W obszarze „aspektów handlowych”, tj. kwestii zarządzania obowiązkami przedsiębiorstw posiadających certyfikację, nadzorowania tych obowiązków i ich egzekwowania, Komisja odnotowała, że zgodnie z jej zaleceniami wynikającymi z pierwszego rocznego przeglądu Departament Handlu dodatkowo wzmocnił proces certyfikacji i wprowadził nowe procedury nadzoru. W szczególności Departament Handlu wprowadził nową procedurę, w ramach której podmioty występujące po raz pierwszy o certyfikację mają obowiązek wstrzymać się z publikacją oświadczeń o swoim uczestnictwie w Tarczy Prywatności do czasu zakończenia ich przeglądu certyfikacyjnego przez Departament Handlu. Ponadto Departament Handlu wprowadził nowe mechanizmy wykrywania potencjalnych problemów dotyczących zgodności z przepisami, takie jak wyrywkowe kontrole na miejscu (w okresie objętym rocznym przeglądem takim kontrolom poddano około 100 organizacji) oraz monitorowanie publicznych sprawozdań ze stosowania praktyk związanych z ochroną prywatności przez uczestników Tarczy Prywatności. W ramach wyszukiwania fałszywych oświadczeń o stosowaniu przedmiotowych zasad Departament Handlu wykorzystuje obecnie w sposób aktywny różnego rodzaju narzędzia, np. kwartalny przegląd przedsiębiorstw, w przypadku których stwierdzono większe prawdopodobieństwo złożenia fałszywych oświadczeń, a także system wyszukiwania grafiki i tekstu w internecie. W efekcie wprowadzenia omawianych nowych praktyk i procedur od czasu pierwszego rocznego przeglądu Departament Handlu przekazał ponad 50 spraw do Federalnej Komisji Handlu, która z kolei podjęła czynności egzekucyjne w tych przypadkach, w których samo przekazanie sprawy okazało się niewystarczające do skłonienia danego przedsiębiorstwa do przestrzegania zasad.

W obszarze czynności egzekucyjnych Komisja odnotowała, że w ramach działań z zakresu aktywnego monitorowania zgodności z zasadami Tarczy Prywatności Federalna Komisja Handlu wydała ostatnio nakazy administracyjne wobec pewnej liczby uczestników Tarczy Prywatności, by zobowiązać ich do przekazania informacji. Federalna Komisja Handlu potwierdziła również, że prowadzi postępowanie wyjaśniające w sprawie Facebooka i Cambridge Analytica. Komisja uznaje nowe, bardziej aktywne podejście Federalnej Komisji Handlu w kwestii monitorowania przestrzegania zasad za istotną zmianę, wyraża jednak ubolewanie, że na obecnym etapie Federalna Komisja Handlu nie była w stanie przedstawić dalszych informacji na temat prowadzonych ostatnio postępowań. Komisja informuje, że będzie uważnie monitorować rozwój sytuacji w tym obszarze.

W ramach drugiego rocznego przeglądu uwzględniono również istotne zmiany w systemie prawnym USA dotyczące obszaru ochrony prywatności. Dotyczą one w szczególności zainicjowanych przez Departament Handlu konsultacji na temat podejścia w kwestii ochrony danych na poziomie federalnym, a także podjętej przez Federalną Komisję Handlu analizy obecnych własnych kompetencji w obszarze ochrony prywatności oraz skuteczności podejmowanych przez nią działań naprawczych.

Jak pokazuje sprawa Facebooka i Cambridge Analytica oraz inne ujawnione przypadki, wskazana byłaby dalej idąca konwergencja sposobów reagowania UE i USA. W tym duchu Komisja odnotowała powyższe inicjatywy z dużym zainteresowaniem i wniosła własny wkład w proces konsultacji Departamentu Handlu, przekazując uwagi na piśmie.

W kwestiach dotyczących dostępu do danych osobowych i ich wykorzystania przez organy publiczne USA drugi roczny przegląd koncentruje się na istotnych zmianach ram prawnych USA, dotyczących m.in. polityki i procedur stosowanych w odniesieniu do odpowiedzialnych agencji, aktualnych tendencji w obszarze obserwacji, a także na rozwoju sytuacji w sposobie organizacji i funkcjonowania istotnych mechanizmów nadzoru i dochodzenia roszczeń.

Najistotniejszą zmianą prawną w obszarze dostępu organów rządowych było ponowne zatwierdzenie sekcji 702 ustawy o nadzorowaniu działalności wywiadowczej obcych państw („ustawa”) na początku 2018 r. Choć ponowne zatwierdzenie tego przepisu nie doprowadziło do uwzględnienia w ustawie środków ochrony oferowanych przez dyrektywę polityczną Prezydenta nr 28, co sugerowała Komisja, to jednocześnie nie ograniczono żadnego ze środków ochrony, które były przewidziane w ustawie FISA w momencie przyjęcia decyzji w sprawie Tarczy Prywatności. Ponadto w przyjętej nowelizacji nie rozszerzono kompetencji amerykańskiej Wspólnoty Wywiadowczej o możliwość pozyskiwania zagranicznych danych wywiadowczych poprzez działania ukierunkowane na osoby niebędące obywatelami USA na podstawie sekcji 702. W ustawie ponownie zatwierdzającej zmienioną ustawę z 2017 r., która zmienia ustawę o nadzorowaniu działalności wywiadowczej obcych państw z 1978 r. wprowadzono natomiast pewne ograniczone zabezpieczenia prywatności, na przykład w obszarze przejrzystości.

Nastąpiły również istotne zmiany dotyczące Rady Nadzoru nad Prywatnością i Wolnościami Obywatelskimi, która w momencie dokonywania pierwszego rocznego przeglądu miała w swoim składzie już tylko jednego członka. W związku z tym Komisja zaleciła wówczas szybkie mianowanie brakujących członków tej rady. W dniu 11 października 2018 r. Senat USA zatwierdził nominacje przewodniczącego Rady Nadzoru nad Prywatnością i Wolnościami Obywatelskimi i dwóch kolejnych członków Rady, która tym samym odzyskała kworum i zdolność do wykonywania wszystkich swoich funkcji. Po pierwszym rocznym przeglądzie Komisja zaleciła również publikację sprawozdania rady na temat dyrektywy politycznej Prezydenta nr 28. Sprawozdanie opublikowano w dniu 16 października 2018 r. ; w sprawozdaniu potwierdzono, że dyrektywa polityczna Prezydenta nr 28 jest stosowana w pełnym zakresie przez Wspólnotę Wywiadowczą. Przede wszystkim w sprawozdaniu potwierdzono, że po wydaniu dyrektywy politycznej Prezydenta nr 28 właściwe struktury Wspólnoty Wywiadowczej przyjęły szczegółowe zasady dotyczące jej wykonania oraz zmieniły swoje praktyki w celu ich dostosowania do wymogów tej dyrektywy.

I wreszcie, pomimo zalecenia Komisji dotyczącego szybkiego mianowania Rzecznika ds. Tarczy Prywatności, do chwili sporządzenia niniejszego sprawozdania stanowisko podsekretarza w Departamencie Stanu, do którego przypisano urząd Rzecznika ds. Tarczy Prywatności, nie zostało obsadzone w drodze mianowania na czas nieokreślony. W tym kontekście Komisja odnotowała fakt, że w czasie drugiego rocznego przeglądu rząd USA uznał potrzebę osiągnięcia szybkich postępów w kwestii nominacji stałego podsekretarza i potwierdził, że ten proces jest już w zaawansowanej fazie.

Do chwili sporządzenia niniejszego sprawozdania w ramach mechanizmu Rzecznika ds. Tarczy Prywatności nie wpłynęły żadne wnioski. Wpłynęła jednak skarga, którą do Rzecznika ds. Tarczy Prywatności skierował chorwacki organ ochrony danych; trwały odpowiednie kontrole.

Szczegółowe ustalenia dotyczące funkcjonowania wszystkich aspektów zasad Tarczy Prywatności po drugim roku jej funkcjonowania są przedstawione w dokumencie roboczym służb Komisji w sprawie drugiego rocznego przeglądu funkcjonowania Tarczy Prywatności UE-USA (SWD(2018) 497) załączonym do niniejszego sprawozdania.

Informacje zgromadzone w kontekście drugiego rocznego przeglądu potwierdzają ustalenia Komisji zawarte w decyzji w sprawie adekwatności ochrony, zarówno w odniesieniu do „aspektów handlowych” przedmiotowych zasad, jak i aspektów dotyczących dostępu władz USA do danych osobowych przekazywanych w ramach Tarczy Prywatności.

Na podstawie tych ustaleń Komisja uznaje, że USA nadal zapewniają odpowiedni stopień ochrony danych osobowych przekazywanych w ramach Tarczy Prywatności z Unii do organizacji w Stanach Zjednoczonych.

W szczególności w wyniku działań podjętych w celu wykonania zaleceń Komisji wynikających z pierwszego rocznego przeglądu ulepszono szereg aspektów praktycznego funkcjonowania przedmiotowych zasad, co zapobiec miało osłabieniu poziomu ochrony osób fizycznych, gwarantowanemu przez decyzję w sprawie adekwatności ochrony.

Niektóre z takich działań podjęto jednak dopiero niedawno i odpowiednie procesy są jeszcze w toku. Z tego względu wszelkie dalsze zmiany związane z tymi procesami powinny być ściśle monitorowane, zwłaszcza że mają one wpływ na elementy o istotnym znaczeniu dla ciągłości oceny adekwatności. Dotyczy to w szczególności:

1.Skuteczności mechanizmów wprowadzonych przez Departament Handlu w drugim roku funkcjonowania zasad Tarczy Prywatności w celu aktywnego monitorowania ich przestrzegania przez przedsiębiorstwa posiadające certyfikację, w szczególności przestrzegania istotnych wymogów i obowiązków.

2.Skuteczności narzędzi wprowadzonych przez Departament Handlu od czasu pierwszego rocznego przeglądu w celu wykrywania fałszywych oświadczeń o uczestnictwie w przedmiotowych zasadach, ze szczególnym uwzględnieniem wyszukiwania fałszywych oświadczeń składanych przez przedsiębiorstwa, które nigdy nie wystąpiły o certyfikację.

3.Postępów i wyników akcji kontrolnych przeprowadzanych z urzędu przez Federalną Komisję Handlu w drugim roku działania Tarczy Prywatności w formie nakazów administracyjnych w celu wykrywania istotnych naruszeń Tarczy Prywatności.