E megállapítások alapján a Bizottság azt a következtetést vonja le, hogy az Egyesült Államok továbbra is megfelelő szintű védelmet biztosít az Európai Unióból az egyesült államokbeli szervezetekhez továbbított személyes adatok számára.

Az éves felülvizsgálat bizonyította, hogy az egyesült államokbeli hatóságok bevezették az adatvédelmi pajzs megfelelő működéséhez szükséges struktúrákat és eljárásokat. A tanúsítási eljárás összességében kielégítően zajlott, és eddig több mint 2 400 vállalkozás tanúsítása történt meg. Az egyesült államokbeli hatóságok panaszkezelési és jogérvényesítési mechanizmusokat és eljárásokat vezettek be a személyhez fűződő jogok védelme érdekében. Szintén ide sorolhatók az uniós polgárok számára biztosított további jogorvoslati lehetőségek, például a választottbírói testület vagy az ombudsman mechanizmusa. Ami az utóbbit illeti, a 2017. januári kormányváltást követően megbízott ombudsmant jelöltek ki; az állandó ombudsman kinevezése folyamatban van. Az európai adatvédelmi hatóságokkal folytatott együttműködés új lendületet kapott. A közigazgatási szervek személyes adatokhoz való, nemzetbiztonsági célú hozzáférése tekintetében az amerikai oldalon továbbra is érvényben maradnak a vonatkozó biztosítékok, nevezetesen azok, amelyek a 2014-ben kibocsátott 28. sz. elnöki politikai irányelven alapulnak. Ez az irányelv korlátozásokat és biztosítékokat határoz meg a személyes adatok nemzetvédelmi hatóságok általi felhasználására vonatkozóan, függetlenül az érintett személy állampolgárságától. Ezzel összefüggésben meg kell jegyezni, hogy az USA külföldi hírszerzői tevékenység megfigyeléséről szóló törvényének (FISA) 702. szakasza 2017. december 31-én hatályát veszti, és a reformjavaslatokról szóló tárgyalások jelenleg folynak a Kongresszusban.

Az éves felülvizsgálathoz felhasználtak továbbá nyilvánosan hozzáférhető anyagokat is, köztük bírósági ítéleteket, a vonatkozó egyesült államokbeli hatóságok végrehajtási szabályait és eljárásait, társadalmi szervezetek által készített jelentéseket és tanulmányokat, az adatvédelmi pajzs alapján tanúsított vállalkozások által közzétett átláthatósági jelentéseket, sajtócikkeket és más médiatudósításokat.

Az Egyesült Államok részéről a Kereskedelmi Minisztérium, a Szövetségi Kereskedelmi Bizottság (FTC), a Közlekedési Minisztérium, a Külügyminisztérium, a Nemzeti Hírszerzés Igazgatójának Hivatala (ODNI) és az Igazságügyi Minisztérium képviselői, valamint a megbízott ombudsman, az Adatvédelmi és Polgári Szabadságjogi Felügyelő Tanács (a továbbiakban: PCLOB) egy tagja és a Hírszerző Közösség Főellenőri Hivatala vettek részt a felülvizsgálatban. Ezenkívül az adatvédelmi pajzs keretében független vitarendezést nyújtó szervezetek képviselői, az Amerikai Választottbírói Egyesület – mint az adatvédelmi pajzsért felelős választottbírói testület igazgatója – és néhány, az adatvédelmi pajzs alapján tanúsított vállalkozás is információkat szolgáltattak az éves felülvizsgálat során.

A Bizottság elkötelezett amellett, hogy a megfelelőségre vonatkozó megállapításait évente értékelje, és e célból minden évben elvégzi az adatvédelmi pajzs működésének felülvizsgálatát. Az adatvédelmi pajzs működésének első éves felülvizsgálata e jelentéssel lezárul. A felülvizsgálat kiterjedt az adatvédelmi pajzs összes szempontjára, ideértve többek között az adatvédelmi pajzs keretének az illetékes egyesült államokbeli hatóságok és szervek által végrehajtását, igazgatását, felügyeletét és érvényesítését, valamint az egyesült államokbeli közigazgatási szervek általi, az adatvédelmi pajzs keretében továbbított személyes adatokhoz nemzetbiztonsági, bűnüldözési és egyéb közérdekű célból történő hozzáféréssel kapcsolatos kérdéseket. Továbbá magában foglalta az automatizált döntéshozatal specifikus témakörére irányuló párbeszédet, valamint az egyesült államokbeli jogrendszer olyan tavalyi fejleményeinek értékelését is, amelyek befolyásolhatják az adatvédelmi pajzs működését.

Az adatvédelmi pajzs tükrözi az Európai Bíróság Schrems-ügyben hozott ítéletében meghatározott elveket és követelményeket, amelyek érvénytelenítették a védett adatkikötőre vonatkozó korábbi keretet. A védett adatkikötőhöz képest számos új elemet tartalmaz, amelyek javítják az Egyesült Államokba továbbított személyes adatok védelmét. Ez magában foglalja az adatvédelmi pajzs alapján tanúsított vállalkozásokra vonatkozó szigorúbb kötelezettségeket, ideértve például annak korlátozását, hogy egy vállalkozás milyen hosszú ideig őrizheti meg a személyes adatokat („adatmegőrzési elv”), valamint azokat a feltételeket, amelyek fennállása esetén az adatok megoszthatók a kereten kívüli harmadik felekkel („a harmadik fél részére történő adattovábbítás elszámolhatóságának elve”). Az adatvédelmi pajzs arról is rendelkezik, hogy az USA Kereskedelmi Minisztériumának rendszeresebb és szigorúbb nyomon követést bkell folytatnia, továbbá jelentősen javítja az uniós polgárok jogorvoslati lehetőségeit. Ezen túlmenően az adatvédelmi pajzs az Egyesült Államok Kormányának kifejezett írásbeli nyilatkozataira és biztosítékaira épül, miszerint a közigazgatási szervek csak egyértelmű korlátozások és biztosítékokmellett férhetnek hozzá nemzetbiztonsági, bűnüldözési és egyéb közérdekű célból az adatvédelmi pajzs keretében továbbított személyes adatokhoz. E célból egy teljesen új jogorvoslati mechanizmust vezet be – az ombudsman mechanizmusát.

Ugyanakkor a Bizottság úgy véli, hogy az adatvédelmi pajzs keretének gyakorlati végrehajtása tovább javítható annak biztosítása érdekében, hogy a keret által nyújtott garanciák és biztosítékok továbbra is az eredeti szándéknak megfelelően működjenek.

E célból a Bizottság a következő ajánlásokat fogalmazza meg:

2.1.A vállalkozások ne hivatkozhassanak nyilvánosan az adatvédelmi pajzsra vonatkozó tanúsításukra azt megelőzően, hogy lezárulna a tanúsítási eljárás a Kereskedelmi Minisztériumnál

Az éves felülvizsgálat során fény derült arra, hogy azok a vállalkozások, amelyek kérték az adatvédelmi pajzsra vonatkozó tanúsításukat, de amelyek tanúsítását a Kereskedelmi Minisztérium még nem véglegesítette, már nyilvánosan hivatkozhatnak az adatvédelmi pajzsra vonatkozó tanúsításukra. Következésképpen a nyilvánosan hozzáférhető információk és a Kereskedelmi Minisztérium adatvédelmi pajzsra vonatkozó listája között eltérés mutatkozhat, mivel utóbbiban még nem szerepelnek azok a vállalkozások, amelyek tanúsítása még nem zárult le. Az ilyen ellentmondás bizonytalanságot okozhat az EU-ban azon uniós polgárok és vállalkozások körében, akik vagy amelyek adatokat kívánnak továbbítani az Egyesült Államokba, továbbá növeli a részvételre vonatkozó nem helytálló nyilatkozatok kockázatát, aláásva az egész keretrendszer hitelességét.

Fentiekre tekintettel a Bizottság azt ajánlja, hogy a vállalkozások csak azt követően hivatkozhassanak nyilvánosan az adatvédelmi pajzsra vonatkozó tanúsításukra, hogy a Kereskedelmi Minisztérium lezárta a tanúsítási eljárást, és felvette az adott vállalkozást az adatvédelmi pajzsra vonatkozó listára. A Kereskedelmi Minisztérium által a vállalkozásoknak nyújtott, a tanúsítási eljárással kapcsolatos információkat – ideértve az adatvédelmi pajzs honlapjára vonatkozó információkat is – ki kell igazítani annak egyértelművé tétele érdekében, hogy a vállalkozások nem hivatkozhatnak nyilvánosan a kerethez való csatlakozásukra az adatvédelmi pajzsra vonatkozó listára való felkerülésük előtt.

2.2.Az Egyesült Államok Kereskedelmi Minisztériuma proaktívan és rendszeresen végezzen kereséseket a nem helytálló nyilatkozatok kiszűrésére

A Bizottság azt ajánlja, hogy a Kereskedelmi Minisztérium végezzen proaktív és rendszeres keresést az adatvédelmi pajzsban való részvételre vonatkozó nem helytálló nyilatkozatok kiszűrésére, nem csupán a tanúsítási eljárás során – például azon vállalkozások tekintetében, amelyek a tanúsítási eljárást elindították, de nem fejezték be, és ennek ellenére már azt állítják, hogy részt vesznek az adatvédelmi pajzsban –, hanem általánosabban is az olyan vállalkozások esetében, amelyek jóllehet sohasem kértek tanúsítást, olyan nyilatkozatokat tesznek a nyilvánosság felé, amelyek azt sugallják, hogy teljesítik a keret követelményeit. E célból a Kereskedelmi Minisztériumnak további intézkedéseket kell tennie, ideértve az internetes kereséseket is. Az adatvédelmi pajzs elődjével, a védett adatkikötő programmal kapcsolatos tapasztalatokból már megállapíthattuk, hogy nem ritkán fordul elő félrevezető gyakorlat, és ez gyengítheti a rendszer egészének hitelességét és stabilitását.

2.3.A Kereskedelmi Minisztérium folyamatosan ellenőrizze az adatvédelmi pajzzsal kapcsolatos elveknek való megfelelést

A Bizottság azt ajánlja, hogy a Kereskedelmi Minisztérium rendszeresen végezzen megfelelőségi ellenőrzést. A megfelelőségi ellenőrzések történhetnek például a megfelelőségi felülvizsgálatra vonatkozó kérdőívek formájában, melyeket a tanúsított vállalkozások egy reprezentatív mintájának küldenek meg egy adott támakörre vonatkozóan (például harmadik fél részére történő adattovábbítás, adatmegőrzés), vagy a Kereskedelmi Minisztérium szisztematikusan kérheti az éves megfelelőségi jelentések benyújtását (amely lehet akár önértékelés, akár külső megfelelőségi felülvizsgálat) az újratanúsítást kérelmező tanúsított vállalatoktól. A Kereskedelmi Minisztérium ezáltal felhasználhatná az éves megfelelőségi jelentéseket az esetleges olyan megfelelőségi kérdések azonosításához, amelyek további nyomonkövetési intézkedést igényelnek egy adott vállalkozás újratanúsítása előtt, valamint a keret működését érintő olyan rendszerszintű hiányosságok azonosításához, amelyeket orvosolni kell.

2.4.Fokozni kell a figyelemfelkeltő tevékenységeket

A Bizottság arra ösztönzi a Kereskedelmi Minisztériumot és a tagállamok nemzeti adatvédelmi hatóságait, hogy folytassák és fokozzák a figyelemfelkeltésre irányuló erőfeszítéseiket, ahogyan azt már az elmúlt évben is tették.

Az uniós polgárok hatékonyabb védelme érdekében a tagállamok nemzeti adatvédelmi hatóságai a Bizottsággal együttműködve fokozhatnák az uniós polgárok azzal kapcsolatos tájékoztatására irányuló erőfeszítéseiket, hogy hogyan élhetnek jogaikkal az adatvédelmi pajzs keretében, különös tekintettel a panaszbenyújtás módjára.

2.5. Javítani kell a jogalkalmazó hatóságok közötti együttműködést

A Bizottság azt ajánlja, hogy a Kereskedelmi Minisztérium és a tagállamok nemzeti adatvédelmi hatóságai működjenek együtt – szükség esetén az FTC bevonásával – az adatvédelmi pajzs további pontosítást igénylő egyes fogalmainak értelmezéséről szóló iránymutatás kidolgozása céljából. Ez javítaná a keretet az Atlanti-óceán mindkét partján végrehajtó és érvényesítő hatóságok közötti együttműködést, erősítené az adatvédelmi pajzsra vonatkozó szabályok értelmezésével kapcsolatos konvergenciát, valamint növeléné a vállalkozások jogbiztonságát.

Az első éves felülvizsgálatból kitűnik, hogy a harmadik fél részére történő adattovábbítás elszámolhatóságának elve és a humánerőforrás-adatok fogalommeghatározása például olyan fogalmak, amelyek további pontosítást igényelnének.

2.6. Készítsenek tanulmányt az automatizált döntéshozatalról

Annak érdekében, hogy pontosabb következtetéseket vonhassunk le az automatizált döntéshozatallal kapcsolatos kérdésekről, többek között a következő éves felülvizsgálatra tekintettel is, a Bizottság tanulmányt fog készíttetni annak érdekében, hogy ténybeli bizonyítékokat gyűjtsön és alaposabban értékelje az automatizált döntéshozatal relevanciáját az adatvédelmi pajzs alapján végrehajtott adattovábbítások szempontjából.

2.7. A 28. sz. elnöki politikai irányelvben (PPD-28) foglalt védelmi biztosítékokat rögzítsék a külföldi hírszerzői tevékenység megfigyeléséről szóló törvényben

A külföldi hírszerzői tevékenység megfigyeléséről szóló törvény (FISA) 702. szakaszának újraengedélyezéséről szóló küszöbön álló vita egyedülálló alkalmat kínál az Egyesült Államok Kormánya és Kongresszusa számára a FISA-ban foglalt adatvédelmi rendelkezések megerősítésére. Ezzel összefüggésben a Bizottság reméli, hogy a Kongresszus jóváhagyja a 28. sz. elnöki politikai irányelv (PPD-28) által biztosított védelmi biztosítékok külföldiekre való kiterjesztésének rögzítését a FISA-ban, a szóban forgó védelmi biztosítékok szilárdságának és folyamatosságának biztosítása céljából. Az esetleges további reformokat – az érdemi korlátozásokat és az eljárási biztosítékokat illetően egyaránt – a PPD-28 szellemében kell végrehajtani, azaz az állampolgárságtól és a lakóhely szerinti államtól függetlenül védelmet kell biztosítani.

2.8. Nevezzék ki mielőbb az adatvédelmi pajzsért felelős ombudsmant