HR Službeni list Europske unije L 207/1

PROVEDBENA ODLUKA KOMISIJE (EU) 2016/1250

оd 12. srpnja 2016.

o primjerenosti zaštite u okviru europsko-američkog sustava zaštite privatnosti u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća

(priopćeno pod brojem dokumenta C(2016) 4176)

(Tekst značajan za EGP)

EUROPSKA KOMISIJA,

uzimajući u obzir Ugovor o funkcioniranju Europske unije,

uzimajući u obzir Direktivu 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (1), a posebno njezin članak 25. stavak 6.,

nakon savjetovanja s Europskim nadzornikom za zaštitu podataka (2),

1. UVOD

(1) Direktivom 95/46/EZ utvrđuju se pravila za prijenos osobnih podataka iz država članica u treće zemlje u mjeri u kojoj je takav prijenos obuhvaćen njezinim područjem primjene.

(2) Člankom 1. Direktive 95/46/EZ i uvodnim izjavama 2. i 10. njezine preambule nastoji se osigurati ne samo djelotvorna i potpuna zaštita temeljnih prava i sloboda fizičkih osoba, posebno temeljnog prava na poštovanje privatnog života u vezi s obradom osobnih podataka, već i visok stupanj zaštite tih temeljnih prava i sloboda (3).

(3) Važnost temeljnog prava na poštovanje privatnog života zajamčenog člankom 7. i temeljnog prava na zaštitu osobnih podataka zajamčenog člankom 8. Povelje Europske unije o temeljnim pravima u svojoj je praksi istaknuo Sud Europske unije (4).

(4) U skladu s člankom 25. stavkom 1. Direktive 95/46/EZ države članice dužne su osigurati da se prijenos osobnih podataka u treću zemlju može izvršiti samo ako predmetna treća zemlja osigura odgovarajuću razinu zaštite i ako se prije prijenosa poštuju zakoni države članice kojima se provode ostale odredbe Direktive. Komisija može utvrditi da predmetna treća zemlja osigurava odgovarajuću razinu zaštite svojim nacionalnim pravom ili međunarodnim obvezama koje je preuzela u cilju zaštite prava osoba. U tom slučaju, i ne dovodeći u pitanje usklađenost s nacionalnim odredbama donesenima u skladu s drugim odredbama Direktive, osobni podaci mogu se prenositi iz država članica bez dodatnih jamstava.

(5) U skladu s člankom 25. stavkom 2. Direktive 95/46/EZ razina zaštite koju osigurava treća zemlja procjenjuje se ovisno o svim okolnostima u vezi s postupkom prijenosa podataka ili skupom takvih postupaka, što uključuje zakonska pravila, opća i sektorska, koja su na snazi u predmetnoj trećoj zemlji.

(6) U odluci Komisije 2000/520/EZ (5), za potrebe članka 25. stavka 2. Direktive 95/46/EZ, uzeta su u obzir načela privatnosti „sigurne luke”, koja se provode u skladu sa smjernicama iz takozvanih često postavljanih pitanja koje je izdalo Ministarstvo trgovine SAD-a, kako bi se osigurala odgovarajuća razina zaštite osobnih podataka koji se iz Unije prenose organizacijama s poslovnim nastanom u Sjedinjenim Američkim Državama.

(7) U svojim Komunikacijama COM(2013) 846 final (6) i COM(2013) 847 final od 27. studenoga 2013. (7) Komisija je smatrala da se temeljna osnova programa „sigurne luke” mora preispitati i pojačati u kontekstu niza čimbenika, uključujući eksponencijalni rast protoka podataka i njihovu presudnu važnost za transatlantsko gospodarstvo, brzo povećanje broja poduzeća iz SAD-a koja postupaju u skladu s programom „sigurne luke” te nove informacije o opsegu i području primjene određenih američkih obavještajnih programa, zbog čega se javljaju pitanja u pogledu razine zaštite koja se njima može osigurati. Komisija je utvrdila i niz nedostataka i manjkavosti u programu „sigurne luke”.

(8) Na temelju dokaza koje je prikupila, uključujući informacije prikupljene u okviru rada Kontaktne skupine za zaštitu privatnosti EU-a i SAD-a (8) i informacije o američkim obavještajnim programima dobivenima u okviru ad hoc radne skupine EU-a i SAD-a (9), Komisija je oblikovala 13 preporuka za preispitivanje programa „sigurne luke”. Te su preporuke bile usmjerene na jačanje materijalnih načela privatnosti, povećanje transparentnosti politika privatnosti samocertificiranih američkih poduzeća, bolji nadzor, praćenje i provedbu usklađenosti s tim načelima američkih nadležnih tijela, dostupnost pristupačnih mehanizama za rješavanje sporova i potrebu da se osigura ograničenje primjene izuzeća zbog nacionalne sigurnosti predviđenog u Odluci 2000/520/EZ na ono što je nužno i razmjerno.

(9) U svojoj presudi od 6. listopada 2015. u predmetu C-362/14, Maximillian Schrems protiv Povjerenika za zaštitu podataka (10), Sud Europske unije proglasio je Odluku 2000/520/EZ nevažećom. Ne razmatrajući sadržaj načela privatnosti „sigurne luke” Sud je smatrao da Komisija u toj Odluci nije izjavila da Sjedinjene Američke Države zapravo „osiguravaju” odgovarajuću razinu zaštite temeljem svog nacionalnog zakonodavstva ili preuzetih međunarodnih obveza (11).

(10) U tom pogledu Sud EU-a objasnio je da, iako izraz „odgovarajuća razina zaštite” iz članka 25. stavka 6. Direktive 95/46/EZ ne znači razinu zaštite koja je jednaka zaštiti zajamčenoj u pravnom poretku EU-a, on se mora tumačiti kao da se od treće zemlje zahtijeva da osigura razinu zaštite temeljnih prava i sloboda koja je „u osnovi jednakovrijedna” zaštiti zajamčenoj u Uniji temeljem Direktive 95/46/EZ kad se tumači u kontekstu Povelje o temeljnim pravima. Iako se u tom smislu sredstva kojima se služi treća zemlja mogu razlikovati od onih koja se primjenjuju u Uniji, ta se sredstva u praksi ipak moraju pokazati djelotvornima (12).

(11) Sud EU-a kritizirao je da u Odluci 2000/520/EZ nema dovoljno podataka o tome da u Sjedinjenim Američkim Državama postoje pravila namijenjena tome da se ograniči svako zadiranje u temeljna prava osoba čiji se podaci prenose iz Unije u SAD, za što bi državna tijela te zemlje bila ovlaštena pri ostvarivanju legitimnih ciljeva kao što je nacionalna sigurnost, ni o postojanju djelotvorne pravne zaštite protiv takvog zadiranja (13).

(12) Komisija je 2014. započela pregovore s tijelima SAD-a o jačanju programa „sigurne luke” u skladu s 13 preporuka iz Komunikacije COM(2013) 847 final. Nakon presude Suda Europske unije u predmetu Schrems ti su se pregovori pojačali s ciljem donošenja nove odluke o odgovarajućoj zaštiti kojom bi se ispunili zahtjevi iz članka 25. Direktive 95/46/EZ kako ga je protumačio Sud EU-a. Ishod su tih pregovora dokumenti priloženi ovoj Odluci, koji će biti objavljeni i u saveznom registru SAD-a. Načela privatnosti (Prilog II.) zajedno sa službenim pisanim izjavama i obvezama različitih tijela SAD-a navedenima u Prilogu I. i prilozima od III. do VII. čine „europsko-američki sustav zaštite privatnosti”.

(13) Komisija je pažljivo analizirala američko pravo i praksu, među ostalim i te službene izjave i obveze. Na temelju zaključaka razrađenih u uvodnim izjavama od 136. do 140. Komisija zaključuje da Sjedinjene Američke Države osiguravaju odgovarajuću razinu zaštite osobnih podataka koji se u okviru europsko-američkog sustava zaštite privatnosti iz Unije prenose samocertificiranim organizacijama u SAD-u.

2. EUROPSKO-AMERIČKI SUSTAV ZAŠTITE PRIVATNOSTI

(14) Europsko-američki sustav zaštite privatnosti temelji se na sustavu samocertificiranja kojim se američke organizacije obvezuju na poštovanje skupa načela privatnosti koji čine načela europsko-američkog sustava zaštite privatnosti i dodatna načela (dalje u tekstu zajedno: Načela), koja je izdalo Ministarstvo trgovine SAD-a i koja se nalaze u Prilogu II. ovoj Odluci. Primjenjuje se i na voditelje i na izvršitelje obrade (posrednike), uz posebnost da izvršitelji moraju biti ugovorno obvezani da djeluju samo prema uputama voditelja obrade u EU-u i pomažu mu pri odgovaranju pojedincima koji ostvaruju svoja prava u skladu s Načelima (14).

(15) Ne dovodeći u pitanje usklađenost s nacionalnim odredbama donesenima na temelju Direktive 95/46/EZ, ova Odluka znači da su dopušteni prijenosi od voditelja ili izvršitelja obrade u Uniji organizacijama u SAD-u koje su samocertificirale svoje pridržavanje Načela pri Ministarstvu trgovine i obvezala se poštovati ih. Načela se primjenjuju isključivo na obradu osobnih podataka u organizacijama iz SAD-a ako takva obrada nije obuhvaćena područjem primjene zakonodavstva Unije (15). Sustav zaštite privatnosti ne utječe na primjenu zakonodavstva Unije koje se odnosi na obradu osobnih podataka u državama članicama (16).

(16) Zaštita osobnih podataka koju pruža sustav zaštite privatnosti primjenjuje se na svaku osobu u EU-u (17) čiji se osobni podaci iz Unije prenose organizacijama u SAD-u koje su samocertificirale svoje pridržavanje Načela pri Ministarstvu trgovine.

(17) Načela se primjenjuju odmah nakon certificiranja. Jedina se iznimka odnosi na načelo odgovornosti za daljnji prijenos u slučaju kad organizacija koja se samocertificira za sustav zaštite privatnosti i prije toga ima trgovinske odnose s trećim osobama. Budući da usklađivanje takvih trgovinskih odnosa s pravilima primjenjivima u skladu s načelom odgovornosti za daljnji prijenos može potrajati, organizacija će to morati učiniti što prije, u svakom slučaju najkasnije devet mjeseci od samocertificiranja (ako se to odvija u prva dva mjeseca nakon datuma stupanja na snagu sustava zaštite privatnosti). U tom prijelaznom razdoblju organizacija mora primjenjivati načela obavješćivanja i izbora (čime osobi iz EU-a čiji se podaci obrađuju omogućuje izuzeće) te, ako se osobni podaci prenose trećoj osobi koja ima ulogu posrednika, mora osigurati da ona pruža barem jednaku razinu zaštite onoj koja se zahtijeva u skladu s Načelima (18). Prijelaznim se razdobljem uspostavlja razumna i primjerena ravnoteža između poštovanja temeljnog prava na zaštitu podataka i legitimne potrebe poduzeća da imaju dovoljno vremena za prilagodbu novom okviru ako to ovisi i o njihovim trgovinskim odnosima s trećim osobama.

(18) Sustavom će upravljati i pratit će ga Ministarstvo trgovine na temelju svojih obveza utvrđenih u izjavama ministra trgovine SAD-a (Prilog I. ovoj Odluci). U svrhu provedbe Načela Savezna trgovinska komisija (Federal Trade Commission, FTC) i Ministarstvo prometa dali su izjave koje su sadržane u prilozima IV. i V. ovoj Odluci.

2.1. Načela privatnosti

(19) U okviru svog samocertificiranja u skladu s europsko-američkim sustavom zaštite privatnosti organizacije se moraju obvezati na poštovanje Načela (19).

(20) U skladu s načelom obavješćivanja organizacije su dužne obavijestiti osobe čiji se podaci obrađuju o nizu ključnih elemenata koji se odnose na obradu njihovih osobnih podataka (npr. o vrsti prikupljenih podataka, svrsi obrade, pravu pristupa i izbora, uvjetima u pogledu daljnjeg prijenosa i odgovornosti). Primjenjuju se dodatne zaštitne mjere, posebno zahtjev da organizacije objave svoje politike zaštite privatnosti (temeljene na Načelima) i poveznice na internetske stranice Ministarstva trgovine (s dodatnim pojedinostima o samocertificiranju, pravima osoba čiji se podaci obrađuju i dostupnim mehanizmima pravne zaštite), Popis organizacija u sustava zaštite privatnosti (na koji se upućuje u uvodnoj izjavi 30.) i internetske stranice odgovarajućeg tijela za alternativno rješavanje sporova.

(21) U skladu s načelom o cjelovitosti podataka i ograničenju svrhe osobni podaci moraju biti ograničeni na ono što je relevantno za svrhu obrade, pouzdano za predviđenu upotrebu, točno, potpuno i ažurirano. Organizacija ne smije obrađivati osobne podatke na način koji nije u skladu sa svrhom za koju su prvotno prikupljeni ili koju je osoba čiji se podaci obrađuju naknadno odobrila. Organizacija mora osigurati da osobni podaci budu pouzdani za predviđenu upotrebu, točni, potpuni i ažurirani.

(22) Ako je nova (izmijenjena) svrha bitno drukčija, ali još uvijek u skladu s prvotnom svrhom, prema načelu izbora osobe čiji se podaci obrađuju imaju pravo na prigovor (izuzeće). Načelo izbora ne zamjenjuje izričitu zabranu neusklađene obrade (20). Za izravni marketing (21) vrijede posebna pravila kojima se općenito dopušta izuzeće od upotrebe osobnih podataka „u bilo kojem trenutku”. U slučaju osjetljivih podataka organizacije u pravilu moraju pribaviti izričitu suglasnost (pristanak) osobe čiji se podaci obrađuju.

(23) Budući da za njih još uvijek vrijedi načelo o cjelovitosti podataka i ograničenju svrhe, osobne informacije mogu se zadržati u obliku kojim se ta osoba identificira ili koji omogućuje njezinu identifikaciju (dakle u obliku osobnih podataka) samo dok služe svrsi za koje su prvotno prikupljene ili naknadno odobrene. Ta obveza ne sprečava organizacije u sustavu zaštite privatnosti da nastave obrađivati osobne informacije i dulje, ali samo onoliko dugo i u onoj mjeri u kojoj takva obrada realno služi jednoj od sljedećih posebnih svrha: arhiviranju u javnom interesu, novinarstvu, književnosti i umjetnosti, znanstvenim i povijesnim istraživanjima i statističkim analizama. Dulje zadržavanje osobnih podataka u te svrhe podliježe zaštitnim mjerama u okviru Načela.

(24) U skladu s načelom sigurnosti organizacije koje stvaraju, održavaju, upotrebljavaju ili šire osobne podatke moraju poduzeti „razumne i odgovarajuće” sigurnosne mjere uzimajući u obzir rizike povezane s obradom i prirodom podataka. U slučaju podobrade organizacije moraju sklopiti ugovor sa subjektom koji obavlja podobradu u kojem se jamči razina zaštite jednaka onoj koja je predviđena u Načelima te poduzeti korake za osiguravanje njegove primjerene provedbe.

(25) U skladu s načelom pristupa (22) osobe čiji se podaci obrađuju imaju pravo, bez potrebe za opravdanjem i samo uz naknadu koja nije pretjerana, pribaviti od organizacije potvrdu o tome obrađuje li podatke koji se na njih odnose te pravo da im se u razumnom roku priopći o kojim je podacima riječ. To se pravo može ograničiti samo u iznimnim okolnostima; svako uskraćivanje ili ograničavanje prava pristupa mora biti nužno i opravdano, a organizacija snosi teret dokazivanja ispunjenosti tih zahtjeva. Osobe čiji se podaci obrađuju moraju moći ispraviti, izmijeniti ili izbrisati osobne informacije ako su netočne ili su se njihovom obradom kršila Načela. U područjima gdje će poduzeća najvjerojatnije primijeniti automatiziranu obradu osobnih podataka radi donošenja odluka koje utječu na predmetnu osobu (npr. odobravanje kredita, ponude hipotekarnih kredita, zapošljavanje) pravo SAD-a nudi posebnu zaštitu od negativnih odluka (23). Tim se zakonima obično osigurava da pojedinci imaju pravo na informiranost o konkretnim razlozima na kojima se temelji odluka (npr. odbijanje kredita), pravo na osporavanje nepotpunih ili netočnih informacija (kao i oslanjanja na nezakonite čimbenike) i na pravnu zaštitu. Ta pravila pružaju zaštitu u vjerojatno ograničenom broju slučajeva kad bi automatizirane odluke donijela sama organizacija u sustavu zaštite privatnosti (24). Međutim, s obzirom na sve veću upotrebu automatizirane obrade (uključujući izradu profila) kao osnove za donošenje odluka koje utječu na pojedince u suvremenom digitalnom gospodarstvu, to je područje koje je potrebno pozorno pratiti. Kako bi se to praćenje olakšalo, s tijelima SAD-a dogovoreno je da će dijalog o automatiziranom donošenju odluka, uključujući razmjenu sličnosti i razlika u pristupu EU-a i SAD-a u tom pogledu, biti dijelom prvog godišnjeg preispitivanja, a prema potrebi i kasnijih.

(26) U skladu s načelom pravne zaštite, provedbe i odgovornosti (25) organizacije sudionice moraju osigurati pouzdane mehanizme za osiguravanje usklađenosti s drugim Načelima i pravnu zaštitu osoba iz EU-a čiji su podaci obrađeni na neusklađen način, uključujući djelotvorna pravna sredstva. Ako se organizacija dobrovoljno odlučila na samocertificiranje (26) u skladu s europsko-američkim sustavom zaštite privatnosti, dužna je poštovati Načela. Da bi mogla i dalje primati osobne podatke iz Unije u okviru sustava zaštite privatnosti, takva organizacija svake godine mora ponovno proći certifikaciju za sudjelovanje u sustavu. Osim toga, organizacije moraju poduzeti mjere kako bi provjerile (27) jesu li njihove objavljene politike privatnosti u skladu s Načelima i potvrdile da se stvarno poštuju. To se može učiniti u okviru sustava samoprocjene, koji mora uključivati unutarnje postupke kojima se osigurava obuka zaposlenika o provedbi politika zaštite privatnosti organizacije te povremeno preispitivanje usklađenosti na objektivan način ili vanjsko preispitivanje usklađenosti, koje može uključivati reviziju ili nasumične provjere. Osim toga, organizacija mora uspostaviti djelotvoran mehanizam pravne zaštite za rješavanje pritužbi (u tom smislu vidjeti i uvodnu izjavu 43.) te podlijegati istražnim i provedbenim ovlastima FTC-a, Ministarstva prometa ili drugog ovlaštenog zakonskog tijela SAD-a koje će djelotvorno osigurati usklađenost s Načelima.

(27) Posebna pravila vrijede za tzv. „daljnje prijenose”, tj. prijenose osobnih podataka iz organizacije trećoj strani koja djeluje kao voditelj ili izvršitelj obrade, bez obzira na to nalazi li se treća strana u SAD-u ili u trećoj zemlji izvan SAD-a (i EU-a). Svrha je tih pravila osigurati da se zajamčena zaštita osobnih podataka osoba iz EU-a čiji se podaci obrađuju ne dovodi u pitanje i da se ne može zaobići prosljeđivanjem trećoj strani. To je posebno važno u složenijim lancima obrade koji su tipični za današnje digitalno gospodarstvo.

(28) U skladu s načelom odgovornosti za daljnji prijenos (28) daljnji je prijenos dopušten samo i. u ograničene i određene svrhe, ii. na temelju ugovora (ili sličnog sporazuma skupine poduzeća (29)) i iii. samo ako taj ugovor pruža razinu zaštite jednaku onoj koja je zajamčena Načelima, što uključuje zahtjev da se primjena Načela smije ograničiti samo onoliko koliko je nužno u svrhu nacionalne sigurnosti, kaznenog progona i u druge svrhe javnog interesa (30). To bi se trebalo tumačiti zajedno s načelom obavješćivanja i, u slučaju daljnjeg prijenosa trećoj strani koja djeluje kao voditelj obrade (31), s načelom izbora, prema kojem osobe čiji se podaci obrađuju moraju biti obaviještene (među ostalim) o vrsti/identitetu treće strane primatelja, o svrsi daljnjeg prijenosa kao i ponuđenom izboru te se mogu usprotiviti (zatražiti izuzeće) ili, u slučaju osjetljivih podataka, moraju izraziti „izričitu suglasnost” (dati pristanak) za daljnje prijenose. U skladu s načelom o cjelovitosti podataka i ograničenju svrhe obveza pružanja razine zaštite jednake onoj koja je zajamčena Načelima pretpostavlja da treća strana smije obrađivati samo osobne informacije koje su joj dostavljene za svrhe koje nisu u suprotnosti sa svrhama za koju su prvotno prikupljene ili koje je pojedinac naknadno odobrio.

(29) Obveza pružanja razine zaštite jednake onoj koja se zahtijeva u Načelima primjenjuje se na sve treće osobe uključene u obradu tako prenesenih podataka bez obzira na to gdje su smještene (u SAD-u ili drugoj trećoj zemlji), uključujući i kad sama prvotna treća strana primatelj prenese te podatke drugoj trećoj strani primatelju, primjerice u svrhu podobrade. U svakom slučaju, ugovorom s trećom stranom primateljem mora se osigurati da ona obavijesti organizaciju u sustavu zaštite privatnosti ako utvrdi da više ne može ispunjavati tu obvezu. Ako se to utvrdi, obrada koju provodi treća strana prestaje ili se moraju poduzeti drugi razumni i odgovarajući koraci za rješavanje te situacije (32). Ako se u lancu (pod)obrade pojave problemi u pogledu usklađenosti, organizacija u sustavu zaštite privatnosti koja ima ulogu voditelja obrade osobnih podataka morat će dokazati da nije odgovorna za događaj kojim je uzrokovana šteta ili u protivnom snositi odgovornost u skladu s načelom pravne zaštite, provedbe i odgovornosti. Dodatna zaštita primjenjuje se u slučaju daljnjeg prijenosa trećoj strani posredniku (33).

2.2. Transparentnost europsko-američkog sustava zaštite privatnosti, upravljanje njime i nadzor nad njime

(30) Europsko-američki sustav zaštite privatnosti pruža mehanizme nadzora i provedbe kako bi se potvrdilo i osiguralo da samocertificirana poduzeća iz SAD-a poštuju Načela te reagiralo na svaku neusklađenost. Ti su mehanizmi navedeni u Načelima (Prilog II.) i obvezama Ministarstva trgovine (Prilog I.), FTC-a (Prilog IV.) i Ministarstva prometa (Prilog V.).

(31) Kako bi se osigurala pravilna primjena europsko-američkog sustava zaštite privatnosti, zainteresirane strane, kao što su osobe čiji se podaci obrađuju, izvoznici podataka i nacionalna tijela za zaštitu podataka, moraju moći prepoznati organizacije koje poštuju Načela. U tu se svrhu Ministarstvo trgovine SAD-a obvezalo da će voditi i objavljivati popis organizacija koje su samocertificirale svoje pridržavanje Načela i koje su u nadležnosti barem jednog provedbenog tijela iz priloga I. i II. ovoj Odluci (dalje u tekstu: Popis organizacija u sustavu zaštite privatnosti) (34). Ministarstvo trgovine ažurirat će taj popis na temelju godišnjih podnesaka organizacija o ponovnom certificiranju i svaki put kad se organizacija povuče ili je isključena iz europsko-američkog sustava zaštite privatnosti. Osim toga, vodit će i objavljivati evidenciju organizacija koje su uklonjene s popisa te za svaku navesti razlog zbog kojeg je uklonjena. Naposljetku, navest će poveznicu na popis slučajeva u kojima je FTC intervenirao radi osiguravanja provedbe propisa povezanih sa sustavom zaštite privatnosti, koji se nalazi na internetskim stranicama FTC-a.

(32) Ministarstvo trgovine objavit će i Popis organizacija u sustavu zaštite privatnosti i podneske za ponovno certificiranje na posebnoj internetskoj stranici. Samocertificirane organizacije moraju navesti internetsku adresu Ministarstva s Popisom organizacija u sustavu zaštite privatnosti. Nadalje, ako je dostupna na internetu, politika zaštite privatnosti određene organizacije mora uključivati poveznicu na internetske stranice sustava zaštite privatnosti te poveznicu na internetske stranice ili obrazac za podnošenje pritužbi neovisnog mehanizma pravne zaštite koji je dostupan za istraživanje neriješenih pritužbi. Ministarstvo trgovine će u kontekstu certificiranja i ponovnog certificiranja organizacije u skladu s okvirom sustavno provjeravati je li njezina politika zaštite privatnosti u skladu s Načelima.

(33) Organizacije koje ustrajno ne poštuju Načela bit će uklonjene s Popisa organizacija u sustavu zaštite privatnosti te moraju vratiti ili izbrisati osobne podatke zaprimljene u okviru europsko-američkog sustava zaštite privatnosti. U drugim slučajevima uklanjanja, kao što je dobrovoljno povlačenje iz sudjelovanja ili izostanak ponovnog certificiranja, organizacija smije zadržati takve podatke ako svake godine Ministarstvu trgovine potvrdi da se obvezuje primjenjivati Načela ili ako osigura odgovarajuću zaštitu osobnih podataka drugim odobrenim sredstvima (npr. upotrebom ugovora koji se temelji na zahtjevima relevantnih standardnih ugovornih odredaba koje je odobrila Komisija). U tom slučaju organizacija mora odrediti kontaktnu točku za sva pitanja povezana sa sustavom zaštite privatnosti.

(34) Ministarstvo trgovine pratit će organizacije koje više nisu članovi europsko-američkog sustava zaštite privatnosti, bilo zato što su se dobrovoljno povukle ili što im je istekao certifikat, kako bi provjerile hoće li vratiti, izbrisati ili zadržati (35) osobne podatke zaprimljene dok su još bile dio sustava. Zadrže li podatke, organizacije su dužne na njih i dalje primjenjivati Načela. Ako je Ministarstvo trgovine uklonilo organizacije iz sustava zbog ustrajnog nepoštovanja Načela, ono će osigurati da te organizacije vrate ili izbrišu osobne podatke koje su zaprimile u okviru sustava.

(35) Ako organizacija napusti europsko-američki sustav zaštite privatnosti iz bilo kojeg razloga, mora ukloniti sve javne izjave iz kojih bi se moglo zaključiti da i dalje sudjeluje u tom sustavu ili da ima pravo na pogodnosti koje iz njega proizlaze, a posebno upućivanja na taj sustav u svojoj objavljenoj politici zaštite privatnosti. Ministarstvo trgovine tražit će i uklanjati lažne tvrdnje o sudjelovanju u sustavu, među ostalim i bivših članova (36). Svako lažno predstavljanje javnosti organizacija u pogledu svog pridržavanja Načela u obliku zavaravajuće izjave ili prakse podliježe provedbenim mjerama FTC-a, Ministarstva prometa ili drugih provedbenih tijela u SAD-u; lažno predstavljanje Ministarstvu trgovine kažnjivo je u skladu sa Zakonom o lažnim izjavama (False Statements Act, 18 U.S.C. članak 1001.) (37).

(36) Ministarstvo trgovine po službenoj dužnosti prati lažne tvrdnje o sudjelovanju u sustavu zaštite privatnosti ili o neprimjerenoj upotrebi certifikacijske oznake tog sustava, a tijela za zaštitu privatnosti mogu uputiti organizacije na preispitivanje posebnoj kontaktnoj točki u Ministarstvu. Ako se organizacija povukla iz europsko-američkog sustava zaštite privatnosti, nije se ponovno samocertificirala ili je uklonjena s Popisa organizacija u sustavu zaštite privatnosti, Ministarstvo trgovine redovito će provjeravati je li ta organizacija iz svoje objavljene politike o zaštiti privatnosti izbrisala upućivanja na sustav zaštite privatnosti iz kojih bi se moglo zaključiti da i dalje sudjeluje u tom sustavu, a ako ona nastavi davati lažne tvrdnje, uputit će predmet FTC-u, Ministarstvu prometa ili drugom nadležnom tijelu radi mogućih provedbenih mjera. Slat će i upitnike organizacijama čije je samocertificiranje isteklo ili koje su se dobrovoljno povukle iz europsko-američkog sustava privatnosti kako bi provjerilo hoće li vratiti ili izbrisati osobne podatke zaprimljene tijekom sudjelovanja u tom sustavu ili će na njih i dalje primjenjivati načela privatnosti te, ako ih zadrži, provjeriti tko će u organizaciji biti stalna kontaktna točka za pitanja povezana s tim sustavom.

(37) Ministarstvo trgovine redovito će po službenoj dužnosti provoditi preispitivanja usklađenosti (38) samocertificiranih organizacija, uključujući slanjem detaljnih upitnika. Sustavno će provoditi preispitivanja i kad god zaprimi konkretnu (ozbiljnu) pritužbu, kad organizacija ne da zadovoljavajući odgovor na upite ili kad postoje vjerodostojni dokazi koji upućuju na to da organizacija možda ne poštuje Načela. Prema potrebi će se o takvim preispitivanjima usklađenosti Ministarstvo trgovine savjetovati i s tijelima za zaštitu podataka.

2.3. Mehanizmi pravne zaštite, rješavanje pritužbi i provedba

(38) U skladu s načelom pravne zaštite, provedbe i odgovornosti europsko-američkog sustava zaštite privatnosti organizacije moraju osigurati pravnu zaštitu osoba na koje utječe neusklađenost te mora postojati mogućnost da osobe čiji se podaci obrađuju podnesu prigovor u pogledu neusklađenosti samocertificiranih poduzeća u SAD-u i da se njihove pritužbe riješe, prema potrebi odlukom kojom se pruža djelotvorno pravno sredstvo.

(39) U okviru svog samocertificiranja organizacije moraju ispunjavati zahtjeve načela pravne zaštite, provedbe i odgovornosti osiguravanjem učinkovitih i dostupnih neovisnih mehanizama pravne zaštite u okviru kojih se pritužbe i sporovi svake osobe mogu istražiti bez troška za nju.

(40) Organizacije mogu odabrati neovisne mehanizme pravne zaštite u Uniji ili u SAD-u. To uključuje mogućnost da se dobrovoljno obvežu na suradnju s tijelima za zaštitu podataka u EU-u. Međutim, takva mogućnost ne postoji ako organizacije obrađuju podatke o ljudskim resursima jer je u tom slučaju suradnja s tijelima za zaštitu podataka obvezna. Druge su mogućnosti neovisno alternativno rješavanje sporova ili programi za zaštitu privatnosti razvijeni u privatnom sektoru u čija su pravila ugrađena Načela. Takvi programi moraju obuhvaćati učinkovite provedbene mehanizme u skladu sa zahtjevima načela pravne zaštite, provedbe i odgovornosti. Organizacije su dužne riješiti svaki problem neusklađenosti. Moraju navesti i da podliježu istražnim i provedbenim ovlastima FTC-a, Ministarstva prometa ili drugog ovlaštenog zakonskog tijela SAD-a.

(41) Stoga se u okviru sustava zaštite privatnosti osobama čiji se podaci obrađuju nudi niz mogućnosti za ostvarenje njihovih prava, podnošenje pritužbi zbog neusklađenosti samocertificiranih poduzeća u SAD-u i rješavanje pritužbi, prema potrebi odlukom kojom se pruža djelotvorno pravno sredstvo. Pojedinci mogu podnijeti pritužbu izravno organizaciji, neovisnom tijelu za rješavanje sporova koje određuje organizacija, nacionalnim tijelima za zaštitu podataka ili FTC-u.

(42) Ako se njihove pritužbe ne razriješe nijednim od tih mehanizama pravne zaštite ili provedbe, pojedinci imaju pravo zatražiti i obvezujuću arbitražu u okviru Odbora za sustav zaštite privatnosti (Prilog 1. Priloga II. ove Odluke). Osim arbitražnog odbora, na koji se moguće pozvati tek kad se prije toga iscrpe određena pravna sredstva, pojedinci se mogu poslužiti bilo kojim ili svim mehanizmima pravne zaštite po svom izboru i ne moraju odabrati samo jedan ili pratiti poseban redoslijed. Međutim, postoji određeni logičan redoslijed koji se preporučuje, kako je navedeno u nastavku.

(43) Prvo, osobe iz EU-a čiji se podaci obrađuju mogu rješavati slučajeve neusklađenosti s Načelima izravnim obraćanjem samocertificiranom poduzeću u SAD-u. Kako bi olakšala pronalaženje rješenja, organizacija mora uspostaviti učinkovit mehanizam pravne zaštite za rješavanje takvih pritužbi. Stoga organizacija svojom politikom zaštite privatnosti pojedince mora jasno obavijestiti o unutarnjoj ili vanjskoj kontaktnoj točki koja će rješavati pritužbe (uključujući sve relevantne subjekte u Uniji koji mogu odgovarati na upite ili pritužbe) i o neovisnim mehanizmima za rješavanje pritužbi.

(44) Po primitku pritužbe, izravno od pojedinca ili preko Ministarstva trgovine nakon što je uputi tijelo za zaštitu podataka, organizacija mora odgovoriti osobi iz EU-a čiji se podaci obrađuju u roku od 45 dana. Odgovor mora uključivati procjenu osnovanosti pritužbe i informacije o tome kako će organizacija riješiti problem. Isto tako, organizacije moraju brzo odgovoriti na upite i druge zahtjeve za informacije Ministarstva trgovine ili tijela za zaštitu podataka (39) (ako se organizacija obvezala na suradnju s tijelom za zaštitu podataka) u pogledu svojeg pridržavanja Načela. Organizacije moraju voditi evidenciju o provedbi svojih politika zaštite privatnosti i na zahtjev ih staviti na raspolaganje neovisnom mehanizmu pravne zaštite ili FTC-u (ili drugom tijelu SAD-a nadležnom za istraživanje nepoštene i prijevarne prakse) u okviru istrage ili pritužbe o neusklađenosti.

(45) Drugo, pojedinci mogu podnijeti pritužbu izravno neovisnom tijelu za rješavanje sporova (u SAD-u ili u EU-u) koje organizacija odredi za istragu i rješavanje pojedinačnih pritužbi (osim ako su očito neutemeljene ili neozbiljne) te za pružanje primjerene i besplatne pravne zaštite pojedincu. Sankcije i pravna sredstva koje određuje takvo tijelo moraju biti dovoljno strogi da se njima osigura da organizacije poštuju Načela i njima bi trebalo biti predviđeno da organizacija poništi ili ispravi učinke neusklađenosti i, ovisno o okolnostima, prekine daljnju obradu osobnih podataka o kojima je riječ i/ili ih izbriše te objavi informacije o utvrđenoj neusklađenosti. Neovisna tijela za rješavanje sporova koja odredi organizacija morat će na svojim javnim internetskim stranicama navesti odgovarajuće informacije o europsko-američkom sustavu zaštite privatnosti i uslugama koje pružaju u okviru tog sustava. Ona svake godine moraju objaviti godišnje izvješće s objedinjenim podacima o tim uslugama (40).

(46) U okviru svojih postupaka preispitivanja usklađenosti Ministarstvo trgovine provjerit će i jesu li se samocertificirana američka poduzeća doista registrirala kod neovisnih mehanizama pravne zaštite kod kojih tvrde da su registrirana. Organizacije i odgovorni neovisni mehanizmi pravne zaštite moraju brzo odgovoriti na upite i zahtjeve Ministarstva trgovine za informacije povezane sa sustavom zaštite privatnosti.

(47) Ako organizacija ne postupi u skladu s odlukom tijela za rješavanje sporova ili samoregulatornog tijela, potonje mora o tome obavijestiti Ministarstvo trgovine i FTC (ili drugo tijelo SAD-a nadležno za istragu nepoštene ili prijevarne prakse) ili nadležni sud (41). Ako organizacija odbije pridržavati se konačne odluke bilo kojeg samoregulatornog tijela za zaštitu privatnosti, neovisnog tijela za rješavanje sporova ili državnog tijela, ili ako takvo tijelo utvrdi da organizacija ne djeluje u skladu s Načelima, to će se smatrati ustrajnim nepoštovanjem Načela te će Ministarstvo trgovine, nakon što joj da rok od 30 dana i priliku da odgovori, organizaciju koja ne djeluje u skladu s Načelima ukloniti s popisa (42). Ako i nakon što je uklonjena s popisa organizacija i dalje tvrdi da je certificirana u okviru sustava zaštite podataka, Ministarstvo će je uputiti FTC-u ili drugoj provedbenoj agenciji (43).

(48) Treće, pojedinci mogu podnijeti pritužbe i nacionalnom tijelu za zaštitu podataka. Organizacije su dužne surađivati s tijelima za zaštitu podataka pri istrazi i rješavanju pritužbi ako se one odnose na obradu podataka o ljudskim resursima prikupljenima u kontekstu radnog odnosa ili ako se predmetna organizacija dobrovoljno podvrgnula nadzoru tijela za zaštitu podataka. Organizacije svakako moraju odgovarati na upite, postupati u skladu sa savjetima tijela za zaštitu podatka, uključujući u pogledu mjera za zaštitu prava ili naknadu štete, i dostaviti tijelu za zaštitu podataka pisanu potvrdu da su te mjere poduzete.

(49) Savjet tijela za zaštitu podataka dostavit će neslužbeni odbor tijela za zaštitu podataka uspostavljen na razini Unije (44), što će pridonijeti usklađenom i dosljednom pristupu predmetnoj pritužbi. Savjet će se objaviti nakon što su obje stranke u sporu imale razumnu mogućnost dati primjedbe i dostaviti dokaze koje žele. Odbor će dati savjet čim to bude moguće u skladu sa zahtjevom za primjerenim postupkom i u pravilu u roku od 60 dana nakon primitka pritužbe. Ako organizacija ne postupi u skladu sa savjetom u roku od 25 dana od njegova primitka i ako nije ponudila zadovoljavajuće objašnjenje za kašnjenje, odbor će je obavijestiti o svojoj namjeri da slučaj podnese FTC-u (ili drugom nadležnom provedbenom tijelu u SAD-u) ili da zaključi kako je došlo do ozbiljne povrede obveze suradnje. U prvom slučaju to može dovesti do pokretanja postupka za provedbu obveza u skladu s odjeljkom 5. Zakona o FTC-u (ili sličnim zakonom). U drugom slučaju odbor će obavijestiti Ministarstvo trgovine, koje će odbijanje organizacije da se pridržava savjeta odbora tijela za zaštitu podataka smatrati ustrajnim nepoštovanjem Načela, što će dovesti do uklanjanja organizacije s Popisa organizacija u sustavu zaštite privatnosti.

(50) Ako tijelo za zaštitu podataka kojem je upućena pritužba nije poduzelo mjere za rješavanje pritužbe ili ih nije poduzelo dovoljno, podnositelj pritužbe zbog toga može pokrenuti postupak pred nacionalnim sudovima nadležne države članice.

(51) Pojedinci mogu podnijeti pritužbe tijelima za zaštitu podataka čak i ako organizacija nije odredila njihov odbor kao tijelo za rješavanje svojih sporova. U tim slučajevima tijelo za zaštitu podataka takve pritužbe može uputiti Ministarstvu trgovine ili FTC-u. Kako bi olakšalo i ojačalo suradnju u pogledu pojedinačnih pritužbi i neusklađenosti organizacija u sustavu zaštite podataka, Ministarstvo trgovine uspostavit će posebnu kontaktnu točku koja će služiti kao točka za vezu i pomagati u istragama tijela za zaštitu podataka o tome djeluje li organizacija u skladu s Načelima (45). FTC se isto tako obvezao uspostaviti posebnu kontaktnu točku (46) i pomagati tijelima za zaštitu podataka pri istrazi u skladu s američkim Zakonom o sigurnosti interneta (U.S. SAFE WEB Act) (47).

(52) Četvrto, Ministarstvo trgovine obvezalo se da će primati i preispitivati pritužbe o tome da organizacija ne poštuje Načela te ih koliko god je to moguće nastojati riješiti. U tu svrhu Ministarstvo trgovine predviđa posebne postupke kojima tijela za zaštitu podataka upućuju pritužbe posebnoj kontaktnoj točki, prate ih i surađuju s poduzećima u pronalaženju rješenja. Kako bi se ubrzala obrada pojedinačnih pritužbi, kontaktna točka izravno će se povezati s odgovarajućim tijelom za zaštitu podataka u vezi s pitanjima poštovanja Načela te ga posebno informirati o statusu pritužbi u roku od najviše 90 dana nakon upućivanja. Tako će se osobama čiji se podaci obrađuju omogućiti da svojim nacionalnim tijelima za zaštitu podataka izravno podnesu pritužbe o neusklađenosti američkih samocertificiranih poduzeća te da ih ona proslijede Ministarstvu trgovine kao tijelu SAD-a nadležnom za upravljanje europsko-američkim sustavom zaštite privatnosti. Ministarstvo trgovine obvezalo se, u okviru godišnjeg preispitivanja funkcioniranja europsko-američkog sustava zaštite privatnosti, dostavljati i izvješće s analizom zahtjeva u agregiranom obliku koje zaprima svake godine (48).

(53) Ako na temelju provjera pritužbi ili bilo kojih drugih informacija po službenoj dužnosti Ministarstvo trgovine zaključi da organizacija ustrajno ne poštuje Načela, uklonit će je s Popisa organizacija u sustavu zaštite privatnosti. Nepoštovanje konačne odluke bilo kojeg samoregulatornog tijela za zaštitu privatnosti, neovisnog tijela za rješavanje sporova ili državnog tijela, uključujući tijelo za zaštitu privatnosti, smatrat će se ustrajnim nepoštovanjem Načela.

(54) Peto, organizacija u sustavu zaštite privatnosti podliježe istražnim i provedbenim ovlastima tijela SAD-a, posebno Savezne trgovinske komisije (49) (FTC-a), koja će učinkovito osigurati usklađenost s Načelima. FTC će davati prednost razmatranju slučajeva neusklađenosti s načelima privatnosti koje su joj uputila neovisna tijela za rješavanje sporova ili samoregulatorna tijela, Ministarstvo trgovine i tijela za zaštitu podataka (djelujući na vlastitu inicijativu ili na temelju pritužbi) kako bi utvrdio je li prekršen odjeljak 5. Zakona o FTC-u (50). FTC se obvezao na to da će uspostaviti standardizirani postupak upućivanja, odrediti kontaktnu točku kojoj tijela za zaštitu podataka mogu upućivati predmete i da će razmjenjivati informacije o upućenim predmetima. Osim toga, prihvaćat će pritužbe izravno od pojedinaca i pokretat će istrage u okviru sustava zaštite privatnosti na vlastitu inicijativu, posebno u okviru svojih opsežnijih istraga o pitanjima zaštite privatnosti.

(55) FTC može osigurati usklađenost upravnim rješenjima („consent orders”, rješenjima kojima se nalaže usklađivanje) i sustavno će pratiti usklađenost s tim rješenjima. Ako organizacije ne postupe u skladu s tim, FTC može uputiti predmet nadležnom sudu tražeći sudske penale ili neku drugu vrstu pravne zaštite, među ostalim za štetu uzrokovanu nezakonitim postupanjem. Osim toga, FTC može izravno od saveznog suda tražiti privremenu ili trajnu zabranu ili neku drugu vrstu pravne zaštite. Svaki nalog za suglasnost izdan organizaciji u sustavu zaštite privatnosti sadržavat će odredbe o izvješćivanju samih organizacija (51), a organizacije će morati objaviti sve relevantne odjeljke izvješća o usklađenosti ili procjeni dostavljenog FTC-u koji su povezani sa sustavom zaštite privatnosti. Osim toga, FTC će voditi internetski popis poduzeća pod nalogom FTC-a ili sudskim nalogom u predmetima povezanima sa sustavom zaštite privatnosti.

(56) Šesto, kao posljednji mehanizam pravne zaštite koji se upotrebljava samo ako se drugim dostupnim oblicima pravne zaštite pritužba ne riješi na zadovoljavajući način, osoba iz EU-a čiji se podaci obrađuju može zatražiti obvezujuću arbitražu pred „Odborom za sustav zaštite privatnosti”. Organizacija mora obavijestiti pojedince o mogućnosti da, pod određenim uvjetima, zatraže obvezujuću arbitražu te su, odabere li osoba tu mogućnost, dužne odgovoriti slanjem obavijesti predmetnoj organizaciji (52).

(57) Arbitražni odbor bit će sastavljen od najmanje 20 arbitara koje imenuju Ministarstvo trgovine i Komisija na temelju njihove neovisnosti, integriteta i iskustva u području prava o zaštiti privatnosti SAD-a i prava o zaštiti podataka EU-a. Za svaki pojedini spor stranke biraju jednog ili tri arbitra iz te skupine (53). Na postupak se primjenjuju uobičajena pravila o arbitraži dogovorena između Ministarstva trgovine i Komisije. Tim će se pravilima dopuniti već sklopljeni okvir koji sadržava više značajki za povećanje dostupnosti tog mehanizma osobama u EU-u čiji se podaci obrađuju: i. pri pripremi zahtjeva za odbor osobi čiji se podaci obrađuju smije pomoći njezino nacionalno tijelo za zaštitu podataka; ii. arbitraža će se odvijati u SAD-u, ali osobe iz EU-a čiji se podaci obrađuju mogu odlučiti sudjelovati putem videokonferencije ili telefonske konferencije, koja im je besplatno osigurana; iii. jezik na kojem će se odvijati arbitraža u pravilu će biti engleski, ali bi pri arbitražnom saslušanju osobi čiji se podaci obrađuju na obrazložen zahtjev trebala (54) biti pružena besplatna usluga prevođenja; iv. iako svaka stranka mora snositi vlastite odvjetničke troškove, ako stranku pred Odborom zastupa odvjetnik, Ministarstvo trgovine osniva fond u koji organizacije u sustavu zaštite privatnosti svake godine uplaćuju doprinose i kojim se pokrivaju prihvatljivi troškovi arbitražnog postupka, do najvećeg iznosa koji određuju nadležna tijela SAD-a u dogovoru s Komisijom.

(58) Odbor za sustav zaštite privatnosti ima ovlasti odrediti „pojedinačnu nenovčanu pravičnu naknadu” (55) koja je nužna za ispravljanje neusklađenosti s Načelima. Iako će Odbor pri donošenju odluke uzeti u obzir druge vrste pravne zaštite koje već postoje u okviru drugih mehanizama u sustavu zaštite privatnosti, osobe svejedno mogu pokrenuti arbitražni postupak ako smatraju da druge vrste pravne zaštite nisu dovoljne. Time će se osobama iz EU-a čiji se podaci obrađuju omogućiti da pokrenu arbitražni postupak u svim slučajevima kad nadležna tijela SAD-a (na primjer FTC) nisu djelovanjem ili nedjelovanjem na zadovoljavajući način riješila njihove pritužbe. Nije moguće pokrenuti arbitražni postupak ako tijelo za zaštitu podatka ima pravne ovlasti riješiti predmetno pitanje u vezi sa samocertificiranim poduzećem u SAD-u, posebno u slučajevima u kojima je organizacija dužna surađivati i postupati u skladu sa savjetima tijela za zaštitu podataka u pogledu obrade podataka o ljudskim resursima prikupljenih u kontekstu zapošljavanja ili se na to dobrovoljno obvezala. Pojedinci mogu zatražiti provedbu arbitražne odluke pred američkim sudovima u skladu sa Saveznim zakonom o arbitraži i tako osigurati pravnu zaštitu u slučaju da poduzeće ne postupi u skladu s odlukom.

(59) Sedmo, ako organizacija ne ispuni svoju obvezu u skladu s Načelima i objavljenom politikom zaštite privatnosti, u pravu američkih saveznih država mogu biti dostupni drugi oblici pravne zaštite u skladu s pravom naknade štete i u slučajevima lažnog prikazivanja, nepoštenih ili prijevarnih radnji ili prakse ili kršenja ugovora.

(60) Osim toga, ako tijelo za zaštitu podataka po primitku zahtjeva osobe u EU-u čiji se podaci obrađuju smatra da se prijenosom njezinih osobnih podataka organizaciji u SAD-u krši pravo EU-a o zaštiti podataka, uključujući i kad izvoznik podataka u EU-u ima razloga vjerovati da ta organizacija ne djeluje u skladu s Načelima, ono može izvršavati svoje ovlasti i prema izvozniku podataka te, prema potrebi, zatražiti suspenziju prijenosa podataka.

(61) Na temelju informacija iz ovog odjeljka Komisija smatra da se Načelima koja je izdalo američko Ministarstvo trgovine osigurava razina zaštite osobnih podataka koja je u osnovi jednakovrijedna razini zajamčenoj materijalnim osnovnim načelima iz Direktive 95/46/EZ.

(62) Nadalje, djelotvorna primjena Načela zajamčena je obvezama transparentnosti, upravljanjem sustavom zaštite privatnosti i provjerom usklađenosti koje provodi Ministarstvo trgovine.

(63) Nadalje, Komisija smatra da se mehanizmima nadzora, pravne zaštite i provedbe u cjelini, koji se osiguravaju u okviru sustava zaštite privatnosti, omogućuje otkrivanje i kažnjavanje u praksi organizacija u tom sustavu koje krše Načela te se osobi čiji se podaci obrađuju osiguravaju pravna sredstva za ostvarivanje pristupa njezinim osobnim podacima te za ispravak ili brisanje takvih podataka.

3. PRISTUP AMERIČKIH JAVNIH TIJELA OSOBNIM PODACIMA PRENESENIMA U OKVIRU EUROPSKO-AMERIČKOG SUSTAVA ZAŠTITE PRIVATNOSTI I NJIHOVA UPOTREBA TIH PODATAKA

(64) U skladu s Prilogom II. odjeljkom I. točkom 5. pridržavanje Načela ograničeno je na mjeru koja je nužna da se ispune zahtjevi u pogledu nacionalne sigurnosti, javnog interesa ili kaznenog progona.

(65) Komisija je procijenila ograničenja i zaštitne mjere dostupne u američkom pravu u vezi s pristupom američkih javnih tijela osobnim podacima prenesenima u okviru europsko-američkog sustava zaštite privatnosti i upotrebom tih podataka u svrhu nacionalne sigurnosti, kaznenog progona i drugih javnih interesa. Nadalje, američka vlada je posredstvom svog Ureda direktora nacionalne obavještajne službe (Office of the Director of National Intelligence, ODNI) (56) Komisiji dostavila detaljne izjave i obveze koji se nalaze u Prilogu VI. ovoj Odluci. Dopisom koji je potpisao ministar vanjskih poslova (Secretary of State) (Prilog III. ovoj Odluci) američka vlada obvezala se uvesti novi mehanizam za nadzor povreda nacionalne sigurnosti, naime Pravobranitelja za sustav zaštite privatnosti, koji je neovisan o obavještajnoj zajednici. Naposljetku, u izjavi američkog Ministarstva pravosuđa, koja se nalazi u Prilogu VII. ovoj Odluci, opisana su ograničenja i zaštitne mjere koji se primjenjuju na pristup javnih tijela podacima i na njihovu upotrebu tih podataka u svrhu kaznenog progona i u druge svrhe od javnog interesa. Kako bi se povećala transparentnost i pokazala pravna priroda tih obveza, svi dokumenti popisani i priloženi ovoj Odluci objavljuju se u saveznom registru SAD-a.

(66) Zaključci Komisije o ograničenjima pristupa američkih javnih tijela osobnim podacima prenesenima iz Europske unije u Sjedinjene Američke Države i o upotrebi tih podataka te o postojanju učinkovite pravne zaštite dodatno su razrađeni u nastavku.

3.1. Pristup američkih javnih tijela podacima i njihova upotreba za potrebe nacionalne sigurnosti

(67) Komisija je analizom utvrdila da u američkom pravu postoji niz ograničenja pristupa osobnim podacima prenesenima u okviru europsko-američkog sustava zaštite privatnosti i upotrebe tih podataka te mehanizmi nadzora i pravne zaštite kojima se osigurava dovoljna zaštita tih podataka od nezakonitih radnji i rizika od zloupotrebe (57). Od 2013., kad je Komisija objavila svoje dvije Komunikacije (vidjeti uvodnu izjavu 7.), ovaj pravni okvir znatno je pojačan, kako je opisano u nastavku.

3.1.1. Ograničenja

(68) U skladu s američkim Ustavom za osiguranje nacionalne sigurnosti nadležan je Predsjednik kao glavni zapovjednik i glavni predstavnik izvršne vlasti, kao i za američke vanjske poslove u pogledu stranih obavještajnih podataka (58). Iako Kongres ima ovlasti određivati ograničenja i to je u mnogo pogleda i činio, unutar tih granica Predsjednik može usmjeravati rad američke obavještajne zajednice, posebno izvršnim nalozima ili predsjedničkim ukazima. To se dakako primjenjuje i u područjima u kojima Kongres ne daje smjernice. Trenutačno su dva najvažnija pravna instrumenta u tom pogledu Izvršni nalog br. 12333 (Executive Order 12333) (59) i Predsjednički ukaz br. 28. (Presidential Policy Directive 28.)

(69) Predsjedničkim ukazom br. 28 (dalje u tekstu: PPD-28), koji je objavljen 17. siječnja 2014., određuje se niz ograničenja za operacije „prikupljanja informacija elektroničkim izviđanjem” (60). Taj predsjednički ukaz obvezujuć je za američka obavještajna tijela (61) i ostaje na snazi i nakon promjene vlade SAD-a (62). PPD-28 od posebne je važnosti za osobe koje nisu državljani SAD-a, među ostalim za osobe iz EU-a čiji se podaci obrađuju. U njemu je, među ostalim, predviđeno sljedeće: (a) prikupljanje informacija elektroničkim izviđanjem mora se temeljiti na zakonu ili predsjedničkom odobrenju i mora se provoditi u skladu s američkim Ustavom (posebno Četvrtim amandmanom) i američkim pravom; (b) prema svim osobama trebalo bi postupati s dostojanstvom i poštovanjem, neovisno o njihovom državljanstvu ili mjestu prebivališta; (c) sve osobe imaju legitimne interese u pogledu zaštite privatnosti pri postupanju s njihovim osobnim podacima; (d) privatnost i građanske slobode ključni su elementi u planiranju američkih aktivnosti prikupljanja informacija elektroničkim izviđanjem; (e) američke obavještajne aktivnosti prikupljanja informacija elektroničkim izviđanjem stoga moraju uključivati odgovarajuće mjere zaštite osobnih podataka svih osoba, neovisno o njihovu državljanstvu ili mjestu prebivališta.

(70) PPD-28 propisuje da se obavještajni podaci mogu prikupljati elektroničkim izviđanjem samo u obavještajne ili protuobavještajne svrhe za podupiranje nacionalnih misija ili misija ministarstava i ni u koju drugu svrhu (npr. za osiguravanje konkurentne prednosti američkim poduzećima). U tom pogledu ODNI objašnjava da bi subjekti obavještajne zajednice „trebali tražiti da, kad god je to izvedivo, prikupljanje bude usmjereno na određene ciljeve ili teme u pogledu stranih obavještajnih podataka upotrebom razlikovnih čimbenika (npr. konkretnih komunikacijskih sredstava, čimbenika za odabir i identifikatora.)” (63). Nadalje, u izjavama se navode jamstva da se odluke o prikupljanju obavještajnih podataka ne prepuštaju pojedinim agentima već da se na takve odluke primjenjuju politike i postupci koje su različiti subjekti američke obavještajne zajednice (agencije) dužni uspostaviti za provedbu PPD-28 (64). U skladu s tim, istraživanje i utvrđivanje odgovarajućih čimbenika za odabir odvija se unutar općeg „Okvira prioriteta nacionalne obavještajne službe” (National Intelligence Priorities Framework, NIPF), kojim se osigurava da obavještajne prioritete utvrđuju tvorci politika na visokoj razini i da se oni redovito preispituju kako bi mogli odgovarati na stvarne prijetnje nacionalnoj sigurnosti i uzimajući u obzir moguće rizike, uključujući rizike za privatnost (65). Na osnovi toga zaposlenici agencije istražuju i utvrđuju posebne čimbenike za odabir za koje se očekuje da će pridonijeti prikupljanju obavještajnih podataka koji odgovaraju prioritetima (66). Čimbenici za odabir redovito se preispituju radi provjere mogu li se njima još uvijek osigurati vrijedni obavještajni podaci u skladu s prioritetima (67).

(71) Nadalje, zahtjevi utvrđeni u PPD-28, da prikupljanje obavještajnih podataka uvijek (68) mora biti „što usmjerenije” i da obavještajna zajednica daje prednost dostupnosti drugih informacija te odgovarajućim i izvedivim alternativnim izvorima (69), odražavaju opće pravilo davanja prednosti ciljanom prikupljanju pred skupnim. U skladu s jamstvima ODNI-ja, njima se posebno osigurava da skupno prikupljanje ne bude „masovno” ni „neselektivno” i da iznimka ne postane pravilo (70).

(72) Iako je u PPD-28 objašnjeno da subjekti obavještajne zajednice ponekad moraju skupno prikupljati obavještajne informacije, na primjer radi utvrđivanja i procjene nove prijetnje ili prijetnje u nastanku, u skladu s njim ti subjekti moraju dati prednost drugim mogućnostima koje će omogućiti ciljano prikupljanje informacija elektroničkim izviđanjem (71). Prema tome, skupno prikupljanje provodit će se samo kad ciljano prikupljanje upotrebom razlikovnih čimbenika, odn. identifikatora povezanih s konkretnom ciljanom osobom (kao što je adresa elektroničke pošte ili broj telefona), nije moguće „zbog tehničkih ili operativnih razloga” (72). To se primjenjuje na način prikupljanja informacija elektroničkim izviđanjem i na ono što se prikuplja (72).

(73) Prema izjavama ODNI-ja čak i ako se obavještajna zajednica ne može koristiti posebnim identifikatorima za ciljano prikupljanje, nastojat će ograničiti prikupljanje „što je više moguće”. Kako bi se to osiguralo, ona „primjenjuje filtre i druge tehničke alate za usmjeravanje prikupljanja na ona komunikacijska sredstva koja vjerojatno sadržavaju komunikaciju povezanu sa stranim obavještajnim aktivnostima” (te prema tome uzima u obzir zahtjeve američkih tvoraca politika u skladu s postupkom opisanim u uvodnoj izjavi 70.). Stoga će se skupno prikupljanje usmjeravati na najmanje dva načina. Prvo, uvijek će se odnositi na konkretne ciljeve u pogledu stranih obavještajnih podataka (npr. na prikupljanje informacija elektroničkim izviđanjem o aktivnostima terorističke skupine koja djeluje u određenoj regiji) te će prikupljanje biti usmjereno na komunikaciju povezanu s tim. U skladu s jamstvima ODNI-ja to se odražava u činjenici da se „američke obavještajne aktivnosti prikupljanja informacija elektroničkim izviđanjem odnose samo na mali dio komunikacije koja se odvija na internetu” (73). Drugo, u izjavama ODNI-ja objašnjava se da će filtri i drugi tehnički alati biti oblikovani tako da „što preciznije” usmjere prikupljanje kako bi se osiguralo da se količina „nerelevantnih informacija” svede na minimum.

(74) Naposljetku, čak i ako Sjedinjene Američke Države smatraju da je skupno prikupljanje obavještajnih informacija elektroničkim izviđanjem nužno, u skladu s uvjetima iz uvodnih izjava od 70. do 73., PPD-28 ograničava upotrebu takvih podataka na posebni popis šest svrha nacionalne sigurnosti u cilju zaštite privatnosti i građanskih sloboda svih osoba, bez obzira na njihovo državljanstvo i mjesto prebivališta (74). Te dopustive svrhe obuhvaćaju mjere za otkrivanje i suzbijanje prijetnji koje proizlaze iz špijunaže, terorizma, oružja za masovno uništenje, prijetnji kibersigurnosti, oružanim snagama ili vojnom osoblju i transnacionalnih kriminalnih prijetnji povezanih s ostalih pet svrha te će se preispitivati najmanje svakih godinu dana. U skladu s izjavama američke vlade subjekti obavještajne zajednice pojačali su svoju analitičku praksu i standarde istrage neocijenjenih obavještajnih podataka prikupljenih elektroničkim izviđanjem kako bi se uskladili s tim zahtjevima; ciljanim istragama „osigurava se da se analitičarima na ispitivanje dostavljaju samo podaci za koje se vjeruje da imaju obavještajnu vrijednost” (75).

(75) Navedena su ograničenja posebno važna u pogledu osobnih podataka koji se prenose u okviru europsko-američkog sustava zaštite privatnosti, posebno ako se prikupljanje osobnih podataka odvija izvan SAD-a, uključujući tijekom njihova prijenosa transatlantskim kablovima iz Unije u SAD. Kako su potvrdila američka tijela u izjavama ODNI-ja, na takav se prijenos primjenjuju ograničenja i zaštitne mjere koje su tamo navedene, uključujući one iz Predsjedničkog ukaza br. 28 (76).

(76) Iako nisu oblikovana u takvom pravnom obliku, tim je načelima obuhvaćena bit načela nužnosti i proporcionalnosti. Velika prednost daje se ciljanom prikupljanju, a skupno prikupljanje ograničeno je na (iznimne) situacije u kojima ciljano prikupljanje nije moguće iz tehničkih ili operativnih razloga. Čak i ako se skupno prikupljanje ne može izbjeći, čini se da je daljnja „upotreba” takvih podataka pristupom strogo ograničena na posebne, legitimne potrebe nacionalne sigurnosti (77).

(77) Budući da je riječ o ukazu Predsjednika kao glavnog predstavnika izvršne vlasti, tim se zahtjevima obvezuje cijela obavještajna zajednica te se oni dalje provode s pomoću pravila agencije i postupaka kojima se opća načela prenose u posebne upute za svakodnevni rad. Nadalje, iako PPD-28 ne obvezuje sam Kongres, i on je poduzeo korake kako bi osigurao da prikupljanje osobnih podataka i pristup tim podacima u SAD-u budu ciljani, a ne „opći”.

(78) Na temelju dostupnih informacija, uključujući izjave američke vlade, može se zaključiti da američke obavještajne službe mogu tražiti osobne podatke nakon što su ti podaci preneseni organizacijama u SAD-u koje su se samocertificirale u skladu s europsko-američkim sustavom zaštite privatnosti samo (78) ako je njihov zahtjev u skladu sa Zakonom o nadzoru stranih obavještajnih službi (Foreign Intelligence Surveillance Act, FISA) ili ako ih je zatražio Savezni istražni ured (FBI) na temelju takozvanog dopisa o nacionalnoj sigurnosti (National Security Letter, NSL) (79). Postoji nekoliko pravnih osnova u skladu s FISA-om koje se mogu upotrijebiti za prikupljanje (i potom za obradu) osobnih podataka osoba iz EU-a prenesenih u okviru europsko-američkog sustava zaštite podataka. Osim tradicionalnog pojedinačnog elektroničkog nadzora u skladu s odjeljkom 104. FISA-e (80) i postavljanja uređaja za bilježenje ulaznih i izlaznih poziva u skladu s odjeljkom 402. FISA-e (81), dva su glavna instrumenta odjeljak 501. FISA-e (bivši odjeljak 215. američkog Zakona o borbi protiv terorizma (U.S. PATRIOT ACT)) i odjeljak 702. FISA-e (82).

(79) U tom pogledu Zakonom SAD-a o slobodi (FREEDOM Act), koji je donesen 2. lipnja 2015., zabranjuje se skupno prikupljanje evidencije na temelju odjeljka 402. FISA-e (ovlast za bilježenje ulaznih i izlaznih poziva), odjeljka 501. FISA-e (bivši odjeljak 215. američkog Zakona o borbi protiv terorizma) (83) i upotrebe NSL-a, a umjesto toga zahtijeva se upotreba posebnih „čimbenika za odabir” (84).

(80) Iako FISA sadržava dodatna zakonska odobrenja za obavljanje nacionalnih obavještajnih aktivnosti, uključujući prikupljanje informacija elektroničkim izviđanjem, Komisija je svojom procjenom utvrdila da, u pogledu prenošenja osobnih podataka u okviru europsko-američkog sustava zaštite privatnosti, ta ovlaštenja jednako ograničavaju utjecaj javnih tijela na ciljano prikupljanje i pristup.

(81) To je jasno za tradicionalan pojedinačni elektronički nadzor u skladu s odjeljkom 104. FISA-e (85). U pogledu odjeljka 702. FISA-e, koji služi kao osnova za dva važna obavještajna programa koje provode američke obavještajne agencije (PRISM, UPSTREAM), pretraživanja se provode na ciljani način upotrebom pojedinačnih čimbenika za odabir kojima se utvrđuju konkretna komunikacijska sredstva, kao što su adresa e-pošte ili telefonski broj ciljane osobe, ali ne ključne riječi ili čak imena ciljanih osoba (86). Prema tome, kako je napomenuo Nadzorni odbor za zaštitu privatnosti i građanskih sloboda (Privacy and Civil Liberties Oversight Board, PCLOB), nadzor iz odjeljka 702. „u cijelosti se sastoji od usmjeravanja na određene osobe (koje nisu državljani SAD-a) za koje je donesena pojedinačna odluka” (87). Zbog klauzule o vremenskom ograničenju valjanosti odjeljak 702. FISA-e morat će se preispitati 2017., kad će Komisija morati ponovno procijeniti zaštitne mjere koje su dostupne osobama iz EU-a čiji se podaci obrađuju.

(82) Nadalje, američka vlada u svojim je izjavama dala Europskoj komisiji izričito jamstvo da američka obavještajna zajednica „nikoga neselektivno ne nadzire, uključujući obične europske građane” (88). U pogledu osobnih podatka prikupljenih u SAD-u, ta je izjava potkrijepljena empirijskim dokazima koji pokazuju da se zahtjevi za pristup na temelju NSL-a ili u skladu s FISA-om, pojedinačno i zajedno, odnose samo na relativno mali broj ciljanih osoba u usporedbi s ukupnim protokom podataka na internetu (89).

(83) Kad je riječ o pristupu prikupljenim podacima i sigurnosti podataka, u Predsjedničkom ukazu br. 28. propisano je da pristup „mora biti ograničen na ovlašteno osoblje koje mora znati informacije da bi moglo obavljati svoju dužnost” i da se osobni podaci „obrađuju i pohranjuju pod uvjetima koji osiguravaju odgovarajuću zaštitu i sprečavaju pristup neovlaštenim osobama u skladu s primjenjivim zaštitnim mjerama za osjetljive informacije”. Zaposlenici obavještajnih službi prolaze odgovarajuću i primjerenu obuku u skladu s načelima iz PPD-28 (90).

(84) Naposljetku, u pogledu pohrane i daljnjeg širenja osobnih podataka osoba iz EU-a čiji se podaci obrađuju i koje su prikupila obavještajna tijela SAD-a, u PPD-28 navedeno je da se prema svim osobama (uključujući one koje nisu državljani SAD-a) treba postupati s dostojanstvom i poštovanjem, da sve osobe imaju legitimne interese u pogledu zaštite privatnosti pri postupanju s njihovim osobnim podacima i da subjekti obavještajne zajednice stoga moraju uspostaviti politike kojima će osigurati odgovarajuće zaštitne mjere za takve podatke „koje su u razumnoj mjeri oblikovane tako da se širenje i zadržavanje [podataka] svede na nužni minimum” (91).

(85) Američka vlada objasnila je da taj zahtjev razumnosti znači da subjekti obavještajne zajednice neće morati donijeti „sve teoretski moguće mjere”, ali će morati „uspostaviti ravnotežu između svojih nastojanja da zaštite legitimne interese u pogledu zaštite privatnosti i građanskih sloboda i praktičnih potreba prikupljanja informacija elektroničkim izviđanjem” (92). U tom pogledu će se prema osobama koje nisu državljani SAD-a postupati jednako kao prema državljanima SAD-a na temelju postupaka koje je odobrio Glavni državni odvjetnik (93).

(86) U skladu s tim pravilima zadržavanje je općenito ograničeno na najviše pet godina, osim ako je zakonski posebno propisano ili ako je direktor Nacionalne obavještajne agencije nakon pažljive procjene pitanja privatnosti izričito odlučio, uzimajući u obzir stajališta službenika ODNI-ja za zaštitu građanskih sloboda te službenika agencija za zaštitu privatnosti i građanske slobode, da je trajno zadržavanje u interesu nacionalne sigurnosti (94). Širenje je ograničeno na slučajeve kad su informacije relevantne za svrhu prikupljanja i stoga odgovaraju zahtjevima ovlaštenog prikupljanja stranih obavještajnih podataka ili kaznenog progona (95).

(87) U skladu s jamstvima američke vlade osobni podaci ne smiju se širiti samo zato što predmetna osoba nije američki državljanin i „informacije prikupljene elektroničkim izviđanjem o uobičajenim aktivnostima stranca ne bi se smatrale stranim obavještajnim podacima koji bi se mogli širiti ili trajno zadržavati samo zbog te činjenice osim ako na neki drugi način odgovaraju ovlaštenom zahtjevu za strane obavještajne podatke” (96).

(88) Na temelju navedenoga Komisija zaključuje da u Sjedinjenim Američkim Državama postoje pravila za ograničavanje zadiranja u temeljna prava osoba čiji se podaci za potrebe nacionalne sigurnosti prenose iz Unije u Sjedinjene Američke Države u okviru europsko-američkog sustava zaštite privatnosti na ono što je nužno za postizanje predmetnog legitimnog cilja.

(89) Prema spomenutoj analizi pravo SAD-a osigurava da će se mjere nadzora koristiti samo za pribavljanje stranih obavještajnih informacija, što je legitiman politički cilj (97), i bit će maksimalno prilagođene svrsi. Konkretno, skupno prikupljanje odobravat će se samo iznimno, ako nije moguće ciljano prikupljanje, i bit će popraćeno dodatnim zaštitnim mjerama radi što većeg smanjenja količine prikupljenih podataka i ograničenja naknadnog pristupa (koji će morati biti ciljan i dopušten samo za posebne svrhe).

(90) Prema procjeni Komisije to je u skladu sa standardom koji je utvrdio Sud EU-a u presudi u predmetu Schrems, prema kojemu zakonodavstvo koje zadire u temeljna prava zajamčena člancima 7. i 8. Povelje mora uvesti „minimum zaštitnih mjera” (98) te „nije ograničeno na ono što je nužno ako općenito dopušta pohranjivanje svih osobnih podataka svih osoba čiji su podaci preneseni iz Europske unije u Sjedinjene Američke Države bez ikakvog razlikovanja, ograničenja ili iznimke s obzirom na postavljeni cilj i bez utvrđenog objektivnog kriterija prema kojem bi se ograničio pristup javnih tijela podacima i njihova naknadna upotreba u svrhe koje su točno određene, strogo ograničene i mogu opravdati zadiranje kao posljedicu pristupa tim podacima i njihove upotrebe” (99). Neće biti ni neograničenog prikupljanja ni pohranjivanja podataka svih osoba bez ikakvih ograničenja, a ni neograničenog pristupa. Nadalje, izjave dostavljene Komisiji, uključujući jamstvo da se američke obavještajne aktivnosti prikupljanja informacija elektroničkim izviđanjem odnose samo na mali dio komunikacije koja se odvija na internetu, isključuju mogućnost „općeg” pristupa sadržaju elektroničke komunikacije (100).

3.1.2. Učinkovita pravna zaštita

(91) Komisija je ocijenila mehanizme nadzora koji postoje u SAD-u s obzirom na svako zadiranje američkih obavještajnih tijela u osobne podatke koji se prenose u SAD i oblike pravne zaštite koji su dostupni osobama iz EU-a čiji se podaci obrađuju.

Nadzor

(92) Obavještajna zajednica SAD-a podliježe raznim mehanizmima provjere i nadzora koje provode sve tri grane državne vlasti. Među njima su unutarnja i vanjska tijela izvršne vlasti, niz odbora Kongresa te sudski nadzor, posebno u odnosu na aktivnosti obuhvaćene Zakonom o nadzoru stranih obavještajnih službi.

(93) Prvo, obavještajne aktivnosti američkih tijela podliježu opsežnom nadzoru izvršne grane vlasti.

(94) U skladu s odjeljkom 4. točkom (a) podtočkom iv. Predsjedničkog ukaza br. 28. politike i postupci subjekata obavještajne zajednice „uključuju odgovarajuće mjere za olakšavanje nadzora nad provedbom zaštitnih mjera kojima se štite osobne informacije”; te mjere trebale bi uključivati povremene revizije (101).

(95) U tom je pogledu uspostavljeno više razina nadzora, među kojima su službenici za građanske slobode i privatnost, glavni inspektori, Ured direktora nacionalne obavještajne službe (ODNI) za građanske slobode i privatnost, Nadzorni odbor za zaštitu privatnosti i građanskih sloboda (PCLOB) i predsjednički Obavještajni nadzorni odbor (President's Intelligence Oversight Board). Te nadzorne funkcije podupire osoblje zaduženo za usklađenost u svim agencijama (102).

(96) Kako je objasnila vlada SAD-a (103), službenici za građanske slobode i privatnost koji imaju ovlasti nadzora postoje u različitim ministarstvima s obavještajnim odgovornostima i obavještajnim agencijama (104). Iako se konkretne ovlasti tih službenika mogu donekle razlikovati ovisno o zakonu kojim su propisane, one obično obuhvaćaju nadzor postupaka kojima se osigurava da predmetno ministarstvo/agencija na primjereni način štiti privatnost i građanske slobode te da je uspostavilo odgovarajuće postupke za rješavanje pritužbi osoba koje smatraju da im je ugrožena privatnost ili građanske slobode (a u nekim slučajevima, kao ODNI, mogu i sami imati ovlasti istražiti pritužbe (105)). Čelnik ministarstva/agencije mora osigurati da službenik zaprimi sve informacije te da ima pristup svim materijalima koji su mu potrebni za izvršavanje njegovih dužnosti. Službenici za građanske slobode i privatnost povremeno izvješćuju Kongres i PCLOB, među ostalim o broju i prirodi pritužbi koje je zaprimilo ministarstvo/agencija, te im dostavljaju sažetak takvih pritužbi, provedenih preispitivanja i istraga te ih obavješćuju o učinku aktivnosti koje je službenik proveo (106). Prema procjeni nacionalnih tijela za zaštitu podataka unutarnji nadzor koji provode službenici za građanske slobode i privatnost može se smatrati „prilično pouzdanim”, iako po njihovom mišljenju oni ne zadovoljavaju zahtijevanu razinu neovisnosti (107).

(97) Nadalje, svaki subjekt obavještajne zajednice ima vlastitog glavnog inspektora koji je, među ostalim, nadležan za nadzor stranih obavještajnih aktivnosti (108). Unutar ODNI-ja to je Ured glavnog inspektora koji ima sveobuhvatnu nadležnost nad cijelom obavještajnom zajednicom i ovlašten je za istrage pritužbi ili informacija povezanih s navodima o nezakonitom postupanju ili zloupotrebi ovlasti u vezi s ODNI-jem i/ili programima i aktivnostima obavještajne zajednice (109). Glavni inspektori zakonski su neovisne jedinice (110) nadležne za provođenje revizija i istraga povezanih s programima i operacijama koje u nacionalne obavještajne svrhe provodi predmetna agencija, uključujući zbog zloupotrebe ili kršenja zakona (111). Imaju pristup svoj evidenciji, izvješćima, revizijama, preispitivanjima, dokumentima, spisima, preporukama ili ostalim relevantnim materijalima, ako je potrebno na temelju sudskog naloga, i mogu uzimati iskaze (112). Iako glavni inspektori mogu izdavati samo neobvezujuće preporuke korektivnih mjera, njihova izvješća, među ostalim ona o daljnjim mjerama (ili nepostojanju takvih mjera) objavljuju se i šalju Kongresu, koji na osnovi toga može vršiti svoju nadzornu funkciju (113).

(98) Nadalje, Nadzornom odboru za zaštitu privatnosti i građanskih sloboda (PCLOB), neovisnoj agenciji (114) izvršne grane vlasti sastavljenoj od dvostranačkog, peteročlanog odbora (115) koji na fiksni šestogodišnji mandat imenuje Predsjednik uz odobrenje Senata, povjerena je nadležnost u području politika borbe protiv terorizma i njihove provedbe s ciljem zaštite privatnosti i građanskih sloboda. Za potrebe preispitivanja aktivnosti obavještajne zajednice taj odbor može pristupiti svim relevantnim evidencijama, izvješćima, revizijama, pregledima, dokumentima, spisima i preporukama agencije, uključujući klasificirane podatke, te obavljati razgovore i uzimati iskaze. Prima izvješća službenika za građanske slobode i privatnost nekoliko saveznih ministarstava/agencija (116), može im davati preporuke te redovito izvješćuje kongresne odbore i Predsjednika (117). PCLOB ima i zadaću u okviru svog mandata pripremiti izvješće o procjeni provedbe Predsjedničkog ukaza br. 28.

(99) Konačno, prethodno navedene mehanizme nadzora nadopunjuje Obavještajni nadzorni odbor (Intelligence Oversight Board) uspostavljen u okviru predsjedničkog savjetodavnog odbora za obavještajne aktivnosti (President's Intelligence Advisory Board), koji nadzire usklađenost obavještajnih tijela SAD-a s Ustavom i svim primjenjivim pravilima.

(100) U cilju olakšavanja nadzora subjekti obavještajne zajednice potiču se na oblikovanje informacijskih sustava koji će omogućiti praćenje, evidentiranje i preispitivanje upita ili drugih traženja osobnih informacija (118). Tijela za nadzor i usklađenost povremeno će provjeravati praksu subjekata obavještajne zajednice usmjerenu na zaštitu osobnih informacija prikupljenih elektroničkim izviđanjem i njihovu usklađenost s tim postupcima (119).

(101) Te nadzorne funkcije poduprte su opsežnim zahtjevima za izvješćivanje o neusklađenosti. Konkretno, agencija svojim postupcima mora osigurati da se, u slučaju znatnog problema s usklađenošću u vezi s osobnim informacijama bilo koje osobe, neovisno o državljanstvu, koje su prikupljene elektroničkim izviđanjem, o tom pitanju odmah obavijesti čelnik subjekta obavještajne zajednice, koji će potom obavijestiti direktora Nacionalne obavještajne agencije, a on će u skladu s PPD-28 utvrditi jesu li potrebne korektivne mjere (120). Nadalje, u skladu s Izvršnim nalogom br. 12333 svi subjekti obavještajne zajednice moraju izvješćivati Obavještajni nadzorni odbor o incidentima povezanima s neusklađenošću (121). Tim se mehanizmima osigurava da će se problem rješavati na najvišoj razini obavještajne zajednice. Ako se problem odnosi na osobu koja nije američki državljanin, direktor Nacionalne obavještajne službe, u dogovoru s ministrom vanjskih poslova i čelnikom ministarstva ili agencije koja dostavlja obavijest, utvrđuje treba li poduzeti korake za obavješćivanje predmetne strane vlade, u skladu sa zaštitom izvora i metoda te američkog osoblja (122).

(102) Drugo, uz te mehanizme nadzora u izvršnoj grani vlasti američki Kongres, posebno obavještajni i pravosudni odbori Zastupničkog doma i Senata (House and Senate Intelligence and Judiciary Committees), zaduženi su za nadzor nad svim stranim obavještajnim aktivnostima u SAD-u, uključujući aktivnosti prikupljanja informacija elektroničkim izviđanjem. Prema Zakonu o nacionalnoj sigurnosti „Predsjednik osigurava potpuno i ažurno obavješćivanje kongresnih odbora za obavještajne aktivnosti o obavještajnim aktivnostima Sjedinjenih Američkih Država, uključujući o svim bitnim očekivanim obavještajnim aktivnostima u skladu s ovim pododjeljkom” (123). Nadalje, „Predsjednik osigurava žurno obavješćivanje kongresnih odbora za obavještajne aktivnosti o svim nezakonitim obavještajnim aktivnostima te o korektivnim mjerama koje su poduzete ili se planiraju u vezi s takvim nezakonitim aktivnostima” (124). Članovi tih odbora imaju pristup klasificiranim podacima te obavještajnim metodama i programima (125).

(103) Kasnijim zakonima proširili su se i razradili zahtjevi izvješćivanja u pogledu subjekata obavještajne zajednice, relevantnih glavnih inspektora i Glavnog državnog odvjetnika (Attorney General). Na primjer, u FISA-i je propisano da Glavni državni odvjetnik mora „u potpunosti obavijestiti” obavještajne i pravosudne odbore Senata i Zastupničkog doma o aktivnostima vlade u okviru određenih odjeljaka FISA-e (126). Njome se zahtijeva i od vlade da kongresnim odborima dostavi „preslike svih odluka, naloga ili mišljenja Suda za nadzor stranih obavještajnih službi ili Žalbenog suda za nadzor stranih obavještajnih službi koji uključuju znatno oblikovanje ili tumačenje” odredaba FISA-e. Konkretno, u pogledu nadzora iz odjeljka 702. FISA-e, nadzor se vrši u skladu sa zakonski propisanim izvješćima obavještajnim i pravosudnim odborima te čestim sastancima i saslušanjima. To uključuje polugodišnje izvješće Glavnog državnog odvjetnika o primjeni odjeljka 702. FISA-e popraćeno dokumentima koji posebno uključuju izvješća o usklađenosti koja dostavljaju Ministarstvo pravosuđa i ODNI i opis slučajeva neusklađenosti (127) te zasebnu polugodišnju procjenu Glavnog državnog odvjetnika i DNI-ja o usklađenosti s postupcima ciljanog prikupljanja i ograničavanja prikupljanja na nužni minimum, uključujući usklađenost s postupcima koji su osmišljeni kako bi se osiguralo da se podaci prikupljaju u opravdanu svrhu u pogledu stranih obavještajnih aktivnosti (128). Kongres dobiva izvješća i glavnih inspektora koji su ovlašteni ocijeniti usklađenost agencija s postupcima ciljanog prikupljanja i ograničavanja prikupljanja na nužni minimum te smjernicama Glavnog državnog odvjetnika.

(104) U skladu sa Zakonom SAD-a o slobodi iz 2015. američka vlada mora svake godine objaviti Kongresu (i javnosti) broj traženih i primljenih naloga i ukaza FISA-e te procjene broja američkih državljana i osoba koje nisu američki državljani, a koje su predmetom nadzora (129). Zakonom je propisano i dodatno izvješćivanje javnosti o broju izdanih NSL-ova, i za američke državljane i one koji to nisu (istodobno omogućujući primateljima naloga i potvrda FISA-e te zahtjeva NSL-a da pod određenim uvjetima izdaju izvješća o transparentnosti) (130).

(105) Treće, obavještajnim aktivnostima američkih javnih tijela na osnovi FISA-e dopušteno je preispitivanje, a u nekim slučajevima i prethodno odobrenje mjera, koje provodi Sud FISA-e (FISC) (131), neovisni sud (132) čije se odluke mogu osporavati pred Žalbenim sudom za nadzor stranih obavještajnih službi (FISCR) (133) te u konačnici pred Vrhovnim sudom Sjedinjenih Američkih Država (134). U slučaju prethodnog odobrenja tijela koja podnose zahtjev (FBI, NSA, CIA itd.) morat će podnijeti nacrt zahtjeva odvjetnicima Odjela za nacionalnu sigurnost Ministarstva pravosuđa, koji će ga pregledati i prema potrebi zatražiti dodatne informacije (135). Zahtjev će po njegovom okončanju morati odobriti Glavni državni odvjetnik, zamjenik Glavnog državnog odvjetnika ili pomoćnik Glavnog državnog odvjetnika za nacionalnu sigurnost (136). Ministarstvo pravosuđa potom će podnijeti zahtjev FISC-u, koji će ga ocijeniti i donijeti privremenu odluku o daljnjem postupanju (137). Ako se održava saslušanje, FISC ima ovlasti uzimati iskaze, što može uključivati stručne savjete (138).

(106) FISC (i FISCR) imaju potporu stalnog odbora od pet osoba koje su stručne za pitanja nacionalne sigurnosti i građanskih sloboda (139). Sud iz te skupine imenuje pojedinca koji će služiti kao amicus curiae te pomagati pri razmatranju svakog zahtjeva za nalog ili preispitivanje koji, prema mišljenju suda, čini novo ili značajno tumačenje zakona, osim ako sud smatra da takvo imenovanje nije primjereno (140). Time se posebno osigurava da su pitanja zaštite privatnosti primjereno uključena u procjenu suda. Sud može imenovati i pojedinca ili organizaciju kao amicus curiae koji, među ostalim, pruža tehničke savjete kad god to smatra primjerenim ili na zahtjev dopušta pojedincu ili organizaciji da podnesu sažetak amicus curiae (141).

(107) Nadzor FISC-a razlikuje se u pogledu dva zakonska odobrenja za nadzor u okviru FISA-e koji su najvažniji za prijenos podataka u okviru europsko-američkog sustava zaštite privatnosti.

(108) U skladu s odjeljkom 501. FISA-e (142), prema kojemu je dopušteno prikupljanje „svih opipljivih stvari (uključujući knjige, evidenciju, spise, dokumente i druge predmete)”, zahtjev podnesen FISC-u mora sadržavati izjavu da postoje opravdani razlozi na temelju kojih se smatra da su opipljive stvari koje se traže relevantne za ovlaštenu istragu (osim za procjenu prijetnje) koja se provodi u cilju prikupljanja stranih obavještajnih informacija koje se ne odnose na američke državljane ili radi zaštite od međunarodnog terorizma ili tajnih obavještajnih aktivnosti. Zahtjev mora sadržavati popis postupaka ograničavanja prikupljanja na minimum koje je donio Glavni državni odvjetnik za zadržavanje i širenje prikupljenih obavještajnih informacija (143).

(109) S druge strane, u skladu s odjeljkom 702. FISA-e (144), FISC ne odobrava pojedinačne mjere nadzora, već odobrava programe nadzora (npr. PRISM, UPSTREAM) na temelju godišnjih certifikacija koje pripremaju Glavni državni odvjetnik i direktor Nacionalne obavještajne službe. Odjeljkom 702. FISA-e dopušteno je prikupljanje stranih obavještajnih podataka o osobama za koje se opravdano vjeruje da se nalaze izvan Sjedinjenih Američkih Država (145). Takvo ciljano prikupljanje provodi NSA u dva koraka: prvo, analitičari NSA-a identificirat će osobe u inozemstvu koje nisu državljani SAD-a i čijim nadzorom će se, na temelju procjene analitičara, prikupiti relevantni strani obavještajni podaci navedeni u certifikaciji. Drugo, kad se te izdvojene osobe identificiraju te se ciljano prikupljanje podataka o njima odobri opsežnim mehanizmom preispitivanja unutar NSA-a (146), „zadat” će se (odn. razviti i primijeniti) čimbenici za odabir kojima se utvrđuju komunikacijska sredstva (poput adresa e-pošte) kojima se koriste ciljane osobe (147). Kako je navedeno, certifikacije koje će odobriti FISC ne sadržavaju informacije o pojedinim osobama čiji će se podaci ciljano prikupljati već se u njima navode kategorije stranih obavještajnih informacija (148). Iako FISC ne procjenjuje – zbog opravdane sumnje ili na nekoj drugoj osnovi – jesu li osobe čiji se podaci prikupljaju radi pribavljanja stranih obavještajnih podataka ispravno odabrane, (149) on provodi kontrolu pod uvjetom da je „važna svrha prikupljanja pribaviti strane obavještajne informacije” (150). U skladu s odjeljkom 702. FISA-e NSA smije prikupljati komunikacijske podatke osoba izvan EU-a koje nisu američki državljani samo ako se opravdano vjeruje da se predmetno komunikacijsko sredstvo upotrebljava za dostavljanje stranih obavještajnih informacija (npr. povezanih s međunarodnim terorizmom, širenjem nuklearnog oružja ili neprijateljskim kibernetičkim aktivnostima). Zaključci u tom smislu podliježu sudskom preispitivanju (151). U certifikacijama moraju biti predviđeni postupci ciljanog prikupljanja i njegovog ograničavanja na minimum (152). Glavni državni odvjetnik i direktor Nacionalne obavještajne službe provjeravaju usklađenost, a agencije su dužne o svim slučajevima neusklađenosti obavijestiti FISC (153) (kao i Kongres i predsjednički obavještajni nadzorni odbor), koji na osnovu toga može izmijeniti odobrenje (154).

(110) Nadalje, radi povećanja učinkovitosti FISC-ovog nadzora, američka vlada pristala je provesti preporuku PCLOB-a o dostavljanju FISC-u dokumentacije o odlukama o odabiru cilja iz odjeljka 702., uključujući nasumični uzorak radnih naloga, kako bi FISC mogao procijeniti kako se zahtjev u pogledu prikupljanja stranih obavještajnih informacija provodi u praksi (155). Istodobno je američka vlada prihvatila i poduzela mjere za reviziju NSA-ovih postupaka ciljanog prikupljanja kako bi mogla bolje evidentirati razloge za odluke o ciljanom prikupljanju povezane s prikupljanjem stranih obavještajnih informacija (156).

Pojedinačna pravna zaštita

(111) U američkom zakonu osobama iz EU-a čiji se podaci obrađuju dostupni su različiti oblici pravne zaštite ako ih zabrinjava obrađuju li (prikupljaju, procjenjuju itd.) američki subjekti obavještajne zajednice njihove podatke i, ako to čine, poštuju li ograničenja propisana u američkom zakonodavstvu. To se u osnovi odnosi na tri područja: zadiranje prema FISA-i; nezakonit, namjerni pristup državnih službenika osobnim podacima i pristup informacijama u skladu sa Zakonom o pravu na pristup informacijama (Freedom of Information Act, FOIA) (157).

(112) Prvo, u Zakonu o nadzoru stranih obavještajnih službi predviđen je niz mehanizama pravne zaštite koji su dostupni i osobama koje nisu američki državljani za osporavanje nezakonitog elektroničkog nadzora (158). To uključuje mogućnost pojedinaca da pokrenu građanski postupak za naknadu štete protiv Sjedinjenih Američkih Država ako su se informacije o njima nezakonito i samovoljno upotrebljavale ili otkrivale (159); da osobno tuže američke državne službenike (zbog prekoračenja ovlasti, „under color of law”) tražeći novčanu odštetu (160) i da ospore zakonitost nadzora (i traže uklanjanje informacija) ako američka vlada planira upotrijebiti ili otkriti prikupljene informacije ili podatke dobivene elektroničkim nadzorom osobe u sudskim ili upravnim postupcima u SAD-u (161).

(113) Drugo, američka vlada obavijestila je Komisiju o nizu dodatnih sredstava koje osobe iz EU-a čiji se podaci obrađuju mogu upotrijebiti za traženje pravne zaštite od državnih službenika zbog nezakonitog pristupa osobnim podacima ili njihove upotrebe, uključujući u svrhu navodne nacionalne sigurnosti (tj. Zakon o računalnoj prijevari i zloupotrebi, Computer Fraud and Abuse Act (162); Zakon o zaštiti privatnosti u području elektroničke komunikacije, Electronic Communications Privacy Act (163) i Zakon o pravu na privatnost financijskih podataka, Right to Financial Privacy Act (164)). Sve te pravne osnove odnose se na posebne podatke, ciljeve i/ili vrste pristupa (npr. daljinski pristup računala internetom) i dostupni su pod određenim uvjetima (npr. namjerno/samovoljno postupanje, postupanje izvan službene dužnosti, pretrpljena šteta) (165). Općenitija mogućnost pravne zaštite pruža se u okviru Zakona o upravnom postupku (5 U.S.C. članak 702.), prema kojem „svaka osoba koja je u pravnom smislu oštećena ili ugrožena djelovanjem agencije ili je takvo djelovanje negativno utjecala na nju”, ima pravo zatražiti sudsko preispitivanje. To uključuje mogućnost da od suda zatraži da „proglasi nezakonitima i ukine mjere, nalaze i zaključke agencija za koje se smatra da su […] samovoljne, hirovite, zloupotreba diskrecije ili da na drugi način nisu u skladu sa zakonom” (166).

(114) Naposljetku, američka vlada spominje FOIA kao sredstvo kojim osobe koje nisu američki državljani mogu tražiti pristup postojećoj evidenciji savezne agencije, uključujući i onoj koja sadržava njihove osobne podatke (167). S obzirom na svoju usmjerenost FOIA pojedincima ne osigurava pravnu zaštitu od neovlaštene upotrebe njihovih osobnih podataka, ali bi im načelu mogla omogućiti pristup relevantnim podacima koje čuvaju nacionalne obavještajne agencije. Čini se da su mogućnosti ograničene i u tom pogledu jer agencije nisu dužne otkriti informacije obuhvaćene određenim nabrojenim iznimkama, uključujući pristup klasificiranim podacima iz područja nacionalne sigurnosti i informacijama o istragama u okviru kaznenog progona (168). Međutim, osobe koje pokreću upravne i sudske postupke mogu osporiti takve iznimke kojima se koriste nacionalne obavještajne agencije.

(115) Iako prema tome pojedinci, uključujući osobe iz EU-a čiji se podaci obrađuju, imaju na raspolaganju različite oblike pravne zaštite ako su bili predmetom nezakonitog (elektroničkog) nadzora za potrebe nacionalne sigurnosti, očito je i da nisu obuhvaćene barem neke pravne osnove koje američka obavještajna tijela (npr. Izvršni nalog br. 12333) mogu upotrijebiti. Nadalje, čak i ako osobe koje nisu američki državljani u načelu imaju na raspolaganju mogućnosti sudske zaštite, kao u slučaju nadzora u skladu s FISA-om, dostupne pravne osnove ograničene su (169) i tužbe koje podnose pojedinci (uključujući američke državljane) proglasit će se neprihvatljivima ako se ne može dokazati „osnovanost” (170), kojom se ograničava pristup redovnim sudovima (171).

(116) Kako bi osigurala dodatni oblik pravne zaštite dostupan svim osobama iz EU-a čiji se podaci obrađuju, američka vlada odlučila je uspostaviti novi mehanizam u vidu pravobranitelja, kako je navedeno u dopisu američkog ministra vanjskih poslova Komisiji, koji se nalazi u Prilogu III. ovoj Odluci. Taj se mehanizam temelji na imenovanju, u okviru Predsjedničkog ukaza br. 28., višeg koordinatora (na razini zamjenika ministra) u Ministarstvu vanjskih poslova kao kontaktne točke za strane vlade koji će postavljati pitanja u vezi s američkim obavještajnim aktivnostima prikupljanja informacija elektroničkim izviđanjem, ali on uvelike nadilazi taj prvobitni koncept.

(117) U skladu s preuzetim obvezama američke vlade mehanizmom pravobranitelja osigurat će se da se pojedinačne pritužbe na odgovarajući način istraže i riješe i da pojedinci dobiju neovisnu potvrdu poštovanja američkih zakona ili, u slučaju kršenja takvih zakona, da se neusklađenost ispravi (172). Taj mehanizam uključuje „Pravobranitelja za sustav zaštite privatnosti”, tj. zamjenika ministra i drugo osoblje te ostala nadzorna tijela nadležna za nadzor različitih subjekata obavještajne zajednice na čiju će se suradnju Pravobranitelj za sustav zaštite privatnosti oslanjati pri rješavanju pritužbi. Posebno kad se zahtjev pojedinca odnosi na usklađenost nadzora s pravom SAD-a, Pravobranitelj za sustav zaštite privatnosti moći će se osloniti na neovisna nadzorna tijela s istražnim ovlastima (kao što su glavni inspektori ili PCLOB). U svakom slučaju američki ministar vanjskih poslova (Secretary of State) osigurava da Pravobranitelj raspolaže sredstvima kojima može osigurati da se odgovori na pojedinačne zahtjeve temelje na svim potrebnim informacijama.

(118) Putem te „kompozitne strukture” mehanizam pravobranitelja jamči neovisni nadzor i pojedinačne oblike zaštite. Nadalje, suradnja s drugim nadzornim tijelima osigurava pristup nužnom stručnom znanju. Konačno, obvezivanjem Pravobranitelja za sustav zaštite privatnosti da potvrdi usklađenost ili ispravak svih neusklađenosti, taj mehanizam odražava nastojanje vlade SAD-a u cijelosti da reagira na pritužbe pojedinaca iz EU-a i riješi ih.

(119) Prvo, za razliku od običnog međuvladinog mehanizma Pravobranitelj za sustav zaštite privatnosti zaprimat će pojedinačne pritužbe i odgovarati na njih. Takve se pritužbe mogu uputiti nadzornim tijelima u državama članicama nadležnima za nadzor službi nacionalne sigurnosti i/ili obrade osobnih podataka koju provode javna tijela, koja će ih podnijeti centraliziranom tijelu EU-a odakle će se proslijediti Pravobranitelju za sustav zaštite privatnosti (173). To će koristiti osobama iz EU-a koje se mogu obratiti svom nacionalnom tijelu i na vlastitom jeziku. To će tijelo pomagati osobi s podnošenjem zahtjeva Pravobranitelju za sustav zaštite privatnosti u kojem će biti navedene osnovne informacije te će se moći smatrati „potpunim”. Osoba ne mora dokazivati da je američka vlada stvarno pristupila njezinim podacima u okviru aktivnosti prikupljanja informacija elektroničkim izviđanjem.

(120) Drugo, vlada SAD-a obvezuje se osigurati da će se Pravobranitelj za sustav zaštite privatnosti u obavljanju svojih dužnosti moći osloniti na suradnju s drugim nadzornim mehanizmima i mehanizmima za preispitivanje usklađenosti koji postoje u pravu SAD-a. To će ponekad uključivati nacionalna obavještajna tijela, posebno kad se zahtjev treba tumačiti kao zahtjev za pristup dokumentima u skladu sa Zakonom o pravu na pristup informacijama. U drugim slučajevima, posebno kad se zahtjevi odnose na usklađenost nadzora s pravom SAD-a, takva će suradnja uključivati neovisna nadzorna tijela (npr. glavne inspektore), koja će biti nadležna i ovlaštena za temeljitu istragu (posebno kroz pristup svim relevantnim dokumentima i ovlast da zatraže informacije i izjave) te ispravljanje neusklađenosti (174). Nadalje, Pravobranitelj za sustav zaštite privatnosti moći će predmete uputiti PCLOB-u na razmatranje (175). Ako neko od tih nadzornih tijela utvrdi neusklađenost, predmetni subjekt obavještajne zajednice (npr. obavještajna agencija) morat će ispraviti neusklađenost jer će Pravobranitelj tek tada moći dati „pozitivan” odgovor pojedincu (tj. da je svaka neusklađenost uklonjena) na koji se obvezala američka vlada. Osim toga, u okviru te suradnje Pravobranitelj za sustav zaštite privatnosti bit će obaviješten o ishodu istrage te će raspolagati sredstvima kojima će osigurati da dobije sve informacije potrebne za pripremu odgovora.

(121) Naposljetku, Pravobranitelj za sustav zaštite privatnosti bit će neovisan o američkoj obavještajnoj zajednici te prema tome neće od nje primati upute (176). To je vrlo važno jer će Pravobranitelj morati „potvrditi” da je i. pritužba pravilno istražena i da se ii. postupalo u skladu s američkim pravom, uključujući s ograničenjima i zaštitnim mjerama iz Priloga VI. ili da je, u slučaju neusklađenosti, takvo kršenje ispravljeno. Kako bi mogao pružiti takvu neovisnu potvrdu, Pravobranitelj za sustav zaštite privatnosti morat će primiti potrebne informacije o istrazi da bi procijenio točnost odgovora na pritužbu. Osim toga, američki ministar vanjskih poslova obvezao se osigurati da zamjenik ministra obnaša dužnost Pravobranitelja za sustav zaštite privatnosti objektivno i slobodno od mogućeg neprimjerenog utjecaja na odgovor koji treba pružiti.

(122) Općenito gledajući, tim se mehanizmom osigurava da će se pojedinačne pritužbe temeljito istražiti i riješiti te da će to barem u području nadzora uključivati neovisna nadzorna tijela s nužnom stručnosti i istražnim ovlastima te Pravobranitelja koji će moći obavljati svoje dužnosti bez neprimjerenog, posebno političkog utjecaja. Nadalje, pojedinci pri podnošenju pritužbi neće morati dokazivati ni navoditi indikacije o tome da su bili predmet nadzora (177). S obzirom na ta obilježja Komisija je zadovoljna što postoje primjerena i djelotvorna jamstva protiv zloupotrebe.

(123) Na temelju svega navedenog Komisija zaključuje da Sjedinjene Američke Države osiguravaju djelotvornu pravnu zaštitu od neovlaštenog zadiranja svojih obavještajnih tijela u temeljna prava osoba čiji se podaci prenose iz Unije u Sjedinjene Američke Države u okviru europsko-američkog sustava zaštite privatnosti.

(124) U tom smislu Komisija prima na znanje presudu Suda EU-a u predmetu Schrems prema kojoj se „zakonodavstvom u kojem nije predviđena mogućnost da pojedinac zatraži pravnu zaštitu kako bi dobio pristup osobnim podacima koji se na njega odnose ili pravo na ispravak ili brisanje takvih podataka ne poštuje bit temeljnog prava na djelotvornu sudsku zaštitu prema članku 47. Povelje” (178). Komisija je u svojoj procjeni potvrdila da su takve vrste pravne zaštite osigurane u SAD-u, uključujući uvođenjem mehanizma pravobranitelja. Mehanizam pravobranitelja osigurava neovisan nadzor s istražnim ovlastima. U okviru Komisijina stalnog praćenja sustava zaštite privatnosti, uključujući godišnjim zajedničkim preispitivanjem koje uključuje i Pravobranitelja, ponovno će se procjenjivati djelotvornosti tog mehanizma.

3.2. Pristup američkih javnih tijela podacima i njihova upotreba za potrebe kaznenog progona i javnog interesa

(125) Kad je riječ o neovlaštenoj upotrebi osobnih podataka koji se prenose u okviru europsko-američkog sustava zaštite privatnosti, američka vlada (posredstvom Ministarstva pravosuđa) dala je jamstva o primjenjivim ograničenjima i zaštitnim mjerama koje su se prema procjenama Komisije pokazale kao dostatna razina zaštite.

(126) Prema tim informacijama, u skladu s Četvrtim amandmanom američkog Ustava (179), tijela kaznenog progona u načelu (180) mogu vršiti pretrese i zapljene na temelju sudskog naloga koji su ishodila dokazavši da postoji „osnovana sumnja”. U nekoliko posebno utvrđenih i iznimnih slučajeva kad se ne primjenjuje zahtjev za nalog (181) kazneni progon podliježe provjeri „razumnosti” (182). Razumnost pretresa ili zapljene „utvrđuje se procjenom, s jedne strane, mjere do koje se time ugrožava privatnost osobe i, s druge strane, mjere do koje je to potrebno za promicanje legitimnih državnih interesa” (183). Općenito, Četvrtim amandmanom jamči se privatnost, dostojanstvo i zaštita od samovoljnih radnji državnih službenika kojima se zadire u privatnost (184). Tim je pojmovima obuhvaćena ideja nužnosti i razmjernosti iz prava Unije. Nakon što za kazneni progon više nisu potrebni zaplijenjeni predmeti kao dokaz, moraju biti vraćeni (185).

(127) Iako se osobe koje nisu državljani i nemaju sjedište u SAD-u ne mogu pozvati na Četvrti amandman, one ostvaruju posrednu korist od zaštite koju on pruža jer su osobni podaci u posjedu američkih poduzeća i tijela kaznenog progona u svakom slučaju moraju tražiti sudsko odobrenje (ili barem poštovati zahtjev razumnosti) (186). Dodatna zaštita osigurava se posebnim zakonskim ovlastima i smjernicama Ministarstva pravosuđa kojima se ograničava pristup tijela kaznenog progona podacima na temelju osnova koje odgovaraju nužnosti i razmjernosti (npr. traženje od FBI-ja da se služi istražnim metodama kojima se najmanje zadire u privatnost, uzimajući u obzir učinak na privatnost i građanske slobode) (187). Prema izjavama američke vlade jednaka ili viša zaštita primjenjuje se na istrage tijela kaznenog progona na državnoj razini (u pogledu istraga koje se provode u skladu s državnim zakonima) (188).

(128) Iako prethodno sudsko odobrenje suda ili porote (istražnog ogranka suda koji sastavlja sudac ili pomoćni sudac) nije potrebno u svim predmetima (189), upravni sudski pozivi ograničeni su na posebne slučajeve i podliježu neovisnom sudskom preispitivanju barem u slučajevima kad vlada traži provedbu sudskim putem (190).

(129) Isto vrijedi i za upotrebu upravih sudskih poziva u svrhe javnog interesa. Nadalje, prema izjavama američke vlade, slična materijalna ograničenja primjenjuju se u pogledu toga da agencije mogu tražiti samo pristup podacima koji su relevantni za pitanja u njihovoj nadležnosti te moraju poštovati načelo razumnosti.

(130) Nadalje, u pravu SAD-a predviđa se niz oblika sudske zaštite pojedinaca od javnog tijela ili jednog od njegovih službenika ako ta tijela obrađuju osobne podatke. Ti oblici zaštite, koji napose uključuju Zakon o upravnom postupku (Administrative Procedure Act, APA), Zakon o pravu na pristup informacijama (Freedom of Information Act, FOIA) i Zakon o zaštiti privatnosti u području elektroničke komunikacije (Electronic Communications Privacy Act, ECPA), dostupni su svim osobama bez obzira na državljanstvo, u skladu sa svim primjenjivim uvjetima.

(131) Općenito, prema odredbama Zakona o upravnom postupku koje se odnose na sudsko preispitivanje (191), „svaka osoba koja je u pravnom smislu oštećena ili ugrožena aktivnošću agencije ili je takva aktivnost negativno utjecala na nju” ima pravo zatražiti sudsko preispitivanje (192). To uključuje mogućnost da od suda zatraži da „proglasi nezakonitima i ukine mjere, nalaze i zaključke agencija za koje se smatra da su […] samovoljne, hirovite, zloupotreba diskrecije ili da na drugi način nisu u skladu sa zakonom” (193).

(132) Točnije, u glavi II. Zakona o zaštiti privatnosti u području elektroničke komunikacije (194) utvrđuje se sustav propisanih prava na privatnost i uređuje pristup radi kaznenog progona telefonskoj, usmenoj ili elektroničkoj komunikaciji koju pohranjuju pružatelji usluga koji su treća strana (195). Njome se kriminalizira nezakonit pristup takvoj komunikaciji (tj. onaj koji nije sudski odobren ili inače dopušten) te se oštećenom pojedincu pruža mogućnost da podnese građansku tužbu američkom Saveznom sudu radi stvarne i kaznene odštete te pravične ili deklarativne naknade protiv vladinog službenika koji je samovoljno počinio takve nezakonite radnje ili protiv Sjedinjenih Američkih Država.

(133) Osim toga, u skladu sa Zakonom o pravu na pristup informacijama (FOIA, 5 U.S.C. članak 552.) svaka osoba ima pravo pristupiti evidenciji saveznih agencija i, nakon što se iscrpe administrativni oblici pravne zaštite, ostvariti takvo pravo na sudu, osim ako je takva evidencija zaštićena od javnog objavljivanja izuzećem ili posebnim isključenjem od kaznenog progona (196).

(134) Osim toga, nizom drugih zakona pojedincima se pruža pravo da podnesu tužbu protiv američkog javnog tijela ili službenika s obzirom na obradu svojih osobnih podataka, primjerice Zakonom o prisluškivanju (Wiretap Act) (197), Zakonom o računalnoj prijevari i zloupotrebi (Computer Fraud and Abuse Act) (198), Saveznim zakonom o tužbi za naknadu građanske štete (Federal Torts Claim Act) (199), Zakonom o pravu na privatnost financijskih podataka (Right to Financial Privacy Act) (200) i Zakonom o poštenom izvješćivanju o kreditnoj sposobnosti (Fair Credit Reporting Act) (201).

(135) Komisija stoga zaključuje da u Sjedinjenim Američkim Državama postoje pravila za ograničavanje zadiranja u temeljna prava za potrebe kaznenog progona (202) ili druge potrebe javnog interesa osoba čiji se podaci prenose iz Unije u SAD u okviru europsko-američkog sustava zaštite privatnosti na ono što je nužno za postizanje predmetnog legitimnog cilja i da se tim pravilima osigurava djelotvorna pravna zaštita protiv takvog zadiranja.

4. ODGOVARAJUĆA RAZINA ZAŠTITE U OKVIRU EUROPSKO-AMERIČKOG SUSTAVA ZAŠTITE PRIVATNOSTI

(136) S obzirom na te zaključke Komisija smatra da Sjedinjene Američke Države osiguravaju odgovarajuću razinu zaštite osobnih podataka koji se prenose iz Unije samocertificiranim organizacijama u SAD-u u okviru europsko-američkog sustava zaštite privatnosti.

(137) Komisija posebno smatra da se Načelima koja je izdalo američko Ministarstvo trgovine u cjelini osigurava razina zaštite osobnih podataka koja je u osnovi jednakovrijedna razini zajamčenoj osnovnim načelima iz Direktive 95/46/EZ.

(138) Nadalje, djelotvorna primjena Načela zajamčena je obvezama transparentnosti i upravljanjem sustavom zaštite privatnosti koje provodi Ministarstvo trgovine.

(139) Nadalje, Komisija smatra da se mehanizmima nadzora i pravne zaštite u cjelini, koji se osiguravaju u okviru sustava zaštite privatnosti, organizacijama u sustavu zaštite privatnosti omogućuje otkrivanje i kažnjavanje povreda Načela u praksi te se osobi čiji se podaci obrađuju osiguravaju pravna sredstva za ostvarivanje pristupa njezinim osobnim podacima te za ispravak ili brisanje takvih podataka.

(140) Naposljetku, na temelju dostupnih informacija o pravnom poretku SAD-a, uključujući izjave i jamstva američke vlade, Komisija smatra da će svako zadiranje američkih javnih tijela u temeljna prava osoba čiji se podaci prenose iz Unije u Sjedinjene Američke Države u okviru europsko-američkog sustava zaštite privatnosti radi nacionalne sigurnosti, kaznenog progona ili drugih javnih interesa i povezana ograničenja koja se određuju samocertificiranim organizacijama u pogledu njihovog pridržavanja Načela biti ograničena na ono što je nužno za postizanje predmetnog legitimnog cilja te da postoji djelotvorna pravna zaštita od takvog zadiranja.

(141) Komisija zaključuje da su time ispunjeni uvjeti iz članka 25. Direktive 95/46/EZ protumačeni s obzirom na Povelju Europske unije o temeljnim pravima, kako je objasnio Sud EU-a posebno u presudi Schrems.

5. DJELOVANJE TIJELA ZA ZAŠTITU PODATAKA I OBAVJEŠĆIVANJE KOMISIJE

(142) U presudi Schrems Sud EU-a objasnio je da Komisija nije nadležna ograničavati ovlasti tijela za zaštitu podataka na temelju članka 28. Direktive 95/46/EZ (uključujući ovlast za suspenziju prijenosa podataka) ako osoba, podnoseći tužbu u skladu s tom odredbom, dovede u pitanje usklađenost odluke Komisi