Šį reformos priemonių rinkinį sudaro dvi teisinės priemonės: Bendrasis duomenų apsaugos reglamentas (toliau – Reglamentas), kuriame nustatyta bendra ES duomenų apsaugos sistema, ir Duomenų apsaugos policijos ir teisminio bendradarbiavimo srityje direktyva (toliau – Policijos direktyva) . Teikdama pasiūlymą dėl reglamento, kuris bus tiesiogiai taikomas valstybėse narėse, Komisija siekė nustatyti vieną bendrą visiems taikytiną duomenų apsaugos standartą ir taip panaikinti valstybių narių suteikiamos apsaugos lygio skirtumus. Be to, Policijos direktyvoje, atsižvelgiant į teismų ir teisėsaugos tradicijų valstybėse narėse ypatumus, ES lygmeniu bus pirmą kartą nustatytas bendras taisyklių rinkinys.

2013 m. „Saugaus uosto“ komunikate Komisija atkreipė dėmesį į keletą ilgainiui nustatytų šios sistemos veikimo trūkumų, visų pirma į tai, kad nepakanka skaidrumo įmonėse, kiek tai sietina su šios sistemos reikalavimų laikymusi, ir kad JAV valdžios institucijos nepakankamai veiksmingai užtikrina, kad tokios įmonės laikytųsi sistemos privatumo principų. Be to, dėl anksčiau tais metais atskleistų sekimo atvejų kilo susirūpinimas dėl tam tikrų JAV žvalgybos programų masto ir apimties ir dėl JAV valdžios institucijų prieigos prie pagal „saugaus uosto“ sistemą perduotų europiečių asmens duomenų lygio. Komisija, atsižvelgusi į šiuos ir kitus aspektus, padarė išvadą, kad „saugaus uosto“ sistemą reikia peržiūrėti. Šiomis aplinkybėmis Komisija parengė trylika rekomendacijų, kaip būtų galima sustiprinti ir atnaujinti į šią sistemą įtrauktas duomenų apsaugos garantijas. Šiose rekomendacijose daugiausia dėmesio skiriama šiems tikslams: i) stiprinti esminius privatumo principus ir didinti JAV autosertifikuotų įmonių privatumo politikos skaidrumą įtraukiant šiuos principus; ii) užtikrinti, kad JAV valdžios institucijos geriau ir veiksmingiau prižiūrėtų ir stebėtų, kaip įmonės laikosi šių principų, ir užtikrintų jų vykdymą; iii) sukurti prieinamus ginčų sprendimo mechanizmus pavieniams skundams nagrinėti ir iv) užtikrinti, kad 2000 m. sprendime dėl „saugaus uosto“ nustatyta nacionalinio saugumo ir teisėsaugos sričių išimtimi būtų naudojamasi tik tada, kai tai iš tikrųjų būtina ir proporcinga.

Be to, Reglamente aiškiai reikalaujama, kad Komisija nuolat, ne rečiau kaip kas ketverius metus, peržiūrėtų visus savo sprendimus dėl tinkamumo, kad neatsiliktų nuo jokių svarbių trečiojoje šalyje vykstančių pokyčių, kurie gali daryti tiesioginį arba net neigiamą poveikį pagal jos teisinę tvarką nustatytos apsaugos lygiui. Tokia nuolatinė tinkamumo stebėsena bus dinamiškesnis procesas, nes į jį bus įtrauktas ir dialogas su atitinkamos trečiosios šalies valdžios institucijomis.

Be to, Reglamentu sustiprinami ES duomenų apsaugos institucijų įgaliojimai, įskaitant susijusiuosius su tarptautiniu duomenų perdavimu. Palyginti su dabartine Duomenų apsaugos direktyva, nuostatos dėl ES duomenų apsaugos institucijų nepriklausomumo, funkcijų ir įgaliojimų išdėstytos išsamiau ir gerokai sustiprintos. Jos visų pirma apima įgaliojimus stabdyti duomenų srautus duomenų gavėjui trečiojoje šalyje arba tarptautinei organizacijai. Į Policijos direktyvą įtrauktos panašios nuostatos, susijusios su tarptautiniu duomenų perdavimu ir duomenų apsaugos institucijų įgaliojimais kontroliuoti teisėsaugos sektorių.

2016 m. vasario 2 d., po dvejų metų aktyvių diskusijų, ES ir JAV pasiekė politinį susitarimą dėl naujosios sistemos – ES ir JAV „privatumo skydo“. Šis naujas susitarimas apima naujas svarbias apsaugos priemones ir padės užtikrinti aukšto lygio ES piliečių pagrindinių teisių apsaugą. Jis padės užtikrinti būtiną teisinį tikrumą abiejose Atlanto vandenyno pusėse veikiančioms įmonėms, norinčioms kartu vykdyti verslo veiklą. Taip pat jis suteiks naują pagreitį transatlantinei partnerystei.

Komisija, baigusi derybas su JAV, pateiks naująjį susitarimą 29 straipsnio darbo grupei (kurią sudaro ES duomenų apsaugos institucijos), kad ji pateiktų nuomonę dėl juo suteikiamos apsaugos lygio. Be to, prieš priimant sprendimą dėl tinkamumo, jam turės būti taikoma komiteto procedūra. Taip pat bus pasikonsultuota su Europos duomenų apsaugos priežiūros pareigūnu.

3.2 Kas pasikeitė?

ES ir JAV „privatumo skydas“ yra tvirtas ir veiksmingas atsakas tiek į trylika Komisijos rekomendacijų, tiek į sprendimą Schrems. Palyginti su ankstesne sistema, į naująją sistemą įtraukta keletas svarbių patobulinimų, susijusių su įsipareigojimais, kuriuos turi prisiimti JAV įmonės. Į ją taip pat įtraukta naujų svarbių JAV valdžios institucijų įpareigojimų ir išsamių atitinkamų JAV įstatymų bei JAV valdžios institucijų praktikos išaiškinimų. Kitaip nei ankstesnėje sistemoje, į „privatumo skydą“ įtraukti ne tik prekybos sektoriaus, bet ir – iš esmės ir pirmą kartą ES ir JAV santykių istorijoje – valdžios institucijų prieigos prie asmens duomenų, be kita ko, nacionalinio saugumo tikslais, srities įpareigojimai. Atsižvelgiant į Europos Sąjungos Teisingumo Teismo jurisprudenciją, tai – labai svarbus ir būtinas aspektas, siekiant po atskleistų sekimo atvejų atkurti pasitikėjimą transatlantiniais santykiais.

Svarbiausius šio naujo susitarimo laimėjimus galima suskirstyti į keturias pagrindines kategorijas.

Pirma, griežti įmonių įpareigojimai ir patikimas vykdymo užtikrinimas. Naujasis susitarimas bus skaidresnis, be to, į jį įtraukti veiksmingi priežiūros mechanizmai, skirti užtikrinti, kad įmonės laikytųsi taisyklių, kurių yra teisiškai įsipareigojusios laikytis. JAV įmonės, norinčios pagal „privatumo skydą“ importuoti asmens duomenis iš Europos, turės prisiimti griežtus įsipareigojimus, susijusius su asmens duomenų tvarkymo ir fizinių asmenų teisių užtikrinimo būdais. Tai apima griežtesnes sąlygas ir atsakomybės nuostatas, taikytinas „privatumo skydo“ įmonėms, kurios, pavyzdžiui, vykdydamos pagalbinio tvarkymo veiklą, ES duomenis perduoda šiai sistemai nepriklausančioms trečiosioms šalims tiek JAV, tiek kitose trečiosiose šalyse (vadinamasis tolesnis duomenų perdavimas). Kalbant apie priežiūrą, JAV komercijos departamentas įsipareigojo nuolat ir atidžiai stebėti, kaip įmonės vykdo prisiimtus įsipareigojimus, ir šalinti vadinamąsias keleives be bilieto, t. y. įmones, kurios melagingai teigia griežtai besilaikančios sistemos reikalavimų. Įmonių įsipareigojimai yra teisiškai privalomi; jų vykdymą pagal JAV teisės aktus užtikrina JAV federalinė prekybos komisija. Įsipareigojimų nevykdančioms įmonėms bus taikomos griežtos sankcijos.

Antra, aiškūs apribojimai ir apsaugos priemonės, susijusios su JAV valdžios institucijų prieiga prie duomenų. Pirmą kartą JAV valdžios institucijos per Teisingumo departamentą ir Nacionalinės žvalgybos direktoriaus biurą, kaip visą JAV žvalgybos bendruomenę prižiūrintį organą, pateikė ES rašytinius pareiškimus ir garantijas, kad valdžios institucijų prieigai prie duomenų teisėsaugos, nacionalinio saugumo ir kitais viešojo intereso tikslais bus taikomi aiškūs apribojimai, apsaugos priemonės ir priežiūros mechanizmai. JAV taip pat bus sukurtas naujas teisių gynimo mechanizmas, kuriuo ES duomenų subjektai galės naudotis nacionalinio saugumo srityje, pasitelkdami nuo nacionalinio saugumo institucijų nepriklausomą kontrolieriaus tarnybą. Šiam kontrolieriui bus pavesta toliau tirti ES piliečių skundus ir užklausas, susijusius su prieiga prie duomenų nacionalinio saugumo tikslais, ir jis turės asmeniui patvirtinti, kad buvo laikomasi atitinkamų įstatymų arba kad bet kokia neatitiktis buvo ištaisyta. Tai – svarbi naujovė, kuri bus taikoma ne tik pagal „privatumo skydą“ perduodamiems duomenims, bet visiems JAV komerciniais tikslais perduodamiems asmens duomenims, neatsižvelgiant į tų duomenų perdavimo pagrindą.

Trečia, veiksminga ES piliečių teisių į privatumą apsauga, numatant keletą teisių gynimo galimybių. Bet kuris asmuo Europoje, manantis, kad pagal naująjį susitarimą jo arba jos duomenys buvo naudojami netinkamai, galės naudotis keliais prieinamais ir įperkamais individualaus teisių gynimo būdais, įskaitant nemokamą alternatyvaus ginčų sprendimo institucijų pagalbą. Įmonės įsipareigoja per nustatytą terminą atsakyti į skundus. Be to, bet kuri įmonė, tvarkanti Europos kilmės žmogiškųjų išteklių duomenis, turi įsipareigoti laikytis kompetentingos ES duomenų apsaugos institucijos sprendimų, o kitos įmonės tokį įsipareigojimą gali prisiimti savanoriškai. Fiziniai asmenys savo skundą taip pat gali pateikti savo šalies duomenų apsaugos institucijai, kuriai bus pasiūlyta formalizuota skundų perdavimo Komercijos departamentui ir Federalinei prekybos komisijai procedūra, kad būtų galima paprasčiau per pagrįstą laikotarpį išnagrinėti ir išspręsti atitinkamą skundą. Jei vis dėlto ginčas neišsprendžiamas nė vienu iš šių būdų, fiziniai asmenys kraštutiniu atveju galės kreiptis į „Privatumo skydo“ komisiją, t. y. pasinaudoti ginčų sprendimo mechanizmu, pagal kurį galima priimti „privatumo skydo“ sistemoje dalyvaujančioms JAV įmonėms privalomus ir vykdytinus sprendimus. Be to, ES duomenų apsaugos institucijos galės padėti fiziniams asmenims parengti jų bylas. Kaip minėta pirmiau, skundams dėl galimos nacionalinių žvalgybos institucijų prieigos prie duomenų nagrinėti bus sukurta nauja kontrolieriaus tarnyba ir taip bus numatyta tolesnių teisių gynimo būdų.

Galiausiai, ketvirta, bendros metinės peržiūros mechanizmas. Šis mechanizmas suteiks galimybę Komisijai nuolat stebėti visų „privatumo skydo“ aspektų, įskaitant su prieiga prie duomenų nacionalinio saugumo tikslais susijusius apribojimus ir apsaugos priemones, veikimą. Komisija ir JAV komercijos departamentas atliks peržiūrą, į šį procesą įtraukdami ES duomenų apsaugos institucijas, JAV nacionalinio saugumo institucijas ir kontrolierių. Taip JAV bus atskaitinga už prisiimtų įsipareigojimų vykdymą. Tačiau Komisija tuo neapsiribos – ji taip pat remsis visais kitais turimos informacijos šaltiniais, įskaitant įmonių savanoriškai teikiamas skaidrumo ataskaitas apie valdžios institucijų prašymų susipažinti su duomenimis lygį. Metinės peržiūros reikalavimai griežtesni už naujojo Reglamento nuostatas, pagal kurias tokią peržiūrą reikalaujama atlikti ne rečiau kaip kas ketverius metus, o iš to matyti, kad tiek ES, tiek JAV yra pasiryžusios griežtai užtikrinti visapusę atitiktį reikalavimams.

Ši peržiūra nebus tik formali praktika, neturinti jokių pasekmių. Tais atvejais, kai JAV įmonės arba valdžios institucijos nesilaikys prisiimtų įsipareigojimų, Komisija pradės „privatumo skydo“ veikimo stabdymo procesą. Kaip Europos Sąjungos Teisingumo Teismas pabrėžė sprendime Schrems, sprendimas dėl tinkamumo neturi būti neįgyvendinama taisyklė; JAV įmonės ir valdžios institucijos, laikydamosi prisiimtų įsipareigojimų, verčiau turėtų įpūsti gyvybės šiai sistemai ir nuolat ją palaikyti. Jei jos nesugebės to padaryti, konkreti sprendimo dėl tinkamumo teikiama nauda duomenų perdavimo procesui nebebus pagrįsta ir ją reikės panaikinti.

3.3 Tolesni veiksmai

Naujas Komisijos sprendimas dėl tinkamumo bus grindžiamas įsipareigojimais, kuriuos JAV prisiėmė pagal „privatumo skydą“, ir juos atspindės. Įmonės skatinamos jau dabar pradėti rengtis šiam procesui, kad galėtų kuo greičiau prisijungti prie naujosios sistemos, kai tik ji bus įdiegta Komisijai priėmus atitinkamą sprendimą. JAV vyriausybė JAV federaliniame registre paskelbs pranešimą ir taip viešai patvirtins, kad laikysis prisiimtų įsipareigojimų.

ES ir JAV „privatumo skyde“ reikalaujama, kad veiksmų imtųsi ir nemažai kitų subjektų:

dalyvaujančios JAV įmonės, kurios turi vykdyti pagal šią sistemą prisiimtus įsipareigojimus, visapusiškai žinodamos, kad jos taisyklės bus griežtai taikomos ir kad joms, jeigu nesilaikys reikalavimų, bus taikomos sankcijos. Kad didintų savo klientų pasitikėjimą, įmonės taip pat skatinamos pagal „privatumo skydo“ sistemą teikiamiems skundams nagrinėti rinktis ES duomenų apsaugos institucijas, nes Europos Sąjungos piliečiai labiausiai linkę keiptis į šias institucijas. Be to, įmonių pasirengimo pasinaudoti JAV teisės aktuose nustatyta galimybe skelbti skaidrumo ataskaitas dėl gaunamų nacionalinio saugumo ir teisėsaugos institucijų prašymų susipažinti su ES duomenimis mastas padės toliau užtikrinti tikėjimą, kad tokia prieiga prie duomenų suteikiama tik tuomet, kai tai būtina ir proporcinga;

įvairios JAV valdžios institucijos, kurioms pavesta prižiūrėti ir užtikrinti šios sistemos taikymą paisant apribojimų ir apsaugos priemonių, kai susipažinti su duomenimis prašoma teisėsaugos ir nacionalinio saugumo tikslais, taip pat laiku ir prasmingai reaguoti į ES piliečių skundus dėl galimo netinkamo jų asmens duomenų naudojimo;

ES duomenų apsaugos institucijos, kurios atlieka svarbų vaidmenį užtikrinant, kad fiziniai asmenys galėtų veiksmingai pasinaudoti jiems pagal „privatumo skydą“ suteiktomis teisėmis, be kita ko, perduodamos jų skundus atitinkamoms JAV valdžios institucijoms ir su jomis bendradarbiaudamos, pradėdamos taikyti kontrolieriaus mechanizmą, padėdamos skundų teikėjams savo skundus pateikti „Privatumo skydo“ komisijai, taip pat prižiūrėdamos, kaip perduodami žmogiškųjų išteklių duomenys, ir

Komisija, kuri atsakinga už sprendimo dėl tinkamumo priėmimą ir nuolatinę jo peržiūrą; palyginti su ankstesne nusistovėjusia padėtimi, šios nuolatinės peržiūros yra didelis žingsnis į priekį, nes „privatumo skydo“ sprendimas dėl tinkamumo pakeičiamas atidžiai stebima dinamiška sistema.