NL Publicatieblad van de Europese Unie L 207/1

UITVOERINGSVERORDENING (EU) 2016/1250 VAN DE COMMISSIE

of 12 juli 2016

overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad betreffende de gepastheid van de door het EU-VS-privacyschild geboden bescherming

(Kennisgeving geschied onder nummer C(2016) 4176)

(Voor de EER relevante tekst)

DE EUROPESE COMMISSIE,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1), en met name artikel 25, lid 6,

Na raadpleging van de Europese Toezichthouder voor gegevensbescherming (2),

1. INLEIDING

(1) Richtlijn 95/46/EG bevat de regels voor doorgiften van persoonsgegevens van de lidstaten naar derde landen, voor zover die doorgiften onder het toepassingsgebied daarvan vallen.

(2) Artikel 1 van Richtlijn 95/46/EG en de overwegingen 2 en 10 van de preambule daarvan beogen niet alleen de waarborging van doeltreffende en volledige bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen, met name het grondrecht op eerbiediging van de persoonlijke levenssfeer met betrekking tot de verwerking van persoonsgegevens, maar ook van een hoog niveau van bescherming van die grondrechten en fundamentele vrijheden (3).

(3) Het belang van zowel het grondrecht op de eerbiediging van het privéleven, dat wordt gewaarborgd door artikel 7, en het grondrecht op de bescherming van persoonsgegevens, dat wordt gewaarborgd door artikel 8 van het Handvest van de grondrechten van de Europese Unie, wordt benadrukt in de jurisprudentie van het Hof van Justitie (4).

(4) Overeenkomstig artikel 25, lid 1, van Richtlijn 95/46/EG moeten de lidstaten bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en de wetgeving van de lidstaat die is vastgesteld ter uitvoering van de andere bepalingen van de richtlijn al vóór de doorgifte wordt nageleefd. De Commissie kan vaststellen dat een derde land waarborgen voor een dergelijk passend beschermingsniveau biedt op grond van zijn nationale wetgeving of de internationale verbintenissen die het is aangegaan om de rechten van natuurlijke personen te beschermen. In dat geval, en onverminderd de naleving van de krachtens andere bepalingen van de richtlijn vastgestelde nationale bepalingen, kunnen persoonsgegevens uit de lidstaten worden doorgegeven zonder dat aanvullende waarborgen nodig zijn.

(5) Overeenkomstig artikel 25, lid 2, van Richtlijn 95/46/EG moet het door een derde land geboden niveau van gegevensbescherming worden beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens of op een categorie gegevensdoorgiften van invloed zijn, met inbegrip van de algemene en sectoriële rechtsregels die in het betrokken derde land gelden.

(6) In Beschikking 2000/520/EG van de Commissie (5) werd voor de toepassing van artikel 25, lid 2, van Richtlijn 95/46/EG vastgesteld dat de „Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer”, ten uitvoer gelegd overeenkomstig de richtsnoeren in de „Vaak gestelde vragen” die door het Amerikaanse ministerie van Handel zijn gepubliceerd, werden geacht een passend beschermingsniveau te waarborgen voor persoonsgegevens die uit de Unie worden doorgegeven naar in de Verenigde Staten gevestigde organisaties.

(7) In haar mededelingen COM(2013) 846 final (6) en COM(2013) 847 final (7) van 27 november 2013 oordeelde de Commissie dat de grondslagen van de veiligehavenregeling moesten worden herzien en versterkt gelet op een aantal factoren, waaronder de exponentiële groei van gegevensstromen en het cruciale belang van die gegevensstromen voor de trans-Atlantische economie, de snelle toename van het aantal Amerikaanse ondernemingen die de veiligehavenregeling onderschrijven en de nieuwe informatie over de omvang en de reikwijdte van bepaalde Amerikaanse inlichtingenprogramma's die vragen doet rijzen over het beschermingsniveau dat de veiligehavenregeling kan waarborgen. Daarnaast heeft de Commissie een aantal tekortkomingen en gebreken in de veiligehavenregeling geconstateerd.

(8) Op basis van het door de Commissie verzamelde bewijsmateriaal, waaronder informatie afkomstig uit de werkzaamheden van de EU-VS-contactgroep inzake privacy (8) en de in de ad-hocwerkgroep van de EU en de VS ontvangen informatie over de Amerikaanse inlichtingenprogramma's (9), heeft de Commissie 13 aanbevelingen geformuleerd voor een herziening van de veiligehavenregeling. Deze aanbevelingen waren gericht op het versterken van de materiële privacybeginselen, het vergroten van de transparantie van het privacybeleid van de Amerikaanse ondernemingen met een zelfcertificering, beter toezicht en een betere controle en handhaving door de Amerikaanse autoriteiten van de naleving van die beginselen, de beschikbaarheid van betaalbare mechanismen voor geschillenbeslechting en de noodzaak ervoor te zorgen dat de uitzondering inzake de nationale veiligheid waarin Beschikking 2000/520/EG voorziet, slechts wordt ingeroepen voor zover dat strikt noodzakelijk en evenredig is.

(9) In zijn arrest van 6 oktober 2015 in zaak C-362/14, Maximillian Schrems tegen Data Protection Commissioner (10), heeft het Hof van Justitie van de Europese Unie Beschikking 2000/520/EG ongeldig verklaard. Zonder onderzoek van de inhoud van de veiligehavenbeginselen oordeelde het Hof dat de Commissie in die beschikking niet had vermeld dat de Verenigde Staten daadwerkelijk „waarborgen boden” voor een passend beschermingsniveau op grond van hun nationale wetgeving of hun internationale verbintenissen (11).

(10) In dit verband lichtte het Hof van Justitie toe dat, hoewel de uitdrukking „passend beschermingsniveau” in artikel 25, lid 6, van Richtlijn 95/46/EG niet hetzelfde beschermingsniveau als dat binnen de rechtsorde van de Unie inhoudt, deze zo moet worden opgevat dat wordt vereist dat het derde land een niveau van bescherming van de grondrechten en de fundamentele vrijheden biedt dat „in grote lijnen overeenkomt” met het niveau dat binnen de Unie wordt gewaarborgd op grond van Richtlijn 95/46/EG, gelezen in samenhang met het Handvest van de grondrechten. Ook al kunnen de middelen waarvan dat derde land in dit verband gebruik kan maken, anders zijn dan die welke binnen de Unie worden ingezet, moeten deze middelen in de praktijk niettemin doeltreffend genoeg blijken te zijn (12).

(11) Het Hof van Justitie leverde kritiek op het gebrek aan voldoende vaststellingen in Beschikking 2000/520/EG ten aanzien van de vraag of er in de Verenigde Staten overheidsregels bestaan ter beperking van ingrepen in de grondrechten van de personen van wie de gegevens vanuit de Unie naar de Verenigde Staten worden doorgegeven, ingrepen die de overheidsinstanties van dat land mogen verrichten wanneer zij legitieme doelstellingen, zoals de nationale veiligheid, nastreven, en ten aanzien van de vraag of er effectieve rechtsbescherming tegen dat soort ingrepen bestaat (13).

(12) In 2014 was de Commissie gesprekken aangegaan met de Amerikaanse autoriteiten om de versterking van de veiligehavenregeling overeenkomstig de 13 aanbevelingen in mededeling COM(2013) 847 final te bespreken. Na het arrest van het Hof van Justitie van de Europese Unie in de zaak Schrems zijn deze besprekingen geïntensiveerd om tot een nieuw adequaatheidsbesluit te komen dat voldoet aan de vereisten van artikel 25 van Richtlijn 95/46/EG zoals uitgelegd door het Hof van Justitie. De in de bijlage bij dit besluit opgenomen documenten, die tevens in het Amerikaanse Federal Register zullen worden bekendgemaakt, zijn het resultaat van deze besprekingen. De privacybeginselen (bijlage II) en de in de documenten in de bijlagen I en III tot en met VII opgenomen officiële verklaringen en toezeggingen van verschillende Amerikaanse autoriteiten vormen samen het „EU-VS-privacyschild”.

(13) De Commissie heeft de Amerikaanse wetten en praktijken zorgvuldig geanalyseerd, met inbegrip van deze officiële verklaringen en toezeggingen. Op basis van de bevindingen in de overwegingen 136-140 concludeert de Commissie dat door de Verenigde Staten een passend beschermingsniveau wordt gewaarborgd voor persoonsgegevens die in het kader van het EU-VS-privacyschild uit de Unie worden doorgegeven naar organisaties met een zelfcertificering in de Verenigde Staten.

2. HET „EU-VS-PRIVACYSCHILD”

(14) Het EU-VS-privacyschild is gebaseerd op een systeem van zelfcertificering waarbij Amerikaanse organisaties een reeks privacybeginselen onderschrijven — de beginselen van het EU-VS-privacyschild, met inbegrip van de Aanvullende Beginselen (hierna samen „de Beginselen” genoemd) — die door het Amerikaanse ministerie van Handel zijn gepubliceerd en in bijlage II bij dit besluit zijn opgenomen. Het geldt zowel voor de verwerkingsverantwoordelijken als voor de verwerkers (vertegenwoordigers), met dien verstande dat verwerkers contractueel ertoe verbonden moeten zijn dat zij slechts volgens instructies van de EU-verwerkingsverantwoordelijke handelen en die laatste bijstaan bij het geven van antwoord aan natuurlijke personen die hun rechten uit hoofde van de Beginselen uitoefenen (14).

(15) Onverminderd de naleving van de krachtens Richtlijn 95/46/EG vastgestelde nationale bepalingen, heeft dit besluit het gevolg dat doorgiften van een verwerkingsverantwoordelijke of verwerker in de Unie naar organisaties in de Verenigde Staten die door zelfcertificering bij het ministerie van Handel de Beginselen hebben onderschreven en zich ertoe hebben verbonden die Beginselen na te leven, toegestaan zijn. De Beginselen zijn uitsluitend van toepassing op de verwerking van persoonsgegevens door de Amerikaanse organisatie in zoverre de verwerking door die organisatie niet binnen het toepassingsgebied van de Uniewetgeving valt (15). Het privacyschild is niet van invloed op de toepassing van de Uniewetgeving inzake de verwerking van persoonsgegevens in de lidstaten (16).

(16) De door het privacyschild geboden bescherming van persoonsgegevens geldt voor alle betrokkenen uit de EU (17) van wie persoonsgegevens uit de Unie zijn doorgegeven naar organisaties in de VS die door zelfcertificering bij het ministerie van Handel de Beginselen hebben onderschreven.

(17) De Beginselen zijn van toepassing onmiddellijk na de certificering. Er geldt een uitzondering voor het Beginsel van verantwoording voor de verdere doorgifte in het geval een organisatie met een zelfcertificering voor het privacyschild al bestaande commerciële betrekkingen met derden heeft. Omdat het enige tijd kan vergen om die commerciële betrekkingen in overeenstemming te brengen met de regels in het kader van het Beginsel van verantwoording voor de verdere doorgifte, zal de organisatie verplicht zijn om dit zo snel mogelijk te doen doch in elk geval uiterlijk binnen de negen maanden na de zelfcertificering (mits die plaatsvindt in de eerste twee maanden na de dag waarop het privacyschild in werking treedt). In die tussenliggende periode moet de organisatie het Kennisgevingsbeginsel en het Keuzebeginsel toepassen (waardoor de betrokkene uit de EU over een opt-out beschikt); wanneer persoonsgegevens worden doorgegeven aan een derde die als vertegenwoordiger optreedt, moet zij ervoor zorgen dat die laatste ten minste hetzelfde beschermingsniveau biedt als door de Beginselen wordt vereist (18). Die overgangsperiode biedt een redelijk en passend evenwicht tussen de eerbiediging van het grondrecht van gegevensbescherming en de legitieme behoefte van ondernemingen aan voldoende tijd om zich aan het nieuwe kader aan te passen wanneer dit ook afhangt van hun commerciële betrekkingen met derden.

(18) Het systeem zal worden beheerd en gecontroleerd door het ministerie van Handel op basis van de toezeggingen die zijn opgenomen in de verklaringen van de Amerikaanse minister van Handel (bijlage I bij dit besluit). Met betrekking tot de handhaving van de Beginselen hebben de Federal Trade Commission (FTC) en het ministerie van Vervoer verklaringen ingediend die zijn opgenomen in bijlage IV en bijlage V bij dit besluit.

2.1. Privacybeginselen

(19) Als onderdeel van hun zelfcertificering in het kader van het EU-VS-privacyschild moeten organisaties de toezegging doen dat zij de Beginselen zullen naleven (19).

(20) Overeenkomstig het Kennisgevingsbeginsel zijn organisaties verplicht de betrokkenen informatie te verschaffen over een aantal belangrijke aspecten van de verwerking van hun persoonsgegevens (bv. de aard van de verzamelde gegevens, het doel van de verwerking, het toegangs- en het keuzerecht, de voorwaarden voor verdere doorgifte en aansprakelijkheid). Er gelden verdere waarborgen, met name de verplichting voor organisaties om hun privacybeleid openbaar te maken (waarin de Beginselen vervat zijn) en te zorgen voor links naar de website van het Amerikaanse ministerie van Handel (met nadere informatie over zelfcertificering, de rechten van betrokkenen en de beschikbare verhaalsmechanismen), de in overweging 30 bedoelde privacyschildlijst en de website van een geschikte alternatieve geschillenbeslechtingsinstantie.

(21) Overeenkomstig het Beginsel van de integriteit van gegevens en doelbinding moeten de persoonsgegevens beperkt blijven tot hetgeen relevant is voor het doel van de verwerking, betrouwbaar zijn voor het beoogde gebruik en correct, volledig en actueel zijn. Een organisatie mag geen persoonsgegevens verwerken op een wijze die onverenigbaar is met het doel waarvoor deze oorspronkelijk zijn verzameld of waarmee de betrokkene later heeft ingestemd. Organisaties moeten ervoor zorgen dat persoonsgegevens betrouwbaar zijn voor het geplande gebruik, alsook correct, volledig en actueel.

(22) Wanneer een nieuw (gewijzigd) doel inhoudelijk verschillend maar nog altijd verenigbaar met het oorspronkelijke doel is, geeft het Keuzebeginsel de betrokkenen het recht zich te verzetten (opt-out). Het Keuzebeginsel treedt niet in de plaats van het uitdrukkelijke verbod op onverenigbare verwerking (20). Voor directe marketing gelden bijzondere regels waardoor een opt-out doorgaans „te allen tijde” mogelijk is voor het gebruik van persoonsgegevens (21). In het geval van gevoelige gegevens moeten organisaties normaal gezien de bevestigende toestemming (opt-in) van de betrokkene verkrijgen.

(23) Nog altijd overeenkomstig het Beginsel van de integriteit van gegevens en doelbinding mag persoonlijke informatie slechts worden opgeslagen in een vorm die een natuurlijke persoon identificeert of identificeerbaar maakt (en dus in de vorm van persoonsgegevens), zolang dit het doel of de doeleinden dient waarvoor die informatie oorspronkelijk is verzameld of waarmee later is ingestemd. Deze verplichting belet niet dat privacyschildorganisaties persoonlijke informatie voor langere perioden blijven verwerken, maar alleen voor de termijn en in de mate dat die verwerking redelijkerwijs een van de volgende specifieke doeleinden dient: archivering in het openbaar belang, journalistiek, literatuur en kunst, wetenschappelijk en historisch onderzoek en statistische analyse. Langere opslag van persoonsgegevens voor een van die doeleinden zal onder de door de Beginselen geboden waarborgen vallen.

(24) Overeenkomstig het Beveiligingsbeginsel moeten organisaties die persoonsgegevens verzamelen, bijhouden, gebruiken of verspreiden, „redelijke en passende” beveiligingsmaatregelen nemen, waarbij rekening wordt gehouden met de risico's van de verwerking en de aard van de gegevens. In het geval van subverwerking moeten organisaties met de subverwerker een overeenkomst sluiten die hetzelfde beschermingsniveau garandeert als de Beginselen, en stappen ondernemen om voor de correcte uitvoering daarvan te zorgen.

(25) Overeenkomstig het Toegangsbeginsel (22) hebben betrokkenen het recht, zonder dat te hoeven rechtvaardigen en uitsluitend tegen een niet buitensporig hoge vergoeding, om van een organisatie antwoord te krijgen op de vraag of deze organisatie hen betreffende persoonsgegevens verwerkt en de gegevens binnen een redelijke termijn meegedeeld te krijgen. Dit recht mag slechts in buitengewone omstandigheden worden beperkt; het weigeren of het beperken van het recht op toegang moet nodig en naar behoren gerechtvaardigd zijn, waarbij de organisatie moet aantonen dat aan deze voorschriften is voldaan. De betrokkenen moeten de persoonlijke informatie, voor zover deze niet correct is of in strijd met de Beginselen is verwerkt, kunnen corrigeren, wijzigen of verwijderen. Op gebieden waar ondernemingen waarschijnlijk een beroep doen op de geautomatiseerde verwerking van persoonsgegevens om beslissingen te nemen die de natuurlijke persoon betreffen (bv. kredietverschaffing, aanbiedingen van hypothecaire leningen, arbeid), biedt de Amerikaanse wet specifieke bescherming tegen ongunstige beslissingen (23). Die wetten voorzien er doorgaans in dat natuurlijke personen het recht hebben om te worden geïnformeerd over de specifieke redenen die aan de beslissing (bv. de weigering van een krediet) ten grondslag liggen, om onvolledige of niet correcte informatie te betwisten (alsook het feit dat met onrechtmatige factoren rekening is gehouden), en om verhaal te halen. Deze regels bieden bescherming in het waarschijnlijk eerder beperkte aantal gevallen waarin geautomatiseerde beslissingen door de privacyschildorganisatie zelf zouden zijn genomen (24). Omdat in de moderne digitale economie steeds meer gebruik wordt gemaakt van geautomatiseerde verwerking (waaronder profiling) als basis voor het nemen van beslissingen die natuurlijke personen betreffen, is dit niettemin een gebied dat van nabij moet worden gevolgd. Om deze controle te faciliteren, is met de Amerikaanse autoriteiten overeengekomen dat een dialoog over geautomatiseerde besluitvorming, met inbegrip van een uitwisseling over de gelijkenissen en de verschillen tussen de aanpak van de EU en de Amerikaanse aanpak, deel zal uitmaken van de eerste jaarlijkse evaluatie en, wanneer nodig, van volgende evaluaties.

(26) Overeenkomstig het Beginsel van verhaal, handhaving en aansprakelijkheid (25) moeten de deelnemende organisaties voorzien in solide mechanismen om de naleving van de overige Beginselen te garanderen, alsook in verhaalsmechanismen voor betrokkenen uit de EU van wie persoonsgegevens op niet-conforme wijze zijn verwerkt, met inbegrip van doeltreffende rechtsmiddelen. Zodra een organisatie vrijwillig heeft gekozen voor zelfcertificering (26) in het kader van het EU-VS-privacyschild, is zij verplicht de Beginselen daadwerkelijk na te leven. Om voor het ontvangen van persoonsgegevens uit de Unie gebruik te mogen blijven maken van het privacyschild, moet een dergelijke organisatie haar deelname aan het kader jaarlijks opnieuw certificeren. Organisaties moeten ook maatregelen nemen om te controleren (27) of hun openbaar gemaakte privacybeleid in overeenstemming is met de Beginselen en daadwerkelijk wordt nageleefd. Dit kan gebeuren door middel van hetzij een systeem van zelfbeoordeling, dat interne procedures moet omvatten om te garanderen dat de werknemers worden opgeleid om het privacybeleid van de organisatie uit te voeren en dat de naleving periodiek op objectieve wijze wordt geëvalueerd, hetzij externe evaluaties van de naleving, waarvan de methoden onder meer kunnen bestaan in audits of steekproefsgewijze controles. Bovendien moet de organisatie een doeltreffend verhaalsmechanisme invoeren voor de behandeling van klachten (zie in dit verband ook overweging 43) en onderworpen zijn aan de onderzoeks- en handhavingsbevoegdheden van de FTC, het ministerie van Vervoer of een andere Amerikaanse overheidsinstantie die gemachtigd is om ervoor te zorgen dat de Beginselen daadwerkelijk worden nageleefd.

(27) Er gelden bijzondere regels voor zogenaamde „verdere doorgiften”, d.w.z. doorgiften van persoonsgegevens van een organisatie naar een derde-verwerkingsverantwoordelijke of -verwerker, ongeacht of die laatste in de Verenigde Staten of een derde land buiten de Verenigde Staten (en de Unie) is gevestigd. Die regels hebben tot doel ervoor te zorgen dat de bescherming die de persoonsgegevens van betrokkenen uit de EU genieten, niet zal worden ondermijnd noch kan worden omzeild door ze aan derden over te dragen. Dit is bijzonder relevant in complexere verwerkingsketens die typisch zijn voor de digitale economie van vandaag.

(28) Overeenkomstig het Beginsel van verantwoording voor de verdere doorgifte (28) kunnen verdere doorgiften slechts plaatsvinden i) voor beperkte en welbepaalde doeleinden, ii) op basis van een overeenkomst (of een vergelijkbare regeling binnen een concern (29)) en iii) uitsluitend indien met die overeenkomst hetzelfde beschermingsniveau wordt geboden als het niveau dat door de Beginselen wordt gewaarborgd, wat het vereiste omvat dat de toepassing van de Beginselen slechts mag worden beperkt in de mate waarin dit nodig is met het oog op de nationale veiligheid, de rechtshandhaving of andere doeleinden van openbaar belang (30). Dit moet worden gelezen in samenhang met het Kennisgevingsbeginsel en, in het geval van een verdere doorgifte naar een derde-verwerker (31), het Keuzebeginsel, volgens welke betrokkenen moeten worden geïnformeerd (onder andere) over het soort/de identiteit van derde-ontvangers, het doel van de verdere doorgifte alsook de geboden keuze en zich kunnen verzetten (opt-out) of, in het geval van gevoelige gegevens „uitdrukkelijke bevestigende toestemming” moeten geven (opt-in) voor verdere doorgiften. In het licht van het Beginsel van de integriteit van gegevens en doelbinding veronderstelt de verplichting hetzelfde beschermingsniveau te bieden als het niveau dat door de Beginselen wordt gewaarborgd, dat de derde de ontvangen persoonlijke informatie slechts mag verwerken door doeleinden die niet onverenigbaar zijn met de doeleinden waarvoor de persoonlijke informatie oorspronkelijk is verzameld of waarmee de natuurlijke persoon later heeft ingestemd.

(29) De verplichting hetzelfde beschermingsniveau te bieden als het door de Beginselen vereiste niveau geldt voor alle derden die bij de verwerking van de op die manier doorgegeven gegevens zijn betrokken (in de Verenigde Staten of een ander derde land), alsook wanneer de oorspronkelijke derde-ontvanger zelf die gegevens naar een andere derde-ontvanger doorgeeft, bijvoorbeeld met het oog op subverwerking. In alle gevallen moet de overeenkomst met de derde-ontvanger erin voorzien dat die laatste de privacyschildorganisatie ervan in kennis zal stellen als hij vaststelt dat hij niet langer aan die verplichting kan voldoen. Wanneer een dergelijke vaststelling wordt gedaan, zal de verwerking door de derde worden stopgezet of moeten andere redelijke en passende stappen worden ondernomen om de situatie te verhelpen (32). Wanneer zich in de (sub)verwerkingsketen problemen met de naleving voordoen, zal de privacyschildorganisatie die als de verwerkingsverantwoordelijke van de persoonsgegevens optreedt, moeten aantonen dat zij niet verantwoordelijk is voor de gebeurtenis die de schade heeft veroorzaakt, of anders de aansprakelijkheid moeten aanvaarden, zoals bepaald in het Beginsel van verhaal, handhaving en aansprakelijkheid. In het geval van een verdere doorgifte naar een derde-vertegenwoordiger geldt aanvullende bescherming (33).

2.2. Transparantie en beheer van en toezicht op het EU-VS-privacyschild

(30) Het EU-VS-privacyschild voorziet in toezichts- en handhavingsmechanismen om te controleren en te garanderen dat Amerikaanse ondernemingen met een zelfcertificering de Beginselen naleven en dat tegen een niet-naleving wordt opgetreden. Die mechanismen zijn beschreven in de Beginselen (bijlage II) en de toezeggingen van het ministerie van Handel (bijlage I), de FTC (bijlage IV) en het ministerie van Vervoer (bijlage V).

(31) Voor een correcte toepassing van het EU-VS-privacyschild moeten de belanghebbenden, zoals de betrokkenen, degenen die gegevens naar het buitenland doorgeven en de nationale gegevensbeschermingsautoriteiten kunnen vaststellen welke organisaties de Beginselen onderschrijven. Hiertoe heeft het ministerie van Handel toegezegd een lijst bij te houden en voor het publiek toegankelijk te maken van de organisaties die door zelfcertificering de Beginselen hebben onderschreven en die onder de rechtsbevoegdheid vallen van ten minste een van de in de bijlagen I en II bij dit besluit genoemde handhavingsautoriteiten („de privacyschildlijst”) (34). Het ministerie van Handel werkt de lijst bij op basis van de jaarlijks doorgegeven hercertificeringen van de organisaties en wanneer een organisatie zich terugtrekt of wordt verwijderd uit het EU-VS-privacyschild. Ook houdt het een officieel register bij van de organisaties die uit de lijst zijn verwijderd en maakt dit voor het publiek toegankelijk, waarbij in elk afzonderlijk geval de reden voor die verwijdering wordt aangegeven. Ten slotte zal het zorgen voor een link naar de lijst van de handhavingszaken van de FTC in verband met het privacyschild, die wordt bijgehouden op de website van de FTC.

(32) Het ministerie van Handel zal zowel de privacyschildlijst als de doorgegeven hercertificeringen bekendmaken via een speciale website. Organisaties met een zelfcertificering moeten op hun beurt het webadres van het ministerie voor de privacyschildlijst verstrekken. Bovendien moet in het privacybeleid van een organisatie, indien dat online beschikbaar is, een link staan naar de website van het privacyschild, alsook een link naar de website of het klachtenformulier van het onafhankelijke verhaalsmechanisme dat beschikbaar is om onopgeloste klachten te onderzoeken. Het ministerie van Handel zal bij de certificering en hercertificering van een organisatie voor het kader systematisch controleren of het privacybeleid overeenstemt met de Beginselen.

(33) Een organisatie wordt in geval van permanente niet-naleving van de Beginselen uit de privacyschildlijst verwijderd en moet de in het kader van het EU-VS-privacyschild ontvangen persoonsgegevens terugbezorgen of wissen. In andere gevallen van verwijdering, zoals vrijwillige terugtrekking van deelname of verzuim de naleving opnieuw te certificeren, mag de organisatie deze gegevens behouden indien zij jaarlijks aan het ministerie van Handel bevestigt dat zij zich tot de naleving van de Beginselen blijft verbinden of met andere toegestane middelen een passende bescherming voor de persoonsgegevens biedt (bv. met behulp van een overeenkomst die de vereisten van de bepalingen dienaangaande van de door de Commissie goedgekeurde modelovereenkomst volledig weerspiegelt). In dit geval moet een organisatie een contactpunt binnen de organisatie aanwijzen voor alle vragen in verband met het privacyschild.

(34) Het ministerie van Handel zal toezien op de organisaties die niet langer lid zijn van het EU-VS-privacyschild, hetzij omdat zij zich vrijwillig hebben teruggetrokken hetzij omdat hun certificering is verlopen, om te controleren of zij de eerder op grond van het kader ontvangen persoonsgegevens zullen terugbezorgen, wissen of behouden (35). Als de organisaties die gegevens behouden, moeten zij de Beginselen daarop blijven toepassen. In gevallen waarin het ministerie van Handel organisaties vanwege permanente niet-naleving van de Beginselen uit het kader heeft verwijderd, zal het ervoor zorgen dat die organisaties de op grond van het kader ontvangen persoonsgegevens terugbezorgen of wissen.

(35) Wanneer een organisatie om welke reden dan ook het EU-VS-privacyschild verlaat, moet zij alle openbare verklaringen verwijderen waarmee wordt gesuggereerd dat zij aan het EU-VS-privacyschild blijft deelnemen of recht heeft op de voordelen ervan, met name de verwijzingen naar het EU-VS-privacyschild in haar gepubliceerde privacybeleid. Het ministerie van Handel zal naar valse beweringen aangaande deelname aan het kader, onder meer door voormalige leden, zoeken en daartegen optreden (36). Tegen een verkeerde voorstelling aan het grote publiek over de onderschrijving van de Beginselen door een organisatie in de vorm van misleidende verklaringen of praktijken kan handhavend worden opgetreden door de FTC, het ministerie van Vervoer of andere bevoegde Amerikaanse handhavingsautoriteiten; tegen verkeerde voorstellingen tegenover het ministerie van Handel kan handhavend worden opgetreden op grond van de False Statements Act (18 U.S.C. § 1001) (37).

(36) Het ministerie van Handel zal ambtshalve valse beweringen aangaande deelname aan het privacyschild of het onterechte gebruik van het keurmerk van het privacyschild controleren, en de gegevensbeschermingsautoriteiten kunnen organisaties ter controle verwijzen naar een speciaal contactpunt bij het ministerie. Wanneer een organisatie zich uit het EU-VS-privacyschild heeft teruggetrokken, verzuimt zich opnieuw te certificeren of uit de privacyschildlijst is verwijderd, zal het ministerie van Handel doorlopend controleren of die organisatie uit haar gepubliceerde privacybeleid alle verwijzingen naar het privacyschild waarmee verdere deelname wordt gesuggereerd, heeft verwijderd; indien de organisatie valse beweringen blijft doen, zal het ministerie van Handel de zaak voor mogelijke handhavingsmaatregelen verwijzen naar de FTC, het ministerie van Vervoer of een andere bevoegde autoriteit. Het ministerie van Handel zal ook vragenlijsten toezenden aan organisaties waarvan de zelfcertificering verloopt, of die zich vrijwillig uit het EU-VS-privacyschild hebben teruggetrokken, teneinde te controleren of de organisatie de tijdens haar deelname aan het EU-VS-privacyschild ontvangen persoonsgegevens zal terugbezorgen of wissen, of hierop de Beginselen zal blijven toepassen, en zal, indien de persoonsgegevens worden behouden, controleren wie binnen de organisatie het blijvende contactpunt is voor vragen die met het privacyschild te maken hebben.

(37) Het ministerie van Handel zal doorlopend organisaties met een zelfcertificering aan nalevingscontroles (38) onderwerpen, bijvoorbeeld door het toezenden van gedetailleerde vragenlijsten. Het zal tevens systematisch controles verrichten wanneer het een specifieke (ernstige) klacht heeft ontvangen, wanneer een organisatie geen bevredigende antwoorden op vragen geeft of wanneer er betrouwbare aanwijzingen zijn dat een organisatie de Beginselen mogelijk niet naleeft. Waar nodig zal het ministerie van Handel ook overleg plegen met de gegevensbeschermingsautoriteiten over dergelijke nalevingscontroles.

2.3. Verhaalsmechanismen, behandeling van klachten en handhaving

(38) Het EU-VS-privacyschild vereist in het Beginsel van verhaal, handhaving en aansprakelijkheid dat organisaties natuurlijke personen die door de niet-naleving worden getroffen, verhaalsmechanismen bieden en dus voor betrokkenen uit de EU de mogelijkheid bieden een klacht in te dienen betreffende niet-naleving door Amerikaanse ondernemingen met een zelfcertificering en die klachten opgelost te zien, indien nodig door een beslissing die een doeltreffend herstel biedt.

(39) Als onderdeel van hun zelfcertificering moeten organisaties voldoen aan de vereisten van het Beginsel van verhaal, handhaving en aansprakelijkheid door doeltreffende en direct beschikbare onafhankelijke verhaalsmechanismen aan te bieden waarmee de klachten van een natuurlijke persoon en geschillen kunnen worden onderzocht en snel worden opgelost zonder kosten voor de natuurlijke persoon.

(40) Organisaties mogen onafhankelijke verhaalsmechanismen kiezen in hetzij de Unie hetzij de Verenigde Staten. Dit omvat de mogelijkheid om zich vrijwillig tot samenwerking met de gegevensbeschermingsautoriteiten van de EU te verbinden. Die keuze bestaat echter niet wanneer organisaties personeelsgegevens verwerken, omdat samenwerking met de gegevensbeschermingsautoriteiten dan verplicht is. Andere alternatieven zijn onafhankelijke alternatieve geschillenbeslechting of door de particuliere sector ontwikkelde privacyprogramma's die de Beginselen in hun regels hebben opgenomen. Die programma's moeten doeltreffende handhavingsmechanismen omvatten overeenkomstig de vereisten van het Beginsel van verhaal, handhaving en aansprakelijkheid. Organisaties moeten alle problemen van niet-naleving oplossen. Zij moeten ook specificeren dat zij onderworpen zijn aan de onderzoeks- en handhavingsbevoegdheden van de FTC, het ministerie van Vervoer of een andere Amerikaanse overheidsinstantie die gemachtigd is.

(41) Het kader van het privacyschild biedt betrokkenen bijgevolg een aantal mogelijkheden om hun rechten te doen handhaven, klachten in te dienen betreffende niet-naleving door Amerikaanse ondernemingen met een zelfcertificering en hun klachten opgelost te zien, indien nodig met een beslissing die een doeltreffend herstel biedt. Natuurlijke personen kunnen een klacht direct bij een organisatie indienen, bij een onafhankelijke geschillenbeslechtingsinstantie die door de organisatie is aangewezen, bij nationale gegevensbeschermingsautoriteiten of bij de FTC.

(42) In gevallen waarin hun klachten niet zijn opgelost door een van deze verhaals- of handhavingsmechanismen, hebben natuurlijke personen ook het recht om bindende arbitrage door het panel van het privacyschild in te roepen (bijlage 1 bij bijlage II van dit besluit). Behalve voor het arbitragepanel, waarvoor bepaalde rechtsmiddelen moeten zijn uitgeput voordat het kan worden ingeroepen, staat het natuurlijke personen vrij om een of alle verhaalsmechanismen van hun keuze te gebruiken, en zijn zij niet verplicht om voor het ene of het andere mechanisme te kiezen of een bepaalde volgorde te eerbiedigen. Er is echter een bepaalde logische volgorde die best wordt gevolgd, zoals hieronder wordt beschreven.

(43) Ten eerste kunnen betrokkenen uit de EU gevallen van niet-naleving van de Beginselen aankaarten via rechtstreekse contacten met de Amerikaanse onderneming met een zelfcertificering. Om die klachten gemakkelijk op te lossen, moet de organisatie een doeltreffend verhaalsmechanisme invoeren om klachten te behandelen. Het privacybeleid van een organisatie moet dus duidelijke informatie voor natuurlijke personen bevatten over een contactpunt, binnen of buiten de organisatie, dat klachten zal behandelen (met inbegrip van vestigingen in de Unie die op vragen of klachten kunnen reageren) en over de onafhankelijke mechanismen voor de behandeling van klachten.

(44) Na ontvangst van een klacht van een natuurlijke persoon, direct van de natuurlijke persoon of via het ministerie van Handel na verwijzing door een gegevensbeschermingsautoriteit, moet de organisatie de betrokkene uit de EU een antwoord geven binnen een termijn van 45 dagen. In dit antwoord moet worden beoordeeld of de klacht gegrond is en informatie worden verstrekt over hoe de organisatie het probleem zal verhelpen. Daarnaast moeten organisaties onmiddellijk reageren op vragen en andere informatieverzoeken van het ministerie van Handel of van een gegevensbeschermingsautoriteit (39) (wanneer de organisatie zich verbonden heeft tot samenwerking met de gegevensbeschermingsautoriteiten) betreffende hun naleving van de Beginselen. Organisaties moeten hun informatiebestanden over de uitvoering van hun privacybeleid bewaren en die bij een onderzoek of een klacht wegens niet-naleving op verzoek ter beschikking stellen aan een onafhankelijk verhaalsmechanisme of de FTC (of een andere Amerikaanse autoriteit die bevoegd is om oneerlijke en misleidende praktijken te onderzoeken).

(45) Ten tweede kunnen natuurlijke personen een klacht ook direct indienen bij de onafhankelijke geschillenbeslechtingsinstantie (in de Verenigde Staten of in de Unie) die door een organisatie is aangewezen om individuele klachten te onderzoeken en te beslechten (tenzij deze duidelijk ongegrond of niet ernstig zijn) en kosteloos te voorzien in passend verhaal voor de natuurlijke persoon. De sancties en het herstel die door een dergelijke instantie worden opgelegd, moeten zwaar genoeg zijn om de naleving van de Beginselen door organisaties te waarborgen en erin voorzien dat de gevolgen van de niet-naleving door de organisatie ongedaan worden gemaakt of worden gecorrigeerd en, afhankelijk van de omstandigheden, dat de verdere verwerking van de desbetreffende persoonsgegevens wordt beëindigd en/of dat deze worden gewist, en dat geconstateerde gevallen van niet-naleving worden bekendgemaakt. De door een organisatie aangewezen onafhankelijke geschillenbeslechtingsinstanties moeten op hun openbare websites relevante informatie verstrekken over het EU-VS-privacyschild en de diensten die zij in het kader daarvan verlenen. Zij moeten elk jaar een jaarverslag publiceren met daarin geaggregeerde statistieken met betrekking tot deze diensten (40).

(46) In het kader van zijn nalevingscontroles zal het ministerie van Handel controleren of alle Amerikaanse ondernemingen met een zelfcertificering daadwerkelijk geregistreerd staan bij de onafhankelijke verhaalsmechanismen waarbij zij beweren geregistreerd te staan. Zowel de organisaties als de verantwoordelijke onafhankelijke verhaalsmechanismen moeten onmiddellijk reageren op vragen en informatieverzoeken van het ministerie van Handel in verband met het privacyschild.

(47) Wanneer de organisatie de uitspraak van een geschillenbeslechtingsinstantie of zelfregulerende instantie niet naleeft, moet deze laatste het ministerie van Handel en de FTC (of een andere Amerikaanse autoriteit die bevoegd is om oneerlijke en misleidende praktijken te onderzoeken) of een bevoegde rechterlijke instantie van deze niet-naleving in kennis stellen (41). Indien een organisatie weigert een definitieve uitspraak van een geschillenbeslechtingsinstantie, een zelfregulerende instantie of een overheidsinstantie na te leven, of indien een dergelijke instantie vaststelt dat een organisatie frequent de Beginselen niet naleeft, zal dit als een permanente niet-naleving worden beschouwd, die ertoe leidt dat het ministerie van Handel de organisatie uit de lijst verwijdert, doch pas nadat het de organisatie daarvan 30 dagen van tevoren in kennis heeft gesteld en de kans heeft gegeven om te reageren (42). Indien de organisatie na verwijdering uit de lijst blijft beweren dat zij het keurmerk van het privacyschild heeft, zal het ministerie dit verwijzen naar de FTC of een andere handhavingsinstantie (43).

(48) Ten derde kunnen natuurlijke personen hun klachten ook indienen bij een nationale gegevensbeschermingsautoriteit. Organisaties moeten medewerking verlenen aan het onderzoek en de oplossing van een klacht door een gegevensbeschermingsautoriteit wanneer het gaat om de verwerking van personeelsgegevens die in het kader van een arbeidsverhouding zijn verzameld of wanneer de betrokken organisatie zich vrijwillig aan het toezicht van gegevensbeschermingsautoriteiten heeft onderworpen. Organisaties moeten met name reageren op vragen, gevolg geven aan het advies van de gegevensbeschermingsautoriteit, daaronder begrepen corrigerende of compenserende maatregelen, en de gegevensbeschermingsautoriteit schriftelijk bevestigen dat dergelijke maatregelen zijn genomen.

(49) Het advies van de gegevensbeschermingsautoriteiten wordt verstrekt via een informeel panel van gegevensbeschermingsautoriteiten dat op Unieniveau wordt opgericht (44), dat zal helpen een geharmoniseerde en samenhangende aanpak van een bepaalde klacht te waarborgen. Het panel zal pas advies uitbrengen nadat beide partijen in het geschil een redelijke kans hebben gekregen om opmerkingen in te dienen en alle gewenste bewijzen te leveren. Het panel zal het advies zo snel geven als een eerlijke rechtsgang toestaat en in de regel binnen 60 dagen na ontvangst van een klacht. Als een organisatie niet binnen 25 dagen nadat het advies is uitgebracht, gevolg geeft aan dit advies en hiervoor geen bevredigende verklaring geeft, zal het panel kennisgeven van zijn voornemen om de zaak voor te leggen aan de FTC (of een andere bevoegde Amerikaanse handhavingsinstantie), of om te concluderen dat de verbintenis tot samenwerking ernstig is geschonden. In het eerste geval kan dit leiden tot handhavingsmaatregelen op grond van sectie 5 van de FTC Act (of andere soortgelijke wetten). In het tweede geval zal het panel het ministerie van Handel hiervan op de hoogte brengen, dat de weigering van de organisatie als een permanente niet-naleving zal beschouwen, die ertoe zal leiden dat de organisatie uit de privacyschildlijst wordt verwijderd.

(50) Indien de gegevensbeschermingsautoriteit waarbij de klacht is ingediend, geen of ontoereikende maatregelen heeft genomen om een klacht te behandelen, heeft de individuele klager de mogelijkheid om dergelijk (niet-)optreden aan te vechten bij de nationale rechter van de respectieve lidstaat.

(51) Natuurlijke personen kunnen ook klachten bij de gegevensbeschermingsautoriteiten indienen wanneer het panel van gegevensbeschermingsautoriteiten niet is aangewezen als de geschillenbeslechtingsinstantie van een organisatie. In die gevallen kan de gegevensbeschermingsautoriteit die klachten verwijzen naar hetzij het ministerie van Handel hetzij de FTC. Om de samenwerking inzake aangelegenheden met betrekking tot individuele klachten en niet-naleving door privacyschildorganisaties te vergemakkelijken en te vergroten, zal het ministerie van Handel een specifiek contactpunt instellen dat als verbindingspunt fungeert en bijdraagt aan onderzoeken van gegevensbeschermingsautoriteiten met betrekking tot de naleving van de Beginselen door een organisatie (45). Ook de FTC heeft toegezegd een specifiek contactpunt in te stellen (46) en de gegevensbeschermingsautoriteiten overeenkomstig de Amerikaanse Safe Web Act in onderzoeken bij te staan (47).

(52) Ten vierde heeft het ministerie van Handel toegezegd klachten met betrekking tot de niet-naleving van de Beginselen door een organisatie te ontvangen en te controleren, en zich maximaal in te spannen om die op te lossen. Hiertoe voorziet het ministerie van Handel in speciale procedures voor gegevensbeschermingsautoriteiten om klachten te verwijzen naar een specifiek contactpunt, die te volgen en contact op te nemen met organisaties om de oplossing ervan te vergemakkelijken. Om de verwerking van individuele klachten te bespoedigen, zal het contactpunt rechtstreeks contact houden met de respectieve gegevensbeschermingsautoriteit inzake nalevingskwesties en deze in het bijzonder binnen een termijn van ten hoogste 90 dagen na de verwijzing in kennis stellen van de status van klachten. Hierdoor kunnen betrokkenen klachten over niet-naleving door Amerikaanse ondernemingen met een zelfcertificering rechtstreeks bij hun nationale gegevensbeschermingsautoriteit indienen en laten toezenden aan het ministerie van Handel als de Amerikaanse autoriteit die het EU-VS-privacyschild beheert. Het ministerie van Handel heeft ook toegezegd om in de jaarlijkse evaluatie van de werking van het EU-VS-privacyschild een verslag op te nemen waarin de jaarlijks ontvangen klachten in geaggregeerde vorm worden geanalyseerd (48).

(53) Wanneer het ministerie van Handel op basis van zijn ambtshalve controles, klachten of andere informatie concludeert dat een organisatie de Beginselen permanent niet heeft nageleefd, verwijdert het die organisatie uit de privacyschildlijst. De weigering om een definitieve uitspraak van een zelfregulerende instantie, een onafhankelijke geschillenbeslechtingsinstantie of een overheidsinstantie, waaronder een gegevensbeschermingsautoriteit, na te leven, wordt als een permanente niet-naleving beschouwd.

(54) Ten vijfde moet een privacyschildorganisatie onderworpen zijn aan de onderzoeks- en handhavingsbevoegdheden van de Amerikaanse autoriteiten, met name de Federal Trade Commission (49), die er daadwerkelijk voor zal zorgen dat de Beginselen worden nageleefd. De FTC zal prioriteit geven aan zaken in verband met niet-naleving van de Beginselen die door onafhankelijke geschillenbeslechtingsinstanties of zelfregulerende organisaties, het ministerie van Handel en gegevensbeschermingsautoriteiten (ambtshalve of naar aanleiding van een klacht) naar haar zijn verwezen om te bepalen of sectie 5 van de FTC Act geschonden is (50). De FTC heeft toegezegd een gestandaardiseerde verwijzingsprocedure tot stand te brengen, een contactpunt aan te wijzen voor verwijzingen van gegevensbeschermingsautoriteiten en informatie over verwijzingen uit te wisselen. Daarnaast zal de FTC rechtstreeks door natuurlijke personen ingediende klachten aanvaarden en op eigen initiatief onderzoeken van het privacyschild verrichten, met name als onderdeel van haar ruimere onderzoeken van privacykwesties.

(55) De FTC kan naleving doen handhaven door middel van administratieve bevelen („consent orders”) en zal stelselmatig erop toezien dat dergelijke bevelen worden nageleefd. In geval van niet-naleving door organisaties kan de FTC de zaak naar de bevoegde rechterlijke instantie verwijzen om civielrechtelijke sancties en ander herstel te vorderen, onder meer voor door de onrechtmatige gedraging veroorzaakte schade. De FTC kan eventueel ook bij een federale rechterlijke instantie een voorlopige of permanente injunctie of ander herstel vorderen. Elk tegen een privacyschildorganisatie uitgevaardigd consent order zal bepalingen inzake zelfrapportage (51) bevatten en organisaties zullen alle relevante delen over het privacyschild van bij de FTC ingediende nalevings- of beoordelingsverslagen openbaar moeten maken. Ten slotte zal de FTC online een lijst bijhouden van de ondernemingen waartegen bevelen van de FTC of een rechterlijke instantie zijn uitgevaardigd in zaken betreffende het privacyschild.

(56) Ten zesde kan de betrokkene uit de EU, als verhaalsmechanisme „in laatste instantie” ingeval zijn klacht door geen van de andere beschikbare verhaalsmechanismen naar tevredenheid is opgelost, bindende arbitrage door het panel van het privacyschild inroepen. Organisaties moeten natuurlijke personen informeren over de mogelijkheid om onder bepaalde omstandigheden bindende arbitrage in te roepen en zij moeten reageren zodra een natuurlijke persoon die optie inroept door een kennisgeving aan de betrokken organisatie (52).

(57) Dit arbitragepanel zal bestaan uit een groep van ten minste twintig arbiters die zijn aangewezen door het ministerie van Handel en de Commissie op basis van hun onafhankelijkheid, integriteit en ervaring op het gebied van de Amerikaanse privacywetgeving en de Uniewetgeving inzake gegevensbescherming. Voor elk individueel geschil zullen de partijen uit deze groep een panel van één of drie (53) arbiters selecteren. Op de procedure zullen de standaardregels voor arbitrage van toepassing zijn, die door het ministerie van Handel en de Commissie worden overeengekomen. Die regels zullen een aanvulling vormen op het reeds gesloten kader dat verschillende kenmerken heeft waardoor dit mechanisme toegankelijker wordt voor betrokkenen uit de EU: i) bij de voorbereiding van een geschil voor het panel mag de betrokkene worden bijgestaan door zijn of haar nationale gegevensbeschermingsautoriteit; ii) hoewel de arbitrage in de Verenigde Staten zal plaatsvinden, kunnen betrokkenen uit de EU ervoor kiezen hieraan deel te nemen per video- of telefoonconferentie, wat zonder kosten voor de natuurlijke persoon wordt aangeboden; iii) hoewel de taal van de arbitrage in de regel Engels zal zijn, zullen normaal gezien (54) vertolking ter zitting en vertaling op met redenen omkleed verzoek zonder kosten voor de betrokkene worden aangeboden; iv) ten slotte, hoewel elke partij haar eigen advocaatkosten moet dragen indien zij voor het panel door een advocaat wordt vertegenwoordigd, zal het ministerie van Handel een fonds oprichten waarin jaarlijkse bijdragen van de privacyschildorganisaties worden gestort en waarmee de in aanmerking komende kosten van de arbitrageprocedure worden gedekt tot maximumbedragen die door de Amerikaanse autoriteiten in overleg met de Commissie worden bepaald.

(58) Het panel van het privacyschild zal bevoegd zijn om „individuspecifieke, niet-monetaire billijke schadeloosstelling” (55) op te leggen die noodzakelijk is om de niet-naleving van de Beginselen te verhelpen. Hoewel het panel in zijn uitspraak rekening zal houden met het andere herstel dat reeds via andere mechanismen van het privacyschild is verkregen, kunnen natuurlijke personen nog steeds arbitrage inroepen als zij dat andere herstel ontoereikend achten. Hierdoor zullen betrokkenen uit de EU arbitrage kunnen inroepen in alle gevallen waarin hun klachten niet naar tevredenheid zijn opgelost door de maatregelen die de bevoegde Amerikaanse autoriteiten (bijvoorbeeld de FTC) hebben genomen of net niet hebben genomen. Arbitrage kan niet worden ingeroepen als een gegevensbeschermingsautoriteit wettelijk bevoegd is om de betrokken klacht met betrekking tot de Amerikaanse onderneming met een zelfcertificering te behandelen, namelijk in die gevallen waarin de organisatie verplicht is om samen te werken met en gevolg te geven aan het advies van de gegevensbeschermingsautoriteiten met betrekking tot de verwerking van in het kader van een arbeidsverhouding verzamelde personeelsgegevens, of zich daar vrijwillig toe heeft verbonden. Natuurlijke personen kunnen de arbitragebeslissing in de Amerikaanse rechterlijke instanties doen handhaven op grond van de Federal Arbitration Act, waardoor een rechtsmiddel gewaarborgd is indien een onderneming de beslissing niet naleeft.

(59) Ten zevende, wanneer een organisatie haar verbintenis de Beginselen en haar openbaar gemaakte privacybeleid na te leven, niet nakomt, zijn er ook nog mogelijkheden om gerechtelijke stappen te ondernemen op grond van de wetgeving van de Amerikaanse staten, bv. rechtsmiddelen in het aansprakelijkheidsrecht, in het geval van bedrieglijke verklaringen, oneerlijke of bedrieglijke handelingen of praktijken, of contractbreuk.

(60) Wanneer een gegevensbeschermingsautoriteit na ontvangst van een klacht van een betrokkene uit de EU van oordeel is dat de doorgifte van de persoonsgegevens van een natuurlijke persoon naar een organisatie in de Verenigde Staten in strijd is met de EU-wetgeving op het gebied van gegevensbescherming, ook wanneer degene die gegevens uit de EU doorgeeft reden heeft om aan te nemen dat de organisatie de Beginselen niet naleeft, kan zij daarnaast haar bevoegdheden ook uitoefenen ten aanzien van degene die gegevens naar het buitenland doorgeeft en, indien nodig, de gegevensdoorgifte opschorten.

(61) In het licht van de informatie in dit deel is de Commissie van oordeel dat de Beginselen die door het Amerikaanse ministerie van Handel zijn gepublicerd, als zodanig een beschermingsniveau van persoonsgegevens waarborgen dat in grote lijnen overeenkomt met het beschermingsniveau dat wordt gewaarborgd door de in Richtlijn 95/46/EG vastgestelde materiële basisbeginselen.

(62) Daarnaast wordt de daadwerkelijke toepassing van de Beginselen gewaarborgd door de transparantieverplichtingen en het beheer en de nalevingscontroles van het privacyschild door het ministerie van Handel.

(63) Bovendien is de Commissie van oordeel dat, als geheel genomen, de toezichts-, verhaals- en handhavingsmechanismen waarin het privacyschild voorziet, het mogelijk maken om inbreuken op de Beginselen door privacyschildorganisaties in de praktijk vast te stellen en te bestraffen, en de betrokkene rechtsmiddelen bieden om toegang te krijgen tot de hem betreffende persoonsgegevens en, uiteindelijk, om deze gegevens te laten corrigeren of wissen.

3. TOEGANG TOT EN GEBRUIK VAN IN HET KADER VAN HET EU-VS-PRIVACYSCHILD DOORGEGEVEN PERSOONSGEGEVENS DOOR AMERIKAANSE OVERHEIDSDIENSTEN

(64) Zoals volgt uit bijlage II, sectie I.5, wordt de naleving van de Beginselen beperkt in de mate waarin dit nodig is ten behoeve van de nationale veiligheid, het openbaar belang of de rechtshandhaving.

(65) De Commissie heeft een beoordeling verricht van de in de Amerikaanse wetgeving opgenomen beperkingen en waarborgen met betrekking tot de toegang tot en het gebruik van in het kader van het EU-VS-privacyschild doorgegeven persoonsgegevens door Amerikaanse overheidsdiensten ten behoeve van de nationale veiligheid, de rechtshandhaving en andere doeleinden van openbaar belang. Daarnaast heeft de Amerikaanse overheid, via haar Office of the Director of National Intelligence (ODNI) (bureau van de directeur van het nationale inlichtingenwerk) (56), de Commissie gedetailleerde verklaringen en toezeggingen verstrekt, die in bijlage VI bij dit besluit zijn opgenomen. In een brief die door de minister van Buitenlandse Zaken is ondertekend, en die in bijlage III bij dit besluit is opgenomen, heeft de Amerikaanse overheid tevens toegezegd een nieuw toezichtsmechanisme voor ingrepen ten behoeve van de nationale veiligheid in het leven te roepen, namelijk de privacyschildombudsman, die onafhankelijk is van de inlichtingendiensten. Ten slotte worden in een in bijlage VII bij dit besluit opgenomen verklaring van het Amerikaanse ministerie van Justitie de beperkingen en waarborgen beschreven met betrekking tot de toegang tot en het gebruik van gegevens door overheidsdiensten ten behoeve van de rechtshandhaving en andere doeleinden van openbaar belang. Met het oog op grotere transparantie en om de wettelijke aard van deze toezeggingen tot uitdrukking te brengen, zullen alle vermelde en bij dit besluit gevoegde documenten in het Federal Register van de Verenigde Staten worden bekendgemaakt.

(66) De bevindingen van de Commissie ten aanzien van de beperkingen van de toegang tot en het gebruik van uit de Europese Unie naar de Verenigde Staten doorgegeven persoonsgegevens door de Amerikaanse overheidsdiensten en het bestaan van doeltreffende rechtsbescherming worden hieronder nader toegelicht.

3.1. Toegang van en gebruik door de Amerikaanse overheidsdiensten ten behoeve van de nationale veiligheid

(67) Uit de analyse van de Commissie blijkt dat de Amerikaanse wetgeving een aantal beperkingen bevat met betrekking tot de toegang tot en het gebruik van in het kader van het EU-VS-privacyschild doorgegeven persoonsgegevens ten behoeve van de nationale veiligheid, alsook toezichts- en verhaalsmechanismen die voldoende waarborgen bieden om die gegevens doeltreffend te beschermen tegen onrechtmatige inmenging en het risico van misbruik (57). Sinds 2013, toen de Commissie haar twee mededelingen deed (zie overweging 7), is dit rechtskader aanzienlijk versterkt, zoals hieronder wordt beschreven.

3.1.1. Beperkingen

(68) Krachtens de Amerikaanse grondwet valt de waarborging van de nationale veiligheid onder de bevoegdheid van de president als opperbevelhebber van het leger en als hoofd van de uitvoerende macht en, wat betreft buitenlandse inlichtingen, onder zijn bevoegdheid om de buitenlandse zaken van de Verenigde Staten te behartigen (58). Hoewel het Congres de bevoegdheid heeft om beperkingen op te leggen, en dit in verschillende opzichten heeft gedaan, kan de president binnen deze grenzen de activiteiten van de Amerikaanse inlichtingendiensten leiden, met name door middel van uitvoeringsbevelen of presidentiële richtlijnen. Dit geldt uiteraard ook op de gebieden waarvoor richtsnoeren van het Congres ontbreken. Momenteel zijn de twee belangrijkste rechtsinstrumenten in dit verband uitvoeringsbevel 12333 (Executive Order 12333, hierna „E.O. 12333” genoemd) (59) en presidentiële beleidsrichtlijn 28 (hierna „PPD-28” genoemd).

(69) PPD-28 van 17 januari 2014 legt een aantal beperkingen op voor activiteiten met betrekking tot inlichtingen uit berichtenverkeer (60). Deze presidentiële beleidsrichtlijn heeft een bindend karakter voor de Amerikaanse inlichtingendiensten (61) en blijft van toepassing totdat er een nieuwe Amerikaanse regering aantreedt (62). PPD-28 is van bijzonder belang voor niet-Amerikanen, met inbegrip van betrokkenen uit de EU. Daarin is onder meer het volgende bepaald: a) het verzamelen van inlichtingen uit berichtenverkeer moet gebaseerd zijn op wetten of presidentiële goedkeuring en moet geschieden overeenkomstig de Amerikaanse grondwet (met name het vierde amendement) en de Amerikaanse wetgeving; b) alle personen moeten met waardigheid en eerbied worden behandeld, ongeacht hun nationaliteit of verblijfplaats; c) alle personen hebben rechtmatige privacybelangen bij de verwerking van hun persoonsgegevens; d) de privacy en de burgerlijke vrijheden zijn integrale overwegingen bij de planning van de Amerikaanse activiteiten met betrekking tot inlichtingen uit berichtenverkeer; e) de Amerikaanse activiteiten met betrekking tot inlichtingen uit berichtenverkeer moeten derhalve voorzien in passende waarborgen voor de persoonsgegevens van alle personen, ongeacht hun nationaliteit of verblijfplaats.

(70) PPD-28 schrijft voor dat het verzamelen van inlichtingen uit berichtenverkeer uitsluitend mag geschieden wanneer de buitenlandse inlichtingen of contraspionage bedoeld zijn ter ondersteuning van nationale en ministeriële opdrachten, en niet voor andere doeleinden (bv. om Amerikaanse ondernemingen een concurrentievoordeel te verschaffen). In dit verband legt het ODNI uit dat de onderdelen van de inlichtingendiensten „waar mogelijk, moeten vereisen dat het verzamelen door middel van discriminanten (bv. specifieke voorzieningen, selectietermen en identificatoren) wordt gericht op specifieke doelwitten of onderwerpen van buitenlandse inlichtingen” (63). Voorts bieden de verklaringen de garantie dat besluiten over het verzamelen van inlichtingen niet aan individuele inlichtingenagenten worden overgelaten, maar worden genomen volgens het beleid en de procedures die de verschillende onderdelen van de Amerikaanse inlichtingendiensten (diensten) moeten invoeren voor de uitvoering van PPD-28 (64). Het onderzoek naar en de bepaling van passende selectietermen vinden dus plaats binnen het algemene National Intelligence Priorities Framework (NIPF) (nationale kader voor de prioriteiten op het gebied van inlichtingen) dat garandeert dat de prioriteiten met betrekking tot inlichtingen worden vastgesteld door beleidsmakers op hoog niveau en regelmatig worden geëvalueerd om te blijven reageren op reële bedreigingen voor de nationale veiligheid, rekening houdend met mogelijke risico's, waaronder risico's voor de privacy (65). Op grond hiervan onderzoekt en bepaalt het personeel van de diensten specifieke selectietermen waarmee naar verwachting buitenlandse inlichtingen worden verzameld die aan de prioriteiten beantwoorden (66). De selectietermen („selection terms” of „selectors”) moeten regelmatig worden geëvalueerd om na te gaan of ze nog altijd waardevolle inlichtingen opleveren die aan de prioriteiten beantwoorden (67).

(71) Voorts blijkt uit de voorschriften in PPD-28, namelijk dat het verzamelen van inlichtingen altijd (68)„zo specifiek als haalbaar” moet zijn en dat de inlichtingendiensten voorrang moeten geven aan de beschikbaarheid van andere informatie en passende en haalbare alternatieven (69), een algemene regel dat gericht verzamelen voorrang moet krijgen boven bulksgewijs verzamelen. Volgens de door het ODNI verstrekte garantie zorgen die voorschriften ervoor dat bulksgewijs verzamelen niet „grootschalig” noch „ongedifferentieerd” is, en dat de uitzondering niet de regel wordt (70).

(72) Hoewel in PPD-28 wordt uiteengezet dat de onderdelen van de inlichtingendiensten soms in bepaalde omstandigheden bulksgewijs inlichtingen uit berichtenverkeer moeten verzamelen, bijvoorbeeld om nieuwe of opkomende bedreigingen vast te stellen en te beoordelen, moeten die onderdelen op grond van PPD-28 voorrang geven aan alternatieven die het mogelijk maken gericht inlichtingen uit berichtenverkeer te verzamelen (71). Hieruit volgt dat er slechts bulksgewijs zal worden verzameld wanneer gericht verzamelen aan de hand van discriminanten — namelijk een identificator die met een specifiek doelwit geassocieerd is (zoals het e-mailadres of het telefoonnummer van het doelwit) — niet mogelijk is „om technische of operationele redenen” (72). Dit geldt zowel voor de manier waarop inlichtingen uit berichtenverkeer worden verzameld als voor wat daadwerkelijk wordt verzameld (72).

(73) Volgens de verklaringen van het ODNI zullen de inlichtingendiensten, zelfs wanneer zij geen specifieke identificatoren kunnen gebruiken om gericht te verzamelen, trachten om het verzamelen „zo veel mogelijk” te verengen. Om dit te bewerkstelligen, zullen zij „filters en andere technische hulpmiddelen toepassen om het verzamelen toe te spitsen op die voorzieningen die wellicht communicatieverkeer van buitenlandse inlichtingen van waarde bevatten” (en die beantwoorden aan de vereisten die door de Amerikaanse beleidsmakers zijn geformuleerd volgens de hierboven in overweging 70 beschreven procedure). Het bulksgewijs verzamelen zal hierdoor op ten minste twee manieren gericht gebeuren: om te beginnen zal het altijd betrekking hebben op specifieke doelstellingen op het gebied van buitenlandse inlichtingen (bv. om inlichtingen uit berichtenverkeer te verkrijgen over de activiteiten van een terroristische groepering die in een bepaalde regio actief is) en zich richten op het verzamelen van communicatieverkeer dat daarmee verband houdt. Volgens de door het ODNI verstrekte garantie komt dit tot uiting in het feit dat de „activiteiten van de Verenigde Staten met betrekking tot inlichtingen uit berichtenverkeer slechts een fractie van het communicatieverkeer via het internet treffen” (73). Ten tweede wordt in de verklaringen van het ODNI uitgelegd dat de filters en andere gebruikte technische hulpmiddelen zullen worden ontworpen om het verzamelen „zo precies mogelijk” te richten om ervoor te zorgen dat er zo weinig mogelijk „niet-pertinente informatie” wordt verzameld.

(74) Ten slotte beperkt PPD-28, zelfs wanneer de Verenigde Staten het noodzakelijk achten om bulksgewijs inlichtingen uit berichtenverkeer te verzamelen, onder de in de overwegingen 70-73 beschreven voorwaarden het gebruik van dergelijke informatie tot een specifieke lijst van zes doeleinden van nationale veiligheid, zodat de privacy en de burgerlijke vrijheden van alle personen worden beschermd, ongeacht hun nationaliteit en verblijfplaats (74). Die toelaatbare doeleinden omvatten maatregelen voor het opsporen en bestrijden van bedreigingen voor de krijgsmacht of het militair personeel die voortkomen uit spionage, terrorisme, bedreigingen voor de cyberveiligheid en massavernietigingswapens, alsook grensoverschrijdende criminele bedreigingen die verband houden met de andere vijf doeleinden, en zullen ten minste jaarlijks worden geëvalueerd. Volgens de verklaringen van de Amerikaanse overheid hebben de onderdelen van de inlichtingendiensten hun analysepraktijken en normen voor het doorzoeken van onbewerkte inlichtingen uit berichtenverkeer versterkt om aan deze vereisten te voldoen; het gebruik van gerichte zoekopdrachten „waarborgt dat alleen de items waarvan wordt aangenomen dat ze potentieel waardevol zijn voor de inlichtingendienst, voor onderzoek aan de analisten worden voorgelegd” (75).

(75) Deze beperkingen zijn van bijzonder belang voor in het kader van het EU-VS-privacyschild doorgegeven persoonsgegevens, met name wanneer het verzamelen van de persoonsgegevens buiten de Verenigde Staten zou plaatsvinden, onder andere tijdens de doorvoer ervan via de trans-Atlantische kabels van de Unie naar de Verenigde Staten. Zoals de Amerikaanse autoriteiten hebben bevestigd in de verklaringen van het ODNI, gelden de daarin opgenomen beperkingen en waarborgen — met inbegrip van die van PPD-28 — voor dergelijke verzameling (76).

(76) Zonder als zodanig juridisch geformuleerd te zijn, geven deze beginselen de essentie weer van de beginselen van noodzakelijkheid en evenredigheid. Gericht verzamelen krijgt duidelijk voorrang, terwijl bulksgewijs verzamelen beperkt wordt tot (uitzonderlijke) situaties waarin gericht verzamelen om technische of operationele redenen niet mogelijk is. Zelfs wanneer bulksgewijs verzamelen niet kan worden vermeden, blijft het verdere „gebruik” van dergelijke gegevens strikt beperkt tot specifieke legitieme doeleinden van nationale veiligheid (77).

(77) Als richtlijn die door de president als hoofd van de uitvoerende macht is uitgevaardigd, zijn deze vereisten bindend voor alle inlichtingendiensten en worden ze verder ten uitvoer gelegd door middel van regels en procedures voor de diensten waarin de algemene beginselen worden omgezet in specifieke aanwijzingen voor de dagelijkse werkzaamheden. Bovendien heeft ook het Congres, hoewel het niet door PPD-28 gebonden is, maatregelen genomen om ervoor te zorgen dat het verzamelen van en de toegang tot persoonsgegevens in de Verenigde Staten niet „algemeen” maar gericht gebeuren.

(78) Uit de beschikbare informatie, met inbegrip van de verklaringen van de Amerikaanse overheid, blijkt dat de Amerikaanse inlichtingendiensten na de doorgifte van de gegevens naar in de Verenigde Staten gevestigde organisaties met een zelfcertificering in het kader van het EU-VS-privacyschild alleen maar (78) persoonsgegevens mogen opvragen als hun verzoek voldoet aan de Foreign Intelligence Surveillance Act (FISA) of van het Federal Bureau of Investigation uitgaat op basis van een zogenaamde national security letter (een administratief dwangbevel ten behoeve van de nationale veiligheid) (79). De FISA bevat verschillende rechtsgrondslagen die kunnen worden gebruikt om de in het kader van het EU-VS-privacyschild doorgegeven persoonsgegevens van betrokkenen uit de EU te verzamelen (en later te verwerken). Naast sectie 104 van de FISA (80) met betrekking tot traditionele geïndividualiseerde elektronische surveillance en sectie 402 van de FISA (81) met betrekking tot de installatie van „pen registers or trap and trace devices” (trackers van berichtenverkeer), zijn de twee centrale instrumenten sectie 501 van de FISA (voorheen sectie 215 van de USA Patriot Act) en sectie 702 van de FISA (82).

(79) In dit verband verbiedt de USA Freedom Act, die op 2 juni 2015 is aangenomen, het bulksgewijs verzamelen van gegevens op basis van sectie 402 van de FISA (bevoegheid inzake trackers van berichtenverkeer), sectie 501 van de FISA (voorheen sectie 215 van de USA Patriot Act) (83) en door het gebruik van national security letters; in plaats daarvan moeten specifieke „selectietermen” worden gebruikt (84).

(80) Terwijl de FISA verdere wettelijke toestemmingen bevat voor de uitvoering van nationale inlichtingenactiviteiten, waaronder inlichtingen uit berichtenverkeer, is uit de beoordeling van de Commissie gebleken dat, voor zover het om in het kader van het EU-VS-privacyschild door te geven persoonsgegevens gaat, die toestemmingen ook een beperking vormen voor overheidsinmenging ten aanzien van gericht verzamelen en toegang.

(81) Dit is duidelijk voor traditionele geïndividualiseerde elektronische surveillance op grond van sectie 104 van de FISA (85). Wat sectie 702 van de FISA betreft, die de basis vormt voor twee belangrijke inlichtingenprogramma's van de Amerikaanse inlichtingendiensten (PRISM en UPSTREAM), worden zoekopdrachten op gerichte wijze uitgevoerd aan de hand van individuele selectietermen waarmee specifieke communicatievoorzieningen worden geïdentificeerd, zoals het e-mailadres of het telefoonnummer van het doelwit, maar niet aan de hand van sleutelwoorden of zelfs de namen van de natuurlijke personen die het doelwit vormen (86). Surveillance op grond van sectie 702 bestaat dus, zoals opgemerkt door de Privacy and Civil Liberties Oversight Board (PCLOB), „volledig uit het specificeren als doelwit van specifieke [niet-Amerikaanse] personen over wie een geïndividualiseerd besluit is genomen” (87). Als gevolg van een vervalbepaling zal sectie 702 van de FISA in 2017 moeten worden herzien, waarna de Commissie de waarborgen waarover betrokkenen uit de EU beschikken, opnieuw zal moeten beoordelen.

(82) Bovendien heeft de Amerikaanse overheid in haar verklaring de Europese Commissie de uitdrukkelijke garantie gegeven dat de Amerikaanse inlichtingendiensten „niet betrokken zijn bij ongedifferentieerde surveillance op wie dan ook, inclusief gewone Europese burgers” (88). Met betrekking tot in de Verenigde Staten verzamelde persoonsgegevens wordt deze verklaring gestaafd met empirisch bewijsmateriaal waaruit blijkt dat verzoeken om toegang via national security letters en op grond van de FISA, zowel afzonderlijk als samen, slechts betrekking hebben op een relatief klein aantal doelwitten ten opzichte van de totale gegevensstroom op het internet (89).

(83) Wat de toegang tot verzamelde gegevens en gegevensbeveiliging betreft, schrijft PPD-28 voor dat toegang „is beperkt tot bevoegd personeel dat de informatie nodig heeft om zijn taken te kunnen uitvoeren” en dat persoonsgegevens „op zodanige wijze worden verwerkt en opgeslagen dat passende bescherming wordt geboden en toegang van onbevoegden wordt voorkomen, overeenkomstig de toepasselijke waarborgen voor gevoelige informatie”. Het personeel van inlichtingendiensten krijgt een passende en adequate opleiding inzake de beginselen die in PPD-28 zijn vastgelegd (90).

(84) Ten slotte staat in PPD-28, met betrekking tot de opslag en verdere verspreiding van door Amerikaanse inlichtingendiensten verzamelde persoonsgegevens van betrokkenen uit de EU, dat alle personen (inclusief niet-Amerikanen) met waardigheid en eerbied moeten worden behandeld, dat alle personen rechtmatige privacybelangen hebben bij de verwerking van hun persoonsgegevens en dat de onderdelen van de inlichtingendiensten derhalve beleid moeten opstellen dat voorziet in passende waarborgen voor dergelijke gegevens „die de verspreiding en bewaring ervan redelijkerwijs tot een minimum beperken” (91).

(85) De Amerikaanse overheid heeft uitgelegd dat dit vereiste van redelijkheid betekent dat de onderdelen van de inlichtingendiensten niet „elke theoretisch mogelijke maatregel” zullen hoeven te nemen, maar dat zij „hun inspanningen ter bescherming van de rechtmatige belangen op het gebied van privacy en burgerlijke vrijheden in evenwicht zullen moeten brengen met de praktische vereisten van activiteiten met betrekking tot inlichtingen uit berichtenverkeer” (92). In dit verband zullen niet-Amerikanen op dezelfde wijze worden behandeld als Amerikanen, op basis van door de Attorney General goedgekeurde procedures (93).

(86) Volgens deze regels is de bewaring doorgaans beperkt tot een maximum van vijf jaar, tenzij er een specifieke wettelijke bepaling is of een uitdrukkelijk besluit van de Director of National Intelligence na een zorgvuldige evaluatie van privacyaspecten — waarbij rekening wordt gehouden met de standpunten van de Civil Liberties Protection Officer (functionaris voor de bescherming van de burgerlijke vrijheden) van het ODNI en de functionarissen voor de burgerlijke vrijheden en de privacy van de diensten — dat voortdurende bewaring in het belang van de nationale veiligheid is (94). De verspreiding is beperkt tot gevallen waarin de informatie relevant is voor het onderliggende doel van het verzamelen en derhalve beantwoordt aan een toegestaan vereiste op het gebied van buitenlandse inlichtingen of rechtshandhaving (95).

(87) Volgens de door de Amerikaanse overheid gegeven garanties mogen persoonsgegevens niet worden verspreid louter omdat de betrokken natuurlijke persoon geen Amerikaan is, en „worden inlichtingen uit berichtenverkeer met betrekking tot de routineactiviteiten van een buitenlandse persoon niet beschouwd als buitenlandse inlichtingen die kunnen worden verspreid of permanent bewaard op grond van dat loutere feit, tenzij die op andere wijze beantwoorden aan een toegestaan vereiste op het gebied van buitenlandse inlichtingen” (96).

(88) Op basis van al het bovenstaande concludeert de Commissie dat er in de Verenigde Staten regelgeving bestaat die bedoeld is om ingrepen ten behoeve van de nationale veiligheid in de grondrechten van de personen van wie persoonsgegevens uit de Unie naar de Verenigde Staten worden doorgegeven in het kader van het EU-VS-privacyschild, te beperken tot hetgeen strikt noodzakelijk is om het betrokken legitieme doel te bereiken.

(89) Zoals uit bovenstaande analyse blijkt, garandeert de Amerikaanse wetgeving dat surveillancemaatregelen slechts zullen worden genomen om buitenlandse inlichtingen te verkrijgen — wat een legitieme beleidsdoelstelling is (97) — en zo specifiek mogelijk zullen zijn. Bulksgewijs verzamelen zal met name alleen uitzonderlijk worden toegestaan wanneer gericht verzamelen niet haalbaar is, en zal vergezeld gaan van aanvullende waarborgen om de hoeveelheid verzamelde gegevens en de daaropvolgende toegang (die gericht zal moeten zijn en alleen voor specifieke doeleinden toegestaan is) zo veel mogelijk te beperken.

(90) Volgens de beoordeling van de Commissie voldoet dit aan de norm die door het Hof van Justitie in het arrest Schrems is vastgesteld, namelijk dat wetgeving die een inmenging in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten met zich brengt, „minimale vereisten” (98) moet opleggen, en dat „wetgeving die algemeen toestaat dat alle persoonsgegevens van alle personen van wie de gegevens vanuit de Unie naar de Verenigde Staten worden doorgegeven, worden bewaard, zonder dat enig onderscheid wordt gemaakt, enige beperking wordt gesteld of enige uitzondering wordt gemaakt op basis van het nagestreefde doel en zonder dat wordt voorzien in een objectief criterium ter begrenzing van de toegang van de bevoegde nationale autoriteiten tot de gegevens en het latere gebruik ervan voor specifieke doeleinden, die strikt beperkt zijn en als rechtvaardiging kunnen dienen voor de inmenging als gevolg van zowel de toegang tot als het gebruik van deze gegevens, niet beperkt tot het strikt noodzakelijke is” (99). Evenmin zal er onbeperkte verzameling en opslag van gegevens van alle personen zonder beperkingen zijn, noch onbeperkte toegang. Bovendien sluiten de aan de Commissie verstrekte verklaringen, met inbegrip van de garantie dat de Amerikaanse activiteiten met betrekking tot inlichtingen uit berichtenverkeer slechts een fractie van het communicatieverkeer via het internet treffen, uit dat er „op veralgemeende basis” (100) toegang zou zijn tot de inhoud van elektronische communicatie.

3.1.2. Doeltreffende rechtsbescherming

(91) De Commissie heeft een beoordeling uitgevoerd van zowel de toezichtsmechanismen die in de Verenigde Staten bestaan met betrekking tot inmengingen van Amerikaanse inlichtingendiensten in naar de Verenigde Staten doorgegeven persoonsgegevens, als de individuele verhaalsmogelijkheden die betrokkenen uit de EU ter beschikking staan.

Toezicht

(92) De Amerikaanse inlichtingendiensten zijn onderworpen aan diverse controle- en toezichtsmechanismen die onder de drie machten van de Staat vallen. Het gaat daarbij om interne en externe instanties binnen de uitvoerende macht, een aantal Committees (commissies) van het Congres, alsook gerechtelijk toezicht; dat laatste toezicht betreft specifiek activiteiten op grond van de FISA.

(93) Ten eerste zijn de inlichtingenactiviteiten van Amerikaanse autoriteiten onderworpen aan uitgebreid toezicht binnen de uitvoerende macht.

(94) Volgens sectie 4(a)(iv) van PPD-28 omvatten de beleidslijnen en procedures van de onderdelen van de inlichtingendiensten „passende maatregelen om het toezicht op de toepassing van de waarborgen ter bescherming van persoonsgegevens te vergemakkelijken”; deze maatregelen moeten periodieke audits omvatten (101).

(95) Er zijn in dit verband meerdere lagen van toezicht tot stand gebracht, waaronder de functionarissen voor de burgerlijke vrijheden en de privacy, de Inspectors General, het Civil Liberties and Privacy Office van het ODNI, de Privacy and Civil Liberties Oversight Board en de President's Intelligence Oversight Board. Deze toezichtfuncties worden ondersteund door gespecialiseerd personeel in alle diensten (102).

(96) Zoals toegelicht door de Amerikaanse overheid (103) zijn er functionarissen voor de burgerlijke vrijheden en de privacy met toezichtsverantwoordelijkheden binnen de verschillende ministeries met verantwoordelijkheden op het gebied van inlichtingen en inlichtingendiensten (104). Hoewel de specifieke bevoegdheden van deze functionarissen enigszins kunnen variëren afhankelijk van de rechtsgrondslag, omvatten ze doorgaans het toezicht op de procedures om ervoor te zorgen dat het/de respectieve ministerie/dienst op passende wijze rekening houdt met kwesties in verband met de privacy en de burgerlijke vrijheden, en passende procedures heeft ingevoerd voor de behandeling van klachten van natuurlijke personen die van mening zijn dat er inbreuk is gemaakt op hun privacy of burgerlijke vrijheden (en in sommige gevallen kunnen ze zelf de bevoegdheid hebben om klachten te onderzoeken, zoals het ODNI (105)). Het hoofd van het ministerie/de dienst moet er op zijn beurt voor zorgen dat de functionaris alle informatie krijgt en toegang krijgt tot al het materiaal dat nodig is om zijn taken uit te voeren. De functionarissen voor de burgerlijke vrijheden en de privacy brengen periodiek verslag uit aan het Congres en de Privacy and Civil Liberties Oversight Board, onder meer over het aantal en de aard van de klachten die het ministerie/de dienst heeft ontvangen en het gevolg dat aan die klachten is gegeven, de uitgevoerde controles en onderzoeken en de gevolgen van de door de functionaris verrichte activiteiten (106). Volgens de beoordeling door de nationale gegevensbeschermingsautoriteiten kan het interne toezicht dat door de functionarissen voor de burgerlijke vrijheden en de privacy wordt uitgeoefend, als „redelijk solide” worden beschouwd, ook al zijn die functionarissen volgens hen niet onafhankelijk genoeg (107).

(97) Bovendien heeft elk onderdeel van de inlichtingendiensten een eigen Inspector General, die onder andere belast is met het toezicht op buitenlandse inlichtingenactiviteiten (108). Binnen het ODNI is dat het Office of the Inspector General (bureau van de Inspector General), dat uitgebreide rechtsmacht heeft over alle inlichtingendiensten en bevoegd is een onderzoek in te stellen naar klachten of informatie betreffende beschuldigingen van onrechtmatig gedrag of misbruik van gezag, in verband met programma's en activiteiten van het ODNI en/of de inlichtingendiensten (109). De Inspectors General zijn statutair onafhankelijke (110) eenheden die verantwoordelijk zijn voor het uitvoeren van audits en onderzoeken met betrekking tot de door de betrokken dienst uitgevoerde programma's en operaties ten behoeve van nationaal inlichtingenwerk, onder meer wat misbruik of schending van de wet betreft (111). Zij zijn gemachtigd om toegang te hebben tot alle gegevens, verslagen, audits, controles, documenten, papieren, aanbevelingen en ander relevant materiaal, zo nodig door een dwangbevel, en kunnen getuigenverklaringen afnemen (112). Hoewel de Inspectors General alleen niet-bindende aanbevelingen voor corrigerende maatregelen kunnen doen, worden hun verslagen, met inbegrip van de vervolgmaatregelen (of het ontbreken daarvan) openbaar gemaakt en bovendien aan het Congres toegezonden, dat op basis daarvan zijn toezichtsfunctie kan uitoefenen (113).

(98) Bovendien is de Privacy and Civil Liberties Oversight Board, een onafhankelijke instantie (114) binnen de uitvoerende macht die bestaat uit een raad van vijf leden uit beide politieke partijen (115) die door de president voor een vaste ambtstermijn van zes jaar zijn benoemd met goedkeuring van de Senaat, belast met taken op het gebied van het beleid inzake terrorismebestrijding en de uitvoering daarvan, met het oog op de bescherming van de privacy en de burgerlijke vrijheden. Voor haar controle van het optreden van de inlichtingendiensten heeft deze instantie toegang tot alle relevante gegevens, verslagen, audits, controles, documenten, papieren en aanbevelingen van de diensten, inclusief gerubriceerde informatie, en kan zij gesprekken voeren en getuigen oproepen. Zij ontvangt de verslagen van de functionarissen voor de burgerlijke vrijheden en de privacy van verschillende federale ministeries/diensten (116), kan hun aanbevelingen doen en brengt regelmatig verslag uit aan de Committees van het Congres en de president (117). De Privacy and Civil Liberties Oversight Board moet ook, binnen de grenzen van zijn mandaat, een verslag voorbereiden waarin de tenuitvoerlegging van PPD-28 wordt beoordeeld.

(99) Ten slotte worden de bovengenoemde toezichtsmechanismen aangevuld door de binnen de President's Intelligence Advisory Board ingestelde Intelligence Oversight Board, die toezicht houdt op de naleving van de grondwet en alle geldende regels door de Amerikaanse inlichtingendiensten.

(100) Om het toezicht te vergemakkelijken, worden de onderdelen van de inlichtingendiensten aangemoedigd om informatiesystemen te ontwerpen die het mogelijk maken om de verzoeken of andere zoekopdrachten betreffende persoonsgegevens te bewaken, te registreren en te evalueren (118). De toezichthoudende en conformiteitsbeoordelingsinstanties zullen periodiek nagaan of de praktijken van de onderdelen van de inlichtingendiensten de persoonsgegevens in inlichtingen uit berichtenverkeer beschermen en of zij die procedures naleven (119).

(101) Deze toezichtsfuncties worden bovendien ondersteund door uitgebreide rapportagevereisten met betrekking tot niet-naleving. In het bijzonder moeten de procedures van de diensten waarborgen dat in geval van een belangrijk nalevingsprobleem betreffende persoonsgegevens van welke persoon dan ook, ongeacht nationaliteit, die uit inlichtingen uit berichtenverkeer zijn verzameld, dit probleem onmiddellijk wordt gemeld aan het hoofd van het betrokken onderdeel van de inlichtingendiensten, die op zijn beurt de Director of National Intelligence in kennis stelt, die krachtens PPD-28 zal bepalen of er corrigerende maatregelen noodzakelijk zijn (120). Bovendien moeten alle onderdelen van de inlichtingendiensten overeenkomstig E.O. 12333 verslag uitbrengen aan de Intelligence Oversight Board over gevallen van niet-naleving (121). Deze mechanismen zorgen ervoor dat het probleem op het hoogste niveau van de inlichtingendiensten zal worden aangepakt. Als het om een niet-Amerikaan gaat, bepaalt de Director of National Intelligence, in overleg met de minister van Buitenlandse Zaken en het hoofd van het/de kennisgevende ministerie/dienst, of er stappen moeten worden ondernomen om de betrokken buitenlandse overheid op de hoogte te stellen, in overeenstemming met de bescherming van bronnen en methoden en van Amerikaans personeel (122).

(102) Ten tweede heeft het Amerikaanse Congres, met name de House and Senate Intelligence and Judiciary Committees (Commissies inlichtingen en Commissies juridische zaken van het Huis van afgevaardigden en de Senaat), naast deze toezichtsmechanismen binnen de uitvoerende macht, verantwoordelijkheden voor het toezicht op alle buitenlandse inlichtingenactiviteiten van de Verenigde Staten, met inbegrip van inlichtingen uit berichtenverkeer van de Verenigde Staten. Volgens de National Security Act zorgt de president ervoor „dat de Intelligence Committees van het Congres ten volle en actueel op de hoogte worden gehouden van de inlichtingenactiviteiten van de Verenigde Staten, met inbegrip van alle belangrijke verwachte inlichtingenactiviteiten in de zin van dit subhoofdstuk” (123). Ook zorgt de president ervoor „dat alle illegale inlichtingenactiviteiten onmiddellijk aan de Intelligence Committees van het Congres worden gemeld, evenals de corrigerende maatregelen die zijn genomen of worden gepland in verband met deze illegale activiteiten” (124). De leden van deze Committees hebben toegang tot gerubriceerde informatie en inlichtingenmethoden en -programma's (125).

(103) De rapportagevereisten zijn door latere wetten uitgebreid en verfijnd, zowel met betrekking tot de onderdelen van de inlichtingendiensten, de betrokken Inspectors General en de Attorney General. Zo schrijft de FISA voor dat de Attorney General de Senate and House Intelligence and Judiciary Committees „ten volle moet informeren” over de activiteiten van de overheid in het kader van bepaalde secties van de FISA (126). De FISA schrijft ook voor dat de overheid de Committees van het Congres moet voorzien van „afschriften van alle beslissingen, bevelen of adviezen van de Foreign Intelligence Surveillance Court of de Foreign Intelligence Surveillance Court of Review die een essentiële uitlegging of interpretatie bevatten” van bepalingen van de FISA. Met betrekking tot surveillance op grond van sectie 702 van de FISA wordt het toezicht met name uitgeoefend door middel van wettelijk verplichte verslagen aan de Intelligence and Judiciary Committees en frequente briefings en hoorzittingen. Die verslagen omvatten een halfjaarlijks verslag van de Attorney General waarin de toepassing van sectie 702 van de FISA wordt beschreven, met bewijsstukken waaronder met name de nalevingsverslagen van het ministerie van Justitie en het ODNI en een beschrijving van eventuele gevallen van niet-naleving (127), en een afzonderlijke halfjaarlijkse beoordeling van de Attorney General en de Director of National Intelligence waarin de naleving van de procedures om het doelwit te specificeren en de minimaliseringsprocedures wordt gedocumenteerd, inclusief de naleving van de procedures om te garanderen dat het verzamelen een geldig doel op het gebied van buitenlandse inlichtingen dient (128). Het Congres ontvangt tevens verslagen van de Inspectors General die bevoegd zijn om de naleving van de procedures om het doelwit te specificeren, de minimaliseringsprocedures en de richtsnoeren van de minister van Justitie door de diensten te evalueren.

(104) Overeenkomstig de USA Freedom Act van 2015 moet de Amerikaanse overheid elk jaar aan het Congres (en het publiek) onder andere het aantal gevraagde en ontvangen FISA-bevelen en -richtlijnen bekendmaken, evenals ramingen van het aantal Amerikanen en niet-Amerikanen die het doelwit van surveillance zijn (129). De USA Freedom Act vereist ook aanvullende openbare verslaggeving over het aantal afgegeven national security letters, opnieuw zowel met betrekking tot Amerikanen als niet-Amerikanen (en biedt de ontvangers van FISA-bevelen en certificeringen, alsook van verzoeken op basis van national security letters, tegelijkertijd de mogelijkheid om onder bepaalde voorwaarden transparantieverslagen op te stellen) (130).

(105) Ten derde laten de inlichtingenactiviteiten van de Amerikaanse overheidsdiensten op basis van de FISA ruimte voor toetsing, en in sommige gevallen is voor de maatregelen voorafgaande toestemming vereist van de Foreign Intelligence Surveillance Court (FISC) (131), een onafhankelijke rechterlijke instantie (132), waarvan de beslissingen kunnen worden aangevochten voor de Foreign Intelligence Court of Review (FISCR) (133) en, uiteindelijk, de Supreme Court van de Verenigde Staten (134). In geval van voorafgaande toestemming moeten de verzoekende instanties (FBI, NSA, CIA enz.) een ontwerpverzoek indienen bij de juristen van het departement Nationale Veiligheid van het ministerie van Justitie, die het verzoek zullen onderzoeken en, indien nodig, om aanvullende informatie zullen vragen (135). Zodra het verzoek is afgerond, moet het worden goedgekeurd door de Attorney General, de Deputy Attorney General of de Assistant Attorney General for National Security (136). Vervolgens zal het ministerie van Justitie het verzoek indienen bij de FISC, die het verzoek zal beoordelen en een voorlopige beslissing zal nemen over de te volgen procedure (137). Als er een hoorzitting plaatsvindt, heeft de FISC de bevoegdheid om getuigenverklaringen af te nemen, die deskundig advies kunnen omvatten (138).

(106) De FISC (en de FISCR) worden ondersteund door een permanent panel van vijf personen die beschikken over deskundigheid op het gebied van nationale veiligheid en de burgerlijke vrijheden (139). De FISC benoemt uit deze groep een persoon als amicus curiae om te helpen bij de behandeling van verzoeken om een bevel of onderzoek die, volgens de FISC, een nieuwe of belangrijke uitlegging van het recht behelzen, tenzij de FISC oordeelt dat een dergelijke benoeming niet passend is (140). Hierdoor wordt met name gewaarborgd dat in de beoordeling van de FISC privacyoverwegingen naar behoren in aanmerking worden genomen. Ook kan de FISC als amicus curiae een persoon of organisatie aanwijzen die onder meer technische deskundigheid verschaft, wanneer dit wenselijk wordt geacht, of op verzoek een persoon of organisatie toestemming verlenen om als amicus curiae opmerkingen in te dienen (141).

(107) Met betrekking tot de twee wettelijke machtigingen voor surveillance in de FISA die het belangrijkst zijn voor doorgiften van gegevens in het kader van het EU-VS-privacyschild, verschilt het toezicht van de FISC.

(108) Op grond van sectie 501 van de FISA (142), die het verzamelen van „tastbare zaken (waaronder boeken, dossiers, papieren, documenten en andere zaken)” toestaat, moet het verzoek aan de FISC een uiteenzetting bevatten van de feiten waaruit blijkt dat er redelijke gronden zijn om aan te nemen dat de gezochte tastbare zaken relevant zijn voor een toegestaan onderzoek (anders dan een dreigingsevaluatie) dat wordt uitgevoerd om buitenlandse inlichtingen te verkrijgen die geen Amerikaan betreffen, of ter bescherming tegen internationaal terrorisme of heimelijke inlichtingenactiviteiten. Daarnaast moet het verzoek een opsomming bevatten van de door de Attorney General goedgekeurde minimaliseringsprocedures voor de bewaring en verspreiding van de verzamelde inlichtingen (143).

(109) Op grond van sectie 702 van de FISA (144) geeft de FISC daarentegen geen toestemming voor individuele surveillancemaatregelen; de FISC geeft in plaats daarvan toestemming voor surveillanceprogramma's (zoals PRISM en UPSTREAM) op basis van jaarlijkse certificeringen die door de Attorney General en de Director of National Intelligence worden voorbereid. Sectie 702 van de FISA maakt het mogelijk om personen van wie redelijkerwijs wordt aangenomen dat zij zich buiten de Verenigde Staten bevinden, te specificeren als doelwit voor het verwerven van buitenlandse inlichtingen (145). Het specificeren van doelwitten wordt door de NSA in twee stappen uitgevoerd. Om te beginnen bepalen de analisten van de NSA niet-Amerikanen in het buitenland waarvoor surveillance volgens hun beoordeling zal leiden tot de in de certificering gespecificeerde relevante buitenlandse inlichtingen. Nadat die individuele personen zijn bepaald en na het doorlopen van een uitgebreid evaluatiemechanisme binnen de NSA als doelwit zijn goedgekeurd (146), worden vervolgens de selectietermen bepaald die voor de identificatie van de door de doelwitten gebruikte communicatievoorzieningen (zoals e-mailadressen) zullen worden ingezet (d.w.z. ontwikkeld en toegepast) (147). Zoals aangegeven, bevatten de door de FISC goed te keuren certificeringen geen informatie over de individuele personen die het doelwit moeten worden, maar bepalen ze in plaats daarvan categorieën buitenlandse inlichtingen (148). De FISC beoordeelt niet — op grond van een redelijk vermoeden of een andere norm — of natuurlijke personen het juiste doelwit zijn om buitenlandse inlichtingen te verwerven (149), maar controleert de voorwaarde dat „het verkrijgen van buitenlandse inlichtingen een significant doel van de verwerving is” (150). Op grond van sectie 702 van de FISA mag de NSA immers alleen communicatie van niet-Amerikanen buiten de Verenigde Staten verzamelen als redelijkerwijs kan worden aangenomen dat een bepaald communicatiemiddel wordt gebruikt voor de doorgifte van buitenlandse inlichtingen (bv. in verband met internationaal terrorisme, nucleaire proliferatie of vijandige cyberactiviteiten). De besluiten dienaangaande zijn onderworpen aan gerechtelijke controle (151). Certificeringen moeten tevens voorzien in procedures om het doelwit te specificeren en minimaliseringsprocedures (152). De Attorney General en de Director of National Intelligence controleren de naleving en de diensten zijn verplicht eventuele gevallen van niet-naleving te melden aan de FISC (153) (en aan het Congres en de President's Intelligence Oversight Board), die op basis daarvan de toestemming kan wijzigen (154).

(110) Om het toezicht van de FISC efficiënter te maken, heeft de Amerikaanse overheid voorts toegezegd uitvoering te geven aan een aanbeveling van de Privacy and Civil Liberties Oversight Board om de FISC documentatie inzake besluiten over de specificatie van doelwitten op grond van sectie 702 te verstrekken, inclusief een aselecte steekproef van taakbladen, zodat de FISC kan beoordelen hoe in de praktijk aan de eis wordt voldaan dat het buitenlandse inlichtingenwerk gericht wordt uitgevoerd (155). Tegelijkertijd heeft de Amerikaanse overheid erkend dat de NSA-procedures om doelwitten te specificeren moeten worden herzien en hiertoe maatregelen genomen, teneinde de met buitenlands inlichtingenwerk verband houdende redenen voor besluiten over de specificatie van doelwitten beter te documenteren (156).

Individuele verhaalsmogelijkheden

(111) Op grond van het Amerikaanse recht staat betrokkenen uit de EU een aantal mogelijkheden ter beschikking als zij zich afvragen of hun persoonsgegevens zijn verwerkt (verzameld, geraadpleegd enz.) door onderdelen van de Amerikaanse inlichtingendiensten en, indien dat het geval is, of de in het Amerikaanse recht geldende beperkingen in acht zijn genomen. Deze mogelijkheden hebben voornamelijk betrekking op drie situaties: inmenging op grond van de FISA, onrechtmatige, opzettelijke toegang tot persoonsgegevens door overheidsfunctionarissen, en toegang tot informatie op grond van de Freedom of Information Act (157).

(112) Ten eerste voorziet de FISA in een aantal rechtsmiddelen, die ook openstaan voor niet-Amerikanen, om onrechtmatige elektronische surveillance aan te vechten (158). Natuurlijke personen kunnen onder meer langs civielrechtelijke weg een geldelijke schadevergoeding van de Verenigde Staten vorderen wanneer hen betreffende informatie onrechtmatig en opzettelijk is gebruikt of bekendgemaakt (159), voor de rechter een geldelijke schadevergoeding van Amerikaanse overheidsfunctionarissen in hun persoonlijke hoedanigheid („under colour of law”/onder het voorwendsel van het recht) vorderen (160), en de wettigheid van de surveillance aanvechten (en trachten de informatie te wissen) ingeval de Amerikaanse overheid voornemens is uit elektronische surveillance verkregen of afgeleide informatie tegen hen te gebruiken of bekend te maken in een gerechtelijke of administratieve procedure in de Verenigde Staten (161).

(113) Ten tweede heeft de Amerikaanse overheid de Commissie gewezen op een aantal aanvullende mogelijkheden voor betrokkenen uit de EU om gerechtelijke stappen te ondernemen tegen overheidsfunctionarissen vanwege onrechtmatige toegang van de overheid tot of gebruik door de overheid van persoonsgegevens, onder meer voor vermeende doeleinden van nationale veiligheid (te weten de Computer Fraud Abuse Act (162), de Electronic Communications Privacy Act (163) en de Right to Financial Privacy Act (164)). Al deze gronden voor vorderingen betreffen specifieke gegevens, doelen en/of soorten toegang (bv. toegang vanop afstand tot een computer via het internet) en zijn onder bepaalde voorwaarden mogelijk (bv. opzettelijke gedragingen, gedragingen buiten de officiële hoedanigheid, geleden schade) (165). Een meer algemene verhaalsmogelijkheid wordt geboden door de Administrative Procedure Act (5 U.S.C. § 702), op grond waarvan personen die onrechtmatig zijn behandeld door een overheid of die door een handeling van de overheid zijn benadeeld, zich tot het gerecht kunnen wenden. Dit omvat de mogelijkheid om van de rechterlijke instantie te vorderen „dat zij vaststelt dat handelingen, vaststellingen en conclusies van de overheid willekeurig en onvoorspelbaar zijn, misbruik van discretionaire bevoegdheid inhouden of op andere wijze niet aan de wet voldoen, en dat zij die onrechtmatig en zonder gevolg verklaart” (166).

(114) Ten slotte heeft de Amerikaanse overheid gewezen op de Freedom of Information Act als middel voor niet-Amerikanen om toegang te krijgen tot bestaande informatiebestanden van federale diensten, onder meer wanneer die de persoonsgegevens van de natuurlijke persoon bevatten (167). Gezien haar toepassingsgebied voorziet de Freedom of Information Act niet in een individuele verhaalsmogelijkheid tegen inmenging in persoonsgegevens als zodanig, al zou zij natuurlijke personen in beginsel in staat kunnen stellen om toegang te krijgen tot relevante informatie waarover de nationale inlichtingendiensten beschikken. Zelfs in dit opzicht lijken de mogelijkheden beperkt te zijn, aangezien diensten informatie mogen achterhouden die onder bepaalde opgesomde uitzonderingen valt, waaronder toegang tot gerubriceerde informatie over de nationale veiligheid en informatie over rechtshandhavingsonderzoeken (168). Het gebruik van dergelijke uitzonderingen door de nationale inlichtingendiensten kan echter worden aangevochten door natuurlijke personen, die zowel administratief als gerechtelijk beroep kunnen instellen.

(115) Hoewel natuurlijke personen, waaronder betrokkenen uit de EU, over een aantal verhaalsmogelijkheden beschikken wanneer zij aan onrechtmatige (elektronische) surveillance om doeleinden van nationale veiligheid zijn onderworpen, is het evengoed duidelijk dat ten minste enkele rechtsgrondslagen waarop de Amerikaanse inlichtingendiensten zich kunnen baseren (bv. E.O. 12333), niet worden bestreken. Bovendien bestaan er weliswaar in beginsel gerechtelijke verhaalsmogelijkheden voor niet-Amerikanen, zoals voor surveillance op grond van de FISA, maar de mogelijke gronden zijn beperkt (169) en vorderingen van natuurlijke personen (waaronder Amerikanen) zullen niet-ontvankelijk worden verklaard wanneer zij geen „status” kunnen aantonen (170), waardoor de toegang tot gewone rechterlijke instanties wordt beperkt (171).

(116) Om te voorzien in een aanvullend verhaalsmechanisme dat openstaat voor alle betrokkenen uit de EU, heeft de Amerikaanse overheid besloten een nieuw ombudsmanmechanisme in het leven te roepen, zoals uiteengezet in de brief van de Amerikaanse minister van Buitenlandse Zaken aan de Commissie, die is opgenomen in bijlage III bij dit besluit. Dit mechanisme heeft als basis de aanstelling krachtens PPD-28 van een hoofdcoördinator (op het niveau van de onderminister) binnen het ministerie van Buitenlandse Zaken als contactpunt voor buitenlandse overheden om hun bezorgdheid te uiten met betrekking tot Amerikaanse activiteiten met betrekking tot inlichtingen uit berichtenverkeer, maar gaat aanzienlijk verder dan dit oorspronkelijke concept.

(117) Het ombudsmanmechanisme zal er met name volgens de toezeggingen van de Amerikaanse overheid voor zorgen dat individuele klachten naar behoren worden onderzocht en aangepakt, en dat natuurlijke personen een onafhankelijke bevestiging ontvangen dat de Amerikaanse wetten zijn nageleefd of, in geval van een schending van die wetten, dat de niet-naleving verholpen is (172). Het mechanisme omvat „de privacyschildombudsman”, d.w.z. de onderminister en verder personeel alsook andere toezichtsinstanties die bevoegd zijn om toezicht te houden op de verschillende onderdelen van de inlichtingendiensten die met de privacyschildombudsman zullen moeten samenwerken om klachten te behandelen. Wanneer het verzoek van een natuurlijke persoon de verenigbaarheid van surveillance met de Amerikaanse wetgeving betreft, zal de privacyschildombudsman met name een beroep kunnen doen op onafhankelijke toezichtsinstanties