A BIZOTTSÁG (EU) 2016/1250 VÉGREHAJTÁSI HATÁROZATA

(2016. július 12.)

a 95/46/EK európai parlamenti és tanácsi irányelv alapján az EU–USA adatvédelmi pajzs által biztosított védelem megfelelőségéről

(az értesítés a C(2016) 4176. számú dokumentummal történt)

(EGT-vonatkozású szöveg)

AZ EURÓPAI BIZOTTSÁG,

tekintettel az Európai Unió működéséről szóló szerződésre,

tekintettel a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre (1) és különösen annak 25. cikke (6) bekezdésére,

Az európai adatvédelmi biztossal folytatott konzultációt követően (2),

1. BEVEZETÉS

2. AZ „EU–USA ADATVÉDELMI PAJZS”

2.1. Adatvédelmi elvek

A jogorvoslat, végrehajtás és felelősség elve (25) szerint a részt vevő szervezeteknek erőteljes mechanizmusokat kell biztosítaniuk ahhoz, hogy megfeleljenek az egyéb elveknek és fellebbezési lehetőséget – így hatékony jogorvoslatokat – biztosítsanak azoknak az uniós érintetteknek, akiknek a személyes adatait a megfelelés megsértésével kezelték. Ha egy szervezet önkéntesen az EU–USA adatvédelmi pajzs szerinti öntanúsítás (26) mellett dönt, az elvek tényleges betartása számára kötelező. Az ilyen szervezeteknek évente ismételten tanúsítaniuk kell a keretben való részvételüket, hogy továbbra is igénybe vehessék az adatvédelmi pajzsot az Unióból érkező személyes adatok fogadásához. A szervezeteknek intézkedéseket kell hozniuk annak ellenőrzésére is (27) , hogy közzétett adatvédelmi szabályzatuk összhangban áll az elvekkel és ténylegesen is megfelel azoknak. Ezt vagy önértékelési rendszer keretében tehetik meg, amelynek tartalmaznia kell az annak biztosítására irányuló eljárásokat, hogy az alkalmazottak képzésben részesüljenek a szervezet adatvédelmi szabályzatának végrehajtásáról, továbbá rendszeresen és objektíven felülvizsgálják a megfelelést, vagy pedig külső megfelelőségi felülvizsgálatok révén, amelyek módszerei közé tartozhatnak az ellenőrzések vagy a szúrópróbaszerű ellenőrzések. A szervezetnek ezenfelül hatékony jogorvoslati mechanizmust kell kialakítania a panaszok kezelésére (lásd még e tekintetben a (43) preambulumbekezdést). Az FTC-nek, a Közlekedési Minisztériumnak vagy más, erre feljogosított állami szervnek az adott szervezetre kiterjedő vizsgálati és jogérvényesítési hatáskörrel kell rendelkeznie, ami hatékonyan biztosítja az elvek betartását.

2.2. Az EU–USA adatvédelmi pajzs átláthatósága, igazgatása és felügyelete

Az Egyesült Államok Kereskedelmi Minisztériuma hivatalból ellenőrzi az adatvédelmi pajzsban való részvételre vonatkozó valamennyi hamis állítást vagy az adatvédelmi pajzs tanúsító védjegyének nem megfelelő használatát, továbbá az adatvédelmi hatóságok a Minisztérium szakosított kapcsolattartó pontjához utalhatják a szervezeteket felülvizsgálat céljából. Ha egy szervezet kilép az EU–USA adatvédelmi pajzsból, nem tesz ismételt tanúsítást vagy eltávolításra kerül az adatvédelmi pajzsban részt vevő szervezetek listájáról, az Egyesült Államok Kereskedelmi Minisztériuma folyamatosan ellenőrzi, hogy az adott szervezet törölte-e a közzétett adatvédelmi szabályzatából az adatvédelmi pajzsra történő összes olyan hivatkozást, amely a pajzsban való folyamatos részvételére enged következtetni, és ha a szervezet továbbra is hamis állításokat tesz, az FTC, az Egyesült Államok Közlekedési Minisztériuma vagy egyéb illetékes hatóság elé utalja az ügyet esetleges jogérvényesítési intézkedés céljából. A Minisztérium továbbá kérdőíveket küld azoknak az szervezeteknek, amelyeknek az öntanúsítása lejár vagy amelyek önként kiléptek az EU–USA adatvédelmi pajzsból, annak ellenőrzése céljából, hogy az adott szervezet visszaküldi vagy törli az EU–USA adatvédelmi pajzsban való részvétele során kapott személyes adatokat, vagy továbbra is alkalmazza azokra az adatvédelmi elveket, és ha a személyes adatokat meg kell őrizni, ellenőrzi, hogy a szervezeten belül ki/mely szerv látja el az adatvédelmi pajzzsal kapcsolatos kérdések megválaszolására szolgáló folyamatos kapcsolattartó pont szerepét.

2.3. Jogorvoslati mechanizmusok, panaszkezelés és jogérvényesítés

A szervezetek az Unióban vagy az Egyesült Államokban található független jogorvoslati mechanizmusokat választhatják, így arra is lehetőségük van, hogy önként vállalják az együttműködést az uniós adatvédelmi hatóságokkal. Nincs azonban a szervezeteknek ilyen választási lehetőségük, ha humánerőforrás-adatokat dolgoznak fel, mivel ilyenkor kötelező együttműködniük az adatvédelmi hatóságokkal. A további alternatívák közé tartoznak a független, alternatív vitarendezés vagy azok a magánszektorban kidolgozott adatvédelmi programok, amelyek az adatvédelmi elveket beépítik a szabályozásukba. Az utóbbiaknak hatékony jogérvényesítési mechanizmusokat kell tartalmazniuk a jogorvoslat, végrehajtás és felelősség elve követelményeinek megfelelően. A szervezetek kötelesek orvosolni a megfelelés hiányával kapcsolatos valamennyi problémát. Azt is rögzíteniük kell, hogy az FTC, a Közlekedési Minisztérium vagy bármely más, erre feljogosított egyesült államokbeli állami szerv vizsgálati és jogérvényesítési hatáskörébe tartoznak.

Következtetésképpen az adatvédelmi pajzs kerete számos lehetőséget kínál az érintetteknek, hogy érvényesítsék a jogaikat, panaszt nyújtsanak be az egyesült államokbeli öntanúsított vállalatok megfelelésének hiányával kapcsolatban, továbbá hogy szükség esetén hatékony jogorvoslatot biztosító határozatokkal kényszerítsék ki e panaszok rendezését. Az egyének közvetlenül a szervezethez, a szervezet által kijelölt független vitarendezési szervhez, a nemzeti adatvédelmi hatóságokhoz vagy az FTC-hez nyújthatják be panaszukat.

Azokban az esetben, amikor a szervezet nem tesz eleget a vitarendezési vagy önszabályozási szerv döntésének, az utóbbinak értesítenie kell a teljesítés elmulasztásáról az Egyesült Államok Kereskedelmi Minisztériumát és az FTC-t (vagy a tisztességtelen és megtévesztő gyakorlatok kivizsgálására hatáskörrel rendelkező más amerikai hatóságot) vagy az illetékes bíróságot (41) . Ha a szervezet elutasítja valamely adatvédelmi önszabályozó, független vitarendezési vagy kormányzati szerv végleges határozatának teljesítését, vagy egy ilyen szerv megállapítja, hogy a szervezet gyakran nem tartja be az elveket, ezt a teljesítés tartós elmulasztásának fogják tekinteni, aminek következtében a Kereskedelmi Minisztérium először 30 napos határidőt tűz ki és lehetőséget ad a teljesítést elmulasztó szervezetnek a válaszadásra, majd törli a szervezetet a listáról (42) . Ha a listáról való törlést követően a szervezet továbbra is az adatvédelmi pajzs szerinti tanúsítványra vonatkozó állítást tesz, a Kereskedelmi Minisztérium az FTC vagy más jogérvényesítési ügynökség elé utalja az ügyet (43) .

Az egyének még akkor is az adatvédelmi hatóságok elé terjeszthetik panaszaikat, ha nem az adatvédelmi hatóságok testületét jelölték ki a szervezet vitarendezési szerveként. Ilyen esetekben az adatvédelmi hatóság a Kereskedelmi Minisztérium vagy az FTC elé utalhatja e panaszokat. Az egyéni panaszokkal és az adatvédelmi pajzsban részt vevő szervezetek nemteljesítésével kapcsolatos ügyekben történő együttműködés megkönnyítése és fokozása érdekében az Egyesült Államok Kereskedelmi Minisztériuma e célra kialakított kapcsolattartó pontot hoz létre, hogy az összekötőként járjon el és segítséget nyújtson az adatvédelmi hatóságnak egy adott szervezet elveknek való megfelelésével kapcsolatos vizsgálatai tekintetében (45) . Az FTC hasonlóan vállalta, hogy e célra létrehoz egy külön kapcsolattartó pontot (46) , és az U.S. SAFE WEB (Biztonságos web) törvény (47) alapján vizsgálati segítséget nyújt az adatvédelmi hatóságok számára.

3. AZ EGYESÜLT ÁLLAMOK HATÓSÁGAINAK HOZZÁFÉRÉSE AZ EU–USA ADATVÉDELMI PAJZS ALAPJÁN TOVÁBBÍTOTT SZEMÉLYES ADATOKHOZ, ÉS AZOK ÁLTALUK TÖRTÉNŐ FELHASZNÁLÁSA

3.1. Az amerikai hatóságok nemzetbiztonsági célokból történő adathozzáférése és -használata

3.1.1. Korlátozások

Az Egyesült Államok Alkotmánya értelmében a nemzetbiztonság biztosítása az elnök hatásköre főparancsnoki és államfői minőségében, a külföldi hírszerzés vonatkozásában pedig az Egyesült Államok külpolitikájának irányítójaként (58) . Bár a Kongresszus hatásköre, hogy korlátozásokat állapítson meg, és ezt sokféle tekintetben meg is tette, e határok között az elnök irányíthatja az Egyesült Államok hírszerzésének tevékenységét elsősorban elnöki rendeletek és irányelvek révén. Ez természetesen azokra a területekre is vonatkozik, ahol nincs kongresszusi iránymutatás. Jelenleg a két központi jogi eszköz e tekintetben az 12333. sz. elnöki rendelet (59) és a 28. sz. elnöki politikai irányelv.

A PPD-28 előírja, hogy jelfelderítési adatok gyűjtése kizárólag nemzeti vagy minisztériumi megbízatás támogatására irányuló külföldi hírszerzési vagy kémelhárítási célból végezhető, nem pedig bármely egyéb célból (például azért, hogy versenyelőnyt biztosítsanak az Egyesült Államok vállalatainak). E tekintetben az ODNI kifejti, hogy a hírszerzési szervezeti egységeknek „elő kell írniuk, hogy amennyiben az a gyakorlatban megvalósítható, az adatgyűjtést konkrét külföldi hírszerzési célpontokra vagy témakörökre kell koncentrálni, diszkriminánsok (pl. konkrét létesítmények, kiválasztási kritériumok és azonosítók) révén.” (63) A nyilatkozatok továbbá biztosítékot nyújtanak arra, hogy a hírszerzési információgyűjtéssel kapcsolatos döntéseket nem bízzák az egyes hírszerzők mérlegelésére, hanem olyan politikák és eljárások hatálya alá tartoznak, amelyeket az Egyesült Államok hírszerzésének különböző szervezetei (az ügynökségek) kötelesek kialakítani a PPD-28 végrehajtása céljából (64) . Ennek megfelelően a megfelelő kiválasztási tényezők kutatása és meghatározása az általános „nemzeti hírszerzési prioritási keretben” (NIPF) történik, amely gondoskodik arról, hogy magas szintű politikai döntéshozók tűzzék ki a hírszerzési prioritásokat, és rendszeresen felülvizsgálják azokat, hogy továbbra is reagáljanak a tényleges nemzetbiztonsági fenyegetésekre és figyelembe vegyék az esetleges kockázatokat, többek között azokat, amelyek az adatvédelmet érintik (65) . A fentiek alapján az ügynökség személyzete kutatja fel és határozza meg azokat a konkrét kiválasztási kritériumokat, amelyek alapján várhatóan a prioritásoknak megfelelő külföldi hírszerzési értesüléseket gyűjtenek (66) . A kiválasztási kritériumokat vagy „kiválasztási tényezőket” rendszeresen felül kell vizsgálni, hogy megbizonyosodjanak arról, hogy azok továbbra is a prioritásoknak megfelelő, értékes hírszerzési adatokat szolgáltatnak-e (67) .

3.1.2. Hatékony jogvédelem

Felügyelet

Amint az Egyesült Államok kormánya kifejtette (103) , felügyeleti feladatkörrel megbízott polgári szabadságjogi és adatvédelmi tisztségviselők dolgoznak a különböző, hírszerzési felelősségi körrel rendelkező minisztériumokban és a hírszerző ügynökségeknél (104) . Bár az említett tisztségviselők konkrét hatásköre a felhatalmazó törvénytől függően némileg eltér egymástól, általában felöleli az eljárások felügyeletét annak érdekében, hogy a megfelelő minisztérium/ügynökség megfelelően figyelembe vegye az adatvédelmi és polgári szabadságjogi megfontolásokat, valamint megfelelő eljárásokat alakítson ki az olyan egyénektől érkező panaszok kezelésére, akik úgy vélik, hogy megsértették az adatvédelemhez fűződő vagy polgári szabadságjogaikat (és egyes esetekben, például az ODNI esetében, hatáskörük a panaszok kivizsgálására is kiterjedhet (105) ). A minisztérium/ügynökség vezetője pedig gondoskodik arról, hogy a tisztségviselő hozzájusson valamennyi információhoz, és betekinthessen a feladatai ellátásához szükséges minden anyagba. A polgári szabadságjogi és adatvédelmi tisztségviselők időszakonként beszámolnak a Kongresszusnak és a PCLOB-nak többek között a minisztériumhoz/ügynökséghez beérkezett panaszok számáról és jellegéről, valamint az ilyen panaszok rendezésének összefoglalásáról, a tisztviselő által lefolytatott felülvizsgálatokról és vizsgálatokról és az általa végzett tevékenység hatásáról (106) . A nemzeti adatvédelmi hatóságok értékelése szerint a polgári szabadságjogi és adatvédelmi tisztségviselők által gyakorolt belső felügyelet „elég szilárdnak” tekinthető, még ha álláspontjuk szerint nem is teljesíti a függetlenség szükséges szintjét (107) .

Az utóbbi törvények kibővítették és pontosították a beszámolási kötelezettségeket a hírszerzési szervezeti egységek, az érintett főellenőrök és a legfőbb ügyész tekintetében egyaránt. Például a FISA előírja, hogy a legfőbb ügyész „maradéktalanul tájékoztatja” a Szenátus és a Képviselőház hírszerzési és igazságügyi bizottságait a FISA bizonyos szakaszain alapuló kormányzati tevékenységekről (126) . Kötelezi továbbá a kormányt, hogy juttassa el a kongresszusi bizottságokhoz „a külföldi hírszerzési tevékenységek megfigyelésével foglalkozó bíróság, illetve a külföldi hírszerzési tevékenységek megfigyelésével foglalkozó fellebbviteli bíróság valamennyi olyan határozatának, végzésének vagy véleményének másolatát, amely kiterjed” a FISA-rendelkezések jelentős „kiegészítésére vagy értelmezésére”. Mindenekelőtt ami a FISA 702. szakasza alapján történő megfigyelést illeti, a felügyeletet a Hírszerzési és Igazságügyi Bizottságoknak szóló, törvényileg előírt jelentések, valamint gyakori tájékoztatók és meghallgatások útján gyakorolják. Ezek közé tartozik a legfőbb ügyésznek a FISA 702. szakaszának alkalmazását ismertető féléves jelentése, amelyet igazoló dokumentumok – többek között az Igazságügyi Minisztérium és az ODNI megfelelőségi jelentései és a megfelelés hiányával kapcsolatos bármely esemény leírása (127) – kísérnek, valamint a legfőbb ügyész és a DNI külön féléves jelentése, amely dokumentálja a célzottá tételre és az adatminimalizációra vonatkozó eljárások betartását, ideértve azon eljárások követését is, amelyek célja annak biztosítása, hogy az adatgyűjtés érvényes hírszerzési célokra irányuljon (128) . A Kongresszus számára jelentést tesznek a főellenőrök is, akik jogosultak annak értékelésére, hogy az ügynökségek betartják-e a célzottá tételre és az adatminimalizációra vonatkozó eljárásokat és a legfőbb ügyész iránymutatásait.

Ezzel ellentétben a FISA 702. szakasza (144) alapján a FISC nem egyéni megfigyelési intézkedéseket, hanem megfigyelési programokat (mint a PRISM, UPSTREAM), engedélyez a legfőbb ügyész és a nemzeti hírszerzési igazgató által készített éves tanúsítványok alapján. A FISA 702. szakasza külföldi hírszerzési információk szerzése céljából lehetővé teszi olyan személyek célba vételét, akikről megalapozottan feltételezhető, hogy az Egyesült Államokon kívül tartózkodnak (145) . Az ilyen célmegjelölést az NSA az alábbi két lépésben végzi: Először az NSA elemzői azonosítják azt a külföldön tartózkodó nem amerikai célszemélyt, akinek a megfigyelése az elemzők értékelése alapján elvezet a tanúsítványban meghatározott, releváns külföldi hírszerzési információkhoz. Másodsorban, miután azonosították a szóban forgó, egyénileg megjelölt személyeket, és az NSA-n (146) belüli, kiterjedt felülvizsgálati mechanizmus jóváhagyta a célmegjelölést, „rádolgoznak” a célszemély által használt kommunikációs eszközöket (például e-mail címeket) azonosító, kiválasztási tényezőkre (vagyis kidolgozzák és alkalmazzák azokat) (147) . Amint jeleztük, a FISC által jóváhagyott tanúsítványok nem tartalmaznak információkat a célba vett egyes egyének tekintetében, hanem a külföldi hírszerzési információk kategóriáit határozzák meg (148) . Bár a FISC nem értékeli – a valószínű ok vagy bármely más standard alapján –, hogy az egyéneket megfelelően veszik-e célba a külföldi hírszerzési információk megszerzéséhez, (149) a bíróság felügyelete kiterjed annak a feltételnek az ellenőrzésére, hogy „az adatszerzés jelentős célja külföldi hírszerzési információk megszerzése” (150) . Ugyanis a FISA 702. szakasza alapján az NSA kizárólag akkor gyűjtheti az Egyesült Államokon kívüli, nem amerikai személyek kommunikációját, ha megalapozottan feltételezhető, hogy az adott kommunikációs eszközt külföldi hírszerzési információk közlésére használják (pl. a nemzetközi terrorizmussal, nukleáris proliferációval vagy ellenséges kibertevékenységgel kapcsolatosan). Ennek megállapítása bírósági felülvizsgálat hatálya alá tartozik (151) . A tanúsítványoknak a célzottá tételre és az adatminimalizációra vonatkozó eljárásokat is biztosítaniuk kell (152) . A legfőbb ügyész és a nemzeti hírszerzés igazgatója ellenőrzi a megfelelést és az ügynökségek kötelesek bármely megfelelés hiányára utaló eseményt bejelenteni a FISC-nek (153) (valamint a Kongresszusnak és az Elnöki Hírszerzési Felügyeleti Testületnek), amely ennek alapján módosíthatja az engedélyezést (154) .

Egyéni jogorvoslatok

Először is a külföldi hírszerzői tevékenység megfigyeléséről szóló törvény több olyan jogorvoslatot biztosít a jogellenes elektronikus megfigyelés megtámadására, amelyek a nem amerikai személyek számára is rendelkezésre állnak (158) . Ez kiterjed az egyének azon lehetőségére, hogy pénzbeli kártérítés iránti polgári jogi keresetet indítsanak az Egyesült Államok ellen, amennyiben jogellenesen és szándékosan használták vagy hozták nyilvánosságra a velük kapcsolatos információkat (159) ; hogy magánszemélyi minőségükben pénzbeli kártérítés iránti keresetet indítsanak az Egyesült Államok kormányzati tisztviselőivel szemben (hivatali visszaélés) (160) ; továbbá hogy vitassák a megfigyelés jogszerűségét (és az információk törlését követeljék) abban az esetben, ha az Egyesült Államok kormánya az elektronikus megfigyelés során megszerzett vagy abból származó bármely információt szándékozik felhasználni vagy nyilvánosságra hozni az adott személlyel szemben, az Egyesült Államokban zajló bírósági vagy közigazgatási eljárások során (161) .

Jóllehet az egyéneknek – köztük az uniós érintetteknek – tehát számos jogorvoslati lehetőség áll a rendelkezésére, ha nemzetbiztonsági célú, jogellenes (elektronikus) megfigyelést folytatnak velük szemben, az is egyértelmű, hogy e jogorvoslati lehetőségek nem terjednek ki legalább néhány olyan jogalapra (pl. az 12333. elnöki rendeletre), amelyet az Egyesült Államok hírszerzési hatóságai igénybe vehetnek. Ezenfelül, még ha elvben léteznek is bírósági jogorvoslati lehetőségek a nem amerikai személyek számára, például a FISA alapján végzett megfigyelés esetében, a rendelkezésre álló kereseti jogcímek korlátozottak (169) , és az egyének (köztük az amerikai személyek) által indított kereseteket elfogadhatatlannak nyilvánítják, amennyiben nem tudnak olyan „perképességet” (170) igazolni, amely korlátozza a rendes bíróságokhoz fordulást (171) .

Először is, egy tisztán kormányközi mechanizmustól eltérően az adatvédelmi pajzs ombudsmanja átveszi és megválaszolja az egyéni panaszokat. E panaszok elküldetők a nemzeti biztonsági szolgálatok és/vagy a hatóságok általi személyesadat-kezelés felügyeletére hatáskörrel rendelkező tagállami felügyeleti hatóságoknak, amelyek benyújtják azokat egy központosított uniós szervnek, amely eljuttatja a panaszokat az adatvédelmi pajzs ombudsmanjának (173) . Ez valóban hasznos lesz az uniós egyéneknek, akik az „otthonukhoz közeli” nemzeti hatóságokhoz fordulhatnak a saját nyelvükön. E hatóság feladat lesz, hogy támogatást nyújtson az egyéneknek ahhoz, hogy olyan kérelmet nyújtsanak be az adatvédelmi pajzs ombudsmanjának, amely tartalmazza az alapvető információkat és így „hiánytalannak” tekinthető. Az egyéneknek nem kell bizonyítaniuk, hogy az Egyesült Államok kormánya jelfelderítési tevékenységek keretében valóban hozzáfért a személyes adataikhoz.

3.2. Az amerikai hatóságok bűnüldözési és közérdekű célokból történő adathozzáférése és -használata

4. MEGFELELŐ SZINTŰ VÉDELEM AZ EU–USA ADATVÉDELMI PAJZS ALAPJÁN

5. AZ ADATVÉDELMI HATÓSÁGOK FELLÉPÉSE ÉS A BIZOTTSÁGNAK NYÚJTOTT TÁJÉKOZTATÁS

6. A MEGFELELŐSÉGI MEGÁLLAPÍTÁS IDŐSZAKOS FELÜLVIZSGÁLATA

A Bizottság ezért továbbra is folyamatosan nyomon követi az EU–USA adatvédelmi pajzzsal létrehozott, személyes adatok továbbítására szolgáló átfogó keretet, valamint azt, hogy az Egyesült Államok hatóságai eleget tesznek-e az e határozathoz csatolt nyilatkozatoknak és kötelezettségvállalásoknak. Ezen eljárás elősegítése érdekében az Egyesült Államok kötelezettséget vállalat arra, hogy tájékoztatja a Bizottságot az USA jogában bekövetkező lényeges fejleményekről, amennyiben azok relevánsak az adatvédelmi pajzs szempontjából az adatvédelem, valamint a hatóságok személyes adatokhoz való hozzáférésére vonatkozó korlátozások és biztosítékok terén. Továbbá e határozat vonatkozásában éves közös felülvizsgálatra kerül sor, amely az EU–USA adatvédelmi pajzs működésének minden elemét lefedi, ideértve az elvek alóli nemzetbiztonsági és bűnüldözési kivételek működését is. Ezenfelül az általános adatvédelmi rendelet hatálybalépését követően a Bizottság megvizsgálja majd az adatvédelmi pajzs által biztosított védelem szintjét, ugyanis az uniós jog jogi fejleményei szintén befolyásolhatják a megfelelőségre vonatkozó megállapítást.

7. A MEGFELELŐSÉGI HATÁROZAT FELFÜGGESZTÉSE

ELFOGADTA EZT A HATÁROZATOT:

1. cikk

(1) A 95/46/EK irányelv 25. cikke (2) bekezdésének alkalmazásában az Egyesült Államok megfelelő szintű védelmet biztosít az EU–USA adatvédelmi pajzs keretében az Unióból az egyesült államokbeli szervezetekhez továbbított személyes adatok tekintetében.

(2) Az EU–USA adatvédelmi pajzsot az Egyesült Államok Kereskedelmi minisztériuma által 2016. július 7-én kibocsátott, a II. mellékletben ismertetett elvek, valamint az I. és a III–VII. mellékletben felsorolt dokumentumokban foglalt hivatalos nyilatkozatok és kötelezettségvállalások alkotják.

(3) Az (1) bekezdés alkalmazásában a személyes adatok az EU–USA adatvédelmi pajzs keretében kerülnek továbbításra, amennyiben az Unióból egy olyan egyesült államokbeli szervezethez továbbítják azokat, amelyet – a II. mellékletben ismertetett elvek I. és III. szakaszának megfelelően – felvettek az „adatvédelmi pajzsban részt vevő szervezetek listájára”, amelyet az Egyesült Államok Kereskedelmi Minisztériuma vezet és a nyilvánosság számára hozzáférhetővé tesz.

2. cikk

E határozat nem érinti a 95/46/EK irányelvnek a 25. cikk (1) bekezdésétől eltérő azon rendelkezéseinek, különösen (4) cikkének alkalmazását, amelyek a személyes adatok tagállamokon belüli kezelésére vonatkoznak.

3. cikk

Ha a tagállamok hatáskörrel rendelkező hatóságait a 95/46/EK irányelv 28. cikkének (3) bekezdése alapján megillető jogkör gyakorlása egy olyan egyesült államokbeli szervezethez irányuló adatáramlás felfüggesztéséhez vagy végleges tilalmához vezet, amelyet a II. mellékletben ismertetett elvek I. és III. szakaszának megfelelően az egyének személyes adataik kezelése tekintetében történő védelme érdekében felvettek az adatvédelmi pajzsban részt vevő szervezetek listájára, az érintett tagállam haladéktalanul tájékoztatja erről a Bizottságot.

4. cikk

(1) A Bizottság folyamatosan figyelemmel kíséri az EU–USA adatvédelmi pajzs működését annak vizsgálata céljából, hogy az Egyesült Államok továbbra is megfelelő védelmet biztosít-e az annak alapján az Unióból az egyesült államokbeli szervezetekhez továbbított személyes adatok tekintetében.

(2) A tagállamok és a Bizottság tájékoztatják egymást az olyan esetekről, amikor úgy látszik, hogy a II. mellékletben ismertetett elvek teljesítésének kikényszerítésére törvényi hatáskörrel rendelkező egyesült államokbeli kormányzati szervek nem biztosítanak olyan hatékony felderítési és felügyeleti mechanizmusokat, amely a lehetővé tennék az elvek megsértéseinek gyakorlati azonosítását és szankcionálását.

(3) A tagállamok és a Bizottság tájékoztatják egymást bármely arra utaló körülményről, hogy az Egyesült Államok felelős hatóságainak az egyének személyes adataik védelméhez fűződő jogába történő nemzetbiztonsági, bűnüldözési vagy egyéb közérdekű célú beavatkozása túllépi a feltétlenül szükséges mértéket és/vagy nem létezik hatékony jogvédelem az ilyen beavatkozásokkal szemben.

(4) A Bizottság az ezen határozatról a tagállamoknak küldött értesítés időpontjától számított egy éven belül és azt követően évente értékeli az 1. cikk (1) bekezdésébe foglalt megállapítást az összes rendelkezésre álló információ alapján, ideértve az I., II. és VI. mellékletben említett éves közös felülvizsgálat részeként kapott információkat.

(5) A Bizottság jelentést tesz bármely vonatkozó megállapításról a 95/46/EK irányelv 31. cikke alapján létrehozott bizottságnak.

(6) A Bizottság a 95/46/EK irányelv 31. cikkének (2) bekezdésében említett eljárásnak megfelelően intézkedéstervezeteket nyújt be e határozat felfüggesztése, módosítása, visszavonása vagy hatályának korlátozása céljából többek között akkor, ha az alábbiakra utaló jelek mutatkoznak:

A Bizottság ilyen intézkedéstervezeteket terjeszt elő továbbá, ha az EU–USA adatvédelmi pajzs működésének biztosításában részt vevő egyesült államokbeli szervek együttműködésének hiánya megakadályozza a Bizottságot annak megállapításában, hogy érinti-e bármely tényező az 1. cikk (1) bekezdésében foglalt megállapítást.

5. cikk

A tagállamok megtesznek minden, az e határozatnak való megfeleléshez szükséges intézkedést.

6. cikk

Ennek a határozatnak a tagállamok a címzettjei.

(1) HL L 281., 1995.11.23., 31. o.

(2) Lásd: 4/2016. sz. vélemény az EU–USA adatvédelmi pajzs megfelelőségéről szóló határozattervezetről, közzététel: 2016. május 30.

(3) A C-362/14. sz., Maximillian Schrems kontra adatvédelmi biztos („Schrems-ügy”) ügyben hozott ítélet (EU:C:2015:650) 39. pontja.

(4) A C-553/07. sz., Rijkeboer-ügyben hozott ítélet (EU:C:2009:293) 47. pontja; a C-293/12. és C-594/12. sz., Digital Rights Ireland és társai egyesített ügyekben hozott ítélet (EU:C:2014:238) 53. pontja; a C-131/12. sz., Google Spain and Google ügyben hozott ítélet (EU:C:2014:317) 53., 66. és 74. pontja.

(5) A Bizottság 2000. július 26-i 2000/520/EK határozata a 95/46/EK európai parlamenti és tanácsi irányelv alapján, az Egyesült Államok Kereskedelmi Minisztériuma által kiadott „biztonságos kikötő” adatvédelmi elvek által biztosított védelem megfelelőségéről és az ezzel kapcsolatos gyakran felvetődő kérdésekről (HL L 215., 2000.8.28., 7. o.).

(6) A Bizottság közleménye az Európai Parlamentnek és a Tanácsnak – A bizalom helyreállítása az EU-USA adatáramlások tekintetében, COM(2013) 846 final, 2013. november 27.

(7) A Bizottság közleménye az Európai Parlamentnek és a Tanácsnak – A védett adatkikötő működése az uniós polgárok és az EU-ban letelepedett vállalatok szempontjából, COM(2013) 847 final, 2013. november 27.

(8) Lásd pl. Az Európai Unió Tanácsa, Az információcserével, valamint a magánélet és a személyes adatok védelmével foglalkozó EU–USA magas szintű kapcsolattartó csoport végső jelentése, 9831/08. sz. közlemény, 2008. május 28., az alábbi internetcímen érhető el: http://www.europarl.europa.eu/document/activities/cont/201010/20101019ATT88359/20101019ATT88359EN.pdf.

(9) Az EU-USA eseti munkacsoport uniós társelnökeinek adatvédelmi megállapításairól szóló, 2013. november 27-i jelentés, az alábbi internetcímen érhető el: http://ec.europa.eu/justice/data-protection/files/report-findings-of-the-ad-hoc-eu-us-working-group-on-data-protection.pdf.

(10) Lásd a 3. lábjegyzetet.

(11) Schrems-ügy, 97. pont.

(12) Schrems-ügy, 73–74. pont.

(13) Schrems-ügy, 88–89. pont.

(14) Lásd a II. melléklet III. szakasza 10. pontjának a. alpontját. Az I. szakasz 8. pontjának c. alpontjába foglalt fogalommeghatározásnak megfelelően az uniós adatkezelő meghatározza a személyes adatok kezelésének célját és eszközeit. Ezenfelül a megbízottal kötött szerződésnek egyértelművé kell tennie, hogy a harmadik fél részére történő adattovábbítás engedélyezett-e (lásd a III. szakasz 10. pontja a. pontja ii. alpontjának 2. pontját).

(15) Ez az Unióból továbbított – munkaviszonnyal kapcsolatos – humánerőforrás-adatokra is vonatkozik. Jóllehet az elvek hangsúlyozzák az uniós munkáltató „elsődleges felelősségét” (lásd a II. melléklet III. szakasza 9. pontja d. alpontjának i. pontját), ugyanakkor világossá teszik, hogy annak magatartása az Unióban és/vagy az érintett tagállamban alkalmazandó szabályok, nem pedig az elvek hatálya alá tartozik. Lásd a II. melléklet III. szakasza 9. pontja a. alpontjának i. pontját, b. alpontjának ii. pontját, c. alpontjának i. pontját és d. alpontjának i. pontját.

(16) Ez arra az adatkezelésre is vonatkozik, amelyre az Unión belül található olyan berendezés segítségével kerül sor, amelyet azonban az Unió területén kívül letelepedett szervezet használ (lásd a 95/46/EK irányelv 4. cikke (1) bekezdésének c) pontját). 2018. május 25-től az általános adatvédelmi rendeletet kell alkalmazni a személyes adatoknak i. az Unióban tevékenységi hellyel rendelkező adatkezelők vagy adatfeldolgozók tevékenységeivel összefüggésben végzett kezelésére (még ha az adatkezelés az Egyesült Államok területén történik is), vagy ii. Unióban tartózkodó érintettek személyes adatainak az Unióban tevékenységi hellyel nem rendelkező adatkezelő vagy adatfeldolgozó által végzett kezelésére, ha az adatkezelési tevékenységek: a) áruknak vagy szolgáltatásoknak az Unióban tartózkodó érintettek számára történő nyújtásához kapcsolódnak, függetlenül attól, hogy az érintettnek fizetnie kell-e azokért; vagy b) az érintettek viselkedésének megfigyeléséhez kapcsolódnak, feltéve, hogy az Unión belül tanúsított viselkedésükről van szó. Lásd a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) szóló, 2016. április 27-i (EU) 2016/679 rendelet (HL L 119., 2016.5.4., 1. o.) 3. cikkének (1) és (2) bekezdését.

(17) E határozat EGT-vonatkozású. Az Európai Gazdasági Térségről szóló megállapodás (EGT-megállapodás) az Európai Unió belső piacát kierjeszti a három EGT-államra: Izlandra, Liechtensteinre és Norvégiára. Az uniós adatvédelmi jogszabályok, így a 95/46/EK irányelv az EGT-megállapodás hatálya alá tartoznak, és az említett jogszabályokat beépítették annak XI. mellékletébe. Az EGT Vegyes Bizottságnak kell döntenie arról, hogy e határozatot beépítik az EGT-megállapodásba. Amint e határozat Izlandra, Liechtensteinre és Norvégiára is alkalmazandóvá válik, az EU–USA adatvédelmi pajzs ezekre az országokra is ki fog terjedni, és az adatvédelmi pajzsra vonatkozó csomagban foglalt, az EU-ra és annak tagállamaira vonatkozó hivatkozásokat úgy kell értelmezni, hogy azok Izlandot, Liechtensteint és Norvégiát is magukba foglalják.

(18) Lásd a II. melléklet III. szakasza 6. pontjának e. alpontját.

(19) További biztosítékokat nyújtanak az adatvédelmi elvek og„humánerőforrás-adatokra” vonatkozó kiegészítő elvében megállapított különös szabályok, amelyek a munkaviszonnyal kapcsolatosan gyűjtött humánerőforrás-adatokra vonatkoznak (lásd a II. melléklet III. szakaszának 9. pontját). Például a munkáltatóknak a személyes adatokhoz való hozzáférés korlátozása, bizonyos adatok anonimizálása, illetve kódok vagy álnevek hozzárendelése révén igazodniuk kell az alkalmazottak adatvédelmi preferenciáihoz. A szervezetek az ilyen adatok tekintetében mindenekelőtt kötelesek együttműködni az Unió adatvédelmi hatóságaival, és követni azok ajánlásait.

(20) Ez az adatvédelmi pajzs alapján történő valamennyi adattovábbításra vonatkozik, így akkor is alkalmazandó, amikor ezek munkaviszony keretében gyűjtött adatokat érintenek. Bár az öntanúsított amerikai szervezetek főszabály szerint eltérő, nem munkaviszonnyal kapcsolatos (pl. bizonyos marketingkommunikációs) célokra felhasználhatnak humánerőforrás-adatokat, tiszteletben kell tartaniuk az összeegyeztethetetlen adatkezelés tilalmát, és ezenfelül csupán a tájékoztatás és a választási lehetőség elveivel összhangban tehetik meg ezt. Az e választási lehetőséggel élő alkalmazottal szembeni megtorló intézkedések meghozatalának – így a foglalkoztatási lehetőségek korlátozásának – az amerikai szervezetre vonatkozó tilalma biztosítani fogja, hogy az alá-fölérendeltségi viszony és az ahhoz szervesen hozzátartozó függőség ellenére az alkalmazott ne kerüljön nyomás alá és így valóban szabadon gyakorolhassa döntési jogát.

(21) Lásd a II. melléklet III. szakaszának 12. pontját.

(22) Lásd még a „hozzáférés” kiegészítő elvet (a II. melléklet III. szakaszának 8. pontja).

(23) Lásd pl. az egyenlő hitellehetőségről szóló törvényt (ECOA, 15 U.S.C. 1691 és azt követő szakaszai), a méltányos hitelminősítésről szóló törvényt (FRCA, 15 USC § 1681 és azt követő szakaszai), vagy a méltányos lakhatásról szóló törvényt (42 U.S.C. 3601 és azt követő szakaszai).

(24) Az EU-n belül gyűjtött személyes adatok továbbítása keretében az egyénekhez kapcsolódó szerződéses jogviszony a legtöbb esetben az uniós adatvédelmi szabályok hatálya alá tartozó uniós adatkezelőhöz fűződik, és ezért általában ő fogja meghoznia az automatikus adatkezelésen alapuló döntéseket is. Ez azokra a forgatókönyvekre is kiterjed, amikor az uniós adatkezelő nevében megbízottként eljáró adatvédelmi pajzs szervezet végzi az adatkezelést.

(25) Lásd továbbá a „vitarendezés és végrehajtás” kiegészítő elvet (a II. melléklet III. szakaszának 11. pontja).

(26) Lásd továbbá az „öntanúsítás” kiegészítő elvet (a II. melléklet III. szakaszának 6. pontja).

(27) Lásd továbbá az „ellenőrzés” kiegészítő elvet (a II. melléklet III. szakaszának 7. pontja).

(28) Lásd továbbá a „harmadik fél részére történő adattovábbításra vonatkozó kötelező szerződések” elnevezésű kiegészítő elvet (a II. melléklet III. szakaszának 10. pontja).

(29) Lásd a „harmadik fél részére történő adattovábbításra vonatkozó kötelező szerződések” elnevezésű kiegészítő elvet (a II. melléklet III. szakasza 10. pontjának b. alpontja). Bár ez az elv lehetővé teszi a nem szerződéses eszközökön (pl. vállalaton belüli megfelelőségi és ellenőrzési programokon) alapuló továbbításokat is, a szöveg egyértelművé teszi, hogy ezek az eszközök minden esetben kötelezően „biztosítják a személyes adatok védelmének a folytonosságát”. Továbbá tekintettel arra, hogy az öntanúsított amerikai vállalat változatlanul felelős lesz az elvek betartásáért, erős ösztönzést kap ahhoz, hogy olyan eszközöket alkalmazzon, amelyek valóban hatékonyak a gyakorlatban.

(30) Lásd a II. melléklet I. szakaszának 5. pontját.

(31) Az egyének nem rendelkeznek majd kívülmaradási joggal, ha a személyes adatokat olyan harmadik félnek továbbítják, amely megbízottként jár el az egyesült államokbeli szervezet nevében és utasításai alapján. Ehhez azonban szerződére van szükség a megbízott, valamint az egyesült államokbeli szervezet között, amely felelősséget fog viselni azért, hogy utasítási jogkörélve élve garantálja az elvek szerint biztosított védintézkedéseket.

(32) A helyzet eltérő attól függően, hogy a harmadik fél adatkezelő vagy adatfeldolgozó-e (megbízott). Az első esetben a harmadik féllel kötött szerződésben elő kell írni, hogy a harmadik fél megszünteti a kezelést vagy egyéb ésszerű és megfelelő lépéseket tesz a helyzet orvoslására. A második esetben az adatvédelmi pajzs szervezetének – amely az általa adott utasítások alapján ellenőrzi a megbízott által végzett kezelést – feladata, hogy intézkedéseket hozzon.

(33) Ilyen esetben az egyesült államokbeli szervezetnek szintén ésszerű és megfelelő lépéseket kell tennie i. annak biztosítására, hogy a megbízott ténylegesen olyan módon kezelje a továbbított személyes adatokat, amely összhangban van a szervezetet az elvek alapján terhelő kötelezettségekkel, valamint ii. azért, hogy az értesítést követően megszüntesse az engedély nélküli kezelést és helyreállítsa a korábbi helyzetet.

(34) Az adatvédelmi pajzsban részt vevő szervezetek listájának kezelésével kapcsolatos információk az I. és II. mellékletben (az I. szakasz 3. pontja, az I. szakasz 4. pontja, a III. szakasz 6. pontjának d. alpontja és a III. szakasz 11. pontjának g. alpontja) találhatók.

(35) Lásd pl. a II. melléklet I. szakaszának 3. pontját, III. szakasza 6. pontjának f. alpontját és III. szakasza 11. pontja g. alpontjának i. pontját.

(36) Lásd az I. melléklet „Hamis részvételi nyilatkozatok keresése és kezelése” című szakaszát.

(37) Lásd a II. melléklet III. szakasza 6. pontjának h. alpontját és III. szakasza 11. pontjának f. alpontját.

(38) Lásd az I. mellékletet.

(39) Ez az adatvédelmi hatóságok testülete által kijelölt ügykezelő hatóság, amelyet „Az adatvédelmi hatóságok szerepe” kiegészítő elv irányoz elő (a II. melléklet III. szakaszának 5. pontja).

(40) Az éves jelentésnek az alábbiakat kell tartalmaznia: (1) a jelentéstételi év folyamán beérkezett, adatvédelmi pajzzsal kapcsolatos panaszok teljes száma; (2) a beérkezett panaszok típusa; (3) a vitarendezés minőségével kapcsolatos intézkedések, például a panaszok feldolgozásához igénybe vett idő hossza; valamint (4) a beérkezett panaszok eredménye, nevezetesen az alkalmazott jogorvoslatok és szankciók száma és típusa.

(41) Lásd a II. melléklet III. szakasza 11. pontjának e. alpontját.

(42) Lásd a II. melléklet III. szakasza 11. pontjának g. alpontját, különösen az ii. és az iii. pontot.

(43) Lásd az I. melléklet „Hamis részvételi nyilatkozatok keresése és kezelése” című szakaszát.

(44) Az adatvédelmi hatóságoknak a munkájuk és a közöttük kialakítandó együttműködés megszervezésére vonatkozó hatáskörük alapján meg kell állapítaniuk az adatvédelmi hatóságok nem hivatalos testületének eljárási szabályzatát.

(45) Lásd az I. melléklet „Az együttműködés fokozása az adatvédelmi hatóságokkal” és „Nemteljesítéssel kapcsolatos panaszok megoldásának elősegítése” című szakaszait, valamint a II. melléklet II. szakasza 7. pontjának e. alpontját.

(46) Lásd a IV. mellékletet, 6. o.

(47) ua.

(48) Lásd az I. melléklet „Nemteljesítéssel kapcsolatos panaszok megoldásának elősegítése” című szakaszát.

(49) Az adatvédelmi pajzsban részt vevő szervezetnek nyilvánosan közzé kell tennie azt a kötelezettségvállalását, hogy teljesíti az elveket, nyilvánosságra hozza az említett elveknek megfelelő adatvédelmi szabályzatát és teljes körűen végrehajtja azt. Az FTC-ről szóló törvény tisztességtelen vagy megtévesztő kereskedelmi vagy kereskedelmet érintő gyakorlatokat tiltó 5. szakasza alapján a teljesítés elmulasztásával szemben jogérvényesítésnek helye van.

(50) Az FTC-től származó információk szerint a Szövetségi Kereskedelmi Bizottság az adatvédelem területén nem rendelkezik hatáskörrel helyszíni vizsgálatok lefolytatására. Hatásköre azonban kiterjed arra, hogy dokumentumok és írásbeli nyilatkozatok megküldésére kötelezze a szervezeteket (lásd az FTC-ről szóló törvény 20. szakaszát), és a bírósági rendszert is igénybe veheti e végzések kikényszerítésére nem teljesítés esetén.

(51) Az FTC vagy valamely bíróság végzései arra kötelezhetik a vállalatokat, hogy adatvédelmi programokat hajtsanak végre, és rendszeres megfelelési jelentéseket vagy a szóban forgó programokról független harmadik fél által készített értékeléseket bocsássanak az FTC rendelkezésére.

(52) Lásd a II. melléklet II. szakasza 1. pontjának xi. alpontját és III. szakasza 7. pontjának c. alpontját.

(53) A feleknek meg kell állapodniuk a választott bíróságban részt vevő választott bírák számáról.

(54) A választott bíróság ugyanakkor megállapíthatja, hogy a konkrét választott bírósági eljárás körülményei között a felek kiadásainak fedezése indokolatlan vagy aránytalan költségekhez vezetne.

(55) Az egyének a választott bírósági eljárásban nem igényelhetnek kártérítést, azonban a választott bírósághoz folyamodás nem zárja ki azt a lehetőséget, hogy az Egyesült Államok rendes bíróságai előtt kártérítést követeljenek.

(56) A nemzeti hírszerzés igazgatója (DNI) a hírszerzés vezetője, valamint az elnök és a Nemzetbiztonsági Tanács főtanácsadójaként jár el. Lásd: A hírszerzés reformjáról és a terrorizmus megelőzéséről szóló 2004. évi törvény, Pub. L. 108-458 of 2004.12.17. Többek között az ODNI határozza meg a hírszerzés feladatkörére, adatgyűjtésére, elemzésére, a hírszerzési termékekre és azok megismertetésére vonatkozó követelményeket, valamint igazgatja és irányítja ezeket a tevékenységeket, többek között úgy, hogy iránymutatásokat dolgoz ki az információkhoz és hírszerzési értesülésekhez való hozzáférés, továbbá azok felhasználásának és megosztásának módjáról. Lásd az 12333. sz. elnöki rendelet 1.3 (a), (b) szakaszát.

(57) Lásd: Schrems-ügy, 91. pont.

(58) Az Egyesült Államok Alkotmányának II. cikke. Lásd még a 28. sz. elnöki politikai irányelv bevezetőjét.

(59) 12333. elnöki rendelet: Az Egyesült Államok hírszerzési tevékenységei, Szövetségi Közlöny 40. kötet 235. sz. (1981. december 8.). Az elnöki rendelet nyilvánosan hozzáférhető részében meghatározza az Egyesült Államok hírszerzési erőfeszítéseinek célját, irányvonalait, feladat- és felelősségi körét (ideértve a hírszerzés különböző szervezeteinek szerepét), valamint ismerteti a hírszerzési tevékenység végzésének általános paramétereit (elsősorban a külön eljárási szabályok kiadásának szükségességét). Az 12333. sz. elnöki rendelet 3.2. szakasza szerint az elnök a nemzeti biztonsági tanács és a nemzeti hírszerzési igazgató támogatásával kiadja a rendelet végrehajtásához szükséges megfelelő irányelveket, eljárásokat és iránymutatásokat.

(60) Az 12333. elnöki rendelet értelmében a Nemzetbiztonsági Ügynökség (NSA) igazgatója a jelfelderítésért felelős szervezeti vezető, aki egységes szervezetet működtet a jelfelderítési tevékenységek céljára.

(61) A „hírszerzés” fogalmának meghatározása megtalálható az 12333. elnöki rendelet 3.5. szakaszának h) pontjában és a PPD-28 1.lábjegyzetében.

(62) Lásd az Igazságügyi Minisztérium (DOJ) Jogi Tanácsadási Hivatalának Clinton elnök számára kiadott nyilatkozatát, 2000. január 29. E jogi vélemény szerint az elnöki irányelvek „az elnöki rendeletekkel azonos anyagi jogi joghatással” rendelkeznek.

(63) ODNI-nyilatkozatok (VI. melléklet), 3. o.

(64) Lásd a PPD-28 4(b),(c) szakaszát. A nyilvános információk szerint a 2015. évi felülvizsgálat megerősítette a meglévő hat célt. Lásd: ODNI, Jelfelderítési reform, 2016. évi eredményjelentés.

(65) ODNI-nyilatkozatok (VI. melléklet), 6. o. (hivatkozással a hírszerzési szervezetekről szóló 204. irányelvre). Lásd továbbá a PPD-28 3. szakaszát.

(66) ODNI-nyilatkozatok (VI. melléklet), 6. o. Lásd például: NSA Polgári Szabadságjogi és Adatvédelmi Hivatala (NSA CLPO), Az NSA 12333. sz. elnöki rendeleten alapuló polgári szabadságjogi és adatvédelmi tevékenysége a célzott SIGINT-tevékenységek tekintetében, 2014. október 7. Lásd továbbá az ODNI 2014. évi állapot jelentését. A külföldi hírszerzői tevékenység megfigyeléséről szóló törvény (FISA) 702. szakasza szerinti, hozzáférés iránti kérelmek esetében a kereséseket a külföldi hírszerzési tevékenységek megfigyelésével foglalkozó bíróság (FISC) által jóváhagyott adatminimalizálási eljárások szabályozzák. Lásd: NSA CLPO, A külföldi hírszerzői tevékenység megfigyeléséről szóló törvény 702. szakaszának az NSA általi végrehajtása, 2014. április 16.

(67) Lásd: Jelfelderítési reform, 2015. évi évfordulós jelentés. Lásd továbbá az ODNI-nyilatkozatokat (VI. melléklet), 6., 8–9., 11. o.

(68) Lásd a 63. lábjegyzetet.

(69) Meg kell jegyezni, hogy az 12333. sz. elnöki rendelet 2.4. szakasza szerint a hírszerzési szervezeti egységeknek az Egyesült Államokban megvalósítható, „legkevesebb beavatkozással járó adatgyűjtési technikákat kell alkalmazniuk”. A nagy mennyiségű adatgyűjtés célzott adatgyűjtéssel való helyettesítésének korlátai tekintetében lásd a Nemzeti Kutatási Tanács vizsgálatának eredményeit, amelyről az Európai Unió Alapjogi Ügynöksége számol be, A hírszerző szolgálatok általi megfigyelés: alapvető jogok, biztosítékok és jogorvoslatok az EU-ban (2015), 18 o.

(70) ODNI-nyilatkozatok (VI. melléklet), 4. o.

(71) Lásd továbbá a PPD-28 5. szakaszának d) pontját, amely előírja a nemzeti hírszerzés igazgatójának, hogy az érintett hírszerzési szervezetek vezetőivel és a Tudomány- és Technológiapolitikai Hivatallal együttműködve tegyen jelentést az elnöknek, „megvizsgálva egy olyan szoftver létrehozásának megvalósíthatóságát, amely lehetővé tenné, hogy a hírszerzési szervezetek könnyebben végezhessenek célzott információszerzést a nagy mennyiségű adatgyűjtés helyett”. A nyilvános információk szerint e jelentés arra az eredményre vezetett, hogy „nem létezik olyan szoftveralapú alternatíva, amely teljes mértékben helyettesítené a nagy mennyiségű adatgyűjtést egyes nemzetbiztonsági fenyegetések feltárása terén.” Lásd: Jelfelderítési reform, 2015. évi évfordulós jelentés.

(72) Lásd a 68. lábjegyzetet.

(73) Az ODNI nyilatkozatai (VI. melléklet). Ez kifejezetten annak az aggodalomnak az eloszlatására szolgál, amit a nemzeti adatvédelmi hatóságok fejtettek ki a megfelelőségi határozat tervezetéről szóló véleményükben. Lásd a 29. cikk szerinti munkacsoport 01/2016. sz. véleményét az EU–USA adatvédelmi pajzs megfelelőségéről szólói határozattervezetről (elfogadás: 2016. április 13.), 38. o. és 47. lábjegyzet.

(74) Lásd a PPD-28 2. szakaszát.

(75) ODNI-nyilatkozatok (VI. melléklet), 4. o. Lásd továbbá a hírszerzési szervezetekről szóló 203. irányelvet.

(76) ODNI-nyilatkozatok (VI. melléklet), 2. o. Hasonlóan alkalmazni kell az 12333. sz. elnöki rendeletben meghatározott korlátozásokat (pl. azt, hogy a gyűjtött információknak az elnök által meghatározott hírszerzési prioritásokra kell vonatkozniuk).

(77) Lásd: Schrems-ügy, 93. pont.

(78) Az FBI általi adatgyűjtés ezenfelül bűnüldözési engedélyeken is alapulhat (lásd e határozat 3.2. szakaszát).

(79) Az NSL használatára vonatkozóan további magyarázatok találhatók az ODNI nyilatkozatokban (VI. melléklet), 13–14. és 38. o. Amint azokban kifejtik, az FBI kizárólag arra használhatja az NSL-eket, hogy nem tartalmi információkat igényeljen a nemzetközi terrorizmussal vagy titkos hírszerzési tevékenységgel szembeni védelem céljából engedélyezett nemzetbiztonsági vizsgálatokkal kapcsolatosan. Ami az EU–USA adatvédelmi pajzs alapján történő adattovábbításokat illeti, a jelek szerint a legfontosabb jogi felhatalmazás az elektronikus távközlési adatvédelmi törvény (18 U.S.C. § 2709), amely előírja, hogy az előfizetői adatokkal vagy a tranzakciós naplófájllal kapcsolatos megkeresésekben „konkrétan meg kell határozni az adott személyt, szervezetet, telefonszámot vagy számlát”.

(80) 50 U.S.C. § 1804. Jóllehet ez a jogi felhatalmazás szükségessé teszi azoknak a tényeknek és körülményeknek a megnevezését, amelyek alapján a kérelmező indokolja azt a meggyőződését, hogy (A) „az elektronikus megfigyelés célpontja külföldi hatalom vagy külföldi hatalom ügynöke”, ez utóbbi kiterjedhet a nemzetközi terrorizmusban vagy tömegpusztító fegyverek nemzetközi terjesztésében (és azok előkészítő cselekményeiben) részt vevő nem amerikai állampolgárokra is (50 U.S.C. § 1801 (b)(1)). Az EU–USA adatvédelmi pajzs alapján történő személyesadat-továbbításokhoz fűződő kapcsolat mégis csupán elméleti jellegű, mivel a tényekre vonatkozó nyilatkozatban indokolni kell azt a meggyőződést is, hogy „az elektronikus megfigyelés célpontját jelentő létesítményeket vagy helyeket külföldi hatalom vagy külföldi hatalom ügynöke használja, vagy fogja felhasználni”. E felhatalmazás alkalmazáshoz mindenestre kérelmet kell benyújtani a FISC-hez, amely többek között megvizsgálja, hogy az ismertetett tények alapján valószínűsíthető-e, hogy valóban ez a helyzet.

(81) Az 50 U.S.C. 1842 §., 1841 §. (2) bekezdés, valamint a 18. cím 3127. szakasza. Az említett felhatalmazás nem a kommunikáció tartalmára vonatkozik, hanem a szolgáltatást igénybe vevő ügyféllel vagy előfizetővel kapcsolatos információkra (például név, cím, előfizetési szám, az igénybe vett szolgáltatás hossza/típusa, a fizetési forrás/mechanizmus). A felhatalmazáshoz a FISC (vagy amerikai szövetségi bíró) végzését kell kérni, valamint alkalmazni kell egy, az 1841 §. (4) bekezdése értelmében vett konkrét kiválasztási kritériumot, vagyis egy olyan kritériumot, amely kifejezetten azonosít egy személyt, bankszámlát stb., és úgy kell azt felhasználni, hogy az ésszerűen lehetséges legnagyobb mértékben korlátozza az igényelt információk körét.

(82) Míg a FISA 501. szakasza (az USA PATRIOT törvény korábbi 215. szakasza) felhatalmazza az FBI-t, hogy bírósági végzést kérjen „tárgyi bizonyítékok” (különösen telefon metaadatok, de cégnyilvántartásai adatok is) külföldi hírszerzési célokból történő megszerzése érdekében, a FISA 702. szakasza lehetővé teszi, hogy az Egyesült Államok hírszerzésének szervezetei az Egyesült Államokon belülről megkíséreljenek hozzájutni egyes információkhoz – többek között az internetes kommunikáció tartalmához – egyes Egyesült Államokon kívüli, nem amerikai célszemélyek tekintetében.

(83) E rendelkezés alapján a FBI „tárgyi bizonyítékokat” (pl. nyilvántartások, iratok, dokumentumok) igényelhet, ha igazolja a külföldi hírszerzési tevékenységek megfigyelésével foglalkozó bíróság (FISC) számára, hogy alapos indokkal feltételezhető, hogy azok lényegesek egy konkrét FBI-nyomozás szempontjából. E lekérdezések végzése során az FBI-nak azokat a FISC általi jóváhagyott kiválasztási kritériumokat kell használnia, amelyek esetében „ésszerű és megalapozott a gyanúja” annak, hogy az ilyen kritériumok a nemzetközi terrorizmusban vagy annak előkészítésében részt vevőkülföldi hatalomhoz vagy annak ügynökéhez társíthatók. Lásd: adatvédelmi és állampolgári jogi felügyeleti bizottság (PCLOB), a 215. szakaszra vonatkozó jelentés, 59. o.; NSA CLPO, Átláthatósági jelentés: Az USA FREEDOM törvény Cégnyilvántartási adatok FISA végrehajtás, 2016. január 15., 4–6. o.

(84) Az ODNI nyilatkozatai (VI. melléklet), 13. o. (38. lábjegyzet).

(85) Lásd a 81. lábjegyzetet.

(86) PCLOB, a 702. szakaszra vonatkozó jelentés, 32–33. o., további hivatkozásokkal. Az NSA adatvédelmi hivatala szerint a szervezetnek ellenőriznie kell a célpont és a kiválasztási kritérium közötti kapcsolatot, dokumentálnia kell a várhatóan megszerezhető külföldi hírszerzési információt, továbbá az NSA két magas rangú elemzőjének felül kell vizsgálnia és jóvá kell hagynia ezeket az információkat, valamint az ODNI és az Egyesült Államok Igazságügyi Minisztériuma által végzett későbbi megfelelőségi felülvizsgálatok céljából nyomon kell követnie az egész folyamatot. Lásd: NSA CLPO, A külföldi hírszerzői tevékenységről szóló törvény 702. szakaszának az NSA általi végrehajtása, 2014. április 16.

(87) PCLOB, a 702. szakaszra vonatkozó jelentés, 111. o. Lásd még: az ODNI nyilatkozatai (VI. mellékletek), 9. o. („A külföldi hírszerzői tevékenység megfigyeléséről szóló törvény 702. szakasza szerinti adatgyűjtés nem »tömeges és megkülönböztetés nélküli«, hanem szűk körben a jogszerű célpontként azonosított magánszemélyekre vonatkozó külföldi hírszerzési adatok gyűjtésére irányul”), valamint 13. o., 36. lábjegyzet (hivatkozással a 2014. évi FISC véleményre); NSA CLPO, A külföldi hírszerzői tevékenységről szóló törvény 702. szakaszának az NSA általi végrehajtása, 2014. április 16. Az NSA még az UPSTREAM esetében is kizárólag a kiválasztási kritériumok szerinti hírszerzési tárgytól induló vagy ahhoz érkező, illetve azzal kapcsolatos elektronikus kommunikáció megszerzését igényelhet.

(88) ODNI-nyilatkozatok (VI. melléklet), 18. o. Lásd még a 6. oldalt, amely szerint az alkalmazandó eljárások „egyértelmű elkötelezettséget tükröznek az önkényes és megkülönböztetés nélküli jelfelderítési adatgyűjtés megelőzése, valamint kormányunk legmagasabb szintje részéről az ésszerűség elvének érvényesítése mellett”.

(89) Lásd a nemzeti biztonsági hatóságok alkalmazásával kapcsolatos statisztikai átláthatósági jelentést, 2015. április 22. A teljes internetes adatfolyamat tekintetében lásd például: Alapjogi Ügynökség, A hírszerző szolgálatok általi megfigyelés: Alapvető jogok, biztosítékok és jogorvoslatok az EU-ban (2015), 15–16 o. Ami az UPSTREAM programot illeti, a FISC titkosítás alól feloldott 2011-es véleménye szerint a FISA 702. szakasza szerint megszerzett elektronikus kommunikáció több, mint 90 %-a a PRISM programból származik, míg kevesebb, mint 10 %-a az UPSTREAM-ből. Lásd: FISC, Memorandum Opinion, 2011 WL 10945618 (FISA Ct., 2011.3.10.), 21. sz. (elérhető az alábbi weboldalon: http://www.dni.gov/files/documents/0716/October-2011-Bates-Opinion-and%20Order-20140716.pdf).

(90) Lásd a PPD-28 4(a)(ii). szakaszát. Lásd továbbá: ODNI, Mindenki személyes adatainak megóvása: Állapotjelentés a 28. elnöki politikai irányelv szerinti eljárások kidolgozásáról és végrehajtásáról, 2014. július 28., 5. o., amely szerint „A hírszerzési szervezeti egységek politikáinak erősíteniük kell a meglévő elemzési gyakorlatokat és előírásokat, amelyek szerint az elemzőknek strukturális lekérdezések vagy egyéb keresési kritériumok és technikák segítségével törekedniük kell arra, hogy azonosítsák az érvényes hírszerzési vagy bűnüldözési feladat szempontjából releváns hírszerzési információkat; a személyekre vonatkozó kereséseket valamely hírszerzési vagy bűnüldözési követelménynek megfelelő hírszerzési információkategóriára összpontosítsák; és minimálisra csökkentsék a hírszerzési vagy bűnüldözési követelmények szempontjából nem releváns személyes adatok felülvizsgálatát.” Lásd pl. CIA, jelfelderítési tevékenységek, 5. o.; FBI, a 28. elnöki politikai irányelv politikái és eljárásai, 3. o. A jelfelderítés reformjáról szóló 2016. évi eredményjelentés szerint a hírszerzési szervezeti egységek (így az FBI, a CIA és a NSA) intézkedéseket hoztak, hogy új képzési politikák létrehozásával vagy a meglévők módosításával felhívják személyzetük figyelmét a PPD-28 követelményeire.

(91) Az ODNI nyilatkozatai szerint e korlátozások attól függetlenül alkalmazandók, hogy az adatokat nagy mennyiségű vagy célzott adatgyűjtés keretében gyűjtötték, és hogy az érintett milyen állampolgárságú.

(92) Lásd az ODNI nyilatkozatait (VI. melléklet).

(93) Lásd: PPD-28. 4(a)(i). szak. és 12333. elnöki rendelet 2.3. szak.

(94) Lásd a PPD-28 4(a)(i). szak.; ODNI-nyilatkozatok (VI. melléklet), 7. o. Például a FISA 702. szakasza alapján gyűjtött személyes adatok esetében az NSA-nak a FISC által jóváhagyott adatminimalizálási eljárásai azt a szabályt irányozzák elő, hogy a PRISM metaadatok és alulértékelt tartalom nem őrizhető meg öt évnél tovább, az UPSTREAM adatok esetében pedig az adatmegőrzés legfeljebb két év. Az NSA ezeket a tárolási korlátozásokat automata adatfeldolgozás révén teljesíti, amely a megfelelő megőrzési időszak végén törli a gyűjtött adatokat. Lásd: NSA, A FISA 702. szakasza szerinti adatminimalizálási eljárások, 7. szak. és 6(a)(1). szak.; NSA CLPO, A külföldi hírszerzői tevékenység megfigyeléséről szóló törvény 702. szakaszának az NSA általi végrehajtása, 2014. április 16. Ehhez hasonlóan a FISA 501. szakasza (az USA PATRIOT törvény korábbi 215. szakasza) alapján az adatmegőrzés öt évre korlátozódik, kivéve, ha a személyes adatok külföldi hírszerzési információk megfelelően jóváhagyott terjesztésének részét képezik vagy az Igazságügyi Minisztérium írásban arról tájékoztatja az NSA-t, hogy a nyilvántartott adatok egy folyamatban lévő vagy előrelátható peres ügyben adatmegőrzési kötelezettség hatálya alá tartoznak. Lásd NSA CLPO, Átláthatósági jelentés: Az USA FREEDOM törvény Cégnyilvántartási adatok FISA végrehajtás, 2016. január 15.

(95) Konkrétan a FISA 501. szakasza (az USA PATRIOT törvény korábbi 215. szakasza) esetén a személyes adatok terjesztése kizárólag terrorelhárítási célból vagy bűncselekmény bizonyítékaként történhet: a FISA 702. szakasza esetén kizárólag akkor, ha van érvényes külföldi hírszerzési vagy bűnüldözés cél. Vö.: NSA CLPO, A külföldi hírszerzői tevékenység megfigyeléséről szóló törvény 702. szakaszának az NSA általi végrehajtása, 2014. április 16.; Átláthatósági jelentés: Az USA FREEDOM törvény Cégnyilvántartási adatok FISA végrehajtás, 2016. január 15. Lásd továbbá: Az NSA 12333. sz. elnöki rendeleten alapuló polgári szabadságjogi és adatvédelmi tevékenysége a célzott SIGINT tevékenység tekintetében, 2014. október 7.

(96) Az ODNI nyilatkozatai (VI. melléklet), 7. o. (hivatkozással a hírszerzési szervezetekről szóló 203. irányelvre (ICD)).

(97) A Bíróság egyértelművé tette, hogy a nemzetbiztonság jogos politikai célkitűzés. Lásd: Schrems-ügy, 88. pont. Lásd továbbá a Digital Rights Ireland és társai ügyben hozott ítélet 42–44. és 51. pontját, amelyekben a Bíróság úgy ítélte meg, hogy a súlyos bűnözés, különösen a szervezett bűnözés és a terrorizmus elleni küzdelem nagymértékben függ a modern nyomozati technikák alkalmazásától. Ezenfelül, szemben a bűnügyi nyomozással, amely általában a múltbeli cselekménnyel kapcsolatos felelősség és bűnösség visszamenőleges meghatározására irányul, a hírszerzési tevékenység gyakran a nemzetbiztonságot érő fenyegetések elhárítására összpontosít, mielőtt a kár bekövetkezne. Ezért az ilyen nyomozásoknak gyakran a lehetséges elkövetők („célszemélyek”) szélesebb körére és tágabb földrajzi térségre kell kiterjedniük. Vö.: EJEB Weber és Saravia kontra Németország ügy, határozat: 2006. június 29., Kereset sz.: 54934/00., 105–118. pont (az úgynevezett „stratégiai figyelemmel kísérésről”).

(98) Schrems-ügy, 91. pont, a további hivatkozásokkal.

(99) Schrems-ügy, 93. pont.

(100) Vö. Schrems-ügy, 94. pont.

(101) ODNI, Mindenki személyes adatainak megóvása: Állapotjelentés a 28. elnöki politikai irányelv szerinti eljárások kidolgozásáról és végrehajtásáról, 7. o. Lásd pl. CIA, jelfelderítési tevékenységek, 6. o. (Megfelelés); FBI, a 28. elnöki politikai irányelv politikái és eljárásai, III (A)(4), (B)(4) szak.; NSA, PPD-28 4. szakasz Eljárások, 2015. január 12., 8.1, 8.6(c) szak.

(102) Például az NSA a Megfelelési Igazgatóságán több mint 300 megfeleléssel foglalkozó munkatársat alkalmaz. Lásd az ODNI nyilatkozatait (VI. melléklet), 7. o.

(103) Lásd: ombudsmani mechanizmus (III. melléklet) 6(b) (i)–(iii) szak.

(104) Lásd: 42 U.S.C. § 2000ee-1. Ez magában foglalja például Külügyminisztériumot, az Igazságügyi Minisztériumot (így az FBI-t), a Belbiztonsági Minisztériumot, a Védelmi Minisztériumot, az NSA-t a CIA-t, és az ODNI-t.

(105) Az Egyesült Államok kormánya szerint, ha az ODNI Polgári Szabadságjogi és Adatvédelmi Hivatalához panasz érkezik, a hivatal a többi hírszerzési szervezeti egységgel is egyeztet arról, hogy a továbbiakban hogyan fogják kezelni a panaszt a hírszerzési szervezetekben. Lásd: ombudsmani mechanizmus (III. melléklet), 6(b) (ii) szak.

(106) Lásd: 42 U.S.C. § 2000ee-1 (f)(1),(2).

(107) A 29. cikk szerinti munkacsoport 01/2016. sz. véleménye az EU–USA adatvédelmi pajzs megfelelőségéről szóló határozattervezetről (elfogadás: 2016. április 13.), 41. o.

(108) ODNI-nyilatkozatok (VI. melléklet), 7. o. Lásd: NSA, PPD-28 4. szakasz Eljárások, 2015. január 12., 8.1; CIA, jelfelderítési tevékenységek, 7. o. (Feladatkörök).

(109) Ezt a főellenőrt (amelynek hivatalát 2010 októberében hozták létre) az elnök nevezi ki a Szenátus jóváhagyásával, és csak az elnök mentheti fel beosztásából, nem pedig a nemzeti hírszerzés igazgatója.

(110) Az említett főellenőrök biztos hivatali megbízatással rendelkeznek, és csupán az elnök mentheti fel őket, akinek írásban közölni kell a Kongresszussal e felmentés indokait. Ez nem feltétlenül jelenti azt, hogy senki sem utasíthatja őket. Egyes esetekben a minisztérium vezetője megtilthatja a főellenőrnek, hogy ellenőrzést vagy vizsgálatot indítson, végezzen vagy fejezzen be, amennyiben ezt szükségesnek ítéli fontos nemzeti (nemzetbiztonsági) érdekek megóvásához. A Kongresszust azonban tájékoztatni kell e jogkör gyakorlásáról, és ennek alapján az érintett igazgató felelősségre vonható. Lásd pl. A főellenőrről szóló 1978. évi törvény, 8. §. (a Védelmi Minisztérium főellenőre); 8E. §. (az Igazságügyi Minisztérium főellenőre), 8G. §. (2)(A),(B) (az NSA főellenőre); 50. U.S.C. § 403q (b) (a CIA főellenőre); A 2010-es költségvetési évre vonatkozó hírszerzési engedélyezési törvény, 405(f) szak., (a hírszerzési szervezet főellenőre). A nemzeti adatvédelmi hatóságok értékelése szerint a főellenőrök „valószínűleg megfelelnek az Európai Unió Bírósága és az Emberi Jogok Európai Bírósága (EJEB) meghatározása szerinti szervezeti függetlenségnek, legalábbis amikortól az új kinevezési eljárás mindegyikükre vonatkozik.” Lásd: a 29. cikk szerinti munkacsoport 01/2016. sz. véleménye az EU–USA adatvédelmi pajzs megfelelőségéről szóló határozattervezetről (elfogadás: 2016. április 13.) 40. o.

(111) Lásd az ODNI nyilatkozatait (VI. melléklet), 7. o. Lásd továbbá a Pub. L. 113-126. o. 2014. július 7. által módosított, a főellenőrről szóló 1978. évi törvényt.

(112) Lásd a főellenőrről szóló 1978. évi törvény 6.§-át.

(113) Lásd az ODNI nyilatkozatait (VI. melléklet), 7. o. Lásd a főellenőrről szóló 1978. évi törvény 4. §-ának (5) bekezdését és 5.§-át. A 2010-es költségvetési évre vonatkozó hírszerzési engedélyezési törvény, Pub. L. 111-259. o., 2010. július 10., 405(b)(3),(4) szak. szerint a hírszerzési szervezet főellenőre folyamatosan tájékoztatja a DNI-t és a Kongresszust a korrekciós intézkedések szükségességéről és azok előrehaladásáról.

(114) A nemzeti adatvédelmi hatóságok értékelése szerint a PCLOB a múltban „igazolta független hatáskörét”. Lásd: a 29. cikk szerinti munkacsoport 01/2016. sz. véleménye az EU–USA adatvédelmi pajzs megfelelőségéről szóló határozattervezetről (elfogadás: 2016. április 13.) 42. o.

(115) Ezenfelül a PCLOB mintegy 20 fő állandó munkatársat alkalmaz. Lásd: https://www.pclob.gov/about-us/staff.html.

(116) Ezek közé tartozik legalább az Igazságügyi Minisztérium, a Védelmi Minisztérium, a Belbiztonsági Minisztérium, a nemzeti hírszerzés igazgatója és a Központi Hírszerző Ügynökség (CIA), valamint a megfelelő lefedettség érdekében a PCLOB által kijelölt bármely egyéb végrehajtó hatalmi szervezeti egység, ügynökség vagy szervezet.

(117) Lásd: 42 U.S.C. § 2000ee. Lásd továbbá: ombudsmani mechanizmus (III. melléklet), 6(b) (ii)szak. A PCLOB többek között köteles jelentést tenni arról, ha egy végrehajtó hatalmi ügynökség nem követi az ajánlását.

(118) ODNI, Mindenki személyes adatainak megóvása: Állapotjelentés a 28. elnöki politikai irányelv szerinti eljárások kidolgozásáról és végrehajtásáról, 7–8. o.

(119) Uo. 8. o. Lásd továbbá az ODNI nyilatkozatait (VI. melléklet), 9. o.

(120) ODNI, Mindenki személyes adatainak megóvása: Állapotjelentés a 28. elnöki politikai irányelv szerinti eljárások kidolgozásáról és végrehajtásáról, 7. o. Lásd: NSA, PPD-28 4. szakasz Eljárások, 2015. január 12., 7.3, 8.7(c),(d) szak.; FBI, a 28. elnöki politikai irányelv politikái és eljárásai, III.(A)(4), (B)(4) szak.; CIA, jelfelderítési tevékenységek, 6. o. (Megfelelés) és 8. o. (Feladatkörök).

(121) Lásd az 12333. sz. elnöki rendelet 1.6(c). szak.

(122) PPD-28 4(a)(iv). szak.

(123) Lásd 501(a)(1) szak. (50 U.S.C. § 413(a)(1)). Ez a rendelkezés általános követelményeket tartalmaz a nemzetbiztonság területére vonatkozó kongresszusi felügyelet tekintetében.

(124) Lásd 501(b) szak. (50 U.S.C. § 413(b)).

(125) Vö. 501(d) szak. (50 U.S.C. § 413(d)).

(126) Lásd: 50 U.S.C. §§ 1808, 1846, 1862, 1871, 1881f.

(127) Lásd: 50 U.S.C. § 1881f.

(128) Lásd: 50 U.S.C. § 1881a(l)(1).

(129) Lásd: 2015. évi USA FREEDOM törvény, Pub. L. 114-23. sz., 602(a) szak. Ezenfelül a 402. szakasz szerint „a nemzeti hírszerzési igazgató a legfőbb ügyésszel konzultálva elvégzi a külföldi hírszerzési tevékenységek megfigyelésével foglalkozó bíróság, illetve a külföldi hírszerzési tevékenységek megfigyelésével foglalkozó fellebbviteli bíróság által kibocsátott egyes határozatok, végzések vagy vélemények minősítésének feloldására irányuló felülvizsgálatot (a 601(e) szakasz meghatározása szerint), amely kiterjed bármely jogi rendelkezés jelentős kiegészítésére vagy értelmezésére, többek között az” egyedi kiválasztási kritérium „fogalmának bármely új szempontjára vagy jelentős kiegészítésére, illetve értelmezésére, valamint a felülvizsgálatnak megfelelően, a megvalósítható legnagyobb mértékben nyilvánosságra hozza az ilyen határozatot, végzést vagy véleményt.”

(130) USA FREEDOM törvény, 602(a), 603(a) szak.

(131) Bizonyos megfigyelési típusok esetében ennek alternatívájaként az Egyesült Államok főbírája által nyilvánosan kijelölt amerikai szövetségi bíró rendelkezhet hatáskörrel a kérelmek elbírálására és a végzések kiadására.

(132) A FISC az Egyesült Államok főbírája által kinevezett tizenegy bíróból áll, akiket korábban az elnök által a Szenátus megerősítésével kinevezett, egyesült államokbeli kerületi bíróságokban ülésező bírák közül választanak ki. A határozatlan időre szóló kinevezéssel rendelkező bírák, akik csak indokolt esetben menthetők fel, különböző időpontokban kezdve hétéves hivatali ideig látják el beosztásukat a FISC-en. A FISA előírja, hogy a bírákat legalább hét különböző amerikai fellebbviteli bíróságról kell választani. Lásd: FISA 103. szak. (50 U.S.C. 1803 (a)); PCLOB, a 215. szakaszra vonatkozó jelentés, 174–187. o. A bírákat tapasztalt bírósági tisztségviselők segítik. Ők alkotják a bíróság jogi személyzetét, amely jogi elemzést készít az adatgyűjtési kérelmekről. Lásd: adatvédelmi és állampolgári jogi felügyeleti bizottság (PCLOB), a 215. szakaszra vonatkozó jelentés, 178. o.; Reggie B. Walton, a külföldi hírszerzési tevékenységek megfigyelésével foglalkozó amerikai bíróság elnöklő bírójának levele Patrick J. Leahy-hez, az Egyesült Államok Szenátusa igazságügyi bizottságának elnökéhez (2013. július 29.) (Walton-levél) 2–3. o.

(133) A FISCR az Egyesült Államok főbírája által kinevezett három bíróból áll, akiket az Egyesült Államok kerületi bíróságairól és kerületi fellebbviteli bíróságairól választanak ki, és különböző időpontokban kezdve hétéves hivatali ideig látják el beosztásukat. Lásd: FISA 103. szak. (50 U.S.C. § 1803 (b)).

(134) Lásd: 50 U.S.C. §§ 1803 (b), 1861 a (f), 1881 a (h), 1881 a (i)(4).

(135) Például a megfigyelés alatt álló személyre vonatkozó további tényszerű részletekről, a megfigyelési módszerekkel kapcsolatos technikai információkról vagy arra vonatkozó biztosítékokról, hogy hogyan használják fel és terjesztik a megszerzett információkat. Lásd: PCLOB, a 215. szakaszra vonatkozó jelentés, 177. o.

(136) 50 U.S.C. §§ 1804 (a), 1801 (g).

(137) A FISC jóváhagyhatja a kérelmet, további információt kérhet, megállapíthatja a meghallgatás szükségességét vagy jelezheti a kérelem esetleges megtagadását. A szóban forgó előzetes döntés alapján a kormány megfogalmazza végleges kérelmét. Az utóbbi lényeges változtatásokat tartalmazhat az eredeti kérelemhez képest a bíróság előzetes észrevételei alapján. Bár a FISC nagy százalékban jóváhagyja az előzetes kérelmeket, ezek jelentős hányada – a 2013. július és szeptember közötti időszakban jóváhagyott kérelmek 24 %-a – lényeges változtatásokat tartalmaz az eredeti kérelemhez képest. Lásd: PCLOB, a 215. szakaszra vonatkozó jelentés, 179. o.; Walton-levél, 3. o.

(138) PCLOB, a 215. szakaszra vonatkozó jelentés, 179. o. 619. lábjegyzet.

(139) 50 U.S.C. § 1803 (i)(1),(3)(A). Ez az új jogszabály a PCLOB arra vonatkozó ajánlásait hajtja végre, hogy adatvédelmi és polgári szabadságjogi szakértőkből álló állományt hozzanak létre, akik elláthatják az amicus curiae szerepét annak érdekében, hogy az adatvédelmet és polgári szabadságjogokat előmozdító jogi érveket nyújtsanak a bíróság számára. Lásd: PCLOB, a 215. szakaszra vonatkozó jelentés, 183–187. o.

(140) 50 U.S.C. § 1803 (i)(2)(A). Az ODNI-tól származó információk szerint már sor került ilyen kijelölésekre. Lásd: Jelfelderítési reform, 2016. évi eredményjelentés.

(141) 50 U.S.C. § 1803 (i)(2)(B).

(142) 50 U.S.C. § 1861

(143) 50 U.S.C. § 1861 (b).

(144) 50 U.S.C. § 1881.

(145) 50 U.S.C. § 1881a (a).

(146) PCLOB, a 702. szakaszra vonatkozó jelentés, 46. o.

(147) 50 U.S.C. § 1881a (h).

(148) 50 U.S.C. § 1881a (g). A PCLOB szerint ezek a kategóriák mostanáig főként a nemzetközi terrorizmusra és olyan kérdésekre vonatkoztak, mint például a tömegpusztító fegyverek megszerzése. A PCLOB 702. szakaszra vonatkozó jelentése, 25. o.

(149) PCLOB, a 702. szakaszra vonatkozó jelentés, 27. o.

(150) 50 U.S.C. § 1881a.

(151) „Szabadság és biztonság a változó világban”, a Hírszerzéssel és Kommunikációs Technológiákkal foglalkozó Elnöki Felülvizsgálati Csoport jelentése és ajánlásai, 2013. december 12., 152. o.

(152) 50 U.S.C.1881a (i).

(153) A FISC eljárási szabályzatának 13(b) szabálya előírja, hogy a kormánynak haladéktalanul írásbeli értesítést kell adni a Bíróság számára annak felfedezését követően, hogy a Bíróság által kiadott engedélyt vagy jóváhagyást olyan módon hajtották végre, hogy ez nem felel meg a Bíróság engedélyének vagy jóváhagyásának vagy az alkalmazandó jognak. Előírja továbbá, hogy a kormánynak írásban értesítenie kell a FISC-et a megfelelés hiánya szempontjából releváns tényekről és körülményekről. Miután az összes lényeges tény ismertté vált és valamennyi engedély nélküli adatgyűjteményt megsemmisítettek, a kormány általában benyújtja a 13(a) szabály szerinti végleges értesítést. Lásd: Walton-levél, 10. o.

(154) 50 U.S.C. § 1881 (l). Lásd még PCLOB, a 702. szakaszra vonatkozó jelentés, 66–76. o. NSA CLPO, A külföldi hírszerzői tevékenység megfigyeléséről szóló törvény 702. szakaszának az NSA általi végrehajtása, 2014.4.16. A végrehajtó hatalmi ágon belüli belső és külső felügyelet hatálya egyaránt kiterjed a FISA 702. szakaszán alapuló, hírszerzési célú személyesadat-gyűjtésre. A belső felügyelet többek között felöleli azokat a megfelelési programokat, amelyek célja a célzottá tételre és adatminimalizációra vonatkozó eljárások betartásának értékelése és felügyelete; a megfelelés hiányára utaló eseményekre vonatkozó belső és külső jelentéstétel az ODNI, az Igazságügyi Minisztérium, a Kongresszus és a FISC számára; valamint az ugyanazon szerveknek küldött éves felülvizsgálatok. Ami a külső felügyeletet illeti, az főként az ODNI, az Igazságügyi Minisztérium és a főellenőrök által a célzottá tételre és az adatminimalizációra vonatkozóan végzett felügyeletekből állnak, e szervek pedig a Kongresszusnak és a FISC-nek számolnak be, többek között a megfelelés hiányára utaló eseményekről. A megfeleléssel kapcsolatos jelentős eseményeket haladéktalanul jelenteni kell a FISC-nek, a többiről a negyedéves jelentésben kell beszámolni. Lásd: PCLOB, a 702. szakaszra vonatkozó jelentés, 66-77. o.

(155) PCLOB, Ajánlás-értékelési jelentés, 2015. január 29., 20. o.

(156) PCLOB, Ajánlás-értékelési jelentés, 2015. január 29., 16. o.

(157) A minősített adatokkal kapcsolatos eljárásokról szóló törvény 10. szakasza ezenfelül előírja, hogy bármely olyan büntetőeljárás során, amelyben az Egyesült Államoknak meg kell állapítania, hogy az anyag minősített adatnak minősül (pl. mivel nemzetbiztonsági okokból védelmet igényel a jogosulatlan nyilvánosságra hozatallal szemben), az Egyesült Államok értesíti a vádlottat, hogy az anyagok mely részei tekintetében várható indokoltan minősített adatokat tartalmazó bűncselekményi elem megállapítása.

(158) Lásd az alábbiak tekintetében az ODNI nyilatkozatait (VI. melléklet), 16. o.

(159) 18 U.S.C. § 2712.

(160) 50 U.S.C. § 1810.

(161) 50 U.S.C. § 1806.

(162) 18 U.S.C. § 1030.

(163) 18 U.S.C. §§ 2701-2712.

(164) 12 U.S.C. § 3417.

(165) ODNI-nyilatkozatok (VI. melléklet), 17. o.

(166) 5 U.S.C. § 706(2)(A).

(167) 5 U.S.C. § 552. Hasonló törvények vannak hatályban tagállami szinten.

(168) Ebben az esetben az adott egyén általában csak szabványos választ kap az ügynökségtől, amelyben az ügynökség megtagadja bármely nyilvántartás létezésének megerősítését vagy cáfolatát. Lásd: ACLU kontra CIA ügy, 710 F.3d 422 (D.C. Cir. 2014).

(169) Lásd az ODNI nyilatkozatait (VI. melléklet), 16. o. A szolgáltatott magyarázatok szerint a rendelkezésre álló kereseti jogcímek megkövetelik a kár megvalósulását (18 U.S.C. § 2712; 50 U.S.C. § 1810) vagy annak igazolását, hogy az Egyesült Államokban zajló bírósági vagy közigazgatási eljárások folyamán a kormány fel kívánja használni vagy nyilvánosságra szándékozik hozni azokat az információkat, amelyeket az érintett személy elektronikus megfigyelésével szereztek vagy amelyek abból származnak (50 U.S.C. § 1806). A Bíróság azonban ismételten hangsúlyozta, hogy a magánélet tiszteletben tartásához való alapvető jogba történő beavatkozás fennállásának megállapítása érdekében kevésbé fontos, hogy az érintett személyeknek ez a beavatkozás okozott-e esetleges kellemetlenséget vagy sem. Lásd:Schrems-ügy, 89. pont, a további hivatkozásokkal.

(170) Ez az elfogadhatósági kritérium láthatólag az Egyesült Államok Alkotmányának III. cikkébe foglalt, „ügyek és jogviták” követelményéből ered.

(171) Lásd: Clapper kontra Amnesty Int'l USA ügy, 133 S.Ct. 1138, 1144 (2013). Ami a nemzetbiztonsági levelek (NSL) alkalmazását illeti, USA FREEDOM törvény (502(f)–503. szakasz) úgy rendelkezik, hogy rendszeresen felül kell vizsgálni a közzététel megtagadására vonatkozó követelményeket, továbbá az NSL címzettjeit értesíteni kell arról, ha nem állnak fenn a közlés megtagadásának követelményét alátámasztó tények (lásd az ODNI nyilatkozatait (VI. melléklet), 13. o.). Ez azonban nem biztosítja, hogy az uniós érintetteket tájékoztassák arról, hogy nyomozást folytattak velük szemben.

(172) Abban az esetben, ha a panaszos hozzáférést szeretne az Egyesült Államok hatóságainak birtokában lévő dokumentumokhoz, az információkhoz való szabad hozzáférésről szóló törvényben meghatározott szabályok és eljárások alkalmazandók. Ez arra a lehetőségre is kiterjed, hogy a FOIA-ban meghatározott feltételek szerint bírósági jogorvoslatot igényeljenek (független felügyelet helyett) abban az esetben, ha a kérelmet elutasították.

(173) Az ombudsmani mechanizmus (III. melléklet) 4(f) szakasza szerint az adatvédelmi pajzs ombudsmanja közvetlenül kommunikál majd az uniós egyén panaszkezelő szervével, amely pedig a kérelmet benyújtó egyénnel való kommunikációért felel. Ha a közvetlen kommunikáció részét képezi azoknak a „mögöttes eljárásoknak”, amelyek biztosíthatják a kért intézkedést (pl. FOIA hozzáférési kérelem, lásd az 5. szakaszt), e kommunikáció a vonatkozó eljárásoknak megfelelően történik.

(174) Lásd: ombudsmani mechanizmus (III. melléklet), 2(a) szak. Lásd továbbá a 0-0 preambulumbekezdést.

(175) Lásd: ombudsmani mechanizmus (III. melléklet), 2(c) szak. Az Egyesült Államok kormánya által adott magyarázatok szerint a PCLOB folyamatosan felülvizsgálja majd a terrorelhárításért felelős amerikai hatóságok politikáit és eljárásait, valamint azok végrehajtását annak megállapítása érdekében, hogy azok intézkedései „megfelelően garantálják az adatvédelmet és a polgári szabadságjogok védelmét, és összhangban állnak az adatvédelemre és a polgári szabadságjogok védelmére irányadó jogszabályokkal, szabályzatokkal és politikákkal”. A PCLOB továbbá „adatvédelmi tisztségviselőktől és polgári szabadságjogi tisztségviselőktől jelentéseket és más információkat kap, azokat felülvizsgálja, és adott esetben ajánlásokat tesz a tevékenységeik tekintetében.”

(176) Lásd: Roman Zakharov kontra Oroszország ügy, 2015. december 4-i ítélet, (nagytanács), kereset sz. 47143/06., 275. pont („jóllehet főszabály szerint kívánatos, hogy bíróságot bízzanak meg a felügyeleti ellenőrzéssel, a nem bírósági szervek felügyelete összeegyeztethetőnek tekinthető az Egyezménnyel, amennyiben a felügyeleti szerv független a megfigyelést végző hatóságoktól, valamint elegendő és hatékony felügyeleti jogkörrel rendelkezik”).

(177) Lásd: Kennedy kontra az Egyesült Királyság ügy, 2010. május 18-i ítélet, Kereset sz. 26839/05., 167. pont.

(178) Schrems-ügy, 95. pont. Amint az ítélet 91. és 96. pontja egyértelművé teszi, a 95. pont az uniós jogrendszerben garantált védelem szintjére vonatkozik, amellyel a harmadik ország védelmi szintjének „lényegében azonosnak” kell lennie. Az ítélet 73. és 74. pontja értelmében ez nem teszi szükségessé, hogy a védelem szintjének vagy a harmadik országban alkalmazott eszközöknek megegyezőnek kell lenniük, noha az alkalmazandó eszközöknek a gyakorlatban hatékonynak kell bizonyulniuk.

(179) A negyedik alkotmánykiegészítés szerint: „a népnek az a joga, hogy személye, háza, iratai és ingóságai tekintetében indokolatlan kutatások és letartóztatások ellen védve legyen, nem sérthető meg és elfogató parancsok nem adhatók ki, csak valószínű, eskü vagy ünnepélyes fogadalom által támogatott indokokból és részletesen leírva a kutatandó helyet és a letartóztatandó személyt vagy lefoglalandó tárgyat.” Csak a (szövetségi) bírók adhatnak ki kutatási parancsot. Az elektronikusan tárolt adatok másolására vonatkozó szövetségi parancsokra vonatkozó további szabályokat a szövetségi büntetőeljárási szabályok 41. szabálya állapítja meg.

(180) A parancs nélküli kutatásokra a Legfelsőbb Bíróság ismételten „kivételesként” utalt. Lásd pl. Johnson kontra Egyesült Államok ügy, 333 U.S. 10, 14 (1948); McDonald kontra Egyesült Államok ügy, 335 U.S. 451, 453 (1948); Camara kontra városi bíróság ügy, 387 U.S. 523, 528-29 (1967); G.M. Leasing Corp. kontra Egyesült Államok ügy, 429 U.S. 338, 352-53, 355 (1977). A Legfelsőbb Bíróság szintén rendszeresen hangsúlyozta, hogy „e területnek az a legalapvetőbb alkotmányos szabálya, hogy a bírósági eljáráson kívül, bíró vagy szövetségi bíró előzetes jóváhagyása nélkül végzett kutatások a negyedik alkotmánykiegészítés – alapján – néhány konkrétan meghatározott és jól körülhatárolt kivételtől eltekintve – önmagában véve ésszerűtlenek”. Lásd pl. Coolidge kontra New Hampshire ügy, 403 U.S. 443, 454-55 (1971); G.M. Leasing Corp. kontra Egyesült Államok ügy, 429 U.S. 338, 352-53, 358 (1977).

(181) City of Ontario, Cal. kontra Quon ügy, 130 S. Ct. 2619, 2630 (2010).

(182) PCLOB, a 215. szakaszra vonatkozó jelentés, 107. o., amely utal a Maryland kontra King ügyre, 133 S. Ct. 1958, 1970 (2013).

(183) PCLOB, a 215. szakaszra vonatkozó jelentés, 107. o., amely utal a Samson kontra California ügyre, 547 U.S. 843, 848 (2006).

(184) City of Ontario, Cal. kontra Quon ügy, 130 S. Ct. 2619, 2630 (2010), 2627.

(185) Lásd pl. Egyesült Államok kontra Wilson ügy, 540 F.2d 1100 (D.C. Cir. 1976).

(186) Vö. Roman Zakharov kontra Oroszország ügy, 2015.12.4.-i ítélet (nagytanács), kereset sz.: 47143/06., 269. pont, amely szerint „az a követelmény, hogy adatszerzési engedélyt kell bemutatni a kommunikációs szolgáltatónak, mielőtt hozzáférést biztosítanának az adott személy kommunikációjához, a bűnüldöző hatóságok visszaélésével szembeni egyik legfontosabb biztosíték, amely biztosítja, hogy minden adatszerzés esetén beszerezzék a megfelelő engedélyt.”

(187) Az Igazságügyi Minisztérium nyilatkozatai (VII. melléklet), 4. o. további hivatkozásokkal.

(188) Az Igazságügyi Minisztérium nyilatkozatai (VII. melléklet), 2. lábjegyzet.

(189) A Bizottsághoz beérkezett információk szerint, és eltekintve azoktól a területektől, amelyek valószínűleg nem relevánsak az EU–USA adatvédelmi pajzs alapján végzett adattovábbítások szempontjából (pl. az egészségügyi ellátási csalások, gyermekbántalmazás vagy ellenőrzött anyagok ügyében folytatott nyomozások), ez főként az elektronikus kommunikáció adatvédelméről szóló törvény hatálya alá tartozó bizonyos hatóságokat érint, konkrétan az alapvető előfizetői, munkamenet- és számlázási információk (18 U.S.C. § 2703(c)(1), (2), pl. cím, a szolgáltatás típusa/hossza) és a 180 napnál régebbi e-mailek tartamára irányuló igénylések (18 U.S.C. § 2703(a), (b)) esetében. Az utóbbi esetben azonban értesíteni kell az érintett egyént, akinek így lehetősége van arra, hogy bíróság előtt megtámadja az igénylést. Lásd továbbá az Igazságügyi Minisztérium áttekintését, Számítógépek átkutatása és lefoglalása és elektronikus bizonyítékok beszerzése a bűnügyi nyomozások során, 3. fejezet: A tárolt kommunikációról szóló törvény, 115–138. o.

(190) Az Egyesült Államok kormányának nyilatkozatai szerint a bizonyítási cselekményben való közreműködésre kötelező közigazgatási határozatok címzettjei megtámadhatják azokat a bíróságon azzal az indokkal, hogy azok nem ésszerűek, vagy túlzott a hatókörük, elnyomóak vagy terhesek. Lásd az Igazságügyi Minisztérium nyilatkozatait (VII. melléklet), 2. o.

(191) 5 U.S.C. § 702.

(192) Általában csupán a „végleges” ügynökségi intézkedés – nem pedig az „előzetes” vagy „közbenső” ügynökségi intézkedés – tartozik bírósági felülvizsgálat hatálya alá. Lásd 5 U.S.C. § 704.

(193) 5 U.S.C. § 706(2)(A).

(194) 18 U.S.C. §§ 2701-2712.

(195) Az ECPA védelmet nyújt a hálózati szolgáltatók két meghatározott csoportja – konkrétan az alábbi szolgáltatásokat nyújtók – birtokában lévő kommunikáció számára: i. elektronikus hírközlési szolgáltatások, például telefónia vagy e-mail; ii. távoli számítástechnikai szolgáltatások, mint számítógépes adattárolási és kezelési szolgáltatások.

(196) Az említett kizárások azonban korlátozottak. Például a 5 U.S.C. § 552 (b)(7) szerint a FOIA szerinti jogok nem érvényesíthetők „a bűnüldözési célokból összeállított nyilvántartások vagy információk esetében, hanem csupán akkor, ha e bűnüldözési nyilvántartások vagy információk közlése (A) megalapozottan feltételezhetően sértené a bűnüldözési eljárást, (B) megfosztana egy személyt a tisztességes eljáráshoz vagy a pártatlan elbíráláshoz való jogtól, (C) megalapozottan feltételezhetően egy személy magánéletébe történő indokolatlan beavatkozást jelentene, (D) megalapozottan feltételezhetően bizalmas információforrás kilétének felfedésével járna, ideértve az állami, helyi vagy külföldi ügynökségeket, illetve hatóságokat, vagy bármely magánintézményt, amely bizalmasan információkat szolgáltatott, valamint bűnüldöző hatóság által bűnügyi nyomozás során, vagy törvényes nemzetbiztonsági hírszerzési nyomozást folytató ügynökség által összeállított nyilvántartást vagy információkat, vagy bizalmas forrásból szolgáltatott információkat, (E) nyilvánosságra kerülnének a bűnügyi nyomozás és büntetőeljárás technikái és eljárásai, vagy nyilvánosságra kerülnének a bűnügyi nyomozásokra és büntetőeljárásokra vonatkozó iránymutatások, ha e nyilvánosságra jutás megalapozottan feltételezhetően a jog kijátszásának veszélyével járna, vagy (F) megalapozottan feltételezhetően veszélyeztetné valamely személy életét vagy testi épségét.” Továbbá „ha bármikor olyan kérelmet terjesztettek elő, amely nyilvántartásokhoz való hozzáférést érint [aminek teljesítése megalapozottan feltételezhetően sértené a bűnüldözési eljárást], valamint (A) a nyomozás vagy eljárás a büntetőjog esetleges megsértésére vonatkozik; és (B) alaposan feltételezhető, hogy i. a nyomozás vagy eljárás tárgyát képező személy nem tud a vele szembeni eljárásról, továbbá ii. a nyilvántartások létének közlése ésszerűen feltételezhetően sértené a bűnüldözési eljárást, az ügynökség – kizárólag e körülmények folyamatos fennállása során – úgy kezelheti e nyilvántartásokat, mint amelyek nem tartoznak az e szakaszba foglalt követelmények hatálya alá.” (5 U.S.C. § 552 (c)(1)).

(197) 18 U.S.C. §§ 2510 és azt követő rendelkezések. A lehallgatásról szóló törvény (18 U.S.C. § 2520) értelmében az a személy, akinek a vezetékes, szóbeli vagy elektronikus kommunikációját megszerezték, nyilvánosságra hozták vagy szándékosan felhasználták, polgári jogi keresetet indíthat a lehallgatási törvény megsértése miatt, bizonyos körülmények között egy egyéni kormányzati tisztviselővel vagy az Egyesült Államokkal szemben is. A címekre vonatkozó és egyéb nem tartalmi információk (pl. IP-címek, a címről/címre küldött e-mailek) tekintetében lásd továbbá a 18. cím lehallgató- és nyomkövető készülékekről szóló fejezetét (18 U.S.C. §§ 3121-3127, valamint a polgári jogi keresetek tekintetében § 2707).

(198) 18 U.S.C. § 1030. A számítógépes csalásról és visszaélésről szóló törvény értelmében egy adott személy bárki ellen – beleértve egyéni kormányzati tisztviselőket – keresetet indíthat amiatt, hogy szándékosan engedély nélküli hozzáférést létesítenek (vagy túllépik az engedélyezett hozzáférést), hogy adatokat szerezzenek egy pénzügyi intézményhez tartozó vagy amerikai kormányzati számítógépről vagy egyéb konkrét számítógépről.

(199) 28 U.S.C. §§ 2671 és azt követő rendelkezések. A kártérítési követelésekről szóló szövetségi törvény értelmében egy adott személy bizonyos körülmények között keresetet indíthat az Egyesült Államokkal szemben „a kormányzat hivatali vagy alkalmazotti hatáskörben eljáró valamely alkalmazottjának gondatlan vagy jogellenes cselekménye vagy mulasztása tekintetében.”

(200) 12 U.S.C. §§ 3401 és azt követő rendelkezések. A pénzügyi adatok védelméről szóló törvény értelmében egy adott személy bizonyos körülmények között keresetet indíthat az Egyesült Államokkal szemben amiatt, hogy a törvény megsértésével szereznek meg vagy hoznak nyilvánosságra védett pénzügyi nyilvántartásokat. A védett pénzügyi nyilvántartásokhoz való kormányzati hozzáférés általában véve tilos, kivéve, ha a kormány jogszerű bizonyítási cselekményben való közreműködésre kötelező határozat vagy kutatási parancs hatálya alá tartozó kérelmet vagy bizonyos korlátozásoktól függően hivatalos írásbeli kérelmet terjeszt elő, és az a személy, akinek az információit meg kívánják szerezni, értesítést kap az ilyen kérelemről.

(201) 15 U.S.C. §§ 1681-1681x. A méltányos hitelminősítésről szóló törvény értelmében egy adott személy keresetet indíthat bárkivel – bizonyos körülmények között akár kormányzati ügynökséggel – szemben, aki/amely nem tesz eleget a fogyasztói hitelminősítések beszerzésével, terjesztésével és használatával kapcsolatos követelményeknek (különösen a jogszerű engedélyezés szükségességének).

(202) A Bíróság elismerte, hogy a bűnüldözés jogos politikai célkitűzés. Lásd a C-293/12. és C-594/12. sz., Digital Rights Ireland és társai egyesített ügyekben hozott ítélet (EU:C:2014:238) 42. pontját. Lásd továbbá az EJEE 8. cikkének (2) bekezdését, valamint az Emberi Jogok Európai Bírósága Weber és Saravia kontra Németország ügyben (kereset sz.: 54934/00.) hozott ítéletének 104. pontját.

(203) Schrems-ügy, 40. és azt követő pontok, 101–103. pont.

(204) Schrems-ügy, 51., 52. és 62. pont.

(205) Schrems-ügy, 65. pont.

(206) Schrems-ügy, 76. pont.

(207) Az általános adatvédelmi rendelet alkalmazásának időpontjától a Bizottság élni fog azzal a jogkörével, hogy kellően indokolt, rendkívül sürgős esetben az e határozatot felfüggesztő végrehajtási aktust fogadjon el, amely a megfelelő komitológiai bizottságnak való előzetes benyújtás nélkül, haladéktalanul alkalmazandó, és hat hónapot meg nem haladó időszakig marad hatályban.

(208) 01/2016. sz. vélemény az EU–USA adatvédelmi pajzs megfelelőségéről szólói határozattervezetről, elfogadás: 2016. április 13.

(209) Az Európai Parlament 2016. május 26-i állásfoglalása a transzatlanti adatáramlásokról (2016/2727(RSP))

(2) A szövetségi választott bírósági törvény („FAA”) 2. fejezete úgy rendelkezik, hogy „egy akár szerződéses, akár másmilyen jogviszonyból eredő választott bírósági megállapodás vagy választott bírósági ítélet, amely kereskedelmi jellegű, beleértve egy [az FAA 2. pontjában] leírt tranzakciót, szerződést vagy megállapodást, a külföldi választott bírósági ítéletek elismeréséről és érvényesítéséről szóló 1958. június 10-i egyezmény, 21 U.S.T. 2519, T.I.A.S. No. 6997 (»New York-i Egyezmény«) hatálya alá esik.” 9 U.S.C. § 202. Az FAA tovább úgy rendelkezik, hogy „egy ilyen jogviszonyból eredő megállapodás vagy ítélet, amely teljes egészében az Egyesült Államok polgárai között jön létre, nem esik a [New York-i] Egyezmény hatálya alá – kivéve, ha a jogviszony magában foglal külföldön levő ingatlant, célja külföldön történő teljesítés vagy végrehajtás, vagy más módon indokolt kapcsolatban áll egy vagy több más állammal.”Uo. A 2. fejezetben „a választott bírósági eljárásban részt vevő bármelyik fél az e fejezet szerint hatáskörrel rendelkező bírósághoz fordulhat a választott bírósági eljárásban részt vevő másik féllel szemben hozott ítéletet megerősítő végzés érdekében. A bíróságnak meg kell erősítenie az ítéletet – kivéve, ha az említett [New York-i] Egyezményben az ítélet elismerésének vagy érvényesítésének elutasítására vagy elhalasztására meghatározott okok egyikét állapítja meg.”Uo. 207. § A 2. fejezet továbbá úgy rendelkezik, hogy „az Egyesült Államok kerületi bíróságainak.. .van alapvetően hatáskörük. .. egy [New York-i Egyezmény] szerinti kereset vagy eljárás esetén, függetlenül a vitatott összegtől.”Uo. 203. §

Az adatvédelmi pajzs elveinek betartására vonatkozó, nemzetbiztonsági okokból fennálló korlátozások tekintetében a nemzeti hírszerzés igazgatója irodájának főtanácsadója, Robert Litt is küldött két levelet Justin Antonipillai és Ted Dean számára a Kereskedelmi Minisztériumba, amelyet Önök is megkaptak. Ezek a levelek részletesen tárgyalják többek között az Egyesült Államok által folytatott jelfelderítési tevékenységekre vonatkozó politikákat, biztosítékokat és korlátozásokat. Ezenkívül ezek a levelek leírják a Hírszerző Közösség által ezekkel a kérdésekkel kapcsolatban biztosított átláthatóságot. Amikor a Bizottság értékeli az adatvédelmi pajzs keretrendszert, az ezekben a levelekben adott tájékoztatás biztosítékot nyújt annak a következtetésnek a levonására, hogy az adatvédelmi pajzs megfelelően fog működni az abban meghatározott elveknek megfelelően. Úgy tudjuk, hogy Ön a jövőben – egyéb információk mellett – a Hírszerző Közösség által nyilvánosan kiadott információkat kaphat az adatvédelmi pajzs keretrendszer éves felülvizsgálatára vonatkozóan.

Az adatvédelmi hatóságokkal folytatott együttműködés lehetőségeinek a növelése érdekében a Minisztérium kijelölt kapcsolattartót nevez ki a Minisztériumban, aki kapcsolattartóként jár el az adatvédelmi hatóságok felé. Azokban az esetekben, amikor egy adatvédelmi hatóság úgy gondolja, hogy egy szervezet nem teljesíti az elveket, beleértve azt az esetet, amikor egy uniós polgár panaszt nyújtott be, az adatvédelmi hatóság kapcsolatba léphet a Minisztérium kijelölt kapcsolattartójával a szervezet további felülvizsgálatra történő bejelentése érdekében. A kapcsolattartó azokra a szervezetekre vonatkozóan is kap bejelentést, amelyek hamisan állítják, hogy részt vesznek az adatvédelmi pajzsban, habár soha nem végeztek öntanúsítást az elvek teljesítésére vonatkozóan. A kapcsolattartó segít az adatvédelmi hatóságoknak adott szervezet öntanúsítására vagy a programban történt előző részvételére vonatkozó információk keresésében, és a kapcsolattartó válaszol az adatvédelmi hatóságnak az adott adatvédelmi pajzs követelmények megvalósításával kapcsolatos megkeresésére. Másodszor, a Minisztérium anyagokat biztosít az adatvédelmi hatóságoknak az adatvédelmi pajzsra vonatkozóan, amelyeket megjeleníthetnek a saját honlapjukon az átláthatóság növelése érdekében az uniós polgárok és uniós vállalkozások számára. Az adatvédelmi pajzs és a jogok és feladatok ezáltal biztosított jobb ismerete elősegíti a felmerülő problémák meghatározását azok megfelelő kezelése érdekében.

A Minisztérium növelte az adatvédelmi pajzs program igazgatására és felügyeletére szánt erőforrásokat, a program igazgatásáért és felügyeletéért felelős személyzet létszámának megduplázását is beleértve. Továbbra is megfelelő erőforrásokat szánunk az ilyen intézkedésekre a program hatékony felügyeletének és igazgatásának a biztosítása érdekében.

folyamatosan, amennyiben a szervezet: a) visszalép az adatvédelmi pajzsból, b) nem tanúsítja ismételten az elvek teljesítését, vagy c) törlik az adatvédelmi pajzs résztvevői közül mégpedig „ismétlődő nemteljesítés” miatt, vállalja, hogy hivatalból ellenőrzi, hogy a szervezet törölte a vonatkozó közzétett adatvédelmi szabályzatból a hivatkozást az adatvédelmi pajzsra, amely arra utal, hogy a szervezet továbbra is aktívan részt vesz az adatvédelmi pajzsban és jogosult annak előnyeire. Amennyiben a Minisztérium megállapítja, hogy az ilyen hivatkozásokat nem törölték, a Minisztérium figyelmezteti a szervezetet, hogy a Minisztérium adott esetben a megfelelő hatóságnak továbbítja az ügyet esetleges jogérvényesítésre, amennyiben továbbra is azt állítja, hogy tanúsította az adatvédelmi pajzs teljesítését. Ha a szervezet nem törli a hivatkozásokat és nem végez öntanúsítást az adatvédelmi pajzs követelményeinek teljesítéséről, a Minisztérium hivatalból továbbítja az ügyet az FTC, a DOT vagy más megfelelő jogérvényesítési hivatal számára, vagy intézkedik az adatvédelmi pajzs tanúsítási jel végrehajtásáról,

a vonatkozó adatvédelmi szabályzatában – ha az online is elérhető – a megoldatlan panaszok kivizsgálására rendelkezésre álló független jogorvoslati mechanizmus honlapjára vagy panasz-benyújtási formanyomtatványára mutató hiperlink is szerepel, valamint

Együttműködtünk a Bizottsággal az adatvédelmi pajzs kidolgozásában azért, hogy az Egyesült Államokban létrehozott szervezetek teljesítsék az uniós jogszabályok adatvédelemre vonatkozó megfelelőségi követelményeit. Az új keretrendszer az egyének és a vállalkozások számára is számos jelentős előnyt nyújt. Először is az uniós polgárok adatait jelentős adatvédelmi rendelkezésekkel védi. Előírja a részt vevő egyesült államokbeli szervezetek számára, hogy megfelelő adatvédelmi szabályzatot dolgozzanak ki, nyilvános kötelezettségvállalást tegyenek az adatvédelmi pajzs elveinek való megfelelés tekintetében azért, hogy a kötelezettségvállalás az amerikai jog alapján érvényesíthető legyen, évente újra tanúsítsák a megfelelésüket a Minisztérium számára, ingyenes független vitarendezési lehetőséget biztosítsanak az uniós polgárok részére, valamint az Egyesült Államok Szövetségi Kereskedelmi Bizottsága („FTC”), Közlekedési Minisztériuma („DOT”), illetve más jogérvényesítési hatóságok hatálya alá tartozzanak. Másodszor, az adatvédelmi pajzs lehetővé teszi az Egyesült Államokban működő vállalatok, valamint európai vállalatok egyesült államokbeli leányvállalatainak ezrei számára, hogy személyes adatokat kapjanak az Európai Unióból a transzatlanti kereskedelmet támogató adatáramlás elősegítése érdekében. A transzatlanti gazdasági kapcsolatok már most a legnagyobb volumenűek a világon, a globális gazdasági teljesítmény felét teszik ki, és közel egybillió dollár értékű áru és szolgáltatás kereskedelmét jelentik, amely több millió álláshelyet támogat az atlanti térség mindkét oldalán. A transzatlanti adatáramlásra támaszkodó vállalkozások valamennyi ipari ágazatot képviselik, köztük vannak a legnagyobb Fortune 500 listán szereplő cégek, valamint sok kis- és középvállalkozás (kkv). A transzatlanti adatáramlás lehetővé teszi az egyesült államokbeli szervezetek számára az áruk, szolgáltatások és munkalehetőségek európai polgárok számára történő nyújtásához szükséges adatok kezelését. Az adatvédelmi pajzs támogatja a közös adatvédelmi elveket, a jogi eljárásaink közötti eltérések áthidalását, miközben elősegíti Európa és az Egyesült Államok kereskedelmi és gazdasági célkitűzéseit.

(1) Amennyiben az EU–USA adatvédelmi pajzs által biztosított védelem megfelelőségére vonatkozó bizottsági határozat Izlandra, Liechtensteinre és Norvégiára is alkalmazandó, az adatvédelmi pajzs egyaránt lefedi majd Európai Uniót és ezt a három országot. Következtetésképpen az EU-ra és annak tagállamaira való hivatkozások úgy értelmezendők, hogy azok Izlandra, Liechtensteinre és Norvégiára is vonatkoznak.

(2) A szövetségi választott bírósági törvény („FAA”) 2. fejezete úgy rendelkezik, hogy „egy akár szerződéses, akár másmilyen jogviszonyból eredő választott bírósági megállapodás vagy választott bírósági ítélet, amely kereskedelmi jellegű, beleértve egy [az FAA 2. pontjában] leírt tranzakciót, szerződést vagy megállapodást, a külföldi választott bírósági ítéletek elismeréséről és érvényesítéséről szóló 1958. június 10-i egyezmény, 21 U.S.T. 2519, T.I.A.S. No. 6997 (»New York-i Egyezmény«) hatálya alá esik.” 9 U.S.C. § 202. Az FAA tovább úgy rendelkezik, hogy „egy ilyen jogviszonyból eredő megállapodás vagy ítélet, amely teljes egészében az Egyesült Államok polgárai között jön létre, nem esik a [New York-i] Egyezmény hatálya alá – kivéve, ha a jogviszony magában foglal külföldön levő ingatlant, célja külföldön történő teljesítés vagy végrehajtás, vagy más módon indokolt kapcsolatban áll egy vagy több más állammal.”Uo. A 2. fejezetben „a választott bírósági eljárásban részt vevő bármelyik fél az e fejezet szerint hatáskörrel rendelkező bírósághoz fordulhat a választott bírósági eljárásban részt vevő másik féllel szemben hozott ítéletet megerősítő végzés érdekében. A bíróságnak meg kell erősítenie az ítéletet – kivéve, ha az említett [New York-i] Egyezményben az ítélet elismerésének vagy érvényesítésének elutasítására vagy elhalasztására meghatározott okok egyikét állapítja meg.”Uo. 207. § A 2. fejezet továbbá úgy rendelkezik, hogy „az Egyesült Államok kerületi bíróságainak.. .van alapvetően hatáskörük. .. egy [New York-i Egyezmény] szerinti kereset vagy eljárás esetén, függetlenül a vitatott összegtől.”Uo. 203. §

(1) Amennyiben az EU–USA adatvédelmi pajzs által biztosított védelem megfelelőségére vonatkozó bizottsági határozat Izlandra, Liechtensteinre és Norvégiára is alkalmazandó, az adatvédelmi pajzs egyaránt lefedi majd Európai Uniót és ezt a három országot. Következtetésképpen az EU-ra és annak tagállamaira való hivatkozások úgy értelmezendők, hogy azok Izlandra, Liechtensteinre és Norvégiára is vonatkoznak.

Az FTC kötelezettséget vállalt arra, hogy soron kívül kivizsgálja az alábbi felektől kapott, az elvek állítólagos be nem tartásával kapcsolatos megkereséseket: i. adatvédelmi önszabályozó szervezetek és más független vitarendezési szervek; ii. uniós tagállamok; és iii. a Minisztérium, annak a meghatározására, hogy a Szövetségi Kereskedelmi Bizottságról szóló törvény tisztességtelen vagy megtévesztő kereskedelmi eljárások vagy gyakorlatok tiltásáról szóló 5. szakaszát megszegték-e. Ha az FTC arra a következtetésre jut, hogy okkal feltételezi, hogy az 5. szakaszt megszegték, megoldhatja az ügyet a kifogásolt gyakorlatot megtiltó, abbahagyásra kötelező meghagyással, vagy panasz benyújtásával valamelyik szövetségi kerületi bírósághoz, amelynek az eredménye siker esetén az ugyanilyen tartalmú szövetségi bírósági végzés lehet. Ide tartozik az adatvédelmi pajzs elvei teljesítésének vagy az adatvédelmi pajzsban való részvételnek a hamis állítása olyan szervezetek részéről, amelyek vagy már nem szerepelnek az adatvédelmi pajzs listán, vagy soha nem nyújtottak be öntanúsítást a Minisztériumhoz. Az FTC az adott magatartás beszüntetésére kötelező meghagyás megsértéséért polgári szankciókat eszközölhet ki, míg a szövetségi bírósági végzés megsértéséért polgári vagy bűnvádi engedetlenség címén indíthat pert. Az FTC értesíti a Minisztériumot bármilyen ilyen irányú fellépéséről. A Minisztérium arra ösztönzi az egyéb kormányzati szerveket, hogy értesítsék az ilyen megkeresésekre vonatkozó végleges intézkedésekről vagy az adatvédelmi pajzs elvekhez való csatlakozást meghatározó más döntésekről.

A jogvitákat eldöntő szerv által nyújtott bármilyen jogorvoslatnak azt kell eredményeznie, hogy a nemteljesítés hatását a szervezet visszafordítsa vagy kijavítsa, amennyiben ez megvalósítható, és a szervezet által a jövőben végzett adatkezelés összhangba kerüljön az elvekkel, valamint – adott esetben – a panaszt tevő egyén személyes adatainak szüntessék be. A szankcióknak kellőképpen szigorúaknak kell lenniük ahhoz, hogy biztosítsák az elvek szervezet általi betartását. A változó szigorúságú szankciók skálája a jogvitát eldöntő szervek számára lehetővé teszi a nemteljesítés különböző fokozatainak megfelelő választ. A szankcióknak magukban kell foglalniuk a nemteljesítésre vonatkozó megállapítások közzétételét és bizonyos körülmények között az adatok törlésére vonatkozó követelményt (6) . Más szankciók magukban foglalhatják a pecsét felfüggesztését és eltávolítását, az egyének ellentételezését a nemteljesítés következtében felmerült veszteségekért és a felfüggesztő végzéseket. A magánfelek jogvitáit eldöntő szerveknek és az önszabályozó testületeknek értesíteniük kell a megfelelő joghatósággal rendelk