Kalbant apie pakartotinio sertifikavimo procesą, atlikus trečiąją metinę peržiūrą paaiškėjo, kad paprastai baigiantis (pakartotinio) sertifikavimo laikotarpiui, jei įmonė dar nėra užbaigusi pakartotinio sertifikavimo proceso, Prekybos departamentas, laikydamasis vidaus procedūros, tai įmonei suteikia gana ilgą lengvatinį laikotarpį. Šį laikotarpį, kuris trunka maždaug 3,5 mėnesio arba – kai kuriais atvejais ir atsižvelgiant į tai, kada Prekybos departamentas nustato, kad pakartotinio sertifikavimo procesas nebaigtas, – net ilgiau, įmonė tebebūna įtraukta į vadinamąjį aktyvų privatumo skydo sąrašą. Tol, kol įmonė yra įtraukta kaip dalyvaujanti privatumo skydo sistemoje, pagal šią sistemą taikomi įpareigojimai tebėra privalomi ir visapusiškai vykdytini. Vis dėlto dėl tokio ilgo laikotarpio, per kurį pasibaigia įmonės pakartotinio sertifikavimo terminas, tačiau ji tebėra įtraukta į aktyvių privatumo skydo sistemos dalyvių sąrašą, tiek ES įmonėms, tiek piliečiams mažėja privatumo skydo sąrašo skaidrumas ir aiškumas. Be to, taip dalyvaujančios įmonės neskatinamos griežtai laikytis metinio pakartotinio sertifikavimo reikalavimo.

Kalbant apie JAV, atliekant šią peržiūrą dalyvavo Prekybos departamento, Valstybės departamento, Federalinės prekybos komisijos, Transporto departamento, Nacionalinės žvalgybos direktoriaus biuro ir Teisingumo departamento atstovai, Privatumo ir pilietinių laisvių priežiūros valdybos nariai, taip pat naujai paskirtas (nuolatinis, žr. toliau) ombudsmenas ir Žvalgybos bendruomenės generalinis inspektorius. Be to, per atitinkamas peržiūros sesijas informaciją pateikė dviejų pagal privatumo skydo sistemą nepriklausomas ginčų sprendimo paslaugas teikiančių organizacijų ir Amerikos arbitražo asociacijos, kuri prižiūri Privatumo skydo arbitražo komisijos veiklą, atstovai. Galiausiai atliekant šią metinę peržiūrą pagal privatumo skydo sistemą sertifikuotų organizacijų atstovai pristatė pranešimus apie veiksmus, kurių įmonės imasi siekdamos laikytis šios sistemos reikalavimų.

Be to, nors ombudsmeno funkcijas pagal privatumo skydo sistemą atliko laikinai pareigas einantis valstybės sekretorius, taigi ombudsmeno institucija veikė visapusiškai, Komisija pabrėžė, kad svarbu paskirti nuolatinį privatumo skydo ombudsmeną, ir visų pirma paragino JAV vyriausybę iki 2019 m. vasario 28 d. įvardyti kandidatą užimti šias pareigas.

Dėl Prekybos departamento vykdomos klaidingų pareiškimų dėl dalyvavimo privatumo skydo sistemoje paieškos Komisija pažymėjo, kad Prekybos departamentas ir toliau kas ketvirtį vykdė tokias paieškas, todėl buvo nustatyta daug klaidingų pareiškimų atvejų; kai kuriais atvejais tokie klaidingi pareiškimai taip pat buvo perduoti Federalinei prekybos komisijai. Vis dėlto iki šiol vykdant šias paieškas buvo siekiama patikrinti tik tas įmones, kurios tam tikru būdu jau buvo sertifikuotos arba pateikė prašymą būti sertifikuotos pagal privatumo skydo sistemą (tačiau, pavyzdžiui, nebuvo pakartotinai sertifikuotos). Svarbu tai, kad į šias paieškas taip pat būtų įtraukiamos įmonės, kurios niekada nepateikė prašymo būti sertifikuotos pagal privatumo skydo sistemą. Iš visų rūšių klaidingų pareiškimų didžiausią žalą gali daryti įmonių, kurios niekada nepateikė prašymo būti sertifikuotos, klaidingi pareiškimai. Tai pasakytina apie asmenų privatumą, nes įmonės, kurios niekada nepateikė prašymo būti sertifikuotos, savo verslo praktikoje netaiko jokių privatumo skydu užtikrinamos apsaugos priemonių. Tai taip pat pasakytina apie įmones, nes jei sistemos reikalavimų nesilaikančios organizacijos gali reikalauti sertifikavimo teikiamos naudos, įmonėms nesudaromos vienodos sąlygos.

Komisija palankiai įvertino tai, kad vis daugiau ES duomenų subjektų naudojasi jiems pagal privatumo skydo sistemą suteiktomis teisėmis ir kad tinkamai veikia atitinkami teisių gynimo mechanizmai. Padaugėjo skundų, pateiktų nepriklausomoms teisių gynimo įstaigoms, ir jie buvo išspręsti atitinkamų ES piliečių naudai. Be to, dalyvaujančios įmonės tinkamai nagrinėjo ES piliečių pateiktus prašymus.

Dėl vykdymo užtikrinimo Komisija pažymėjo, kad nuo praėjusių metų Federalinė prekybos komisija užbaigė septynis vykdymo užtikrinimo veiksmus, susijusius su privatumo skydo pažeidimais, kurių imtasi, be kita ko, atlikus paskelbtus ex officio patikrinimus. Visi septyni atvejai buvo susiję su klaidingais pareiškimais dėl dalyvavimo sistemoje. Du iš šių atvejų taip pat buvo susiję su svarbesnių privatumo skydo reikalavimų pažeidimu, pavyzdžiui, nebuvo atliktas vidaus vertinimas arba išorės atitikties peržiūra ir nepatikrinta, ar įmonės pateikti patikinimai dėl jos privatumo skydo praktikos yra teisingi ir ar tokia praktika įgyvendinama. Komisija palankai vertina vykdymo užtikrinimo veiksmus, kurių Federalinė prekybos komisija ėmėsi trečiaisiais privatumo skydo veikimo metais. Be to, atsižvelgdama į šios agentūros praėjusių metų pranešimą ir per antrąją metinę peržiūrą pateiktas garantijas, Komisija tikėjosi, kad dėl esminių privatumo skydo principų pažeidimų bus ryžtingiau imamasi vykdymo užtikrinimo veiksmų.

Šioje srityje Komisija atkreipė dėmesį į atliekant trečiąją metinę peržiūrą pateiktą paaiškinimą, kad kai kuriems vykdomiems tyrimams atlikti reikia daugiau laiko, nes Federalinė prekybos komisija nagrinėja visus galimus pažeidimus. Vis dėlto Federalinė prekybos komisija pateikė pernelyg mažai informacijos, kad būtų galima tinkamai įvertinti vykdymo užtikrinimo srityje padarytą pažangą. Nors galimybės susipažinti su tokia informacija gali būti ribojamos dėl teisėtų su konfidencialumu susijusių priežasčių, tai, kad Federalinė prekybos komisija, net ir apibendrinta ir anonimine forma, negali pateikti daugiau informacijos apie atliekamus ex officio patikrinimus, neatrodo pagrįsta. Toks požiūris neatitinka valdžios institucijų tarpusavio bendradarbiavimo principo, kuriuo grindžiama privatumo skydo sistema, todėl Federalinė prekybos komisija turėtų surasti būdų, kaip Komisijai ir ES duomenų apsaugos institucijoms, kurios yra bendrai atsakingos už šios sistemos veikimą, suteikti prasmingos informacijos apie vykdymo užtikrinimo veiklą.

Atliekant šią peržiūrą buvo dar kartą aptartas klausimas, kaip pagal privatumo skydo sistemą tvarkomi žmogiškųjų išteklių duomenys. Suinteresuotieji subjektai patvirtino, kad Prekybos departamento, Federalinės prekybos komisijos ir ES duomenų apsaugos institucijų parengtos bendros gairės būtų tikrai naudingos. Šioje srityje Komisija pažymi, kad neseniai buvo užmegzti atitinkami ryšiai ir, stengiantis suprasti šiuos klausimus, padaryta tam tikra pažanga, tačiau dar nepasiekta jokių konkrečių rezultatų.

2.2.JAV valdžios institucijų prieiga prie asmens duomenų ir jų naudojimas

Kalbant apie aspektus, susijusius su JAV valdžios institucijų prieiga prie asmens duomenų ir jų naudojimu, atliekant trečiąją metinę peržiūrą pirmiausia buvo siekiama patvirtinti, kad tebegalioja visi apribojimai ir apsaugos priemonės, kuriais grindžiamas sprendimas dėl tinkamumo. Be to, trečioji metinė peržiūra buvo puiki proga panagrinėti naujus pokyčius ir išsamiau pasiaiškinti tam tikrus teisinės sistemos aspektus, taip pat įvairius priežiūros mechanizmus ir teisių gynimo galimybes, ypač kiek tai sietina su ombudsmeno atliekamu skundų nagrinėjimu ir sprendimu.

Nors nebuvo jokių naujų teisinių pokyčių, susijusių su užsienio žvalgybos informacijos rinkimu pagal Užsienio žvalgybos informacijos sekimo akto 702 skirsnį, Komisija palankiai įvertino JAV valdžios institucijų pateiktus paaiškinimus dėl to, kaip žvalgybos informacija tikslingai renkama pagal žvalgybos programas, įgyvendinamas pagal Užsienio žvalgybos informacijos sekimo akto 702 skirsnį (t. y. pagal programas PRISM ir UPSTREAM). Šiais paaiškinimais patvirtinti Komisijos sprendime dėl tinkamumo nustatyti faktai, kad užsienio žvalgybos informacija pagal Užsienio žvalgybos informacijos sekimo akto 702 skirsnį visada tikslingai renkama naudojantis sekamais įrenginiais ir kad sekami įrenginiai pasirenkami vadovaujantis taikomais įstatymais, o pasirinkimo sprendimams taikoma nepriklausoma teisminė ir teisinė priežiūra.

Komisija taip pat pažymėjo, kad kai kurie įgaliojimai rinkti užsienio žvalgybos informaciją pagal Užsienio žvalgybos informacijos sekimo akto su pakeitimais, padarytais 2015 m. JAV laisvės aktu, 501 skirsnį, nustos galioti 2019 m. gruodžio 15 d. Kadangi informacijos rinkimas pagal Užsienio žvalgybos informacijos sekimo akto 501 skirsnį yra svarbus privatumo skydo sistemos aspektas ir todėl buvo vertinamas Komisijos sprendime dėl tinkamumo, svarbu, kad, jei bus atnaujinti šie įgaliojimai, ir toliau galiotų esami apribojimai ir apsaugos priemonės, pavyzdžiui, draudimas masiškai rinkti duomenis.

Dėl 28-osios Prezidento politikos direktyvos JAV valdžios institucijos aiškiai patvirtino, kad ji ir toliau visapusiškai galioja ir kad nepadaryta jokių jos pakeitimų. Taip pat nepadaryta jokių 28-osios Prezidento politikos direktyvos įgyvendinimo įvairiose žvalgybos bendruomenės agentūrose procedūrų pakeitimų. Be to, Komisija atkreipė dėmesį į JAV valdžios institucijų pateiktus paaiškinimus, kad į 28-ąją Prezidento politikos direktyvą įtrauktos nuostatos dėl masinio duomenų rinkimo, įskaitant nuostatas dėl laikino duomenų kaupimo, nėra taikomos užsienio žvalgybos informaciją renkant Jungtinėse Amerikos Valstijose (pavyzdžiui, kai informacija renkama iš sertifikuotos įmonės, kuri tvarko iš ES pagal privatumo skydo sistemą perduotus duomenis), pavyzdžiui, kai duomenys renkami pagal Užsienio žvalgybos informacijos sekimo akto 702 skirsnį įgyvendinant programas PRISM ir UPSTREAM, nes tokie duomenys visada renkami tikslingai.

Dėl Privatumo ir pilietinių laisvių priežiūros valdybos, kuri yra svarbi vyriausybės vykdomo stebėjimo priežiūros įstaiga, Komisija palankiai įvertino tai, kad, JAV Senatui neseniai patvirtinus dar du šios valdybos narius, Privatumo ir pilietinių laisvių priežiūros valdybą pirmą kartą nuo 2016 m. sudaro visi penki nariai. Komisija taip pat pažymėjo, kad nuo paskutinės metinės peržiūros šios valdybos darbuotojų skaičius padidėjo du kartus ir kad ji yra priėmusi plataus užmojo darbo programą, kurią sudaro dešimt šiuo metu įgyvendinamų priežiūros projektų; kai kurie iš jų yra labai svarbūs Komisijai atliekant periodinę privatumo skydo peržiūrą.

Kalbant apie privatumo skydo ombudsmeno instituciją, 2019 m. sausio 18 d. JAV prezidentas paskelbė, kad Keithą Krachą skiria valstybės sekretoriaus pavaduotoju, kuris taip pat eis ombudsmeno pareigas. 2019 m. birželio 20 d. K. Kracho kandidatūrą patvirtino Senatas. Komisija palankiai vertina tai, kad K. Krachas paskirtas privatumo skydo ombudsmenu, nes taip užtikrinama, kad šias pareigas eis nuolatinis darbuotojas.

Kalbant apie pirmąjį skundą ombudsmeno institucijai, pateiktą prieš pat pastarąją metinę peržiūrą pasitelkus Kroatijos duomenų apsaugos instituciją, šis skundas galiausiai buvo pripažintas nepriimtinu, nes jis susijęs su įvykiais, pasibaigusiais prieš priimant sprendimą dėl privatumo skydo. Nepaisant to, šis skundas buvo puiki proga patikrinti, kaip praktiškai veikia atitinkamos procedūros. Tiek atliekant metinę peržiūrą dalyvavę Europos duomenų apsaugos valdybos atstovai, tiek ombudsmenas patvirtino, kad buvo tinkamai pradėti ir užbaigti visi atitinkami šios procedūros etapai. Komisija palankiai vertina sėkmingą šio pirmojo prašymo nagrinėjimą, nes tai yra svarbus ženklas, kad ombudsmeno institucija gali tinkamai atlikti savo funkcijas.

JAV valdžios institucijos taip pat pateikė išsamesnių paaiškinimų dėl to, kaip ombudsmenas bendradarbiaus su kitomis nepriklausomomis priežiūros įstaigomis ir kaip taisys pažeidimus. Visų pirma, jos patvirtino, kad nepriklausomas Žvalgybos bendruomenės generalinis inspektorius bus sistemingai informuojamas apie visus ombudsmenui pateiktus skundus ir atliks savo vertinimą. Be to, jos paaiškino, kad, jei pateikus skundą ombudsmenui bus nustatyta, kad padarytas sekimo procedūrų pagal Užsienio žvalgybos informacijos sekimo akto 702 skirsnį pažeidimas, apie tokį pažeidimą bus pranešama Užsienio žvalgybos priežiūros teismui, o jis atliks nepriklausomą peržiūrą ir prireikus nurodys atitinkamai žvalgybos agentūrai imtis taisomųjų veiksmų. Šie taisomieji veiksmai gali apimti įvairias sritis: pradedant individualiomis ir baigiant struktūrinėmis priemonėmis, pvz., pradedant neteisėtai gautų duomenų ištrynimu ir baigiant duomenų rinkimo praktikos pokyčiais, įskaitant darbuotojų profesinį orientavimą ir mokymą.

Galiausiai buvo patvirtinta, kad, jei atliekant ombudsmenui pateikto skundo peržiūrą bus nustatyta, kad pažeisti JAV įstatymai (įskaitant vykdomųjų įsakų, prezidento politikos ir agentūrų taisyklių ir procedūrų, pvz., Užsienio žvalgybos priežiūros teismo patvirtintų sekimo ir minimalios informacijos procedūrų pažeidimus), iš visų vyriausybės duomenų bazių bus pašalinami neteisėtai surinkti duomenys, o iš žvalgybos ataskaitų bus pašalinamos visos nuorodos į tokius duomenis. Taigi ES pilietis galės reikalauti, kad būtų ištrinti jo (-s) asmens duomenys, jeigu JAV žvalgybos bendruomenė juos neteisėtai surinko ir tvarkė.

Komisija palankiai vertina šiuos papildomus paaiškinimus, iš kurių matyti, kaip įvairioms nepriklausomoms priežiūros įstaigoms bendradarbiaujant tarpusavyje didinamas ombudsmeno institucijos veiksmingumas. Taip pat buvo svarbu paaiškinti, kad, pasitelkdami ombudsmeno instituciją, ES piliečiai iš tikrųjų gali pasinaudoti savo teise reikalauti, kad jų asmens duomenys būtų ištrinti, o tai yra vienas iš pagrindinių teisės į asmens duomenų apsaugą aspektų.

3.IŠVADA

Remiantis atliekant trečiąją metinę peržiūrą surinkta informacija, galima patvirtinti Komisijos sprendime dėl tinkamumo nustatytus faktus tiek dėl sistemos komercinių aspektų, tiek dėl aspektų, susijusių su valdžios institucijų prieiga prie asmens duomenų, perduotų pagal privatumo skydo sistemą. Šiuo atžvilgiu Komisija atkreipė dėmesį į keletą šios sistemos veikimo patobulinimų, taip pat į tai, kad buvo paskirti pagrindinių priežiūros įstaigų darbuotojai.

Vis dėlto, atsižvelgdama į kai kuriuos klausimus, kurie susiję su kasdiene patirtimi arba tapo aktualesni praktiškai įgyvendinant šią sistemą, Komisija daro išvadą, kad, siekiant praktiškai geriau užtikrinti veiksmingą privatumo skydo veikimą, reikia imtis keleto konkrečių veiksmų:

1.Prekybos departamentas turėtų sutrumpinti įvairius laikotarpius, kurie įmonėms suteikiami pakartotinio sertifikavimo procesui užbaigti. Kad įmonėms būtų suteikiama pakankamai laiko pakartotiniam sertifikavimui atlikti, taip pat bet kokioms pakartotinio sertifikavimo proceso metu nustatytoms problemoms pašalinti, kartu užtikrinant šio proceso veiksmingumą, atrodo, kad būtų pagrįsta nustatyti ne ilgesnį kaip 30 dienų laikotarpį. Jei pasibaigus šiam laikotarpiui pakartotinis sertifikavimas neužbaigiamas, Prekybos departamentas turėtų nedelsdamas išsiųsti įspėjamąjį raštą;