U pogledu proaktivnih provjera usklađenosti poduzeća sa zahtjevima sustava zaštite privatnosti, u travnju 2019. Ministarstvo trgovine uvelo je sustav u okviru kojega svaki mjesec provjerava 30 poduzeća. Komisija pozdravlja činjenicu da Ministarstvo trgovine redovito i sustavno provodi proaktivne provjere usklađenosti, što je vrlo važno za poboljšanje opće usklađenosti s okvirom i za otkrivanje slučajeva u kojima je potrebno da Savezna trgovinska komisija poduzme provedbene mjere. Međutim, napominje da su te provjere na licu mjesta ograničene na formalne zahtjeve, kao što je nedostatak odgovora određenih kontaktnih točaka ili nedostupnost politike zaštite privatnosti provjeravanoga poduzeća na internetu. Iako su to nesumnjivo važni aspekti usklađenosti sa zahtjevima sustava zaštite privatnosti, takve bi provjere trebale obuhvaćati i materijalne obveze, na primjer, usklađenost s načelom odgovornosti za daljnje prijenose, pri čemu se u cijelosti iskorištavaju instrumenti na koje se Ministarstvo trgovine može osloniti u tom okviru. Zahtjevi za daljnje prijenose znatno su ojačani u sustavu zaštite privatnosti jer bi nedostatak zaštitnih mjera u takvim situacijama ugrozio zaštitu zajamčenu okvirom. Budući da bi se provjere na licu mjesta trebale i dalje provoditi redovito i na sustavan način, usklađenost s tim važnijim zahtjevima jednako je tako ključna za kontinuitet sustava zaštite privatnosti te bi ih američke vlasti trebale strogo pratiti i provoditi.

Nadalje, iako je funkciju pravobranitelja za sustav zaštite privatnosti provodio vršitelj dužnosti zamjenika ministra, što znači da je mehanizam pravobranitelja bio potpuno funkcionalan, Komisija je naglasila važnost popunjavanja funkcije pravobranitelja za sustav zaštite privatnosti na trajnoj osnovi te je osobito pozvala vladu SAD-a da imenuje kandidata za to mjesto do 28. veljače 2019.

Konkretno, mjerama poduzetima za provedbu preporuka Komisije nakon prvog godišnjeg preispitivanja poboljšano je nekoliko aspekata praktičnog funkcioniranja okvira. Na primjer, Ministarstvo trgovine uvelo je nove mehanizme za otkrivanje potencijalnih problema s usklađenošću, Savezna trgovinska komisija donijela je proaktivniji pristup praćenju i provedbi usklađenosti i javno je objavljeno izvješće Nadzornog odbora za zaštitu privatnosti i građanskih sloboda o provedbi Predsjedničkog ukaza br. 28 . Međutim, s obzirom na to da su neke od tih mjera poduzete neposredno prije drugog godišnjeg preispitivanja te da su neki relevantni postupci još bili u tijeku, Komisija je zaključila da je potrebno pomno pratiti sve buduće promjene u tim postupcima i mehanizmima.

U pogledu potrage za lažnim tvrdnjama o sudjelovanju u sustavu zaštite privatnosti koju provodi Ministarstvo trgovine, Komisija je napomenula da je Ministarstvo trgovine nastavilo provoditi pretrage na tromjesečnoj osnovi, što je dovelo do otkrivanja znatnog broja slučajeva lažnih tvrdnji, koje su u nekim slučajevima upućene i Saveznoj trgovinskoj komisiji. Međutim, te su pretrage dosad bile usmjerene jedino na poduzeća koja su na neki način već certificirana ili su podnijela zahtjev za certifikaciju u okviru sustava zaštite privatnosti (ali, primjerice, nisu ponovno certificirana). Važno je da se obuhvate i poduzeća koja nikad nisu podnijela zahtjev za certifikaciju u okviru sustava zaštite privatnosti. Od svih vrsta lažnih tvrdnji potencijalno su najštetnije tvrdnje poduzeća koja nikad nisu podnijela zahtjev za certifikaciju. To je istina sa stajališta privatnosti pojedinaca jer poduzeća koja nikad nisu podnijela zahtjev za certifikaciju u svojim poslovnim praksama nisu provela nikakve mjere zaštite koje jamči sustav zaštite privatnosti. To je slučaj i sa stajališta poslovanja jer su jednaki uvjeti među poduzećima narušeni ako organizacije koje ne ispunjavaju zahtjeve okvira mogu upotrebljavati pogodnosti koje donosi certifikacija.

Komisija je primila na znanje da rastući broj ispitanika iz EU-a iskorištava svoja prava u okviru sustava zaštite privatnosti i da relevantni mehanizmi pravne zaštite dobro funkcioniraju. Povećao se broj pritužbi podnesenih neovisnim mehanizmima pravne zaštite, koje su riješene na zadovoljstvo predmetnih pojedinaca iz EU-a. Nadalje, zahtjeve pojedinaca iz EU-a na zadovoljavajući su način riješila poduzeća koja sudjeluju u sustavu.

U pogledu provedbe Komisija je napomenula da je od prošle godine Savezna trgovinska komisija zaključila sedam provedbenih mjera povezanih s povredama sustava zaštite privatnosti, među ostalim i zahvaljujući najavljenim provjerama po službenoj dužnosti. Svih sedam predmeta odnosilo se na lažne tvrdnje o sudjelovanju u okviru. Dva slučaja odnosila su se i na kršenje važnijih zahtjeva sustava zaštite privatnosti, kao što je nemogućnost da se samoprocjenom ili na temelju vanjskog preispitivanja usklađenosti provjeri jesu li tvrdnje poduzeća o njegovoj praksi sustava zaštite privatnosti istinite i jesu li te prakse provedene. Komisija pozdravlja provedbene mjere koje je Savezna trgovinska komisija poduzela u trećoj godini djelovanja sustava zaštite privatnosti. Istodobno, s obzirom na prošlogodišnju najavu agencije i jamstva pružena tijekom drugoga godišnjeg preispitivanja, Komisija je očekivala oštriji pristup u pogledu provedbenih mjera povezanih s materijalnim povredama načela sustava zaštite privatnosti.

U tom je pogledu Komisija primila na znanje objašnjenje iz trećega godišnjeg preispitivanja prema kojem je za brojne istrage u tijeku potrebno više vremena jer Savezna trgovinska komisija razmatra čitav niz mogućih povreda. Međutim, informacije koje je dostavila Savezna trgovinska komisija bile su previše ograničene, zbog čega nije bilo moguće na odgovarajući način ocijeniti napredak u provedbi. Iako se takve informacije mogu ograničiti s obzirom na legitimna pitanja povjerljivosti, ne čini se opravdanim da Savezna trgovinska komisija ne može dijeliti, čak i u anonimnom obliku, više elemenata o provjerama koje se provode po službenoj dužnosti. Taj pristup nije u skladu s duhom suradnje među nadležnim tijelima na kojem se temelji sustav zaštite privatnosti, a Savezna trgovinska komisija trebala bi pronaći načine za razmjenu važnih informacija o svojim provedbenim mjerama s Komisijom i nadležnim tijelima EU-a za zaštitu podataka koja su suodgovorna za provedbu okvira.

Tijekom preispitivanja ponovno se raspravljalo o načinu na koji se u okviru sustava zaštite privatnosti postupa s podacima o ljudskim resursima. Kao što su potvrdili dionici, izrada zajedničkih smjernica Ministarstva trgovine, Savezne trgovinske komisije i nadležnih tijela EU-a za zaštitu podataka imala bi stvarnu dodanu vrijednost. Komisija u tom pogledu napominje da su nedavno uspostavljeni kontakti i da su doveli do određenog napretka u razumijevanju pitanja, ali da još nisu doveli do konkretnog ishoda.

2.2.Pristup američkih javnih tijela osobnim podacima i njihova upotreba

Kad je riječ o aspektima povezanima s pristupom američkih javnih tijela osobnim podacima i njihovom upotrebom, trećim godišnjim preispitivanjem ponajprije se željelo potvrditi da se i dalje provode sva ograničenja i zaštitne mjere na kojima se temelji odluka o primjerenosti. Nadalje, trećim godišnjim preispitivanjem pružena je prilika da se razmotre nova kretanja i da se dodatno pojasne određeni aspekti pravnog okvira i različiti mehanizmi nadzora i mogućnosti pravne zaštite, osobito u pogledu toga kako pravobranitelj postupa s pritužbama i kako ih rješava.

Iako nije došlo do novih pravnih promjena u pogledu prikupljanja stranih obavještajnih podataka u skladu s odjeljkom 702. Zakona o nadzoru stranih obavještajnih službi, Komisija je pozdravila pojašnjenja koja su tijela SAD-a primila o načinu na koji je prikupljanje obavještajnih podataka usmjereno na obavještajne programe koji se provode u skladu s odjeljkom 702. Zakona o nadzoru stranih obavještajnih službi (programi Prism i Upstream). U tim su objašnjenjima potvrđeni nalazi Komisije u odluci o primjerenosti prema kojima je prikupljanje stranih obavještajnih podataka u skladu s odjeljkom 702. Zakona o nadzoru stranih obavještajnih službi uvijek usmjereno na upotrebu čimbenika za odabir te da je izbor čimbenika za odabir uređen zakonom, podložno neovisnom sudskom i zakonodavnom nadzoru.

Komisija je primijetila i da će neke ovlasti za dobivanje stranih obavještajnih podataka u skladu s odjeljkom 501. Zakona o nadzoru stranih obavještajnih službi, kako je izmijenjen američkim Zakonom o slobodi iz 2015., isteći 15. prosinca 2019. Budući da je prikupljanje u skladu s odjeljkom 501. Zakona o nadzoru stranih obavještajnih službi relevantno u kontekstu sustava zaštite privatnosti te je stoga ocijenjeno u odluci Komisije o primjerenosti, u slučaju ponovnog izdavanja odobrenja važno je da postojeća ograničenja i zaštitne mjere, kao što je zabrana masovnog prikupljanja podataka, ostanu na snazi.

Kad je riječ o Predsjedničkom ukazu br. 28, nadležna tijela SAD-a izričito su potvrdila da on u potpunosti ostaje na snazi i da se na njega ne primjenjuju nikakve izmjene. Nadalje, nisu izmijenjeni postupci kojima se provodi Predsjednički ukaz br. 28 u različitim agencijama obavještajne zajednice. Osim toga, Komisija je primila na znanje objašnjenja koja su dostavila tijela SAD-a, u kojima su pojasnila da se odredbe o masovnom prikupljanju u Predsjedničkom ukazu br. 28, uključujući one o privremenom stjecanju, ne primjenjuju na prikupljanje stranih obavještajnih podataka u SAD-u (na primjer, na prikupljanje informacija dobivenih od certificiranih poduzeća koja obrađuju podatke prenesene iz EU-a u okviru sustava zaštite privatnosti), kao što je prikupljanje provedeno u skladu s odjeljkom 702. Zakona o nadzoru stranih obavještajnih službi u okviru programâ Prism ili Upstream jer je to prikupljanje uvijek usmjereno.

U pogledu Nadzornog odbora za zaštitu privatnosti i građanskih sloboda, važnog nadzornog tijela u području nadzora vlade, Komisija je pozdravila činjenicu da, s obzirom na to da je američki Senat nedavno potvrdio imenovanje dvaju dodatnih članova Odbora, Nadzorni odbor za zaštitu privatnosti i građanskih sloboda prvi put od 2016. djeluje u potpunom sastavu od pet članova. Komisija je primijetila i da se od zadnjega godišnjeg preispitivanja osoblje Odbora udvostručilo te da je Odbor usvojio ambiciozan program rada, koji se sastoji od 10 nadzornih projekata koji su u tijeku, od kojih su neki od posebne važnosti za redovito preispitivanje sustava zaštite privatnosti koje provodi Komisija.

Kad je riječ o mehanizmu pravobranitelja za sustav zaštite privatnosti, predsjednik SAD-a najavio je 18. siječnja 2019. imenovanje Keitha Kracha kao zamjenika državnog tajnika koji djeluje i kao pravobranitelj. Senat je potvrdio imenovanje g. Kracha 20. lipnja 2019. Komisija pozdravlja imenovanje g. Kracha kao pravobranitelja za sustav zaštite privatnosti, čime je zajamčeno da je položaj trajno popunjen.

Kad je riječ o prvoj pritužbi koja je mehanizmu pravobranitelja podnesena putem hrvatskog tijela za zaštitu podataka netom prije prošloga godišnjeg preispitivanja, ta je pritužba u konačnici proglašena nedopuštenom jer se odnosila na činjenice koje su bile dovršene prije donošenja odluke o sustavu zaštite privatnosti. Međutim, pritužba je predstavljala priliku za ispitivanje funkcioniranja relevantnih postupaka u praksi. Predstavnici Europskog odbora za zaštitu podataka u godišnjem preispitivanju i pravobranitelj potvrdili su da su svi relevantni koraci postupka bili pokrenuti i izvršeni na zadovoljavajući način. Komisija pozdravlja uspješnu obradu tog prvog zahtjeva, koja ukazuje na to da mehanizam pravobranitelja može pravilno izvršavati svoje funkcije.

Nadležna tijela SAD-a dostavila su i dodatna objašnjenja o tome kako bi pravobranitelj surađivao s drugim neovisnim tijelima za nadzor i kako bi otklanjao kršenja. Osobito su potvrdili da će neovisni glavni inspektor obavještajne zajednice biti sustavno obavještavan o svim pritužbama podnesenima pravobranitelju te će provesti vlastitu procjenu. Osim toga, objasnili su da bi, kad bi pritužba pred pravobraniteljem ukazala na povredu postupaka za ciljanje u skladu s odjeljkom 702. Zakona o nadzoru stranih obavještajnih službi, takva bi povreda bila prijavljena Sudu za nadzor stranih obavještajnih službi, koji bi proveo neovisnu provjeru i, ako je to potrebno, nadležnoj obavještajnoj agenciji naložio da poduzme korektivne mjere. Te korektivne mjere mogu varirati od pojedinačnih do strukturnih mjera, npr. od brisanja nezakonito prikupljenih podataka do promjene prakse prikupljanja podataka, među ostalim u pogledu usmjeravanja i osposobljavanja osoblja.

Konačno, potvrđeno je da će se, ako se tijekom preispitivanja pritužbe podnesene pravobranitelju utvrdi povreda zakonodavstva SAD-a (uključujući povredu izvršnih naloga, predsjedničkih ukaza te pravila i postupaka agencija, kao što su npr. postupci ciljanja i ograničavanja prikupljanja na minimum koje je odobrio Sud za nadzor stranih obavještajnih službi), nezakonito prikupljeni podaci ukloniti iz svih vladinih baza podataka te da će se sva upućivanja na te podatke ukloniti iz obavještajnih izvješća. Stoga bi pojedinac u EU-u mogao ishoditi brisanje svojih osobnih podataka ako ih je američka obavještajna zajednica nezakonito prikupila i obradila.

Komisija pozdravlja ta dodatna objašnjenja, koja pokazuju kako se suradnjom različitih neovisnih nadzornih tijela jača učinkovitost mehanizma pravobranitelja. Bilo je važno i pojasniti da uporabom mehanizma pravobranitelja pojedinci u EU-u zapravo mogu ostvariti svoje pravo na brisanje podataka, što je temeljni element prava na zaštitu osobnih podataka.

3.ZAKLJUČAK

Informacijama prikupljenima u okviru trećega godišnjeg preispitivanja potvrđeni su Komisijini nalazi u odluci o primjerenosti, kako u pogledu komercijalnih aspekata okvira tako i u pogledu aspekata povezanih s pristupom javnih tijela osobnim podacima koji se prenose u okviru sustava zaštite privatnosti. U tom je pogledu Komisija primila na znanje niz poboljšanja u funkcioniranju okvira te imenovanja na pozicije u ključnim nadzornim tijelima.

Međutim, s obzirom na određena pitanja koja proizlaze iz svakodnevnog iskustva ili su postala relevantnija u kontekstu praktične provedbe okvira, Komisija zaključuje da je potrebno poduzeti niz konkretnih koraka kako bi se bolje zajamčilo učinkovito funkcioniranje sustava zaštite privatnosti u praksi:

1.Ministarstvo trgovine trebalo bi skratiti različite rokove koji se poduzećima propisuju za dovršetak postupka ponovne certifikacije. Razdoblje od ukupno najviše 30 dana činilo bi se razumnim kako bi se poduzećima omogućilo dovoljno vremena za ponovnu certifikaciju, uključujući za ispravljanje svih pitanja utvrđenih u postupku ponovne certifikacije, dok bi se istodobno zajamčila učinkovitost tog postupka. Ako po isteku tog razdoblja postupak ponovne certifikacije ne bude dovršen, Ministarstvo trgovine trebalo bi bez daljnje odgode poslati pismo upozorenja.