Ročným preskúmaním sa preukázalo, že orgány USA zaviedli potrebné štruktúry a postupy na zabezpečenie správneho fungovania štítu na ochranu osobných údajov. Proces osvedčovania prebehol celkovo uspokojivo, pričom dosiaľ bolo osvedčených viac ako 2 400 spoločností. Na účely ochrany práv jednotlivcov zaviedli americké orgány mechanizmy a postupy na vybavovanie sťažností a presadzovanie právnych predpisov. To zahŕňa aj nové doplnkové možnosti nápravy pre jednotlivcov z EÚ, ako je rozhodcovský výbor a mechanizmus ombudsmana. Pokiaľ ide o posledne menovaného, úradujúci ombudsman bol určený po zmene vlády v januári 2017 a na vymenovanie stáleho ombudsmana sa čaká. Spolupráca s európskymi orgánmi pre ochranu osobných údajov sa zintenzívnila. Pokiaľ ide o prístup k osobným údajom zo strany orgánov verejnej moci na účely národnej bezpečnosti, zostávajú v platnosti príslušné záruky na strane USA, a to najmä tie, ktoré vychádzajú z prezidentskej politickej smernice 28 (Presidential Policy Directive 28, PPD-28) vydanej v roku 2014, v ktorej sa stanovujú obmedzenia a záruky týkajúce sa použitia osobných údajov orgánmi národnej bezpečnosti bez ohľadu na štátnu príslušnosť jednotlivca. V tejto súvislosti treba tiež poznamenať, že § 702 zákona o sledovaní v rámci zahraničného spravodajstva (Foreign Intelligence Surveillance Act, FISA) sa má prestať uplatňovať 31. decembra 2017 a že sa v rámci Kongresu USA diskutuje o reformných návrhoch.

Rámec štítu na ochranu osobných údajov je v platnosti od 1. augusta 2016. Vzhľadom na to, že ide o prvý rok jeho fungovania, Komisia sa vo svojom každoročnom preskúmaní zamerala na overenie toho, či všetky mechanizmy a postupy stanovené v rámci – z ktorých sú mnohé nové – boli plne zavedené a fungujú tak, ako sa predpokladá v rozhodnutí o primeranosti. Komisia okrem toho kládla osobitný dôraz na kontrolu toho, či a akým spôsobom jednotlivé orgány USA zapojené do vykonávania rámca splnili svoje vyhlásenia a záväzky, pokiaľ ide o správu obchodných aspektov štítu na ochranu osobných údajov a dohľad nad nimi, ako aj prístup vlády k osobným údajom. V dôsledku zmeny vlády USA, ku ktorej došlo v januári 2017, sa táto otázka stala obzvlášť dôležitou.

Komisia sa zaviazala každoročne prehodnotiť svoje zistenie o primeranosti a na tento účel vykonáva každoročné preskúmanie fungovania štítu na ochranu osobných údajov. Táto správa uzatvára prvé každoročné preskúmanie fungovania štítu na ochranu osobných údajov. Preskúmanie sa týkalo všetkých aspektov štítu na ochranu osobných údajov, t. j. vykonávania, správy, a presadzovania rámca štítu na ochranu osobných údajov a dohľadu nad ním zo strany príslušných orgánov a organizácií USA, ako aj otázok týkajúcich sa prístupu orgánov verejnej moci USA k osobným údajom prenášaným v rámci štítu na ochranu osobných údajov na účely verejného záujmu, a to najmä národnej bezpečnosti. Jeho súčasťou bol aj dialóg o osobitnej téme automatizovaného rozhodovania a posúdenie vývoja právneho systému USA v priebehu minulého roka, ktorý by mohol mať vplyv na fungovanie štítu na ochranu osobných údajov.

Štít odráža zásady a požiadavky stanovené Európskym súdnym dvorom v jeho rozhodnutí vo veci Schrems, ktorým sa zrušila platnosť predchádzajúceho rámca bezpečného prístavu. V porovnaní so systémom bezpečného prístavu obsahuje niekoľko nových prvkov, ktorými sa zvyšuje ochrana osobných údajov pri ich prenose do Spojených štátov. K nim patria prísnejšie povinnosti pre spoločnosti osvedčené v rámci štítu na ochranu osobných údajov, napríklad pokiaľ ide o obmedzenia súvisiace s možnou dĺžkou uchovávania osobných údajov spoločnosťou (tzv. zásada „uchovávania údajov“) alebo podmienky, za ktorých sa môžu údaje vymieňať s tretími stranami mimo rámca (zásada „zodpovednosti za ďalšie prenosy“). Zabezpečuje aj pravidelnejšie a dôkladnejšie monitorovanie, ktoré uskutočňuje ministerstvo obchodu a výrazne posilňuje možnosti jednotlivcov z EÚ na dosiahnutie nápravy. Štít na ochranu osobných údajov navyše vychádza z osobitných písomných vyhlásení a uistení zo strany vlády USA, že prístup orgánov verejnej moci k osobným údajom prenášaným v rámci štítu na ochranu osobných údajov na účely národnej bezpečnosti, presadzovania práva a iné účely verejného záujmu podlieha jasným obmedzeniam a zárukám. Na tento účel sa štítom vytvára aj úplne nový nápravný mechanizmus – ombudsman.

Na základe uvedených zistení Komisia dospela k záveru, že Spojené štáty americké naďalej zaisťujú primeranú úroveň ochrany osobných údajov prenášaných v rámci štítu na ochranu osobných údajov z Únie organizáciám v USA.

Komisia zároveň zastáva názor, že praktické vykonávanie rámca štítu na ochranu osobných údajov možno ďalej zdokonaliť, aby sa zabezpečilo, že ochranné opatrenia a záruky, ktoré sú v ňom stanovené, budú naďalej fungovať podľa očakávaní.

Komisia na tento účel vydáva tieto odporúčania:

2.1.Spoločnosti by nemali môcť verejne sa odvolávať na svoje osvedčenie v rámci štítu na ochranu osobných údajov pred tým, ako ministerstvo obchodu dokončí osvedčovanie

Počas každoročného preskúmania sa zistilo, že spoločnosti, ktoré požiadali o osvedčenie v rámci štítu na ochranu osobných údajov, ale v prípade ktorých ministerstvo obchodu osvedčovanie ešte nedokončilo, sa už môžu verejne odvolávať na svoje osvedčenie v rámci štítu na ochranu osobných údajov. V dôsledku toho môžu vzniknúť nezrovnalosti medzi informáciami, ktoré sú verejne dostupné, a zoznamom organizácií zapojených do štítu na ochranu osobných údajov, ktorý vedie ministerstvo obchodu a do ktorého je spoločnosť zaradená až po tom, ako sa jej osvedčovanie dokončí. Takýto typ nezrovnalosti vytvára neistotu pre jednotlivcov z EÚ a spoločnosti v EÚ, ktoré chcú preniesť údaje do USA, zvyšuje riziko nepravdivých tvrdení o zapojení do štítu a poškodzuje dôveryhodnosť celého rámca.

Komisia preto odporúča, aby sa spoločnosti nemohli verejne odvolávať na svoje osvedčenia v rámci štítu na ochranu osobných údajov pred tým, ako ministerstvo obchodu dokončí osvedčovanie a zaradí spoločnosť do zoznamu organizácií zapojených do štítu na ochranu osobných údajov. Informácie o procese osvedčovania, ktoré ministerstvo obchodu poskytuje spoločnostiam, okrem iného aj na webovom sídle štítu na ochranu osobných údajov, by sa mali zmeniť, aby sa objasnilo, že spoločnosti sa nemôžu verejne odvolávať na dodržiavanie rámca pred tým, ako budú zaradené do zoznamu organizácií zapojených do štítu na ochranu osobných údajov.

2.2.Aktívne a pravidelné vyhľadávanie nepravdivých tvrdení ministerstvom obchodu

Komisia odporúča, aby ministerstvo obchodu aktívne a pravidelne vyhľadávalo nepravdivé tvrdenia o zapojení do štítu na ochranu osobných údajov, a to nielen v súvislosti s procesom osvedčovania, t. j. pokiaľ ide o spoločnosti, ktoré osvedčovanie začali, ale nedokončili a napriek tomu tvrdia, že sú zapojené v rámci na ochranu osobných údajov, ale aj všeobecnejšie v súvislosti so spoločnosťami, ktoré o osvedčenie nikdy nežiadali, ale verejnosti prezentujú, že dodržiavajú požiadavky rámca na ochranu osobných údajov. Na tento účel by ministerstvo obchodu malo prijať ďalšie opatrenia vrátane internetového vyhľadávania. Zo skúseností s programom bezpečného prístavu, ktorý bol predchodcom štítu na ochranu osobných údajov, vyplýva, že zavádzajúce praktiky nie sú nezvyčajné a môžu oslabiť dôveryhodnosť a spoľahlivosť systému ako celku.

2.3.Priebežné monitorovanie súladu so zásadami štítu na ochranu osobných údajov ministerstvom obchodu

Komisia odporúča, aby ministerstvo obchodu pravidelne vykonávalo kontroly súladu. Kontroly súladu by mohli mať napríklad formu dotazníkov na preskúmanie zabezpečenia súladu, ktoré by sa zasielali reprezentatívnej vzorke osvedčených spoločností a týkali by sa konkrétnej tematickej otázky (napr. ďalší prenos údajov, uchovávanie údajov), alebo by ministerstvo obchodu mohlo systematicky žiadať o poskytnutie ročných správ o zabezpečení súladu (pričom môže ísť buď o sebahodnotenie, alebo posúdenie súladu vykonané externým posudzovateľom) týkajúcich sa osvedčených spoločností, ktoré žiadajú o opätovné osvedčenie. Ministerstvo obchodu by mohlo následne využiť ročné správy o zabezpečení súladu s cieľom identifikovať možné problémy so zabezpečením súladu, ktoré by si mohli vyžadovať ďalšie následné opatrenia pred tým, ako bude môcť byť spoločnosť opätovne osvedčená, alebo systémovejšie nedostatky vo fungovaní tohto rámca, ktoré treba riešiť.

2.4.Zvyšovanie informovanosti

Komisia vyzýva ministerstvo obchodu a orgány pre ochranu údajov, aby pokračovali v úsilí o zvyšovanie informovanosti, ktoré vynaložili už v minulom roku, a ďalej ho posilnili.

S cieľom zabezpečiť účinnejšiu ochranu jednotlivcov z EÚ by orgány pre ochranu údajov mohli v spolupráci s Komisiou posilniť svoje úsilie s cieľom informovať jednotlivcov z EÚ o tom, ako majú uplatňovať svoje práva v rámci štítu na ochranu osobných údajov, najmä o tom, ako podať sťažnosť.

2.5. Zlepšenie spolupráce medzi orgánmi presadzovania práva

Komisia odporúča, aby ministerstvo obchodu a orgány pre ochranu údajov spolupracovali, v prípade potreby aj s Federálnou obchodnou komisiou, a vypracovali usmernenia týkajúce sa výkladu niektorých pojmov v rámci štítu na ochranu osobných údajov, ktoré je potrebné ďalej objasniť. Bolo by to v záujme zlepšenia spolupráce medzi príslušnými orgánmi, ktoré vykonávajú a presadzujú rámec na oboch stranách Atlantiku, väčšieho zbližovania vo výklade pravidiel štítu na ochranu osobných údajov, ako aj väčšej právnej istoty pre podniky.

Zásada zodpovednosti za ďalšie prenosy a vymedzenie údajov o ľudských zdrojoch vyplynuli z prvého každoročného preskúmania ako príklady pojmov, v prípade ktorých by dodatočné objasnenie pomohlo.

2.6. Štúdia o automatizovanom rozhodovaní

Aby sa vyvodili presnejšie závery týkajúce sa otázky automatizovaného rozhodovania, okrem iného aj vzhľadom na nasledujúce každoročné preskúmanie, Komisia zadá štúdiu na účely zhromaždenia vecných dôkazov a ďalšieho posúdenia relevantnosti automatizovaného rozhodovania v prípade prenosov uskutočňovaných na základe štítu na ochranu osobných údajov.

2.7. Zakotvenie ochrany stanovenej v prezidentskej politickej smernici 28 v zákone o sledovaní v rámci zahraničného spravodajstva

Nadchádzajúca diskusia o opätovnom schválení článku 702 zákona o sledovaní v rámci zahraničného spravodajstva poskytuje vláde a Kongresu USA jedinečnú príležitosť na posilnenie ochrany osobných údajov zabezpečovanej zákonom FISA. Komisia v tejto súvislosti vyjadrila nádej, že kongres priaznivo posúdi zakotvenie ochrany, ktorú zaisťuje prezidentská politická smernica 28, v zákone FISA vo vzťahu k osobám, ktoré nie sú občanmi USA, s cieľom zabezpečiť stabilitu a kontinuitu tejto ochrany. Akékoľvek ďalšie reformy, či už pokiaľ ide o hmotnoprávne obmedzenia, alebo o procesné záruky, by sa mali vykonávať v duchu smernice PPD-28, a mali by teda poskytovať ochranu bez ohľadu na štátnu príslušnosť alebo krajinu pobytu.