Przepływy danych mają wymiar globalny. Unia Europejska jest zobowiązana do przestrzegania traktatów i Karty praw podstawowych Unii Europejskiej chroniących wszystkie jednostki w UE. Unia Europejska ma obowiązek podejmować wszystkie kroki konieczne do zapewnienia, aby prawa do prywatności i do ochrony danych osobowych przestrzegano we wszystkich działaniach polegających na przetwarzaniu danych, w tym ich przekazywaniu. Od czasu ujawnienia działań w zakresie nadzoru w 2013 r. Unia Europejska i jej strategiczny partner – Stany Zjednoczone – dążyli do zdefiniowania nowego zestawu norm w oparciu o autocertyfikację na potrzeby przekazywania do Stanów Zjednoczonych w celach handlowych danych osobowych wysyłanych z UE. Podobnie jak krajowe organy ds. ochrony danych w UE, tak i EIOD – w erze globalnych, natychmiastowych i nieprzewidywalnych przepływów danych – uznaje wartość zrównoważonych ram prawnych na potrzeby handlowego przekazywania danych między Unią Europejską a Stanami Zjednoczonymi, która to relacja stanowi największe partnerstwo handlowe na świecie. Niemniej jednak ramy te muszą w pełni odzwierciedlać wspólne wartości demokratyczne i wartości oparte na prawach jednostki, wyrażone po stronie UE w traktacie lizbońskim oraz Karcie praw podstawowych UE, a po stronie Stanów Zjednoczonych – w konstytucji Stanów Zjednoczonych. Projekt ochrony prywatności (Privacy Shield) może być krokiem we właściwym kierunku, ale w obecnym kształcie – w naszej ocenie – nie uwzględnia odpowiednio wszystkich właściwych środków zabezpieczających unijne prawa jednostek do prywatności i ochrony danych, również jeżeli chodzi o dochodzenie roszczeń na drodze sądowej. Jeżeli Komisja Europejska chce przyjąć decyzję w sprawie odpowiedniej ochrony danych osobowych, konieczne są znaczące ulepszenia. W szczególności UE powinna zyskać dodatkowe zapewnienia w kwestii konieczności i proporcjonalności, zamiast legitymizować rutynowy dostęp organów amerykańskich do przekazywanych danych na podstawie kryteriów wynikających z podstaw prawnych funkcjonujących w kraju otrzymującym, a nie funkcjonujących w UE kryteriów potwierdzonych traktatami, unijnymi orzeczeniami oraz tradycją konstytucyjną wspólną dla państw członkowskich. Ponadto, w erze dużej hiperłączności i rozproszonych sieci samoregulacja dokonywana przez organizacje prywatne, jak również oświadczenia i zobowiązania urzędników publicznych mogą sprawdzić się w perspektywie krótkoterminowej, jednak w dłuższej perspektywie nie będą wystarczające do zabezpieczenia praw i interesów jednostek oraz pełnego zaspokojenia potrzeb zglobalizowanego świata cyfrowego, w którym wiele państw dysponuje obecnie zasadami ochrony danych. Z tego względu w dialogu transatlantyckim oczekiwano by rozwiązań długoterminowych, które pozwoliłyby również na ustanowienie w wiążącym prawie federalnym co najmniej głównych zasad dotyczących jasno i zwięźle określonych praw, podobnie jak dzieje się to w przypadku innych państw spoza UE, które zostały „rygorystycznie ocenione” pod względem zapewnienia odpowiedniego poziomu ochrony; Trybunał Sprawiedliwości Unii Europejskiej w wyroku w sprawie Schrems określił je jako „merytorycznie równoważne” względem norm obowiązujących w prawie Unii, co według Grupy Roboczej Art. 29 oznacza zawierające „treść podstawowych zasad” ochrony danych. Z zadowoleniem przyjmujemy zwiększoną przejrzystość po stronie organów amerykańskich w kwestii stosowania wyjątków od zasad ochrony prywatności (Privacy Shield) na potrzeby egzekwowania prawa, bezpieczeństwa narodowego i interesu publicznego. Niemniej jednak, podczas gdy decyzja w sprawie zasad bezpiecznego transferu danych osobowych z 2000 r. (Safe Harbour) formalnie uznawała dostęp ze względu na bezpieczeństwo narodowe za wyjątek, uwaga poświęcona w projekcie decyzji w sprawie ochrony danych (Privacy Shield) dostępowi, filtrowaniu i analizowaniu przez organy ścigania i wywiadu danych osobowych przekazywanych w celach handlowych wskazuje na to, że wyjątek mógł stać się regułą. W szczególności EIOD zauważa na podstawie projektu decyzji i załączników do niej, że niezależnie od ostatnich tendencji przechodzenia z bezkrytycznego nadzoru na szeroką skalę w kierunku bardziej ukierunkowanych i wybiórczych metod, skala rozpoznania elektronicznego oraz ilość danych przekazywanych z UE, których dotyczyć może potencjalne gromadzenie i wykorzystywanie po przekazaniu oraz szczególnie podczas przekazywania, nadal może być duża, a zatem może być kwestionowana. Chociaż praktyki te mogą odnosić się również do wywiadu w innych państwach i chociaż z zadowoleniem przyjmujemy przejrzystość organów amerykańskich w związku z taką nową rzeczywistością, obecny projekt decyzji może legitymizować tego rodzaju rutynowe działania. Z tego względu zachęcamy Komisję Europejską, aby dała wyraźniejszy sygnał: ze względu na zobowiązania nałożone na Unię przez traktat lizboński dostęp do danych i korzystanie przez organy publiczne z danych przekazywanych w celach handlowych, w tym podczas przekazywania, powinny mieć miejsce jedynie w wyjątkowych okolicznościach oraz gdy jest to niezbędne w określonych celach wiążących się z interesem publicznym. W kwestii przepisów dotyczących przekazywania danych w celach handlowych od administratorów nie należy oczekiwać ciągłej zmiany modelów zgodności. Tymczasem projekt decyzji opiera się na istniejących ramach prawnych UE, które zostaną zastąpione rozporządzeniem (UE) 2016/679 (ogólne rozporządzenie o ochronie danych) w maju 2018 r., mniej niż rok po wdrożeniu ochrony prywatności (Privacy Shield) przez administratorów. Ogólne rozporządzenie o ochronie danych tworzy i wzmacnia obowiązki administratorów wykraczające poza dziewięć zasad opracowanych w ochronie prywatności (Privacy Shield). Niezależnie od ostatecznych zmian projektu zalecamy Komisji Europejskiej, aby kompleksowo oceniła przyszłe perspektywy już od pierwszego sprawozdania, aby na czas określić odpowiednie kroki na potrzeby rozwiązań długoterminowych służących zastąpieniu ochrony prywatności (Privacy Shield), jeżeli takie istnieją, solidniejszymi i stabilniejszymi ramami prawnymi na potrzeby poprawy relacji transatlantyckich. Europejski Inspektor Ochrony Danych wydaje zatem konkretne zalecenia dotyczące ochrony prywatności (Privacy Shield).