LV Eiropas Savienības Oficiālais Vēstnesis L 207/1

KOMISIJAS ĪSTENOŠANAS LĒMUMS (ES) 2016/1250

(2016. gada 12. jūlijs)

saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46/EK par pienācīgu aizsardzību, ko nodrošina ES un ASV privātuma vairogs

(izziņots ar dokumenta numuru C(2016) 4176)

(Dokuments attiecas uz EEZ)

EIROPAS KOMISIJA,

ņemot vērā Līgumu par Eiropas Savienības darbību,

ņemot vērā Eiropas Parlamenta un Padomes 1995. gada 24. oktobra Direktīvu 95/46/EK par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (1) un jo īpaši tās 25. panta 6. punktu,

pēc apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju (2),

1. IEVADS

(1) Direktīvā 95/46/EK ir paredzēti noteikumi datu pārsūtīšanai no dalībvalstīm uz trešajām valstīm tādā mērā, cik šāda pārsūtīšana ietilpst tās darbības jomā.

(2) Direktīvas 95/46/EK 1. panta un tās preambulas 2. un 10. apsvēruma mērķis ir nodrošināt ne tikai efektīvu un pilnīgu fizisku personu pamattiesību un brīvību aizsardzību, jo īpaši pamattiesības uz privātās dzīves neaizskaramību attiecībā uz personas datu apstrādi, bet arī augstu šo pamattiesību un brīvību aizsardzības līmeni (3).

(3) Tas, cik svarīgas ir gan pamattiesības uz privātās dzīves neaizskaramību, kas noteiktas Eiropas Savienības Pamattiesību hartas 7. pantā, gan pamattiesības uz personas datu aizsardzību, kas noteiktas 8. pantā, ir uzsvērts Tiesas judikatūrā (4).

(4) Atbilstīgi Direktīvas 95/46/EK 25. panta 1. punktam dalībvalstīm ir jāparedz, ka personas datu nosūtīšana trešajai valstij var notikt tikai tad, ja attiecīgā trešā valsts nodrošina pienācīgu datu aizsardzības līmeni un ja pirms nosūtīšanas ir ievēroti dalībvalsts tiesību akti, ar kuriem tiek īstenoti citi direktīvas noteikumi. Komisija var konstatēt, ka trešā valsts nodrošina pienācīgu aizsardzības līmeni, pamatojoties uz savu iekšējo tiesisko kārtību vai starptautiskajām saistībām, ko tā uzņēmusies, lai aizsargātu personu tiesības. Tādā gadījumā un neierobežojot atbilstību valsts tiesību normām, kas pieņemtas saskaņā ar citiem Direktīvas noteikumiem, personas datus var pārsūtīt no dalībvalstīm bez nepieciešamām papildu garantijām.

(5) Atbilstīgi Direktīvas 95/46/EK 25. panta 2. punktam trešās valsts nodrošinātā aizsardzības līmeņa pietiekamība ir jānovērtē, paturot prātā visus ar datu pārsūtīšanas darbību vai datu pārsūtīšanas darbību kopumu cieši saistītos apstākļus, tostarp attiecīgajā trešajā valstī spēkā esošās vispārējās un nozaru tiesību normas.

(6) Komisijas Lēmumā 2000/520/EK (5) Direktīvas 95/46/EK 25. panta 2. punkta izpratnē tika uzskatīts, ka “privātuma drošības zonas principi”, kas īstenoti saskaņā ar tā sauktajiem “visbiežāk uzdotajiem jautājumiem”, kurus izdevusi ASV Tirdzniecības ministrija, nodrošina pienācīgu to personas datu aizsardzības līmeni, kas no Savienības tiek nosūtīti Amerikas Savienoto Valstu organizācijām.

(7) Komisija tās 2013. gada 27. novembra paziņojumos COM(2013) 846 final (6) un COM(2013) 847 final (7) uzskatīja, ka drošības zonas pamats ir jāpārskata un jāstiprina, ņemot vērā kontekstu, ko rada vairāki faktori, tostarp to datu plūsmu eksponenciāla palielināšanās un to nozīmīgums transatlantiskajai ekonomikai, to ASV uzņēmumu skaita straujā palielināšanās, kuri ir iesaistījušies drošības zonas shēmā, un jaunākā informācija par ASV izlūkošanas programmu mērogu un darbības jomu, kas rada jaunus jautājumus par aizsardzības līmeni, ko tā varētu garantēt. Papildus Komisija norādīja vairākus trūkumus un nepilnības drošības zonas shēmā.

(8) Pamatojoties uz Komisijas savāktajiem pierādījumiem, tostarp informāciju no ES un ASV kontaktgrupas privātuma jautājumos (8) un informāciju par ASV izlūkošanas programmām, kas saņemta ES un ASV ad hoc darba grupā (9), Komisija izstrādāja 13 ieteikumus drošības zonas shēmas pārskatīšanai. Šie ieteikumi bija vērsti uz privātuma materiāltiesisko principu stiprināšanu, pašsertificētu ASV uzņēmumu privātuma politikas pārredzamības palielināšanu, šo principu ievērošanas labāku uzraudzību, pārraudzību un piemērošanu no ASV iestāžu puses, pieejamiem strīdu risināšanas mehānismiem un nepieciešamību nodrošināt, ka Lēmumā 2000/520/EK noteiktais valsts drošības izņēmums tiek izmantots absolūti nepieciešamā un samērīgā apmērā.

(9) Savā 2015. gada 6. oktobra spriedumā lietā C-362/14 Maximillian Schrems/Data Protection Commissioner (10) Tiesa pasludināja Lēmumu 2000/520/EK par spēkā neesošu. Nepārbaudot drošības zonas privātuma principus pēc būtības, Tiesa pieņēma, ka Komisija šajā lēmumā nebija norādījusi, ka Amerikas Savienotās Valstis tiešām “nodrošināja” pienācīgu aizsardzības līmeni, pamatojoties uz savu iekšējo tiesisko kārtību vai starptautiskajām saistībām, ko tās uzņēmušās (11).

(10) Šajā sakarā Tiesa paskaidroja, ka, lai arī Direktīvas 95/46/EK 25. panta 6. punktā minētais jēdziens “pienācīgs aizsardzības līmenis” neapzīmē aizsardzības līmeni, kas ir identisks tam, kas noteikts ES tiesību sistēmā, ar to ir jāsaprot, ka trešajai valstij ir jānodrošina tāds pamattiesību un pamatbrīvību aizsardzības līmenis, kas ir “būtībā ekvivalents” tam, kādu nodrošina Savienība saskaņā ar Direktīvu 95/46/EK, kas interpretēta atbilstoši Pamattiesību hartai. Pat ja līdzekļi, kurus trešā valsts šajā sakarā izmanto, var atšķirties no tiem, kurus izmanto Savienībā, šiem līdzekļiem tik un tā praksē ir jābūt efektīviem (12).

(11) Tiesa kritizēja pietiekamu konstatējumu trūkumu Lēmumā 2000/520/EK par to, ka Amerikas Savienotajās Valstīs ir spēkā valsts tiesību akti, kuru mērķis ir ierobežot iespējamo iejaukšanos to personu pamattiesībās, kuru dati no Savienības ir nosūtīti uz ASV, iejaukšanos, ko šīs valsts struktūras ir tiesīgas praktizēt, ja tā kalpo leģitīmam mērķim, tādam kā valsts drošība, un par efektīvas tiesiskās aizsardzības pret šāda veida iejaukšanos esamību (13).

(12) Komisija 2014. gadā bija uzsākusi sarunas ar ASV iestādēm, lai apspriestu drošības zonas shēmas stiprināšanu atbilstīgi 13 ieteikumiem, kas iekļauti paziņojumā COM(2013) 847 final. Pēc Eiropas Savienības Tiesas sprieduma Schrems lietā šīs sarunas tika izvērstas ar mērķi izstrādāt iespējamu jaunu atbilstības lēmumu, kas atbilstu Direktīvas 95/46/EK 25. panta prasībām Tiesas interpretācijā. Šo sarunu rezultāts ir dokumenti, kas ir pievienoti šim lēmumam un tiks publicēti arī ASV Federālajā reģistrā. ES un ASV privātuma vairogu veido privātuma principi (II pielikums) kopā ar dažādu ASV iestāžu oficiālajiem apgalvojumiem un saistībām, kas iekļautas I un III–VII pielikuma dokumentos.

(13) Komisija ir rūpīgi izvērtējusi ASV tiesību aktus un praksi, tostarp oficiālos apgalvojumus un saistības. Pamatojoties uz konstatējumiem, kas izklāstīti 136.–140. apsvērumā, Komisija secina, ka Amerikas Savienotās Valstis nodrošina pienācīgu to personas datu aizsardzības līmeni, kas no Savienības tiek nosūtīti pašsertificētām Amerikas Savienoto Valstu organizācijām.

2. ES UN ASV PRIVĀTUMA VAIROGS

(14) ES un ASV privātuma vairoga pamatā ir pašsertifikācijas sistēma, ar kuru ASV organizācijas uzņemas saistības ievērot privātuma principu kopumu – ES un ASV privātuma vairoga pamatprincipus, tostarp papildprincipus (turpmāk kopā “principi”) –, ko izdevusi ASV Tirdzniecības ministrija un kas iekļauti šā lēmuma II pielikumā. Tas attiecas uz pārziņiem un apstrādātājiem (pārstāvjiem), turklāt specifika ir tāda, ka pārstrādātāji ir līgumiski saistīti rīkoties tikai saskaņā ar ES pārziņa norādījumiem un palīdzēt tam sniegt atbildes personām, kas īsteno savas tiesības atbilstoši principiem (14).

(15) Neskarot atbilstību valsts noteikumiem, kuri pieņemti saskaņā ar Direktīva 95/46/EK, šā lēmuma rezultātā ir atļauts, ka pārzinis vai apstrādātājs Savienībā nosūta datus organizācijām ASV, kas ir apliecinājušas Tirdzniecības ministrijai savu principialitāti un ir apņēmušās ievērot principus. Šie principi attiecas tikai uz ASV organizāciju veiktu personas datu apstrādi tiktāl, ciktāl apstrāde, ko veic šādas organizācijas neietilpst Savienības tiesību aktu piemērošanas jomā (15). Privātuma vairogs neskar to Savienības tiesību aktu piemērošanu, kas reglamentē personas datu apstrādi dalībvalstīs (16).

(16) Personas datu aizsardzība, ko nodrošina privātuma vairogs, attiecas uz jebkuru ES datu subjektu (17), kura personas dati no Savienības tikuši nosūtīti ASV organizācijām, kas ir apliecinājušas Tirdzniecības ministrijai savu principialitāti.

(17) Principus piemēro uzreiz pēc sertifikācijas. Viens izņēmums attiecas uz atbildības par tālāku nosūtīšanu principu gadījumā, kad privātuma vairogam pašsertificētai organizācijai jau ir iepriekš nodibinātas komercattiecības ar trešām personām. Ņemot vērā to, ka var paiet zināms laiks, lai nodrošinātu minēto komercattiecību atbilstību noteikumiem, ko piemēro saskaņā ar atbildības par tālāku nosūtīšanu principu, organizācijai būs pienākums to darīt pēc iespējas ātrāk un jebkurā gadījumā ne vēlāk kā deviņus mēnešus pēc pašsertifikācijas (ar nosacījumu, ka tas notiek pirmo divu mēnešu laikā pēc dienas, kad privātuma vairogs stājas spēkā). Šajā pārejas posmā organizācijām ir jāpiemēro informēšanas un izvēles princips (tādējādi ļaujot ES datu subjektam atteikties) un gadījumos, kad personas dati tiek nosūtīti trešai personai, kas darbojas kā pārstāvis, ir jānodrošina, ka trešā persona nodrošina vismaz tādu pašu aizsardzības līmeni, kāds tiek prasīts ar principiem (18). Šis pārejas periods nodrošina saprātīgu un atbilstošu līdzsvaru starp pamattiesību uz datu aizsardzību ievērošanu un uzņēmumu likumīgajām vajadzībām, lai būtu pietiekami daudz laika pielāgoties jaunajam regulējumam situācijās, kad tas ir atkarīgs arī no viņu komercattiecībām ar trešām personām.

(18) Sistēmu pārvaldīs un uzraudzīs Tirdzniecības ministrija, pamatojoties uz tās saistībām, kas izklāstītas ASV tirdzniecības sekretāra apgalvojumos (šā lēmuma I pielikums). Attiecībā uz principu piemērošanu Federālā tirdzniecības komisija (FTK) un Transporta ministrija ir izteikusi apgalvojumus, kas iekļauti šā lēmuma IV pielikumā un V pielikumā.

2.1. Privātuma principi

(19) Pašsertifikācijas ietvaros saskaņā ar ES un ASV privātuma vairogu organizācijām ir jāapņemas ievērot principus (19).

(20) Saskaņā ar informēšanas principu organizāciju pienākums ir sniegt informāciju datu subjektiem par vairākiem būtiskiem elementiem, kas saistīti ar viņu personas datu apstrādi (piemēram, ievākto datu veids, apstrādes mērķis, piekļuves tiesības un izvēle, nosacījumi tālākai nosūtīšanai un atbildība). Tiek piemēroti arī citi aizsardzības pasākumi, jo īpaši prasība organizācijām publiskot to privātuma politiku (kas atspoguļo principus) un norādīt saites uz Tirdzniecības ministrijas tīmekļa vietni (ar plašāku informāciju par pašsertifikāciju, datu subjektu tiesībām un pieejamajiem tiesību aizsardzības mehānismiem), privātuma vairoga sarakstu (minēts 30. apsvērumā) un atbilstoša alternatīva strīdu izšķiršanas pakalpojumu sniedzēja tīmekļa vietni.

(21) Saskaņā ar datu integritātes un mērķa ierobežojumu principu personas dati ir jāierobežo tādā apmērā, lai tie atbilstu apstrādes mērķiem, būtu uzticami to lietošanas paredzētajam mērķim, precīzi, pilnīgi un aktuāli. Organizācija nedrīkst apstrādāt personas datus tādā veidā, kas neatbilst mērķim, kuram tie sākotnēji vākti vai kuram datu subjekts pēc tam atļāvis tos izmantot. Organizācijām ir jānodrošina, ka personas dati saistībā ar paredzētajiem mērķiem ir ticami, precīzi, pilnīgi un aktuāli.

(22) Ja jauns (mainīts) mērķis būtiski atšķiras, bet ir savietojams ar sākotnējo mērķi, izvēles princips paredz datu subjektu tiesības iebilst (atteikums). Izvēles princips neaizstāj skaidro aizliegumu attiecība uz nesaderīgu apstrādi (20). Īpašus noteikumus, kas kopumā ļauj “jebkurā laikā” atteikties no personas datu izmantošanas, piemēro tiešajai tirgvedībai (21). Sensitīvu datu gadījumā organizācijām parasti ir jāsaņem datu subjekta skaidra piekrišana (piekrišana).

(23) Vēl saskaņā ar datu integritātes un mērķa ierobežojuma principu personas datus var glabāt formā, kas identificē personu vai padara tās identificēšanu iespējamu, (un tādējādi personas datu formā) tikai tik ilgi, kamēr tas nepieciešams mērķim (-iem), kam dati sākotnēji tika vākti vai vēlāk atļauta to izmantošana. Šis pienākums neliedz privātā vairoga organizācijām turpināt apstrādāt personas datus ilgāku laiku, bet tikai tik ilgi un tādā mērā, ciktāl šāda apstrāde ir pamatota viena vai vairāku šādu īpašo mērķu nolūkā: arhivēšana sabiedrības interesēs, žurnālistika, literatūra un māksla, zinātniskā un vēstures pētniecība un statistiskā analīze. Lai viena no minēto mērķu nolūkā personas datus uzglabātu ilgāku laiku, būs nepieciešami principu nodrošinātie aizsardzības pasākumi.

(24) Saskaņā ar drošības principu organizācijām, kas rada, uztur, izmanto vai izplata personas datus, ir jāveic “samērīgi un atbilstīgi” drošības pasākumi, ņemot vērā ar apstrādi saistītos riskus un datu veidu. Ja apstrādi veic apakšuzņēmums, organizācijām ir jānoslēdz līgums ar apstrādātāju, kas garantē tādu pašu aizsardzības līmeni, ko nodrošina principi, un jāveic darbības, lai nodrošinātu tā pienācīgu īstenošanu.

(25) Saskaņā ar piekļuves principu (22) datu subjektiem ir tiesības bez pamatota iemesla un tikai par nepārmērīgu samaksu saņemt no organizācijas apstiprinājumu par to, vai attiecīgā organizācija apstrādā ar viņiem saistītus personas datus, un šie dati ir jāpaziņo saprātīgā termiņā. Šīs tiesības var ierobežot tikai izņēmuma situācijās; jebkādam atteikumam vai ierobežojumam attiecībā uz piekļuves tiesībām ir nepieciešams obligāts un pienācīgs pamatojums, organizācijai uzņemoties slogu, kas saistīts ar šo prasību izpildes apliecināšanu. Datu subjektiem ir jāspēj arī labot, grozīt vai dzēst personisko informāciju, ja tā ir nepareiza vai apstrādāta, pārkāpjot principus. Attiecība uz jomām, kurās uzņēmumi visdrīzāk izmantotu personas datu automatizētu apstrādi, lai pieņemtu lēmumus, kas skar atsevišķu personu (piemēram, aizdevumu izsniegšana, hipotēku piedāvājumi, nodarbinātība), ASV tiesību aktos ir paredzēta īpaša aizsardzība pret nelabvēlīgiem lēmumiem (23). Šajos tiesību aktos parasti noteikts, ka personām ir tiesības tikt informētām par īpašiem iemesliem, kas ir lēmuma pamatā (piemēram, atteikums izsniegt kredītu), lai apstrīdētu nepilnīgu vai neprecīzu informāciju (kā arī paļaušanos uz nelikumīgiem elementiem), un prasītu kompensāciju. Šie noteikumi nodrošina aizsardzību tajos (visdrīzāk nedaudzajos) gadījumos, kad automātiskus lēmumus pieņemtu pati privātuma vairoga organizācija (24). Tomēr ņemot vērā to, ka modernajā digitālajā ekonomikā automatizētā apstrāde (tostarp profilēšana) arvien plašāk tiek izmantota par pamatu lēmumu pieņemšanā, kas skar atsevišķas personas, šī joma ir cieši jāuzrauga. Lai sekmētu šo uzraudzību, ar ASV iestādēm ir panākta vienošanās, ka dialogs par automatizētu lēmumu pieņemšanu, tostarp informācijas apmaiņa par līdzībām un atšķirībām ES un ASV pieejā šajā ziņā, būs daļa no pirmā gada pārskata, kā arī no turpmākajiem pārskatiem pēc vajadzības.

(26) Saskaņā ar tiesību aizsardzības, izpildes un atbildības principu (25) organizācijām, kas līdzdarbojas, ir jānodrošina stabili mehānismi, ar kuriem nodrošināt atbilstību citiem principiem, un to ES datu subjektu tiesību aizsardzība, kuru personas dati ir apstrādāti neatbilstīgā veidā, tostarp efektīvi tiesiskās aizsardzības līdzekļi. Kolīdz organizācija brīvprātīgi nolemj pašsertificēties (26) ES un ASV privātuma vairoga ietvaros, tās faktiska atbilstība principiem ir obligāta. Lai varētu turpināt izmantot privātuma vairogu personas datu saņemšanai no Savienības, šādai organizācijai ik gadu ir atkārtoti jāsertificē sava līdzdalība shēmā. Organizācijām arī jāveic pasākumi, lai apliecinātu (27), ka to publicētā privātuma politika atbilst principiem un faktiski tiek ievērota. To var izdarīt vai nu caur pašnovērtēšanas sistēmu, kurā jāiekļauj iekšējās procedūras, ar ko tiek nodrošināts, ka darba ņēmēji tiek apmācīti saistībā ar organizācijas privātuma politikas virzieniem un ka atbilstība tiek regulāri objektīvi pārbaudīta, vai arī ārējām atbilstības pārbaudēm, kuru metodes var iekļaut revīzijas vai izlases veida pārbaudes. Turklāt organizācijai ir jāizveido efektīvs tiesiskās aizsardzības mehānisms, lai izskatītu jebkādu sūdzību (šajā sakarā sk. arī 43. apsvērumu), un tai jābūt pakļautai FTK, ASV Transporta ministrijas vai citas ASV pilnvarotas valsts iestādes, kas efektīvi nodrošinās atbilstību principiem, izmeklēšanas un izpildes pilnvarām.

(27) Īpašus noteikumus piemēro tā sauktajai “tālākai nosūtīšanai”, proti, organizācijas veiktai personas datu nosūtīšanai trešās personas pārzinim vai apstrādātājam neatkarīgi no tā, vai pēdējais minētais atrodas Amerikas Savienotajās valstīs vai trešā valstī ārpus Amerikas Savienotajām Valstīm (un Savienības). Šo noteikumu mērķis ir nodrošināt, ka ES datu subjektu personas datiem garantētā aizsardzība netiks mazināta un ka tā netiks apieta, to nododot trešām personām. Tas ir īpaši svarīgi sarežģītās ražošanas ķēdēs, kas ir raksturīgas mūsdienu digitālajai ekonomikai.

(28) Saskaņā ar atbildības par tālāku nosūtīšanu principu (28) jebkura personas datu tālāka nosūtīšana var notikt tikai i) ierobežotos un konkrētos nolūkos, ii) pamatojoties uz līgumu (vai līdzvērtīgu vienošanos uzņēmumu grupas ietvaros (29)) un iii) vienīgi, ja ar līgumu ir nodrošināts tāds pats aizsardzības līmenis, kādu nodrošina principi, kas ietver prasību, ka principu piemērošana ir ierobežota tiktāl, ciktāl tas nepieciešams, lai tiktu ievērotas valsts drošības, tiesībaizsardzības vai citas sabiedrības intereses (30). Tas būtu jālasa kopā ar informēšanas principu un gadījumā, kad tiek veikta tālāka nosūtīšana trešās personas pārzinim (31) – ar izvēles principu, saskaņā ar kuru datu subjekti ir jāinformē (cita starpā) par jebkura saņēmēja – trešās personas tipu/identitāti, tālākas nosūtīšanas mērķi, kā arī par piedāvāto izvēli un iespēju iebilst (atteikums) pret tālāku nosūtīšanu vai, sensitīvu datu gadījumā, nepieciešamību sniegt “skaidru piekrišanu” (piekrišana) tālākai nosūtīšanu. Ņemot vērā datu integritātes un mērķa ierobežojuma principu, pienākums nodrošināt tādu pašu aizsardzības līmeni, kādu nodrošina principi, paredz, ka trešā persona drīkst apstrādāt personas datus, kas tai nosūtīti mērķiem, kas nav nesavienojami ar mērķiem, kuriem tie sākotnēji vākti vai kuriem persona pēc tam atļāvusi tos izmantot.

(29) Pienākums nodrošināt tādu pašu aizsardzības līmeni, kādu nosaka principi, attiecas uz visām trešām personām, kas iesaistītas šādi nosūtītu datu apstrādē, neatkarīgi no to atrašanās vietas (ASV vai citā trešā valstī), kā arī uz gadījumiem, kad sākotnējais saņēmējs – trešā persona nosūta minētos datus citam saņēmējam – trešai personai, piemēram, apakšapstrādes nolūkiem. Visos gadījumos līgumā ar saņēmēju – trešo personu ir jānosaka, ka tas informēs privātuma vairoga organizāciju gadījumā, ja tas konstatēs, ka vairs nevar pildīt šo pienākumu. Ja tas tiek konstatēts, trešā persona pārtrauc apstrādi vai ir jāveic citi pamatoti un atbilstoši pasākumi, lai labotu situāciju (32). Ja (apakš-)apstrādes ķēdē radīsies atbilstības problēmas, privātuma vairoga organizācijai, kas darbojas kā personas datu pārzinis, būs jāpierāda, ka tā nav atbildīga par notikumu, kura rezultātā radušies zaudējumi, vai kā citādi jāuzņemas atbildība, kā tas precizēts atbilstoši tiesību aizsardzības, izpildes un atbildības principam. Papildu aizsardzība ir piemērojama gadījumā, kad tiek veikta tālāka nosūtīšana trešās personas pārstāvim (33).

2.2. ES un ASV privātuma vairoga pārredzamība, pārvaldība un pārraudzība

(30) ES un ASV privātuma vairogs paredz uzraudzības un izpildes mehānismus, lai pārbaudītu un nodrošinātu, ka pašsertificēti ASV uzņēmumi ievēro principus un ka tiek izskatīts katrs neatbilstības gadījums. Šie mehānismi ir izklāstīti principos (II pielikums) un saistībās, ko uzņēmusies Tirdzniecības ministrija (I pielikums), FTK (IV pielikums) un ASV Transporta ministrija (V pielikums).

(31) Lai nodrošinātu atbilstīgu ES un ASV privātuma vairoga piemērošanu, ieinteresētajām personām, piemēram, datu subjektiem, datu nosūtītājiem un valsts datu aizsardzības iestādēm (DAI) jābūt spējīgām identificēt tās organizācijas, kuras stingri ievēro principus. Tālab ASV Tirdzniecības ministrija ir apņēmusies uzturēt un darīt sabiedrībai zināmu to organizāciju sarakstu, kuras ir apliecinājušas savu principialitāti, un kas ir vismaz vienas no šā lēmuma I un II pielikumā uzskaitīto tiesībaizsardzības iestāžu piekritībā (“privātuma vairoga saraksts”) (34). Tirdzniecības ministrija atjauninās šo sarakstu, pamatojoties uz organizācijas ikgadējās atkārtotās sertifikācijas iesniegumiem, kā arī tad, kad kāda organizācija izstāsies vai tiks izslēgta no ES un ASV privātuma vairoga. Tā arī darīs sabiedrībai zināmu oficiālu reģistru ar organizācijām, kuras ir dzēstas no saraksta, katrā gadījumā minot dzēšanas iemeslu. Visbeidzot, tā norādīs saiti uz FTK tīmekļa vietnē uzturētu sarakstu ar FTK izpildes lietām, kas saistītas ar privātuma vairogu.

(32) Tirdzniecības ministrija gan privātuma vairoga sarakstu, gan atkārtotās sertifikācijas iesniegumus darīs publiski pieejamus, izmantojot šim nolūkam paredzētu tīmekļa vietni. Savukārt pašsertificētām organizācijām privātuma vairoga sarakstam ir jānorāda ministrijas tīmekļa adresi. Papildus, ja organizācijas paziņojums par privātumu ir pieejams tiešsaistē, tajā ir jāiekļauj hipersaite uz privātuma vairoga tīmekļa vietni, kā arī hipersaite uz neatkarīga tāda tiesību aizsardzības mehānisma tīmekļa vietni vai sūdzības iesniegšanas veidlapu, kas ir pieejams neizskatīto sūdzību atrisināšanai. Tirdzniecības ministrija organizācijas sertifikācijas un atkārtotās sertifikācijas ietvaros regulāri pārbaudīs, vai tās privātuma politikas virzieni atbilst principiem.

(33) Organizācijas, kuras ir pastāvīgi pārkāpušas principus, tiks dzēstas no privātuma vairoga saraksta, un tām būs jānodod atpakaļ vai jāizdzēš ES un ASV privātuma vairoga ietvaros saņemtie personas dati. Citos dzēšanas gadījumos, piemēram, brīvprātīga izstāšanās vai neveikta atkārtota sertifikācija, organizācija var saglabāt šādus datus, ja tā Tirdzniecības ministrijai katru gadu apliecina savas saistības turpināt piemērot principus vai nodrošina pienācīgu personas datu aizsardzību citā atļautā veidā (piemēram, izmantojot līgumu, kurā ir pilnībā atspoguļotas attiecīgo līguma standartklauzulu prasības, kuras apstiprinājusi Komisija). Tādā gadījumā organizācijai ir jānorāda organizācijas kontaktpunkts attiecībā uz visiem ar privātuma vairogu saistītajiem jautājumiem.

(34) Tirdzniecības ministrija arī uzraudzīs organizācijas, kuras vairs nav ES un ASV privātuma vairoga dalībnieces tāpēc, ka ir brīvprātīgi izstājušās vai to sertifikācijai beidzas termiņš, lai pārbaudītu, vai tās nodos atpakaļ, dzēsīs vai saglabās (35) iepriekš shēmas ietvaros saņemtos personas datus. Ja tās saglabā šos datus, organizāciju pienākums ir arī turpmāk piemērot principus šiem personas datiem. Gadījumos, kad Tirdzniecības ministrija būs izdzēsusi organizācijas no shēmas saistībā ar pastāvīgu principu neievērošanu, tā nodrošinās, ka minētās organizācijas nodod atpakaļ vai izdzēš personas datus, kurus tās saņēmušas shēmas ietvaros.

(35) Ja kāda organizācija jebkāda iemesla dēļ izstājas no ES un ASV privātuma vairoga, tai ir jāizdzēš visi publiskie apgalvojumi, kuros minēts, ka tā turpina līdzdarboties ES un ASV privātuma vairogā vai ka tai ir tiesības uz priekšrocībām, jo īpaši jebkādas atsauces uz ES un ASV privātuma vairogu tās publicētajā paziņojumā par privātumu. Tirdzniecības ministrija meklēs nepatiesus apgalvojumus, tostarp kādreizējo dalībnieku izteiktus apgalvojumus par līdzdalību sistēmā, un vērsīsies pret tiem (36).Uz jebkādiem maldinošiem izteikumiem sabiedrībai, ko maldinošu apgalvojumu vai prakses formā ir izteikusi kāda organizācija par savu principialitāti, attiecas izpildes darbības, ko īsteno FTK, Transporta ministrija vai citas atbilstīgas ASV tiesībaizsardzības iestādes; par Tirdzniecības ministrijai sniegtiem maldinošiem izteikumiem piemēro tiesībaizsardzības darbības saskaņā ar Likumu par nepatiesu ziņu sniegšanu (False Statements Act) (18 U.S.C. § 1001) (37).

(36) Tirdzniecības ministrija pēc savas iniciatīvas uzraudzīs jebkādus nepatiesus apgalvojumus par līdzdalību privātuma vairoga shēmā vai neatbilstīgu privātuma vairoga sertifikācijas zīmes izmantošanu, un DAI var nodot organizācijas izskatīšanai speciāliem ministrijas kontaktpunktiem. Kad organizācija ir izstājusies no ES un ASV privātuma vairoga shēmas, neveic atkārtotu sertifikāciju vai tiek dzēsta no privātuma vairoga saraksta, Tirdzniecības ministrija pastāvīgi pārbauda, vai tā no sava publicētā paziņojuma par privātumu ir izdzēsusi jebkāda veida atsauces uz privātuma vairogu, kuras liecina par tās turpmāku līdzdalību, un, ja tā turpina izteikt nepatiesus apgalvojumus, nodod lietu FTK, Transporta ministrijai vai citai kompetentai iestādei iespējamu izpildes darbību veikšanai. Tā arī sūtīs aptaujas lapas organizācijām, kuru pašsertifikācijai beidzas termiņš vai kuras ir brīvprātīgi izstājušās no ES un ASV privātuma vairoga shēmas, lai noskaidrotu, vai organizācija nodos atpakaļ, dzēsīs vai turpinās piemērot privātuma principus personas datiem, kurus tā ir saņēmusi, līdzdarbojoties ES un ASV privātuma vairoga shēmā, un, ja personas dati tiks saglabāti, pārbaudīs, kurš organizācijā būs pastāvīgais kontaktpunkts attiecībā uz visiem ar privātuma vairogu saistītajiem jautājumiem.

(37) Tirdzniecības ministrija pēc savas iniciatīvas pastāvīgi veiks pašsertificētu organizāciju atbilstības pārbaudes (38), tostarp izsūtot detalizētas aptaujas lapas. Tā arī veiks sistemātiskus pārskatus katru reizi, kad tiks saņemta konkrēta (nozīmīga) sūdzība, ja organizācija nesniegs pienācīgas atbildes uz tās pieprasījumiem vai ja būs ticami pierādījumi, kas liecinās, ka organizācija varētu neievērot principus. Attiecīgos gadījumos Tirdzniecības ministrija par šādām atbilstības pārbaudēm apspriedīsies arī ar DAI.

2.3. Tiesiskās aizsardzības mehānismi, sūdzību izskatīšana un izpilde

(38) ES un ASV privātuma vairogs ar tiesību aizsardzības, izpildes un atbildības principu nosaka, ka organizācijām ir jānodrošina personām, kuras ir ietekmējusi neatbilstība, iespēja vērsties pēc palīdzības un tādējādi iespēja ES datu subjektiem iesniegt sūdzības par pašsertificētu ASV uzņēmumu neatbilstību un rast risinājumu šīm sūdzībām, nepieciešamības gadījumā ar lēmumu, kas nodrošina efektīvu tiesiskās aizsardzības līdzekli.

(39) Pašsertifikācijas ietvaros organizācijām jāievēro tiesību aizsardzības, izpildes un atbildības principa prasības, paredzot efektīvus un viegli pieejamus neatkarīgus tiesību aizsardzības mehānismus, ar kuriem katras personas sūdzības un strīdus var izmeklēt un efektīvi atrisināt, neradot izmaksas personai.

(40) Organizācijas var izvēlēties neatkarīgu tiesību aizsardzības mehānismu Savienībā vai Amerikas Savienotajās Valstīs. Tas ietver iespēju brīvprātīgi apņemties sadarboties ar ES DAI. Tomēr šādas izvēles nav, ja organizācijas apstrādā cilvēkresursu datus, jo šajā gadījumā sadarbība ar DAI ir obligāta. Citas alternatīvas ietver neatkarīgu alternatīvu strīdu risināšanu (ADR) vai privātajā sektorā izstrādātas privātuma programmas, kuru noteikumos iekļauti privātuma principi. Tajā jāietver efektīvi izpildes mehānismi saskaņā ar tiesību aizsardzības, izpildes un atbildības principa prasībām. Organizācijām ir pienākums novērst jebkuras neatbilstības problēmas. Tajos arī jānorāda, ka tās ir pakļautas FTK, Transporta ministrijas vai kādas citas ASV pilnvarotas valsts iestādes izmeklēšanas un izpildes pilnvarām.

(41) Attiecīgi privātuma vairoga regulējums paredz datu subjektiem vairākas iespējas īstenot savas tiesības, iesniegt sūdzības par ASV pašsertificēto uzņēmumu neatbilstību un panākt viņu sūdzību izskatīšanu, ja nepieciešams, pieņemot lēmumu par efektīvu tiesisko aizsardzību. Personas var iesniegt sūdzību tieši organizācijai, neatkarīgai strīdu risināšanas struktūrai, kuru izraudzījusies organizācija, valstu DAI vai FTK.

(42) Gadījumos, kad viņu sūdzības nav atrisinātas, izmantojot jebkuru no šiem tiesībaizsardzības vai izpildes mehānismiem, personām ir arī tiesības pieprasīt saistošu šķīrējtiesu privātuma vairoga komisijas ietvaros (šā lēmuma II pielikuma 1. pielikums). Izņemot šķīrējtiesu, kuras gadījumā vispirms ir jāizmanto daži tiesiskās aizsardzības līdzekļi, pirms var vērsties tiesā, personas pēc savas izvēles var brīvi izvēlēties jebkuru vai visas pārsūdzības mehānismu, un tām nav pienākuma izdarīt izvēli par labu vienam vai otram mehānismam vai ievērojot noteiktu secību. Tomēr pastāv noteikta loģiska secība, ko ir lietderīgi ievērot un kas izklāstīta turpmāk.

(43) Pirmkārt, ES datu subjekti var sekot lietām saistībā ar neatbilstību principiem, tieši sazinoties ar pašsertificēto ASV uzņēmumu. Lai sekmētu strīdu risināšanu, organizācijai ir jāievieš efektīvs tiesiskās aizsardzības mehānisms šādu sūdzību izskatīšanai. Tādēļ organizācijas privātuma politikai ir skaidri jāinformē personas par kontaktpunktu organizācijā vai ārpus tās, kas izskatīs sūdzības (tostarp jebkuru atbilstīgu iestādi Savienībā, kura var atbildēt uz pieprasījumiem vai sūdzībām), un par neatkarīgajiem strīdu izskatīšanas mehānismiem.

(44) Saņemot personas sūdzību – gan tieši no pašas personas, gan ar Tirdzniecības ministrijas starpniecību, kad DAI ir nodevusi to izskatīšanai, organizācijai ir jāsniedz atbilde ES datu subjektam 45 dienu laikā. Atbildē ir jābūt sniegtam sūdzības novērtējumam pēc būtības un informācijai par to, kā organizācija atrisinās problēmu. Tāpat organizācijām ir nekavējoties jāatbild uz jautājumiem un citiem informācijas pieprasījumiem no Tirdzniecības ministrijas vai DAI (39) (gadījumos, kad organizācija ir uzņēmusies saistības sadarboties ar DAI) attiecībā uz tās principialitāti. Organizācijām ir jāsaglabā sava dokumentācija par to, kā tās īsteno savu privātuma politiku, un pēc pieprasījuma jānodrošina tās pieejamība neatkarīgam tiesību aizsardzības mehānismam vai FTK (vai citai ASV iestādei ar piekritību izmeklēt negodīgu un maldinošu praksi) izmeklēšanas ietvaros vai pēc saņemtas sūdzības par neatbilstību.

(45) Otrkārt, personas var iesniegt sūdzību tieši organizācijas norīkotai neatkarīgai strīdu risināšanas struktūrai (Amerikas Savienotajās Valstīs vai Savienībā), kas izmeklē un risina personu sūdzības (ja vien tās nav acīmredzami nepamatotas vai nenozīmīgas) un nodrošina personai atbilstīgu tiesību aizsardzību bez maksas. Šādas struktūras piemērotām sankcijām un tiesiskās aizsardzības līdzekļiem ir jābūt pietiekami stingriem, lai nodrošinātu organizāciju atbilstību principiem, un jāparedz organizācijas veikta neatbilstības ietekmes novēršana vai korekcija un, atkarībā no apstākļiem, tālākas attiecīgo datu apstrādes pārtraukšana un/vai to dzēšana, kā arī neatbilstības konstatējumu publicēšana. Organizācijas norīkotām neatkarīgām strīdu risināšanas struktūrām savās publiskajās tīmekļa vietnēs būs jāiekļauj būtiska informācija par ES un ASV privātuma vairogu un pakalpojumiem tā ietvaros, kurus tās sniedz. Tām katru gadu ir jāpublicē gada ziņojums, kurā sniegta kopējā statistika par šiem pakalpojumiem (40).

(46) Tās atbilstības pārbaudes procedūru ietvaros Tirdzniecības ministrija pārbaudīs, vai pašsertificēti ASV uzņēmumi tiešām ir reģistrējušies neatkarīgajos tiesību aizsardzības mehānismos, kuros, kā tie apgalvo, uzņēmumi ir reģistrējušies. Gan organizācijām, gan atbildīgajiem neatkarīgajiem tiesību aizsardzības mehānismiem ir jāspēj nekavējoties atbildēt uz Tirdzniecības ministrijas jautājumiem un informācijas pieprasījumiem saistībā ar privātuma vairogu.

(47) Gadījumos, kad organizācija neievēro strīdu risināšanas vai pašregulējuma struktūras lēmumu, struktūrai par šādu neievērošanu ir jāinformē Tirdzniecības ministrija un FTK (vai cita ASV iestāde ar piekritību izmeklēt negodīgu vai maldinošu praksi), vai kompetenta tiesa (41). Ja organizācija atsakās ievērot jebkuras privātuma pašregulējuma, neatkarīgas strīdu risināšanas vai valdības iestādes galīgo lēmumu vai gadījumā, ja šāda iestāde konstatē, ka organizācija bieži neievēro principus, tas tiks uzskatīts par pastāvīgu neizpildi, kā rezultātā Tirdzniecības ministrija, vispirms informējot organizāciju, kura nav ievērojusi principus, un dodot tai iespēju 30 dienu laikā atbildēt, svītros šo organizāciju no saraksta (42). Ja pēc tam, kad organizācija ir svītrota no saraksta, tā turpina apgalvot, ka tai ir privātuma vairoga sertifikācija, ministrija vērsīsies pie FTK vai citas tiesībaizsardzības iestādes (43).

(48) Treškārt, personas var arī iesniegt sūdzību valsts datu aizsardzības iestādei. Organizācijām ir pienākums sadarboties, kad DAI veic izmeklēšanu un risina sūdzību – gan tad, kad tā attiecas uz cilvēkresursu datu apstrādi, kuri savākti saistībā ar darba tiesiskajām attiecībām, vai ja attiecīgā organizācija ir brīvprātīgi piekritusi DAI uzraudzībai. Jo īpaši organizācijām ir jāatbild uz pieprasījumiem, jāievēro DAI sniegtie ieteikumi, tostarp par tiesiskās aizsardzības vai kompensācijas pasākumiem, un jāsniedz DAI rakstveida apstiprinājums par šādu rīcību.

(49) DAI ieteikumus nodos ar neformālas DAI komisijas starpniecību, kas izveidota Savienības līmenī (44) un kas palīdzēs arī nodrošināt saskaņotu un sasaistītu pieeju konkrētai sūdzībai. Ieteikumus sniegs pēc tam, kad abām strīdā iesaistītajām pusēm būs bijusi pienācīga iespēja sniegt komentārus un uzrādīt visus pierādījumus, ko tās vēlas. Attiecīgā komisija sniegs ieteikumus, cik vien drīz to atļaus prasība par pienācīgu izskatīšanu un parasti 60 dienu laikā pēc sūdzības saņemšanas. Ja organizācija 25 dienu laikā pēc ieteikuma sniegšanas to neievēro un nesniedz pienācīgu paskaidrojumu par kavēšanos, komisija paziņo par tās nodomu vai nu iesniegt lietu FTK (vai citai kompetentai ASV tiesībaizsardzības iestādei), vai arī secināt, ka sadarbošanās saistības ir ievērojami pārkāptas. Pirmajā gadījumā rezultāts var būt izpildes darbība saskaņā ar FTK likuma 5. pantu (vai līdzīgu tiesību aktu). Otrajā gadījumā komisija informēs Tirdzniecības ministriju, kas organizācijas atteikumu ievērot DAI komisijas ieteikumu uzskatīs par pastāvīgu pārkāpumu, kā rezultātā organizācija tiks svītrota no privātuma vairoga saraksta.

(50) Ja DAI, kurai sūdzība ir adresēta, sūdzības atrisināšanas nolūkā nav rīkojusies vai ir rīkojusies nepietiekami, attiecīgajam sūdzības iesniedzējam ir iespēja apstrīdēt šādu (bez-)darbību attiecīgās dalībvalsts vietējās tiesās.

(51) Personas var arī iesniegt sūdzību DAI pat tad, ja DAI komisija nav nozīmēta kā organizācijas strīdu risināšanas struktūra. Šādos gadījumos DAI var pārsūtīt šādas sūdzības Tirdzniecības ministrijai vai FTK. Lai sekmētu un palielinātu sadarbību jautājumos saistībā ar personu sūdzībām un privātuma vairoga organizāciju neatbilstību, Tirdzniecības ministrija izveidos speciālu kontaktpunktu, kas darbosies kā koordinators un palīdzēs saistībā ar DAI pieprasījumiem par organizācijas atbilstību principiem (45). Tāpat FTK ir apņēmusies izveidot speciālu kontaktpunktu (46) un sniegt DAI palīdzību izmeklēšanā saskaņā ar ASV Interneta drošības likumu (Safe WEb Act) (47).

(52) Ceturtkārt, Tirdzniecības ministrija ir uzņēmusies saistības saņemt, izskatīt un darīt visu iespējamo, lai atrisinātu sūdzības par organizācijas neatbilstību principiem. Šajā sakarā Tirdzniecības ministrija nodrošina īpašas procedūras DAI, lai nodotu sūdzības izskatīšanai speciālam kontaktpunktam, izsekotu tās un turpinātu saziņu ar uzņēmumiem, lai sekmētu sūdzību risināšanu. Lai paātrinātu personu sūdzību apstrādi, kontaktpunkts sazināsies tieši ar attiecīgo DAI par atbilstības jautājumiem un īpaši informēs to par sūdzību statusu periodā, kas nepārsniedz 90 dienas pēc nodošanas izskatīšanai. Tas ļauj datu subjektiem iesniegt sūdzības par pašsertificētu ASV uzņēmumu neatbilstību tieši savas valsts DAI un novirzīt tās uz Tirdzniecības ministriju kā ASV iestādi, kas pārvalda ES un ASV privātuma vairogu. Tirdzniecības ministrija ir arī uzņēmusies saistības gada pārskatā par ES un ASV privātuma vairogu sniegt ziņojumu, kurā kopumā analizētas sūdzības, kuras tā saņem katru gadu (48).

(53) Ja, pamatojoties uz pārbaudēm, kas veiktas pēc pašas iniciatīvas, sūdzībām vai jebkādu citu informāciju, Tirdzniecības ministrija secinās, ka organizācija ir pastāvīgi pārkāpusi privātuma principus, tā dzēsīs šādu organizāciju no privātuma vairoga saraksta. Atteikums ievērot jebkādas privātuma pašregulējuma, neatkarīgas strīdu risināšanas vai valsts struktūras, tostarp DAI, galīgo lēmumu, tiks uzskatīts par pastāvīgu pārkāpumu.

(54) Piektkārt, privātuma aizsardzības organizācijai ir jābūt pakļautai izmeklēšanas un izpildes pilnvarām, ko īsteno ASV iestādes, jo īpaši Federālās Tirdzniecības komisija (49), tādējādi efektīvi nodrošinot atbilstību principiem. FTK prioritārā kārtā izskatīs pieprasījumus par neatbilstību privātuma principiem, kuri saņemti no neatkarīgām strīdu risināšanas vai pašregulējuma struktūrām, Tirdzniecības ministrijai un DAI (rīkojoties pēc pašu iniciatīvas vai saskaņā ar sūdzībām) nosakot, vai ir pārkāpts FTK likuma 5. pants (50). FTK ir uzņēmusies saistības izstrādāt standartizētu nodošanas izskatīšanai procedūru, norīkot iestādē kontaktpunktu DAI nodoto lietu izskatīšanai un apmainīties ar informāciju par izskatīšanai nodotajām lietām. Tā arī pieņems sūdzības tieši no personām un uzņemsies privātuma vairoga izpēti pēc savas iniciatīvas, jo īpaši plašākas privātuma jautājumu izskatīšanas ietvaros.

(55) FTK var pieprasīt atbilstību ar administratīviem rīkojumiem (“piekrišanas rīkojumi”), un tā sistemātiski uzraudzīs šādu rīkojumu izpildi. Ja organizācijas tos neievēro, FTK var nodot lietu izskatīšanai kompetentajai tiesai, lai piemērotu civiltiesisko atbildību un citus tiesiskās aizsardzības līdzekļus, tostarp par jebkādu kaitējumu prettiesiskas rīcības rezultātā. FTK var arī pieprasīt pagaidu vai pastāvīgu tiesas aizliegumu vai citus tiesiskās aizsardzības līdzekļus federālajā tiesā. Katrā privātuma vairoga organizācijai izsniegtā piekrišanas rīkojumā būs nosacījumi par patstāvīgu ziņošanu (51), un organizācijām būs jāpublisko jebkādas būtiskas ar privātuma vairogu saistītas sadaļas jebkurā atbilstības vai novērtējuma ziņojumā, kas iesniegts FTK. Visbeidzot, FTK uzturēs tiešsaistes sarakstu ar uzņēmumiem, kuriem privātuma vairoga lietās piemēroti FTK vai tiesas rīkojumi.

(56) Sestkārt, gadījumā, ja personas sūdzība nav apmierinoši atrisināta ne ar vienu citu pieejamo tiesiskās aizsardzības līdzekli, ES datu subjekts kā galējo tiesību aizsardzības mehānismu var izmantot iespēju pieprasīt saistošu šķīrējtiesu, ko spriež privātuma vairoga komisija. Organizācijām ir jāinformē personas par iespēju, ievērojot konkrētus nosacījumus, pieprasīt saistošu šķīrējtiesu, un organizācijām ir pienākums reaģēt, ja persona ir izmantojusi šo iespēju, iesniedzot paziņojumu attiecīgajai organizācijai (52).

(57) Šķīrējtiesas sastāvā ir vismaz 20 šķīrējtiesnešu kopums, kurus iecēlusi Tirdzniecības ministrija un Komisija, pamatojoties uz viņu neatkarību, godīgumu, kā arī pieredzi ASV privātuma un Savienības datu aizsardzības tiesībās. Katram atsevišķam strīdam puses no šī kopuma izvēlēsies vienu vai trīs (53) šķīrējtiesnešus. Procedūru regulēs saskaņā ar standarta šķīrējtiesas noteikumiem, par kuriem vienojas Tirdzniecības ministrija un Komisija. Šie noteikumi papildinās jau noslēgto satvaru, kurā ir vairāki elementi, kas pastiprina šā mehānisma pieejamību ES datu subjektiem: i) sagatavojot sūdzību šķīrējtiesai, datu subjektam var palīdzēt tā valsts DAI; ii) lai arī strīda izšķiršana notiks Amerikas Savienotajās Valstīs, ES datu subjekti varēs piedalīties tajā ar videokonferences vai tālruņa konferences starpniecību, kas personai būs jānodrošina bez maksas. iii) lai arī šķīrējtiesā izmantotā valoda parasti būs angļu valoda, taču pēc pamatota pieprasījuma un bez maksas datu subjektam parasti (54) tiks nodrošināts šķīrējtiesas lietas izskatīšanas tulkojums; iv) lai arī katrai pusei pašai ir jāuzņemas izdevumi par savu advokātu, ja komisijā to pārstāv advokāts, Tirdzniecības ministrija izveido fondu, kurā tiek iemaksāti ikgadēji privātuma vairoga organizāciju maksājumi, ar kuru var nosegt šķīrējtiesas procedūras attiecināmās izmaksas līdz maksimālajam apmēram, ko noteiks ASV iestādes, konsultējoties ar Komisiju.

(58) Privātuma vairoga komisijai būs tiesības piemērot “personai pielāgotu, taisnīgu nemonetāru palīdzību” (55), kas nepieciešams, lai novērstu neatbilstību principiem. Lai arī komisija ņems vērā citus tiesiskās aizsardzības līdzekļus, kas tiek izmantoti citiem privātuma vairoga mehānismiem, personas tik un tā varēs izmantot šķīrējtiesas procedūru, ja tās uzskatīs, ka citi līdzekļi ir bijuši nepietiekami. Tas ļaus ES datu subjektiem pieprasīt šķīrējtiesu visos gadījumos, kad kompetento ASV iestāžu (piemēram, FTK) darbības vai bezdarbības rezultātā sūdzības nebūs izskatītas apmierinoši. Šķīrējtiesu nevar pieprasīt, ja DAI ir likumīgas pilnvaras atrisināt attiecīgo sūdzību attiecībā uz pašsertificētu ASV uzņēmumu, proti, gadījumos, kad organizācijas pienākums ir sadarboties un ievērot DAI ieteikumus par to cilvēkresursu datu apstrādi, kas vākti nodarbinātības ietvaros, vai kad tā ir brīvprātīgi apņēmusies to darīt. Persona var pieprasīt šķīrējtiesas lēmuma izpildi ASV tiesās saskaņā ar Šķīrējtiesas likumu, tādējādi nodrošinot tiesisko aizsardzību gadījumā, ja uzņēmums to nedara.

(59) Septītkārt, ja organizācija nepilda savas saistības ievērot principus un publicētos privātuma politikas virzienus, papildu tiesiskās aizsardzības iespējas var būt pieejamas saskaņā ar ASV tiesībām, kas nodrošina tiesisko aizsardzību saskaņā ar delikta tiesībām un krāpniecisku sagrozījumu, negodīgas vai maldinošas rīcības vai prakses vai līguma saistību neizpildes gadījumā

(60) Turklāt, ja DAI, saņemot ES datu subjekta sūdzību, uzskata, ka personas datu nosūtīšana organizācijai Amerikas Savienotajās Valstīs ir veikta, pārkāpjot ES tiesību aktus datu aizsardzības jomā, tostarp gadījumā, kad ES datu nosūtītājam ir pamats uzskatīt, ka organizācija neievēro principus, DAI var arī izmantot savas pilnvaras attiecībā uz datu nosūtītāju un nepieciešamības gadījumā pieprasīt atcelt datu nosūtīšanu.

(61) Ņemot vērā informāciju šajā sadaļā, Komisija uzskata, ka ASV Tirdzniecības ministrijas izdotie principi kopumā nodrošina tādu personas datu aizsardzības līmeni, kas ir būtībā ekvivalents tam, kādu nodrošina ar Direktīvā 95/46/EK noteiktajiem būtiskajiem pamatprincipiem.

(62) Papildus efektīvu principu piemērošanu garantē pārredzamības prasības un privātuma vairoga pārvaldība un atbilstības pārbaudes, ko veic Tirdzniecības departaments.

(63) Turklāt Komisija uzskata, ka kopumā ar privātuma vairogu nodrošinātā pārraudzība, tiesību aizsardzības un izpildes mehānismi ļauj apzināt un praksē sodīt privātuma vairoga principu pārkāpumus un piedāvāt datu subjektam tiesiskās aizsardzības līdzekļus, kas ļauj piekļūt ar viņu saistītiem personas datiem un galu galā panākt šādu datu labošanu vai dzēšanu.

3. PIEKĻUVE ES UN ASV PRIVĀTUMA VAIROGA IETVAROS NOSŪTĪTAJIEM PERSONAS DATIEM UN TO IZMANTOŠANA ASV VALSTS IESTĀDĒS

(64) Kā izriet no II pielikuma I.5. daļas, principialitāte ir ierobežota, ciktāl tas nepieciešams, lai tiktu ievērotas valsts drošības, publisko interešu vai tiesībaizsardzības prasības.

(65) Komisija ir izvērtējusi ierobežojumus un aizsardzības pasākumus, kas pieejami ASV tiesībās attiecībā uz piekļuvi datiem, kuri tiek nosūtīti ES un ASV privātuma vairoga ietvaros, un to izmantošanu ASV valsts iestādēs valsts drošības, tiesībaizsardzības un citu valsts interešu nolūkos. Papildus ASV valdība ar Nacionālās izlūkošanas direktora biroja (NIDB) (56) starpniecību ir sniegusi Komisijai detalizētus apgalvojumus un uzņēmusies saistības, kas iekļautas šā lēmuma VI pielikumā. Ar valsts sekretāra parakstītu un šā lēmuma III pielikumā pievienotu vēstuli ASV valdība ir uzņēmusies saistības arī nodrošināt jaunu pārraudzības mehānismu valsts drošības interferencei – privātuma vairoga ombudu, kurš darbojas neatkarīgi no izlūkdienestiem. Visbeidzot, ASV Tieslietu ministrijas apgalvojumos, kas iekļauti šā lēmuma VII pielikumā, ir aprakstīti ierobežojumi un aizsardzības pasākumi, kas piemērojami valsts iestādēm datu piekļuvei un izmantošanai tiesībaizsardzības un citu valsts interešu nolūkos. Lai uzlabotu pārredzamību un atspoguļotu šo saistību tiesisko raksturu, katrs šajā lēmuma uzskaitītais un tam pievienotais dokuments tiks publicēts ASV Federālajā reģistrā.

(66) Komisijas secinājumi par ierobežojumiem attiecībā uz piekļuvi no Eiropas Savienības uz Amerikas Savienotajām Valstīm nosūtītajiem personas datiem un to izmantošanu ASV valsts iestādēs un efektīvu tiesisko aizsardzību ir sīkāk izklāstīti turpmāk.

3.1. Piekļuve datiem un to izmantošana ASV valsts iestādēs valsts drošības nolūkos

(67) Komisijas analīze liecina, ka ASV tiesībās ir iekļauti vairāki ierobežojumi ES un ASV privātuma vairoga ietvaros nosūtīto personas datu piekļuvei un izmantošanai valsts drošības nolūkos, kā arī pārraudzības un tiesiskās aizsardzības mehānismi, kas nodrošina pietiekamu aizsardzību, lai šos datus varētu efektīvi pasargāt pret nelikumīgu iejaukšanos un ļaunprātīgas izmantošanas risku (57). Kopš 2013. gada, kad Komisija izdeva savus divus paziņojumus (sk. 7. apsvērumu), šis tiesiskais regulējums ir ievērojami stiprināts.

3.1.1. Ierobežojumi

(68) Atbilstīgi ASV Konstitūcijai rūpes par valsts drošību ir prezidenta kompetencē, kurš ir kā virspavēlnieks, galvenā izpildvara un, attiecībā uz ārvalstu izlūkošanu, ASV ārlietu vadītājs (58). Lai arī Kongresam ir tiesības piemērot ierobežojumus, un tas ir darīts dažādos aspektos, prezidents šajā kontekstā var pārvaldīt ASV izlūkdienestu darbības, jo īpaši ar izpildrīkojumiem vai prezidenta direktīvām. Tas, protams, attiecas uz tām jomām, kurās nav Kongresa vadības. Šobrīd divi galvenie tiesību akti šajā jomā ir Izpildrīkojums Nr. 12333 (59) (Executive Order, E.O. 12333) un Prezidenta politikas direktīva Nr. 28 (PPD-28).

(69) Ar 2014. gada 17. janvārī izdoto Prezidenta politikas direktīvu Nr. 28 (“PPD-28”) ir noteikti vairāki ierobežojumi “sakaru izlūkošanas” darbībām (60). Prezidenta direktīva ir saistoša ASV izlūkošanas iestādēm (61) un saglabā spēku līdz ASV valdības maiņai (62). PPD-28 ir īpaši svarīga citu valstu personām, tostarp ES datu subjektiem. Cita starpā, ar to nosaka, ka: a) sakaru izlūkdatu vākšana ir jābalsta uz tiesību aktu vai prezidenta atļauju, un tā jāveic saskaņā ar ASV Konstitūciju (jo īpaši ceturto labojumu) un ASV tiesībām; b) pret visām personām ir jāizturas ar cieņu un ievērību neatkarīgi no viņu tautības vai dzīvesvietas; c) visām personām ir likumīgas privātās intereses attiecībā uz viņu personisko informāciju; d) privātumam un pilsoniskajām brīvībām ir jābūt neatņemamai sastāvdaļai ASV sakaru izlūkošanas darbību plānošanā; e) tādēļ ASV sakaru izlūkošanas darbībās ir jāiekļauj atbilstīgi aizsardzības pasākumi attiecībā uz visu personu personas datiem neatkarīgi no viņu tautības un dzīvesvietas.

(70) PPD-28 nosaka, ka sakaru izlūkdatus var vākt tikai valsts un ministriju misiju atbalstam ārvalstu izlūkošanas vai pretizlūkošanas nolūkos un nekādos citos nolūkos (piemēram, lai nodrošinātu konkurences priekšrocību ASV uzņēmumiem). Šajā nolūkā NIDB paskaidro, ka izlūkdienestu elementiem “būtu jānosaka, ka, kad vien iespējams, vākšana būtu jākoncentrē uz specifiskiem ārvalstu izlūkošanas mērķiem vai tematiem, izmantojot diskriminantus (piemēram, specifisku aprīkojumu, atlases nosacījumus un identifikatorus)” (63). Turklāt apgalvojumi sniedz pārliecību, ka lēmumi par izlūkdatu vākšanu nav atstāti atsevišķu izlūkošanas aģentu ziņā, bet tiem piemēro politikas virzienus un procedūras, kuras ir jāievieš dažādiem ASV izlūkdienestu elementiem (aģentūrām), lai īstenotu PPD-28 (64). Attiecīgi pētniecība un piemērotu izraudzītāju atlase notiek vispārējā “Nacionālās izlūkošanas prioritāšu satvara” (NIPS) ietvaros, kas nodrošina, ka izlūkošanas prioritātes nosaka augsta līmeņa politikas veidotāji un tās tiek regulāri pārskatītas, lai spētu reaģēt uz aktuālajiem draudiem valsts drošībai, un ņemot vērā iespējamos riskus, tostarp privātuma riskus (65). Pamatojoties uz to, aģentūras personāls pēta un identificē specifiskus atlases nosacījumus, lai vāktu ārvalstu izlūkdatus atbilstoši prioritātēm (66). Izraudzīšanas noteikumi jeb “izraudzītāji” ir regulāri jāpārbauda, lai pārliecinātos, ka tie joprojām sniedz vērtīgus izlūkdatus saskaņā ar prioritātēm (67).

(71) Turklāt PPD-28 noteiktās prasības, ka izlūkdatu vākšanai vienmēr (68) jābūt “cik vien iespējams pielāgotai”, un ka izlūkdienestiem par prioritāru jāpieņem citas informācijas pieejamība un piemērotas un iespējamas alternatīvas (69), atspoguļo vispārēju noteikumu par prioritāti izvirzīt datu mērķtiecīgu, nevis lielapjoma vākšanu. Saskaņā ar NIDB pausto apliecinājumu tie nodrošina jo īpaši to, ka datu lielapjoma vākšana nenozīmē nedz “masveidā”, nedz “nekritiski”, un ka izņēmums neaizēno noteikumu (70).

(72) Lai arī PPD-28 paskaidrots, ka izlūkdienestu elementiem dažkārt konkrētos apstākļos ir lielapjomā jāvāc sakaru izlūkdati, piemēram, lai identificētu un izvērtētu jaunus vai radušos draudus, direktīva norāda šiem elementiem, ka ir jānosaka prioritāras alternatīvas, kas ļautu veikt mērķtiecīgu sakaru izlūkošanu (71). No tā izriet, ka datiu lielapjoma vākšana notiks tikai tad, kad “tehnisku vai ar ekspluatāciju saistītu apsvērumu dēļ” nav iespējama mērķtiecīgu vākšana, izmantojot diskriminantus – proti, identifikatorus, kas saistīti ar konkrētu mērķi (piemēram, mērķa e-pasta adrese vai tālruņa numurs) (72). Tas attiecas gan uz veidu, kādā sakaru izlūkdati tiek vākti, gan uz to, kas faktiski tiek vākts (72).

(73) Saskaņā ar NIDB apgalvojumiem pat gadījumos, kad izlūkdienesti nevar izmantot konkrētus identifikatorus mērķtiecīgai vākšanai mērķa, tā centīsies “cik vien iespējams” sašaurināt vākšanu. Lai to nodrošinātu, tā “piemēro filtrus vai citus tehniskus rīkus, lai koncentrētu vākšanu uz tām iekārtām, kurās varētu būt saziņa ar ārvalstu izlūkošanas vērtība” (un tādējādi būtu reaģēts uz prasībām, ko formulējuši ASV politikas veidotāji saskaņā ar iepriekš 70. apsvērumā aprakstīto procedūru). Tādējādi pret datu lielapjoma vākšanu vērstos vismaz divos veidos: pirmkārt, tā vienmēr attiektos uz konkrētiem ārvalstu izlūkošanas mērķiem (piemēram, lai iegūtu sakaru izlūkdatus par kādas teroristu grupas darbībām, kas darbojas konkrētā reģionā) un koncentrētu vākšanu uz paziņojumiem, kuros ir šāda saikne. Saskaņā ar NIDB pausto apliecinājumu tas atspoguļojas apstāklī, ka “Amerikas Savienoto Valstu sakaru izlūkošanas darbības skar tikai daļu no paziņojumiem, kas atrodami internetā. (73)” Otrkārt, NIDB apgalvojumos paskaidrots, ka izmantotie filtri un citi tehniskie rīki tiks izstrādāti tā, lai koncentrētu vākšanu “maksimāli precīzi”, lai nodrošinātu, ka tiek samazināts savāktās “nederīgās informācijas” apjoms.

(74) Visbeidzot, pat ja ASV uzskata, ka sakaru izlūkdatus ir nepieciešams lielapjoma vākt saskaņā ar 70.–73. apsvērumā izklāstītajiem nosacījumiem, PPD-28 ierobežo šādas informācijas izmantošanu līdz sešiem valsts drošības mērķiem ar nolūku aizsargāt visu personu privātumu un pilsoniskās brīvības neatkarīgi no viņu tautības un dzīvesvietas (74). Šie pieļaujamie mērķi aptver pasākumus, ar kuriem apzināt un apkarot draudus bruņotajiem spēkiem vai militārajam personālam, ko veicina spiegošana, terorisms, masu iznīcināšanas ieroči, draudus kiberdrošībai, kā arī transnacionālus kriminālos draudus, kas saistīti ar pārējiem pieciem mērķiem, un tie tiks pārskatīti vismaz reizi gadā. Saskaņā ar ASV valdības apgalvojumiem izlūkdienestu elementi ir stiprinājuši savu analītisko praksi un standartus nenovērtētu sakaru izlūkdatu vērtēšanai, lai ievērotu šīs prasības; mērķtiecīgas meklēšanas izmantošana “nodrošina, ka analītiķiem izpētei tiek uzrādīta tikai tā informācija, kurai ir potenciāla izlūkošanas vērtība” (75).

(75) Šie ierobežojumi īpaši attiecas uz personas datiem, kas tiek nosūtīti ES un ASV privātuma vairoga ietvaros, īpaši gadījumā, ja personas datus vāc ārpus Amerikas Savienotajām Valstīm, tostarp to pārsūtīšanas laikā pa transatlantiskajiem kabeļiem no Savienības uz Amerikas Savienotajām Valstīm. Kā ASV iestādes apstiprinājušas NIDB apgalvojumos, tajos izklāstītie ierobežojumi un aizsardzības pasākumi – tostarp PPD-28 – attiecas uz šādu vākšanu (76).

(76) Lai arī tas nav noformulēts šajos juridiskajos noteikumos, šie principi iemieso nepieciešamības un proporcionalitātes principu būtību. Mērķtiecīga ievākšana ir skaidra prioritāte, savukārt apjomīga ievākšana aprobežojas ar (izņēmuma) situācijām, kurās mērķtiecīga ievākšana nav iespējama tehnisku vai operatīvu iemeslu dēļ. Pat tad, ja no datu lielapjoma vākšanas nav iespējams izvairīties, tālāka šādu datu “izmantošana”, tiem piekļūstot, ir strikti ierobežota konkrētiem, likumīgiem valsts drošības mērķiem (77).

(77) Tā kā prasības ir iekļautas direktīvā, ko izdevis prezidents kā galvenā izpildvara, tās ir saistošas visiem izlūkdienestiem un ir tālāk īstenotas ar aģentūru noteikumiem un procedūrām, ar kurām vispārējos principus transponē konkrētos virzienos ikdienas darbībām. Turklāt, lai arī Kongresam pašam PPD-28 nav saistoša, tas arī ir veicis darbības, lai nodrošinātu, ka personas datu ievākšana un piekļuve tiem Amerikas Savienotajās Valstīs ir mērķtiecīga, nevis tiek veikta “vispārīgi”.

(78) No pieejamās informācijas, tostarp no ASV valdības saņemtajiem apgalvojumiem, izriet, ka, kad dati tiek nosūtīti organizācijai, kas atrodas ASV un ir pašsertificējusies ES un ASV privātuma vairoga ietvaros, ASV izlūkošanas aģentūras drīkst pieprasīt personas datus tikai tad (78), ja pieprasījums atbilst Ārvalstu izlūkošanas uzraudzības likumam (ĀIUL) vai to ir iesniedzis Federālais izmeklēšanas birojs (FIB), pamatojoties uz tā dēvēto nacionālās drošības vēstuli (NDV) (79). Saskaņā ar ĀIUL pastāv vairāki juridiskie pamati, kurus var izmantot, lai vāktu (un pēc tam apstrādātu) ES datu subjektu personas datus, kuri tiek pārsūtīti ES un ASV privātuma vairoga ietvaros. Papildus tradicionālajai individualizētajai elektroniskajai uzraudzībai saskaņā ar ĀIUL 104. pantu (80) un zvanīto numuru reģistrētāju un uztveršanas un trasēšanas ierīču uzstādīšanai saskaņā ar ĀIUL 402. pantu (81) divi galvenie instrumenti ir ĀIUL 501. pants (USA Patriot Act bij. 215. pants) un ĀIUL 702. pants (82).

(79) Šajā ziņā ar ASV Brīvības likumu (USA FREEDOM Act), kas stājās spēkā 2015. gada 2. jūnijā, ir aizliegta apjomīga dokumentācijas ievākšana, pamatojoties uz ĀIUL 402. pantu (tiesības izmantot zvanīto numuru reģistrētāju un uztveršanas un trasēšanas ierīces) un ĀIUL 501. pantu (USA Patriot Act bij. 215. pants) (83) un izmantojot NDV, un tās vietā ir noteikta specifisku “atlases nosacījumu” izmantošana (84).

(80) Lai arī ĀIUL ietver citas likumīgas atļaujas veikt nacionālās izlūkošanas darbības, tostarp sakaru izlūkošanu, Komisijas novērtējums ir apliecinājis, ka attiecībā uz personas datiem, kas pārsūtāmi ES un ASV privātuma vairoga ietvaros, šīs atļaujas vienlīdz ierobežo publisko iestāžu iejaukšanos līdz mērķtiecīgai ievākšanai un piekļuvei.

(81) Tas ir skaidrs attiecībā uz individualizētu elektronisko uzraudzību saskaņā ar ĀIUL 104. pantu (85). Attiecībā uz ĀIUL 702. pantu, kas nodrošina pamatu divām svarīgām izlūkošanas programmām, kuras vada ASV izlūkošanas aģentūras (PRISM, UPSTREAM), meklēšana tiek veikta mērķtiecīgā veidā, izmantojot individuālus izraudzītājus, kuri identificē konkrētus sakaru līdzekļus, piemēram, e-pasta adresi vai tālruņa numuru, nevis atslēgvārdus vai pat interesējošo personu vārdus (86). Tādēļ, kā atzīmējusi Privātuma un pilsonisko brīvību pārraudzības padome (PPBPP), 702. panta uzraudzība “pilnībā sastāv no mērķtiecīgām darbībām pret konkrētām [citu valstu] personām, par kurām ir veikta individuāla analīze” (87). Turpināmības klauzulas dēļ ĀIUL 702. pants 2017. gadā būs jāpārskata, un tajā laikā Komisijai būs atkārtoti jāizvērtē ES datu subjektiem pieejamie aizsardzības pasākumi.

(82) Turklāt ASV valdība savos apgalvojumos ir nepārprotami apliecinājusi Eiropas Komisijai, ka ASV izlūkdienesti “neiesaistās neviena cilvēka, tostarp parastu Eiropas pilsoņu, nekritiskā uzraudzībā” (88). Attiecībā uz personas datiem, kas tiek vākti Amerikas Savienotajās Valstīs, šo apgalvojumu apstiprina empīriski pierādījumi, kas apliecina, ka piekļuves pieprasījumi caur NDV un saskaņā ar ĀIUL gan atsevišķi, gan kopā attiecas tikai uz relatīvi nelielu skaitu mērķēto personu salīdzinājumā ar vispārējo datu plūsmu internetā (89).

(83) Attiecībā uz piekļuvi ievāktajiem datiem un datu drošību PPD-28 nosaka, ka piekļuve “ir pieejama tikai pilnvarotiem darbiniekiem, kuriem jāzina informācija, lai veiktu savu uzdevumu,” un ka personiskā informācija “tiek apstrādāta un uzglabāta apstākļos, kuros tiek nodrošināta pienācīga aizsardzība un liegta piekļuve nepiederošām personām atbilstoši sensitīvai informācijai piemērojamajiem drošības pasākumiem”. Izlūkošanas personāls saņem atbilstošu un pienācīgu apmācību attiecībā uz PPD-28 izklāstītajiem principiem (90).

(84) Visbeidzot, attiecībā uz to personisko datu glabāšanu un tālāku izplatīšanu, kuri iegūti no ES datu subjektiem un kurus vāc ASV izlūkošanas iestādes, PPD-28 nosaka, ka pret visām personām (tostarp citu valstu personām) ir jāizturas ar cieņu un ievērību, ka visām personām ir likumīgas privātās intereses attiecībā uz apiešanos ar viņu personas datiem un ka tādējādi izlūkdienestu elementiem ir jāizveido politikas virzieni, ar kuriem tiek nodrošināti pienācīgi šādu datu aizsardzības pasākumi, kas ir “saprātīgi izstrādāti, lai samazinātu (to) izplatīšanu un saglabāšanu (91).”

(85) ASV valdība ir paskaidrojusi, ka šī saprātīguma prasība nozīmē, ka izlūkdienestu elementiem nebūs jāpieņem “neviens teorētiski iespējams pasākums”, bet būs “jālīdzsvaro savi centieni aizsargāt likumīgas privātuma un pilsoniskās brīvības intereses ar sakaru izlūkošanas darbību praktiskajām vajadzībām” (92). Šajā ziņā pret citu valstu personām izturēsies tāpat kā pret ASV piederīgām personām, pamatojoties uz procedūrām, kuras apstiprinājis ģenerālprokurors. (93)

(86) Saskaņā ar šiem noteikumiem glabāšanas termiņš parasti ir ierobežots līdz pieciem gadiem, ja vien likumā nav īpašs noteikums vai nacionālās izlūkošanas direktors pēc rūpīgas privātuma jautājumu novērtēšanas – ņemot vērā NIDB pilsonisko brīvību un privātuma inspektora, kā arī aģentūru privātuma un pilsonisko brīvību inspektoru viedokļus – nenosaka, ka turpmāka glabāšana ir valsts drošības interesēs. (94) Izplatīšana ir ierobežota līdz gadījumiem, kuros informācija ir būtiska vākšanas pamatmērķim un tādējādi atbilst sankcionētai ārvalstu izlūkošanas vai tiesībaizsardzības prasībai. (95)

(87) Saskaņā ar ASV valdības apgalvojumiem personas datus nedrīkst izplatīt tikai tāpēc, ka attiecīgā persona nav ASV piederīga persona, un “sakaru izlūkošana attiecībā uz ārvalstu personas ikdienas darbībām nebūtu izskatāma par ārvalstu izlūkdatiem, kurus var pastāvīgi izplatīt vai saglabāt tikai šā fakta dēļ, ja vien pretējā gadījumā tas neatbilst sankcionētai ārvalstu izlūkošanas prasībai” (96).

(88) Pamatojoties uz iepriekš minēto, Komisija secina, ka Amerikas Savienotajās Valstīs ir noteikumi, kas paredzēti, lai ierobežotu iejaukšanos valsts drošības nolūkos to personu pamattiesībās, kuru personas dati tiek nosūtīti no Savienības uz Amerikas Savienotajām Valstīm ES un ASV privātuma vairoga ietvaros, līdz tādam līmenim, kas ir absolūti nepieciešams, lai sasniegtu attiecīgo likumīgo mērķi.

(89) Kā liecina minētā analīze liecina, ASV tiesību akti nodrošina, ka uzraudzības pasākumi tiks izmantoti vienīgi ārvalstu izlūkdatu iegūšanai – kas ir likumīgs politikas mērķis (97) – un tie būs pēc iespējas mērķtiecīgi. Jo īpaši, datu vākšana vākšana tiks atļauta tikai izņēmuma kārtā gadījumos, kad nav iespējama mērķtiecīga vākšana, un to papildinās ar papildu drošības pasākumiem, lai samazinātu ievākto datu apjomu un turpmāko piekļuvi tiem (kurai jābūt mērķtiecīgai un atļautai tikai konkrētos nolūkos).

(90) Komisijas izvērtējumā tas saskan ar Tiesas noteikto standartu Schrems spriedumā, saskaņā ar kuru tiesiskajā regulējumā, kurā ir ietverta iejaukšanās Pamattiesību hartas 7. un 8. pantā garantētajās pamattiesībās, ir jānosaka “minimālās prasības” (98) un ka “līdz absolūti nepieciešamajam nav ierobežots tiesiskais regulējums, saskaņā ar kuru vispārīgi tiek pieļauta visu to personu personas datu saglabāšana, kuru dati no Savienības ir pārsūtīti uz ASV – nešķirojot, bez ierobežojumiem vai izņēmumiem saistībā ar mērķi, kam tie kalpo, vai neparedzot objektīvus kritērijus, kas valsts iestāžu piekļuvi datiem un to vēlāku izmantošanu ļauj ierobežot precīziem, strikti ierobežotiem un tādiem mērķiem, kas pamato gan piekļuvi šiem datiem, gan arī to izmantošanu.” (99) Tāpat nenotiks neierobežota visu personu datu vākšana un glabāšana un netiks pieļauta neierobežota piekļuve. Turklāt Komisijai sniegtie apliecinājumi, tostarp apliecinājums, ka ASV sakaru izlūkošanas darbības skar tikai daļu no paziņojumiem, kas atrodami internetā, izslēdz iespēju, ka varētu būt “vispārēja” piekļuve elektronisko sakaru saturam (100).

3.1.2. Efektīva tiesiskā aizsardzība

(91) Komisija ir izvērtējusi gan Amerikas Savienotajās Valstīs pastāvošos pārraudzības mehānismus attiecībā uz ASV izlūkošanas iestāžu iejaukšanos personas datos, kas tiek pārsūtīti uz Amerikas Savienotajām Valstīm, gan ES datu subjektiem pieejamās iespējas pieprasīt individuālu tiesisko aizsardzību.

Pārraudzība

(92) Uz ASV izlūkdienestiem attiecas dažādi pārbaudes un pārraudzības mehānismi, kas ietilpst valsts varas trīs pīlaros. Tie ietver iekšējās un ārējās izpildvaras struktūras, vairākas Kongresa komitejas, kā arī tiesas uzraudzību – jo īpaši pār darbībām, uz kurām attiecas Ārvalstu izlūkošanas uzraudzības likums.

(93) Pirmkārt, ASV iestāžu izlūkošanas darbības rūpīgi pārrauga izpildvara.

(94) Saskaņā ar PPD-28 4. panta a) apakšpunkta iv) punktu izlūkdienestu elementu politikas virzieni un procedūras “ietver pienācīgus pasākumus, ar kuriem sekmēt personiskās informācijas aizsardzības mehānismu īstenošanas pārraudzību”; šajos pasākumos būtu jāiekļauj periodiskas revīzijas (101).

(95) Šajā ziņā ir ieviesti vairāki pārraudzības slāņi, tostarp pilsonisko brīvību vai privātuma inspektori, ģenerālinspektori, NIDB Pilsonisko brīvību un privātuma birojs, PPBPP un Prezidenta izlūkošanas pārraudzības padome. Šīs pārraudzības funkcijas nodrošina atbilstības darbinieki visās aģentūrās (102).

(96) Kā skaidro ASV valdība (103), pilsonisko brīvību vai privātuma inspektori ar pārraudzības pienākumiem ir vairākās ministrijās ar izlūkošanas funkcijām un izlūkošanas aģentūrās (104). Lai arī šo inspektoru konkrētās pilnvaras zināmā mērā var atšķirties atkarībā no pilnvarojošā tiesību akta, parasti tās ietver tādu procedūru uzraudzību, ar kurām nodrošināt, ka attiecīgā ministrija/aģentūra adekvāti izskata privātuma un pilsonisko brīvību jautājumus un ir ieviesusi atbilstošas procedūras, ar kurām risināt sūdzības no personām, kas uzskata, ka viņu privātums un pilsoniskās brīvības ir aizskartas (un atsevišķos gadījumos, piemēram, NIDB, pašiem ir tiesības izskatīt sūdzības (105)). Savukārt ministrijas/aģentūras vadītājam ir jānodrošina, ka inspektors saņem visu informāciju un tam ir piekļuve visiem materiāliem, kas nepieciešami, lai pildītu savas funkcijas. Pilsonisko brīvību un privātuma inspektori periodiski atskaitās Kongresam un PPBPP, tostarp norādot ministrijas/aģentūras saņemto sūdzību skaitu un veidu un sniedzot kopsavilkumu par šādu sūdzību izvietojumu, veiktajiem ziņojumiem un izmeklēšanām un inspektora veikto darbību ietekmi (106). Saskaņā ar valsts datu aizsardzības iestāžu novērtējumu iekšējo pārraudzību, ko veic pilsonisko brīvību vai privātuma inspektori, var uzskatīt par “vidēji spēcīgu”, lai gan pēc iestāžu domām inspektoriam nav nepieciešamā neatkarības līmeņa (107).

(97) Papildus katram izlūkdienestu elementam ir pašam savs ģenerālinspektors, kura pienākums, cita starpā, ir pārraudzīt ārvalstu izlūkošanas darbības (108). NIDB tas ir Ģenerālinspektora birojs, kam ir visaptveroša kompetence visā izlūkdienestā un pilnvaras izskatīt sūdzības vai informāciju saistībā ar apgalvojumiem par nelikumīgu rīcību vai ļaunprātīgu varas izmantošanu saistībā ar NIDB un/vai izlūkošanas kopienas programmām un darbībām (109). Ģenerālinspektori ir likumiski neatkarīgas (110) vienības, kas ir atbildīgas par revīziju un izmeklēšanas veikšanu attiecībā uz programmām un darbībām, kuras īsteno attiecīgā aģentūra nacionālās izlūkošanas nolūkos, tostarp saistībā ar likuma ļaunprātīgu izmantošanu un pārkāpšanu (111). Tiem ir tiesības piekļūt visiem ierakstiem, atskaitēm, revīziju materiāliem, pārskatiem, dokumentiem, materiāliem, ieteikumiem un citiem būtiskiem materiāliem, vajadzības gadījumā ar tiesas pavēsti, un iegūt liecības nopratināšanā (112). Lai arī ģenerālinspektori var izdot tikai nesaistošus ieteikumus koriģējošai rīcībai, to atskaites, tostarp par turpmāku rīcību (vai tās trūkumu), tiek publicētas un nosūtītas Kongresam, kas, pamatojoties uz to, var izmantot savu pārraudzības funkciju (113).

(98) Turklāt Privātuma un pilsonisko brīvību pārraudzības padomei – neatkarīga izpildvaras aģentūra (114), ko veido divu pušu izvirzīti pieci locekļi (115), kurus uz sešu gadu laikposmu ieceļ prezidents ar Senāta apstiprinājumu – ir uzticēti pienākumi pretterorisma politikas virzienu jomā un to īstenošanā ar mērķi aizsargāt privātumu un pilsoniskās brīvības. Pārbaudot izlūkdienestu darbības, tā var piekļūt visiem attiecīgo aģentūru ierakstiem, atskaitēm, revīziju materiāliem, pārskatiem, dokumentiem, materiāliem un ieteikumiem, tostarp klasificētai informācijai, veikt nopratināšanu un uzklausīt liecības. Tā saņem ziņojumus no dažādu federālo departamentu/aģentūru pilsonisko brīvību un privātuma inspektoriem (116), var izdot tiem ieteikumus un regulāri atskaitās Kongresa komitejām un prezidentam (117). PPBPP ir uzdots tās kompetences ietvaros sagatavot ziņojumu, kurā ir novērtēta PPD-28 īstenošana.

(99) Visbeidzot, iepriekš minētos pārraudzības mehānismus papildina Izlūkošanas pārraudzības padome, ko ieceļ Prezidenta izlūkošanas pārraudzības padomes ietvaros, kura pārrauga to, kā ASV izlūkošanas iestādes ievēro Konstitūciju un visus piemērojamos noteikumus.

(100) Lai sekmētu pārraudzību, izlūkdienestu elementi tiek mudināti izstrādāt informācijas sistēmas, lai varētu uzraudzīt, reģistrēt un pārskatīt prasījumus vai cita veida personiskās informācijas meklējumus (118). Pārraudzības un atbilstības struktūras periodiski pārbaudīs izlūkdienestu elementu praksi attiecībā uz tādas personiskās informācijas aizsardzību, kas iekļauta sakaru izlūkošanā, un to atbilstību šīm procedūrām (119).

(101) Turklāt šīs pārraudzības funkcijas stiprina apjomīgas ziņošanas prasības attiecībā uz neatbilstību. Konkrēti, ar aģentūras procedūrām ir jānodrošina, ka, rodoties ievērojamai atbilstības problēmai, kas saistīta ar jebkuras personas, neatkarīgi no pilsonības, personisko informāciju, kas vākta sakaru izlūkošanas ietvaros, par šādu problēmu nekavējoties ziņo izlūkdienestu elementa vadītājam, kurš savukārt informē nacionālās izlūkošanas direktoru, kuram saskaņā ar PPD-28 ir jānosaka, vai ir nepieciešamas koriģējošas darbības (120). Turklāt saskaņā ar E.O. 12333 visiem izlūkdienestu elementiem ir noteikta prasība ziņot par neatbilstības gadījumiem Izlūkošanas pārraudzības padomei (121). Šie mehānismi nodrošina, ka problēma tiks risināta augstākajā izlūkdienestu līmenī. Ja ir iesaistīta citu valstu persona, nacionālās izlūkošanas direktors, konsultējoties ar valsts sekretāru un ziņojošā departamenta vai aģentūras vadītāju, nosaka, vai ir jāveic kādas darbības, lai informētu attiecīgo ārvalstu valdību atbilstoši avotu un metožu, kā arī ASV personāla aizsardzībai (122).

(102) Otrkārt, papildus šiem izpildvaras pārraudzības mehānismiem ASV Kongresam, konkrēti Parlamenta un Senāta izlūkošanas un tieslietu komitejām, ir pārraudzības pienākumi attiecībā uz visām ASV ārvalstu izlūkošanas darbībām, tostarp ASV sakaru izlūkošanu. Saskaņā ar Nacionālās drošības likumu “prezidents nodrošina, ka kongresa izlūkošanas komitejas tiek pilnībā un vienmēr informētas par Amerikas Savienoto Valstu izlūkošanas darbībām, tostarp jebkādu nozīmīgu gaidāmu izlūkošanas darbību saskaņā ar šo apakšnodaļu” (123). Tāpat “prezidents nodrošina, ka kongresa izlūkošanas komitejām nekavējoties tiek ziņots par jebkādu izlūkošanas darbību, kā arī jebkādu koriģējošu darbību, kas ir veikta vai tiek plānota saistībā ar šādu nelegālu rīcību” (124). Šo komiteju locekļiem ir piekļuve klasificētai informācijai, kā arī izlūkošanas metodēm un programmām (125).

(103) Ar turpmākiem tiesību aktiem ziņošanas prasības ir paplašinātas un pilnveidotas gan attiecībā uz izlūkdienestu elementiem, attiecīgajiem ģenerālinspektoriem, gan uz ģenerālprokuroru. Piemēram, ĀIUL nosaka, ka ģenerālprokuroram ir “pilnībā jāinformē” Senāta un Parlamenta izlūkošanas un tieslietu komitejas par valdības darbībām saskaņā ar atsevišķiem ĀIUL pantiem (126). Tas arī nosaka, ka valdībai ir jāiesniedz Kongresa komitejām “kopijas visiem lēmumiem, rīkojumiem vai atzinumiem, ko izdevusi Ārvalstu izlūkošanas uzraudzības tiesa vai Ārvalstu izlūkošanas uzraudzības apelācijas tiesa un kas ietver” ĀIUL noteikumu “būtisku izskaidrojumu vai interpretāciju”. Konkrēti, attiecībā uz pārraudzību saskaņā ar ĀIUL 702. pantu pārraudzību veic ar likumā noteiktiem ziņojumiem Izlūkošanas un Tieslietu komitejām, kā arī regulārām instruktāžām un pārrunām. Tajā skaitā ir ģenerālprokurora pusgada ziņojums, kurā aprakstīta ĀIUL 702. panta izmantošana, pievienoti apliecinoši dokumenti, tostarp jo īpaši Tieslietu ministrijas un NIDB atbilstības ziņojumi un jebkādu neatbilstības gadījumu apraksts, (127) kā arī atsevišķs ģenerālprokurora un NID pusgada novērtējums, kurā dokumentēta atbilstība mērķēšanas un minimizācijas procedūrām, tostarp atbilstība procedūrām, kas paredzētas, lai nodrošinātu, ka ievākšana tiek veikta likumīgā ārvalstu izlūkošanas nolūkā (128). Kongress saņem arī ziņojumus no ģenerālinspektoriem, kuriem ir tiesības novērtēt aģentūru atbilstību mērķēšanas un minimizācijas procedūrām un ģenerālprokurora pamatnostādnēm.

(104) Saskaņā ar 2015. gada ASV Brīvības likumu ASV valdībai katru gadu ir jāatklāj Kongresam (un sabiedrībai) ĀIUL pieprasīto un saņemto rīkojumu un direktīvu skaits, kā arī, cita starpā, to ASV piederīgo un citu valstu personu skaita aplēses, pret kurām vērsta uzraudzība (129). Ar likumu ir noteikta papildu publiska ziņošana par izdoto NDV skaitu, atkal attiecībā gan uz ASV, gan citu valstu personām (vienlaikus atļaujot ĀIUL rīkojumu un apliecinājumu, kā arī NDV pieprasījumu saņēmējiem noteiktos apstākļos izdot pārredzamības ziņojumus) (130).

(105) Treškārt, ASV valsts iestāžu izlūkošanas darbības, pamatojoties uz ĀIUL, ļauj ĀIUL tiesai (ĀIUT) (131), kas ir neatkarīga tiesa (132), kuras lēmumus var apstrīdēt Ārvalstu izlūkošanas apelācijas tiesā (ĀIAT) (133), un galu galā Amerikas Savienoto Valstu Augstākajai tiesai (134) pārskatīt un atsevišķos gadījumos iepriekš apstiprināt pasākumus. Iepriekšējas apstiprināšanas gadījumā pieprasījumu iesniegušajām iestādēm (FIB, NDA, CIP utt.) būs jāiesniedz pieteikuma projekts Tieslietu ministrijas Valsts drošības departamenta juristiem, kuri to rūpīgi pārbaudīs un, ja nepieciešams, pieprasīs papildu informāciju (135). Kad pieteikums būs pabeigts, nacionālās drošības ģenerālprokuroram, ģenerālprokurora vietniekam vai ģenerālprokurora palīgam tas būs jāapstiprina (136). Pēc tam Tieslietu ministrija iesniegs pieteikumu ĀIUT, kas to izvērtēs un pieņems pagaidu lēmumu par tālāko rīcību (137). Ja notiek lietas izskatīšana, ĀIUT ir tiesības uzklausīt liecības, kas var ietvert ekspertu ieteikumus (138).

(106) ĀIUT (un ĀIAT) strādā pastāvīga piecu personu grupa ar zinātību valsts drošības, kā arī pilsonisko brīvību jautājumos (139). No šīs grupas tiesa ieceļ personu, kas darbojas kā amicus curiae, lai palīdzētu izskatīt jebkuru pieteikumu rīkojumam vai pārskatīšanai, kas pēc tiesas ieskatiem sniedz jaunu vai būtisku likuma interpretāciju, ja vien tiesa nesecina, ka šāda iecelšana nav atbilstīga (140). Tam jo īpaši jānodrošina, ka tiesas novērtējumā ir pienācīgi atspoguļoti privātuma apsvērumi. Tiesa var iecelt arī personu vai organizāciju, kas darbojas kā amicus curiae, tostarp sniedzot tehnisko ekspertīzi, kad vien uzskata to par nepieciešamu, vai arī, pamatojoties uz pieprasījumu, ļaut personai vai organizācijai pagarināt amicus curiae darbības termiņu (141).

(107) Attiecībā uz divām likumīgajām uzraudzības atļaujām saskaņā ar ĀIUL, kuras ir vissvarīgākās datu pārsūtīšanai ES un ASV privātuma vairoga ietvaros, ĀIUT pārraudzība ir atšķirīga.

(108) Saskaņā ar ĀIUL 501. pantu (142), ar kuru ir atļauts ievākt “jebkādas taustāmas lietas (tostarp grāmatas, ierakstus, papīrus, dokumentus un citas lietas)”, pieteikumā ĀIUT ir jāiekļauj faktu izklāsts, apliecinot, ka ir pamatots iemesls ticēt, ka pieprasītās taustāmās lietas ir būtiskas attiecībā uz atļauto izmeklēšanu (izņemot apdraudējumu novērtējumu), kas veikta, lai iegūtu ārvalstu izlūkošanas informāciju, kas nav saistīta ar ASV piederīgu personu, vai aizsardzību pret starptautisko terorismu vai slepenām izlūkošanas darbībām. Tāpat pieteikumā ir jāiekļauj ģenerālprokurora apstiprināts minimizācijas procedūru saraksts ievākto izlūkdatu saglabāšanai un izplatīšanai. (143)

(109) Turpretī saskaņā ar ĀIUL 702. pantu (144) ĀIUT neapstiprina individuālus uzraudzības pasākumus, bet gan uzraudzības programmas (piemēram, PRISM, UPSTREAM), pamatojoties uz ikgadējām sertifikācijām, kuras sagatavo ģenerālprokurors un nacionālās izlūkošanas direktors. Ar ĀIUL 702. pantu ir atļauts izsekot personas, attiecībā uz kurām ir pamats uzskatīt, ka tās atrodas ārpus Amerikas Savienotajām Valstīm, lai iegūtu ārvalstu izlūkošanas informāciju (145). Šādu izsekošanu NDA veic divos posmos. Pirmajā NDA analītiķi identificē ārvalstīs esošas citu valstu personas, kuru uzraudzība, pamatojoties uz analītiķu novērtējumu, ļaus nonākt līdz attiecīgajai ārvalstu izlūkošanai, kas norādīta sertifikācijā. Otrajā, kad ir identificētas atsevišķas personas un to izsekošana ir apstiprināta ar plašu pārskatīšanas mehānismu NDA (146), izraudzītājiem, kas identificē izsekoto personu sakaru līdzekļus (piemēram, e-pasta adreses), tiks dots uzdevums (t.i. izstrādāts un piemērots) (147). Kā norādīts, sertifikācijas, kuras jāapstiprina ĀIUT, nesatur informāciju par atsevišķām personām, kuras jāizseko, bet gan identificē ārvalstu izlūkošanas informācijas kategorijas (148). Lai arī ĀIUT nevērtē – pamatojoties uz ticamu iemeslu vai kādu citu standartu –, vai personas ir atbilstīgi izsekotas, lai iegūtu ārvalstu izlūkošanas informāciju (149), tās kontrole ietver nosacījumu, ka “būtisks iegūšanas mērķis ir iegūt ārvalstu izlūkošanas informāciju” (150). Saskaņā ar ĀIUL 702. pantu NDA patiešām ir ļauts ievākt ārpus ASV esošu citu valstu personu sakarus tikai tad, ja ir pamats uzskatīt, ka attiecīgais sakaru līdzeklis tiek izmantots, lai izplatītu ārvalstu izlūkošanas informāciju (piemēram, saistībā ar starptautisko terorismu, kodolieroču izplatīšanu vai nelabvēlīgām kiberdarbībām). Lēmumi šajā saistībā ir apstrīdami tiesā (151). Sertifikācijās ir jāparedz arī mērķēšanas un minimizācijas procedūras (152). Ģenerālprokurors un nacionālās izlūkošanas direktors pārbauda atbilstību, un aģentūru pienākums ir par jebkādiem neatbilstības gadījumiem ziņot ĀIUL (153) (kā arī Kongresam un Prezidenta izlūkošanas pārraudzības padomei), kas, pamatojoties uz to, var grozīt atļauju (154).

(110) Turklāt, lai palielinātu ĀIUT pārraudzības efektivitāti, ASV valdība ir piekritusi īstenot PPBPP ieteikumu sniegt ĀIUT dokumentāciju saistībā ar 702. panta mērķēšanas lēmumiem, tostarp nejauši izvēlētu uzdevumu lapu paraugu, lai ĀIUT varētu novērtēt, kā ārvalstu izlūkošanas nolūka prasība tiek izpildīta praksē (155). Tajā pašā laikā ASV valdība piekrita pārskatīt NDA mērķēšanas procedūras un ir veikusi attiecīgas darbības, lai labāk dokumentētu ārvalstu izlūkošanas iemeslus mērķēšanas lēmumiem (156).

Individuāla tiesiskā aizsardzība

(111) ES datu subjektiem saskaņā ar ASV tiesībām ir vairākas iespējas, ja tie bažījas par to, vai viņu personas datus ir apstrādājuši (ievākuši, izvērtējuši utt.) ASV izlūkdienestu elementi, un, ja tā, vai ir ievēroti ierobežojumi, kas piemēroti ASV tiesībās. Tie galvenokārt attiecas uz trīs jomām: iejaukšanos saskaņā ar ĀIUL; nelikumīgu, tīšu valsts amatpersonu piekļuvi personas datiem; un piekļuvi informācijai saskaņā ar Likumu par informācijas brīvību (Freedom of Information Act) (LIB) (157).

(112) Pirmkārt, Ārvalstu izlūkošanas uzraudzības likums paredz vairākus tiesiskās aizsardzības līdzekļus, pieejamus arī c personām, ar kuriem apstrīdēt nelikumīgu elektronisko uzraudzību (158). To vidū ir iespēja personām celt civilprasību pret Amerikas Savienotajām Valstīm par finansiāliem zaudējumiem, ja informācija par šīm personām ir nelikumīgi un tīši izmantota vai izpausta (159); iesūdzēt tiesā ASV valsts amatpersonas kā privātpersonas (kas nelikumīgi veic likumīgu darbību) par finansiāliem zaudējumiem (160); un apstrīdēt uzraudzības likumību (un pieprasīt noklusēt informāciju) gadījumā, ja ASV valdība plāno izmantot vai izpaust jebkādu informāciju, kas iegūta vai atvasināta no elektroniskās uzraudzības attiecībā uz personu, tiesā vai administratīvajā kārtībā Amerikas Savienotajās Valstīs (161).

(113) Otrkārt, ASV valdība norādīja Komisijai vairākas papildu iespējas, kuras ES datu subjekti var izmantot, lai pieprasītu tiesību aizsardzību pret valdības amatpersonām attiecībā uz nelikumīgu valdības piekļuvi personas datiem vai to izmantošanu, tostarp paredzētos nacionālās drošības nolūkos (t. i., Likums par krāpniecību ar datora starpniecību un tā ļaunprātīgu izmantošanu (Computer Fraud and Abuse Act) (162), Elektroniskās saziņas privātuma likums (163); Likums par tiesībām uz finanšu datu aizsardzību (Right to Financial Privacy Act) (164). Visi šie prasības pamati ir saistīti ar specifiskiem datiem, mērķiem un/vai piekļuves veidiem (piemēram, piekļuve datoram ar tālvadību caur internetu) un ir pieejami noteiktos apstākļos (piemēram, apzināta/tīša rīcība, rīcība ārpus dienesta pilnvarām, ciestie zaudējumi) (165). Vispārīgi tiesiskās aizsardzības iespēja ir paredzēta saskaņā ar Administratīvā procesa likumu (5 U.S.C. § 702), saskaņā ar kuru “jebkurai personai, kam nodarīta juridiska netaisnība aģentūras darbības rezultātā vai ko nelabvēlīgi ietekmē vai neapmierina aģentūras darbība”, ir tiesības vērsties tiesā. Tas ietver iespēju lūgt tiesu “apturēt nelikumību un atcelt aģentūras darbību, konstatējumus un secinājumus, kas atzīti par […] patvaļīgiem, nepamatotiem, pieņemtiem, ļaunprātīgi izmantojot dienesta stāvokli, vai citādi pretrunā ar tiesību aktiem” (166).

(114) Visbeidzot, ASV valdība ir norādījusi uz LIB kā līdzekli citu valstu personām, ar kuru pieprasīt piekļuvi esošajiem federālās aģentūras ierakstiem, tostarp tad, ja tie satur attiecīgās privātpersonas personas datus (167). Ņemot vērā tvērumu, uz ko vērsts LIB, tas neparedz individuālu tiesību aizsardzību pret iejaukšanos personas datos, lai arī principā tas ļautu personām iegūt piekļuvi būtiskai informācijai, kuru glabā nacionālās izlūkošanas aģentūras. Pat šajā ziņā iespējas šķiet ierobežotas, jo aģentūras var neizpaust informāciju, uz kuru attiecas noteikti uzskaitīti izņēmumi, tostarp piekļuve klasificētai nacionālās drošības informācijai un informācijai saistībā ar tiesībaizsardzības izmeklēšanām (168). Tomēr, ja nacionālās izlūkošanas aģentūras izmanto šādus izņēmumus, personas var to apstrīdēt, pieprasot gan administratīvu izskatīšanu, gan izskatīšanu tiesā.

(115) Lai arī tādējādi personām, tostarp ES datu subjektiem, ir vairākas tiesiskās aizsardzības iespējas, ja tās ir pakļautas nelikumīgai (elektroniskajai) uzraudzībai nacionālās drošības nolūkos, tikpat skaidrs ir tas, ka nav iekļauti atsevišķi juridiskie pamatojumi (piemēram, E.O. 12333), kurus var izmantot ASV izlūkošanas iestādes. Turklāt, ja tiesiskās aizsardzības iespējas principā ir citu valstu personām, piemēram, uzraudzībai saskaņā ar ĀIUL, pieejamie rīcības pamatojumi ir ierobežoti (169), un personu (tostarp ASV piederīgu personu) prasības tiks atzītas par nepieņemamām, ja tās nevar pierādīt “tiesībspēju” (170), un tas ierobežo piekļuvi parastajām tiesām (171).

(116) Lai paredzētu papildu tiesiskās aizsardzības iespējas, kas pieejamas visiem ES datu subjektiem, ASV valdība ir nolēmusi izveidot jaunu ombuda mehānismu, kā izklāstīts ASV valsts sekretāra vēstulē Komisijai, vēstule ir pievienota šā lēmuma III pielikumā. Šā mehānismā pamatā ir vecākā koordinatora (valsts sekretāra vietnieka līmenī) iecelšana Valsts departamentā saskaņā ar PPD-28, kurš darbosies kā kontaktpunkts ārvalstu valdībām, lai tās varētu izteikt bažas saistībā ar ASV sakaru izlūkošanas darbībām, taču tā darbības joma ir daudz plašāka par sākotnējo konceptu.

(117) Konkrēti, saskaņā ar ASV valdības saistībām ombuda mehānisms nodrošinās, ka personu sūdzības tiek atbilstoši izskatītas un personas saņem neatkarīgi apstiprinājumu tam, ka ir ievēroti ASV tiesību akti vai, šādu tiesību aktu pārkāpuma gadījumā, ir novērsti neatbilstība (172). Mehānismā ir ietverts “privātuma vairoga ombuds”, proti, valsts sekretāra vietnieks un citi darbinieki, kā arī citas pārraudzības iestādes, kas ir kompetentas pārraudzīt izlūkdienestu dažādos elementus, un izskatot sūdzības, privātuma vairoga ombuds balstīsies uz sadarbību izlūkdienestiem. Jo īpaši, ja personas pieprasījums ir saistīts ar uzraudzības atbilstību ASV tiesību aktiem, privātuma vairoga ombuds varēs paļauties uz neatkarīgām pārraudzības struktūrām, kam ir izmeklēšanas pilnvaras (piemēram, PPBPP ģenerālinspektori). Katrā lietā valsts sekretārs nodrošina, ka ombudam būs nepieciešamie līdzekļi, lai nodrošinātu, ka tā atbildes uz individuāliem pieprasījumiem ir pamatotas ar visu vajadzīgo informāciju.

(118) Ar šo “kompozīto” struktūru ombuda mehānisms nodrošina neatkarīgu pārraudzību un personas tiesību aizsardzību. Turklāt sadarbība ar citām pārraudzības iestādēm nodrošina piekļuvi nepieciešamajai zinātībai. Visbeidzot, privātuma aizsardzību ombudam uzliekot pienākumu apstiprināt atbilstību vai labot jebkādu neatbilstību, mehānisms atspoguļo ASV valdības apņemšanos kopumā uzklausīt un risināt ES iedzīvotāju sūdzības.

(119) Pirmkārt, atšķirībā no starpvaldību mehānisma, privātuma vairoga ombuds saņems personu sūdzības un atbildēs uz tām. Šādas sūdzības var adresēt dalībvalstu uzraudzības struktūrām, kurām ir kompetence valsts drošības dienestu pārraudzībā un/vai to, kā valsts iestādes apstrādā personas datus, kuras šīs sūdzības iesniegs centralizētai ES struktūrai, kas pārsūtīs tās privātuma vairoga ombudam (173). Tā nudien būs priekšrocība ES personām, kuras varēs vērsties valsts iestādē “tuvu mājām” un to savā valodā. Šādas iestādes uzdevums būs palīdzēt personai, iesniedzot privātuma vairoga ombudam pieprasījumu, kurā būs iekļauta pamatinformācija un kurš tādējādi būs uzskatāms par “pilnīgu”. Personai nebūs jāpierāda, ka ASV valdība tiešām ir piekļuvusi tās personas datiem, veicot sakaru izlūkošanas darbības.

(120) Otrkārt, ASV valdība apņemas nodrošināt, ka, veicot savas funkcijas, privātuma aizsardzību ombuds varēs paļauties uz sadarbību no citiem pārraudzības un atbilstības pārbaudes mehānismiem, kuri pieejami ASV tiesību aktos. Tādēļ dažkārt tiks iesaistītas valsts tiesībaizsardzības iestādes, jo īpaši gadījumos, kad pieprasījums ir jāinterpretē kā pieprasījums par piekļuvi dokumentiem saskaņā ar Likumu par informācijas brīvību. Citos gadījumos, jo īpaši, ja pieprasījumi ir saistīti ar uzraudzības atbilstību ASV tiesību aktiem, šāda sadarbība ietvers neatkarīgas pārraudzības struktūras (piemēram, ģenerālinspektorus) ar atbildību un pilnvarām veikt rūpīgu izmeklēšanu (jo īpaši, izmantojot piekļuvi visiem attiecīgajiem dokumentiem un pilnvaras pieprasīt informāciju un paziņojumus) un vērsties pret neatbilstību (174). Tāpat privātuma vairoga ombuds varēs nodot lietas izskatīšanai PPBPP (175). Ja viena no šīm pārraudzības iestādēm ir konstatējusi neatbilstību, attiecīgajam izlūkdienestu elementam (piemēram, izlūkošanas aģentūrai) būs jānovērš neatbilstība, jo tikai šādi ombuds varēs sniegt personai pozitīvu atbildi (t.i., ka jebkāda neatbilstība ir novērsta) – kā ASV valdība ir to apņēmusies. Tāpat, īstenojot sadarbību, privātuma aizsardzību ombuds tiks informēts par izmeklēšanas iznākumu, un ombudam būs nepieciešamie līdzekļi, lai nodrošinātu, ka tas saņem visu informāciju, kas vajadzīga atbildes sagatavošanai.

(121) Visbeidzot, privātuma vairoga ombuds būs neatkarīgs, tādēļ uz viņu neattieksies ASV izlūkdienestu norādījumi (176). Tam ir liela nozīme, ņemot vērā to, ka ombudam būs “jāapstiprina”, ka i) sūdzība ir pienācīgi izmeklēta un ka ii) ir ievēroti attiecīgie ASV tiesību akti – tostarp jo īpaši ierobežojumi un aizsardzības pasākumi, kas izklāstīti VI pielikumā – vai ir novērsts pārkāpums neatbilstības gadījumā. Lai varētu sniegt šādu neatkarīgu apstiprinājumu, privātuma vairoga ombudam būs jāiegūst nepieciešamā informācija par izmeklēšanu, lai izvērtētu atbildes uz sūdzību precizitāti. Turklāt valsts sekretārs ir apņēmies nodrošināt, ka privātuma aizsardzību ombuda funkcijas valsts sekretāra vietnieks veiks objektīvi un neatkarīgi no jebkādas neatbilstošas ietekmes, kas varētu ietekmēt sniedzamo atbildi.

(122) Kopumā šis mehānisms nodrošina, ka personu sūdzības tiks rūpīgi izmeklētas un atrisinātas un ka vismaz novērošanas jomā tiks iesaistītas neatkarīgas pārraudzības struktūras, kam ir nepieciešamā zinātība un izmeklēšanas pilnvaras, un ombuds, kas spēs pildīt savas funkcijas, būdams brīvs no neatbilstošas un jo īpaši politiskās ietekmes. Turklāt personas varēs iesniegt sūdzības un tām nebūs jāpierāda vai būs tikai jāsniedz norādes par to, ka tās ir bijušas novērošanas objekts (177). Ņemot vērā šos elementus, Komisija uzskata, ka pastāv atbilstīgas un efektīvas garantijas pret ļaunprātīgu izmantošanu.

(123) Pamatojoties uz iepriekš minēto, Komisija secina, ka Amerikas Savienotās Valstis nodrošina efektīvu tiesisko aizsardzību pret tās izlūkošanas iestāžu iejaukšanos to personu pamattiesībās, kuru dati ES un ASV privātuma vairoga ietvaros tiek nosūtīti no Savienības uz Amerikas Savienotajām Valstīm.

(124) Šajā sakarā Komisija ņem vērā Tiesas spriedumu Schrems lietā, saskaņā ar kuru “tiesiskajā regulējumā, kurā indivīdiem nav paredzētas nekādas iespējas likt lietā tiesību aizsardzības līdzekļus, lai piekļūtu personas datiem, kas uz tiem attiecas, vai panākt šādu datu labošanu vai dzēšanu, nav ņemta vērā Pamattiesību hartas 47. pantā iedibināto pamattiesību uz efektīvu aizsardzību tiesā būtība.” (178) Komisijas izvērtējumā ir apstiprināts, ka Amerikas Savienotajās Valstīs ir nodrošināti šādi tiesiskās aizsardzības līdzekļi, tostarp ieviešot ombuda mehānismu. Ombuda mehānisms paredz neatkarīgas pārraudzības un izmeklēšanas pilnvaras. Tā kā Komisija pastāvīgi uzraudzīs privātuma vairogu, tostarp sagatavojot ikgadēju kopēju pārskatu, kurā vērtēs arī obmudu, arī šā mehānisma efektivitāte tiks vērtēta no jauna.

3.2. Piekļuve datiem un to izmantošana ASV valsts iestādēs tiesībaizsardzības un valsts interešu nolūkos

(125) Attiecībā uz iejaukšanos ES un ASV privātuma vairoga ietvaros pārsūtītajos personas datos tiesībaizsardzības nolūkos, ASV valdība (Tieslietu ministrijas vārdā) ir sniegusi apstiprinājumu par piemērojamajiem ierobežojumiem un aizsardzības pasākumiem, kas Komisijas izvērtējumā liecina par pienācīgu aizsardzības līmeni.

(126) Saskaņā ar šo informāciju atbilstīgi ASV Konstitūcijas ceturtajam labojumam (179) tiesībaizsardzības iestāžu veiktām kratīšanām un mantas arestam principā (180) ir nepieciešams tiesas rīkojums, norādot “ticamu iemeslu”. Dažos īpaši noteiktos izņēmuma gadījumos, kad rīkojuma prasība netiek piemērota (181), tiesībaizsardzībai piemēro “saprātīguma” pārbaudi (182). To, vai kratīšana un mantas arests ir saprātīgs, “nosaka, izvērtējot, no vienas puses, kādā mērā tas pārkāpj personas privātumu, un, no otras puses, kādā mērā tas ir nepieciešams, lai sekmētu likumīgas valdības intereses” (183). Runājot plašākā kontekstā, ceturtais labojums garantē privātumu, cieņu un aizsargā pret valdības amatpersonu patvaļīgu un uzbrūkošu rīcību (184). Šīs koncepcijas iemieso ideju par Savienības tiesību nepieciešamību un proporcionalitāti. Pēc tam, kad tiesībaizsardzības iestādēm vairs nav nepieciešams izmantot izņemtās lietas kā pierādījumu, tās būtu jāatdod (185).

(127) Lai arī ceturtā labojuma tiesības neattiecas uz citu valstu personām, kas nedzīvo Amerikas Savienotajās Valstīs, tomēr šīs personas netieši gūst labumu no minētā grozījuma aizsardzības, ņemot vērā to, ka personas datus glabā ASV uzņēmumi, tādējādi tiesībaizsardzības iestādēm jebkurā gadījumā ir jāsaņem tiesas atļauja (vai vismaz jāievēro uz saprātīguma prasība) (186). Papildu aizsardzību nodrošina īpašas ar likumu noteiktas iestādes, kā arī Tieslietu ministrijas pamatnostādnes, kas ierobežo tiesībaizsardzības iestāžu piekļuvi datiem, pamatojoties uz nepieciešamību un proporcionalitāti (piemēram, pieprasot FIB izmantot visneuzbāzīgākās iespējamās izmeklēšanas metodes, ņemot vērā ietekmi uz privāto dzīvi un pilsoniskajām brīvībām) (187). Saskaņā ar ASV valdības apgalvojumiem tāda pati vai lielāka aizsardzība ir piemērojama tiesībaizsardzības iestāžu veiktai izmeklēšanai štata līmenī (attiecībā uz izmeklēšanu, ko veic saskaņā ar štata likumiem) (188).

(128) Lai arī iepriekšēja tiesas vai zvērināto (personu grupa tiesā [pierādījumu] izvērtēšanai, kuru ieceļ tiesnesis vai izmeklēšanas tiesnesis) atļauja nav nepieciešama visos gadījumos (189), administratīvās pavēstes var sūtīt tikai konkrētās lietās un tām būs nepieciešama neatkarīga pārbaude tiesā vismaz tajos gadījumos, kad tiesā prasītājs ir valdība (190).

(129) Tas pats attiecas uz administratīvo pavēstu izmantošanu valsts interešu nolūkos. Turklāt saskaņā ar AS valdības apgalvojumiem līdzīgi būtiski ierobežojumi ir piemērojami tam, ka aģentūras var pieprasīt piekļuvi datiem, kas attiecas uz lietām to kompetencē, un tām ir jāievēro saprātīguma standarts.

(130) Turklāt ASV tiesību aktos personām ir paredzētas vairākas tiesiskās aizsardzības iespējas, lai vērstos pret valsts iestādi vai kādu no tās ierēdņiem, ja šīs iestādes apstrādā personas datus. Šie risinājumi, jo īpaši Administratīvā procesa likums (APA), Likums par informācijas brīvību (LIB) un Elektroniskās saziņas privātuma likums (LESP), ir pieejami visām personām neatkarīgi no viņu valstspiederības un ievērojot visus piemērojamos nosacījumus.

(131) Parasti ar Administratīvā procesa likumu (191)“jebkurai personai, kam nodarīta juridiska netaisnība aģentūras darbības rezultātā vai ko nelabvēlīgi ietekmē vai neapmierina aģentūras darbība”, ir tiesības vērsties tiesā (192). Tas ietver iespēju lūgt tiesu “apturēt nelikumību un atcelt aģentūras darbību, konstatējumus un secinājumus, kas atzīti par […] patvaļīgiem, nepamatotiem, pieņemtiem, ļaunprātīgi izmantojot dienesta stāvokli, vai citādi pretrunā ar tiesību aktiem” (193).

(132) Konkrēti, Elektroniskās saziņas privātuma likuma (194) II sadaļā ir izklāstīta obligāto privātuma tiesību sistēma un tādējādi reglamentēta tiesībaizsardzības iestāžu piekļuve pa vadiem pārraidītas, mutiskas vai elektroniskas saziņas saturam, kura ierakstus glabā pakalpojumu sniedzēji – trešās personas (195). Tajā paredzēta kriminālatbildība par nelikumīgu (t. i., bez tiesas atļaujas vai kā citādi neatļautu) piekļuvi šādai saziņai un noteikti tiesību aizsardzības iespējas skartajai personai: pret valdības amatpersonu, kas ir apzināti izdarījusi šādas nelikumīgas darbības, vai pret Amerikas Savienotajām Valstīm iesniegt ASV federālajā tiesā civilprasību par faktisko zaudējumu atlīdzināšanu un zaudējumu atlīdzību ar sodošu raksturu, kā arī par taisnīgu vai skaidrojošu spriedumu.

(133) Tāpat saskaņā ar Likumu par informācijas brīvību (LIB) (5 U.S.C. § 552) ikvienai personai ir tiesības iegūt piekļuvi federālās aģentūras reģistriem, un pēc administratīvo līdzekļu izmantošanas, pieprasīt šādu tiesību īstenošanu tiesā, izņemot gadījumus, kad šādi ieraksti ir aizsargāti pret izpaušanu sabiedrībai izņēmuma kārtā vai ar īpašu izslēgšanu tiesībaizsardzības nolūkos (196).

(134) Turklāt vairākos tiesību aktos personām ir piešķirtas tiesības celt tiesā prasību pret ASV valsts iestādi vai amatpersonu attiecībā uz personas datu apstrādi, piemēram, Likumā par telefona sarunu noklausīšanos (Wiretap Act) (197), Likumā par datorkrāpšanu un ļaunprātīgu izmantošanu (Computer Fraud and Abuse Act) (198), Federālajā likumā par noteiktiem atlīdzināmiem kaitējumiem (Federal Torts Claim Act) (199), Likumā par tiesībām uz finanšu datu aizsardzību (Right to Financial Privacy Act) (200), un Likumā par godīgu kredītinformāciju (Fair Credit Reporting Act) (201).

(135) Tādēļ Komisija secina, ka Amerikas Savienotajās Valstīs ir noteikumi, kas paredzēti, lai ierobežotu iejaukšanos tiesībaizsardzības (202) vai citu valsts interešu nolūkos to personu pamattiesībās, kuru personas dati tiek nosūtīti no Savienības uz Amerikas Savienotajām Valstīm ES un ASV privātuma vairoga ietvaros, līdz tādam līmenim, kas ir absolūti nepieciešams, lai sasniegtu attiecīgo likumīgo mērķi, un tādējādi tie nodrošina efektīvu tiesisko aizsardzību pret šādu iejaukšanos.

4. PIENĀCĪGS AIZSARDZĪBAS LĪMENIS ES UN ASV PRIVĀTUMA VAIROGA IETVAROS

(136) Ņemot vērā minētos konstatējumus, Komisija uzskata, ka Amerikas Savienotās Valstis nodrošina pienācīgu aizsardzības līmeni personas datiem, kas ES un ASV privātuma vairoga ietvaros no Savienības tiek nosūtīti organizācijām Amerikas Savienotajās Valstīs.

(137) Jo īpaši Komisija uzskata, ka ASV Tirdzniecības ministrijas izdotie principi kopumā nodrošina tādu personas datu aizsardzības līmeni, kas ir būtībā ekvivalents tam, kādu nodrošina ar Direktīvā 95/46/EK noteiktajiem būtiskajiem pamatprincipiem.

(138) Turklāt efektīvu principu piemērošanu garantē pārredzamības prasības un privātuma vairoga pārvaldība, ko veic Tirdzniecības ministrija.

(139) Turklāt Komisija uzskata, ka kopumā ar privātuma vairogu nodrošinātā pārraudzība un tiesību aizsardzības mehānismi ļauj apzināt un praksē sodīt privātuma vairoga principu pārkāpumus un piedāvāt datu subjektam tiesiskās aizsardzības līdzekļus, kas ļauj piekļūt ar viņu saistītiem personas datiem un galu galā panākt šādu datu labošanu vai dzēšanu.

(140) Visbeidzot, pamatojoties uz pieejamo informāciju par ASV tiesību sistēmu, tostarp ASV valdības apgalvojumiem un saistībām, Komisija uzskata, ka jebkāda ASV valsts iestāžu iejaukšanās to personu pamattiesībās, kuru dati privātuma vairoga ietvaros no Savienības tiek nosūtīti uz Amerikas Savienotajām Valstīm, ja tas notiek valsts drošības, tiesībaizsardzības vai citu valsts interešu nolūkos, un sekojošie ierobežojumi, kas piemēroti pašsertificētām organizācijām attiecībā uz to principialitāti, būs ierobežoti līdz tādam apmēram, kas ir absolūti nepieciešams, lai sasniegtu attiecīgo likumīgo mērķi, un tādējādi tie nodrošina efektīvu tiesisko aizsardzību pret šādu iejaukšanos.

(141) Komisija secina, ka tas atbilst Direktīvas 95/46/EK 25. panta standartiem, kas interpretēti atbilstoši Eiropas Savienības Pamattiesību hartai, kā to skaidrojusi Tiesa jo īpaši spriedumā Schrems lietā.

5. DATU AIZSARDZĪBAS IESTĀŽU RĪCĪBA UN INFORMĀCIJA KOMISIJAI

(142) Spriedumā Schrems lietā Tiesa precizēja, ka Komisijas kompetencē nav ierobežot DAI pilnvaras, kas noteiktas Direktīvas 95/46/EK 28. pantā (tostarp pilnvaras pārtraukt datu pārsūtīšanu), ja persona, ceļot prasību saistībā ar šo nosacījumu, apšauba Komisijas atbilstības lēmuma saderību ar pamattiesību aizsardzību attiecībā uz privātumu un datu aizsardzību (203).

(143) Lai efektīvi pārraudzītu privātuma vairoga darbību, dalībvalstīm būtu jāinformē Komisija par attiecīgo DAI rīcību.

(144) Turklāt Tiesa uzskatīja, ka saskaņā ar Direktīvas 95/46/EK 25. panta 6. punkta otro daļu dalībvalstis un to iestādes veic nepieciešamos pasākumus, lai izpildītu Savienības institūciju tiesību aktus, jo tie principā tiek uzskatīti par likumīgiem un attiecīgi paredz tiesiskās sekas līdz brīdim, kad tiek atcelti, anulēti saskaņā ar prasību atcelt tiesību aktu vai pasludināti par spēkā neesošiem pēc lūguma sniegt prejudiciālu nolēmumu vai iebildes par prettiesiskumu. Tādējādi Komisijas atbilstības lēmums, kas pieņemts saskaņā ar Direktīvas 95/46/EK 25. panta 6. punktu, ir saistošs visām dalībvalstu iestādēm, kurām tas ir adresēts, tostarp to neatkarīgajām uzraudzības iestādēm (204). Ja šāda iestāde ir saņēmusi sūdzību, ar kuru tiek apšaubīta Komisijas atbilstības lēmuma saderība ar pamattiesību aizsardzību attiecībā uz privātumu un datu aizsardzību un kurā izvirzītie iebildumi ir labi pamatoti, valsts tiesībās ir jāparedz tiesiskā aizsardzība, lai šos iebildumus virzītu izskatīšanai valsts tiesā, kurai šaubu gadījumā jāaptur tiesvedība un jāatsaucas uz Tiesas prejudiciālu nolēmumu (205).

6. KONSTATĒJUMA PAR ATBILSTĪBU PERIODISKA PĀRSKATĪŠANA

(145) Ņemot vērā faktu, ka ar ASV tiesību sistēmu nodrošinātais aizsardzības līmenis var mainīties, Komisija pēc šā lēmuma pieņemšanas periodiski pārbaudīs, vai konstatējumi par aizsardzības līmeņa atbilstību, ko nodrošina ES un ASV privātuma vairogs, joprojām ir faktiski un juridiski pamatoti. Šāda pārbaude ir nepieciešama katru reizi, kad Komisija saņem jebkādu informāciju, kas rada pamatotas bažas par to (206).

(146) Tādēļ Komisija nepārtraukti pārraudzīs vispārējo sistēmu personas datu pārsūtīšanai, kas izveidota ES un ASV privātuma vairoga ietvaros, kā arī to, vai ASV iestādes ievēro apgalvojumus un saistības, kas iekļautas šim lēmumam pievienotajos dokumentos. Lai atvieglotu šo procesu, ASV ir apņēmušās informēt Komisiju par būtiskām izmaiņām ASV tiesību aktos, kad tas attieksies uz privātuma vairogu datu aizsardzības jomā, un ierobežojumiem un aizsardzības pasākumiem attiecībā uz valsts iestāžu piekļuvi personas datiem. Turklāt par šo lēmumu veiks ikgadēju kopēju pārskatu, kas aptvers visus ES un ASV privātuma vairoga darbības aspektus, tostarp principu valsts drošības un tiesībaizsardzības izņēmumu darbību. Turklāt, tā kā konstatējumu par atbilstību var ietekmēt arī juridiskās izmaiņas Savienības tiesību aktos, Komisija izvērtēs privātuma vairoga sniegto aizsardzības līmeni pēc tam, kad stāsies spēkā vispārīgā datu aizsardzības regula.

(147) Lai izstrādātu I, II un VI pielikumā minēto ikgadējo kopējo pārskatu, Komisija tiksies ar Tirdzniecības ministriju un FTK, piedaloties, ja nepieciešams, citiem departamentiem un aģentūrām, kas iesaistījušās privātuma vairoga pasākumu īstenošanā, kā arī, attiecībā uz jautājumiem saistībā ar valsts drošību – NIDB pārstāvjiem, citiem izlūkdienestu elementu pārstāvjiem un ombudu. Šo tikšanos varēs apmeklēt ES DAI un 29. panta darba grupa.

(148) Ikgadējā kopējā pārskata ietvaros Komisija pieprasīs Tirdzniecības ministrijai sniegt visaptverošu informāciju par visiem būtiskajiem aspektiem saistībā ar ES un ASV privātuma vairoga darbību, tostarp Tirdzniecības ministrijas no DAI saņemtās lietas izskatīšanai un pēc ministrijas iniciatīvas veikto atbilstības pārbaužu rezultātus. Komisija arī pieprasīs skaidrojumus saistībā ar jebkādiem jautājumiem vai lietām attiecībā uz ES un ASV privātuma vairogu un tā darbību, kas izriet no pieejamās informācijas, tostarp pārredzamības ziņojumiem, kuri atļauti saskaņā ar ASV Brīvības likumu, ASV nacionālās izlūkošanas iestāžu, DAI, privātuma grupu publiskajiem ziņojumiem, plašsaziņas līdzekļu ziņojumiem vai jebkura cita iespējama a