1.A HARMADIK ÉVES FELÜLVIZSGÁLAT – HÁTTÉR, ELŐKÉSZÍTÉS ÉS FOLYAMAT

2016. július 12-én a Bizottság határozatot fogadott el (a továbbiakban: a megfelelőségi határozat), amelyben megállapította, hogy az EU–USA adatvédelmi pajzs megfelelő szintű védelmet biztosít az EU-ból az USA-beli szervezetekhez továbbított személyes adatok számára. A megfelelőségi határozat előírja különösen, hogy a Bizottság évente értékeli a keret valamennyi elemének működését, és ennek alapján az Európai Parlamentnek és a Tanácsnak benyújtandó nyilvános jelentést készít.

Az első éves felülvizsgálatra 2017 szeptemberében került sor Washingtonban, a Bizottság pedig 2017 októberében elfogadta az Európai Parlamentnek és a Tanácsnak szóló jelentését, amelyet egy bizottsági szolgálati munkadokumentum (SWD(2017)344 final) kísért. A Bizottság azt a következtetést vonta le, hogy az USA továbbra is megfelelő szintű védelmet biztosít az adatvédelmi pajzs keretében az EU-ból az USA-ba továbbított adatok számára, azonban a keret gyakorlati működésének javítása céljából tíz ajánlást fogalmazott meg.

A második éves felülvizsgálatra 2018 októberében került sor Brüsszelben, a Bizottság pedig 2018 decemberében elfogadta az Európai Parlamentnek és a Tanácsnak szóló jelentését, amelyet ismét egy bizottsági szolgálati munkadokumentum (SWD(2018)487 final) kísért. A második éves felülvizsgálat keretében gyűjtött információk megerősítették a Bizottság megfelelőségi határozatában tett megállapításait, mind a keret „kereskedelmi vonatkozásaival” (vagyis a tanúsított vállalkozásoknak az adatvédelmi pajzs követelményeinek való megfelelésével, valamint e követelményeknek az Egyesült Államok illetékes hatóságai általi igazgatásával, felügyeletével és érvényesítésével kapcsolatos kérdések), mind pedig a hatóságoknak az adatvédelmi pajzs keretében továbbított személyes adatokhoz való hozzáférésével kapcsolatos kérdések tekintetében.

Különösen az első éves felülvizsgálatot követően megfogalmazott bizottsági ajánlások végrehajtása érdekében tett lépések javították a keret gyakorlati működésének számos vonatkozását. Például a Kereskedelmi Minisztérium új mechanizmusokat vezetett be az esetleges megfelelési problémák feltárására, a Szövetségi Kereskedelmi Bizottság proaktívabb megfelelőség-ellenőrzési és jogérvényesítési megközelítést fogadott el, valamint nyilvánosságra hozták a Polgári Szabadságjogi Felügyelő Tanácsnak a 28. sz. elnöki politikai irányelv végrehajtásáról szóló jelentését. Egyes említett intézkedésekre azonban csak közvetlenül a második éves felülvizsgálat előtt került sor, és bizonyos folyamatok még nem fejeződtek be, ezért a Bizottság azt a következtetést vonta le, hogy szorosan nyomon kell követni a szóban forgó folyamatokkal és mechanizmusokkal kapcsolatos további fejleményeket.

Emellett – bár a megbízott külügyminiszter-helyettes ellátta az adatvédelmi pajzsért felelős ombudsman feladatkörét, így az ombudsmani mechanizmus teljes körűen működött – a Bizottság hangsúlyozta az adatvédelmi pajzsért felelős ombudsmani tisztség állandó betöltésének fontosságát, és mindenekelőtt arra kérte az Egyesült Államok kormányát, hogy 2019. február 28-ig döntsön az e tisztségre kijelölt személyről.

A harmadik éves felülvizsgálati ülésre 2019. szeptember 12–13-án Washingtonban került sor. A felülvizsgálatot Tiina Astola, a jogérvényesülésért és a fogyasztópolitikáért felelős főigazgató, Wilbur Ross, az Egyesült Államok kereskedelmi minisztere, Joseph Simons, a Szövetségi Kereskedelmi Bizottság elnöke, valamint Ventsislav Karadjov, az Európai Adatvédelmi Testület alelnöke nyitotta meg. Az EU részéről az Európai Bizottság Jogérvényesülési és Fogyasztópolitikai Főigazgatóságának képviselői folytatták le az ülést. Az Európai Adatvédelmi Testület által kijelölt nyolc képviselő szintén részt vett ezen az ülésen.

Az Egyesült Államok részéről a Kereskedelmi Minisztérium, a Külügyminisztérium, a Szövetségi Kereskedelmi Bizottság, a Közlekedési Minisztérium, a Nemzeti Hírszerzés Igazgatójának Hivatala és az Igazságügyi Minisztérium képviselői, továbbá a Polgári Szabadságjogi Felügyelő Tanács tagjai, valamint az (állandó megbízatással, lásd lent) újonnan kinevezett ombudsman és a Hírszerző Közösség főellenőre vettek részt a felülvizsgálatban. Ezen túlmenően az adatvédelmi pajzs keretében független vitarendezést biztosító két szervezet képviselői, valamint az adatvédelmi pajzzsal foglalkozó választottbírói testületet igazgató Amerikai Választottbírói Egyesület szolgáltattak információkat a releváns felülvizsgálati ülések során. Végezetül az éves felülvizsgálathoz hozzájárultak az adatvédelmi pajzs alapján tanúsított vállalkozások prezentációi arról, hogy a vállalkozásoknak milyen intézkedéseket kell tenniük, hogy megfeleljenek a keret követelményeinek.

A harmadik éves felülvizsgálat előkészítése során a Bizottság információkat gyűjtött az érdekelt felektől (különösen az adatvédelmi pajzs alapján tanúsított vállalkozásoktól azok szakmai szövetségein keresztül, valamint az alapvető jogok – és különösen a digitális jogok és a magánélet tiszteletben tartásához való jog – területén tevékenykedő nem kormányzati szervezetektől). Az írásbeli hozzászólások gyűjtése mellett a Bizottság 2019. szeptember 9-én ipari és vállalkozói szövetségekkel, 2019. szeptember 11-én pedig nem kormányzati szervezetekkel tartott megbeszéléseket.

A Bizottság megállapításaihoz felhasználtak továbbá nyilvánosan hozzáférhető anyagokat is, köztük bírósági ítéleteket, az Egyesült Államok érintett hatóságainak végrehajtási szabályait és eljárásait, nem kormányzati szervezetek által készített jelentéseket és tanulmányokat, az adatvédelmi pajzs alapján tanúsított vállalkozások által közzétett átláthatósági jelentéseket, független jogorvoslati mechanizmusok éves jelentéseit, valamint médiatudósításokat.

A mostani jelentés lezárja az adatvédelmi pajzs működésének harmadik éves felülvizsgálatát. A jelentés, valamint az azt kísérő bizottsági szolgálati munkadokumentum (SWD(2019)390 final) szerkezete megegyezik az előző két felülvizsgálatról szóló dokumentumokéval. A jelentés az adatvédelmi pajzs működésének minden vonatkozására kiterjed, különösen azokra az elemekre összpontosítva, amelyekről a Bizottság a második éves felülvizsgálat során megállapította, hogy szoros nyomon követést igényelnek.

A Bizottság az általa végzett értékelés során figyelembe vette a tavaly bekövetkezett további fejleményeket is, ideértve az adatvédelmi pajzzsal kapcsolatosan az Európai Unió Bírósága előtt folyamatban lévő peres ügyet is. E tekintetben a felülvizsgálat lehetőséget nyújtott a Bizottságnak, hogy az Egyesült Államok hatóságaival tisztázzon bizonyos, az Egyesült Államok külföldi hírszerzési információk gyűjtését szabályozó jogi keretével kapcsolatos konkrét kérdéseket, amelyek az úgynevezett Schrems II-ügyben merültek fel. Mindazonáltal előfordulhat, hogy a Bizottságnak újra kell értékelnie a helyzetet, miután a Bíróság ítéletet hoz a folyamatban lévő ügyekben.

2.MEGÁLLAPÍTÁSOK

Az adatvédelmi pajzs – amelyben az éves felülvizsgálati ülés időpontjában több mint 5 000 vállalkozás vett részt – működésének harmadik évében az induló szakaszból egy operatívabb szakaszba jutott. A harmadik éves felülvizsgálat, amely mind a kereskedelmi vonatkozásokra, mind pedig a személyes adatokhoz való kormányzati hozzáféréssel kapcsolatos kérdésekre kiterjedt, a keret gyakorlati alkalmazása során szerzett tapasztalatokra és tanulságokra összpontosított.

Az adatvédelmi pajzs működésére vonatkozó, a keret harmadik éves működése nyomán tett részletes megállapításokat az EU–USA adatvédelmi pajzs működésének harmadik éves felülvizsgálatáról szóló bizottsági szolgálati munkadokumentum (SWD(2019)390 final) tartalmazza, amely ezt a jelentést kíséri.

2.1.Kereskedelmi vonatkozások

A tavalyi éves felülvizsgálat megállapításainak fényében a Bizottság kereskedelmi vonatkozásokkal kapcsolatos értékelése elsősorban a Kereskedelmi Minisztérium által a következők terén elért eredményekre összpontosított: i. az újratanúsítás folyamata, ii. a Kereskedelmi Minisztérium által a tanúsított vállalkozások proaktív megfelelőség-ellenőrzése céljából bevezetett mechanizmusok hatékonysága (az úgynevezett „helyszíni ellenőrzések”), iii. a valótlan állítások feltárása érdekében bevezetett eszközök, iv. a Szövetségi Kereskedelmi Bizottság által az adatvédelmi pajzs megsértésével kapcsolatban hozott jogérvényesítési intézkedések előrehaladása és eredménye, valamint v. a humánerőforrás-adatokra vonatkozó iránymutatással kapcsolatos fejlemények.

Az újratanúsítási folyamat tekintetében a harmadik éves felülvizsgálat során kiderült, hogy ha egy vállalkozás az (újra)tanúsítási időszak lejártakor még nem fejezte be az újratanúsítási folyamatot, a Kereskedelmi Minisztérium – rendszeres gyakorlatként – belső eljárást követően jelentős hosszúságú „türelmi időt” biztosít a vállalkozás számára. Ezen időszak alatt (körülbelül 3,5 hónapig, vagy – bizonyos esetekben és attól függően, hogy a Kereskedelmi Minisztérium mikor észleli, hogy a tanúsítási folyamat nem zárult le – akár hosszabb ideig is), a vállalkozás az adatvédelmi pajzs „aktív” listáján marad. Ameddig a vállalkozás az adatvédelmi pajzs résztvevőjeként jelenik meg, a keret alapján fennálló kötelezettségek kötelező érvényűek és teljes mértékben érvényesíthetők maradnak. Ugyanakkor egy ilyen hosszú időszak, amely alatt a vállalkozás újratanúsításának határideje lejárt, miközben a vállalkozás továbbra is az adatvédelmi pajzs aktív résztvevőjeként jelenik meg, csökkenti az adatvédelmi pajzsban részt vevő szervezetek listájának átláthatóságát és érthetőségét az uniós vállalkozások és egyének számára egyaránt. Ez nem ösztönzi a részt vevő vállalkozásokat sem, hogy szigorúan tartsák be az évenkénti újratanúsítás követelményét.

A vállalkozások a tekintetben történő proaktív ellenőrzését illetően, hogy betartják-e az adatvédelmi pajzs követelményeit, a Kereskedelmi Minisztérium 2019 áprilisában olyan rendszert vezetett be, amelyben havonta 30 vállalkozást ellenőriz. A Bizottság üdvözli, hogy a Kereskedelmi Minisztérium rendszeresen és módszeresen proaktív helyszíni megfelelés-ellenőrzéseket végez, ami nagyon fontos a keretnek való megfelelés általános javítása és az olyan esetek feltárása szempontjából, amelyekben a Szövetségi Kereskedelmi Bizottság által hozott jogérvényesítési intézkedésre van szükség. Megjegyzi azonban, hogy ezek a helyszíni ellenőrzések rendszerint olyan formális követelményekre korlátozódnak, mint a kijelölt kapcsolattartó válaszának elmaradása vagy a vállalkozás adatvédelmi szabályzata online elérhetőségének hiánya. Bár ezek kétségkívül az adatvédelmi pajzs követelményeinek való megfelelés lényeges szempontjai, az említett ellenőrzéseknek az érdemi kötelezettségekre is ki kell terjedniük (például a harmadik fél részére történő adattovábbítással kapcsolatos elszámoltathatóság elvének betartása), teljes mértékben kihasználva azokat az eszközöket, amelyeket a Kereskedelmi Minisztérium a keret alapján igénybe vehet. A harmadik fél részére történő adattovábbításra vonatkozó követelményeket jelentősen megszigorították az adatvédelmi pajzsban, mivel ezekben a helyzetekben a biztosítékok hiánya miatt sérülne a keret által garantált védelem. Bár a helyszíni ellenőrzéseket továbbra is rendszeresen és módszeresen kell végezni, e lényegesebb követelményeknek való megfelelés szintén alapvető fontosságú az adatvédelmi pajzs folytonossága szempontjából, amelyet az amerikai hatóságoknak szigorúan ellenőrizniük kell és be kell tartatniuk.