DECIZIA DE PUNERE ÎN APLICARE (UE) 2016/1250 A COMISIEI

din 12 iulie 2016

în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind caracterul adecvat al protecției oferite de Scutul de confidențialitate UE-SUA

[notificată cu numărul C(2016) 4176]

(Text cu relevanță pentru SEE)

COMISIA EUROPEANĂ,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (1), în special articolul 25 alineatul (6),

după consultarea Autorității Europene pentru Protecția Datelor (2),

1. INTRODUCERE

2. „SCUTUL DE CONFIDENȚIALITATE UE-SUA”

2.1. Principii în materie de protecție a vieții private

2.2. Transparența, gestionarea și supravegherea Scutului de confidențialitate UE-SUA

Atunci când o organizație părăsește Scutul de confidențialitate UE-SUA din orice motiv, aceasta trebuie să elimine toate declarațiile publice care dau de înțeles că aceasta participă în continuare la Scutul de confidențialitate UE-SUA sau are dreptul la beneficiile acestuia, în special orice trimiteri la Scutul de confidențialitate UE-SUA publicate în politica sa de confidențialitate publicată. Departamentul Comerțului va căuta în mod activ și va soluționa declarațiile false privind participarea la cadru, inclusiv cele ale foștilor participanți (36) . Orice declarație falsă adresată publicului general cu privire la aderarea unei organizații la principiile privind protecția vieții private sub forma unor afirmații sau practici înșelătoare poate fi sancționată de către FTC, Departamentul Transporturilor sau de alte autorități de aplicare a legii din SUA; declarațiile falsă adresate Departamentului Comerțului pot da naștere unei acțiuni intentate în temeiul Legii privind declarațiile false (18 U.S.C § 1001) (37) .

2.3. Mecanismele de recurs, de tratare a plângerilor și de asigurare a respectării legii

În al patrulea rând, Departamentul Comerțului s-a angajat să primească, să examineze și să depună toate eforturile pentru soluționarea plângerilor legate de nerespectarea principiilor de către o organizație. În acest scop, Departamentul Comerțului prevede proceduri speciale pentru transmiterea plângerilor către un punct de contact, urmărirea acestora și contactarea companiilor pentru a facilita soluționarea. Pentru a accelera prelucrarea plângerilor individuale, punctul de contact va lua legătura direct cu DPA pe marginea aspectelor legate de conformitate, în special, cu privire la statutul plângerilor în termen de cel mult 90 zile de la sesizare. Acest lucru permite persoanelor vizate să depună plângeri de nerespectare de către companiile autocertificate direct la autoritatea lor națională pentru protecția datelor, iar acestea vor fi direcționate către Departamentul Comerțului al SUA, în calitate de autoritate care gestionează Scutul de confidențialitate UE-SUA. De asemenea, Departamentul Comerțului s-a angajat să furnizeze, în cadrul evaluării anuale a funcționării Scutului de confidențialitate, un raport care analizează sub formă agregată plângerile pe care le primește în fiecare an (48) .

În plus, dacă o APD, la primirea unei reclamații depuse de o persoană vizată din UE, consideră că transferul de date cu caracter personal ale unei persoane către o organizație din Statele Unite este efectuat prin încălcarea legislației UE în domeniul protecției datelor, inclusiv atunci când exportatorul de date din UE are motive să creadă că organizația nu respectă principiile, aceasta poate, de asemenea, să își exercite competențele față de exportatorul de date și, dacă este necesar, să dispună suspendarea transferului de date.

3. ACCESUL ȘI UTILIZAREA DATELOR CU CARACTER PERSONAL TRANSFERATE ÎN TEMEIUL SCUTULUI DE CONFIDENȚIALITATE UE-SUA DE CĂTRE AUTORITĂȚILE PUBLICE AMERICANE

3.1. Accesul și utilizarea de către autoritățile publice americane în scopuri de securitate națională

3.1.1. Limitări.

În conformitate cu Constituția Statelor Unite ale Americii, asigurarea securității naționale intră sub autoritatea Președinției în calitate de comandant-șef, de șef al executivului și, în ceea ce privește serviciile de informații externe, de a conduce activitatea de afaceri externe a SUA (58) . Deși Congresul are competența de a impune limitări, iar acest lucru s-a întâmplat în mai multe privințe, în cadrul limitelor respective, președintele poate coordona activitățile comunității serviciilor de informații americane, în special prin decrete sau directive prezidențiale. Aceasta se aplică, de asemenea, în domeniile în care nu există orientări ale Congresului. În prezent, cele două instrumente juridice esențiale în acest sens sunt Ordinul executiv nr. 12333 („O.E. 12333”) (59) și Directiva nr. 28 privind politica prezidențială.

PPD-28 stipulează că informațiile pe baza semnalelor electromagnetice pot fi colectate numai în cazul în care există un scop legat de servicii străine de informații sau contrainformații pentru a sprijini misiunile departamentale și naționale și nu în alt scop (de exemplu, pentru a oferi un avantaj concurențial companiilor americane). În această privință, ODNI oferă explicația potrivit căreia elementele comunității serviciilor de informații „ar trebui să prevadă că, ori de câte ori este posibil, colectarea ar trebui să se concentreze pe ținte sau subiecte specifice de informații externe prin utilizarea unor elemente de discriminare (de exemplu, infrastructuri specifice, termenii de selecție și identificatori)” (63) . În plus, declarațiile oferă asigurarea că deciziile legate de culegerea informațiilor secrete nu sunt lăsate la discreția agenților de informații individuali, ci fac obiectul diferitelor politici și proceduri pe care elementele comunității serviciilor de informații americane (agenții) trebuie să le instituie pentru a pune în aplicare PPD28 (64) . În consecință, cercetarea și stabilirea selectoarelor adecvate are loc în baza „Cadrului național de priorități ale serviciilor de informații” (National Intelligence Priorities Framework – NIPF) care asigură faptul că prioritățile serviciilor de informații sunt stabilite de factorii de decizie politică de la nivel înalt și sunt revizuite în mod regulat pentru a menține o capacitate de reacție la amenințările la adresa securității naționale și iau în considerare eventualele riscuri, inclusiv riscurile la adresa vieții private (65) . Pe această bază, personalul agenției cercetează și identifică termeni specifici de selecție pentru a colecta informații externe care să răspundă priorităților (66) . Termenii de selecție sau „selectoarele” trebuie revizuite periodic pentru a se stabili dacă acestea continuă să furnizeze informații valoroase în conformitate cu prioritățile (67) .

Întrucât PPD-28 este o directivă emisă de președinte în calitate de șef al executivului, cerințele acesteia sunt obligatorii pentru întreaga comunitate a serviciilor de informații și au fost puse în aplicare în continuare prin intermediul normelor și procedurilor agenției care transpun principiile generale în instrucțiuni specifice pentru operațiunile zilnice. În plus, deși Congresul nu are obligații în temeiul PPD-28, trebuie să ia, de asemenea, măsuri pentru a se asigura că activitățile de colectare și accesarea datelor cu caracter personal în Statele Unite sunt mai degrabă cu țintă precisă decât efectuate „în mod generalizat”.

3.1.2. Protecția juridică efectivă

Supravegherea

În plus, fiecare element al comunității serviciilor de informații are propriul inspector general însărcinat, printre altele, să supravegheze activitățile străine de spionaj (108) . Acesta include, în cadrul ODNI, un birou al inspectorului general cu competență generală asupra întregii comunități a serviciilor de informații și autorizat pentru a investiga plângeri sau informații privind acuzații de comportament ilicit sau abuz de autoritate în legătură cu ODNI și/sau programele și activitățile comunității serviciilor de informații (109) . Inspectorii generali sunt unități independente (110) din punct de vedere statutar responsabile cu efectuarea de audituri și investigații privind programele și operațiunile efectuate de agenție pentru scopuri naționale de informații, inclusiv în caz de abuz sau încălcare a legii (111) . Aceștia sunt autorizați să aibă acces la toate înregistrările, rapoartele, auditurile, analizele, documentele, dosarele, recomandările sau alte documente pertinente, dacă este necesar prin somații, și pot lua declarații ale martorilor (112) . Deși inspectorii generali nu pot decât să emită recomandări neobligatorii privind măsuri corective, rapoartele lor, inclusiv cu privire la acțiunile de monitorizare (sau lipsa acestora) sunt făcute publice și transmise Congresului, care poate să își exercite, pe această bază, funcția de supraveghere (113) .

În plus, Comitetul de supraveghere a vieții private și a libertăților civile (Privacy and Civil Liberties Oversight Board – PCLOB), un organism independent (114) din cadrul executivului, format din cinci membri (115) care sunt numiți de Președinte cu aprobarea Senatului cu un mandat de 6 ani și care aparțin celor două mari partide politice, este însărcinat cu responsabilități în domeniul politicilor de combatere a terorismului și cu punerea în aplicare a acestora, în vederea protejării vieții private și a libertăților civile. În cadrul reexaminării efectuate cu privire la acțiunea comunității serviciilor de informații, acesta poate avea acces la toate înregistrările, rapoartele, auditurile, analizele, documentele, dosarele și recomandările agențiilor relevante, inclusiv informații clasificate, poate desfășura interviuri și audia martori. Comitetul primește rapoarte de la responsabilii pentru protecția libertățile civile și a vieții private din mai multe departamente/agenții federale (116) , poate emite recomandări pentru acestea și prezintă rapoarte periodice către comisiile Congresului și către Președinte (117) . De asemenea, PCLOB are sarcina, în limitele mandatului său, să pregătească un raport de evaluare a aplicării PPD-28.

În al treilea rând, activitățile de spionaj întreprinse de autoritățile publice americane pe baza FISA permit verificarea și, în unele cazuri, autorizarea prealabilă a măsurilor, de către Curtea FISA (FISC) (131) , o instanță independentă (132) ale cărei decizii pot fi contestate în fața Curții de revizuire privind activitățile străine de spionaj (FISCR) (133) și, în cele din urmă, Curtea Supremă a Statelor Unite (134) . În cazul unei autorizații prealabile, autoritățile solicitante (FBI, NSA, CIA etc.) vor trebui să transmită un proiect de cerere avocaților Departamentului pentru Securitate Națională din cadrul Departamentului de Justiție care îl va examina și, dacă este necesar, va solicita informații suplimentare (135) . De îndată ce cererea a fost finalizată, aceasta va trebui să fie aprobată de către procurorul general, procurorul general adjunct sau procurorul general adjunct pentru securitatea națională (136) . Departamentul de Justiție va transmite ulterior cererea către FISC, care o va examina și va lua o hotărâre preliminară cu privire la modul de a acționa (137) . În cazul în care are loc o audiere, FISC are autoritatea de a audia martori, ceea ce poate include consultanță de specialitate (138) .

Măsuri reparatorii individuale

Persoanele vizate din UE au la dispoziție o serie de căi de atac în temeiul legislației SUA în cazul în care au îndoieli legate de eventualitatea ca datele lor cu caracter personal să fi fost prelucrate (colectate, accesate etc.) de elemente ale comunității serviciilor de informații americane și, în caz afirmativ, dacă au fost respectate limitările aplicabile din legislația SUA. Acestea se referă în principal la trei domenii: imixtiune în temeiul FISA; accesul intenționat, ilegal la date cu caracter personal de către funcționari guvernamentali; și accesul la informații în conformitate cu Legea privind accesul liber la informații (Freedom of Information Act – FOIA) (157) .

În al doilea rând, guvernul SUA a transmis Comisiei o serie de căi suplimentare pe care persoanele vizate din UE le-ar putea utiliza pentru a introduce o acțiune împotriva funcționarilor guvernamentali pentru accesul ilegal la datelor cu caracter personal sau utilizarea acestora, inclusiv în scopul securității naționale [și anume, Legea privind fraudele și abuzurile informatice (Computer Fraud and Abuse Act (162) ); Legea privind confidențialitatea comunicațiilor electronice (Electronic Communications Privacy Act (163) ) și Legea privind dreptul la confidențialitate financiară (Right to Financial Privacy Act (164) )]. Toate aceste căi de atac privesc anumite date, ținte și/sau tipuri de acces (de exemplu, accesul la distanță la un calculator prin intermediul internetului) și sunt disponibile în anumite condiții (de exemplu, comportament intenționat în afara calității oficiale, prejudiciul suferit) (165) . O cale de atac mai generală este oferită prin Legea privind procedura administrativă (Administrative Procedure Act, 5 U.S.C. § 702), potrivit căruia „orice persoană care este victima unui abuz juridic cauzat de acțiunea agenției sau este afectată ori lezată într-un alt mod de acțiunea agenției” are dreptul de a solicita controlul jurisdicțional. Acest lucru include posibilitatea de a solicita Curții „să declare ilegale sau să anuleze acțiunea, constatările și concluziile agenției în legătură cu care s-a constatat că sunt […] arbitrare, capricioase, un abuz de putere de apreciere sau neconforme cu legea din orice alt motiv” (166) .

Prin această „structură compozită”, mecanismul Ombudsmanului garantează supravegherea independentă și posibilitatea unui recurs individual. În plus, cooperarea cu alte organisme de supraveghere asigură accesul la expertiza necesară. În sfârșit, deoarece Ombudsmanul pentru Scutul de confidențialitate are obligația de a confirma respectarea sau măsurile de remediere a oricărei neconformități, mecanismul reflectă angajamentul Guvernului SUA în ansamblul său de a trata și a soluționa plângerile persoanelor din UE.

3.2. Accesul și utilizarea de către autoritățile publice din SUA în scopul aplicării legii și în scopuri de interes public

În plus, legislația SUA pune la dispoziția persoanelor fizice o serie de căi de atac judiciare împotriva unei autorități publice sau a unuia dintre funcționarii acesteia, în cazul în care aceste autorități prelucrează date cu caracter personal. Aceste căi, printre care figurează în special Legea privind procedura administrativă (APA), Legea privind accesul liber la informații (FOIA) și Legea privind confidențialitatea comunicațiilor electronice (ECPA) stau la dispoziția tuturor persoanelor, indiferent de cetățenia lor, sub rezerva condițiilor aplicabile.

În plus, mai multe alte statute acordă persoanelor fizice dreptul de a introduce acțiuni împotriva unei autorități sau a unui funcționar public din SUA cu privire la prelucrarea datelor lor cu caracter personal, precum Wiretap Act (197) , Computer Fraud and Abuse Act (198) , Federal Torts Claim Act (199) , Right to Financial Privacy Act (200) și Fair Credit Reporting Act (201)

4. UN NIVEL ADECVAT DE PROTECȚIE ÎN TEMEIUL SCUTULUI DE CONFIDENȚIALITATE UE-SUA

5. ACȚIUNEA AUTORITĂȚILOR PENTRU PROTECȚIA DATELOR ȘI INFORMAȚIILE TRANSMISE COMISIEI

În hotărârea Schrems, Curtea de Justiție a clarificat faptul că Comisia nu are competența de a limita competențele autorităților pentru protecția datelor care rezultă din articolul 28 din Directiva 95/46/CE (inclusiv competența de a suspenda transferurile de date), în cazul în care o persoană, prin introducerea unei cereri în temeiul dispoziției menționate, pune sub semnul întrebării compatibilitatea cu o decizie privind caracterul adecvat al nivelului de protecție a dreptului fundamental la viață privată și la protecția datelor (203) .

6. REVIZUIREA PERIODICĂ A CONSTATĂRII REFERITOARE LA CARACTERUL ADECVAT

Prin urmare, Comisia va continua să monitorizeze cadrul general pentru transferul de date cu caracter personal creat de Scutul de confidențialitate UE-SUA, precum și respectarea de către autoritățile americane a declarațiilor și angajamentelor cuprinse în documentele anexate la prezenta decizie. Pentru a facilita acest proces, SUA s-a angajat să informeze Comisia cu privire la evoluțiile semnificative care au loc în legislația SUA în cazul în care sunt relevante pentru Scutul de confidențialitate în domeniul protecției datelor și al limitărilor și garanțiilor aplicabile accesului la date cu caracter personal de către autoritățile publice. În plus, prezenta decizie va face obiectul unei revizuiri comune anuale, care va cuprinde toate aspectele legate de funcționarea Scutului de confidențialitate, inclusiv punerea în aplicare a legii securității naționale și excepțiile de la principiile. În plus, deoarece constatarea privind caracterul adecvat poate fi, de asemenea, influențată de evoluțiile juridice din dreptul Uniunii, Comisia va evalua nivelul de protecție oferit de Scutul de confidențialitate după intrarea în vigoare a Regulamentului general privind protecția datelor.

În cadrul revizuirii comune anuale, Comisia va solicita ca Departamentul Comerțului să ofere informații detaliate cu privire la toate aspectele relevante legate de funcționarea Scutului de confidențialitate UE-SUA, inclusiv sesizări primite de Departamentul Comerțului de la autoritățile pentru protecția datelor și rezultatele evaluărilor de conformitate ex officio. De asemenea, Comisia va solicita explicații referitoare la orice întrebări sau probleme referitoare la Scutul de confidențialitate UESUA și funcționarea sa care rezultă din orice informații disponibile, inclusiv rapoartele de transparență permise în temeiul Legii SUA privind libertatea, rapoartele publice elaborate de către serviciile naționale de informații, autoritățile pentru protecția datelor, grupuri pentru promovarea vieții private, rapoarte din mass-media sau din orice altă sursă posibilă. În plus, pentru a facilita sarcina Comisiei în această privință, statele membre ar trebui să informeze Comisia în legătură cu cazurile în care acțiunile întreprinse de organismele însărcinate cu asigurarea respectării principiilor privind protecția vieții private în Statele Unite nu reușesc să asigure respectarea obligațiilor și în legătură cu orice indicii că acțiunile autorităților publice americane responsabile de securitatea națională sau de prevenirea, identificarea, investigarea, depistarea sau urmărirea penală a infracțiunilor nu asigură nivelul de protecție necesar.

7. SUSPENDAREA DECIZIEI PRIVIND CARACTERUL ADECVAT

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

(1) În sensul articolului 25 alineatul (2) din Directiva 95/46/CE, Statele Unite garantează un nivel adecvat de protecție a datelor cu caracter personal transferate din Uniune către organizații din Statele Unite în temeiul Scutului de confidențialitate UE-SUA.

(2) Scutul de confidențialitate UE-SUA este constituit din principiile publicate de Departamentul Comerțului al SUA la 7 iulie 2016, prezentate în anexa II, precum și din declarațiile și angajamentele oficiale cuprinse în documentele enumerate în anexele I și IIIVII.

(3) În sensul alineatului (1), datele cu caracter personal sunt transferate în temeiul Scutului de confidențialitate UE-SUA în cazul în care acestea sunt transferate dinspre Uniune către organizații din Statele Unite ale Americii care fac parte din „lista Scutului de confidențialitate”, menținută și pusă la dispoziția publicului de către Departamentul Comerțului al SUA, în conformitate cu secțiunile I și III din principiile prevăzute în anexa II.

Articolul 2

Prezenta decizie nu aduce atingere aplicării dispozițiilor Directivei 95/46/CE, cu excepția articolului 25 alineatul (1), care se referă la prelucrarea datelor cu caracter personal în statele membre, în special articolul 4.

Articolul 3

Ori de câte ori autoritățile competente din statele membre își exercită competențele în temeiul articolului 28 alineatul (3) din Directiva 95/46/CE determinând suspendarea sau interzicerea definitivă a fluxurilor de date către o organizație din Statele Unite ale Americii care este inclusă în lista Scutului de confidențialitate în conformitate cu secțiunile I și III din principiile prevăzute în anexa II, în vederea protejării persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ale acestora, statul membru în cauză informează Comisia fără întârziere.

Articolul 4

(1) Comisia va monitoriza încontinuu funcționarea Scutului de confidențialitate UE-SUA, cu scopul de a evalua dacă Statele Unite continuă să asigure un nivel adecvat de protecție a datelor cu caracter personal transferate dinspre Uniune către organizații din Statele Unite.

(2) Statele membre și Comisia se informează reciproc asupra cazurilor în care se pare că organismele guvernamentale din Statele Unite cu competențe legale pentru a asigura conformitatea cu principiile prevăzute în anexa II nu oferă mecanisme de depistare și supraveghere eficace care să permită identificarea și sancționarea în practică a încălcărilor principiilor.

(3) Statele membre și Comisia se informează reciproc cu privire la orice indicații că ingerințele autorităților publice responsabile pentru securitatea națională, aplicarea legii sau alte interese publice în exercitarea dreptului persoanelor fizice la protecția datelor lor cu caracter personal depășesc ceea ce este strict necesar și/sau că nu există o protecție juridică efectivă unor astfel de ingerințe.

(4) În termen de un an de la data notificării prezentei decizii către statele membre și, ulterior, anual, Comisia va evalua constatarea menționată la articolul 1 alineatul (1) pe baza tuturor informațiilor disponibile, inclusiv informațiile primite ca parte a revizuirii comune anuale menționate în anexele I, II și VI.

(5) Comisia va raporta toate constatările pertinente comitetului instituit în temeiul articolului 31 din Directiva 95/46/CE.

(6) Comisia va prezenta un proiect de măsuri în conformitate cu procedura prevăzută la articolul 31 alineatul (2) din Directiva 95/46/CE în vederea suspendării, a modificării sau a abrogării prezentei decizii sau în vederea limitării domeniului său de aplicare, printre altele, în cazul în care există indicii:

Comisia va prezenta, de asemenea, un astfel de proiect de măsuri în cazul în care lipsa de cooperare a organismelor implicate în asigurarea funcționării Scutul de confidențialitate UESUA în Statele Unite nu îi permite să stabilească dacă a fost afectată constatarea stabilită la articolul 1 alineatul (1).

Articolul 5

Statele membre iau toate măsurile necesare pentru a se conforma prezentei decizii.

Articolul 6

Prezenta decizie se adresează statelor membre.

(1) JO L 281, 23.11.1995, p. 31.

(2) A se vedea Avizul 4/2016 referitor la Proiectul de decizie privind caracterul adecvat al Scutului de confidențialitate UE-SUA, publicat la 30 mai 2016.

(3) Cauza C-362/14, Maximillian Schrems/Comisarul pentru protecția datelor (denumită în continuare „Schrems”), EU:C:2015:650, punctul 39.

(4) Cauza C-553/07, Rijkeboer, EU:C:2009:293, punctul 47; cauzele conexe C-293/12 și C-594/12, Digital Rights Ireland și alții, EU:C:2014:238, punctul 53; cauza C-131/12, Google Spain și Google, EU:C:2014:317, punctele 53, 66 și 74.

(5) Decizia 2000/520/CE a Comisiei din 26 iulie 2000 în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului privind caracterul adecvat al protecției oferite de principiile „sferei de siguranță” privind protecția vieții private și întrebările de bază aferente, publicate de Departamentul Comerțului al S.U.A. (JO L 215, 28.8.2000, p. 7).

(6) Comunicarea Comisiei către Parlamentul European și Consiliu: restabilirea încrederii în fluxurile de date dintre UE și SUA, COM(2013) 846 final din 27 noiembrie 2013.

(7) Comunicarea Comisiei către Parlamentul European și Consiliu privind funcționarea „sferei de siguranță” din punctul de vedere al cetățenilor UE și al întreprinderilor stabilite în UE, COM(2013) 847 final din 27 noiembrie 2013.

(8) A se vedea, de exemplu, Consiliul Uniunii Europene, Raportul final al Grupului de contact la nivel înalt UE-SUA privind schimbul de informații, confidențialitatea și protecția datelor cu caracter personal, în nota 9831/08 din 28 mai 2008, disponibil pe internet la adresa: http://www.europarl.europa.eu/document/activities/cont/201010/20101019ATT88359/20101019ATT88359EN.pdf.

(9) Raportul privind concluziile copreședinților din partea UE în cadrul Grupului de lucru ad-hoc UE-SUA privind protecția datelor, 27 noiembrie 2013, disponibil pe internet la adresa: http://ec.europa.eu/justice/data-protection/files/report-findings-of-the-ad-hoc-eu-us-working-group-on-data-protection.pdf.

(10) A se vedea nota de subsol 3.

(11) Schrems, punctul 97.

(12) Schrems, punctele 73-74.

(13) Schrems, punctele 88-89.

(14) A se vedea anexa II, punctul III.10.a. În conformitate cu definiția de la punctul I.8.c, operatorul din UE va stabili scopul și mijloacele de prelucrare a datelor cu caracter personal. În plus, contractul încheiat cu agentul trebuie să indice în mod clar dacă transferurile ulterioare sunt autorizate (a se vedea punctul III.10.a.ii.2).

(15) Aceasta se aplică, de asemenea, în cazul în care sunt vizate date privind resursele umane transferate din Uniune în cadrul unui raport de muncă. Deși Principiile subliniază „responsabilitatea principală” a angajatorului din UE (a se vedea anexa II, punctul III.9.d.i.), ele clarifică totodată faptul că nu principiile, ci normele aplicabile în Uniune și/sau în statul membru respectiv vor reglementa comportamentul angajatorului. A se vedea anexa II, punctul III.9.a.i., b.ii., c.i., d.i.

(16) Acest lucru este valabil și pentru prelucrarea care are loc prin utilizarea echipamentului situat în Uniune, dar utilizate de o organizație stabilită în afara Uniunii [a se vedea articolul 4 alineatul (1) litera (c) din Directiva 95/46/CE]. Începând cu 25 mai 2018, Regulamentul general privind protecția datelor (General Data Protection Regulation – GDPR) se va aplica prelucrării datelor cu caracter personal: (i) în cadrul activităților unui sediu al unui operator sau al unei persoane împuternicite de operator pe teritoriul Uniunii (chiar și în cazul în care prelucrarea are loc în Statele Unite); sau (ii) ale unor persoane vizate care se află în Uniune, de către un operator sau o persoană împuternicită de operator care nu este stabilită în Uniune, în cazul în care activitățile de prelucrare sunt legate de: (a) oferirea de bunuri sau servicii, indiferent dacă persoana în cauză trebuie să plătească pentru acestea, unor astfel de persoane vizate în Uniune; sau (b) monitorizarea comportamentului lor, în măsură în care acest comportament se manifestă în Uniune. A se vedea articolul 3 alineatele (1)-(2) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO L 119, 4.5.2016, p. 1).

(17) Prezenta decizie are relevanță pentru SEE. Acordul privind Spațiul Economic European (Acordul privind SEE) prevede extinderea pieței interne a Uniunii Europene la cele trei state SEE, și anume Islanda, Liechtenstein și Norvegia. Legislația Uniunii privind protecția datelor, inclusiv Directiva 95/46/CE, intră sub incidența Acordului SEE și a fost încorporată în anexa XI la acesta. Comitetul mixt al SEE trebuie să decidă cu privire la încorporarea prezentei decizii în Acordul privind SEE. Odată ce prezenta decizie se aplică Islandei, Liechtensteinului și Norvegiei, Scutul de confidențialitate UE-SUA va acoperi, de asemenea, aceste trei țări, iar trimiterile din pachetul privind Scutul de confidențialitate la UE și statele sale membre se interpretează ca incluzând Islanda, Liechtenstein și Norvegia.

(18) A se vedea anexa II, punctul III.6.e.

(19) Pentru datele privind resursele umane colectate în contextul ocupării unui loc de muncă, se aplică norme speciale care oferă garanții suplimentare, astfel cum sunt stabilite în principiul suplimentar referitor la „datele privind resursele umane”din principiile privind protecția vieții private (a se vedea anexa II, punctul III.9). De exemplu, angajatorii ar trebui să țină seama de preferințele angajaților cu privire la protecția vieții private prin restricționarea accesului la datele cu caracter personal, anonimizarea anumitor date sau atribuirea de coduri sau pseudonime. În primul rând, organizațiile sunt obligate să coopereze și să respecte recomandările făcute de autoritățile însărcinate cu protecția datelor din Uniunea Europeană în ceea ce privește astfel de date.

(20) Acest lucru este valabil pentru toate transferurile de date în temeiul Scutului de confidențialitate, inclusiv în cazul în care acestea vizează date colectate prin intermediul raportului de muncă. Deși o organizație autocertificată din SUA ar putea, în principiu, să utilizeze date privind resursele umane în scopuri diferite, care nu au legătură cu raportul de muncă (de exemplu, pentru anumite comunicații comerciale), aceasta trebuie să respecte interdicția privind prelucrarea incompatibilă și, în plus, poate face acest lucru numai în conformitate cu principiile notificării și opțiunii. Interdicția impusă organizației din SUA de a lua sancțiuni împotriva angajatului pentru exercitarea unor astfel de opțiuni, inclusiv orice restrângere a oportunităților profesionale, va oferi asigurarea că, în pofida raportului de subordonare și dependenței inerente, angajatul nu va fi supus niciunei presiuni și poate exercita, astfel, o veritabilă libertate de alegere.

(21) A se vedea anexa II, punctul III.12.

(22) A se vedea, de asemenea, principiul suplimentar privind „accesul” (anexa II, punctul III.8).

(23) A se vedea, de exemplu, Legea privind egalitatea de șanse în materie de credit (Equal Credit Opportunity Act – ECOA, 15 U.S.C., 1691 et seq.), Legea privind imparțialitatea rapoartelor privind solvabilitatea creditorilor (Fair Credit Reporting Act – FRCA, 15 USC § 1681 et seq.), Legea privind egalitatea de șanse în materie de locuințe sau Fair (Fair Housing Act – FHA, 42 U.S.C. 3601 et seq.).

(24) În contextul unui transfer de date cu caracter personal care au fost colectate în UE, persoana fizică (clientul) se va afla, în majoritatea cazurilor, într-o relație contractuală cu controlorul de date din UE, care trebuie să respecte normele UE de protecție a datelor. Astfel, orice decizie bazată pe prelucrarea automată va fi, de regulă, luate de către controlorul din UE. Acest context include scenariile în care prelucrarea este efectuată de o organizație aderentă la Scutul de confidențialitate care acționează ca agent în numele operatorului din UE.

(25) A se vedea, de asemenea, principiul suplimentar privind soluționarea litigiilor și punerea în aplicare a deciziilor (anexa II, punctul III.11).

(26) A se vedea, de asemenea, principiul suplimentar privind „autocertificarea” (anexa II, punctul III.6).

(27) A se vedea, de asemenea, principiul suplimentar privind „verificarea” (anexa II, punctul III.7).

(28) A se vedea, de asemenea, principiul suplimentar privind „Contractele obligatorii pentru transferurile ulterioare” (anexa II, punctul III.10).

(29) A se vedea principiul suplimentar privind „Contractele obligatorii pentru transferurile ulterioare” (anexa II, punctul III.10.b.). Deși acest principiu permite și efectuarea de transferuri bazate pe instrumente necontractuale (de exemplu, programe de conformitate și control din cadrul aceluiași grup de întreprinderi), textul clarifică faptul că aceste instrumente trebuie să asigure întotdeauna „continuitatea programelor de protecție a informațiilor cu caracter personal în temeiul principiilor”. În plus, dat fiind că organizația autocertificată din SUA va fi în continuare responsabilă pentru respectarea principiilor, ea va fi puternic încurajată să utilizeze instrumente care sunt într-adevăr eficace în practică.

(30) A se vedea anexa II, punctul I.5.

(31) Persoanele fizice nu vor dispune de dreptul de renunțare în cazul în care datele cu caracter personal sunt transmise către o parte terță care acționează ca agent pentru a îndeplini sarcini în numele și pe baza instrucțiunilor organizației din SUA. În acest scop, este totuși necesar să se încheie un contract cu agentul, iar organizația din Statele Unite ale Americii va fi răspunzătoare pentru garantarea măsurilor de protecție acordate în temeiul principiilor prin exercitarea competențelor sale de a da instrucțiuni.

(32) Situația diferă în funcție de faptul că terțul este un operator sau o persoană împuternicită de către operator (agent). În prima ipoteză, contractul încheiat cu partea terță trebuie să prevadă că aceasta din urmă încetează prelucrarea sau ia alte măsuri rezonabile și adecvate pentru a remedia situația. În cea de a doua ipoteză, sarcina de a lua aceste măsuri revine organizației aderente la Scutul de confidențialitate, ea controlând prelucrarea și dând instrucțiunile pe baza cărora agentul își desfășoară activitatea.

(33) În acest caz, organizația din SUA trebuie, de asemenea, să ia măsuri rezonabile și adecvate (i) pentru a se asigura că agentul prelucrează efectiv informațiile cu caracter personal transferate într-un mod compatibil cu obligațiile care îi revin organizației în temeiul principiilor și (ii) pentru a opri și a remedia prelucrarea neautorizată, în urma notificării.

(34) În anexa I și anexa II (punctul I.3, punctul I.4, III.6.d și punctul III.11.g) se oferă informații privind gestionarea listei Scutului de confidențialitate.

(35) A se vedea, de exemplu anexa II, punctul I.3, punctul III.6.f. și punctul III.11.g.i.

(36) A se vedea anexa I, punctul referitor la „Identificarea și abordarea afirmațiilor false de participare”.

(37) A se vedea anexa II, punctul III.6.h. și punctul III.11.f.

(38) A se vedea anexa I.

(39) Aceasta este autoritatea de gestionare desemnată de comitetul APD prevăzut în principiul suplimentar privind „Rolul autorităților pentru protecția datelor”) (anexa II, punctul III.5).

(40) Raportul anual trebuie să conțină: (1) numărul total de plângeri legate de Scutul de confidențialitate primite în cursul anului de raportare; (2) tipurile de plângeri primite de soluționare a litigiilor; (3) măsurile de asigurare a calității, cum ar fi perioada de timp pentru prelucrarea reclamațiilor; și (4) rezultatele plângerilor primite, în special numărul și tipul de măsuri corective sau sancțiuni impuse.

(41) A se vedea anexa II, punctul III.11.e.

(42) A se vedea anexa II, punctul III.11.g, în special subpunctele (ii) and (iii).

(43) A se vedea anexa I, punctul referitor la „Identificarea și abordarea afirmațiilor false de participare”.

(44) Regulamentul de procedură al comitetului informal al APD ar trebui să fie stabilit de autoritățile pentru protecția datelor pe baza competenței lor de a-și organiza activitatea lor și de a coopera între ele.

(45) A se vedea anexa I secțiunile privind „Intensificarea cooperării cu autoritățile pentru protecția datelor” și „Facilitarea soluționării plângerilor referitoare la nerespectarea principiilor” și anexa II, punctul II.7.e.

(46) A se vedea anexa IV, p. 6.

(47) ibid.

(48) A se vedea anexa I, punctul referitor la „Facilitarea soluționării plângerilor referitoare la nerespectarea principiilor”.

(49) Organizațiile aderente la Scutul de confidențialitate trebuie să își declare în mod public angajamentul de a respecta principiile, să își facă publice politicile de confidențialitate în conformitate cu aceste principii și să le pună pe deplin în aplicare. Nerespectarea principiilor este executorie în temeiul secțiunii 5 din Legea privind Comisia Federală pentru Comerț, care interzice practicile neloiale sau frauduloase în domeniul comerțului sau care afectează comerțul.

(50) Potrivit informațiilor furnizate de FTC, aceasta nu are competența de a realiza inspecții la fața locului în materie de protecție a vieții private. Cu toate acestea, FTC are puterea de a obliga organizațiile să prezinte înscrisuri și să furnizeze declarații ale martorilor (a se vedea secțiunea 20 din Legea privind Comisia Federală pentru Comerț) și poate apela la sistemul judiciar pentru a executa aceste ordine în caz de nerespectare.

(51) FTC sau hotărârile judecătorești pot solicita companiilor să pună în aplicare programe cu privire la protecția vieții private și să prezinte periodic rapoarte de conformitate sau evaluări independente externe ale programelor puse la dispoziția FTC.

(52) A se vedea anexa II, punctul II.1.xi și III.7.c.

(53) Numărul de arbitri din comitet va trebui convenit de părți.

(54) Cu toate acestea, Comitetul poate considera că, în împrejurările unei anumite proceduri de arbitraj, acoperirea ar duce la costuri nejustificate sau disproporționate.

(55) Persoanele fizice nu pot solicita despăgubiri în cadrul procedurii de arbitraj, dar, în schimb, invocarea procedurii de arbitraj nu exclude posibilitatea de a solicita despăgubiri în instanțele obișnuite americane.

(56) Directorul Serviciului național de informații (DNI) exercită rolul de șef al comunității serviciilor de informații și acționează în calitate de consilier principal al președintelui și al Consiliului de securitate națională. A se vedea Legea privind reforma serviciilor de informații si prevenirea terorismului din 2004, Pub. L. 108-458 din 17 decembrie 2004. Printre altele, ODNI stabilește cerințele pentru serviciile de informații și gestionează și stabilește sarcinile, colectarea, analiza, elaborarea și difuzarea de informații naționale de către serviciile de informații, inclusiv prin elaborarea de orientări pentru modul în care informațiile sau datele operative sunt accesate, utilizate și partajate. A se vedea secțiunea 1.3 (a), (b) din O.E. 12333.

(57) A se vedea Schrems, punctul 91.

(58) Constituția SUA, articolul II. A se vedea, de asemenea, introducerea la PPD-28.

(59) E.O. 12333: Activitățile de spionaj ale Statelor Unite, Registrul Federal Vol. 40. nr. 235 (8 decembrie 1981). În măsura în care decretul prezidențial este accesibil publicului, acesta definește obiectivele, instrucțiunile și responsabilitățile serviciilor de informații americane (inclusiv rolul diverselor elemente ale comunității serviciilor de informații) și stabilește parametrii generali pentru desfășurarea activităților de spionaj (în special necesitatea de a adopta norme procedurale specifice). În conformitate cu secțiunea 3.2 din O.E. 12333, Președintele, susținut de Consiliul de securitate națională, și DNI emit astfel de directive, proceduri și orientări adecvate după cum sunt necesare pentru a pune în aplicare decretul.

(60) În conformitate cu O.E. 12333, directorul Agenției Naționale de Securitate (NSA) este administratorul funcțional pentru obținerea informațiilor pe baza semnalelor electromagnetice și operează o organizație unificată pentru activitățile de colectare de informații pe baza semnalelor electromagnetice.

(61) Pentru definirea termenului „comunitatea serviciilor de informații”, a se vedea secțiunea 3.5(h) din O.E. 12333 cu nr. 1 din PPD-28.

(62) A se vedea memorandumul Biroului de asistență juridică, Departamentul Justiției (DOJ), adresat Președintelui Clinton, 29 ianuarie 2000. Conform acestui aviz juridic, directivele prezidențiale au „același efect juridic pe fond ca un ordin executiv”.

(63) Declarațiile ODNI (anexa VI), p. 3.

(64) A se vedea secțiunea 4(b),(c) din PPD-28. Potrivit informațiilor publice, revizuirea din 2015 a confirmat cele șase obiective existente. A se vedea ODNI, Reforma legată de activitățile de colectare de informații pe baza semnalelor electromagnetice, raportul intermediar de activitate pentru anul 2016.

(65) Observațiile ODNI (anexa VI), p. 6 (cu trimiteri la Directiva nr. 204 privind comunitatea serviciilor de informații – Intelligence Community Directive 204). A se vedea, de asemenea, secțiunea 3 din PPD-28.

(66) Declarațiile ODNI (anexa VI), p. 6. A se vedea, de exemplu, Biroul pentru libertăți civile și viață privată al NSA (NSA CLPO), Măsurile de protecție a libertăților civile și vieții private ale NSA pentru activitățile cu țintă precisă de colectare de informații SIGINT în temeiul Decretului 12333, 7 octombrie 2014. A se vedea, de asemenea, Raportul de situație al ODNI pentru anul 2014. Pentru cererile de acces în temeiul secțiunii 702 din FISA, întrebările sunt reglementate de proceduri de reducere la minimum aprobate de FISC. A se vedea NSA CLPO, Punerea în aplicare de către NSA a secțiunii 702 din Legea privind supravegherea activităților străine de spionaj (Foreign Intelligence Surveillance Act), 16 aprilie 2014.

(67) A se vedea Reforma legată de activitățile de colectare de informații pe baza semnalelor electromagnetice, raportul aniversar pentru anul 2015. A se vedea, de asemenea, Declarațiile ODNI (anexa VI), paginile 6, 89, 11.

(68) A se vedea nota de subsol 63.

(69) De asemenea, ar trebui remarcat că, în conformitate cu secțiunea 2.4 din O.E. 12333, elementele comunității serviciilor de informații „trebuie să utilizeze tehnici de colectare cel mai puțin intruzive posibil în Statele Unite”. În ceea ce privește limitările care prevăd înlocuirea colectării în masă de date cu operațiuni de colectare direcționate, a se vedea rezultatele unei evaluări de către Consiliul național al cercetării (National Research Council), astfel cum a fost prezentat de Agenția pentru Drepturi Fundamentale a Uniunii Europene: „Supravegherea de către serviciile de informații: garanții privind drepturile fundamentale și căile de atac în UE” (Surveillance by intelligence services:fundamental rights, safeguards and remedies in the EU) (2015), p. 18.

(70) Declarațiile ODNI (anexa VI), p. 4.

(71) A se vedea, de asemenea, secțiunea 5(d) din PPD-28 care indică directorului Serviciului național de informații, în coordonare cu șefii elementelor comunității serviciilor de informații relevante și Biroul pentru politica în domeniul științei și tehnologiei, să ofere președintelui un „raport de evaluare a fezabilității creării de software, care ar permite comunității serviciilor de informații să desfășoare mai ușor activitățile de obținere de informații cu țintă precisă, mai degrabă decât colectarea în masă.” Potrivit informațiilor publice, rezultatul acestui raport a fost că „nu există nicio alternativă bazată pe software care să ofere un înlocuitor complet pentru colectarea în masă în depistarea unor amenințări la adresa securității naționale.” A se vedea Reforma legată de activitățile de colectare de informații pe baza semnalelor electromagnetice, raportul aniversar pentru anul 2015.

(72) A se vedea nota de subsol 63.

(73) Declarațiile ODNI (anexa VI). Aceasta răspunde în mod explicit îngrijorării exprimate de autoritățile naționale pentru protecția datelor în avizul referitor la proiectul de decizie privind caracterul adecvat. A se vedea Avizul 01/2016 referitor la proiectul de decizie privind caracterul adecvat al Scutului de confidențialitate UE-SUA, emis de Grupul de lucru „Articolul 29” (adoptat la 13 aprilie 2016), p. 38, cu n. 47.

(74) A se vedea secțiunea 2 din PPD-28.

(75) Declarațiile ODNI (anexa VI), p. 4. A se vedea, de asemenea, Directiva nr. 203 privind comunitatea serviciilor de informații.

(76) Declarațiile ODNI (anexa VI), p. 2. De asemenea, se aplică limitările prevăzute în O.E. 12333 (de exemplu, necesitatea ca informațiile colectate să răspundă priorităților în materie de informații stabilite de către Președinte).

(77) A se vedea Schrems, punctul 93.

(78) În plus, colectarea de date de către FBI se poate baza, de asemenea, pe autorizațiile organismelor de aplicare a legii (a se vedea secțiunea 3.2 din prezenta decizie).

(79) Pentru explicații suplimentare privind utilizarea NSL, a se vedea Declarațiile ODNI (anexa VI), p. 13-14, cu n. 38. Astfel cum se indică în acesta, FBI poate recurge la NSL pentru a solicita informații nelegate de conținut în cazul unei investigații de securitate naționale autorizată pentru a proteja împotriva terorismului internațional sau a activităților clandestine de spionaj. În ceea ce privește transferurile de date în temeiul Scutului de confidențialitate UE-SUA privind protecția vieții private, cele mai relevante autorizații legale par a fi Legea privind confidențialitatea comunicațiilor electronice (Electronic Communications Privacy Act) (18 U.S.C. § 2709), care prevede că orice cerere de informații referitoare la abonați sau evidențe comerciale utilizează un „termen care identifică în mod specific o persoană, o entitate, un număr de telefon sau un cont”.

(80) 50 U.S.C. § 1804. Deși această autoritate juridică prevede „o enunțare a faptelor și circumstanțelor invocate de reclamant pentru a a-și justifica convingerea sa că (A) obiectul supravegherii electronice este o putere străină sau un agent al unei puteri străine”, aceasta din urmă poate include persoane care nu sunt cetățeni americani care se angajează în terorism internațional sau activități internaționale de proliferare a armelor de distrugere în masă (inclusiv actele pregătitoare) [50 U.S.C. § 1801 (b) (1)]. Cu toate acestea, există doar o legătură teoretică cu datele cu caracter personal transferate în temeiul Scutului de confidențialitate UE-SUA, dat fiind faptul că situația de fapt trebuie, de asemenea, să justifice convingerea că „fiecare dintre infrastructurile sau locurile vizate de supravegherea electronică este utilizat, sau este pe cale de a fi utilizat, de o putere străină sau un agent al unei puteri străine”. În orice caz, utilizarea acestei autorități necesită recurgerea la FISC care va evalua, printre altele, dacă, pe baza faptelor prezentate, există o suspiciune rezonabilă să creadă că aceasta este într-adevăr situația.

(81) 50 U.S.C. § 1842 cu § 1841(2) și secțiunea 3127 de la titlul 18. Această competență nu privește conținutul comunicațiilor, ci vizează informații cu privire la clientul sau abonatul care folosește un serviciu (cum ar fi numele, adresa, numărul de abonat, perioada/tipul de servicii primite, sursa/mecanismul de plată). Aceasta necesită o cerere de emitere a unui ordin de către FISC (sau un magistrat al SUA) și utilizarea unui anumit termen de selecție în sensul § 1841(4), și anume o clauză care identifică în mod specific o persoană, un cont etc. și care este utilizat pentru a limita, în măsura posibilului, domeniul de aplicare al informațiilor solicitate.

(82) În timp ce secțiunea 501 din FISA (fosta secțiune 215 din Legea PATRIOT a SUA) autorizează FBI să solicite un ordin judecătoresc care vizează producerea de „elemente concrete” (în special metadate telefonice, dar și documente comerciale), în scopul colectării de date operative externe, secțiunea 702 din FISA permite elementelor comunității americane a serviciilor de informații să solicite accesul la informații, inclusiv conținutul comunicațiilor pe internet, din Statele Unite, dar care vizează anumite persoane care nu sunt cetățeni americani din afara Statelor Unite.

(83) Pe baza acestei dispoziții, FBI poate solicita „elemente concrete” (de exemplu, înregistrări, documente) pe baza unei dovezi care să arate Curții de Supraveghere a Activităților Străine de Spionaj (Foreign Intelligence Surveillance Court – FISC) că există motive întemeiate să se considere că acestea sunt relevante pentru o anumită investigație efectuată de FBI. La efectuarea percheziției, FBI trebuie să utilizeze termeni de selecție aprobați de FISC pentru care există o „suspiciune rezonabilă, care poate fi formulată” că această mențiune este asociată cu una sau mai multe puteri străine sau agenții acestora implicați în terorism internațional sau activități în curs de pregătire în acest sens. A se vedea PCLOB, secțiunea 215 din Raport, p. 59; NSA CLPO, Raportul privind transparența: Punerea în aplicare a legii SUA cu privire la evidențele comerciale FISA, 15 ianuarie 2016, pp. 4-6.

(84) Declarațiile ODNI (anexa VI), p. 13 (n. 38).

(85) A se vedea nota de subsol 81.

(86) PCLOB, secțiunea 702 din Raport, p. 32-33 cu trimiteri ulterioare. În conformitate cu biroul său pentru viață privată, NSA trebuie să verifice dacă există o legătură între țintă și selector, trebuie să documenteze informațiile operative străine preconizate a fi achiziționate, aceste informații trebuie să fie revizuite și aprobate de doi analiști superiori din NSA, iar procesul global va fi urmărit pentru analize de conformitate ulterioare de către ODNI și Departamentul de Justiție. A se vedea NSA CLPO, Punerea în aplicare de către NSA a secțiunii 702 din Legea privind activitățile de colectare de informații externe, 16 aprilie 2014.

(87) PLCOB, secțiunea 702 din Raport, p. 111. A se vedea, de asemenea, Declarațiile ODNI (anexa VI), p. 9 („Colectarea în temeiul secțiunii 702 din FISA] nu este «în masă și nediferențiată», ci este strict orientată asupra colectării de informații externe de la ținte legitime identificate individual”) și pagina 13, n. 36 (cu trimitere la un aviz FISC din 2014); NSA CLPO, Punerea în aplicare de către NSA a secțiunii 702 din Legea privind activitățile de colectare de informații externe, 16 aprilie 2014. Chiar în cazul UPSTREAM, NSA poate solicita numai interceptarea comunicațiilor electronice către, dinspre sau cu privire la selectoarele cu sarcini specifice.

(88) Declarațiile ODNI (anexa VI), p. 18. A se vedea, de asemenea, p. 6, unde se menționează că procedurile aplicabile „demonstrează un angajament clar de a împiedica colectarea arbitrară și nediscriminatorie a informațiilor pe baza semnalelor electromagnetice și de a pune în aplicare – de la cele mai înalte niveluri ale administrației – principiul rezonabilității.”

(89) A se vedea Raportul de transparență privind utilizarea statistică a autorităților naționale de securitate, 22 aprilie 2015. Pentru obiectivul global al fluxului de date pe internet, a se vedea, de exemplu, Agenția pentru Drepturi Fundamentale a Uniunii Europene, Supravegherea de către serviciile de informații: garanții privind drepturile fundamentale și căile de atac în UE (2015), pp. 15-16. În ceea ce privește programul UPSTREAM, în conformitate cu un aviz declasificat al FISC din 2011, peste 90 % din comunicațiile electronice obținute în temeiul secțiunii 702 din FISA provin din programul PRISM, în timp ce mai puțin de 10 % au provenit din UPSTREAM. A se vedea FISC, Avizul memorandum, 2011 WL 10945618 (FISA Ct., 3 octombrie 2011), n. 21 (disponibil la adresa: http://www.dni.gov/files/documents/0716/October-2011-Bates-Opinion-and%20Order-20140716.pdf).

(90) A se vedea secțiunea 4(a)(ii) din PPD-28. A se vedea, de asemenea, ODNI, Protecția informațiilor cu caracter personal ale tuturor persoanelor: un raport de situație privind dezvoltarea și aplicarea procedurilor în temeiul Directivei nr. 28 privind politica prezidențială, iulie 2014, p. 5, potrivit căreia „politicile elementelor comunității serviciilor de informații ar trebui să consolideze practicile și standardele analitice existente, prin care analiștii trebuie să încerce să structureze întrebări sau alți termeni de căutare și tehnici pentru a identifica informațiile secrete relevante pentru o sarcină validă de informare sau de aplicare a legii; să concentreze întrebările despre persoane pe categorii de informații care răspund la o cerință de informații sau de aplicare a legii; și să reducă la minimum revizuirea informațiilor cu caracter personal care nu sunt pertinente pentru cerințele de informații sau de aplicare a legii.” A se vedea, de exemplu Activitățile CIA de colectare de informații pe baza semnalelor electromagnetice, p. 5; Politici și proceduri ale FBI referitoare la Directiva nr. 28 privind politica prezidențială, p. 3. În conformitate cu raportul din 2016 privind progresele realizate cu privire la reforma colectării de informații pe baza semnalelor electromagnetice, elementele comunității serviciilor de informații (inclusiv FBI, CIA și NSA) au luat măsuri de sensibilizare a personalului lor la cerințele PPD-28 prin crearea de noi politici de formare sau modificarea celor existente.

(91) Conform declarațiilor ODNI, aceste restricții se aplică indiferent dacă informațiile au fost colectate în masă sau cu o țintă precisă și indiferent de naționalitatea persoanei.

(92) A se vedea Declarațiile ODNI (anexa VI).

(93) A se vedea secțiunea 4(a)(i) din PPD-28 cu Sec 2.3 din O.E. 12333.

(94) Secțiunea 4(a)(i) din PPD-28; Declarațiile ODNI (anexa VI), p. 7. De exemplu, pentru informațiile cu caracter personal colectate în temeiul secțiunii 702 din FISA, procedurile NSA de reducere la minimum aprobate de FISC prevăd, ca regulă generală, că metadatele și conținuturile neevaluate pentru PRISM se păstrează pentru o perioadă de cel mult cinci ani, în timp ce datele UPSTREAM sunt păstrate pentru maximum doi ani. NSA respectă aceste limite de stocare printr-un proces automatizat care elimină datele colectate la sfârșitul respectivelor perioade de păstrare a datelor. A se vedea NSA secțiunea 702 din FISA Procedurile de reducere la minimum, Secțiunea 7 cu Secțiunea 6(a)(1); NSA CLPO, Punerea în aplicare de către NSA a secțiunii 702 din Legea privind supravegherea activităților străine de spionaj, 16 aprilie 2014. De asemenea, păstrarea în conformitate cu Secțiunea 501 din FISA (fosta secțiune 215 din Legea PATRIOT a SUA) este limitată la cinci ani, cu excepția cazului în care datele cu caracter personal fac parte din activități autorizate în mod corespunzător de difuzare de informații operative străine sau dacă Departamentul de Justiție recomandă NSA în scris că înregistrările sunt supuse unei obligații de păstrare în litigii pendinte sau viitoare. A se vedea NSA, CLOP, Raportul privind transparența: Punerea în aplicare a legii SUA cu privire la evidențele comerciale FISA (USA Freedom Act Business Records FISA Implementation), 15 ianuarie 2016.

(95) În special, în cazul secțiunii 501 din FISA (fosta secțiune 215 din Legea PATRIOT a SUA), diseminarea de informații cu caracter personal poate avea loc numai în scopul combaterii terorismului sau ca dovadă a unei infracțiuni; în cazul secțiunii 702 din FISA numai dacă există un scop valid legat de colectarea de informații externe sau de aplicarea legii. Cf., NSA, CLPO, Punerea în aplicare de către NSA a secțiunii 702 din Legea privind supravegherea activităților străine de spionaj, 16 aprilie 2014; Raportul privind transparența: Punerea în aplicare a legii SUA cu privire la evidențele comerciale FISA (USA Freedom Act Business Records FISA Implementation), 15 ianuarie 2016. A se vedea, de asemenea, Măsurile de protecție a libertăților civile și vieții private ale NSA pentru activitățile cu țintă precisă de colectare de informații SIGINT în temeiul Decretului 12333, 7 octombrie 2014.

(96) Declarațiile ODNI (anexa VI), p. 7 (cu trimiteri la Directiva nr. 203 privind comunitatea serviciilor de informații (Intelligence Community Directive – ICD) (203).

(97) Curtea de Justiție a clarificat faptul că securitatea națională constituie un obiectiv legitim de politică. A se vedea Schrems, punctul 88. A se vedea, de asemenea, Digital Rights Ireland și alții, punctele 42-44 și 51, în care Curtea de Justiție a considerat că lupta împotriva formelor grave de criminalitate, în special a criminalității organizate și a terorismului, poate depinde într-o mare măsură de utilizarea tehnicilor moderne de investigare. În plus, spre deosebire de anchetele penale, care vizează, în general, stabilirea retroactivă a răspunderii și a vinovăției pentru comportamente anterioare, activitățile serviciilor de informații se axează deseori pe prevenirea amenințărilor la adresa securității naționale înainte de producerea prejudiciilor. Prin urmare, astfel de anchete pot avea deseori să acopere o gamă mai largă de posibili actori („ținte”), precum și o zonă geografică mai vastă. A se vedea Curtea Europeană a Drepturilor Omului, hotărârea pronunțată în cauza Weber and Saravia/Germania din 29 iunie 2006, decizia nr. 54934/00, punctele 105-118 (cu privire la așa-numita „monitorizare strategică”).

(98) A se vedea Schrems, punctul 91 cu trimiteri suplimentare.

(99) Schrems, punctul 93.

(100) Cf. Schrems, punctul 94.

(101) ODNI, Protecția informațiilor cu caracter personal ale tuturor persoanelor: un raport de situație privind elaborarea și aplicarea procedurilor în temeiul Directivei nr. 28 privind politica prezidențială, p. 7. A se vedea, de exemplu Activitățile CIA de colectare de informații pe baza semnalelor electromagnetice, p. 6 (Conformitate); Politici și proceduri ale FBI referitoare la Directiva nr. 28 privind politica prezidențială, secțiunea III(A)(4), (B)(4); NSA, PPD-28 secțiunea 4 Proceduri, 12 ianuarie 2015, secțiunea 8.1, 8.6(c).

(102) De exemplu, NSA are peste 300 de angajați în Direcția pentru respectarea conformității. A se vedea Observațiile ODNI (anexa VI), p. 7.

(103) A se vedea mecanismul Ombudsmanului (anexa III), secțiunea 6(b) (i)-(iii).

(104) A se vedea 42 U.S.C. § 2000ee-1. Acestea includ, de exemplu, Departamentul de Stat, Departamentul de Justiție (inclusiv FBI), Departamentul pentru Securitate Internă al SUA, Departamentul Apărării, NSA, CIA și ODNI.

(105) În conformitate cu guvernul american, dacă Biroul pentru protecția vieții private și a libertăților civile al ODNI primește o plângere, acesta va coordona și cu alte elemente ale comunității serviciilor de informații cu privire la modul în care plângerea ar trebui să fie prelucrată ulterior în cadrul comunității serviciilor de informații. A se vedea mecanismul Ombudsmanului (anexa III), secțiunea 6(b) (ii).

(106) A se vedea 42 U.S.C. § 2000ee-1 (f)(1),(2).

(107) Avizul 01/2016 referitor la proiectul de decizie privind caracterul adecvat al Scutului de confidențialitate UE-SUA, emis de Grupul de lucru „Articolul 29” (adoptat la 13 aprilie 2016), p. 41.

(108) Declarațiile ODNI (anexa VI), p. 7. A se vedea, de exemplu, NSA, PPD-28 secțiunea 4 Proceduri, 12 ianuarie 2015, secțiunea 8.1; Activitățile CIA de colectare de informații pe baza semnalelor electromagnetice, p. 7. (Responsabilități).

(109) Acest inspector general (funcție creată în octombrie 2010) este desemnat de președinte, cu confirmarea Senatului, și poate fi îndepărtat numai de către președinte, nu de DNI.

(110) Acești inspectori generali au o titularizare sigură și pot fi demiși doar de către președinte, care trebuie să comunice Congresului în scris motivele care justifică o astfel de măsură. Acest lucru nu înseamnă neapărat că aceștia nu primesc deloc instrucțiuni. În unele cazuri, șeful departamentului poate interzice inspectorului general să demareze, desfășoare sau finalizeze un audit sau anchetă, în cazul în care acest lucru este considerat necesar pentru a conserva interesele naționale importante (de securitate). Cu toate acestea, Congresul trebuie să fie informat cu privire la exercitarea acestei competențe și, pe această bază, să tragă la răspundere directorul respectiv. A se vedea, de exemplu, Legea privind inspectorul general din 1978,§ 8 (IG al Departamentului Apărării); § 8E (IG al Departamentului de Justiție), § 8G (d)(2)(A),(B) (IG al NSA); 50. U.S.C. § 403q (b) (IG pentru CIA); Legea privind autorizarea serviciilor de informații pentru anul fiscal 2010, secțiunea 405 (f) (IG pentru serviciile de informații). În conformitate cu evaluarea efectuată de autoritățile naționale de protecție a datelor, inspectorii generali „ar putea îndeplini criteriul de independență organizațională, astfel cum este definit de Curtea de Justiție a Uniunii Europene și de Curtea Europeană a Drepturilor Omului (CEDO), cel puțin din momentul în care noul proces de numire li se aplică tuturor.”. A se vedea Avizul 01/2016 referitor la proiectul de decizie privind caracterul adecvat al Scutului de confidențialitate UE-SUA, emis de Grupul de lucru „Articolul 29” (adoptat la 13 aprilie 2016), p. 40.

(111) A se vedea Observațiile ODNI (anexa VI), p. 7. A se vedea, de asemenea, Legea privind inspectorii generali din 1978, astfel cum a fost modificată, Pub. L. 113-126 din 7 iulie 2014.

(112) A se vedea Legea privind inspectorii generali din 1978, § 6.

(113) A se vedea Observațiile ODNI (anexa VI), p. 7. A se vedea, de asemenea, Legea privind inspectorii generali din 1978, § § 4(5), 5. În conformitate cu secțiunea 405(b)(3),(4) din Legea privind autorizarea serviciilor de informații pentru exercițiul fiscal 2010, Pub. L. 111-259 din 7 octombrie 2010, IG pentru serviciile de informații va ține la curent DNI, precum și Congresul, cu privire la necesitatea și progresul acțiunilor corective.

(114) În conformitate cu evaluarea efectuată de autoritățile naționale de protecție a datelor, PCLOB a demonstrat, în trecut, că „dispune de competențe independente”. A se vedea Avizul 01/2016 referitor la proiectul de decizie privind caracterul adecvat al Scutului de confidențialitate UE-SUA, emis de Grupul de lucru „Articolul 29” (adoptat la 13 aprilie 2016), p. 42.

(115) În plus, PCLOB angajează aproximativ 20 de persoane în cadrul personalului obișnuit. A se vedea https://www.pclob.gov/about-us/staff.html.

(116) Acestea includ cel puțin Ministerul Justiției, Departamentul de Apărare, Departamentul pentru Securitate Internă al SUA, directorul Serviciului național de informații și Agenția Centrală de Informații, precum și orice alt departament, agenție sau element al executivului desemnate de PCLOB să fie adecvate pentru cerințele de acoperire.

(117) A se vedea 42 U.S.C. § 2000ee. A se vedea, de asemenea, mecanismul Ombudsmanului (anexa III), secțiunea 6(b) (iv). Printre altele, PCLOB trebuie să prezinte un raport atunci când o agenție din cadrul executivului refuză să urmeze avizul său.

(118) ODNI, Protecția informațiilor cu caracter personal ale tuturor persoanelor: raport de situație privind dezvoltarea și aplicarea procedurilor în temeiul Directivei nr. 28 privind politica prezidențială, p. 7-8.

(119) Id. la p. 8. A se vedea, de asemenea, Declarațiile ODNI (anexa VI), p. 9.

(120) ODNI, Protecția informațiilor cu caracter personal ale tuturor persoanelor: un raport de situație privind elaborarea și aplicarea procedurilor în temeiul Directivei nr. 28 privind politica prezidențială, p. 7. A se vedea, de exemplu, NSA, PPD-28 secțiunea 4 Proceduri, 12 ianuarie 2015, secțiunea 7.3, 8.7(c),(d); Politici și proceduri ale FBI referitoare la Directiva nr. 28 privind politica prezidențială, secțiunea III.(A)(4), (B)(4); Activitățile CIA de colectare de informații pe baza semnalelor electromagnetice, p. 6 (Conformitate) și p. 8 (Responsabilități).

(121) A se vedea O.E. 12333, secțiunea 1.6(c).

(122) PPD-28, secțiunea 4(a)(iv).

(123) A se vedea secțiunea 501(a)(1) [50 U.S.C § 413(a)(1)]. Această dispoziție conține cerințele generale în ceea ce privește supravegherea Congresului în materie de securitate națională.

(124) A se vedea secțiunea 501 (b) [50 U.S.C. § 413 (b)].

(125) A se vedea secțiunea 501 (d) [50 U.S.C. § 413 litera (d)].

(126) A se vedea 50 U.S.C. §§ 1808, 1846, 1862, 1871, 1881f.

(127) A se vedea 50 U.S.C. § 1881f.

(128) A se vedea 50 U.S.C. § 1881a(l)(1).

(129) A se vedea USA FREEDOM Act din 2015, Pub. L. nr. 114-23, Sec. 602(a). În plus, în conformitate cu secțiunea 402, „directorul Serviciului național de informații, în consultare cu procurorul general, efectuează o analiză de declasificare a fiecărei decizii, ordin sau aviz emise de Curtea de Supraveghere a Activităților Străine de Spionaj sau de Curtea de revizuire privind Supravegherea Activităților Străine de Spionaj [astfel cum sunt definite în secțiunea 601(e)] care include o construcție sau interpretarea semnificativă a unei dispoziții de drept, inclusiv orice construcție sau interpretare semnificativă sau nouă a noțiunii «termen de selecție specific» și, în concordanță cu această revizuire, pune la dispoziția publicului, în măsura posibilului, fiecare astfel de decizii sau concluzii.”

(130) Legea SUA privind libertatea, secțiunea 602(a), 603(a).

(131) Pentru anumite tipuri de supraveghere, în mod alternativ, un judecător magistrat al SUA desemnat public de către președintele Curții Supreme a Statelor Unite poate avea competența de a judeca cereri și de a pronunța ordine.

(132) FISC este alcătuită din unsprezece judecători numiți de către președintele Curții Supreme a Statelor Unite dintre judecătorii din cadrul instanțelor districtuale din SUA, care anterior au fost numiți de Președinte și confirmați de către Senat. Judecătorii, care au titularizare pe viață, pot fi demiși numai pentru motive temeinice și fac parte din FISC prin intermediul unor mandate eșalonate de șapte ani. FISA impune ca judecătorii să provină din cel puțin șapte circuite judiciare diferite din SUA. A se vedea Sec 103 din FISA [50 U.S.C. 1803 (a)]; PCLOB, secțiunea 215 din Raport, p. 174-187. Judecătorii sunt sprijiniți de funcționari cu experiență judiciară care constituie juriștii instanței respective și pregătesc o analiză juridică privind cererile de colectare. A se vedea PCLOB, secțiunea 215 din Raport, p. 178; Scrisoare din partea distinsului Reggie B. Walton, președintele completului de judecată, Curtea de Supraveghere a Activităților Străine de Spionaj a SUA, către distinsul Patrick J. Leahy, președinte al Comisiei pentru sistemul judiciar, Senatul SUA (29 iulie 2013) („Scrisoarea Walton”), p. 2-3.

(133) FISCR este formată din trei judecători numiți de către președintele Curții Supreme a Statelor Unite și provin din instanțe districtuale sau curți de apel din SUA, care servesc un termen eșalonat de șapte ani. A se vedea secțiunea 103 FISA [50 U.S.C. § 1803 (b)].

(134) A se vedea 50 U.S.C. §§ 1803 (b), 1861 a (f), 1881 a (h), 1881 a (i)(4).

(135) De exemplu, mai multe detalii factuale cu privire la ținta supravegherii, informații tehnice referitoare la metodologia de supraveghere sau asigurări cu privire la modul în care informațiile obținute vor fi utilizate și diseminate. A se vedea PCLOB, secțiunea 215 din Raport, p. 177.

(136) 50 U.S.C. §§ 1804 (a), 1801 (g).

(137) FISC poate să aprobe cererea, să solicite informații suplimentare, să stabilească necesitatea unei audieri sau să indice un posibil refuz al cererii. Pe baza acestei determinări preliminare, autoritatea publică va face cerere finală. Aceasta din urmă poate include modificări substanțiale aduse la cererea inițială pe baza observațiilor preliminare ale judecătorului. Deși o mare parte dintre cererile finale sunt aprobate de către FISC, o parte substanțială din acestea conțin modificări substanțiale aduse la cererea inițială, de exemplu, 24 % din cererile aprobate pentru perioada iulie-septembrie 2013. A se vedea PCLOB, secțiunea 215 din Raport, p. 179; Scrisoarea Walton, p. 3.

(138) PCLOB, secțiunea 215 din Raport, p. 179, n. 619.

(139) 50 U.S.C. § 1803 (i)(1),(3)(A). Aceste noi texte legislative pun în aplicare recomandările PCLOB privind instituirea unui corp de experți în domeniul vieții private și a libertăților civile, care poate servi în calitate de amicus curiae, pentru a furniza instanței argumente juridice pentru promovare a vieții private și a libertăților civile. A se vedea PCLOB, secțiunea 215 din Raport, p. 183-187.

(140) 50 U.S.C. § 1803 (i)(2)(A). Conform informațiilor prezentate de ODNI, astfel de numiri au avut deja loc. A se vedea Reforma legată de activitățile de colectare de informații pe baza semnalelor electromagnetice, raportul intermediar de activitate pentru anul 2016.

(141) 50 U.S.C. § 1803 (i)(2)(B).

(142) 50 U.S.C. § 1861

(143) 50 U.S.C. § 1861.

(144) 50 U.S.C. § 1881.

(145) 50 U.S.C. § 1881a (a).

(146) PCLOB, secțiunea 702 din Raport, p. 46.

(147) 50 U.S.C. § 1881a (h).

(148) 50 U.S.C. § 1881a (g). Potrivit PCLOB, aceste categorii au vizat în principal terorismul internațional și subiecte precum achiziționarea de arme de distrugere în masă. A se vedea PCLOB, secțiunea 702 din Raport, p. 25;

(149) PCLOB, secțiunea 702 din Raport, p. 27.

(150) 50 U.S.C. § 1881a.

(151) „Libertate și securitate într-o lume în schimbare”, raportul și recomandările Grupului de analiză al președintelui privind serviciile de informații și tehnologia comunicațiilor, 12 decembrie 2013, p. 152.

(152) 50 U.S.C.1881a (i).

(153) Norma 13 litera (b) din Regulamentul de procedură al FISC impune autorităților publice să depună o notificare scrisă în fața instanței de îndată ce descoperă că orice competență sau aprobare acordată de către Curte a fost pusă în aplicare într-un mod care nu este conform cu competența sau aprobarea sau cu legislația aplicabilă. De asemenea, aceasta impune autorităților publice să notifice în scris cu privire la faptele și circumstanțele relevante pentru o astfel de neconformitate. De regulă, guvernul va introduce o notificare finală în temeiul normei 13(a) atunci când faptele sunt cunoscute și orice operațiune de colectare neautorizată a fost eliminată. A se vedea Scrisoarea Walton, p. 10.

(154) 50 U.S.C. § 1881 (l). A se vedea, de asemenea, PCLOB, secțiunea 702 din Raport, pp. 66-76; NSA CLPO, Punerea în aplicare de către NSA a secțiunii 702 din Legea privind supravegherea activităților străine de spionaj, 16 aprilie 2014. Colectarea datelor cu caracter personal în scopuri de spionaj, conform secțiunii 702 din FISA face obiectul supravegherii interne și externe în cadrul puterii executive. Printre altele, supravegherea internă include programe de conformitate interne pentru a evalua și supraveghea respectarea procedurilor de direcționare și de reducere la minimum; raportarea incidentelor de neconformitate, atât pe plan intern, cât și extern la ODNI, Departamentul de Justiție, Congres și FISC; și revizuiri anuale trimise către aceleași organisme. În ceea ce privește controlul extern, acesta constă în principal din revizuirile în materie de direcționare și reducere la minimum efectuate de ODNI, Departamentul de Justiție și inspectori generali, care, la rândul lor, raportează Congresului și FISC, inclusiv cu privire la incidente de neconformitate. Incidentele semnificative legate de conformare trebuie raportate către FISC imediat, altele într-un raport trimestrial. A se vedea PCLOB, secțiunea 702 din Raport, p. 66-77.

(155) PCLOB, Raportul de evaluare a recomandărilor, 29 ianuarie 2015, p. 20.

(156) PCLOB, Raportul de evaluare a recomandărilor, 29 ianuarie 2015, p. 16.

(157) În plus, secțiunea 10 din Legea privind procedurile aplicabile informațiilor clasificate prevede că, în cadrul oricărei proceduri penale în care Statele Unite trebuie să demonstreze că un material constituie informații clasificate (de exemplu, deoarece necesită protecție împotriva divulgării neautorizate, din motive de securitate națională), Statele Unite informează pârâtul cu privire la părțile din material pe care acesta se așteaptă în mod rezonabil să se bazeze pentru a stabili elementul de informații clasificate al infracțiunii.

(158) A se vedea următoarele Declarații ale ODNI (anexa VI), p. 16.

(159) 18 U.S.C. § 2712.

(160) 50 U.S.C. § 1810.

(161) 50 U.S.C. § 1806.

(162) 18 U.S.C. § 1030.

(163) 18 U.S.C. §§ 2701-2712.

(164) 12 U.S.C. § 3417.

(165) Declarațiile ODNI (anexa VI), p. 17.

(166) 5 U.S.C. § 706(2)(A).

(167) 5 U.S.C. § 552. Există legi similare la nivel național.

(168) În acest caz, persoana respectivă va primi în mod normal numai un răspuns standard prin care agenția refuză să confirme sau să infirme existența unor înregistrări. A se vedea ACLU v. CIA, 710 F.3d 422 (D.C. Cir. 2014).

(169) A se vedea Observațiile ODNI (anexa VI), p. 16. Conform explicațiilor oferite, acțiunile disponibile fie necesită existența unui prejudiciu (18 USC § 2712; 50 USC § 1810), fie o dovadă că guvernul intenționează să utilizeze sau să divulge informații obținute sau derivate din supravegherea electronică a persoanei în cauză împotriva acestei persoane în cadrul unei proceduri judiciare sau administrative în Statele Unite ale Americii (50 U.S.C. § 1806). Cu toate acestea, astfel cum Curtea a subliniat în repetate rânduri, pentru a stabili existența unei ingerințe în dreptul fundamental la viață privată, nu contează dacă persoana în cauză a suferit consecințe negative din cauza acestei ingerințe. A se vedea Schrems, punctul 89 cu trimiteri suplimentare.

(170) Acest criteriu de admisibilitate rezultă din cerința „cazului sau controverselor” din Constituția SUA, articolul III.

(171) A se vedea Clapper/Amnesty Int'l USA, 133 S.Ct. 1138, 1144 (2013), În ceea ce privește utilizarea NSL, Legea SUA privind libertatea [secțiunea 502 (f) -503] prevede că cerințele de confidențialitate trebuie să fie revizuite periodic și că destinatarii scrisorilor privind securitatea națională trebuie notificați în cazul în care faptele nu mai pot justifica o cerință de confidențialitate [a se vedea Declarații ODNI (anexa VI), p. 13]. Cu toate acestea, acest lucru nu garantează faptul că persoana vizată din UE va fi informată că a făcut obiectul unei anchete.

(172) În cazul în care reclamantul urmărește să obțină acces la documentele deținute de autoritățile publice din SUA, se aplică normele și procedurile prevăzute în Legea privind libertatea de informare. Printre acestea se numără posibilitatea de a introduce o acțiune în justiție (mai degrabă decât supravegherea independentă), în cazul în care cererea este respinsă, în temeiul condițiilor prevăzute în FOIA.

(173) În conformitate cu mecanismul Ombudsmanului (anexa III), secțiunea 4 (f), Ombudsmanul pentru Scutul de confidențialitate va comunica direct cu organismul de tratare a plângerilor individuale, care, la rândul său, vor fi responsabil pentru comunicarea cu persoana care a depus cererea. În cazul în care comunicările directe fac parte din „procesele subiacente” care ar putea oferi ajutorul solicitat (de exemplu, o cerere de acces în temeiul FOIA, a se vedea secțiunea 5), aceste comunicări se vor face în conformitate cu procedurile aplicabile.

(174) A se vedea mecanismul Ombudsmanului (anexa III), secțiunea 2(a). A se vedea considerentele 0-0.

(175) A se vedea mecanismul Ombudsmanului (anexa III), secțiunea 2(c). Potrivit explicațiilor furnizate de guvernul american, PCLOB urmărește să revizuiască permanent politicile și procedurile, precum și punerea lor în aplicare, ale autorităților americane responsabile de combaterea terorismului pentru a stabili dacă acțiunile lor „protejează în mod adecvat viața privată și libertățile civile și sunt în conformitate cu legislația aplicabilă, reglementările și politicile privind viața privată și libertățile civile.” De asemenea, PCLOB „va primi și examina rapoarte și alte informații de la responsabilii pentru protecția vieții private și a libertăților civile și, după caz, va face recomandări în privința activităților lor.”

(176) A se vedea cauza Roman Zakharov/Russia, hotărârea din 4 decembrie 2015 (Marea Cameră), cererea nr. 47143/06, punctul 275 („cu toate că, în principiu, este de dorit să se încredințeze controlul unui judecător, supravegherea de către organisme care nu sunt de natură judiciară poate fi considerată compatibil cu convenția, cu condiția ca organismul de supraveghere să fie independent de autoritățile care efectuează supravegherea și să fie învestit cu competențe suficiente și eficiente de supraveghere”).

(177) A se vedea Kennedy/Regatul Unit, hotărârea din 18 mai 2010, cererea nr. 26839/05, punctul 167.

(178) Schrems, punctul 95. Astfel cum rezultă din cuprinsul punctelor 91 și 96 din hotărâre, punctul 95 se referă la nivelul de protecție garantat în ordinea juridică a Uniunii, față de care nivelul de protecție din țara terță trebuie să fie „în esență echivalent”. În conformitate cu punctele 73 și 74 din hotărâre, aceasta nu impune ca nivelul de protecție sau mijloacele utilizate de țara terță să fie identice, chiar dacă mijloacele care urmează a fi utilizate trebuie să se dovedească, în practică, eficace.

(179) În conformitate cu cel de al patrulea amendament la Constituția Statelor Unite, „[n]u se va încălca dreptul cetățenilor de a fi siguri în ceea ce privește persoanele, locuințele, documentele și efectele, împotriva perchezițiilor și sechestrelor nerezonabile, și nu se vor emite mandate fără un motiv întemeiat, susținut de jurământ sau declarație solemnă, care include în special descrierea spațiului care urmează să fie percheziționat, persoanele care urmează să fie arestate sau obiectele care urmează să fie confiscate”. Doar judecătorii (magistrații) pot emite astfel de mandate. Mandatele federale pentru copierea informațiilor stocate în format electronic sunt reglementate și prin norma 41 din Codului federal de procedură penală.

(180) În repetate rânduri, Curtea Supremă a menționat perchezițiile efectuate fără mandat ca fiind „excepționale”. A se vedea, de exemplu Johnson/United States, 333 U.S. 10, 14 (1948); McDonald/United States, 335 U.S. 451, 453 (1948); Camara/Municipal Court, 387 U.S. 523, 528-29 (1967); G.M. Leasing Corp/United States, 429 U.S. 338, 352-53, 355 (1977). În mod similar, Curtea Supremă subliniază în mod regulat că „regula constituțională cea mai elementară în acest domeniu este că perchezițiile desfășurate în afara procedurilor judiciare, fără aprobare prealabilă de către judecător sau magistrat, sunt, prin ele însele, nerezonabile în conformitate cu cel de-al patrulea amendament, sub rezerva câtorva excepții special prevăzute și bine delimitate.” A se vedea, de exemplu Coolidge/New Hampshire, 403 U.S. 443, 454-55 (1971); G.M. Leasing Corp/United States, 429 U.S. 338, 352-53, 358 (1977).

(181) City of Ontario, Cal/Quon, 130 S. Ct. 2619, 2630 (2010).

(182) PCLOB, secțiunea 215 din Raport, p. 107, care face referire la Maryland/King, 133 S. Ct. 1958, 1970 (2013).

(183) PCLOB, secțiunea 215 din Raport, p. 107, care face referire la Samson/California, 547 U.S. 843, 848 (2006).

(184) City of Ontario, Cal/Quon, 130 S. Ct. 2619, 2630 (2010), 2627.

(185) A se vedea, de ex. United Sates/Wilson, 540 F.2d 1100 (D.C. Cir. 1976).

(186) A se vedea cauza Roman Zakharov/Russia, hotărârea din 4 decembrie 2015 (Marea Cameră), cererea nr. 47143/06, punctul 269, potrivit căreia „obligația de a prezenta o autorizare a interceptării comunicațiilor către prestatorul de servicii înainte de a obține accesul la comunicațiile unei persoane reprezintă una dintre măsurile importante de protecție împotriva abuzurilor comise de către autoritățile de aplicare a legii, asigurând faptul că se obține o autorizație adecvată în toate cazurile de interceptare.”

(187) Declarațiile Departamentului de Justiție (DOJ) (anexa VII), p. 4, cu trimiteri suplimentare.

(188) Declarațiile Departamentului de Justiție (DOJ) (anexa VII), n. 2.

(189) În conformitate cu informațiile primite de către Comisie și lăsând la o parte anumite domenii care nu sunt relevante pentru transferurile de date în temeiul Scutului de confidențialitate UE-SUA (de exemplu, investigațiile privind fraudele în domeniul sănătății, abuzurile asupra copiilor sau substanțe reglementate) se referă, în special, la anumite autorități în temeiul Legii privind confidențialitatea comunicațiilor electronice (Electronic Communications Privacy Act – ECPA), și anume cererile de informații de bază referitoare la abonați, sesiuni de conectare și facturare [18 U.S.C. § 2703 (c) (1), (2)], de ex. adresa, tipul/durata serviciului și pentru conținutul e-mailurilor mai vechi de 180 zile [18 U.S.C § 2703 (b)]. Însă, în al doilea caz, persoana în cauză trebuie să fie notificată și, astfel, are posibilitatea de a contesta cererea în instanță. A se vedea, de asemenea, rezumatul din documentul Ministerului Justiției intitulat Searching and Seizing Computers and Obtaining Electronic Evidence in Criminal Investigations, Ch. 3: The Stored Communications Act, pp. 115138.

(190) Potrivit declarațiilor guvernului american, destinatarii unor citații administrative le pot contesta în instanță, pe motiv că acestea nu sunt rezonabile, și anume sunt excesiv de cuprinzătoare, abuzive sau împovărătoare. A se vedea Departamentul de Justiție (DOJ) (anexa VII), p. 2.

(191) 5 U.S.C. § 702.

(192) În general, doar acțiunea „finală” a agenției, mai degrabă decât „acțiunea preliminară, procedurală sau intermediară” a agenției, face obiectul unui control jurisdicțional. A se vedea 5 U.S.C. § 704.

(193) 5 U.S.C. § 706(2)(A).

(194) 18 U.S.C. §§ 2701-2712.

(195) ECPA protejează comunicațiile deținute de două categorii distincte de furnizori de servicii de rețea, și anume furnizorii de: (i) servicii de comunicații electronice, de exemplu telefonie sau e-mail; (ii) servicii informatice la distanță, cum ar fi serviciile informatice de stocare sau de prelucrare.

(196) Aceste excluderi sunt totuși încadrate. De exemplu, în conformitate cu punctul 5 U.S.C. § 552 (b) (7), drepturile prevăzute de FOIA sunt excluse în cazul „înregistrărilor sau informațiilor culese în scopul aplicării legii, însă numai în măsura în care prezentarea unor astfel de înregistrări sau informații referitoare la aplicarea legii: (A) ar risca în mod rezonabil să interfereze cu procedurile de executare; (B) ar priva o persoană de dreptul la un proces echitabil sau la o judecată imparțială; (C) ar putea constitui în mod rezonabil o încălcare nejustificată a vieții private; (D) ar putea în mod rezonabil să ducă la divulgarea identității unei surse confidențiale, inclusiv o agenție sau autoritate statală, locală sau străină sau orice instituție privată care furnizează informații în mod confidențial și, în cazul unei înregistrări sau al unor informații culese de autoritatea de aplicare a legii penale în cursul unei anchete penale sau de către o agenție care efectuează o anchetă de securitate națională, a informațiilor furnizate de o sursă confidențială, (E) ar dezvălui tehnici și proceduri referitoare la anchete sau urmăriri penale sau ar divulga orientările referitoare la anchete sau urmăriri penale în materie de aplicare a legii, în cazul în care o astfel de divulgare ar putea conduce în mod rezonabil la riscul eludării legii; sau (F) s-ar putea prevede în mod rezonabil că pune în pericol viața sau siguranța fizică a oricărei persoane. De asemenea, [o]ri de câte ori este prezentată o cerere care implică accesul la înregistrări [a căror prezentare ar putea duce în mod rezonabil la interferențe cu procedurile de aplicare a legii] și: (A) ancheta sau procedura implică o posibilă încălcare a dreptului penal; și (B), există motive să se creadă că: (i) persoana care face obiectul investigației sau al procedurii nu are cunoștință de desfășurarea acesteia; și (ii) divulgarea existenței înregistrărilor ar putea conduce în mod rezonabil la interferențe cu procedura de executare, Agenția poate, numai atât timp cât această împrejurare continuă, să trateze documentele ca nefăcând obiectul cerințelor prezentei secțiuni.” [5 U.S.C. § 552 (c)(1)].

(197) 18 U.S.C. §§ 2510 et seq. În temeiul Legii privind interceptarea convorbirilor telefonice (Wiretap Act – 18 U.S.C. § 2520) o persoană ale cărei comunicații telefonice, orale sau electronice sunt interceptate, divulgate sau utilizate în mod intenționat poate intenta o acțiune civilă pe motive de încălcare a acestei legi, inclusiv, în anumite circumstanțe, împotriva unei funcționar guvernamental sau a Statelor Unite ale Americii. Pentru colectarea de informații privind adresarea și a altor informații care nu sunt legate de conținut (de exemplu, adresa IP, emailurile trimise/primite), a se vedea, de asemenea, secțiunea consacrată dispozitivelor de interceptare a convorbirilor (pen registers) și de capturare și trasabilitate (trap and traces) de la titlul 18 (18 U.S.C. §§ 3121-3127 și, pentru acțiunile civile, § 2707)..

(198) 18 U.S.C. § 1030. În conformitate cu Legea privind fraudele și abuzurile informatice, o persoană poate introduce o acțiune în justiție împotriva oricărei persoane în ceea ce privește accesul neautorizat intenționat (sau depășirea accesului autorizat) pentru obținerea de informații de la o instituție financiară, un sistem informatic al Guvernul Statelor Unite sau un alt computer, inclusiv, în anumite circumstanțe, împotriva unui funcționar.

(199) 28 U.S.C. §§ 2671 et seq. În temeiul Legii federale privind acțiunile în răspundere civilă (Federal Tort Claims Act), o persoană poate introduce o acțiune, în anumite condiții, împotriva Statelor Unite ale Americii cu privire la „neglijența sau acțiunea greșită ori omisiunea oricărui angajat al guvernului care a acționat în domeniul de aplicare al mandatului sau al contractului său de muncă.”

(200) 12 U.S.C. § § 3401 și urm.). În conformitate cu Legea privind dreptul la confidențialitate financiară (Right to Financial Privacy Act), o persoană poate introduce o acțiune în justiție, în anumite condiții, împotriva Statelor Unite ale Americii cu privire la obținerea sau divulgarea, prin încălcarea legii, a evidențelor financiare protejate. Accesul guvernului la date financiare protejate este, în general, interzis, cu excepția cazului în care guvernul adresează cererea sub rezerva unei citații sau a unui mandat de percheziție sau, sub rezerva limitărilor, printr-o cerere oficială scrisă, cu condiția ca persoana ale cărei informații sunt solicitate să primească o notificare cu privire la această solicitare.

(201) 15 U.S.C. §§ 1681-1681x. În temeiul Legii privind imparțialitatea rapoartelor privind solvabilitatea creditorilor (Fair Credit Reporting Act), o persoană poate introduce o acțiune împotriva oricărei persoane care nu respectă cerințele (în special necesitatea unei autorizații legale) în ceea ce privește colectarea, difuzarea și utilizarea rapoartelor privind creditul de consum sau, în anumite condiții, împotriva unei agenții guvernamentale.

(202) Curtea de Justiție a recunoscut faptul că securitatea națională constituie un obiectiv legitim de politică. A se vedea cauzele conexate C-293/12 și C-594/12, Digital Rights Ireland și alții, EU:C:2014:238, punctul 42; A se vedea, de asemenea, articolul 8 alineatul (2) din CEDO și hotărârea pronunțată de CEDO în cauza Weber și Saravia/Germania, cererea nr. 54934/00, punctul 104.

(203) Schrems, punctele 40 și urm., 101-103.

(204) Schrems, punctele 51, 52 și 62.

(205) Schrems, punctul 65.

(206) Schrems, punctul 76.

(207) Începând cu data aplicării Regulamentului general privind protecția datelor, Comisia va face uz de prerogativele sale pentru a adopta, din motive imperioase de urgență justificate corespunzător, un act de punere în aplicare a suspendării prezentei decizii care se aplică imediat, fără prezentarea sa prealabilă comitetului de comitologie relevant și rămâne în vigoare pentru o perioadă care nu depășește șase luni.

(208) Avizul 01/2016 referitor la Proiectul de decizie privind caracterul adecvat al Scutului de confidențialitate UE-SUA, publicat la 13 aprilie 2016.

(209) Rezoluția Parlamentului European din 26 mai 2016 referitoare la fluxurile transatlantice de date [(2016/2727 (RSP)].

(2) Capitolul 2 din Federal Arbitration Act („FAA”) prevede că „[u]n acord de arbitraj sau o hotărâre arbitrală care decurge dintr-o relație juridică, contractuală sau nu, care este considerată comercială, inclusiv o tranzacție, contract sau acord descrise în [secțiunea 2 din FAA], intră în sfera de aplicare a Convenției [privind recunoașterea și aplicarea hotărârilor arbitrale străine, din 10 iunie 1958, 21 U.S.T. 2519, T.I.A.S. nr. 6997 («Convenția de la New York»).” 9 U.S.C. § 202. De asemenea, FAA prevede că, „[u]n acord sau o hotărâre arbitrală care decurge dintr-o astfel de relație care este doar între cetățenii Statelor Unite se consideră că nu intră în domeniul de aplicare al Convenției [de la New York], cu excepția cazului în care această relație implică bunuri aflate în străinătate, prevede executarea sau aplicarea în străinătate sau are o altă relație cu unul sau mai multe state terțe.”Id. În conformitate cu capitolul 2, „orice parte la arbitraj poate apela la orice instanță care are competență în temeiul prezentului capitol pentru o ordonanță prin care se confirmă hotărârea împotriva oricărei alte părți la arbitraj. Instanța confirmă hotărârea, cu excepția cazului în care constată că unul dintre motivele de refuz sau de amânare a recunoașterii sau a executării hotărârii este specificat în Convenția [de la New York] menționată.”Id., § 207 (g). Capitolul 2 prevede în continuare că „[i]nstanțele districtuale din Statele Unite. .. au jurisdicția inițială asupra. .. unei acțiuni sau proceduri [în temeiul Convenției de la New York], indiferent de suma în litigiu.”Id. § 203.

O persoană poate iniția un arbitraj obligatoriu, sub rezerva îndeplinirii dispoziției privind cerințele anterioare arbitrajului de mai sus, prin transmiterea unei „notificări” organizației. Notificarea trebuie să conțină un rezumat al măsurilor luate în conformitate cu punctul C pentru soluționarea cererii, o descriere a presupusei încălcări și, la alegerea persoanei, toate documentele și materialele justificative și/sau o discuție pe marginea legislației referitoare la presupusa încălcare.

Această opțiune de arbitraj nu poate fi invocată în cazul în care aceeași acuzație de încălcare a principiilor a unei persoane (1) a făcut deja obiectul unui arbitraj obligatoriu; (2) a făcut obiectul unei hotărâri cu caracter definitiv într-o acțiune judiciară la care persoana a fost parte; sau (3) a fost soluționată de părți. În plus, această opțiune nu poate fi invocată în cazul în care o autoritate pentru protecția datelor din UE Autoritatea (1) are competență în temeiul secțiunilor III.5 sau III.9 din principii; sau (2) are competența de a soluționa presupusa încălcare în mod direct cu organizația. Competența unei APD de a soluționa aceeași plângere împotriva unui operator de date din UE nu se opune invocării opțiunii de arbitraj împotriva unei entități juridice diferite care nu intră sub jurisdicția autorității pentru protecția datelor.

în mod permanent, atunci când o organizație: (a) se retrage de la participarea la Scutul de confidențialitate; (b) nu își recertifică aderarea la principii; sau (c) este eliminată ca participant la Scutul de confidențialitate, în special pentru „nerespectare repetată a principiilor”, acesta se angajează, din oficiu, să verifice dacă organizația a eliminat din orice trimiteri relevante la politica de confidențialitate publicată orice trimiteri la Scutul de confidențialitate care implică faptul că organizația continuă să participe activ la Scutul de confidențialitate și are dreptul la beneficiile acestuia. În cazul în care constată că astfel de trimiteri nu au fost eliminate, Departamentul va avertiza organizația că acesta va sesiza, după caz, problemele agenției relevante pentru posibile măsuri de asigurare a respectării dacă organizația continuă să pretindă certificarea Scutului de confidențialitate. În cazul în care organizația nu elimină trimiterile, nici nu autocertifică conformitatea acesteia cu Scutul de confidențialitate, Departamentul va sesiza problema, din oficiu, la FTC, Departamentul Transporturilor sau o altă agenție adecvată de asigurare a respectării sau, în anumite cazuri, va lua măsuri pentru a aplica marca de certificare a Scutului de confidențialitate;

Am colaborat cu Comisia pentru a dezvolta Scutul de confidențialitate în scopul de a permite organizațiilor stabilite în Statele Unite să respecte cerințele de adecvare pentru protecția datelor în temeiul dreptului UE. Noul cadru va aduce o serie de beneficii importante atât pentru cetățeni, cât și pentru întreprinderi. În primul rând, acesta oferă un set important de măsuri de protecție a vieții private în ceea ce privește datele cetățenilor UE. Acesta presupune ca organizațiile americane participante să elaboreze o politică de confidențialitate, să își asume public angajamentul de a respecta principiile privind Scutul de confidențialitate, astfel încât angajamentul să devină executoriu în temeiul legislației SUA, să recertifice anual respectarea principiilor printr-o scrisoare adresată Departamentului, să ofere mecanisme independente gratuite de soluționare a litigiilor persoanelor din UE și să se afle sub autoritatea Comisiei Federale pentru Comerț din SUA („FTC”), a Departamentului Transporturilor („DOT”) sau a altei agenții de punere în aplicare. În al doilea rând, Scutul de confidențialitate va permite ca mii de societăți din Statele Unite și filiale ale societăților europene în Statele Unite ale Americii să primească date cu caracter personal din Uniunea Europeană pentru a facilita fluxurile de date care sprijină comerțul transatlantic. Relația economică transatlantică este deja cea mai mare din lume, reprezentând jumătate din producția economică globală și aproape o mie de miliarde de dolari în comerțul cu bunuri și servicii, susținând milioane de locuri de muncă pe ambele maluri ale Atlanticului. Întreprinderile care se bazează pe fluxurile transatlantice de date provin din toate sectoarele industriei și includ societăți importante din clasamentul Fortune 500, precum și numeroase întreprinderi mici și mijlocii (IMM-uri). Fluxurile transatlantice de date permit organizațiilor din Statele Unite ale Americii să prelucreze datele necesare pentru a oferi bunuri, servicii și oportunități de ocupare a forței de muncă cetățenilor europeni. Scutul de confidențialitate sprijină principiile comune de confidențialitate, eliminând diferențele dintre abordările noastre juridice, promovând în același timp obiectivele economice și comerciale, atât din Europa, cât și din Statele Unite.

(2) Capitolul 2 din Federal Arbitration Act („FAA”) prevede că „[u]n acord de arbitraj sau o hotărâre arbitrală care decurge dintr-o relație juridică, contractuală sau nu, care este considerată comercială, inclusiv o tranzacție, contract sau acord descrise în [secțiunea 2 din FAA], intră în sfera de aplicare a Convenției [privind recunoașterea și aplicarea hotărârilor arbitrale străine, din 10 iunie 1958, 21 U.S.T. 2519, T.I.A.S. nr. 6997 («Convenția de la New York»).” 9 U.S.C. § 202. De asemenea, FAA prevede că, „[u]n acord sau o hotărâre arbitrală care decurge dintr-o astfel de relație care este doar între cetățenii Statelor Unite se consideră că nu intră în domeniul de aplicare al Convenției [de la New York], cu excepția cazului în care această relație implică bunuri aflate în străinătate, prevede executarea sau aplicarea în străinătate sau are o altă relație cu unul sau mai multe state terțe.”Id. În conformitate cu capitolul 2, „orice parte la arbitraj poate apela la orice instanță care are competență în temeiul prezentului capitol pentru o ordonanță prin care se confirmă hotărârea împotriva oricărei alte părți la arbitraj. Instanța confirmă hotărârea, cu excepția cazului în care constată că unul dintre motivele de refuz sau de amânare a recunoașterii sau a executării hotărârii este specificat în Convenția [de la New York] menționată.”Id. § 207. Capitolul 2 prevede în continuare că „[i]nstanțele districtuale din Statele Unite. .. au jurisdicția inițială asupra. .. unei acțiuni sau proceduri [în temeiul Convenției de la New York], indiferent de suma în litigiu.”Id. § 203.

O persoană poate iniția un arbitraj obligatoriu, sub rezerva îndeplinirii dispoziției privind cerințele anterioare arbitrajului de mai sus, prin transmiterea unei „notificări” organizației. Notificarea trebuie să conțină un rezumat al măsurilor luate în conformitate cu punctul C pentru soluționarea cererii, o descriere a presupusei încălcări și, la alegerea persoanei, toate documentele și materialele justificative și/sau o discuție pe marginea legislației referitoare la presupusa încălcare.

Această opțiune de arbitraj nu poate fi invocată în cazul în care aceeași acuzație de încălcare a principiilor a unei persoane (1) a făcut deja obiectul unui arbitraj obligatoriu; (2) a făcut obiectul unei hotărâri cu caracter definitiv într-o acțiune judiciară la care persoana a fost parte; sau (3) a fost soluționată de părți. În plus, această opțiune nu poate fi invocată în cazul în care o autoritate pentru protecția datelor din UE (1) are competență în temeiul secțiunilor III.5 sau III.9 din principii; sau (2) are competența de a soluționa presupusa încălcare în mod direct cu organizația. Competența unei APD de a soluționa aceeași plângere împotriva unui operator de date din UE nu se opune invocării opțiunii de arbitraj împotriva unei entități juridice diferite care nu intră sub jurisdicția autorității pentru protecția datelor.

c. Pentru a asigura respectarea angajamentelor asumate în temeiul Scutului de confidențialitate și pentru a sprijini gestionarea programului, organizațiile, precum și mecanismele independente de recurs ale acestora trebuie să furnizeze informații cu privire la Scutul de confidențialitate atunci când acestea sunt solicitate de către Departament. În plus, organizațiile trebuie să răspundă rapid plângerilor privind respectarea principiilor, transmise prin intermediul Departamentului de către APD. Răspunsul ar trebui să stabilească dacă plângerea este justificată și, în caz afirmativ, modul în care organizația va remedia problema. Departamentul va proteja confidențialitatea informațiilor pe care le primește în conformitate cu legislația SUA.

O persoană are dreptul de a obține confirmarea dacă o organizație deține date cu caracter personal care o privesc. De asemenea, o persoană are dreptul de a-i fi comunicate datele cu caracter personal care o privesc. O organizație poate solicita o taxă care nu este excesivă.

(3) În acest context, „posibile derogări viitoare” se referă la un transfer sau transferuri comerciale care au loc în una dintre următoarele condiții, în măsura în care condițiile constituie rațiuni legitime pentru transferurile de date cu caracter personal din UE către SUA: (a) persoana vizată și-a exprimat în mod explicit acordul cu privire la transferul propus, după ce a fost informată cu privire la riscurile acestor transferuri pentru persoanele vizate în lipsa unei decizii privind caracterul adecvat al nivelului de protecție și a garanțiilor corespunzătoare; sau (b) transferul este necesar în vederea protejării intereselor vitale ale persoanei vizate sau ale altor persoane, atunci când persoana vizată nu are capacitatea fizică sau juridică de a-și exprima acordul; sau (c) în cazul unui transfer către o țară terță sau o organizație internațională și atunci când nu este aplicabilă niciuna dintre celelalte derogări sau eventuale derogări viitoare nu este aplicabilă, numai în cazul în care transferul nu este repetitiv, se referă doar la un număr limitat de persoane vizate, este imperios necesar pentru realizarea interesului legitim urmărit de operator care să nu prejudicieze interesele sau drepturile și libertățile persoanei vizate și atunci când operatorul a evaluat toate circumstanțele aferente transferului de date și, pe baza acestei evaluări, a prezentat garanții corespunzătoare în ceea ce privește protecția datelor cu caracter personal.

Biroului inspectorului general (Office of the Inspector General – OIG) din cadrul Departamentului de Justiție al SUA (DOJ) este o entitate independentă creată din punct de vedere statutar a cărei misiune este detectarea și descurajarea risipei, a fraudei, a abuzurilor și abaterilor în cadrul programelor Departamentului de Justiție (DOJ) și în cazul personalului acestuia, precum și promovarea economiei și eficienței acestor programe. OIG investighează presupusele încălcări ale legislației civile și penale de către angajați DOJ și efectuează, de asemenea, audituri și inspecții ale programelor DOJ. OIG are competența de a examina toate reclamațiile de conduită necorespunzătoare înaintate împotriva Departamentului de Justiție, inclusiv Biroul Fede