Jeżeli chodzi o aktywne kontrole przedsiębiorstw w zakresie przestrzegania wymogów Tarczy Prywatności, w kwietniu 2019 r. Departament Handlu wprowadził system, w ramach którego każdego miesiąca przeprowadza kontrole 30 przedsiębiorstw. Komisja z zadowoleniem przyjmuje fakt, że Departament Handlu regularnie i systematycznie przeprowadza aktywne kontrole na miejscu dotyczące przestrzegania zasad, gdyż ma to ogromne znaczenie z punktu widzenia poprawy sytuacji, jeżeli chodzi o ogólny poziom przestrzegania zasad, oraz wykrywania przypadków wymagających przeprowadzenia przez Federalną Komisję Handlu czynności z zakresu egzekwowania prawa. Komisja odnotowuje jednak, że takie kontrole na miejscu często ograniczają się do wymogów formalnych, m.in. braku odpowiedzi ze strony wyznaczonych osób odpowiedzialnych za kontakty lub braku możliwości zapoznania się z polityką prywatności danego przedsiębiorstwa na jego stronie internetowej. O ile niewątpliwie są to istotne aspekty przestrzegania zasad Tarczy Prywatności, tego typu kontrole powinny obejmować również obowiązki materialne, na przykład sprawdzenie przestrzegania zasady odpowiedzialności za wtórne przekazywanie z pełnym wykorzystaniem w tym celu instrumentów dostępnych dla Departamentu Handlu w kontekście przedmiotowych zasad. W ramach Tarczy Prywatności w dużym stopniu wzmocniono wymogi dotyczące wtórnego przekazywania, gdyż brak zabezpieczeń w tego typu sytuacjach podważyłby skuteczność ochrony, jaką zapewniają zasady. O ile nadal należy prowadzić regularne i systematyczne kontrole na miejscu, to jednak takie bardziej materialne wymogi również mają podstawowe znaczenie dla ciągłości funkcjonowania Tarczy Prywatności, a władze USA powinny ściśle monitorować ich przestrzeganie i je egzekwować.

W odniesieniu do procesu ponownej certyfikacji w toku trzeciego rocznego przeglądu okazało się, że w sytuacji, w której przedsiębiorstwo nie ukończyło jeszcze procesu ponownej certyfikacji w momencie upływu terminu na jego przeprowadzenie, Departament Handlu, po przeprowadzeniu procedury wewnętrznej, regularnie wyznacza bardzo odległy dodatkowy termin (ang. grace period) na ukończenie tego procesu przez dane przedsiębiorstwo. W tym okresie (przez około 3,5 miesiąca lub w niektórych przypadkach jeszcze dłużej w zależności od tego, kiedy Departament Handlu wykrywa, że nie ukończono procesu ponownej certyfikacji) przedsiębiorstwo nadal widnieje w wykazie podmiotów uczestniczących w programie Tarczy Prywatności. Przez cały okres, w których dane przedsiębiorstwo widnieje w wykazie podmiotów uczestniczących w programie Tarczy Prywatności, obowiązki wynikające z przedmiotowych zasad pozostają wiążące i w pełni wykonalne. Utrzymywanie danego przedsiębiorstwa w wykazie podmiotów uczestniczących w programie Tarczy Prywatności przez tak długi okres po upływie terminu na przeprowadzenie procesu ponownej certyfikacji ogranicza jednak przejrzystość i czytelność tego wykazu zarówno z punktu widzenia przedsiębiorstw, jak i osób fizycznych w UE. Taka praktyka nie stanowi bodźca dla uczestniczących przedsiębiorstwo do rygorystycznego przestrzegania wymogu dokonania corocznej ponownej certyfikacji.

Ponadto o ile funkcję Rzecznika ds. Tarczy Prywatności sprawowała osoba pełniąca obowiązki podsekretarza stanu, w związku z czym urząd Rzecznika osiągnął pełną operacyjność, Komisja podkreśliła znaczenie obsadzenia stanowiska Rzecznika ds. Tarczy Prywatności na stałe, a w szczególności wezwała rząd USA do wskazania nominata na to stanowisko do dnia 28 lutego 2019 r.

Drugi roczny przegląd został przeprowadzony w październiku 2018 r. w Brukseli, a w grudniu 2018 r. Komisja przyjęła sprawozdanie dla Parlamentu Europejskiego i Rady wraz z towarzyszącym dokumentem roboczym służb Komisji (SWD(2018) 487 final). Informacje zgromadzone w kontekście drugiego rocznego przeglądu potwierdziły ustalenia Komisji zawarte w decyzji stwierdzającej odpowiedni stopień ochrony zarówno w odniesieniu do „aspektów handlowych” przedmiotowych zasad (tj. aspektów związanych z przestrzeganiem wymogów Tarczy Prywatności przez przedsiębiorstwa posiadające certyfikację, a także aspektów związanych z zarządzaniem takimi wymogami, nadzorowaniem tych wymogów i ich egzekwowaniem), jak i aspektów dotyczących dostępu organów publicznych do danych osobowych przekazywanych w ramach Tarczy Prywatności.

Pierwszy roczny przegląd został przeprowadzony we wrześniu 2017 r. w Waszyngtonie, a w październiku 2017 r. Komisja przyjęła sprawozdanie dla Parlamentu Europejskiego i Rady wraz z towarzyszącym dokumentem roboczym służb Komisji (SWD(2017) 344 final). Komisja stwierdziła, że Stany Zjednoczone nadal zapewniają odpowiedni stopień ochrony danych osobowych przekazywanych z Unii do podmiotów w Stanach Zjednoczonych w ramach Tarczy Prywatności, jednocześnie sformułowała jednak dziesięć zaleceń w celu poprawy praktycznego funkcjonowania zasad.

Jeżeli chodzi o wyszukiwanie fałszywych oświadczeń dotyczących uczestnictwa w programie Tarczy Prywatności przez Departament Handlu, Komisja odnotowała, że Departament Handlu nadal przeprowadzał wyszukiwania co kwartał, co skutkowało wykryciem wielu przypadków składania fałszywych oświadczeń, z których część skierowano do Federalnej Komisji Handlu. Jak dotąd takie wyszukiwania dotyczyły jednak jedynie tych przedsiębiorstw, które w określony sposób uzyskały już certyfikację lub złożyły wniosek o certyfikację w ramach Tarczy Prywatności (ale na przykład nie uzyskały ponownej certyfikacji). Ważne jest, aby takie wyszukiwanie dotyczyło również tych przedsiębiorstw, które nigdy nie ubiegały się o certyfikację w ramach Tarczy Prywatności. Spośród wszystkich rodzajów fałszywych oświadczeń te składane przez przedsiębiorstwa, które nigdy nie ubiegały się o certyfikację, są potencjalnie najbardziej szkodliwe. Ma to znaczenie z punktu widzenia prywatności osób fizycznych, ponieważ przedsiębiorstwa, które nigdy nie ubiegały się o certyfikację, nie wdrożyły w ramach swoich praktyk handlowych żadnych zabezpieczeń gwarantowanych za sprawą Tarczy Prywatności. Ma to znaczenie również z punktu widzenia przedsiębiorstw, gdyż przedsiębiorstwa przestają mieć równe warunki działania, jeżeli organizacje, które nie spełniają wymogów określonych w ramach zasad, mogą czerpać korzyści wynikające z certyfikacji.

Komisja z zadowoleniem odnotowała, że coraz większa liczba osób, których dane dotyczą, pochodzących z UE korzysta ze swoich praw w ramach Tarczy Prywatności, a mechanizmy dochodzenia roszczeń działają prawidłowo. Liczba skarg składanych w ramach niezależnych mechanizmów ochrony prawnej wzrosła, tak jak liczba skarg rozpatrzonych z korzyścią dla zainteresowanych osób fizycznych pochodzących z UE. Ponadto uczestniczące przedsiębiorstwa prawidłowo przetwarzały wnioski od osób fizycznych pochodzących z UE.

Jeżeli chodzi o ściganie przestępstw, Komisja zauważyła, że od zeszłego roku Federalna Komisja Handlu zakończyła siedem postępowań w zakresie ścigania przestępstw związanych z naruszeniami Tarczy Prywatności, również w wyniku ogłaszanych akcji kontrolnych prowadzonych z urzędu. Wszystkie siedem spraw dotyczyło fałszywych oświadczeń o uczestnictwie w programie. Dwie z tych spraw dotyczyły również naruszenia bardziej materialnych wymogów w zakresie Tarczy Prywatności, m.in. braku weryfikacji – w drodze samooceny albo zewnętrznych przeglądów zgodności z wymogami – prawdziwości twierdzeń przedsiębiorstwa na temat jego praktyk związanych z Tarczą Prywatności oraz ich wdrożenia. Komisja z zadowoleniem przyjmuje działania w zakresie ścigania przestępstw podejmowane przez Federalną Komisję Handlu w trzecim roku funkcjonowania Tarczy Prywatności. Jednocześnie w świetle ogłoszenia agencji z zeszłego roku i zapewnień złożonych w toku drugiego rocznego przeglądu Komisja mogła się spodziewać bardziej entuzjastycznego podejścia do działań w zakresie ścigania przestępstw w przypadku poważnych naruszeń zasad Tarczy Prywatności.

Pod tym względem Komisja przyjęła do wiadomości wyjaśnienie udzielone w trzecim rocznym przeglądzie, tj. że kilka trwających dochodzeń zajmuje więcej czasu, ponieważ Federalna Komisja Handlu bada pełen zakres możliwych naruszeń. Informacje przekazane przez Federalną Komisję Handlu były jednak zbyt ograniczone, aby prawidłowo ocenić postępy w ściganiu przestępstw. Chociaż informacje takie mogą być ograniczone z uzasadnionych względów poufności, nie wydaje się uzasadniony fakt, że Federalna Komisja Handlu nie może, nawet w zsumowanej i anonimowej formie, udostępniać większej liczby elementów informacji na temat prowadzonych z urzędu akcji kontrolnych. Podejście to nie jest zgodne ze wspólnym dla organów duchem współpracy, który stanowi podstawę Tarczy Prywatności, a Federalna Komisja Handlu powinna szukać sposobów udostępniania Komisji i unijnym organom ochrony danych, które są współodpowiedzialne za egzekwowanie ram, ważnych informacji na temat swojej działalności w zakresie ścigania przestępstw.

W toku przeglądu ponownie omawiano kwestię sposobu przetwarzania danych o zasobach ludzkich w ramach Tarczy Prywatności. Zainteresowane strony potwierdziły, że wspólne wytyczne opracowane przez Departament Handlu, Federalną Komisję Handlu i unijne organy ochrony danych wniosłyby realną wartość dodaną. Pod tym względem Komisja zaznacza, że w ostatnim czasie nawiązano kontakty, dzięki którym poczyniono pewne postępy w zrozumieniu problemów, jednak jak dotąd bez żadnych konkretnych wyników.

2.2.Dostęp amerykańskich organów publicznych do danych osobowych i korzystanie przez amerykańskie organy publiczne z tych danych

Jeżeli chodzi o aspekty związane z dostępem amerykańskich organów publicznych do danych osobowych i korzystanie przez nie z tych danych, trzeci roczny przegląd miał przede wszystkim na celu potwierdzenie, że wszystkie ograniczenia i zabezpieczenia, na których opiera się decyzja stwierdzająca odpowiedni stopień ochrony, nadal obowiązują. Ponadto trzeci roczny przegląd umożliwił przyjrzenie się rozwojowi sytuacji i dokładniejsze wyjaśnienie pewnych aspektów ram prawnych, jak również poszczególnych mechanizmów nadzoru i możliwości dochodzenia roszczeń, szczególnie w odniesieniu do rozpatrywania i rozstrzygania skarg przez Rzecznika ds. Tarczy Prywatności.

Chociaż nie zaszły żadne nowe zmiany prawne w zakresie pozyskiwania zagranicznych informacji wywiadowczych zgodnie z sekcją 702 ustawy o kontroli wywiadu, Komisja z zadowoleniem przyjęła wyjaśnienia amerykańskich organów dotyczące sposobu ukierunkowywania działań w zakresie pozyskiwania zagranicznych informacji wywiadowczych w ramach programów wywiadowczych realizowanych zgodnie z sekcją 702 ustawy o kontroli wywiadu (tj. program Prism i Upstream). Wyjaśnienia te potwierdziły ustalenia Komisji, o których mowa w decyzji stwierdzającej odpowiedni stopień ochrony, że pozyskiwanie zagranicznych informacji wywiadowczych zgodnie z sekcją 702 ustawy o kontroli wywiadu zawsze jest ukierunkowywane za pomocą selektorów, których wybór jest regulowany prawem i podlega niezależnemu nadzorowi sądowemu i prawodawczemu.

Komisja zaznaczyła również, że niektóre podstawy prawne pozyskiwania zagranicznych informacji wywiadowczych zgodnie z sekcją 501 ustawy o kontroli wywiadu zmienionej amerykańską ustawą o wolności z 2015 r. mają wygasnąć w dniu 15 grudnia 2019 r. Ponieważ gromadzenie danych zgodnie z sekcją 501 ustawy o kontroli wywiadu ma znaczenie w kontekście Tarczy Prywatności, a zatem zostało poddane ocenie w decyzji Komisji stwierdzającej odpowiedni stopień ochrony, ważne jest, aby w przypadku ponownego upoważnienia istniejące ograniczenia i zabezpieczenia, takie jak zakaz hurtowego gromadzenia danych, nadal obowiązywały.

Jeżeli chodzi o dyrektywę polityczną Prezydenta nr 28, amerykańskie organy wyraźnie potwierdziły, że dyrektywa ta nadal w pełni obowiązuje i nie wprowadzono do niej żadnych zmian. Nie zmieniono również procedur wdrażania dyrektywy politycznej Prezydenta nr 28 w ramach poszczególnych agencji Wspólnoty Wywiadowczej. Co więcej, Komisja odnotowała wyjaśnienia przekazane przez amerykańskie organy, które wytłumaczyły, że przepisy dyrektywy politycznej Prezydenta nr 28 dotyczące hurtowego gromadzenia danych, w tym te dotyczące tymczasowego ich zajęcia, nie odnoszą się w Stanach Zjednoczonych do zagranicznych informacji wywiadowczych (np. do pozyskiwania informacji od certyfikowanego przedsiębiorstwa przetwarzającego dane przekazane przez UE w ramach Tarczy Prywatności), m.in. gromadzenia prowadzonego zgodnie z sekcją 702 ustawy o kontroli wywiadu w ramach programu Prism lub Upstream, ponieważ gromadzenie to jest zawsze ukierunkowane.

Jeżeli chodzi o Radę Nadzoru nad Prywatnością i Wolnościami Obywatelskimi, ważny organ nadzorczy w dziedzinie rządowego nadzoru, Komisja z zadowoleniem przyjęła niedawne wyznaczenie przez amerykański Senat dwóch dodatkowych członków tej Rady, dzięki czemu posiada ona pełny, pięcioosobowy skład po raz pierwszy od 2016 r. Komisja zauważyła również, że liczba pracowników Rady podwoiła się od czasu ostatniego rocznego przeglądu i że Rada przyjęła ambitny program prac obejmujący dziesięć trwających projektów nadzorczych, z których niektóre mają szczególne znaczenie dla okresowego przeglądu Komisji dotyczącego Tarczy Prywatności.

Jeżeli chodzi o urząd Rzecznika Tarczy Prywatności, w dniu 18 stycznia 2019 r. prezydent Stanów Zjednoczonych ogłosił nominację Keitha Kracha na podsekretarza stanu, który jednocześnie pełni rolę Rzecznika. W dniu 20 czerwca 2019 r. nominację pana Kracha zatwierdził Senat. Komisja z zadowoleniem przyjmuje wyznaczenie pana Kracha na Rzecznika Tarczy Prywatności, gdyż zapewnia to stałe piastowanie tego stanowiska.

Jeżeli chodzi o pierwszą skargę wniesioną do Rzecznika ds. Tarczy Prywatności, którą tuż przed ostatnim rocznym przeglądem złożył chorwacki organ ochrony danych, skargę tę ostatecznie uznano za niedopuszczalną, ponieważ dotyczyła faktów, które miały miejsce, zanim przyjęto decyzję w sprawie Tarczy Prywatności. Skarga umożliwiła jednak sprawdzenie działania odpowiednich procedur w praktyce. Zarówno przedstawiciele Europejskiej Rady Ochrony Danych uczestniczący w rocznym przeglądzie, jak i Rzecznik ds. Tarczy Prywatności potwierdzili, że wszystkie stosowne etapy procedury zastosowano i ukończono w sposób satysfakcjonujący. Komisja przyjmuje z zadowoleniem fakt, że ten pierwszy wniosek udało się rozpatrzyć z powodzeniem, jako istotny wskaźnik, że urząd Rzecznika jest w stanie prawidłowo pełnić swoją rolę.

Amerykańskie organy przekazały również dalsze wyjaśnienia dotyczące sposobu współpracy Rzecznika z innymi, niezależnymi organami nadzoru i zaradzania naruszeniom. W szczególności potwierdziły, że niezależny Inspektor Generalny Wspólnoty Wywiadowczej będzie systematycznie informowany o wszelkich skargach wnoszonych do Rzecznika ds. Tarczy Prywatności oraz że przeprowadzi swoją własną ocenę. Ponadto wyjaśniły, że jeżeli skarga wniesiona do Rzecznika ds. Tarczy Prywatności ujawnia naruszenie procedur ukierunkowania zgodnych z sekcją 702 ustawy o kontroli wywiadu, takie naruszenie należy zgłosić do Sądu ds. Inwigilacji Obcych Wywiadów, który dokona niezależnego przeglądu i, w stosownych przypadkach, zarządzi, aby właściwa agencja wywiadowcza podjęła działania naprawcze. Działania takie mogą przyjmować formę od pojedynczych środków, np. usunięcie nielegalnie pozyskanych danych, po środki strukturalne, np. zmiana praktyki gromadzenia, m.in. pod względem wytycznych i szkolenia dla pracowników.

Ponadto potwierdzono, że jeżeli w toku przeglądu skargi wniesionej do Rzecznika zostałoby zidentyfikowane naruszenie amerykańskiego prawa (w tym naruszenie rozporządzeń wykonawczych, polityki Prezydenta oraz zasad i procedur agencji, np. procedur ukierunkowywania i minimalizacji zatwierdzonych przez Sąd ds. Inwigilacji Obcych Wywiadów), nielegalnie zgromadzone dane zostałyby usunięte ze wszystkich rządowych baz danych, a wszelkie odniesienia do tych danych – ze sprawozdań służb wywiadowczych. Osoba fizyczna może zatem uzyskać w UE decyzję o usunięciu jej danych osobowych, jeżeli amerykańska Wspólnota Wywiadowcza pozyskała i przetwarzała je nielegalnie.

Komisja przyjmuje z zadowoleniem te dodatkowe wyjaśnienia, które pokazują, jak współpraca między poszczególnymi, niezależnymi organami nadzorczymi wzmacnia skuteczność urzędu Rzecznika. Ważne było także, aby wytłumaczyć, że wykorzystując urząd Rzecznika, osoby fizyczne w UE mogą realnie skorzystać ze swojego prawa do usunięcia danych, które stanowi podstawowy element prawa do ochrony danych osobowych.

3.WNIOSEK

Informacje zgromadzone w kontekście trzeciego rocznego przeglądu potwierdzają ustalenia Komisji zawarte w decyzji stwierdzającej odpowiedni stopień ochrony, zarówno w odniesieniu do aspektów handlowych przedmiotowych ram, jak i aspektów dotyczących dostępu organów publicznych do danych osobowych przekazywanych w ramach Tarczy Prywatności. Pod tym względem Komisja zauważyła szereg udoskonaleń w działaniu ram, jak również obsadzenie stanowisk w głównych organach nadzorczych.

W świetle pewnych kwestii, które wynikły jednak z codziennych doświadczeń lub stały się bardziej istotne w kontekście praktycznego wdrażania ram, Komisja doszła do wniosku, że należy poczynić kilka konkretnych kroków, aby lepiej zapewnić skuteczne funkcjonowanie w praktyce Tarczy Prywatności:

1.Departament Handlu powinien skrócić poszczególne terminy, które przedsiębiorstwa otrzymują na ukończenie procesu ponownej certyfikacji. Całkowity okres maksymalnie 30 dni wydaje się rozsądny, aby przedsiębiorstwa mogły uzyskać ponowną certyfikację, w tym rozwiązać wszelkie problemy zidentyfikowane w procesie ponownej certyfikacji, jednocześnie zapewniając skuteczność tego procesu. Jeżeli pod koniec tego okresu ponowna certyfikacja nie będzie zakończona, Departament Handlu powinien bezzwłocznie wysłać pismo zawierające ostrzeżenie.