilta osin koko tiedusteluyhteisössä. Raportissa vahvistetaan erityisesti, että tiedusteluyhteisön asiaankuuluvat tahot ovat presidentin määräyksen nro 28 antamisen jälkeen antaneet määräyksen täytäntöönpanoa koskevat yksityiskohtaiset säännöt ja muuttaneet käytäntöjään, jotta ne vastaisivat määräyksen vaatimuksia.

Vaikka komissio oli suosittanut Privacy Shield -järjestelystä vastaavan oikeusasiamiehen pikaista nimittämistä, oikeusasiamiehen virastosta vastaavaan ulkoministeriöön ei vielä tämän kertomuksen laatimisajankohtana ollut nimitetty pysyvää alivaltiosihteeriä. Komissio pani tältä osin merkille, että Yhdysvaltojen hallitus tunnusti toisessa vuotuisessa tarkastelussa tarpeen edetä ripeästi pysyvän alivaltiosihteerin nimittämisessä ja vahvisti, että tämä prosessi on käynnissä.

Tämän kertomuksen laatimisajankohtana oikeusasiamiehelle ei ollut toimitettu vielä lainkaan pyyntöjä. Sen sijaan Kroatian tietosuojaviranomaiselle oli toimitettu oikeusasiamiehelle tarkoitettu valitus, jonka osalta oli käynnistetty asiaankuuluvat tarkastukset.

Tarkemmat havainnot, jotka koskevat Privacy Shield -järjestelyn kaikkien osatekijöiden toimintaa järjestelyn toisen toimintavuoden jälkeen, esitetään komission yksiköiden valmisteluasiakirjassa EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn toiminnan toisesta vuosittaisesta tarkastelusta (SWD(2018) 497), joka on liitetty tähän kertomukseen.

Toisen vuosittaisen tarkastelun yhteydessä kerätyt tiedot vahvistavat havainnot, jotka esitetään tietosuojan riittävyyttä koskevassa komission päätöksessä ja jotka koskevat sekä järjestelyn kaupallisia näkökohtia että Yhdysvaltojen viranomaisten pääsyä järjestelyn puitteissa siirrettyihin henkilötietoihin.

Komissio katsoi näiden havaintojen perusteella, että Yhdysvallat varmistaa edelleen Privacy Shield -järjestelyn puitteissa unionista Yhdysvalloissa sijaitseville organisaatioille siirrettyjen henkilötietojen suojan riittävän tason.

Varsinkin toimet, jotka on toteutettu ensimmäisen vuosittaisen tarkastelun jälkeen annettujen komission suositusten täytäntöönpanemiseksi, ovat parantaneet useita järjestelyn käytännön toimintaan liittyviä näkökohtia ja auttaneet varmistamaan, että tietosuojan riittävyyttä koskevalla päätöksellä taattua luonnollisten henkilöiden suojelun tasoa ei heikennetä.

Eräät näistä toimista on kuitenkin toteutettu vasta äskettäin, ja asiaankuuluvat prosessit ovat edelleen kesken. Mahdollista myöhempää edistymistä näissä prosesseissa on sen vuoksi seurattava tarkasti, erityisesti koska tämä vaikuttaa seikkoihin, jotka ovat tietosuojan riittävyyden jatkumisen kannalta keskeisiä. Tämä koskee erityisesti seuraavia seikkoja:

1.niiden mekanismien vaikuttavuus, jotka kauppaministeriö on ottanut käyttöön järjestelyn toisena toimintavuotena voidakseen proaktiivisesti seurata, noudattavako varmennetut yritykset Privacy Shield -järjestelyn periaatteita ja erityisesti sen aineellisia vaatimuksia ja velvoitteita;

2.niiden välineiden vaikuttavuus, jotka kauppaministeriö on ottanut käyttöön ensimmäisen vuosittaisen tarkastelun jälkeen havaitakseen totuudenvastaiset väitteet osallistumisesta järjestelyyn ja joissa keskitytään erityisesti sellaisten yritysten totuudenvastaisiin väitteisiin, jotka eivät ole koskaan edes hakeneet varmennusta;

3.liittovaltion kauppakomission viran puolesta hallinnollisia haasteita käyttäen Privacy Shield -järjestelyn toisena toimintavuotena tekemien tehotarkastusten edistyminen ja tulokset; tarkastuksilla pyritään havaitsemaan merkittävät järjestelyn sääntöihin kohdistuvat rikkomukset;