Pokiaľ ide o iniciatívne kontroly toho, či spoločnosti dodržiavajú požiadavky štítu na ochranu osobných údajov, ministerstvo obchodu zaviedlo v apríli 2019 systém, v rámci ktorého každý mesiac kontroluje 30 spoločností. Komisia víta, že ministerstvo obchodu pravidelne a systematicky vykonáva iniciatívne náhodné kontroly súladu na mieste, čo je veľmi dôležité na zlepšenie celkového súladu s rámcom a na odhalenie prípadov, ktoré si vyžadujú opatrenia Federálnej obchodnej komisie zamerané na presadzovanie práva. Konštatuje však, že tieto náhodné kontroly na mieste sa zvyčajne obmedzujú na formálne požiadavky, medzi ktoré patrí napríklad nedostatočná odozva od určených kontaktných miest alebo skutočnosť, že zásady ochrany osobných údajov spoločností nie sú dostupné online. Aj keď určite ide o relevantné aspekty súladu s požiadavkami štítu na ochranu osobných údajov, takéto kontroly by mali zahŕňať aj základné záväzky, napríklad dodržiavanie zásady zodpovednosti za ďalšie prenosy s plným využitím nástrojov, o ktoré sa ministerstvo obchodu môže v tomto rámci opierať. Požiadavky na ďalšie prenosy sa v rámci štítu na ochranu súkromia výrazne posilnili, pretože chýbajúce záruky by v takýchto situáciách oslabili ochranu zaručenú rámcom. Hoci kontroly na mieste by sa mali aj naďalej vykonávať pravidelne a systematicky, dodržiavanie týchto zásadnejších požiadaviek je pre fungovanie štítu na ochranu súkromia takisto rozhodujúce, a preto by mali podliehať prísnemu monitorovaniu a presadzovaniu orgánmi USA.

Pokiaľ ide o proces opätovného osvedčenia, pri treťom každoročnom preskúmaní vyšlo najavo, že je bežnou praxou, že ak spoločnosť po uplynutí lehoty na vykonanie (opätovného) osvedčenia proces opätovného osvedčenia nedokončila, ministerstvo obchodu poskytne spoločnosti na základe interného postupu možnosť odkladu na značné obdobie. V tomto období (približne 3,5 mesiaca alebo v niektorých prípadoch dokonca aj dlhšie obdobie v závislosti od toho, kedy ministerstvo obchodu zistí, že proces opätovného osvedčovania nebol dokončený) je spoločnosť stále uvedená na zozname organizácií zapojených do štítu na ochranu osobných údajov ako aktívna. Pokiaľ spoločnosť stále figuruje medzi organizáciami zapojenými do štítu na ochranu osobných údajov, povinnosti vyplývajúce z rámca sú naďalej záväzné a v plnej miere vynútiteľné. Ak je však spoločnosť naďalej uvedená na zozname organizácií aktívne zapojených do štítu na ochranu osobných údajov tak dlho po tom, ako uplynula lehota na opätovné osvedčenie, znižuje sa transparentnosť a čitateľnosť zoznamu organizácií zapojených štítu na ochranu osobných údajov pre podniky aj jednotlivcov v EÚ. Navyše to zapojené spoločnosti nemotivuje, aby dôsledne dodržiavali požiadavku každoročného opätovného osvedčovania.

Po treťom roku fungovania sa štít na ochranu osobných údajov, do ktorého bolo v čase každoročného preskúmania zapojených viac ako 5 000 spoločností, presunul z počiatočnej fázy do fázy s vyššou mierou funkčnej prevádzky. Tretie každoročné preskúmanie sa zameriavalo na skúsenosti a vedomosti získané pri praktickom uplatňovaní rámca a zahŕňalo obchodné aspekty aj otázky týkajúce sa prístupu vlády k osobným údajom.

Komisia v súvislosti s procesom ministerstva obchodu na vyhľadávanie nepravdivých tvrdení o účasti na štíte na ochranu osobných údajov konštatovala, že ministerstvo obchodu naďalej vykonávalo štvrťročné kontroly, čo viedlo k odhaleniu významného počtu prípadov nepravdivých tvrdení, pričom niektoré z nich boli postúpené Federálnej obchodnej komisii. Niektoré z týchto vyhľadávaní sa zatiaľ však zameriavali len na spoločnosti, ktoré už boli nejakým spôsobom osvedčené alebo požiadali o osvedčenie v rámci štítu na ochranu osobných údajov (ale napríklad neprešli procesom opätovného osvedčenia). Je dôležité, aby sa zameriavali aj na spoločnosti, ktoré nikdy nepožiadali o osvedčenie v rámci štítu na ochranu osobných údajov. Nepravdivé tvrdenia spoločností, ktoré nikdy nepožiadali o osvedčenie, sú potenciálne najškodlivejšie zo všetkých. Platí to z hľadiska ochrany súkromia jednotlivcov, pretože ak spoločnosti nikdy nepožiadali o osvedčenie, tak vo svojich obchodných praktikách nezaviedli žiadny z ochranných prvkov zaručených štítom na ochranu osobných údajov. Platí to aj z hľadiska podnikov, pretože ak organizácie, ktoré nespĺňajú požiadavky rámca, môžu využívať výhody osvedčenia, je oslabená rovnosť podmienok medzi spoločnosťami.

Komisia víta, že čoraz väčší počet dotknutých osôb z EÚ využíva svoje práva v rámci štítu na ochranu osobných údajov a príslušné mechanizmy nápravy fungujú dobre. Počet sťažností predložených nezávislým mechanizmom nápravy sa zvýšil a boli vyriešené k spokojnosti dotknutých jednotlivcov z EÚ. Navyše zapojené spoločnosti náležite vybavili žiadosti jednotlivcov z EÚ.

V súvislosti s presadzovaním Komisia konštatovala, že od minulého roka Federálna obchodná komisia uzavrela sedem opatrení zameraných na presadzovanie, ktoré sa týkali porušení štítu na ochranu osobných údajov, a to aj ako výsledok ohlásených kontrol ex officio. Všetkých sedem prípadov sa týkalo nepravdivých tvrdení o účasti na rámci. Dva z týchto prípadov sa týkali porušenia zásadnejších požiadaviek štítu na ochranu osobných údajov, napríklad toho, že sa prostredníctvom posúdenia vykonaného samotnou organizáciou ani posúdenia dodržiavania zásad externým posudzovateľom neoverilo, či sú tvrdenia spoločnosti o postupoch v rámci štítu na osobných údajov pravdivé a či sa dané postupy zaviedli. Komisia víta opatrenia zamerané na presadzovanie vykonané Federálnou obchodnou komisiu v treťom roku fungovania štítu na ochranu osobných údajov. Vzhľadom na oznámenie agentúry z minulého roka a na ubezpečenia poskytnuté počas druhého každoročného preskúmania Komisia očakávala dôraznejší prístup, pokiaľ ide o opatrenia na presadzovanie práva v kontexte závažných porušení zásad štítu na ochranu osobných údajov.

V tejto súvislosti Komisia vzala na vedomie vysvetlenie poskytnuté pri treťom každoročnom preskúmaní, že niektoré prebiehajúce vyšetrovania si vyžadujú viac času, pretože Federálna obchodná komisia skúma celý rad možných porušení. Informácie, ktoré poskytla Federálna obchodná komisia však boli príliš obmedzené na to, aby sa primerane vyhodnotil pokrok pri presadzovaní. Hoci prístup k takýmto informáciám môže byť obmedzený z dôvodu ich legitímneho dôverného charakteru, nezdá sa, že je opodstatnené, aby Federálna obchodná komisia nemohla poskytnúť, dokonca ani v súhrnnej alebo anonymnej forme, viac informácií o prebiehajúcich ohlásených kontrolách ex officio. Tento prístup nie je v súlade s duchom spolupráce medzi orgánmi, na ktorom je štít na ochranu osobných údajov založený, a tak by mala Federálna obchodná komisia nájsť spôsoby, ako poskytnúť užitočné informácie o svojej činnosti v oblasti presadzovania práva Komisii a orgánom EÚ pre ochranu údajov, pretože sa delia o zodpovednosť za presadzovanie rámca.

Počas preskúmania sa opäť diskutovalo o tom, ako sa v rámci štítu na ochranu osobných údajov zaobchádza s údajmi o ľudských zdrojoch. Ako potvrdili zainteresované strany, skutočnú pridanú hodnotu by malo, keby sa vypracovalo spoločné usmernenie ministerstva obchodu, Federálnej obchodnej komisie a orgánov EÚ pre ochranu údajov. V tejto súvislosti Komisia konštatuje, že nedávno o tom prebehla komunikácia a viedla k určitému pokroku, pokiaľ ide o pochopenie otázok, ale zatiaľ bez žiadneho konkrétneho výsledku.

2.2.Prístup orgánov verejnej moci USA k osobným údajom a ich využívanie

Pokiaľ ide o aspekty týkajúce sa prístupu orgánov verejnej moci USA k osobným údajom a ich využívania, cieľom tretieho každoročného preskúmania bolo v prvom rade potvrdiť, že všetky obmedzenia a záruky, o ktoré sa opiera rozhodnutie o primeranosti, zostávajú v platnosti. Tretie každoročné preskúmanie okrem toho poskytlo príležitosť preskúmať nový vývoj a bližšie vysvetliť určité aspekty právneho rámca, ako aj rôzne mechanizmy dohľadu a možnosti nápravy, najmä pokiaľ ide o vybavovanie a riešenie sťažností ombudsmanom.

Aj keď nedošlo k žiadnemu novému právnemu vývoju v oblasti získavania zahraničných spravodajských informácií v súlade s článkom 702 zákona o dohľade nad zahraničnou rozviedkou (Foreign Intelligence Surveillance Act), Komisia uvítala vysvetlenia orgánov USA o spôsobe, akým sa zacieľuje získavanie spravodajských informácií prostredníctvom programov spravodajských služieb vykonávaných v súlade s článkom 702 zákona o dohľade nad zahraničnou rozviedkou (t. j. Prism a Upstream). Tieto vysvetlenia potvrdili zistenia Komisie z rozhodnutia o primeranosti, že získavanie zahraničných spravodajských informácií podľa článku 702 zákona o dohľade nad zahraničnou rozviedkou je vždy cielené prostredníctvom používania selektorov a že výber selektorov sa riadi zákonom a podlieha nezávislému súdnemu a legislatívnemu dohľadu.

Komisia ďalej konštatovala, že platnosť oprávnenia niektorých orgánov na získavanie zahraničných spravodajských informácií podľa článku 501 zákona o dohľade nad zahraničnou rozviedkou zmeneného zákonom USA o slobode z roku 2015 (Freedom Act) uplynie 15. decembra 2019. Získavanie informácií podľa článku 501 zákona o dohľade nad zahraničnou rozviedkou je relevantné v súvislosti so štítom na ochranu osobných údajov, a preto Komisia v rozhodnutí o primeranosti usúdila, že je dôležité, aby v prípade obnovenia oprávnenia zostali v platnosti existujúce obmedzenia a záruky, napríklad zákaz hromadného zhromažďovania.

Pokiaľ ide o prezidentskú politickú smernicu 28, orgány USA výslovne potvrdili, že zostáva v plnej platnosti a účinnosti a nijako sa nemení. V rôznych agentúrach spravodajskej komunity nedošlo k žiadnym zmenám postupov, ktorými sa vykonáva prezidentská politická smernica 28. Komisia vzala na vedomie vysvetlenia orgánov USA, ktoré objasnili, že ustanovenia o hromadnom zhromažďovaní uvedené v prezidentskej politickej smernici 28 vrátane ustanovení o dočasnom nadobudnutí sa nevzťahujú na získavanie zahraničných spravodajských informácií v rámci USA (napríklad na získavanie informácií od osvedčenej spoločnosti, ktorá spracúva údaje prenášané z EÚ v rámci štítu na ochranu osobných údajov), napríklad na získavanie informácií podľa článku 702 zákona o dohľade nad zahraničnou rozviedkou v rámci programov Prism a Upstream, v ktorých je získavanie údajov vždy cielené.

Pokiaľ ide o Radu pre dohľad nad ochranou súkromia a občianskych slobôd, ktorá je dôležitým dozorným orgánom v oblasti vládneho dohľadu, Komisia uvítala nedávne vymenovanie ďalších dvoch členov rady Senátom USA, pričom Rada pre dohľad nad ochranou súkromia a občianskych slobôd má prvýkrát od roku 2016 všetkých piatich členov. Komisia ďalej konštatovala, že počet zamestnancov rady sa od posledného každoročného preskúmania zdvojnásobil a že prijala ambiciózny pracovný program, ktorý pozostáva z desiatich prebiehajúcich projektov v oblasti dohľadu. Niektoré z nich majú osobitný význam pre pravidelné preskúmanie štítu na ochranu údajov Komisiou.

Pokiaľ ide o mechanizmus ombudsmana pre štít na ochranu osobných údajov, prezident USA 18. januára 2019 oznámil nomináciu Keitha Kracha za štátneho tajomníka, ktorý zároveň pôsobí ako ombudsman. Senát USA potvrdil nomináciu pána Kracha 20. júna 2019. Komisia víta vymenovanie pána Kracha za ombudsmana pre štít na ochranu osobných údajov, pretože to zaisťuje trvalé obsadenie danej pozície.

Pokiaľ ide o prvú sťažnosť určenú mechanizmu ombudsmana, ktorá bola predložená prostredníctvom chorvátskeho orgánu pre ochranu osobných údajov tesne pred posledným každoročným preskúmaním, bola nakoniec posúdená ako neprípustná, pretože sa týkala skutočností, ku ktorým došlo ešte pred prijatím rozhodnutia o štíte na ochranu osobných údajov. Sťažnosť však poskytla príležitosť odskúšať fungovanie príslušných postupov v praxi. Zástupcovia Európskeho výboru pre ochranu údajov na každoročnom preskúmaní aj ombudsman potvrdili, že všetky príslušné kroky boli začaté a dokončené vyhovujúcim spôsobom. Komisia víta úspešné spracovanie prvej žiadosti ako dôležitý náznak toho, že mechanizmus ombudsmana dokáže riadne vykonávať svoju funkciu.

Orgány USA poskytli aj ďalšie vysvetlenia, ako bude prebiehať spolupráca ombudsmana s ďalšími nezávislými orgánmi dohľadu a ako bude prebiehať náprava porušení. Potvrdili najmä, že nezávislý generálny inšpektor spravodajských služieb bude systematicky informovaný o každej sťažnosti predloženej ombudsmanovi a vykoná vlastné posúdenie. Okrem toho vysvetlili, že ak by sťažnosť podaná ombudsmanovi odhalila porušenia postupov cielenia podľa článku 702 zákona o dohľade nad zahraničnou rozviedkou, bola by nahlásená Súdu pre dohľad nad zahraničnou rozviedkou, ktorý by vykonal nezávislé preskúmanie a v prípade potreby nariadil príslušnej spravodajskej agentúre prijať nápravné opatrenia. Nápravné opatrenia môžu mať rozsah od individuálnych po štrukturálne opatrenia, napríklad od vymazania nezákonne získaných údajov až po zmenu v postupe získavania, a to aj v súvislosti s usmerňovaním a odbornou prípravou zamestnancov.

Na záver sa potvrdilo, že ak by sa pri preskúmaní sťažností určenej ombudsmanom (vrátane porušenia vykonávacích nariadení, prezidentských politík a pravidiel a postupov agentúry, napríklad postupov v oblasti cielenia a minimalizácie schválených Súdom pre dohľad nad zahraničnou rozviedkou) zistilo porušenie právnych predpisov USA, nezákonne získané údaje by sa vymazali zo všetkých vládnych databáz a všetky odkazy na tieto údaje by sa vymazali zo spravodajských záznamov. Jednotlivec v EÚ by tak mohol dosiahnuť vymazanie svojich osobných údajov, ak ich spravodajské služby USA získali a spracovali protiprávne.

Komisia víta tieto dodatočné vysvetlenia, ktoré preukazujú, ako spolupráca medzi rôznymi nezávislými orgánmi dohľadu posilňuje účinnosť mechanizmu ombudsmana. Takisto bolo dôležité objasniť, že prostredníctvom mechanizmu ombudsmana môžu jednotlivci v EÚ skutočne uplatňovať svoje právo na vymazanie, ktoré je základným prvkom práva na ochranu osobných údajov.

3.ZÁVER

Na základe informácií získaných v súvislosti s tretím každoročným preskúmaním sa potvrdzujú zistenia Komisie z rozhodnutia o primeranosti, a to pokiaľ ide o obchodné aspekty rámca aj aspekty týkajúce sa prístupu verejného sektora k osobným údajom prenášaným v rámci štítu na ochranu osobných údajov. V tejto súvislosti Komisia vzala na vedomie niekoľko zlepšení fungovania rámca, ako aj vymenovanie predstaviteľov hlavných orgánov dohľadu.

Vzhľadom na niektoré problémy, ktoré vyplynuli z každodenných skúseností alebo sa stali relevantnejšími v súvislosti s praktickým vykonávaním rámca, Komisia dospela k záveru, že je potrebné podniknúť niekoľko konkrétnych krokov na lepšie zabezpečenie účinného fungovania štítu na ochranu osobných údajov v praxi:

1.Ministerstvo obchodu by malo skrátiť rôzne lehoty, ktoré sa poskytujú spoločnostiam na dokončenie procesu opätovného osvedčenia. Celkovo by sa zdalo, že lehota maximálne 30 dní je primeraná, aby sa spoločnostiam poskytlo dosť času na opätovné osvedčenie vrátane nápravy všetkých problémov zistených v procese opätovného osvedčovania a zároveň aby sa zabezpečila účinnosť tohto procesu. Ak na konci tohto obdobia nebude opakované osvedčovanie ukončené, ministerstvo obchodu by malo bezodkladne zaslať varovný list.