SK Úradný vestník Európskej únie L 207/1

VYKONÁVACIE ROZHODNUTIE KOMISIE (EÚ) 2016/1250

z 12. júla 2016

podľa smernice Európskeho parlamentu a Rady 95/46/ES o primeranosti ochrany poskytovanej štítom na ochranu osobných údajov medzi EÚ a USA

[oznámené pod číslom C(2016) 4176]

(Text s významom pre EHP)

EURÓPSKA KOMISIA,

so zreteľom na Zmluvu o fungovaní Európskej únie,

so zreteľom na smernicu Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (1), a najmä na jej článok 25 ods. 6,

po porade s európskym dozorným úradníkom pre ochranu údajov (2),

1. ÚVOD

(1) V smernici 95/46/ES sú stanovené pravidlá pre prenosy osobných údajov z členských štátov do tretích krajín do tej miery, v akej tieto prenosy patria do jej rozsahu pôsobnosti.

(2) Článok 1 smernice 95/46/ES a odôvodnenia 2 a 10 jej preambuly majú za cieľ zabezpečiť nielen účinnú a úplnú ochranu základných práv a slobôd fyzických osôb, najmä základného práva na rešpektovanie súkromného života s ohľadom na spracovanie osobných údajov, ale aj vysokú úroveň ochrany týchto základných práv a slobôd (3).

(3) Význam základného práva na rešpektovanie súkromného života zaručeného článkom 7 a základného práva na ochranu osobných údajov zaručeného článkom 8 Charty základných práv Európskej únie sa zdôrazňuje aj v judikatúre Súdneho dvora (4).

(4) Podľa článku 25 ods. 1 smernice 95/46/ES sú členské štáty povinné zabezpečiť, aby sa prenos osobných údajov do tretej krajiny mohol uskutočniť len vtedy, ak príslušná tretia krajina zaistí primeranú úroveň ochrany a ak sú pred prenosom údajov dodržané právne predpisy členských štátov, ktorými sa vykonávajú iné ustanovenia uvedenej smernice. Komisia môže konštatovať, že tretia krajina zabezpečuje túto primeranú úroveň ochrany z dôvodu svojho vnútroštátneho práva alebo medzinárodných záväzkov, ktoré prijala v záujme ochrany práv fyzických osôb. V takom prípade a bez toho, aby tým bolo dotknuté dodržiavanie vnútroštátnych ustanovení prijatých podľa iných ustanovení tejto smernice, sa osobné údaje môžu preniesť z členských štátov bez toho, aby boli potrebné dodatočné záruky.

(5) Podľa článku 25 ods. 2 smernice 95/46/ES by sa úroveň ochrany údajov, ktorú poskytuje tretia krajina, mala hodnotiť s ohľadom na všetky okolnosti týkajúce sa operácie prenosu údajov alebo súboru operácií prenosu údajov vrátane všeobecných a odvetvových právnych noriem platných v danej tretej krajine.

(6) V rozhodnutí Komisie 2000/520/ES (5) sa na účely článku 25 ods. 2 smernice 95/46/ES „zásady bezpečného prístavu“ uplatňované v súlade s usmerneniami, ktoré boli poskytnuté prostredníctvom tzv. „často kladených otázok“ vydaných Ministerstvom obchodu USA, považovali za zabezpečujúce primeranú úroveň ochrany osobných údajov prenášaných z Únie organizáciám so sídlom v USA.

(7) Komisia vo svojich oznámeniach COM(2013) 846 final (6) a COM(2013) 847 final z 27. novembra 2013 (7) usúdila, že je nutné preskúmať samotný základ systému bezpečného prístavu a posilniť ho s ohľadom na viacero faktorov vrátane exponenciálneho nárastu tokov údajov a ich rozhodujúceho významu pre transatlantické hospodárstvo, rýchleho rastu počtu spoločností z USA, ktoré dodržiavajú systém bezpečného prístavu, a nových informácií o rozsahu a zameraní niektorých spravodajských programov USA, ktoré vyvolávajú otázky v súvislosti s úrovňou ochrany, ktorú dokážu USA zaručiť. Komisia okrem toho v systéme bezpečného prístavu identifikovala niekoľko nedostatkov.

(8) Na základe dôkazov zhromaždených Komisiou vrátane informácií vyplývajúcich z práce kontaktnej skupiny EÚ – USA v oblasti ochrany súkromia (8) a informácií o spravodajských programoch USA zhromaždených v rámci ad hoc pracovnej skupiny EÚ – USA (9) Komisia sformulovala 13 odporúčaní na preskúmanie systému bezpečného prístavu. Tieto odporúčania boli zamerané na posilnenie základných zásad ochrany súkromia, zvýšenie transparentnosti podmienok ochrany súkromia spoločností v USA, ktoré osvedčili svoje dodržiavanie zásad, lepší dohľad nad dodržiavaním týchto zásad, jeho monitorovanie a presadzovanie zo strany orgánov USA, dostupnosť cenovo dostupných mechanizmov riešenia sporov a potrebu zabezpečiť, aby bolo používanie výnimky týkajúcej sa národnej bezpečnosti stanovenej v rozhodnutí 2000/520/ES obmedzené na nevyhnutne potrebnú a primeranú mieru.

(9) Súdny dvor Európskej únie vo svojom rozsudku zo 6. októbra 2015 vo veci C-362/14, Maximillian Schrems/Data Protection Commissioner (10) vyhlásil rozhodnutie 2000/520/ES za neplatné. Súd bez posúdenia obsahu zásad bezpečného prístavu konštatoval, že Komisia v tomto rozhodnutí neuviedla, že USA naozaj „zaisťujú“ primeranú úroveň ochrany z dôvodu svojho vnútroštátneho práva alebo medzinárodných dohôd, ktoré podpísali (11).

(10) V tejto súvislosti Súdny dvor vysvetlil, že hoci pojem „adekvátna úroveň ochrany“ v článku 25 ods. 6 smernice 95/46/ES neznamená úroveň ochrany rovnocennú úrovni ochrany zaručenej právnym poriadkom EÚ, musí sa chápať v tom zmysle, že vyžaduje, aby táto tretia krajina zabezpečila úroveň ochrany základných práv a slobôd, ktorá je „v podstate rovnocenná“ úrovni ochrany zaručenej v rámci Únie na základe smernice 95/46/ES vykladanej v duchu Charty základných práv. Aj keď prostriedky, ktoré v tomto ohľade využíva táto tretia krajina, môžu byť rozdielne od tých, ktoré sa využívajú v rámci Únie, tieto prostriedky musia byť v praxi efektívne (12).

(11) Súdny dvor kritizoval neexistenciu dostatočných zistení v rozhodnutí 2000/520/ES, čo sa týka existencie pravidiel štátnej povahy v USA, ktorých cieľom by bolo obmedzenie prípadných zásahov do základných práv osôb, ktorých údaje sa prenášajú z Únie do USA, teda zásahov, ktoré by subjekty verejnej moci tejto krajiny boli oprávnené uskutočniť v rámci sledovania legitímnych cieľov, akým je napríklad národná bezpečnosť, ako aj existencie účinnej právnej ochrany pred zásahmi tohto druhu (13).

(12) V roku 2014 Komisia začala rokovať s orgánmi USA s cieľom prediskutovať posilnenie systému bezpečného prístavu v súlade s 13 odporúčaniami uvedenými v oznámení COM(2013) 847 final. Po rozsudku Súdneho dvora Európskej únie vo veci Schrems sa tieto rozhovory ešte zintenzívnili s cieľom dospieť k možnému novému rozhodnutiu o primeranosti, ktoré by spĺňalo požiadavky článku 25 smernice 95/46/ES podľa výkladu Súdneho dvora. Výsledkom týchto diskusií sú dokumenty, ktoré sú pripojené k tomuto rozhodnutiu a budú uverejnené aj vo Federálnom registri USA. Zásady ochrany súkromia (príloha II) spolu s oficiálnymi vyhláseniami a záväzkami rôznych orgánov USA, ktoré sa nachádzajú v dokumentoch v prílohách I, III až VII, tvoria „štít na ochranu osobných údajov medzi EÚ a USA“.

(13) Komisia dôkladne analyzovala zákony a prax v USA vrátane týchto oficiálnych vyhlásení a záväzkov. Na základe zistení uvedených v odôvodneniach 136 – 140 Komisia dospela k záveru, že USA zaisťujú primeranú úroveň ochrany osobných údajov prenášaných v rámci štítu na ochranu osobných údajov medzi EÚ a USA z Únie organizáciám v USA, ktoré osvedčili svoje dodržiavanie zásad štítu.

2. „ŠTÍT NA OCHRANU OSOBNÝCH ÚDAJOV MEDZI EÚ a USA“

(14) Štít na ochranu osobných údajov medzi EÚ a USA je založený na systéme osvedčení samotnými spoločnosťami, v rámci ktorého sa organizácie v USA zaviažu dodržiavať súbor zásad ochrany súkromia – rámcových zásad štítu na ochranu osobných údajov medzi EÚ a USA vrátane doplnkových zásad (ďalej spoločne: „zásady“) – vydaných Ministerstvom obchodu USA, ktoré sú uvedené v prílohe II k tomuto rozhodnutiu. Vzťahuje sa na prevádzkovateľov aj spracovateľov (zástupcov), pričom osobitosť spočíva v tom, že spracovatelia sa musia zmluvne zaviazať, že budú konať len na pokyny prevádzkovateľa z EÚ a pomáhať mu pri odpovedaní fyzickým osobám, ktoré si uplatnia svoje práva v zmysle zásad (14).

(15) Bez toho, aby bolo dotknuté dodržiavanie vnútroštátnych ustanovení prijatých podľa smernice 95/46/ES, má toto rozhodnutie za následok, že sa povoľujú prenosy od prevádzkovateľa alebo spracovateľa v Únii organizáciám v USA, ktoré ministerstvu obchodu osvedčili svoje dodržiavanie zásad a zaviazali sa k ich dodržiavaniu. Zásady sa vzťahujú výlučne na spracovanie osobných údajov zo strany organizácie v USA, pokiaľ spracovanie zo strany takýchto organizácií nepatrí do rozsahu pôsobnosti právnych predpisov Únie (15). Štít na ochranu osobných údajov nemá vplyv na uplatňovanie právnych predpisov Únie, ktorými sa upravuje spracovanie osobných údajov v členských štátoch (16).

(16) Ochrana, ktorá sa osobným údajom poskytuje v rámci štítu na ochranu osobných údajov, sa vzťahuje na každú dotknutú osobu z EÚ (17), ktorej osobné údaje boli prenesené z Únie organizáciám v USA, ktoré ministerstvu obchodu osvedčili svoje dodržiavanie zásad.

(17) Zásady sa uplatňujú ihneď po osvedčení. Jedna výnimka sa týka zásady zodpovednosti za ďalší prenos v prípade, že organizácia, ktorá osvedčuje svoje dodržiavanie zásad štítu na ochranu osobných údajov, už má predchádzajúce obchodné vzťahy s tretími stranami. Vzhľadom na skutočnosť, že zosúladenie týchto obchodných vzťahov s pravidlami platnými v zmysle zásady zodpovednosti za ďalší prenos môže trvať istý čas, organizácia bude povinná to urobiť čo najskôr a v každom prípade najneskôr deväť mesiacov po poskytnutí osvedčenia (za predpokladu, že k tomu dôjde v prvých dvoch mesiacoch po dni, keď štít na ochranu osobných údajov nadobudne platnosť). Organizácia musí počas tohto prechodného obdobia uplatňovať zásadu oznámenia a možnosti voľby (teda umožniť dotknutej osobe z EÚ vyjadriť nesúhlas) a, ak sa osobné údaje prenášajú tretej strane konajúcej ako zástupca, musí zaistiť, aby zástupca zabezpečil aspoň rovnakú úroveň ochrany, aká sa požaduje v zásadách (18). Týmto prechodným obdobím sa zabezpečuje odôvodnená a primeraná rovnováha medzi dodržiavaním základného práva na ochranu osobných údajov a oprávnenými potrebami podnikov získať dostatočný čas na prispôsobenie sa novému rámcu, pričom to závisí aj od ich obchodných vzťahov s tretími stranami.

(18) Tento systém bude spravovať a monitorovať ministerstvo obchodu na základe svojich záväzkov stanovených vo vyhláseniach ministra obchodu USA (príloha I k tomuto rozhodnutiu). Pokiaľ ide o presadzovanie zásad, Federálna obchodná komisia (Federal Trade Commission – FTC) a ministerstvo dopravy vydali vyhlásenia, ktoré sú uvedené v prílohe IV a prílohe V k tomuto rozhodnutiu.

2.1. Zásady ochrany súkromia

(19) V rámci osvedčenia na základe štítu na ochranu osobných údajov medzi EÚ a USA sa organizácie musia zaviazať k dodržiavaniu zásad (19).

(20) Podľa zásady oznámenia sú organizácie povinné poskytnúť dotknutým osobám informácie o niekoľkých kľúčových prvkoch týkajúcich sa spracovania ich osobných údajov (napr. o druhu zhromaždených údajov, účele spracovania, práve na prístup a voľbu, podmienkach ďalších prenosov a zodpovednosti). Uplatňujú sa aj ďalšie záruky, najmä požiadavka, aby organizácie zverejňovali svoje podmienky ochrany súkromia (ktoré odzrkadľujú zásady) a aby uvádzali odkazy na webové sídlo ministerstva obchodu (s ďalšími podrobnosťami o osvedčovaní, právach dotknutých osôb a dostupných opravných mechanizmoch), zoznam organizácií zapojených do štítu na ochranu osobných údajov (uvedený v odôvodnení 30) a webové sídlo príslušného poskytovateľa alternatívneho riešenia sporov.

(21) Podľa zásady integrity údajov a obmedzenia účelu musia byť osobné údaje obmedzené na to, čo je relevantné na účely spracovania, spoľahlivé na svoje určené použitie, presné, úplné a aktuálne. Organizácia nesmie spracúvať osobné údaje spôsobom, ktorý je nezlučiteľný s účelom, na ktorý boli pôvodne zhromaždené alebo ktorý bol následne schválený dotknutou osobou. Organizácie musia zaistiť, aby boli osobné údaje spoľahlivé na svoje plánované použitie, presné, úplné a aktuálne.

(22) Ak je nový (zmenený) účel značne odlišný, ale naďalej zlučiteľný s pôvodným účelom, zásadou možnosti voľby sa dotknutým osobám poskytuje právo na vznesenie námietky (vyjadrenie nesúhlasu). Zásada možnosti voľby nenahrádza výslovný zákaz nezlučiteľného spracovania (20). Osobitné pravidlá, ktorými sa vo všeobecnosti umožňuje „kedykoľvek“ vyjadriť nesúhlas s použitím osobných údajov, sa vzťahujú na priamy marketing (21). V prípade citlivých údajov musia organizácie obvykle získať potvrdzujúci výslovný súhlas dotknutej osoby (vyjadrenie súhlasu).

(23) V rámci zásady integrity údajov a obmedzenia účelu možno osobné informácie uchovávať vo forme, ktorou sa fyzická osoba identifikuje alebo ktorá ju robí identifikovateľnou (a teda vo forme osobných údajov), len pokiaľ to slúži na účel (účely), na ktorý(-é) boli pôvodne zhromaždené alebo ktorý bol následne odsúhlasený. Táto povinnosť nebráni organizáciám zapojeným do štítu na ochranu osobných údajov v tom, aby pokračovali v spracovávaní osobných informácií dlhší čas, ale len počas obdobia a v rozsahu, v akom takéto spracovanie odôvodnene slúži na jeden z týchto osobitných účelov: archivácia, žurnalistika, literatúra a umenie, vedecký a historický výskum a štatistická analýza. Dlhšie uchovávanie osobných údajov na jeden z týchto účelov bude podliehať zárukám stanoveným v zásadách.

(24) Podľa zásady bezpečnosti organizácie, ktoré vytvárajú, uchovávajú, využívajú alebo rozširujú osobné údaje, musia prijať „primerané a vhodné“ bezpečnostné opatrenia s ohľadom na riziká spojené so spracovaním údajov a ich povahou. V prípade spracovania údajov subdodávateľom musia organizácie uzavrieť so subdodávateľom zmluvu, ktorou sa zaručí rovnaká úroveň ochrany, akú poskytujú zásady, a musia prijať opatrenia na zabezpečenie jej riadneho vykonávania.

(25) Podľa zásady prístupu (22) majú dotknuté osoby právo bez nutnosti odôvodnenia a len za nie príliš vysoký poplatok získať od organizácie potvrdenie o tom, či táto organizácia spracúva osobné údaje, ktoré sa ich týkajú, a získať od nej tieto údaje v primeranom čase. Toto právo možno obmedziť len vo výnimočných prípadoch; akékoľvek odopretie alebo obmedzenie práva na prístup musí byť nevyhnutné a riadne odôvodnené, pričom organizácia nesie bremeno preukazovania, že tieto požiadavky sú splnené. Dotknuté osoby musia mať možnosť opraviť, zmeniť alebo vymazať osobné informácie, ak sú nepresné alebo boli spracované v rozpore so zásadami. V oblastiach, v ktorých sa spoločnosti s najväčšou pravdepodobnosťou uchyľujú k automatizovanému spracovaniu osobných údajov v záujme prijatia rozhodnutí, ktoré sa dotýkajú danej fyzickej osoby (napríklad poskytovanie úverov, ponuky hypoték, zamestnanie), sa v právnych predpisoch USA poskytujú osobitné ochranné prvky pred nepriaznivými rozhodnutiami (23). V týchto zákonoch sa obvykle stanovuje, že fyzické osoby majú právo byť informované o osobitných dôvodoch, na základe ktorých sa rozhodnutie (napríklad zamietnutie úveru) prijalo, právo namietať proti neúplným alebo nepresným informáciám (ako aj proti opieraniu sa o nezákonné faktory) a právo dožadovať sa nápravy. Tieto pravidlá ponúkajú ochranu v pravdepodobne dosť obmedzenom počte prípadov, v ktorých by automatizované rozhodnutia prijala samotná organizácia zapojená do štítu na ochranu osobných údajov (24). Vzhľadom na rastúce používanie automatizovaného spracovania (vrátane profilovania) ako základu pre prijímanie rozhodnutí, ktoré majú v modernom digitálnom hospodárstve vplyv na fyzické osoby, však ide o oblasť, ktorú treba dôkladne monitorovať. S cieľom uľahčiť toto monitorovanie sa s orgánmi USA dohodlo, že súčasťou prvého každoročného preskúmania a v prípade potreby aj následných preskúmaní bude dialóg o automatizovanom rozhodovaní vrátane komunikácie o podobných a rozdielnych prvkoch v prístupe EÚ a USA v tomto ohľade.

(26) Podľa zásady nápravy, presadzovania a zodpovednosti (25) musia zúčastnené organizácie vytvoriť spoľahlivé mechanizmy na zabezpečenie dodržiavania ostatných zásad a mechanizmy nápravy pre dotknuté osoby z EÚ, ktorých osobné údaje boli spracované nevyhovujúcim spôsobom, a to vrátane účinných opravných prostriedkov. Keď sa organizácia dobrovoľne rozhodne predložiť osvedčenie (26) v rámci štítu na ochranu osobných údajov medzi EÚ a USA, je povinná zásady skutočne dodržiavať. Ak chce byť táto organizácia naďalej súčasťou štítu na ochranu osobných údajov, aby mohla získavať osobné údaje z Únie, musí každoročne opätovne osvedčovať svoju účasť v tomto rámci. Organizácie musia zároveň prijať opatrenia na overenie (27), či sú ich zverejnené podmienky ochrany súkromia v súlade so zásadami a či sa skutočne dodržiavajú. Môžu to vykonať buď prostredníctvom systému posúdenia samotnou organizáciou, ktorý musí zahŕňať interné postupy na zabezpečenie odbornej prípravy zamestnancov zameranej na uplatňovanie podmienok ochrany súkromia organizácie a pravidelného preskúmania ich dodržiavania objektívnym spôsobom, alebo prostredníctvom externých posúdení dodržiavania, ktorých metódy môžu zahŕňať audit alebo náhodné kontroly. Organizácia musí navyše zaviesť účinný nápravný mechanizmus na riešenie sťažností (v tejto súvislosti pozri aj odôvodnenie 43) a musí podliehať vyšetrovacím právomociam a právomociam presadzovania práva FTC, ministerstva dopravy alebo iného oprávneného zákonom zriadeného orgánu USA v oblasti vyšetrovania a presadzovania, čím sa účinne zaistí dodržiavanie zásad.

(27) Osobitné pravidlá sa vzťahujú na tzv. „ďalšie prenosy“, t. j. prenosy osobných údajov z organizácie prevádzkovateľovi alebo spracovateľovi, ktorý je treťou stranou, bez ohľadu na to, či sa tento prevádzkovateľ alebo spracovateľ nachádza v USA alebo v tretej krajine mimo USA (a Únie). Účelom týchto pravidiel je zaistiť, aby ochrana, ktorá je zaručená pre osobné údaje dotknutých osôb z EÚ, nebola narušená a nebolo ju možné obísť prostredníctvom ďalšieho prenosu tretím stranám. Je to osobitné dôležité v komplexnejších spracovateľských reťazcoch, ktoré sú typické pre dnešné digitálne hospodárstvo.

(28) V zmysle zásady zodpovednosti za ďalší prenos (28) môže každý ďalší prenos prebiehať iba i) na obmedzené a konkrétne účely; ii) na základe zmluvy (alebo porovnateľnej dohody v rámci skupiny podnikov (29)) a iii) iba v prípade, že táto zmluva poskytuje rovnakú úroveň ochrany, ako je ochrana zaručená zásadami, čo zahŕňa požiadavku, že uplatnenie zásad sa môže obmedzovať iba v rozsahu potrebnom na splnenie účelov týkajúcich sa národnej bezpečnosti, presadzovania práva a ostatných verejných záujmov (30). Malo by sa to chápať v spojení so zásadou oznámenia a v prípade ďalšieho prenosu prevádzkovateľovi, ktorý je treťou stranou (31), so zásadou možnosti voľby, podľa ktorých musia byť dotknuté osoby informované (okrem iného) o type/totožnosti každého príjemcu, ktorý je treťou stranou, účele ďalšieho prenosu, ako aj o ponúkanej možnosti voľby a môžu namietať (vyjadriť nesúhlas) alebo, v prípade citlivých údajov, musia poskytnúť „potvrdzujúci výslovný súhlas“ (vyjadrenie súhlasu) s ďalšími prenosmi. Vzhľadom na zásadu integrity údajov a obmedzenia účelu sa povinnosťou poskytnúť rovnakú úroveň ochrany, aká sa zaručuje zásadami, stanovuje, že tretia strana môže spracovať len osobné informácie, ktoré jej boli postúpené na účely, ktoré sú zlučiteľné s účelmi, na ktoré boli pôvodne zhromaždené, alebo na ktoré dala fyzická osoba následne súhlas.

(29) Povinnosť poskytnúť rovnakú úroveň ochrany, aká sa vyžaduje v zásadách, sa vzťahuje na všetky tretie strany zapojené do spracovania takto prenášaných údajov bez ohľadu na to, kde sa nachádzajú (v USA alebo inej tretej krajine), ako aj v prípade, keď samotný pôvodný príjemca, ktorý je treťou stranou, vykoná prenos týchto údajov inému príjemcovi – tretej strane, napríklad na účely spracovania subdodávateľom. Vo všetkých prípadoch sa musí v zmluve s príjemcom, ktorý je treťou stranou, stanoviť, že tento príjemca upovedomí organizáciu zapojenú do štítu na ochranu osobných údajov v prípade, že rozhodne, že túto povinnosť už nemôže spĺňať. Spracovanie treťou stranou sa pri takomto rozhodnutí ukončí, prípadne je potrebné prijať iné odôvodnené a primerané kroky s cieľom napraviť túto situáciu (32). Ak vzniknú problémy s dodržaním tejto zásady v (subdodávateľskom) spracovateľskom reťazci, organizácia zapojená do štítu na ochranu osobných údajov pôsobiaca ako prevádzkovateľ osobných údajov bude musieť preukázať, že nie je zodpovedná za udalosť, ktorá viedla k vzniku škody, inak bude niesť zodpovednosť, ako je uvedené v zásade nápravy, presadzovania a zodpovednosti. V prípade ďalšieho prenosu zástupcovi, ktorý je treťou stranou, sa uplatňujú ďalšie ochranné opatrenia (33).

2.2. Transparentnosť a správa štítu na ochranu osobných údajov medzi EÚ a USA a dohľad nad ním

(30) Štítom na ochranu osobných údajov medzi EÚ a USA sa zabezpečujú mechanizmy dohľadu a presadzovania s cieľom zaistiť, aby spoločnosti z USA, ktoré osvedčili dodržiavanie zásad, zásady dodržiavali a aby sa riešilo každé nedodržanie zásad, a overiť, či sa tak robí. Tieto mechanizmy sú vymedzené v zásadách (príloha II) a v záväzkoch, ktoré prijalo ministerstvo obchodu (príloha I), FTC (príloha IV) a ministerstvo dopravy (príloha V).

(31) V záujme riadneho uplatňovania štítu na ochranu osobných údajov medzi EÚ a USA musia zainteresované strany, napríklad dotknuté osoby, vývozcovia údajov a vnútroštátne orgány pre ochranu osobných údajov, byť schopné určiť tie organizácie, ktoré dodržiavajú zásady. S týmto cieľom ministerstvo obchodu vzalo na seba povinnosť viesť a sprístupňovať verejnosti zoznam organizácií, ktoré osvedčili svoje dodržiavanie zásad a ktoré patria do jurisdikcie prinajmenšom jedného z orgánov presadzovania práva uvedených v prílohách I a II k tomuto rozhodnutiu (ďalej len „zoznam organizácií zapojených do štítu na ochranu osobných údajov“) (34). Ministerstvo obchodu bude tento zoznam aktualizovať na základe predložených informácií o každoročnom opätovnom osvedčení organizácie a vždy, keď organizácia opustí štít na ochranu osobných údajov medzi EÚ a USA alebo z neho bude vyradená. Takisto bude viesť a sprístupňovať verejnosti oficiálne záznamy o organizáciách, ktoré boli vyradené zo zoznamu, pričom v každom prípade uvedie dôvod vyradenia. A napokon poskytne hypertextový odkaz na zoznam prípadov FTC súvisiacich s presadzovaním štítu na ochranu osobných údajov, ktorý sa nachádza na webovom sídle FTC.

(32) Zoznam organizácií zapojených do štítu na ochranu osobných údajov a opätovné osvedčenia zverejní ministerstvo obchodu na vyhradenom webovom sídle. Organizácie, ktoré osvedčili svoje dodržiavanie zásad, musia zase ministerstvu poskytnúť webovú adresu do zoznamu organizácií zapojených do štítu na ochranu osobných údajov. Navyše, ak sú podmienky ochrany súkromia organizácie dostupné on-line, musia obsahovať hypertextový odkaz na webové sídlo štítu na ochranu osobných údajov, ako aj hypertextový odkaz na webové sídlo alebo formulár na podanie sťažnosti v rámci nezávislého mechanizmu nápravy, ktorý je k dispozícii na vyšetrovanie nevyriešených sťažností. Ministerstvo obchodu bude v súvislosti s osvedčením a opätovným osvedčením organizácie v tomto rámci systematicky overovať súlad jej podmienok ochrany súkromia so zásadami.

(33) Organizácie, ktoré trvalo nedodržiavajú zásady, budú vyradené zo zoznamu organizácií zapojených do štítu na ochranu osobných údajov a budú musieť vrátiť alebo vymazať osobné údaje, ktoré získali v rámci štítu na ochranu osobných údajov medzi EÚ a USA. V ostatných prípadoch vyradenia, napríklad v prípade dobrovoľného stiahnutia z účasti alebo nepredloženia opakovaného osvedčenia, si organizácia môže ponechať tieto údaje, ak každoročne ministerstvu obchodu potvrdí svoje odhodlanie pokračovať v dodržiavaní zásad alebo poskytne primeranú ochranu osobných údajov inými povolenými prostriedkami (napr. prostredníctvom zmluvy, ktorá plne odzrkadľuje požiadavky príslušných štandardných zmluvných doložiek schválených Komisiou). V takom prípade musí organizácia určiť kontaktné miesto v rámci organizácie pre všetky otázky súvisiace so štítom na ochranu osobných údajov.

(34) Ministerstvo obchodu bude monitorovať organizácie, ktoré už nie sú členmi štítu na ochranu osobných údajov medzi EÚ a USA buď preto, lebo ho dobrovoľne opustili, alebo preto, lebo platnosť ich osvedčenia uplynula, s cieľom overiť, či vrátia, vymažú alebo si ponechajú (35) osobné údaje zhromaždené v minulosti na základe tohto rámca. Ak si tieto údaje nechajú, organizácie majú povinnosť naďalej na ne uplatňovať zásady. V prípadoch, keď ministerstvo obchodu vyradí organizácie z rámca v dôsledku pretrvávajúceho nedodržiavania zásad, zabezpečí, aby tieto organizácie vrátili alebo vymazali osobné údaje, ktoré získali na základe tohto rámca.

(35) Ak organizácia z akéhokoľvek dôvodu opustí štít na ochranu osobných údajov medzi EÚ a USA, musí odstrániť všetky verejné vyhlásenia naznačujúce, že sa aj naďalej zúčastňuje na tomto štíte alebo že má nárok využívať jeho výhody, najmä všetky odkazy na tento štít vo svojich zverejnených podmienkach ochrany súkromia. Ministerstvo obchodu bude aktívne vyhľadávať a riešiť nepravdivé tvrdenia o účasti v rámci, a to vrátane tvrdení jeho bývalých členov (36). Akékoľvek nepravdivé vyhlásenie pre verejnosť v súvislosti s dodržiavaním zásad organizáciou vo forme zavádzajúcich vyhlásení alebo praktík je postihnuteľné zo strany FTC, ministerstva dopravy alebo iných príslušných orgánov presadzovania práva USA; nepravdivé vyhlásenia pre ministerstvo obchodu sú postihnuteľné podľa zákona o nepravdivých vyhláseniach (18 U.S.C. § 1001) (37).

(36) Ministerstvo obchodu bude ex officio monitorovať všetky nepravdivé tvrdenia o účasti v štíte na ochranu osobných údajov alebo prípady neoprávneného používania certifikačnej značky štítu, pričom orgány pre ochranu osobných údajov môžu navrhnúť preskúmanie organizácií na vyhradenom kontaktnom mieste na ministerstve. Keď organizácia opustí štít na ochranu osobných údajov medzi EÚ a USA, opätovne nepredloží osvedčenie alebo je vyradená zo zoznamu organizácií zapojených do štítu na ochranu osobných údajov, ministerstvo obchodu bude priebežne overovať, či zo svojich zverejnených podmienok ochrany súkromia odstránila všetky odkazy na štít na ochranu osobných údajov, ktoré by naznačovali jej pokračujúcu účasť, a, ak bude naďalej zverejňovať nepravdivé vyhlásenia, postúpi prípad FTC, ministerstvu dopravy alebo inému príslušnému orgánu, ktorý môže začať konanie. Jeho úlohou bude aj posielať dotazníky organizáciám, platnosť osvedčenia ktorých uplynula alebo ktoré dobrovoľne opustili štít na ochranu osobných údajov medzi EÚ a USA, aby overilo, či organizácia vráti alebo vymaže osobné údaje alebo či bude naďalej uplatňovať zásady ochrany súkromia na tieto osobné údaje, ktoré získala počas účasti na štíte, a, ak si organizácia osobné údaje nechá, overí, kto v rámci organizácie bude naďalej slúžiť ako kontaktné miesto pre otázky súvisiace so štítom na ochranu osobných údajov.

(37) Ministerstvo obchodu bude priebežne vykonávať ex officio preskúmanie dodržiavania zásad (38) organizáciami, ktoré osvedčili svoje dodržiavanie zásad, okrem iného aj prostredníctvom zasielania podrobných dotazníkov. Bude takisto systematicky vykonávať preskúmania, a to vždy, keď dostane konkrétnu (opodstatnenú) sťažnosť, keď organizácia neposkytne uspokojivé odpovede na jeho otázky, alebo keď sa vyskytnú vierohodné dôkazy naznačujúce, že organizácia možno nedodržiava zásady. Ministerstvo obchodu bude v prípade potreby viesť konzultácie týkajúce sa týchto preskúmaní dodržiavania zásad aj s orgánmi pre ochranu osobných údajov.

2.3. Mechanizmy nápravy, vybavovanie sťažností a presadzovania

(38) V rámci štítu na ochranu osobných údajov medzi EÚ a USA sa od organizácií prostredníctvom zásady nápravy, presadzovania a zodpovednosti požaduje, aby fyzickým osobám, ktorých sa nedodržanie zásad dotýka, poskytli možnosť nápravy, a teda možnosť pre dotknuté osoby z EÚ podať sťažnosti v súvislosti s nedodržiavaním zásad zo strany spoločností v USA, ktoré osvedčili svoje dodržiavanie zásad, a dosiahnuť vybavenie týchto sťažností, v prípade potreby aj na základe rozhodnutia poskytujúceho účinný opravný prostriedok.

(39) Organizácie musia ako súčasť osvedčenia samotnou organizáciou splniť požiadavky zásady nápravy, presadzovania a zodpovednosti poskytnutím účinných a ľahko dostupných nezávislých mechanizmov nápravy, na základe ktorých možno sťažnosti a spory každej fyzickej osoby vyšetriť a bezodkladne vyriešiť bez toho, aby danej osobe vznikli akékoľvek náklady.

(40) Organizácie si môžu vybrať nezávislé mechanizmy nápravy buď v Únii, alebo v USA. To zahŕňa možnosť dobrovoľne sa zaviazať k spolupráci s orgánmi pre ochranu osobných údajov v EÚ. Takáto možnosť však neexistuje v prípadoch, že organizácie spracovávajú údaje o ľudských zdrojoch, keďže spolupráca s orgánmi pre ochranu osobných údajov je potom povinná. K iným alternatívam patrí nezávislé alternatívne riešenie sporov alebo programy ochrany súkromia vytvorené súkromným sektorom, v prípade ktorých sú zásady o ochrane údajov začlenené do ich pravidiel. Programy ochrany súkromia musia zahŕňať účinné mechanizmy presadzovania v súlade s požiadavkami zásady nápravy, presadzovania a zodpovednosti. Organizácie majú povinnosť napraviť všetky problémy súvisiace s nedodržiavaním zásad. Takisto musia uviesť, že podliehajú vyšetrovacím právomociam a právomociam presadzovania práva FTC, ministerstva dopravy alebo iného oprávneného zákonom zriadeného orgánu USA.

(41) Štítom na ochranu osobných údajov sa preto dotknutým osobám poskytuje niekoľko možností na presadzovania ich práv, podávanie sťažností týkajúcich sa nedodržania zásad zo strany organizácií v USA, ktoré osvedčili svoje dodržiavanie zásad, a vyriešenie ich sťažností, v prípade potreby aj na základe rozhodnutia poskytujúceho účinný opravný prostriedok. Fyzické osoby môžu sťažnosť predložiť priamo organizácii, nezávislému orgánu pre riešenie sporov určenému organizáciou, vnútroštátnym orgánom pre ochranu osobných údajov alebo FTC.

(42) V prípadoch, keď sa ich sťažnosti nevybavia na základe žiadneho z týchto mechanizmov nápravy alebo presadzovania práva, majú fyzické osoby takisto právo využiť záväzné rozhodcovské konanie v rámci výboru pre štít na ochranu osobných údajov (príloha 1 prílohy II k tomuto rozhodnutiu). Okrem rozhodcovského výboru, v prípade ktorého sa požaduje, aby sa pred jeho využitím už vyčerpali určité opravné prostriedky, môžu fyzické osoby využiť ktorýkoľvek nápravný mechanizmus alebo všetky nápravné mechanizmy podľa vlastného výberu a nie sú povinné prednostne si zvoliť jeden mechanizmus ani dodržať osobitné poradie. Existuje však určité logické poradie, ktoré sa odporúča dodržať, ako sa uvádza ďalej.

(43) Po prvé dotknuté osoby z EÚ môžu riešiť prípady nedodržiavania zásad prostredníctvom priamych kontaktov so spoločnosťami v USA, ktoré osvedčili svoje dodržiavanie zásad. V záujme uľahčenia riešenia musí organizácia zaviesť účinný nápravný mechanizmus na riešenie týchto sťažností. Podmienky ochrany súkromia organizácie musia preto obsahovať jasnú informáciu o kontaktnom mieste vnútri alebo mimo organizácie, ktoré sa bude zaoberať sťažnosťami (vrátane prípadnej prevádzkarne v Únii, ktorá môže odpovedať na otázky alebo sťažnosti), a o nezávislých mechanizmoch vybavovania sťažností.

(44) Po prijatí sťažnosti fyzickej osoby, priamo od fyzickej osoby alebo prostredníctvom ministerstva obchodu na základe postúpenia orgánom pre ochranu osobných údajov, musí organizácia poskytnúť dotknutej osobe z EÚ odpoveď v lehote 45 dní. Táto odpoveď musí obsahovať posúdenie opodstatnenosti sťažnosti a informácie o tom, ako organizácia napraví daný problém. Organizácie takisto musia rýchlo odpovedať na otázky a iné žiadosti o informácie od ministerstva obchodu alebo orgánu pre ochranu osobných údajov (39) (ak sa organizácia zaviazala spolupracovať s orgánmi pre ochranu osobných údajov), ktoré sa týkajú ich dodržiavania zásad. Organizácie si musia viesť záznamy o uplatňovaní svojich podmienok ochrany súkromia a musia ich na požiadanie sprístupniť v súvislosti s vyšetrovaním alebo sťažnosťou týkajúcou sa nedodržiavania zásad nezávislému mechanizmu nápravy alebo FTC (alebo inému orgánu USA s právomocou vyšetrovať nekalé a klamlivé praktiky).

(45) Po druhé fyzické osoby môžu tiež predložiť sťažnosť priamo nezávislému orgánu pre riešenie sporov (v USA alebo v Únii) určenému organizáciou, ktorý bude vyšetrovať a riešiť ich sťažnosti (pokiaľ nie sú zjavne neopodstatnené alebo nezmyselné) a bezplatne poskytovať fyzickým osobám vhodné nápravné opatrenia. Sankcie a opravné prostriedky uložené takýmto orgánom musia byť dostatočne prísne, aby sa zabezpečilo, že organizácie budú dodržiavať zásady, a mali by poskytovať spôsob, akým organizácia odstráni alebo napraví účinky nedodržania zásad, a v závislosti od okolností aj možnosť ukončenia ďalšieho spracovania príslušných osobných údajov a/alebo ich vymazania, ako aj povinnosť zverejniť zistenia o nedodržaní zásad. Nezávislé orgány pre riešenie sporov určené organizáciou budú povinné uvádzať na svojom verejnom webovom sídle relevantné informácie o štíte na ochranu osobných údajov medzi EÚ a USA a o službách, ktoré na jeho základe poskytujú. Každý rok musia zverejniť výročnú správu so súhrnnými štatistickými údajmi o týchto službách (40).

(46) Ministerstvo obchodu v rámci svojich postupov preskúmania dodržiavania zásad overí, či sa spoločnosti v USA, ktoré osvedčili svoje dodržiavanie zásad, skutočne zaregistrovali v nezávislých nápravných mechanizmoch, o ktorých to tvrdia. Organizácie aj zodpovedné nezávislé mechanizmy nápravy sú povinné rýchlo reagovať na otázky a žiadosti ministerstva obchodu o informácie týkajúce sa štítu na ochranu osobných údajov.

(47) Ak organizácia nesplní rozhodnutie orgánu pre riešenie sporov alebo samoregulačného orgánu, tento orgán musí túto skutočnosť oznámiť ministerstvu obchodu a FTC (alebo inému orgánu USA s právomocou vyšetrovať nekalé alebo klamlivé praktiky), prípadne príslušnému súdu (41). Ak organizácia odmietne vyhovieť konečnému rozhodnutiu akéhokoľvek samoregulačného orgánu, ktorý sa zaoberá ochranou súkromia, nezávislého orgánu pre riešenie sporov alebo štátneho orgánu, alebo ak tento orgán rozhodne, že organizácia často nedodržiava zásady, bude sa to považovať za pretrvávajúce nedodržiavanie zásad, pričom výsledkom bude, že ministerstvo obchodu po tom, ako organizácii, ktorá nedodržala zásady, najprv 30 dní vopred poskytne oznámenie a príležitosť na odpoveď, vyškrtne túto organizáciu zo zoznamu (42). Ak organizácia po jej odstránení zo zoznamu naďalej tvrdí, že má osvedčenie na základe štítu na ochranu osobných údajov, ministerstvo túto záležitosť postúpi FTC alebo inému orgánu presadzovania práva (43).

(48) Po tretie môžu fyzické osoby svoje sťažnosti podať aj vnútroštátnemu orgánu pre ochranu osobných údajov. Organizácie majú povinnosť spolupracovať pri vyšetrovaní a riešení sťažnosti zo strany orgánu pre ochranu osobných údajov, buď ak sa týka spracovávania údajov o ľudských zdrojoch zhromaždených v rámci pracovnoprávneho vzťahu, alebo ak sa príslušné organizácie dobrovoľne podrobili dohľadu orgánov pre ochranu osobných údajov. Organizácie predovšetkým musia odpovedať na otázky, dodržiavať odporúčania orgánu pre ochranu osobných údajov, a to aj v súvislosti s opravnými alebo kompenzačnými opatreniami, a predložiť orgánu pre ochranu osobných údajov písomné potvrdenie, že takéto opatrenia boli prijaté.

(49) Orgány pre ochranu osobných údajov budú poskytovať odporúčania prostredníctvom neformálneho výboru orgánov pre ochranu osobných údajov ustanoveného na úrovni Únie (44), ktorý bude pomáhať zabezpečovať harmonizovaný a jednotný prístup ku konkrétnej sťažnosti. Odporúčania sa poskytnú po tom, ako obe strany sporu dostanú primeranú možnosť vyjadriť sa a poskytnúť akékoľvek dôkazy podľa svojho želania. Výbor poskytne odporúčanie tak rýchlo, ako to umožní požiadavka na náležitý proces, a spravidla do 60 dní od prijatia sťažnosti. Ak určitá organizácia do 25 dní odo dňa vydania rád nekoná v súlade s nimi a neposkytne žiadne uspokojujúce vysvetlenie omeškania, výbor oznámi svoj zámer buď predložiť záležitosť FTC (alebo inému orgánu presadzovania práva USA), alebo dospieť k záveru, že záväzok spolupracovať bol závažným spôsobom porušený. V prvom prípade to môže viesť k začatiu konania podľa oddielu 5 zákona o FTC (alebo podľa podobného zákona). V druhom prípade výbor informuje ministerstvo obchodu, ktoré posúdi odmietnutie organizácie dodržať odporúčanie výboru orgánov pre ochranu osobných údajov ako pretrvávajúce nedodržiavanie zásad, čo bude mať za následok vyradenie organizácie zo zoznamu organizácií zapojených do štítu na ochranu osobných údajov.

(50) Ak orgán pre ochranu osobných údajov, ktorému bola sťažnosť predložená, prijal nedostatočné alebo neprijal žiadne opatrenia na riešenie sťažnosti, má každý sťažovateľ možnosť napadnúť toto konanie (nekonanie) na vnútroštátnych súdoch príslušného členského štátu.

(51) Fyzické osoby môžu predložiť sťažnosti orgánu pre ochranu osobných údajov dokonca aj v prípade, keď výbor orgánov pre ochranu osobných údajov nebol určený ako orgán pre riešenie sporov danej organizácie. Orgán pre ochranu osobných údajov môže v týchto prípadoch postúpiť takéto sťažnosti buď ministerstvu obchodu, alebo FTC. V záujme uľahčenia a posilnenia spolupráce v otázkach týkajúcich sa sťažností fyzických osôb a nedodržiavania zásad zo strany organizácií zapojených do štítu na ochranu osobných údajov vytvorí ministerstvo obchodu vyhradené kontaktné miesto, ktoré bude plniť úlohu sprostredkovateľa a pomáhať s otázkami orgánov pre ochranu osobných údajov týkajúcimi sa dodržiavania zásad organizáciou (45). FTC sa takisto zaviazala, že zriadi vyhradené kontaktné miesto (46) a že poskytne orgánom pre ochranu osobných údajov pomoc pri vyšetrovaní podľa zákona USA o bezpečnom internete (47).

(52) Po štvrté, ministerstvo obchodu sa navyše zaviazalo prijímať a skúmať sťažnosti týkajúce sa nedodržiavania zásad organizáciou a vyvinúť maximálne úsilie o ich vybavenie. Na tieto účely ministerstvo obchodu stanovilo pre orgány pre ochranu osobných údajov osobitné postupy na postupovanie sťažností vyhradenému kontaktnému miestu, ich sledovanie a následnú komunikáciu so spoločnosťami s cieľom uľahčiť ich vybavovanie. V záujme urýchlenia spracovania sťažností fyzických osôb bude kontaktné miesto v otázkach dodržiavania zásad spolupracovať priamo s príslušným orgánom pre ochranu osobných údajov, a predovšetkým mu poskytne aktuálne informácie o stave sťažnosti v lehote najviac 90 dní od jej postúpenia. To umožní dotknutým osobám podávať sťažnosti týkajúce sa nedodržiavania zásad zo strany spoločností v USA, ktoré osvedčili svoje dodržiavanie zásad, priamo svojim vnútroštátnym orgánom pre ochranu osobných údajov, ktoré ich postúpia ministerstvu obchodu ako orgánu, ktorý má v USA na starosti správu štítu na ochranu osobných údajov medzi EÚ a USA. Ministerstvo obchodu sa zároveň zaviazalo predložiť v rámci každoročného preskúmania fungovania štítu na ochranu osobných údajov medzi EÚ a USA správu, ktorá v súhrnnej forme analyzuje sťažnosti prijaté za daný rok (48).

(53) Ak ministerstvo obchodu na základe svojich overení ex officio, na základe sťažností alebo akýchkoľvek iných informácií dospeje k záveru, že organizácia trvale nedodržiava zásady ochrany súkromia, vyradí takú organizáciu zo zoznamu organizácií zapojených do štítu na ochranu osobných údajov. Odmietnutie vyhovieť konečnému rozhodnutiu akéhokoľvek samoregulačného orgánu, ktorý sa zaoberá ochranou súkromia, nezávislého orgánu na riešenie sporov alebo štátneho orgánu vrátane orgánu pre ochranu osobných údajov sa bude považovať za trvalé nedodržiavanie zásad.

(54) Po piate organizácia zapojená do štítu na ochranu osobných údajov musí podliehať vyšetrovacím právomociam a právomociam presadzovania práva orgánov USA, predovšetkým Federálnej obchodnej komisie (FTC) (49), ktoré účinne zaistia dodržiavania zásad. FTC sa bude pri stanovovaní, či bol porušený oddiel 5 zákona o FTC, prioritne zaoberať prípadmi nedodržania zásad ochrany súkromia postúpenými nezávislými orgánmi pre riešenie sporov alebo samoregulačnými orgánmi, ministerstvom obchodu a orgánmi pre ochranu osobných údajov (ktoré konajú z vlastného podnetu alebo na základe sťažností) (50). FTC sa zaviazala vytvoriť štandardizovaný proces postupovania, určiť kontaktné miesto v rámci svojej štruktúry na prijímanie prípadov postúpených orgánmi pre ochranu osobných údajov a vymieňať si informácie o postúpených prípadoch. Okrem toho bude prijímať sťažnosti priamo od fyzických osôb a vykonávať vyšetrovania týkajúce sa štítu na ochranu osobných údajov z vlastného podnetu, najmä ako súčasť rozsiahlejších vyšetrovaní otázok ochrany súkromia.

(55) FTC môže presadzovať dodržiavanie zásad prostredníctvom správnych opatrení („consent orders“) a bude systematicky monitorovať dodržiavanie týchto opatrení. Ak ich organizácia nesplní, FTC môže postúpiť prípad príslušnému súdu, ktorý môže uložiť občianskoprávne tresty a iné opravné prostriedky vrátane náhrady prípadnej ujmy spôsobenej protiprávnym konaním. Prípadne môže FTC priamo požiadať o predbežné opatrenie, súdny príkaz ukladajúci povinnosť zdržať sa určitého konania, alebo iné opravné prostriedky federálny súd. Každý „consent order“ vydaný organizácii zapojenej do štítu na ochranu osobných údajov bude obsahovať ustanovenia o predkladaní správ touto organizáciou (51) a organizácie budú povinné zverejniť všetky príslušné oddiely týkajúce sa štítu nachádzajúce sa vo všetkých správach o dodržiavaní zásad alebo o posúdení predložených FTC. A napokon, FTC bude viesť on-line zoznam spoločností, na ktoré sa vzťahujú správne opatrenia FTC alebo súdne príkazy v prípadoch súvisiacich so štítom na ochranu osobných údajov.

(56) Po šieste, v prípade, že sa sťažnosť fyzickej osoby z EÚ uspokojivo nevyriešila žiadnymi inými dostupnými nápravnými mechanizmami, môže sa dovolávať záväzného rozhodcovského konania „výboru pre štít na ochranu osobných údajov“ ako nápravného mechanizmu „poslednej inštancie“. Organizácie musia fyzické osoby informovať o možnosti za istých podmienok využiť záväzné rozhodcovské konanie a sú povinné odpovedať po tom, ako osoba využila túto možnosť doručením oznámenia dotknutej organizácii (52).

(57) Tento rozhodcovský výbor sa vytvorí zo skupiny najmenej 20 rozhodcov určených ministerstvom obchodu a Komisiou na základe ich nezávislosti, poctivosti, ako aj skúseností s právnymi predpismi USA a Únie v oblasti ochrany osobných údajov. V každom jednotlivom spore strany vyberú z tejto skupiny výbor zložený z jedného alebo troch (53) rozhodcov. Konanie sa bude riadiť štandardnými pravidlami rozhodcovského konania, na ktorých sa dohodnú ministerstvo obchodu a Komisia. Týmito pravidlami sa doplní už uzatvorený rámec, ktorý obsahuje niekoľko prvkov, ktorými sa posilňuje prístupnosť tohto mechanizmu pre dotknuté osoby z EÚ: i) pri príprave sťažnosti výboru môže dotknutej osobe pomôcť príslušný vnútroštátny orgán pre ochranu osobných údajov; ii) keďže rozhodcovské konanie sa bude konať v USA, dotknuté osoby z EÚ sa môžu rozhodnúť zúčastniť sa prostredníctvom videokonferencie alebo telefonickej konferencie, a to bez toho, aby im tým vznikli nejaké náklady; iii) keďže jazykom, ktorý sa bude používať v rozhodcovskom konaní, bude spravidla angličtina, tlmočenie a preklad v rámci rozhodcovského konania sa dotknutej osobe poskytnú štandardne (54) na základe odôvodnenej žiadosti a bezplatne; iv) a napokon, hoci každý účastník si náklady na právneho zástupcu hradí sám, ak je zastúpený pred výborom právnym zástupcom, ministerstvo obchodu zriadi fond s ročnými príspevkami od organizácií zapojených do štítu na ochranu osobných údajov, z ktorého sa budú hradiť oprávnené trovy rozhodcovského konania až do maximálnej sumy, ktorú stanovia orgány USA po konzultácii s Komisiou.

(58) Výbor pre štít na ochranu osobných údajov bude mať právomoc uložiť „nepeňažnú spravodlivú náhradu pre konkrétnu osobu“ (55) potrebnú na nápravu nedodržania zásad. Hoci výbor pri rozhodovaní zohľadní aj iné opravné prostriedky už zhromaždené prostredníctvom iných mechanizmov v rámci štítu na ochranu osobných údajov, fyzické osoby môžu vždy využiť rozhodcovské konanie, ak sa domnievajú, že tieto iné opravné prostriedky sú nedostatočné. To umožní dotknutým osobám z EÚ využiť rozhodcovské konanie vo všetkých prípadoch, keď sa v dôsledku konania alebo nekonania príslušných orgánov USA (napríklad FTC) uspokojivo nevyriešia ich sťažnosti. Rozhodcovského konania sa nemožno dovolávať, ak má orgán pre ochranu osobných údajov podľa právnych predpisov právomoc riešiť danú sťažnosť týkajúcu sa spoločnosti v USA, ktorá osvedčila svoje dodržiavanie zásad, najmä v tých prípadoch, kde je organizácia buď povinná spolupracovať a dodržiavať rady orgánov pre ochranu osobných údajov, pokiaľ ide o spracovanie údajov o ľudských zdrojoch v súvislosti s pracovným pomerom, alebo sa k tomu dobrovoľne zaviazala. Fyzické osoby môžu vymáhať rozhodcovské rozhodnutia na súdoch USA podľa federálneho zákona o rozhodcovskom konaní, čím sa zabezpečuje právny prostriedok nápravy v prípade, že spoločnosť rozhodcovské rozhodnutie nevykoná.

(59) Po siedme ak organizácia neplní svoj záväzok dodržiavať zásady a zverejnené podmienky ochrany súkromia, môžu byť k dispozícii ďalšie prostriedky súdnej nápravy podľa práva jednotlivých štátov USA, ktoré ustanovuje právne prostriedky nápravy podľa práva občianskoprávnych deliktov a v prípadoch podvodného nepravdivého vyhlásenia, nekalých a klamlivých činov alebo postupov alebo porušenia zmluvy.

(60) Okrem toho, ak orgán pre ochranu osobných údajov po prijatí sťažnosti dotknutej osoby z EÚ usúdi, že pri prenose osobných údajov tejto osoby organizácii v USA bolo porušené právo EÚ v oblasti ochrany osobných údajov, vrátane prípadu, keď vývozca údajov z EÚ má dôvod domnievať sa, že organizácia nedodržiava zásady, môže uplatniť svoje právomoci aj voči vývozcovi údajov a podľa potreby pozastaviť prenos údajov.

(61) Vzhľadom na informácie v tomto oddiele sa Komisia domnieva, že zásady vydané Ministerstvom obchodu USA ako také zabezpečujú úroveň ochrany osobných údajov, ktorá je v podstate rovnocenná ochrane zaručenej hlavnými základnými zásadami stanovenými v smernici 95/46/ES.

(62) Účinné uplatňovanie zásad je navyše zaručené povinnosťami týkajúcimi sa transparentnosti a tým, že štít na ochranu osobných údajov spravuje a jeho dodržiavanie kontroluje ministerstvo obchodu.

(63) Komisia sa navyše domnieva, že mechanizmy dohľadu, nápravy a presadzovania, ktoré poskytuje štít na ochranu osobných údajov, ako celok umožňujú v praxi odhaľovať a trestať porušenia zásad organizáciami zapojenými do štítu na ochranu osobných údajov a poskytujú právne prostriedky nápravy, prostredníctvom ktorých môže dotknutá osoba získať prístup k osobným údajom, ktoré sa jej týkajú, a domôcť sa opravy alebo vymazania týchto údajov.

3. PRÍSTUP K OSOBNÝM ÚDAJOM PRENÁŠANÝM V RÁMCI ŠTÍTU NA OCHRANU OSOBNÝCH ÚDAJOV MEDZI EÚ A USA ORGÁNMI VEREJNEJ MOCI USA A ICH POUŽÍVANIE

(64) Ako vyplýva z odd. I ods. 5 prílohy II, dodržiavanie zásad ochrany súkromia je obmedzené na rozsah potrebný na splnenie požiadaviek národnej bezpečnosti, verejného záujmu alebo presadzovania práva.

(65) Komisia posúdila obmedzenia a záruky, ktoré sú k dispozícii v rámci práva USA v súvislosti s prístupom k osobným údajom prenášaným v rámci štítu na ochranu osobných údajov medzi EÚ a USA orgánmi verejnej moci USA na účely národnej bezpečnosti, presadzovania práva a iné účely verejného záujmu a s ich používaním. Vláda USA navyše prostredníctvom svojho Úradu riaditeľa národnej spravodajskej služby (Office of the Director of National Intelligence – ODNI) (56) poskytla Komisii podrobné vyhlásenia a záväzky, ktoré sú uvedené v prílohe VI k tomuto rozhodnutiu. Listom podpísaným ministrom zahraničných vecí a priloženým ako príloha III k tomuto rozhodnutiu sa vláda USA takisto zaviazala vytvoriť nový mechanizmus dohľadu nad zásahmi na účely národnej bezpečnosti, a to funkciu ombudsmana pre štít na ochranu osobných údajov, ktorý je nezávislý od spravodajských služieb (Intelligence Community). A napokon, vo vyhlásení Ministerstva spravodlivosti USA uvedeného v prílohe VII k tomuto rozhodnutiu sa opisujú obmedzenia a záruky vzťahujúce sa na prístup k údajom a ich používanie orgánmi verejnej moci na účely presadzovania práva a iné účely verejného záujmu. V záujme zvýšenia transparentnosti a ako výraz právnej povahy týchto záväzkov sa všetky uvedené dokumenty priložené k tomuto rozhodnutiu uverejnia vo Federálnom registri USA.

(66) Zistenia Komisie týkajúce sa obmedzení prístupu k osobným údajom prenášaným z Európskej únie do USA orgánmi verejnej moci USA a ich používania a existencie účinnej právnej ochrany sú podrobnejšie opísané ďalej.

3.1. Prístup a použitie zo strany orgánov verejnej moci USA na účely národnej bezpečnosti

(67) Z analýzy Komisie vyplýva, že právne predpisy USA obsahujú niekoľko obmedzení prístupu k osobným údajom prenášaným v rámci štítu na ochranu osobných údajov medzi EÚ a USA na účely národnej bezpečnosti a ich používania, ako aj mechanizmy dohľadu a nápravné mechanizmy, ktoré poskytujú dostatočné záruky, že tieto údaje budú účinne chránené proti nezákonným zásahom a riziku zneužitia (57). Od roku 2013, keď Komisia vydala svoje dve oznámenia (pozri odôvodnenie 7), bol tento právny rámec podstatne posilnený, ako je opísané ďalej.

3.1.1. Obmedzenia

(68) Podľa ústavy USA patrí zabezpečenie národnej bezpečnosti do právomoci prezidenta ako vrchného veliteľa, najvyššieho predstaviteľa výkonnej moci, a, pokiaľ ide o zahraničné spravodajstvo, ako osoby, ktorá vykonáva zahraničnú politiku USA (58). Hoci Kongres má právomoc ukladať obmedzenia a robí to v rôznych ohľadoch, prezident môže v rámci týchto hraníc usmerňovať činnosť spravodajských služieb USA, a to najmä prostredníctvom vykonávacích nariadení alebo prezidentských smerníc. To, samozrejme, platí aj v tých oblastiach, kde neexistujú žiadne usmernenia Kongresu. V súčasnosti sú dva ústredné právne nástroje v tomto ohľade vykonávacie nariadenie č. 12333 (59) a prezidentská politická smernica 28.

(69) V prezidentskej politickej smernici 28 vydanej 17. januára 2014 sa ukladá niekoľko obmedzení operácií „signálového spravodajstva“ (60). Táto prezidentská smernica je právne záväzná pre spravodajské orgány USA (61) a zostane účinná aj po zmene vlády v USA (62). Prezidentská politická smernica 28 má osobitný význam pre osoby, ktoré nie sú občanmi ani rezidentmi USA, vrátane dotknutých osôb z EÚ. Okrem iného sa v nej stanovuje, že: a) získavanie signálového spravodajstva musí byť založené na zákone alebo prezidentskom povolení a musí sa vykonávať v súlade s ústavou USA (najmä so štvrtým dodatkom) a právom USA; b) so všetkými osobami sa musí zaobchádzať s dôstojnosťou a rešpektom bez ohľadu na ich štátnu príslušnosť alebo bydlisko; c) všetky osoby majú pri narábaní s ich osobnými informáciami oprávnené záujmy týkajúce sa ochrany súkromia; d) pri plánovaní činností USA v oblasti signálového spravodajstva sa musí brať ohľad na súkromie a občianske slobody; e) činnosti USA v oblasti signálového spravodajstva musia preto zahŕňať primerané záruky v súvislosti s osobnými informáciami všetkých fyzických osôb bez ohľadu na ich štátnu príslušnosť alebo bydlisko.

(70) V prezidentskej politickej smernici 28 sa stanovuje, že signálové spravodajstvo možno získavať výlučne vtedy, keď existuje účel súvisiaci so zahraničným spravodajstvom alebo kontrašpionážou týkajúci sa podpory národných a rezortných misií, a nie na žiadne iné účely (napr. na získanie konkurenčnej výhody pre spoločnosti z USA). V tejto súvislosti ODNI vysvetľuje, že zložky spravodajských služieb „by mali vyžadovať, aby všade tam, kde je to možné, bol zber zameraný na konkrétne ciele alebo témy zahraničného spravodajstva pomocou diskriminantov (napr. konkrétne komunikačné prostriedky, výberové pojmy a identifikátory)“. (63) Vyhláseniami sa navyše poskytuje uistenie, že rozhodnutia o získavaní spravodajstva nie sú ponechané na uváženie jednotlivých spravodajských dôstojníkov, ale sú predmetom podmienok a postupov, ktoré jednotlivé zložky (agentúry) spravodajských služieb USA musia zaviesť s cieľom vykonať prezidentskú politickú smernicu 28 (64). Preto hľadanie a stanovenie vhodných selektorov prebieha v celkovom „rámci priorít národného spravodajstva“ (National Intelligence Priorities Framework – NIPF), ktorý zabezpečuje, že priority spravodajstva stanovujú vysokopostavení politici a že sa pravidelne prehodnocujú, aby vždy reagovali na aktuálne národné bezpečnostné hrozby a zohľadňovali možné riziká vrátane rizík pre súkromie (65). Na základe toho pracovníci agentúry skúmajú a identifikujú konkrétne výberové pojmy, pomocou ktorých by sa malo získavať zahraničné spravodajstvo zamerané na priority (66). Výberové pojmy, alebo „selektory“, sa musia pravidelne prehodnocovať s cieľom stanoviť, či naďalej poskytujú cenné spravodajské informácie v súlade s prioritami (67).

(71) Okrem toho sa v požiadavkách stanovených v prezidentskej politickej smernici 28 uviedlo, že získavanie spravodajských informácií musí byť vždy (68)„v čo najväčšej uskutočniteľnej miere prispôsobené“ a že spravodajské služby majú uprednostniť dostupnosť iných informácií a primerané a uskutočniteľné alternatívy (69), zohľadniť všeobecné pravidlo uprednostnenia cieleného zberu pred hromadným zberom. Podľa uistenia, ktoré poskytol ODNI sa nimi predovšetkým zaisťuje, že hromadný zber nebude ani „hromadný“ a „nerozlišujúci“ a že výnimky nebudú viesť k tomu, že pravidlo už nebude účinné (70).

(72) Hoci sa v prezidentskej politickej smernici 28 sa vysvetľuje, že zložky spravodajských služieb musia niekedy za určitých okolností získavať hromadné signálové spravodajstvo, napríklad s cieľom identifikovať a posudzovať nové alebo vznikajúce hrozby, nariaďuje týmto zložkám uprednostniť alternatívy, ktoré by umožnili vykonávanie cieleného signálového spravodajstva (71). Z toho vyplýva, že k hromadnému zberu dôjde len v prípade, ak cielený zber pomocou diskriminantov – t. j. identifikátorov súvisiacich s osobitným cieľom (napríklad e-mailová adresa alebo telefónne číslo cieľa) – nie je „v dôsledku technických alebo prevádzkových faktorov“ (72) možné. Platí to pre spôsob, akým sa signálové spravodajstvo získava, ako aj pre to, čo sa vlastne získava (72).

(73) Podľa vyhlásení ODNI aj v prípade, že spravodajské služby nemôžu použiť osobitné identifikátory na cielený zber, budú sa usilovať o „čo najväčšie“ zúženie zberu. Aby to zaistili, „používajú filtre a iné technické nástroje s cieľom zamerať zber na tie zariadenia, ktoré pravdepodobne obsahujú komunikáciu s hodnotou pre zahraničné spravodajstvo“ (a tak budú reagovať na požiadavky, ktoré vyjadrili politickí činitelia USA podľa procesu opísaného v odôvodnení 70). V dôsledku toho bude hromadný zber zacielený aspoň dvoma spôsobmi: Po prvé vždy bude súvisieť s osobitnými cieľmi v oblasti zahraničného spravodajstva (napríklad získať signálové spravodajstvo o činnostiach teroristickej skupiny pôsobiacej v konkrétnom regióne) a bude zameraný na komunikáciu, ktorá zahŕňa takúto spojitosť. Podľa uistenia zo strany ODNI sa to zohľadňuje v skutočnosti, že „činnosti signálového spravodajstva USA sa dotýkajú len nepatrnej časti komunikácie prechádzajúcej internetom“ (73) Po druhé z vyhlásení ODNI vyplýva, že filtre a iné použité technické nástroje budú určené na „čo najpresnejšie“ zameranie zberu s cieľom zaistiť, aby sa minimalizoval objem „nesúvisiacich informácií“.

(74) A napokon, aj keď USA usúdia, že je potrebné získavať hromadné informácie prostredníctvom signálového spravodajstva za podmienok stanovených v odôvodneniach 70 – 73, prezidentská politická smernica 28 obmedzuje použitie takých informácií na konkrétny zoznam šiestich účelov v oblasti národnej bezpečnosti s ohľadom na ochranu súkromia a občianskych slobôd všetkých osôb bez ohľadu na ich štátnu príslušnosť alebo bydlisko (74). Tieto prípustné účely zahŕňajú opatrenia na odhaľovanie hrozieb vyplývajúcich zo špionáže, terorizmu, zbraní hromadného ničenia, hrozieb pre kybernetickú bezpečnosť, hrozieb pre ozbrojené sily alebo vojenský personál, ako aj nadnárodných hrozieb trestnej činnosti súvisiacich s ostatnými piatimi účelmi a boj proti týmto hrozbám, a budú sa prehodnocovať najmenej raz ročne. Podľa vyhlásení vlády USA posilnili zložky spravodajských služieb svoje analytické postupy a normy týkajúce sa vyhľadávania v nevyhodnotených informáciách získaných prostredníctvom signálového spravodajstva, aby tak dosiahli súlad s týmito požiadavkami; používaním cieleného vyhľadávania „sa zabezpečuje, aby sa analytikom dostali na preskúmanie iba tie položky, ktoré sa považujú za potenciálne hodnotné zo spravodajského hľadiska“ (75).

(75) Tieto obmedzenia sa týkajú predovšetkým osobných údajov prenášaných v rámci štítu na ochranu osobných údajov medzi EÚ a USA, a to najmä v prípade, že by k zhromažďovaniu osobných údajov došlo mimo USA, a to aj v priebehu ich prenosu cez transatlantické káble z Únie do USA. Ako potvrdili orgány USA vo vyhláseniach ODNI, na toto zhromažďovanie sa uplatňujú obmedzenia a záruky uvedené v týchto vyhláseniach – vrátane tých, ktoré sú stanovené v prezidentskej politickej smernici 28 (76).

(76) Hoci tieto zásady nie sú formulované v týchto právnych pojmoch, zachytávajú podstatu zásad nevyhnutnosti a proporcionality. Jednoznačnou prioritou je cielený zber, zatiaľ čo hromadný zber je obmedzený na (mimoriadne) situácie, keď cielený zber nie je možný z technických alebo prevádzkových dôvodov. Aj keď hromadnému zberu sa nedá vyhnúť, ďalšie „použitie“ týchto údajov prostredníctvom prístupu je prísne obmedzené na špecifické, legitímne účely národnej bezpečnosti (77).

(77) Tieto požiadavky vydané vo forme smernice prezidenta ako najvyššieho predstaviteľa výkonnej moci sú záväzné pre všetky spravodajské služby a ďalej sa uplatňujú prostredníctvom pravidiel a postupov agentúr, ktorými sa transponujú všeobecné zásady do konkrétnych pokynov na každodenné operácie. Navyše, hoci samotný Kongres nie je viazaný prezidentskou politickou smernicou 28, takisto podnikol kroky na zabezpečenie toho, aby získavanie osobných údajov a prístup k nim boli v USA skôr cielené ako vykonávané „na všeobecnom základe“.

(78) Z dostupných informácií vrátane vyhlásení získaných od vlády USA vyplýva, že hneď ako boli údaje prenesené organizáciám nachádzajúcim sa v USA, poskytli osvedčenie v rámci štítu na ochranu osobných údajov medzi EÚ a USA, spravodajské agentúry USA môžu získavať osobné údaje len vtedy (78), keď je ich žiadosť v súlade so zákonom o sledovaní v rámci zahraničného spravodajstva (Foreign Intelligence Surveillance Act – FISA) alebo keď ju podá Federálny úrad pre vyšetrovanie (FBI) na základe takzvaného listu národnej bezpečnosti (National Security Letter – NSL) (79). Podľa zákona FISA existuje niekoľko právnych základov, ktoré možno použiť na zber (a následné spracovanie) osobných údajov dotknutých osôb z EÚ prenášaných v rámci štítu na ochranu osobných údajov medzi EÚ a USA. Okrem oddielu 104 zákona FISA (80) týkajúceho sa tradičného individualizovaného elektronického sledovania a oddielu 402 zákona FISA (81) o inštalácii záznamníkov zdrojov a cieľov elektronickej komunikácie sú dvoma ústrednými nástrojmi oddiel 501 zákona FISA [predtým oddiel 215 vlasteneckého zákona USA (PATRIOT ACT)] a oddiel 702 zákona FISA (82).

(79) V tomto ohľade sa zákonom USA o slobode (Freedom Act), ktorý bol prijatý 2. júna 2015, zakazuje hromadný zber záznamov na základe oddielu 402 zákona FISA (povolenie pre záznamníky zdrojov a cieľov elektronickej komunikácie) a oddielu 501 zákona FISA (predtým: oddiel 215 vlasteneckého zákona USA) (83), ako aj prostredníctvom využitia NSL, a namiesto toho vyžaduje použitie špecifických „výberových podmienok“ (84).

(80) Hoci zákon FISA obsahuje ďalšie zákonné povolenia na vykonávanie národných spravodajských činností vrátane signálového spravodajstva, z posúdenia Komisie vyplýva, že pokiaľ ide o osobné údaje prenášané v rámci štítu na ochranu osobných údajov medzi EÚ a USA, týmito povoleniami sa rovnako obmedzuje zásah orgánov verejnej moci na cielený zber a prístup.

(81) Jednoznačné to je v prípade tradičného individualizovaného elektronického sledovania podľa oddielu 104 zákona FISA (85). Pokiaľ ide o oddiel 702 zákona FISA, ktorý poskytuje základ pre dva dôležité spravodajské programy realizované spravodajskými agentúrami USA (PRISM, UPSTREAM), vyhľadávanie sa vykonáva cieleným spôsobom pomocou individuálnych selektorov, ktoré identifikujú špecifické komunikačné prostriedky, napríklad cieľovú e-mailovú adresu alebo telefónne číslo, ale nie kľúčové slová či dokonca mená cieľových osôb (86). Ako poznamenala Rada pre dohľad nad ochranou súkromia a občianskych slobôd (Privacy and Civil Liberties Oversight Board – PCLOB), sledovanie podľa oddielu 702 sa teda „týka výlučne zacielenia na konkrétne osoby (ktoré nie sú občanmi USA), ktoré boli individualizovane určené“ (87). Vzhľadom na doložku o „ukončení platnosti“ sa oddiel 702 zákona FISA bude musieť preskúmať v roku 2017, keď bude Komisia musieť prehodnotiť záruky, ktoré majú k dispozícii dotknuté osoby z EÚ.

(82) Vláda USA navyše vo svojich vyhláseniach výslovne uistila Európsku komisiu, že spravodajské služby USA „nevykonávajú nerozlišujúce sledovanie nikoho vrátane bežných európskych občanov“ (88). Pokiaľ ide o osobné údaje zhromaždené v rámci USA, toto vyhlásenie podporujú empirické dôkazy, ktoré preukazujú, že žiadosti o prístup prostredníctvom NSL a podľa zákona FISA sa jednotlivo aj spoločne týkajú iba pomerne malého počtu cieľov v porovnaní s celkovým tokom údajov na internete (89).

(83) Pokiaľ ide o prístup k zhromaždeným údajom a zabezpečenie údajov, v prezidentskej politickej smernici 28 sa vyžaduje, aby bol prístup „obmedzený na oprávnený personál, ktorý musí poznať informácie, aby mohol plniť svoje poslanie“, a že osobné informácie „sa spracúvajú a uchovávajú za podmienok, ktoré poskytujú dostatočnú ochranu a bránia prístupu neoprávnených osôb v súlade s príslušnými zárukami na ochranu citlivých informácií“. Spravodajský personál dostáva primeranú a dostatočnú odbornú prípravu o zásadách uvedených v prezidentskej politickej smernici 28 (90).

(84) A napokon, pokiaľ ide o uchovávanie a ďalšie šírenie osobných údajov dotknutých osôb v EÚ zhromaždených spravodajskými orgánmi USA, v prezidentskej politickej smernici 28 sa uvádza, že so všetkými osobami (vrátane osôb, ktoré nie sú občanmi ani rezidentmi USA) sa musí zaobchádzať s úctou a rešpektom, že všetky osoby majú oprávnené záujmy týkajúce sa ochrany súkromia pri nakladaní s ich osobnými údajmi, a že zložky spravodajských služieb preto musia zaviesť pravidlá, ktoré poskytujú dostatočné záruky v súvislosti s týmito údajmi, ktoré sú „primerane navrhnuté tak, aby sa minimalizovalo ich šírenie a uchovávanie“ (91).

(85) Vláda USA vysvetlila, že táto požiadavka na primeranosť znamená, že zložky spravodajských služieb nebudú musieť prijať „všetky teoreticky možné opatrenia“, ale budú musieť „vyvažovať svoje úsilie na ochranu oprávnených záujmov v oblasti ochrany súkromia a občianskych slobôd s praktickými potrebami činností signálového spravodajstva“ (92). V tomto ohľade sa s osobami, ktoré nie sú občanmi ani rezidentmi USA, bude zaobchádzať rovnako ako s občanmi alebo rezidentmi USA na základe postupov schválených generálnym prokurátorom (93).

(86) Podľa týchto pravidiel je uchovávanie vo všeobecnosti obmedzené na maximálne päť rokov, pokiaľ neexistuje konkrétne zákonné určenie alebo výslovné určenie riaditeľom národnej spravodajskej služby po dôkladnom vyhodnotení otázok ochrany súkromia – s prihliadnutím k názorom úradníka pre ochranu občianskych slobôd z ODNI a úradníkov danej agentúry pre ochranu súkromia a občianskych slobôd –, z ktorého vyplýva, že ďalšie uchovávanie je v záujme národnej bezpečnosti (94). Šírenie je obmedzené na prípady, keď sú informácie dôležité pre základný účel zberu údajov, a teda zodpovedajú schválenej požiadavke zahraničného spravodajstva alebo požiadavke na presadzovanie práva (95).

(87) Podľa uistení zo strany vlády USA sa osobné údaje nesmú šíriť len preto, lebo daná osoba nie je občanom USA, a „signálové spravodajstvo o bežnej činnosti zahraničnej osoby by sa nemalo považovať za zahraničné spravodajské informácie, ktorá by sa mohli šíriť alebo trvalo uchovávať iba z tohto dôvodu, pokiaľ inak nereagujú na schválenú požiadavku na zahraničné spravodajstvo“ (96).

(88) Komisia na základe všetkých uvedených skutočností dospela k záveru, že v USA existujú platné pravidlá, ktorých cieľom je obmedziť akékoľvek zásahy do základných práv osôb, ktorých osobné údaje sa prenášajú v rámci štítu na ochranu osobných údajov medzi EÚ a USA, na účely národnej bezpečnosti na to, čo je nevyhnutne potrebné na dosiahnutie príslušného legitímneho cieľa.

(89) Ako vyplýva z uvedenej analýzy, v práve USA sa zaisťuje, že opatrenia týkajúce sa sledovania sa použijú len na zhromaždenie zahraničných spravodajských informácií – čo je legitímnym politickým cieľom (97) – a v čo najväčšej možnej miere sa prispôsobia. Konkrétne hromadný zber sa povolí len vo výnimočných prípadoch, ak nebude realizovateľný cielený zber, a budú ho sprevádzať dodatočné záruky týkajúce sa minimalizovania objemu zhromaždených údajov a následného prístupu (ktorý bude musieť byť cielený a povolí sa len na osobitné účely).

(90) V posúdení Komisie je táto skutočnosť v súlade s normou stanovenou Súdnym dvorom v rozsudku vo veci Schrems, podľa ktorého sa v právnych predpisoch týkajúcich sa zasahovania do základných práv zaručených článkami 7 a 8 charty musia uložiť „minimálne požiadavky“ (98) a „právna úprava, v ktorej sa vo všeobecnosti oprávňuje na uchovávanie všetkých osobných údajov každej osoby, ktorej osobné údaje boli prenesené z Únie do Spojených štátov, nie je obmedzená na úplne nevyhnutné bez toho, aby sa v nej stanovovalo akékoľvek rozlíšenie, obmedzenie alebo výnimka na základe sledovaného cieľa, a“„bez toho, aby sa stanovovalo objektívne kritérium umožňujúce obmedziť prístup orgánov verejnej moci k údajom a ich neskoršie použitie na účely, ktoré sú konkrétne, prísne obmedzené a schopné odôvodniť zásah, ktorý spôsobuje tak prístup, ako aj používanie týchto údajov“. (99) Neuskutoční sa ani neobmedzený zber a uchovávanie údajov všetkých osôb bez akýchkoľvek obmedzení, ani neobmedzený prístup. Okrem toho sa vo vyhláseniach poskytnutých Komisii vrátane uistenia, že činnosti signálového spravodajstva v USA sa dotýkajú len nepatrnej časti komunikácie prechádzajúcej cez internet, vylučuje existencia prístupu k obsahu elektronickej komunikácie „na všeobecnom základe“ (100).

3.1.2. Účinná právna ochrana

(91) Komisia posúdila mechanizmy dohľadu, ktoré existujú v USA v súvislosti s akýmikoľvek zásahmi zo strany spravodajských orgánov USA do osobných údajov prenášaných do USA, ako aj možnosti individuálnej nápravy, ktoré majú k dispozícii dotknuté osoby z EÚ.

Dohľad

(92) Spravodajské služby USA podliehajú rôznym mechanizmom preskúmania a dohľadu, ktoré patria do právomoci troch zložiek štátnej moci. Zahŕňajú vnútorné a vonkajšie orgány v rámci výkonnej zložky, niekoľko výborov Kongresu, ako aj súdny dohľad, v tomto prípade konkrétne so zreteľom na činnosti na základe zákona o sledovaní v rámci zahraničného spravodajstva.

(93) Po prvé spravodajská činnosť orgánov USA je predmetom rozsiahleho dohľadu v rámci výkonnej moci.

(94) Podľa prezidentskej politickej smernice 28, oddielu 4 písm. a) bodu iv), pravidlá a postupy zložiek spravodajských služieb „zahŕňajú primerané opatrenia na uľahčenie dohľadu nad uplatňovaním záruk na ochranu osobných informácií“; tieto opatrenia by mali zahŕňať pravidelné audity (101).

(95) V tomto ohľade bolo zavedených niekoľko vrstiev dohľadu vrátane úradníkov pre ochranu občianskych slobôd alebo súkromia, generálnych inšpektorov, Úradu ODNI na ochranu občianskych slobôd a súkromia, PCLOB a Výboru prezidenta pre dohľad nad spravodajskou službou. Tieto funkcie dohľadu podporujú vo všetkých agentúrach zamestnanci zaoberajúci sa dodržiavaním predpisov (102).

(96) Ako vysvetlila vláda USA (103), úradníci pre ochranu občianskych slobôd alebo súkromia s úlohami dohľadu existujú na rôznych ministerstvách so spravodajskými úlohami a v spravodajských agentúrach (104). Hoci konkrétne právomoci týchto úradníkov sa môžu mierne líšiť v závislosti od povoľujúceho zákona, zvyčajne zahŕňajú dohľad nad postupmi s cieľom zabezpečiť, aby príslušné ministerstvo/agentúra primerane zohľadňovali otázky ochrany súkromia a občianskych slobôd a zaviedli vhodné postupy vybavovania sťažností fyzických osôb, ktoré sa domnievajú, že bolo narušené ich súkromie alebo občianske slobody (a v niektorých prípadoch, napríklad v rámci ODNI, môžu mať sami právomoc vyšetrovať sťažnosti (105)). Riaditeľ ministerstva/agentúry musí zasa zabezpečiť, aby úradník dostal všetky informácie a mal prístup ku všetkým materiálom potrebným na vykonávanie svojich funkcií. Úradníci pre ochranu občianskych slobôd alebo súkromia pravidelne podávajú správy Kongresu a PCLOB, ktoré okrem iného zahŕňajú informácie o počte a povahe sťažností prijatých ministerstvom/agentúrou a zhrnutia riešení týchto sťažností, vykonaných preskúmaní a zodpovedaných otázok a vplyvu činností vykonaných úradníkom (106). Podľa posúdenia vnútroštátnych orgánov pre ochranu osobných údajov možno vnútorný dohľad vykonávaný úradníkmi pre ochranu občianskych slobôd alebo súkromia považovať za „pomerne spravodlivý“, hoci podľa ich názoru nedosahujú požadovanú úroveň nezávislosti (107).

(97) Každá zložka spravodajských služieb má navyše svojho vlastného generálneho inšpektora, ktorý okrem iného zodpovedá za dohľad nad zahraničnou spravodajskou činnosťou (108). V rámci ODNI to zahŕňa Úrad generálneho inšpektora s rozsiahlou právomocou nad všetkými spravodajskými službami, ktorý je oprávnený vyšetrovať sťažnosti alebo informácie týkajúce sa obvinení z nezákonného konania alebo zneužitia právomoci v súvislosti s programami a činnosťami ODNI a/alebo spravodajských služieb (109). Generálny inšpektor je zo zákona nezávislý (110) útvar zodpovedný za vykonávanie auditov a vyšetrovaní v súvislosti s programami a činnosťami vykonávanými príslušnou agentúrou na účely národného spravodajstva vrátane zneužitia alebo porušenia zákona (111). Má oprávnenie na prístup ku všetkým záznamom, správam, auditom, preskúmaniam, dokumentom, publikáciám, odporúčaniam alebo iným relevantným materiálom, v prípade potreby aj prostredníctvom predvolania, a môže prijímať výpovede svedkov (112). Hoci generálni inšpektori môžu vydávať iba nezáväzné odporúčania na nápravné opatrenia, ich správy vrátane správ o následných opatreniach (alebo ich neexistencii) sa zverejňujú a navyše posielajú Kongresu, ktorý môže na tomto základe vykonávať svoju funkciu dohľadu (113).

(98) Okrem toho existuje Rada pre dohľad nad ochranou súkromia a občianskych slobôd, čo je nezávislá agentúra (114) v rámci exekutívnej zložky zložená z piatich členov pochádzajúcich z dvoch politických strán (115) vymenovaných prezidentom so súhlasom Senátu na určené šesťročné obdobie, ktorá je poverená úlohami v oblasti politík boja proti terorizmu a ich vykonávania s ohľadom na ochranu súkromia a občianskych slobôd. Pri skúmaní činnosti spravodajských služieb má prístup k všetkým relevantným záznamom, správam, auditom, preskúmaniam, dokumentom, publikáciám a odporúčaniam agentúr vrátane utajovaných informácií, môže viesť vypočúvania a prijímať výpovede svedkov. Prijíma správy od úradníkov pre ochranu občianskych slobôd a súkromia z viacerých federálnych úradov/agentúr (116), môže pre nich vydávať odporúčania a pravidelne podáva správy výborom Kongresu a prezidentovi (117). PCLOB má v rámci svojho mandátu takisto za úlohu pripravovať správu hodnotiacu vykonávanie prezidentskej politickej smernice 28.

(99) A napokon, uvedené mechanizmy dohľadu dopĺňa Výbor pre dohľad nad spravodajskou službou zriadený v rámci Poradného výboru prezidenta pre spravodajskú službu, ktorý dohliada na dodržiavanie ústavy a všetkých príslušných predpisov spravodajskými orgánmi USA.

(100) V záujme uľahčenia dohľadu sa zložky spravodajských služieb nabádajú, aby vytvorili informačné systémy, ktoré umožnia monitorovanie, zaznamenávanie a skúmanie otázok alebo iných vyhľadávaní osobných informácií (118). Orgány pre dohľad a dodržiavanie predpisov budú pravidelne kontrolovať postupy zložiek spravodajských služieb v oblasti ochrany osobných informácií obsiahnutých v signálovom spravodajstve a ich súlad s týmito postupmi (119).

(101) Tieto funkcie dohľadu sú navyše podporované rozsiahlymi požiadavkami na podávanie správ o nedodržiavaní predpisov. Postupy agentúr musia najmä zabezpečiť, aby v prípade, že sa vyskytne významný problém s dodržiavaním predpisov v súvislosti s osobnými informáciami akejkoľvek osoby bez ohľadu na jej štátnu príslušnosť, ktoré boli zhromaždené prostredníctvom signálového spravodajstva, bol tento problém ihneď oznámený riaditeľovi zložky spravodajských služieb, ktorý to následne oznámi riaditeľovi národnej spravodajskej služby, a ten podľa prezidentskej politickej smernice 28 určí, či sú potrebné nejaké nápravné opatrenia (120). Podľa vykonávacieho nariadenia č. 12333 sú navyše všetky zložky spravodajských služieb povinné hlásiť Výboru pre dohľad nad spravodajskou službou incidenty týkajúce sa nedodržania predpisov (121). Tieto mechanizmy zabezpečujú, aby sa problém riešil na najvyššej úrovni spravodajských služieb. Keď ide o osobu, ktorá nie je občanom USA, riaditeľ národnej spravodajskej služby po konzultácii s ministrom zahraničných vecí a riaditeľom oznamujúceho ministerstva alebo agentúry určí, či sa majú prijať opatrenia na oznámenie veci príslušnej zahraničnej vláde v súlade s ochranou zdrojov a metód a pracovníkov USA (122).

(102) Po druhé, okrem týchto mechanizmov dohľadu v rámci exekutívy vykonáva úlohy dohľadu nad všetkými zahraničnými spravodajskými činnosťami USA vrátane signálového spravodajstva aj Kongres USA, konkrétne výbory Snemovne reprezentantov a Senátu pre spravodajskú službu a súdnictvo. Podľa zákona o národnej bezpečnosti „prezident zabezpečí, aby výbory Kongresu pre spravodajskú službu boli v plnej miere a ihneď informované o spravodajských činnostiach USA vrátane všetkých významných očakávaných spravodajských činností, ktoré sa vyžadujú podľa tejto podkapitoly“ (123). Zároveň „prezident zabezpečí, aby sa každá protiprávna spravodajská činnosť, ako aj všetky nápravné opatrenia, ktoré boli prijaté alebo sa plánujú prijať v súvislosti s touto protiprávnou činnosťou, urýchlene oznámili výborom Kongresu pre spravodajskú službu“ (124). Členovia týchto výborov majú prístup k utajovaným informáciám, ako aj k spravodajským metódam a programom (125).

(103) V neskorších zákonoch sa rozšírili a spresnili oznamovacie požiadavky, pokiaľ ide o zložky spravodajských služieb, príslušných generálnych inšpektorov i generálneho prokurátora. Napríklad v zákone FISA sa vyžaduje, aby generálny prokurátor „plne informoval“ výbory Snemovne reprezentantov a Senátu pre spravodajskú službu a súdnictvo o činnostiach vlády podľa určitých častí zákona FISA (126). Ďalej vyžaduje, aby vláda poskytla výborom Kongresu„kópie všetkých rozhodnutí, nariadení alebo stanovísk Súdu pre sledovanie v rámci zahraničného spravodajstva alebo Revízneho súdu pre sledovanie v rámci zahraničného spravodajstva ktoré obsahujú významné vysvetlenia alebo výklady“ ustanovení zákona FISA. Dohľad nad sledovaním podľa oddielu 702 zákona FISA sa konkrétne vykonáva prostredníctvom zákonom požadovaných správ pre výbory pre spravodajskú službu a súdnictvo, ako aj prostredníctvom častých brífingov a vypočutí. Patrí medzi ne polročná správa generálneho prokurátora o uplatňovaní oddielu 702 zákona FISA s podpornými dokumentmi, ktoré zahŕňajú najmä správy ministerstva spravodlivosti a ODNI o dodržiavaní predpisov a opis prípadných incidentov týkajúcich sa nedodržania predpisov (127), a samostatné polročné posúdenie generálneho prokurátora a DNI, ktoré dokumentuje dodržiavanie postupov zacieľovania a minimalizácie vrátane dodržiavania postupov, ktoré zabezpečujú, aby sa zber údajov vykonával na legitímne účely zahraničného spravodajstva (128). Kongres dostáva aj správy od generálnych inšpektorov, ktorí sú oprávnení hodnotiť dodržiavanie postupov zacieľovania a minimalizácie a usmernení generálneho prokurátora zo strany agentúr.

(104) Podľa zákona USA o slobode z roku 2015 musí vláda USA Kongresu (a verejnosti) každý rok sprístupniť informácie okrem iného o počte vyžiadaných a prijatých príkazov a smerníc podľa zákona FISA, ako aj odhady počtu občanov a rezidentov USA a iných osôb, ktoré boli predmetom sledovania (129). V zákone sa takisto vyžaduje podávanie ďalších verejných správ o počte vydaných NSL, opäť v súvislosti s občanmi alebo rezidentmi USA aj inými osobami (pričom zároveň umožňuje príjemcom príkazov a certifikácií podľa zákona FISA a žiadostí NSL vydávať za určitých podmienok správy na účely zabezpečenia transparentnosti) (130).

(105) Po tretie, v prípade spravodajských činností orgánov verejnej moci USA na základe zákona FISA je možné nechať preskúmať a v niektorých prípadoch vopred schváliť príslušné opatrenia súdom FISC (131), čo je nezávislý tribunál (132), ktorého rozhodnutia možno napadnúť na Revíznom súde pre sledovanie v rámci zahraničného spravodajstva (Foreign Intelligence Surveillance Court of Review – FISCR) (133) a ako poslednú možnosť aj na Najvyššom súde USA (134). V prípade predchádzajúceho schválenia musia žiadajúce orgány (FBI, NSA, CIA atď.) predložiť návrh žiadosti právnikom z oddelenia pre národnú bezpečnosť ministerstva spravodlivosti, ktorí ho skontrolujú a v prípade potreby si vyžiadajú ďalšie informácie (135). Po dokončení žiadosti ju musí schváliť generálny prokurátor, zástupca generálneho prokurátora alebo asistent generálneho prokurátora pre národnú bezpečnosť (136). Ministerstvo spravodlivosti potom predloží žiadosť súdu FISC, ktorý ju posúdi a predbežne stanoví ďalší postup (137). Ak sa uskutoční vypočutie, súd FISC je oprávnený prijímať výpovede svedkov, ktoré môžu zahŕňať stanovisko experta (138).

(106) Súd FISC (a FISCR) je podporovaný stálym výborom piatich osôb, ktoré majú odborné poznatky v otázkach národnej bezpečnosti a občianskych slobôd (139). Z tejto skupiny súd vymenuje osobu, ktorá bude slúžiť ako amicus curiae a pomáhať pri posudzovaní všetkých žiadostí o príkaz alebo preskúmanie, ktoré podľa názoru súdu predstavujú nový alebo významný výklad zákona, pokiaľ súd nezistí, že také vymenovanie nie je vhodné (140). Tým sa má najmä zabezpečiť, aby sa v posúdení súdu náležite zohľadnili otázky súkromia. Súd môže tiež vymenovať osobu alebo organizáciu za amicus curiae (vrátane poskytovania technických poznatkov) vždy, keď to považuje za vhodné, prípadne môže na základe návrhu povoliť osobe alebo organizácii, aby predložila informácie amicus curiae (141).

(107) Pokiaľ ide o dve zákonné povolenia sledovania podľa zákona FISA, ktoré sú z hľadiska prenosu údajov v rámci štítu na ochranu osobných údajov medzi EÚ a USA najdôležitejšie, dohľad súdu FISC je odlišný.

(108) Podľa oddielu 501 zákona FISA (142), ktorý umožňuje získavanie „akýchkoľvek hmotných vecí (vrátane kníh, záznamov, publikácií, dokumentov a ďalších položiek)“, musí žiadosť adresovaná súdu FISC obsahovať vyhlásenie o skutočnostiach, ktoré preukazujú, že existujú opodstatnené dôvody domnievať sa, že požadované hmotné veci sú relevantné pre povolené vyšetrovanie (okrem posúdenia hrozieb), ktoré sa vykonáva s cieľom získať zahraničné spravodajské informácie o osobe, ktorá nie je občanom USA, alebo na ochranu pred medzinárodným terorizmom alebo tajnou spravodajskou činnosťou. Žiadosť musí obsahovať aj výpočet postupov minimalizácie prijatých generálnym prokurátorom na účely uchovávania a šírenia zhromaždených spravodajských informácií. (143)

(109) Naopak, podľa oddielu 702 zákona FISA súd FISC (144) nepovoľuje jednotlivé opatrenia sledovania; povoľuje skôr programy sledovania (ako PRISM, UPSTREAM) na základe každoročných certifikácií pripravených generálnym prokurátorom a riaditeľom národnej spravodajskej služby. Oddiel 702 zákona FISA umožňuje zacielenie na osoby, o ktorých možno odôvodnene predpokladať, že sa nachádzajú mimo územia USA, s cieľom získať zahraničné spravodajské informácie (145). NSA vykonáva toto zacielenie v dvoch krokoch: po prvé, analytici NSA identifikujú osoby, ktoré nie sú občanmi ani rezidentmi USA, nachádzajúce sa v zahraničí, ktorých sledovanie bude na základe posúdenia analytikov viesť k zhromaždeniu relevantných zahraničných spravodajských informácií stanovených v certifikácii. Po druhé keď boli tieto individualizované osoby identifikované a ich zacielenie bolo schválené prostredníctvom rozsiahleho mechanizmus preskúmania v rámci NSA (146), určia sa (t. j. vypracujú a uplatnia) selektory, ktoré identifikujú komunikačné kanály (napríklad e-mailové adresy) používané cieľmi (147). Ako bolo uvedené, certifikácie, ktoré schvaľuje súd FISC, neobsahujú žiadne informácie o jednotlivých osobách, ktoré majú byť zacielené, ale identifikujú kategórie zahraničných spravodajských informácií (148). Hoci súd FISC neposudzuje – na základe pravdepodobnej príčiny alebo inej normy –, či boli osoby správne zacielené s cieľom získať zahraničné spravodajské informácie (149), jeho kontrola sa vzťahuje na podmienku, že „významným účelom získavania údajov je získať zahraničné spravodajské informácie“ (150). Podľa oddielu 702 zákona FISA smie NSA získavať komunikácie osôb, ktoré nie sú občanmi ani rezidentmi USA, mimo USA iba v prípade, ak sa možno odôvodnene domnievať, že daný komunikačný prostriedok sa používa na komunikáciu zahraničných spravodajských informácií (napr. súvisiacich s medzinárodným terorizmom, šírením jadrových zbraní alebo nepriateľskými kybernetickými činnosťami). Určenia na tento účel podliehajú súdnemu preskúmaniu (151). Certifikácie musia obsahovať aj postupy zacieľovania a minimalizácie (152). Dodržiavanie predpisov overuje generálny prokurátor a riaditeľ národnej spravodajskej služby a agentúry sú povinné oznámiť všetky incidenty týkajúce sa nedodržania predpisov súdu FISC (153) (ako aj Kongresu a Výboru prezidenta pre dohľad nad spravodajskou službou), ktorý môže na tomto základe upraviť povolenie (154).

(110) V záujme zvýšenia účinnosti dohľadu zo strany súdu FISC navyše administratíva USA súhlasila s vykonaním odporúčania PCLOB poskytnúť súdu FISC dokumentáciu o rozhodnutiach o zacielení podľa oddielu 702 vrátane náhodnej vzorky hárkov s úlohami, aby súd FISC mohol posúdiť, ako sa v praxi uplatňuje požiadavka na účel zahraničného spravodajstva (155). Administratíva USA zároveň súhlasila s revíziou postupov NSA týkajúcich sa zacieľovania a prijala na tieto účely príslušné opatrenia s cieľom lepšie zdokumentovať odôvodnenie rozhodnutí o zacielení založené na účele zahraničného spravodajstva (156).

Individuálna náprava

(111) Podľa práva USA majú dotknuté osoby z EÚ, ktoré majú obavy v súvislosti s tým, či ich osobné údaje boli spracované (zhromaždené, sprístupnené atď.) zložkami spravodajských služieb USA, a ak áno, či boli dodržané obmedzenia platné podľa práva USA, k dispozícii niekoľko možností. Týkajú sa v podstate troch oblastí: zásahov podľa zákona FISA, nezákonného zámerného prístupu k osobným údajom úradníkmi vlády; a prístupu k informáciám podľa zákona o slobodnom prístupe k informáciám (Freedom of Information Act – FOIA) (157).

(112) Po prvé zákon o sledovaní v rámci zahraničného spravodajstva obsahuje viacero opravných prostriedkov aj pre osoby, ktoré nie sú občanmi ani rezidentmi USA, proti nezákonnému elektronickému sledovaniu (158). Fyzické osoby majú možnosť podať občianskoprávnu žalobu o peňažné odškodné proti USA, keď boli informácie o nich nezákonne a úmyselne použité alebo zverejnené (159); žalovať osobne úradníkov vlády USA (za protiprávne konanie „pod zámienkou zákona“) o peňažné odškodné (160); a napadnúť zákonnosť sledovania (s cieľom utajiť informácie) v prípade, že vláda USA chce použiť alebo zverejniť akékoľvek informácie získané alebo odvodené z elektronického sledovania jednotlivcov v súdnom alebo správnom konaní v USA (161).

(113) Po druhé, vláda USA informovala Komisiu o niekoľkých ďalších možnostiach, ktoré dotknuté osoby z EÚ môžu využiť v snahe uplatniť opravný prostriedok proti úradníkom vlády za nezákonný prístup vlády k osobným údajom alebo za ich používanie, a to aj na údajné účely národnej bezpečnosti (t. j. zákon o počítačových podvodoch a zneužívaní (162); zákon o ochrane súkromia v rámci elektronickej komunikácie (163); a zákon o práve na ochranu osobných finančných údajov (164)). Všetky tieto žalobné dôvody sa týkajú špecifických údajov, cieľov a/alebo druhov prístupu (napr. vzdialeného prístupu k počítaču cez internet) a sú k dispozícii za určitých podmienok (napr. úmyselné/zámerné konanie, konanie mimo úradnej právomoci, utrpená ujma) (165). V zákone o správnom konaní (5 U.S.C. § 702) sa ponúka všeobecnejšia možnosť nápravy, podľa ktorej „každá osoba, ktorá utrpí právnu krivdu kvôli konaniu agentúry, alebo ktorú konanie agentúry nepriaznivo postihuje alebo poškodzuje“, má nárok dožadovať sa súdneho preskúmania. To zahŕňa možnosť požiadať súd, aby „činnosť agentúry, zistenia a závery, ktoré sa považujú za […] svojvoľné, nevypočítateľné alebo za zneužitie právomoci, alebo inak v nesúlade so zákonom, vyhlásil za protiprávne a zrušil ich“ (166).

(114) A napokon, vláda USA poukazuje na zákon FOIA ako na prostriedok pre osoby, ktoré nie sú občanmi ani rezidentmi USA, ako požiadať o prístup k existujúcim záznamom federálnej agentúry vrátane prípadov, keď obsahujú osobné údaje fyzickej osoby (167). Vzhľadom na svoje zameranie zákon FOIA neposkytuje možnosť individuálnej nápravy proti zásahom do osobných údajov ako takým, aj keď by v zásade mohol umožniť fyzickým osobám získať prístup k relevantným informáciám držaným národnými spravodajskými agentúrami. Aj v tomto ohľade sa možnosti zdajú obmedzené, lebo agentúry môžu odmietnuť poskytnúť informácie, na ktoré sa vzťahujú niektoré vymenované výnimky, a to vrátane prístupu k utajovaným informáciám súvisiacim s národnou bezpečnosťou a informáciám týkajúcim sa vyšetrovaní v rámci presadzovania práva (168). Fyzické osoby však môžu napadnúť uplatnenie týchto výnimiek národnými spravodajskými agentúrami, pričom sa môžu domáhať správneho aj súdneho preskúmania.

(115) Hoci teda fyzické osoby vrátane dotknutých osôb z EÚ majú niekoľko možností nápravy, keď sa stali predmetom nezákonného (elektronického) sledovania na účely národnej bezpečnosti, je jasné aj to, že tieto možnosti sa nevzťahujú aspoň na niektoré právne základy, ktoré spravodajské orgány USA môžu využiť (napr. vykonávacie nariadenie č. 12333). Navyše aj v tých prípadoch, keď v zásade existujú možnosti súdnej nápravy pre osoby, ktoré nie občanmi ani rezidentmi USA, napríklad v prípade sledovania na základe zákona FISA, sú dostupné dôvody žaloby obmedzené (169), pretože žaloby podané fyzickými osobami (vrátane občanov a rezidentov USA) budú vyhlásené za neprípustné, ak nedokážu preukázať „aktívnu legitimáciu“ (170), čo obmedzuje prístup k všeobecným súdom (171).

(116) S cieľom poskytnúť ďalšiu možnosť nápravy prístupnú pre všetky dotknuté osoby z EÚ sa vláda USA rozhodla vytvoriť nový mechanizmus ombudsmana, ako je uvedené v liste ministra zahraničných vecí USA Komisii, ktorý sa nachádza v prílohe III k tomuto rozhodnutiu. Tento mechanizmus nadväzuje na určenie vysokého koordinátora (na úrovni tajomníka ministra) na ministerstve zahraničných vecí podľa prezidentskej politickej smernice 28, ktorý je kontaktnou osobou pre zahraničné vlády na vyjadrenie obáv v súvislosti s činnosťou USA v oblasti signálového spravodajstva, ale značne presahuje túto pôvodnú koncepciu.

(117) Podľa záväzkov vlády USA sa v rámci mechanizmu ombudsmana konkrétne zaistí, aby sa riadne vyšetrili a vyriešili sťažnosti fyzických osôb a aby fyzické osoby získali nezávislé potvrdenie, že boli dodržané zákony USA, alebo v prípade porušenia týchto zákonov, že ich porušenie bolo napravené (172). Mechanizmus zahŕňa „ombudsmana pre štít na ochranu osobných údajov“, t. j. tajomníka ministra a ďalší personál, ako aj ostatné orgány dohľadu s právomocou dohliadať na jednotlivé zložky spravodajskej služby, na ktorej spoluprácu sa ombudsman pre štít o ochranu osobných údajov bude spoliehať pri vybavovaní sťažností. Konkrétne, ak sa žiadosť fyzickej osoby týka zlučiteľnosti sledovania s právom USA, ombudsman pre štít na ochranu osobných údajov sa bude môcť opierať o nezávislé orgány dohľadu s vyšetrovacími právomocami (napríklad generálni inšpektori alebo PCLOB). Minister v každom prípade zaistí, aby mal ombudsman prostriedky, ktorými sa zabezpečí, že odpoveď na jednotlivé žiadosti sa bude zakladať na všetkých potrebných informáciách.

(118) V rámci mechanizmu ombudsmana sa touto „zloženou štruktúrou“ zaručuje nezávislý dohľad a individuálna náprava. Spoluprácou s ostatnými orgánmi dohľadu sa okrem toho zaisťuje prístup k nevyhnutným odborným znalostiam. A napokon, tým, že sa ombudsmanovi pre štít na ochranu osobných údajov ukladá povinnosť potvrdiť dodržanie alebo nápravu nedodržania zásad, sa v mechanizme zohľadňuje záväzok zo strany vlády USA ako celku zaoberať sa sťažnosťou a vyriešiť sťažnosť fyzických osôb z EÚ.

(119) Po piate, na rozdiel od čisto medzivládneho mechanizmu bude ombudsman pre štít na ochranu osobných údajov prijímať sťažnosti fyzických osôb a odpovedať na ne. Tieto sťažnosti možno adresovať dozorným orgánom v členských štátoch, ktoré sú zodpovedné za dohľad nad národnými bezpečnostnými službami a/alebo spracovaním osobných údajov zo strany orgánov verejnej moci, ktoré ich predložia centralizovanému orgánu EÚ, odkiaľ budú postúpené k ombudsmanovi pre štít na ochranu osobných údajov (173). To bude v skutočnosti prínosom pre fyzické osoby z EÚ, ktoré sa budú môcť obrátiť na vnútroštátny orgán „blízko domova“ a vo svojom vlastnom jazyku. Úlohou tohto orgánu bude podporovať fyzické osoby pri podávaní žiadostí ombudsmanovi pre štít na ochranu osobných údajov, ktoré budú obsahovať základné informácie, a teda sa budú môcť považovať za „úplné“. Fyzická osoba nemusí preukázať, že vláda USA skutočne získala prístup k jeho osobným údajom prostredníctvom činnosti signálového spravodajstva.

(120) Po druhé vláda USA sa zaväzuje, že zaistí, aby sa ombudsman pre štít na ochranu osobných údajov pri vykonávaní svojich funkcií mohol spoľahnúť na spoluprácu v rámci iných mechanizmov dohľadu a preskúmania dodržiavania predpisov, ktoré existujú v práve USA. Niekedy to bude zahŕňať národné spravodajské orgány, najmä v prípade, ak sa má žiadosť chápať ako žiadosť o prístup k dokumentom v zmysle zákona o slobodnom prístupe k informáciám. V ostatných prípadoch, najmä ak sa žiadosti týkajú zlučiteľnosti sledovania s právom USA, bude táto spolupráca zahŕňať nezávislé orgány dohľadu (napríklad generálnych inšpektorov) so zodpovednosťou a právomocou vykonať dôkladné vyšetrovanie (najmä prostredníctvom prístupu k všetkým relevantným dokumentom a právomoci požadovať informácie a vyhlásenia) a zaoberať sa nedodržaním predpisov (174). Ombudsman pre štít na ochranu osobných údajov bude takisto môcť postúpiť veci na posúdenie PCLOB (175). Ak jeden z týchto orgánov dohľadu zistí akékoľvek nedodržanie predpisov, daná zložka spravodajských služieb (napríklad spravodajská agentúra) bude musieť toto nedodržanie pravidiel napraviť, pretože len tak sa umožní ombudsmanovi poskytnúť „kladnú“ odpoveď danej fyzickej osobe (t. j. že došlo k náprave každého nedodržania predpisov), k čomu sa vláda USA zaviazala. Okrem toho v rámci spolupráce bude ombudsman pre štít na ochranu osobných údajov informovaný o výsledku vyšetrovania a bude mať prostriedky, ktorými sa zaistí, aby získal všetky informácie potrebné na prípravu jeho odpovede.

(121) A napokon, ombudsman pre štít na ochranu osobných údajov bude nezávislý, a teda nebude prijímať pokyny od spravodajských služieb USA (176). To má veľký význam vzhľadom na to, že ombudsman bude musieť „potvrdiť“, že i) sťažnosť bola riadne vyšetrená a že ii) boli dodržané príslušné právne predpisy USA – okrem iného najmä obmedzenia a záruky uvedené v prílohe VI –, alebo v prípade ich porušenia, že toto porušenie bolo napravené. Na to, aby ombudsman pre štít na ochranu osobných údajov mohol poskytnúť toto nezávislé potvrdenie, bude musieť získať potrebné informácie týkajúce sa vyšetrovania s cieľom posúdiť presnosť odpovede na sťažnosť. Minister sa navyše zaviazal, že zaistí, aby tajomník ministra vykonával funkciu ombudsmana pre štít na ochranu osobných údajov objektívne a bez akéhokoľvek nevhodného vplyvu, ktorý môže mať vplyv na pripravované odpovede.

(122) Celkovo sa týmto mechanizmom zaisťuje, že sťažnosti fyzických osôb sa budú dôkladne vyšetrovať a riešiť a že prinajmenšom v oblasti sledovania to bude zahŕňať nezávislé orgány dohľadu s potrebnými odbornými znalosťami a vyšetrovacími právomocami a ombudsmana, ktorý bude schopný vykonávať svoje funkcie bez nevhodného, predovšetkým politického, vplyvu. Fyzické osoby budú navyše môcť predložiť sťažnosti bez toho, aby museli preukázať, že boli predmetom sledovania, alebo o tom poskytnúť informácie (177). Vzhľadom na tieto prvky je Komisia presvedčená o tom, že proti zneužívaniu existujú vhodné a účinné záruky.

(123) Komisia na základe všetkých uvedených skutočností dospela k záveru, že USA zabezpečujú účinnú právnu ochranu pred zásahmi svojich spravodajských orgánov do základných práv osôb, ktorých údaje sa prenášajú z Únie do USA v rámci štítu na ochranu osobných údajov medzi EÚ a USA.

(124) Komisia v tejto súvislosti berie na vedomie rozsudok Súdneho dvora vo veci Schrems, podľa ktorého „právna úprava, ktorá neupravuje nijakú možnosť fyzickej osoby podliehajúcej súdnej právomoci uplatniť právne prostriedky nápravy, aby mala prístup k osobným údajom, ktoré sa jej týkajú, alebo dosiahnuť opravu alebo vymazanie takýchto údajov, nerešpektuje podstatu obsahu základného práva na účinnú súdnu ochranu, ako je upravené článkom 47 Charty“ (178). Posúdením Komisie sa potvrdilo, že takéto právne prostriedky nápravy sú v USA ustanovené, a to aj prostredníctvom zavedenia mechanizmu ombudsmana. Mechanizmom ombudsmana sa poskytuje nezávislý dohľad a vyšetrovacie právomoci. V rámci neustáleho monitorovania štítu na ochranu osobných údajov zo strany Komisie, okrem iného aj prostredníctvom každoročného spoločného preskúmania, ktoré bude takisto zahŕňať ombudsmana, sa účinnosť tohto mechanizmu bude opätovne posudzovať.

3.2. Prístup a použitie zo strany orgánov verejnej moci USA na účely presadzovania práva a verejného záujmu

(125) Pokiaľ ide o zásahy do osobných údajov prenášaných v rámci štítu na ochranu osobných údajov medzi EÚ a USA na účely presadzovania práva, vláda USA (prostredníctvom ministerstva spravodlivosti) poskytla uistenie v súvislosti s platnými obmedzeniami a zárukami, ktoré podľa posúdenia Komisie preukazujú primeranú úroveň ochrany.

(126) Podľa tejto informácie domové prehliadky a zaistenia zo strany orgánov presadzovania práva podľa štvrtého dodatku k ústave USA (179) si predovšetkým (180) vyžadujú, aby súd vydal príkaz na základe preukázania „pravdepodobnej príčiny“. V niekoľkých osobitne stanovených a výnimočných prípadoch, keď požiadavka na súdny príkaz neplatí (181), presadzovanie práva podlieha skúške „odôvodnenosti“ (182). To, či sú domová prehliadka alebo zaistenie odôvodnené, „závisí od posúdenia na jednej strane miery, v akej zasahujú do súkromia fyzickej osoby, a na druhej strane miery, v akej sú nutné na presadenie oprávnených záujmov vlády“ (183). Všeobecnejšie štvrtý dodatok zaručuje súkromie, dôstojnosť a chráni pred svojvoľnými a rušivými činmi úradníkov vlády (184). Tieto koncepcie zodpovedajú zásadám nevyhnutnosti a proporcionality, ktoré obsahuje právo Únie. Ak orgány presadzovania práva už nepotrebujú používať zabavené veci ako dôkaz, mali by ich vrátiť (185).

(127) Hoci práva vyplývajúce zo štvrtého dodatku sa nevzťahujú na osoby, ktoré nie sú občanmi ani rezidentmi USA, tieto osoby sú ním napriek tomu nepriamo chránené, a to vzhľadom na skutočnosť, že osobné údaje majú v držbe spoločnosti v USA s tým účinkom, že orgány presadzovania práva musia v každom prípade žiadať o súdne povolenie (alebo aspoň dodržať požiadavku týkajúcu sa opodstatnenosti) (186). Ďalšiu ochranu poskytujú osobitné zákonné orgány, ako aj usmernenia ministerstva spravodlivosti, ktoré obmedzujú prístup orgánov presadzovania práva k údajom z dôvodov, ktoré sú rovnocenné nevyhnutnosti a proporcionalite (napr. požiadavkou, aby FBI použila čo najmenej obťažujúce vyšetrovacie metódy s ohľadom na ich vplyv na ochranu súkromia a občianskych slobôd) (187). Podľa vyhlásení vlády USA sa rovnaká alebo vyššia ochrana vzťahuje na vyšetrovania v rámci presadzovania práva na úrovni štátu (pokiaľ ide o vyšetrovania vykonávané podľa zákonov štátu) (188).

(128) Hoci predchádzajúce povolenie súdu alebo veľkej poroty (vyšetrovací orgán súdu zostavený sudcom alebo magistrátnym sudcom) sa nevyžaduje vo všetkých prípadoch (189), správne predvolania sú obmedzené na osobitné prípady a budú predmetom nezávislého súdneho preskúmania aspoň vtedy, keď sa vláda snaží o ich presadenie na súde (190).

(129) To isté platí aj pre používanie správnych predvolaní na predloženie údajov na účely verejného záujmu. Podľa vyhlásení vlády USA sa navyše podobné významné obmedzenia uplatňujú aj v tom ohľade, že agentúry môžu žiadať o prístup len k tým údajom, ktoré sú relevantné pre záležitosti patriace do ich rozsahu právomocí, a musia dodržiavať zásadu opodstatnenosti.

(130) V práve USA sa navyše stanovuje niekoľko možností súdnej nápravy pre fyzické osoby, a to voči orgánu verejnej moci alebo jednému z jeho úradníkov, ak tieto orgány spracovávajú osobné údaje. Tieto možnosti, ku ktorým patrí najmä zákon o správnom konaní (Administrative Procedure Act – APA), zákon o slobodnom prístupe k informáciám (Freedom of Information Act – FOIA) a zákon o súkromí v elektronickej komunikácii (Electronic Communications Privacy Act – ECPA), môžu využiť všetky fyzické osoby bez ohľadu na ich štátnu príslušnosť s výhradou akýchkoľvek uplatniteľných podmienok.

(131) Vo všeobecnosti má v zmysle ustanovení zákona o správnom konaní (191) týkajúcich sa súdneho preskúmania „každá osoba, ktorá utrpí právnu krivdu v dôsledku činnosti agentúry, alebo ktorú činnosť agentúry nepriaznivo postihuje alebo poškodzuje“, nárok dožadovať sa súdneho preskúmania (192). To zahŕňa možnosť požiadať súd, aby „činnosť agentúry, zistenia a závery, ktoré sa považujú za […] svojvoľné, nevypočítateľné alebo za zneužitie právomoci, alebo inak v nesúlade so zákonom, vyhlásil za protiprávne a zrušil ich“ (193).

(132) Konkrétnejšie, v hlave II zákona o súkromí v elektronickej komunikácii (194) sa uvádza systém zákonných práv v oblasti ochrany súkromia a ako takým sa ním upravuje prístup orgánov presadzovania práva k obsahu telefonickej, ústnej alebo elektronickej komunikácie, ktorú uchovávajú poskytovatelia služieb, ktorí sú tretími stranami (195). Trestne sa ním postihuje nezákonný prístup (t. j. nie povolený súdom alebo inak prípustný) k tejto komunikácii a poskytuje sa ním možnosť nápravy pre dotknuté osoby prostredníctvom podania občianskoprávnej žaloby na federálnom súde USA o náhradu skutočnej škody a represívnu náhradu škody, ako aj spravodlivé alebo deklaratórne nápravné opatrenie voči štátnemu úradníkovi, ktorý vedome spáchal tieto nezákonné činy, alebo voči USA.

(133) Takisto v zmysle zákona o slobodnom prístupe k informáciám (FOIA, 5 U.S.C. § 552) má každá osoba právo získať prístup k záznamom federálnej