SPRAWOZDANIE KOMISJI DLA PARLAMENTU EUROPEJSKIEGO I RADY

w sprawie pierwszego rocznego przeglądu funkcjonowania Tarczy Prywatności UE-USA

1.PIERWSZY ROCZNY PRZEGLĄD – CEL, PRZYGOTOWANIE I PROCES

W swojej decyzji z dnia 12 lipca 2016 r. („decyzja w sprawie adekwatności ochrony”) Komisja stwierdziła, że Tarcza Prywatności UE-USA („Tarcza Prywatności”) zapewnia odpowiedni poziom ochrony danych osobowych, które zostały przekazane z Unii Europejskiej do organizacji w USA.

Tarcza Prywatności jest zgodna z zasadami oraz wymogami ustanowionymi przez Europejski Trybunał Sprawiedliwości w orzeczeniu w sprawie Schrems, które unieważniło poprzednie ramy bezpiecznego transferu danych osobowych („bezpieczna przystań”). W porównaniu z ramami „bezpieczna przystań” Tarcza obejmuje kilka nowych elementów, które wzmacniają ochronę danych osobowych podczas ich przekazywania do USA. Elementy te dotyczą bardziej rygorystycznych obowiązków nakładanych na przedsiębiorstwa posiadające certyfikację Tarczy Prywatności, na przykład w odniesieniu do ograniczeń dotyczących tego, jak długo przedsiębiorstwo może zatrzymać dane osobowe (tzw. zasada „zatrzymywania danych”), lub warunków, na jakich dane mogą być przekazywane osobom trzecim poza ramami Tarczy (tzw. zasada „odpowiedzialności za wtórne przekazywanie”). Tarcza przewiduje również bardziej regularne i rygorystyczne monitorowanie prowadzone przez Departament Handlu (DoC) oraz znacznie zwiększa możliwości osób fizycznych z Unii Europejskiej w zakresie dochodzenia roszczeń. Ponadto Tarcza Prywatności opiera się na konkretnych pisemnych oświadczeniach i zapewnieniach ze strony rządu USA, że dostęp organów publicznych do danych osobowych przekazywanych w ramach Tarczy Prywatności do celów bezpieczeństwa narodowego, egzekwowania prawa i innych celów leżących w interesie publicznym podlega wyraźnym ograniczeniom i środkom ochrony. W tym celu Tarcza zakłada stworzenie całkowicie nowego mechanizmu dochodzenia roszczeń - Rzecznika ds. Tarczy Prywatności.

Komisja zobowiązała się do dokonania corocznej oceny adekwatności i w tym celu dokonuje corocznego przeglądu funkcjonowania Tarczy Prywatności. Pierwszy roczny przegląd funkcjonowania Tarczy Prywatności jest zawarty w niniejszym sprawozdaniu. Przegląd objął wszystkie aspekty Tarczy Prywatności, a mianowicie wdrożenie, zarządzanie, nadzór i egzekwowanie zasad Tarczy Prywatności przez właściwe władze i organy USA, a także kwestie dotyczące dostępu organów publicznych USA do danych osobowych przekazywanych w ramach Tarczy Prywatności do celów interesu publicznego, w szczególności bezpieczeństwa narodowego. W ramach przeglądu przeprowadzono również dialog w sprawie konkretnego tematu dotyczącego zautomatyzowanego procesu decyzyjnego oraz ocenę ubiegłorocznych zmian w systemie prawnym USA, które mogły mieć wpływ na funkcjonowanie Tarczy Prywatności.

Zasady Tarczy Prywatności obowiązują od dnia 1 sierpnia 2016 r. Biorąc pod uwagę fakt, że jest to pierwszy rok funkcjonowania tych zasad, prowadzony przez Komisję roczny przegląd ma na celu przede wszystkim sprawdzenie, czy wszystkie przewidziane w nich mechanizmy i procedury – z których wiele jest nowo utworzonych – są w pełni wdrożone i funkcjonują w sposób, który jest określony w decyzji w sprawie adekwatności ochrony. Ponadto Komisja położyła szczególny nacisk na sprawdzenie, czy i w jaki sposób różne organy USA zaangażowane we wdrażanie tych zasad wywiązały się ze swoich oświadczeń i zobowiązań, zarówno w zakresie zarządzania i nadzoru aspektów handlowych Tarczy Prywatności, jak i w odniesieniu do dostępu organów rządowych do danych osobowych. Zmiany, które zaszły w administracji USA w styczniu 2017 r., uwypukliły znaczenie tej kwestii.

W ramach przygotowań do rocznego przeglądu Komisja zbierała opinie i informacje zwrotne na temat wdrażania i funkcjonowania zasad Tarczy Prywatności od zainteresowanych stron, zwłaszcza od przedsiębiorstw posiadających certyfikację Tarczy Prywatności za pośrednictwem ich stowarzyszeń branżowych, jak również od organizacji pozarządowych (NGO) działających w dziedzinie praw podstawowych, a w szczególności praw cyfrowych i ochrony prywatności. Ponadto Komisja uzyskała pisemne informacje od władz USA zaangażowanych we wdrażanie tych zasad, w tym odpowiednie dokumenty i materiały.

Pierwszy roczny wspólny przegląd odbył się w dniach 18 i 19 września 2017 r. w Waszyngtonie. Został on otwarty przez komisarz do spraw sprawiedliwości, konsumentów i równouprawnienia płci, Věrę Jourovą oraz amerykańskiego sekretarza handlu Wilbura Rossa. Roczny przegląd został przeprowadzony w imieniu UE przez przedstawicieli Dyrekcji Generalnej Komisji Europejskiej ds. Sprawiedliwości i Konsumentów. Delegacja UE obejmowała również ośmiu przedstawicieli wyznaczonych przez Grupę Roboczą Art. 29, organ doradczy skupiający krajowe organy ochrony danych w państwach członkowskich, oraz Europejskiego Inspektora Ochrony Danych.

Po stronie USA w przeglądzie uczestniczyli przedstawiciele DoC, Federalnej Komisji Handlu (FTC), Departamentu Transportu, Departamentu Stanu, Urzędu Dyrektora Krajowych Służb Wywiadowczych oraz Departamentu Sprawiedliwości, a także pełniący obowiązki Rzecznika ds. Tarczy Prywatności, członek Rady Nadzoru nad Prywatnością i Wolnościami Obywatelskimi („PCLOB”) i Urząd Inspektora Generalnego Wspólnoty Wywiadowczej. Ponadto wkład w omawiany przegląd wnieśli przedstawiciele niezależnych organizacji ds. rozstrzygania sporów w ramach Tarczy Prywatności, Amerykańskie Stowarzyszenie Arbitrażowe (American Arbitration Association) zarządzające panelem arbitrażowym w ramach Tarczy Prywatności oraz niektóre przedsiębiorstwa posiadające certyfikację Tarczy Prywatności.

Roczny przegląd został uzupełniony dodatkowymi, publicznie dostępnymi materiałami, takimi jak orzeczenia sądowe, przepisy wykonawcze i procedury właściwych organów USA, sprawozdania i badania organizacji pozarządowych, sprawozdania na temat przejrzystości wydane przez przedsiębiorstwa posiadające certyfikację Tarczy Prywatności, artykuły prasowe i inne doniesienia medialne.

2.USTALENIA, WNIOSKI I ZALECENIA

Roczny przegląd wykazał, że władze USA ustanowiły niezbędne struktury i procedury w celu zapewnienia właściwego funkcjonowania Tarczy Prywatności. Proces certyfikacji był zarządzany w sposób ogólnie zadowalający, a ponad 2400 spółek uzyskało do tej pory certyfikację. Władze USA wprowadziły mechanizmy rozpatrywania skarg i egzekwowania przepisów oraz procedury w celu ochrony praw osób fizycznych. Obejmuje to również nowe dodatkowe środki dochodzenia roszczeń dla osób fizycznych z UE, takie jak panel arbitrażowy i Rzecznika ds. Tarczy Prywatności. Pełniący obowiązki Rzecznika ds. Tarczy Prywatności został wyznaczony w związku ze zmianą administracji w styczniu 2017 r., natomiast powołanie stałego Rzecznika ds. Tarczy Prywatności jest w toku. Współpraca z europejskimi organami ochrony danych została wzmocniona. W zakresie dostępu do danych osobowych przez organy publiczne do celów związanych z bezpieczeństwem narodowym nadal obowiązują w USA odpowiednie środki ochrony, w szczególności te ustanowione w oparciu o dyrektywę polityczną Prezydenta nr 28 z 2014 r., która określa ograniczenia i środki ochrony dotyczące wykorzystania danych osobowych przez krajowe organy bezpieczeństwa, niezależnie od narodowości osoby fizycznej. W tym kontekście należy również zauważyć, że sekcja 702 amerykańskiej ustawy o kontroli wywiadu (FISA) ma wygasnąć w dniu 31 grudnia 2017 r. i że propozycje reform są obecnie omawiane przez Kongres USA.

Szczegółowe ustalenia faktyczne dotyczące funkcjonowania wszystkich aspektów zasad Tarczy Prywatności po pierwszym roku jej funkcjonowania są przedstawione w dokumencie roboczym służb Komisji w sprawie rocznego przeglądu funkcjonowania Tarczy Prywatności UE-USA (SWD(2017) 344 final) załączonym do niniejszego sprawozdania.