SL Uradni list Evropske unije L 207/1

IZVEDBENI SKLEP KOMISIJE (EU) 2016/1250

z dne 12. julija 2016

na podlagi Direktive Evropskega parlamenta in Sveta 95/46/ES o ustreznosti varstva, ki ga zagotavlja zasebnostni ščit EU-ZDA

(notificirano pod dokumentarno številko C(2016) 4176)

(Besedilo velja za EGP)

EVROPSKA KOMISIJA JE –

ob upoštevanju Pogodbe o delovanju Evropske unije,

ob upoštevanju Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (1) in zlasti člena 25(6) Direktive,

po posvetovanju z Evropskim nadzornikom za varstvo podatkov (2),

1. UVOD

(1) Direktiva 95/46/ES določa pravila za prenos osebnih podatkov iz držav članic v tretje države, kolikor taki prenosi spadajo na področje njene uporabe.

(2) Namen člena 1 Direktive 95/46/ES ter uvodnih izjav 2 in 10 v njeni preambuli je zagotoviti ne le učinkovito in popolno varstvo temeljnih pravic in svoboščin posameznikov, zlasti temeljne pravice do spoštovanja zasebnega življenja v zvezi z obdelavo osebnih podatkov, temveč tudi visoko raven varstva teh temeljnih pravic in svoboščin (3).

(3) Sodišče je v svoji sodni praksi poudarilo pomembnost temeljne pravice do spoštovanja zasebnega življenja, zagotovljene s členom 7 Listine Evropske unije o temeljnih pravicah, in temeljne pravice do varstva osebnih podatkov, zagotovljene s členom 8 Listine (4).

(4) V skladu s členom 25(1) Direktive 95/46/ES morajo države članice določiti, da se prenos osebnih podatkov v tretjo državo lahko izvede le, če zadevna tretja država zagotavlja ustrezno raven varstva in če se pred prenosom upoštevajo zakoni države članice o izvajanju drugih določb Direktive. Komisija lahko ugotovi, da tretja država zagotavlja tako ustrezno raven varstva zaradi svoje domače zakonodaje ali mednarodnih obveznosti, ki jih je prevzela za zaščito pravic posameznikov. V tem primeru in brez poseganja v skladnost z nacionalnimi določbami, sprejetimi na podlagi drugih določb Direktive, se lahko osebni podatki iz držav članic prenesejo, ne da bi bila potrebna dodatna jamstva.

(5) V skladu s členom 25(2) Direktive 95/46/ES bi bilo treba raven varstva podatkov, ki jo nudi tretja država, oceniti ob upoštevanju vseh okoliščin v zvezi s postopkom prenosa podatkov ali nizom postopkov prenosa podatkov, vključno s splošnimi in sektorskimi pravnimi normami, ki veljajo v zadevni tretji državi.

(6) V Odločbi Komisije 2000/520/ES (5) se za namene člena 25(2) Direktive 95/46/ES šteje, da „načela zasebnosti varnega pristana“, ki so uveljavljena v skladu s smernicami iz tako imenovanih „najpogosteje zastavljenih vprašanj“, ki jih je izdalo Ministrstvo za trgovino ZDA, zagotavljajo ustrezno raven varstva osebnih podatkov, ki se prenašajo iz Unije v organizacije s sedežem v ZDA.

(7) Komisija je v sporočilih COM(2013) 846 final (6) in COM(2013) 847 final z dne 27. novembra 2013 (7) menila, da je treba temeljno podlago sheme varnega pristana proučiti in okrepiti v kontekstu nekaterih dejavnikov, vključno z eksponentnim povečanjem prenosa podatkov in njegovim odločilnim pomenom za čezatlantsko gospodarstvo, hitrim povečanjem števila družb v ZDA, ki so se zavezale k shemi varnega pristana, ter novimi informacijami o obsegu in področju uporabe nekaterih obveščevalnih programov ZDA, kar je sprožilo vprašanja glede ravni varstva, ki jo lahko ta shema zagotavlja. Poleg tega je Komisija odkrila številne slabosti in pomanjkljivosti sheme varnega pristana.

(8) Komisija je na podlagi zbranih dokazov, vključno z informacijami o delu kontaktne skupine EU-ZDA za varstvo zasebnosti (8) in informacijami o obveščevalnih programih ZDA, ki jih je prejela priložnostna delovna skupina EU-ZDA (9), oblikovala 13 priporočil za pregled sheme varnega pristana. Ta priporočila se osredotočajo na krepitev vsebinskih načel zasebnosti, povečanje preglednosti politik varstva zasebnosti samocertificiranih družb v ZDA, boljše nadziranje, spremljanje in uveljavljanje skladnosti s temi načeli s strani organov ZDA, dostopnost stroškovno ugodnih mehanizmov reševanja sporov ter potrebo po zagotovitvi, da se izjema v interesu nacionalne varnosti iz Odločbe 2000/520/ES uporablja le v obsegu, ki je nujno potreben ali sorazmeren..

(9) Sodišče je v sodbi z dne 6. oktobra 2015 v zadevi C-362/14, Maximillian Schrems proti Data Protection Commissioner (10) Odločbo 2000/520/ES razglasilo za neveljavno. Ne da bi proučilo vsebino načel zasebnosti varnega pristana, je Sodišče ugotovilo, da Komisija v zadevni odločbi ni ugotovila, da so ZDA dejansko „zagotavljale“ ustrezno raven varstva zaradi svoje nacionalne zakonodaje ali mednarodnih obveznosti (11).

(10) V zvezi s tem je Sodišče pojasnilo, da čeprav izraz „ustrezna raven varstva“ iz člena 25(6) Direktive 95/46/ES ne pomeni ravni varstva, ki je enaka ravni varstva, zagotovljeni v pravnem redu EU, ga je treba razumeti tako, da se z njim zahteva, da tretja država zagotavlja raven varstva temeljnih pravic in svoboščin, ki je „v bistvenem enaka“ ravni, zagotovljeni v Uniji na podlagi Direktive 95/46/ES, kot se razlaga ob upoštevanju Listine o temeljnih pravicah. Četudi so sredstva, ki jih zadevna tretja država uporabi za zagotovitev take ravni varstva, lahko drugačna od sredstev, uporabljenih znotraj Unije, se morajo ta sredstva v praksi vseeno izkazati za učinkovita (12).

(11) Sodišče je kritiziralo odsotnost ugotovitev v Odločbi 2000/520/ES glede obstoja državnih predpisov v ZDA, katerih namen bi bil omejiti morebitne posege v temeljne pravice posameznikov, katerih podatki se prenašajo iz Unije v ZDA, posege, ki naj bi jih državni subjekti v tej državi lahko izvajali, kadar poskušajo doseči legitimne cilje, kot je nacionalna varnost, in glede obstoja učinkovitega sodnega varstva v primeru takih posegov (13).

(12) Komisija je leta 2014 začela pogovore z organi ZDA, da bi razpravljali o okrepitvi sheme varnega pristana v skladu s 13 priporočili iz Sporočila COM(2013) 847 final. Po sodbi Sodišča v zadevi Schrems so se ti pogovori okrepili, da bi se sprejel morebiten nov sklep o ustreznosti varstva, ki bi izpolnjeval zahteve iz člena 25 Direktive 95/46/ES, kakor jih razlaga Sodišče. Dokumenti, ki so priloženi temu sklepu in ki bodo tudi objavljeni v Zveznem registru ZDA, so rezultat teh razprav. Načela zasebnosti (Priloga II) skupaj z uradnimi zagotovili in zavezami različnih organov ZDA, vsebovanimi v dokumentih iz prilog I in III–VII, tvorijo „zasebnostni ščit EU-ZDA“.

(13) Komisija je podrobno proučila zakonodajo in prakso ZDA, vključno s temi uradnimi zagotovili in zavezami. Na podlagi ugotovitev, oblikovanih v uvodnih izjavah 136 do 140, je Komisija sklenila, da ZDA zagotavljajo ustrezno raven varstva osebnih podatkov, ki se v okviru zasebnostnega ščita EU-ZDA prenašajo iz Unije samocertificiranim organizacijam v ZDA.

2. „ZASEBNOSTNI ŠČIT EU-ZDA“

(14) Zasebnostni ščit EU-ZDA temelji na sistemu samocertificiranja, s katerim se organizacije v ZDA zavežejo sklopu načel zasebnosti, tj. načelom okvira zasebnostnega ščita EU-ZDA, vključno z dopolnilnimi načeli (v nadaljnjem besedilu skupaj: načela), ki jih je izdalo Ministrstvo za trgovino ZDA in so navedena v Prilogi II k temu sklepu. Uporablja se za upravljavce in obdelovalce (posrednike), pri čemer je posebnost to, da morajo biti obdelovalci pogodbeno zavezani, da delujejo samo po navodilih upravljavca EU, kateremu pomagajo pri odgovorih posameznikom, ki uveljavljajo svoje pravice po načelih (14).

(15) Ta sklep brez poseganja v skladnost z nacionalnimi določbami, sprejetimi v skladu z Direktivo 95/46/ES, dovoljuje prenose z upravljavca ali obdelovalca v Uniji na organizacije v ZDA, ki so samocertificirale zavezanost k načelom pri Ministrstvu za trgovino in se zavezale, da jih bodo spoštovale. Načela se uporabljajo samo za obdelavo osebnih podatkov s strani organizacij ZDA, v kolikor obdelava s strani takih organizacij ne spada na področje uporabe zakonodaje Unije (15). Zasebnostni ščit ne vpliva na uporabo zakonodaje Unije, ki ureja obdelavo osebnih podatkov v državah članicah (16).

(16) Varstvo osebnih podatkov, ki ga zagotavlja zasebnostni ščit, velja za katerega koli posameznika v EU, na katerega se nanašajo osebni podatki (17), ki so bili preneseni iz Unije organizacijam v ZDA, ki so samocertificirale zavezanost k načelom pri Ministrstvu za trgovino.

(17) Načela zasebnosti začnejo veljati takoj po certifikaciji. Ena izjema se nanaša na načelo odgovornosti za prenos tretjemu v primeru, ko organizacija, ki se je samocertificirala po zasebnostnem ščitu že ima predhodno obstoječa trgovinska razmerja s tretjimi strankami. Glede na to, da lahko traja nekaj časa, da se ta trgovinska razmerja uskladijo s pravili v okviru načela odgovornosti za prenos tretjemu, mora organizacija to storiti čim prej in v vsakem primeru najpozneje devet mesecev po samocertifikaciji (če se to zgodi v prvih dveh mesecih po datumu začetka veljavnosti zasebnostnega ščita). V tem vmesnem obdobju mora organizacija uporabljati načeli obvestila in možnosti izbire (s čimer posameznikom iz EU, na katere se nanašajo podatki, omogoča zavrnitev) ter mora, če se podatki prenašajo tretji stranki, ki nastopa v vlogi posrednika, zagotoviti, da slednja zagotavlja vsaj enako raven varstva, kot jo zahtevajo načela (18). To prehodno obdobje zagotavlja razumno in ustrezno ravnovesje med spoštovanjem temeljne pravice do varstva podatkov in zakonitimi potrebami podjetij, da imajo na voljo dovolj časa za prilagoditev novemu okviru, pri čemer je to odvisno tudi od trgovinskih razmerij s tretjimi strankami.

(18) Ta sistem bo upravljalo in nadzorovalo Ministrstvo za trgovino na podlagi svojih zavez, navedenih v zagotovilih Ministra za trgovino ZDA (Priloga I k temu sklepu). Kar zadeva uveljavljanje načel, sta Zvezna komisija za trgovino (Federal Trade Commission, v nadaljnjem besedilu: FTC) in Ministrstvo za promet podala zagotovila, navedena v prilogah IV in V k temu sklepu.

2.1 Načela zasebnosti

(19) Organizacije se morajo v okviru samocertificiranja na podlagi zasebnostnega ščita EU-ZDA zavezati, da bodo spoštovale načela (19).

(20) V skladu z načelom obvestila morajo organizacije posameznikom, na katere se nanašajo osebni podatki, zagotoviti informacije o številu ključnih elementov, ki se nanašajo na obdelavo njihovih osebnih podatkov (npr. vrsta zbranih podatkov, namen obdelave, pravica do dostopa in izbire, pogoji za prenose tretjemu in odgovornost). Uporabljajo se dodatni zaščitni ukrepi, zlasti zahteva, da organizacije objavijo svoje politike varstva zasebnosti (ki izražajo načela) in navedejo povezave do spletišča Ministrstva za trgovino (s podrobnejšimi informacijami o samocertificiranju, pravicah posameznikov, na katere se nanašajo osebni podatki, in razpoložljivih pritožbenih mehanizmih), seznam zasebnostnega ščita (iz uvodne izjave 30) in spletišče ustreznega organa za alternativno reševanje sporov.

(21) V skladu z načelom celovitosti podatkov in omejitve namena morajo biti osebni podatki omejeni na tisto, kar je pomembno za obdelavo, zanesljivi za predvideno uporabo, točni, popolni in aktualni. Organizacija ne sme obdelovati osebnih podatkov na način, ki je nezdružljiv z namenom, za katerega so bili podatki prvotno zbrani ali ki ga je posameznik, na katerega se nanašajo osebni podatki, naknadno odobril. Organizacije morajo zagotoviti, da so osebni podatki zanesljivi za predvideno uporabo, točni, popolni in aktualni.

(22) Če je nov (spremenjen) namen bistveno drugačen, vendar še vedno združljiv s prvotnim namenom, načelo izbire posameznikom, na katere se nanašajo osebni podatki, daje pravico do ugovora (zavrnitve). Načelo izbire ne nadomešča izrecne prepovedi nezdružljive obdelave (20). Posebna pravila običajno omogočajo, da se uporaba osebnih podatkov za neposredno trženje „kadar koli“ zavrne (21). V primeru občutljivih podatkov morajo organizacije običajno pridobiti izrecno pritrdilno soglasje (privolitev) posameznika, na katerega se nanašajo osebni podatki.

(23) Poleg tega se lahko osebni podatki v skladu z načelom celovitosti podatkov in omejitve namena hranijo v obliki, ki omogoča identifikacijo posameznika (in s tem v obliki osebnih podatkov), le dokler služijo namenom, za katere so bili prvotno zbrani ali ki so bili naknadno odobreni. Ta obveznost organizacijam v zasebnostnem ščitu ne preprečuje nadaljnje obdelave osebnih podatkov za daljša obdobja, ampak le za obdobje in v obsegu, v katerih se taka obdelava razumno uporablja za enega od naslednjih posebnih namenov: arhiviranje v javnem interesu, novinarstvo, literaturo in umetnost, znanstvene in zgodovinske raziskave ter statistično analizo. Daljše hranjenje osebnih podatkov za enega od teh namenov bo predmet zaščitnih ukrepov v skladu z načeli.

(24) V skladu z načelom varnosti morajo organizacije, ki ustvarjajo, vzdržujejo, uporabljajo ali razširjajo osebne podatke, izvesti „razumne in ustrezne“ varnostne ukrepe, ob upoštevanju tveganj, povezanih z obdelavo in naravo podatkov. V primeru podobdelave morajo organizacije skleniti pogodbo s podobdelovalcem, ki zagotavlja enako raven varstva, kot jo zagotavljajo načela, in sprejeti ukrepe za zagotovitev njenega pravilnega izvajanja.

(25) V skladu z načelom dostopa (22) imajo posamezniki, na katere se nanašajo osebni podatki, pravico, da brez utemeljitve in samo za nepretirano plačilo od organizacije pridobijo potrditev, da taka organizacija obdeluje osebne podatke, povezane z njimi, in da jim podatke sporoči v razumnem času. To pravico je mogoče omejiti le v izjemnih okoliščinah; vsako zanikanje ali omejitev pravice do dostopa je treba nujno in ustrezno utemeljiti, pri čemer mora organizacija dokazati, da so te zahteve izpolnjene. Posamezniki, na katere se nanašajo osebni podatki, morajo imeti možnost, da popravijo, spremenijo ali izbrišejo osebne podatke, če niso točni ali če so bila pri njihovi obdelavi kršena načela. Na področjih, kjer podjetja najverjetneje uporabljajo samodejno obdelavo osebnih podatkov za sprejemanje odločitev, ki vplivajo na posameznika (npr. dajanje posojil, nudenje hipotek, zaposlovanje), zakonodaja ZDA zagotavlja posebno varstvo pred zavrnilnimi odločitvami (23). Ti akti posameznikom običajno zagotavljajo pravico do obveščenosti o posebnih razlogih, na katerih temelji odločitev (npr. zavrnitev odobritve posojila), do oporekanja nepopolnim ali netočnim informacijam (pa tudi uporabi nezakonitih elementov) in uveljavljanja pravnega varstva. Ta pravila zagotavljajo varstvo v verjetno precej omejenem številu primerov, kjer samodejne odločitve sprejema sama organizacija v zasebnostnem ščitu (24). Vendar je glede na vse večjo uporabo samodejne obdelave podatkov (vključno z oblikovanjem profilov) kot podlage za sprejemanje odločitev, ki vplivajo na posameznike v sodobnem gospodarstvu, to področje, ki ga je treba pozorno spremljati. Za olajšanje tega spremljanja je bilo z organi ZDA dogovorjeno, da bo dialog o samodejnem sprejemanju odločitev, vključno z izmenjavo informacij o podobnostih in razlikah pristopa EU in ZDA v zvezi s tem, del prvega letnega pregleda, pa tudi naslednjih pregledov, če bo to primerno.

(26) V skladu z načelom pritožbenega mehanizma, izvrševanja in odgovornosti (25) morajo sodelujoče organizacije zagotoviti zanesljive mehanizme za zagotavljanje skladnosti z drugimi načeli in pritožbeni mehanizem za posameznike iz EU, katerih podatki so bili neskladno obdelani, vključno z učinkovitimi pravnimi sredstvi. Ko se organizacija prostovoljno odloči za samocertificiranje (26) v okviru zasebnostnega ščita EU-ZDA, je njeno dejansko upoštevanje načel obvezno. Da bi še naprej lahko uporabljala zasebnostni ščit za prejemanje podatkov iz Unije, mora taka organizacija vsako leto znova potrditi svojo udeležbo v okviru. Organizacije morajo sprejeti tudi ukrepe za preverjanje (27), ali so njihove objavljene politike varstva zasebnosti skladne z načeli in ali se dejansko upoštevajo. To se lahko izvede s sistemom samoocenjevanja, ki mora vključevati notranje postopke, ki zagotavljajo, da so zaposleni deležni usposabljanja o izvajanju politik organizacije glede varstva zasebnosti in da se skladnost redno objektivno preverja, ali, pri zunanjih pregledih skladnosti, z metodami, ki lahko vključujejo revizijo in naključne preglede. Poleg tega mora organizacija vzpostaviti učinkovit mehanizem pravnega varstva za obravnavanje morebitnih pritožb (v zvezi s tem glej tudi uvodno izjavo 43), zanjo pa morajo veljati preiskovalna in izvršilna pooblastila FTC, Ministrstva za promet ali drugega ameriškega zakonsko določenega organa, ki učinkovito zagotavlja skladnost z načeli.

(27) Posebna pravila se uporabljajo za tako imenovane „prenose tretjemu“, tj. prenose osebnih podatkov z organizacije na tretjega upravljavca ali obdelovalca, ne glede na to, ali je ta v ZDA ali tretji državi zunaj ZDA (in Unije). Namen teh pravil je zagotoviti, da varstvo osebnih podatkov posameznikov iz EU ni ogroženo in da se mu ni mogoče izogniti z njegovim prenosom na tretje stranke. To je zlasti pomembno v bolj zapletenih verigah obdelave, ki so značilne za sodobno digitalno gospodarstvo.

(28) V skladu z načelom odgovornosti za prenos tretjemu (28) se lahko kakršen koli prenos tretjemu izvaja samo (i) za omejene in določene namene, (ii) na podlagi pogodbe (ali primerljivega dogovora v skupini podjetij (29)) in (iii) samo, če taka pogodba zagotavlja enako raven varstva, kot ga zagotavljajo načela, kar vključuje zahtevo, da je uporaba načel lahko omejena le toliko, kolikor je potrebno za izpolnitev namenov nacionalne varnosti, kazenskega pregona in drugih javnih interesov (30). To bi bilo treba razlagati v povezavi z načelom obvestila in, v primeru prenosa tretjemu upravljavcu (31), z načelom izbire, v skladu s katerima morajo biti posamezniki, na katere se nanašajo osebni podatki, obveščeni (med drugim) o vrsti/identiteti katerega koli tretjega prejemnika, namenu prenosa tretjemu, pa tudi o možnostih izbire ter lahko nasprotujejo prenosom tretjemu (oziroma jih zavrnejo) ali morajo, v primeru občutljivih podatkov, dati „izrecno pritrdilno soglasje“ (privolitev) za prenose. Ob upoštevanju načela celovitosti podatkov in omejitve namena obveznost zagotavljanja enake ravni varstva, kot jo zagotavljajo načela, predvideva, da lahko tretja stranka obdeluje samo osebne podatke, ki so preneseni nanjo za namene, ki so skladni z nameni, za katere so bili prvotno zbrani ali ki jih je posameznik naknadno odobril.

(29) Obveznost zagotavljanja enake ravni varstva, kot jo zahtevajo načela, velja za katero koli in vse tretje stranke, vključene v obdelavo podatkov, ki se prenašajo na tak način, ne glede na njihovo lokacijo (v ZDA ali drugi tretji državi), pa tudi, kadar sam prvotni tretji prejemnik prenaša zadevne podatke drugemu tretjemu prejemniku, na primer za namene podobdelave. V vseh primerih mora biti v pogodbi s tretjim prejemnikom določeno, da bo ta obvestil organizacijo v zasebnostnem ščitu, če bo ugotovil, da ne more več izpolnjevati te obveznosti. V primeru take ugotovitve se obdelava s strani tretje stranke preneha, ali pa je treba sprejeti druge razumne in ustrezne ukrepe za izboljšanje stanja (32). Kadar se v verigi (pod)obdelave pojavijo težave glede skladnosti, mora organizacija v zasebnostnem ščitu, ki deluje kot upravljavec osebnih podatkov, dokazati, da ni odgovorna za dogodek, ki povzroča škodo, ali kako drugače prevzeti odgovornost, kot je navedeno v načelu pritožbenega mehanizma, izvrševanja in odgovornosti. Dodatno varstvo se uporablja v primeru prenosa tretjemu posredniku (33).

2.2 Preglednost, upravljanje in nadzor zasebnostnega ščita EU-ZDA

(30) Zasebnostni ščit EU-ZDA zagotavlja mehanizme nadzora in izvrševanja za preverjanje in zagotavljanje, da samocertificirana podjetja v ZDA spoštujejo načela in da se obravnava vsako nespoštovanje načel. Ti mehanizmi so določeni v načelih (Priloga II) ter zavezah Ministrstva za trgovino (Priloga I), FTC (Priloga IV) in Ministrstva za promet (Priloga V).

(31) Za zagotovitev pravilne uporabe zasebnostnega ščita EU-ZDA morajo biti zainteresirane strani, kot so posamezniki, na katere se nanašajo osebni podatki, izvozniki podatkov in nacionalni organi za varstvo podatkov, sposobne opredeliti organizacije, ki spoštujejo načela. V ta namen se mora Ministrstvo za trgovino zavezati, da bo vodilo seznam organizacij, ki so samocertificirale zavezanost k načelom in spadajo v pristojnost vsaj enega od organov pregona, navedenih v prilogah I in II k temu sklepu (v nadaljnjem besedilu: seznam zasebnostnega ščita) (34), ter javnosti omogočilo dostop do takega seznama. Ministrstvo za trgovino bo posodabljalo seznam na podlagi letnih izjav organizacij o ponovnem certificiranju ali kadar se organizacija umakne ali je umaknjena s seznama zasebnostnega ščita EU-ZDA. Vodilo bo tudi veljavno evidenco organizacij, ki so bile umaknjene s seznama, in javnosti omogočalo dostop do nje, pri čemer bo v vsakem primeru navedlo razloge za tako izključitev. Navedlo bo tudi povezavo do seznama zadev FTC v zvezi z izvrševanjem, povezanih z zasebnostnim ščitom, ki se hranijo na spletišču FTC.

(32) Ministrstvo za trgovino bo seznam zasebnostnega ščita in izjave o ponovnem certificiranju objavilo na posebnem spletišču, samocertificirane organizacije pa morajo navesti spletni naslov Ministrstva za seznam zasebnostnega ščita Poleg tega mora politika organizacije glede varstva zasebnosti, če je objavljena na spletu, vključevati hiperpovezavo do spletišča zasebnostnega ščita in hiperpovezavo do spletišča ali obrazca za vložitev pritožbe v okviru neodvisnega pritožbenega mehanizma, ki je na voljo za proučitev nerešenih pritožb. Ministrstvo za trgovino bo v okviru certificiranja in ponovnega certificiranja organizacije za okvir zasebnostnega ščita sistematično preverjalo, ali so njene politike varstva zasebnosti skladne z načeli.

(33) Organizacije, ki vztrajno ne spoštujejo načel, bodo umaknjene s seznama zasebnostnega ščita ter morajo vrniti ali izbrisati osebne podatke, prejete v okviru zasebnostnega ščita EU-ZDA. V drugih primerih umika, kot je prostovoljna prekinitev sodelovanja ali neizvedba ponovnega certificiranja, lahko organizacija zadrži take podatke, če Ministrstvu za trgovino vsako leto potrdi svojo zavezanost k nadaljnji uporabi načel ali zagotovi ustrezno varstvo osebnih podatkov z drugimi dovoljenimi sredstvi (npr. z uporabo pogodbe, ki v celoti izraža zahteve ustreznih standardnih pogodbenih klavzul, ki jih je odobrila Komisija). V tem primeru mora organizacija določiti kontaktno točko v organizaciji za vsa vprašanja, povezana z zasebnostnim ščitom.

(34) Ministrstvo za trgovino bo spremljalo organizacije, ki niso več članice zasebnostnega ščita EU-ZDA, bodisi zato, ker so se prostovoljno umaknile ali ker je njihovo potrdilo poteklo, da bi preverilo, ali bodo vrnile, izbrisale ali zadržale (35) osebne podatke, ki so jih predhodno prejele v okviru zasebnostnega ščita. Če organizacije zadržijo te podatke, morajo še naprej uporabljati načela. Če Ministrstvo za trgovino izloči organizacije iz okvira zasebnostnega ščita zaradi vztrajnega nespoštovanja načel, zagotovi, da te organizacije vrnejo ali izbrišejo osebne podatke, ki so jih prejele v okviru zasebnostnega ščita.

(35) Če organizacija iz katerega koli razloga zapusti zasebnostni ščit EU-ZDA, mora umakniti vse javne izjave, ki kažejo na to, da še naprej sodeluje v zasebnostnem ščitu EU-ZDA ali da je upravičena do njegovih koristi, zlasti kakršna koli sklicevanja na zasebnostni varnostni ščit EU-ZDA v njeni objavljeni politiki varstva zasebnosti. Ministrstvo za trgovino bo iskalo in obravnavalo lažne navedbe o sodelovanju v okviru, tudi z nekdanjimi člani (36). Za vsako zavajanje širše javnosti v zvezi z zavezanostjo k načelom v obliki zavajajočih izjav ali praks lahko FTC, Ministrstvo za promet ali drugi ustrezni izvršni organi ZDA ukrepajo proti kršitvi; zavajanje Ministrstva za trgovino se lahko preganja po zakonu o lažnih navedbah (False Statements Act) (člen 1001 naslova 18 zakonodajne zbirke ZDA) (37).

(36) Ministrstvo za trgovino bo po uradni dolžnosti spremljalo kakršne koli lažne navedbe o sodelovanju v zasebnostnem ščitu ali nepravilno uporabo potrditvene oznake zasebnostnega ščita, organi za varstvo podatkov pa lahko napotijo organizacije na pregled na posebno kontaktno točko v okviru Ministrstva. Če se je organizacija umaknila iz zasebnostnega ščita EU-ZDA, se ni ponovno certificirala ali je umaknjena s seznama zasebnostnega ščita, bo Ministrstvo za trgovino redno preverjalo, ali je iz objavljene politike varstva zasebnosti izbrisala kakršna koli sklicevanja na zasebnostni ščit, ki kažejo na njeno nadaljnje sodelovanje, in, če še naprej podaja lažne navedbe, predalo zadevo FTC, Ministrstvu za promet ali drugemu pristojnemu organu, da izvedejo morebitne izvršilne ukrepe. Poslalo bo tudi vprašalnike organizacijam, ki se niso samocertificirale ali ki so se prostovoljno umaknile iz zasebnostnega ščita EU-ZDA, da bi preverilo, ali bo organizacija vrnila, izbrisala ali še naprej uporabljala načela zasebnosti za osebne podatke, ki jih je prejela med sodelovanjem v zasebnostnem ščitu EU-ZDA, in, če namerava osebne podatke zadržati, da bi preverilo, kdo v organizaciji bo stalna kontaktna točka za vprašanja, povezana z zasebnostnim ščitom.

(37) Ministrstvo za trgovino bo redno izvajalo preglede skladnosti samocertificiranih organizacij po uradni dolžnosti (38), tudi s pošiljanjem podrobnih vprašalnikov. Prav tako bo sistematično izvajalo preglede, kadar koli bo prejelo določeno (neutemeljeno) pritožbo, če organizacija ne zagotovi zadovoljivega odgovora na njegove poizvedbe ali če obstajajo verodostojni dokazi, da organizacija morda ne spoštuje načel. Po potrebi se bo o takih pregledih skladnosti posvetovalo tudi z organi za varstvo podatkov.

2.3 Mehanizmi pravnega varstva, reševanje pritožb in izvrševanje

(38) Zasebnostni ščit EU-ZDA v skladu z načelom pritožbenega mehanizma, izvrševanja in odgovornosti zahteva, da organizacije zagotovijo pritožbeni mehanizem za posameznike, na katere vpliva nespoštovanje načel, ter s tem možnost, da posamezniki iz EU, na katere se nanašajo osebni podatki, vložijo pritožbe v zvezi z nespoštovanjem načel s strani samocerticifiranih podjetij v ZDA in da se te pritožbe rešijo, če to zahteva odločitev, ki zagotavlja učinkovita pravna sredstva.

(39) Organizacije morajo v okviru samocertificiranja izpolnjevati zahteve načela pritožbenega mehanizma, izvrševanja in odgovornosti z zagotavljanjem učinkovitih in zlahka dostopnih neodvisnih pritožbenih mehanizmov, s katerimi se lahko pritožbe in spori vsakega posameznika raziščejo in hitro razrešijo brez stroškov za posameznika.

(40) Organizacije lahko izberejo neodvisne pritožbene mehanizme v Uniji ali ZDA. To vključuje možnost prostovoljne zaveza za sodelovanje z organi za varstvo podatkov EU. Vendar taka možnost ne obstaja, če organizacije obdelujejo podatke o človeških virih, saj je v takem primeru sodelovanje z organi za varstvo podatkov obvezno. Druge možnosti vključujejo neodvisno alternativno reševanje sporov ali v zasebnem sektorju razvite programe za varstvo zasebnosti, ki v svoja pravila vključujejo načela zasebnosti. Slednji morajo vključevati učinkovite mehanizme izvrševanja v skladu z zahtevami načela pritožbenega mehanizma, izvrševanja in odgovornosti. Organizacije morajo odpraviti vse težave, povezane z nespoštovanjem načel. Navesti morajo tudi, da zanje veljajo preiskovalna in izvršilna pooblastila FTC, Ministrstva za promet ali katerega koli drugega ameriškega zakonsko določenega organa.

(41) Tako okvir zasebnostnega ščita posameznikom, na katere se nanašajo osebni podatki, zagotavlja številne možnosti, da uveljavljajo svoje pravice, vložijo pritožbe v zvezi z nespoštovanjem načel s strani samocertificiranih podjetij v ZDA in da se te pritožbe rešijo, če to zahteva odločitev, ki zagotavlja učinkovita pravna sredstva. Posamezniki lahko vložijo pritožbo neposredno pri organizaciji, neodvisnem organu za reševanje sporov, ki ga imenuje organizacija, pri nacionalnih organih za varstvo podatkov ali FTC.

(42) Če se njihove pritožbe ne rešijo z nobenim od teh pritožbenih mehanizmov ali mehanizmov izvrševanja, lahko uveljavljajo zavezujočo arbitražo senata zasebnostnega ščita (Priloga 1 Priloge II tega sklepa). Razen za arbitražni senat, za katerega je treba pred uveljavitvijo izčrpati nekatera pravna sredstva, lahko posamezniki uporabijo kateri koli ali vse mehanizme pravnega varstva po lastni izbiri in jim ni treba izbrati določenega mehanizma ali slediti določenemu zaporedju. Vendar obstaja določeno logično zaporedje, ki mu je priporočljivo slediti, kot je opisano v nadaljevanju.

(43) Prvič, posamezniki iz EU, na katere se nanašajo osebni podatki, lahko spremljajo primere nespoštovanja načel z neposrednimi stiki s samocertificiranim podjetjem v ZDA. Za lažje reševanje pritožb mora organizacija vzpostaviti učinkovit mehanizem pravnega varstva za obravnavanje takih pritožb. Zato mora politika organizacije glede varstva zasebnosti jasno obveščati posameznike o kontaktni točki, bodisi v organizaciji ali zunaj nje, ki bo obravnavala pritožbe (vključno s katero koli ustrezno organizacijo v Uniji, ki lahko odgovarja na poizvedbe ali pritožbe), in o neodvisnih mehanizmih za obravnavo pritožb.

(44) Organizacija mora po prejemu pritožbe, neposredno od posameznika ali prek Ministrstva za trgovino na podlagi napotitve organa za varstvo podatkov, posamezniku v EU, na katerega se nanašajo osebni podatki, odgovoriti v 45 dneh. Ta odgovor mora vključevati oceno utemeljenosti pritožbe in, v primeru utemeljenosti pritožbe, informacije o tem, kako bo organizacija rešila težavo. Podobno morajo organizacije nemudoma odgovoriti na poizvedbe in druge zahteve za informacije s strani Ministrstva za trgovino ali organa za varstvo (39) (če se je organizacija zavezala, da bo sodelovala z organom za varstvo podatkov), ki se nanašajo na njihovo spoštovanje načel. Organizacije morajo voditi tudi evidenco o izvajanju politike varstva zasebnosti in jo na zahtevo v okviru preiskave ali pritožbe zaradi nespoštovanja načel dati na voljo neodvisnemu pritožbenemu mehanizmu ali FTC (ali drugemu organu ZDA s pristojnostjo za preiskovanje nepoštenih ali goljufivih dejanj).

(45) Drugič, posamezniki lahko vložijo pritožbo tudi neposredno pri neodvisnem organu za reševanje sporov (v ZDA ali Uniji), ki ga imenuje organizacija za preiskovanje in reševanje posameznih pritožb (razen če so očitno neutemeljene ali neresne) ter zagotovitev ustreznih pravnih sredstev, ki so za posameznika brezplačna. Sankcije in pravna sredstva, ki jih naloži tak organ, morajo biti dovolj stroga, da zagotavljajo spoštovanje načel s strani organizacij, in bi morala določati, da morajo organizacije odpraviti ali popraviti učinke neskladnosti ter, odvisno od okoliščin, prenehati obdelovati zadevne osebne podatke in/ali jih izbrisati ter objaviti ugotovitev o neskladnosti. Neodvisni organi za reševanje sporov, ki jih imenuje organizacija, bodo morali na svoja javna spletišča vključiti ustrezne informacije v zvezi z zasebnostnim ščitom EU-ZDA in storitvami, ki jih zagotavljajo v njegovem okviru. Vsako leto morajo objaviti letno poročilo s skupnimi statističnimi podatki v zvezi s temi storitvami (40).

(46) Ministrstvo za trgovino bo v okviru postopkov pregleda skladnosti preverilo, ali so se samocerticifirana podjetja v ZDA dejansko registrirala v neodvisnih pritožbenih mehanizmih, v katerih naj bi bila po njihovih trditvah registrirana. Organizacije in odgovorni neodvisni pritožbeni mehanizmi morajo nemudoma odgovoriti na poizvedbe in zahteve Ministrstva za trgovino za informacije v zvezi z zasebnostnim ščitom.

(47) Če organizacija ne upošteva odločitve v zvezi z rešitvijo spora ali samoregulativnega organa, mora slednji o taki neskladnosti obvestiti Ministrstvo za trgovino in FTC (ali drug organ ZDA s pristojnostjo za preiskovanje nepoštenih ali goljufivih praks) ter pristojno sodišče (41). Če organizacija noče ravnati v skladu s končno ugotovitvijo organa s samourejevalnim sistemom za varstvo zasebnosti, neodvisnega organa za reševanje sporov ali vladnega organa ali kadar tak organ ugotovi, da organizacija pogosto ravna proti načelom, se to šteje za vztrajno nespoštovanje načel, zaradi česar Ministrstvo za trgovino po izteku 30-dnevnega roka, v katerem ima organizacija, ki ni ravnala v skladu z načeli, možnost odziva, črta organizacijo s seznama (42). Če se organizacija po umiku s seznama še naprej sklicuje na certifikacijo v okviru zasebnostnega ščita, Ministrstvo preda zadevo FTC ali drugemu organu pregona (43).

(48) Tretjič, posamezniki lahko vložijo pritožbo tudi pri nacionalnem organu za varstvo podatkov. Organizacije morajo sodelovati pri preiskavi in reševanju pritožbe organa za varstvo podatkov, če se nanaša na obdelavo podatkov o človeških virih, zbranih v okviru zaposlitvenega razmerja, ali če so se prostovoljno sprejele nadzor organov za varstvo podatkov. Predvsem morajo odgovarjati na poizvedbe, upoštevati nasvete organa za varstvo podatkov, vključno glede reševanja pritožb in izplačila odškodnin, ter predložiti organu za varstvo podatkov pisno potrdilo, da so bili taki ukrepi sprejeti.

(49) Nasvete organov za varstvo podatkov bo posredoval neuradni senat organov za varstvo podatkov, ustanovljen na ravni Unije (44), ki bo pomagal zagotoviti usklajen in skladen pristop k posamezni pritožbi. Nasvet bo izdan, ko bosta oba udeleženca v sporu imela ustrezno priložnost za predložitev pripomb in kakršnih koli dokazov. Senat bo dal nasvet kakor, hitro to dopušča zahteva po dolžnem pravnem postopanju, praviloma v 60 dneh po prejemu pritožbe. Če organizacija tudi po 25 dneh po prejemu nasveta ne ravna v skladu z njim in če za zamudo ne poda zadovoljive obrazložitve, senat sporoči svojo namero, da bo bodisi predložil zadevo FTC (ali drugemu izvršnemu organu ZDA) bodisi sklenil, da gre za resno kršitev zaveze o sodelovanju. Pri prvi možnosti lahko to vodi do pregona na podlagi člena 5 zakona o FTC (ali podobnega zakona). Pri drugi možnosti bo senat obvestil Ministrstvo za trgovino, ki bo neupoštevanje nasveta senata organov za varstvo podatkov obravnavalo kot vztrajno neizpolnjevanje načel, zaradi česar bo organizacija črtana s seznama zasebnostnega ščita.

(50) Če organ za varstvo podatkov, na katerega je bila naslovljena pritožba, ni ukrepal ali ni sprejel zadostnih ukrepov za obravnavo pritožbe, lahko posamezni pritožnik izpodbija tako (ne)ukrepanje pri nacionalnih sodiščih zadevne države članice.

(51) Posamezniki lahko pritožbo pri organih za varstvo podatkov vložijo tudi, če senat organov za varstvo podatkov ni bil imenovan kot organ za reševanje sporov organizacije. V takih primerih lahko organ za varstvo podatkov posreduje take pritožbe Ministrstvu za trgovino ali FTC. Ministrstvo za trgovino bo za olajšanje in povečanje sodelovanja na področju zadev, povezanih s posameznimi pritožbami in nespoštovanjem načel s strani organizacij v zasebnostnem ščitu, vzpostavilo posebno kontaktno točko, ki bo delovala kot povezovalna točka in bo pomagala organu za varstvo podatkov pri poizvedbah v zvezi s spoštovanjem načel s strani organizacije (45). FTC se je tudi zavezala, da bo vzpostavila posebno kontaktno točko (46) in organu za varstvo podatkov nudila pomoč pri preiskavah v skladu z zakonom ZDA o spletni varnosti (U.S. SAFE WEB Act) (47).

(52) Četrtič, Ministrstvo za trgovino se je zavezalo, da bo sprejemalo, pregledalo in si po najboljših močeh prizadevalo rešiti pritožbe o nespoštovanju načel s strani organizacije. V ta namen Ministrstvo za trgovino zagotavlja posebne postopke, s katerimi organi za varstvo podatkov posredujejo pritožbe posebni kontaktni točki, jih spremljajo in skupaj s podjetji določijo nadaljnje ukrepe za olajšanje reševanja. Da bi pospešila obdelavo posameznih pritožb, se bo kontaktna točka neposredno povezala z ustreznim organom za varstvo podatkov glede težav v zvezi s skladnostjo in ga najpozneje v 90 dneh od predložitve pritožbe zlasti obvestila o statusu pritožbe. To posameznikom, na katere se nanašajo osebni podatki, omogoča, da pritožbe zaradi neskladnosti samocertificiranih podjetij v ZDA predložijo neposredno svojim nacionalnim organom za varstvo podatkov in jih posredujejo Ministrstvu za trgovino kot organu ZDA, ki upravlja zasebnostni ščit EU-ZDA. Ministrstvo za trgovino se je tudi zavezalo, da bo v okviru letnega pregleda delovanja zasebnostnega ščita EU-ZDA predložilo poročilo, v katerem bodo v obliki povzetka analizirane pritožbe, ki jih prejme vsako leto (48).

(53) Če Ministrstvo za trgovino na podlagi preverjanj po uradni dolžnosti, pritožb ali kakršnih koli drugih informacij sklene, da organizacija vztrajno ne spoštuje načel zasebnosti, umakne tako organizacijo s seznama zasebnostnega ščita. Če kateri koli samoregulativni organ za varstvo zasebnosti, neodvisni organ za reševanje sporov ali vladni organ, vključno z organom za varstvo podatkov, noče ravnati v skladu s končno odločitvijo, se to šteje za vztrajno neizpolnjevanje načel.

(54) Petič, za organizacijo v zasebnostnem ščitu morajo veljati preiskovalna in izvršilna pooblastila organov ZDA, zlasti Zvezne komisije za trgovino (49), ki bo učinkovito zagotavljala skladnost z načeli. FTC bo prednostno obravnavala sporočene zadeve glede nespoštovanja načel zasebnosti, ki jih je prejela od neodvisnih organov za reševanje sporov ali samoregulativnih organov, Ministrstva za trgovino in organov za varstvo podatkov (ki delujejo na lastno pobudo ali na podlagi pritožb), da bi ugotovila, ali je bil kršen člen 5 zakona o FTC (50). FTC se je zavezala, da bo oblikovala standardiziran postopek za pošiljanje zadev, imenovala kontaktno točko organa za zadeve, ki jih sporoči organ za varstvo podatkov, in izmenjevala informacije o sporočenih zadevah. Poleg tega bo sprejemala pritožbe neposredno od posameznikov in na lastno pobudo izvajala preiskave zasebnostnega ščita, zlasti v okviru obsežnejših preiskav zadev v zvezi z zasebnostjo.

(55) FTC lahko zagotavlja skladnost z upravnimi odločbami (v nadaljnjem besedilu: odločba o soglasju) in bo sistematično spremljala spoštovanje takih odločb. Če organizacije ne spoštujejo takih odločb, lahko FTC predloži zadevo pristojnemu sodišču za uveljavitev denarnih kazni in drugih pravnih sredstev, tudi za škodo, povzročeno s protipravnim ravnanjem. FTC lahko pri zveznem sodišču tudi neposredno zaprosi za predhodno ali trajno prepoved ali druga pravna sredstva. Vsaka odločba o soglasju, ki jo izda organizacija v zasebnostnem ščitu, bo vsebovala določbe o samoporočanju (51), organizacije pa bodo morale objaviti vse ustrezne dele katerega koli poročila o skladnosti ali ocenjevalnega poročila, predloženega FTC, ki se nanašajo na zasebnostni ščit. FTC bo vodila tudi spletni seznam podjetij, za katera veljajo odločbe FTC ali sodne odločbe v zadevah, povezanih z zasebnostnim ščitom.

(56) Šestič, če se pritožba posameznika ne reši z uporabo katere od navedenih možnosti pravnega varstva, lahko posameznik iz EU, na katerega se nanašajo osebni podatki, v skrajnem primeru zaprosi za zavezujočo arbitražo „senata zasebnostnega ščita“. Organizacije morajo obvestiti posameznike o njihovi možnosti, da pod določenimi pogoji uveljavijo zavezujočo arbitražo, in se po uveljavitvi te možnosti s strani posameznika odzvati tako, da pošljejo obvestilo zadevni organizaciji (52).

(57) Ta arbitražni senat bo sestavljala skupina najmanj 20 arbitrov, ki jih imenujeta Ministrstvo za trgovino in Komisija na podlagi njihove neodvisnosti, integritete, pa tudi izkušenj na področju zakonodaje ZDA o varstvu zasebnosti in zakonodaje Unije o varstvu podatkov. Strani za vsak posamezni spor iz te skupine izbereta senat z enim ali tremi (53) arbitri. Postopke urejajo standardna pravila arbitraže, o katerih se dogovorita Ministrstvo za trgovino in Komisija. Ta pravila bodo dopolnjevala že dogovorjeni okvir, ki vsebuje več elementov, ki povečujejo dostopnost tega mehanizma za posameznike iz EU, na katere se nanašajo osebni podatki: (i) posameznikom, na katere se nanašajo osebni podatki, lahko pri pripravi zahtevka pred senatom pomagajo njihovi nacionalni organi za varstvo podatkov; (ii) arbitraža sicer poteka v ZDA, vendar se lahko posamezniki iz EU, na katere se nanašajo osebni podatki, odločijo, da bodo sodelovali prek video ali telefonske konference, ki je za posameznika brezplačna; (iii) čeprav je jezik, ki se uporablja pri arbitraži, praviloma angleščina, se tolmačenje na arbitražnem zaslišanju in prevod na utemeljeno zahtevo posameznika, na katerega se nanašajo osebni podatki, običajno (54) zagotovita brezplačno; (iv) nenazadnje, čeprav mora vsaka stran v primeru, da jo pred senatom zastopa odvetnik, kriti svoje odvetniške stroške, bo Ministrstvo za trgovino ustanovilo sklad, v katerem se bodo zbirali letni prispevki organizacij v zasebnostnem ščitu in ki bo kril upravičene stroške arbitražnega postopka do najvišjih določenih zneskov, ki jih določijo organi ZDA v posvetovanju s Komisijo.

(58) Senat zasebnostnega ščita lahko zahteva „nedenarno pravično nadomestilo za posameznika“ (55), ki je potrebno za odpravo nespoštovanja načel. Čeprav senat upošteva druga pravna sredstva, ki so bila že pridobljena z drugimi mehanizmi zasebnostnega ščita med njegovim odločanjem, lahko posamezniki še vedno uporabijo arbitražo, če menijo, da so ta druga pravna sredstva nezadostna. To posameznikom iz EU, na katere se nanašajo osebni podatki, omogoča, da uporabijo arbitražo v vseh primerih, kjer se z ukrepanjem ali neukrepanjem pristojnih organov ZDA (na primer FTC) njihove pritožbe niso zadovoljivo rešile. Arbitraže ni dovoljeno začeti, če ima organ za varstvo podatkov pravno pooblastilo za rešitev zadevnega zahtevka v zvezi s samocertificiranim podjetjem iz ZDA, in sicer v primerih, ko je organizacija bodisi dolžna sodelovati in upoštevati nasvet organov za varstvo podatkov, kar zadeva obdelavo podatkov o človeških virih, zbranih v okviru zaposlovanja, ali se je k temu prostovoljno zavezala. Posamezniki lahko izvršijo arbitražno odločbo pred sodišči ZDA na podlagi zveznega zakona o arbitraži (Federal Arbitration Act), s čimer zagotovijo pravno sredstvo v primeru, da podjetje ne izpolni obveznosti.

(59) Sedmič če organizacija ne izpolnjuje zavez v zvezi z načeli in objavljeno politiko varstva zasebnosti, so po zakonodaji držav ZDA morda na voljo dodatne možnosti sodnega varstva, ki zagotavljajo pravna sredstva po odškodninskem pravu in v primeru goljufivih lažnih navedb, nepoštenih ali goljufivih dejanj ali kršitve pogodbe.

(60) Nenazadnje, če organ za varstvo podatkov po prejemu zahtevka posameznika iz EU, na katerega se nanašajo osebni podatki, meni, da za osebne podatke posameznika, prenesene na organizacijo v ZDA, ni zagotovljena ustrezna raven varstva, lahko uveljavlja tudi svoja pooblastila v zvezi z izvoznikom podatkov in po potrebi ustavi prenos podatkov.

(61) Komisija ob upoštevanju informacij v tem členu meni, da načela, ki jih je izdalo Ministrstvo za trgovino ZDA, kot taka zagotavljajo raven varstva osebnih podatkov, ki je v bistvenem enaka ravni, ki jo zagotavljajo osnovna vsebinska načela, določena v Direktivi 95/46/ES.

(62) Poleg tega je učinkovita uporaba načel zagotovljena z obveznostmi glede preglednosti ter upravljanjem in pregledom skladnosti zasebnostnega ščita s strani Ministrstva za trgovino.

(63) Komisija tudi meni, da nadzorni in pritožbeni mehanizmi ter mehanizmi izvrševanja, ki jih zagotavlja zasebnostni ščit, kot celota omogočajo ugotavljanje kršitev načel s strani organizacij v zasebnostnem ščitu in njihovo kaznovanje v praksi ter posamezniku, na katerega se nanašajo osebni podatki, ponujajo pravna sredstva za pridobitev dostopa do osebnih podatkov, povezanih z njim, in, na koncu, popravek ali izbris takih podatkov.

3. DOSTOP DO OSEBNIH PODATKOV, KI JIH JAVNI ORGANI PRENAŠAJO V OKVIRU ZASEBNOSTNEGA ŠČITA EU-ZDA, IN NJIHOVA UPORABA

(64) Kot izhaja iz člena I.5 Priloge II, je spoštovanje načel omejeno na tisto, kar je potrebno za izpolnitev zahtev glede nacionalne varnosti, javnega interesa ali kazenskega pregona.

(65) Komisija je ocenila omejitve in zaščitne ukrepe, ki so na voljo v zakonodaji ZDA, kar zadeva dostop in uporabo osebnih podatkov, ki jih javni organi v ZDA prenašajo v okviru zasebnostnega ščita EU-ZDA za namene nacionalne varnosti, kazenskega pregona in drugih javnih interesov. Poleg tega je vlada ZDA prek urada direktorja nacionalne obveščevalne službe (Office of the Director of National Intelligence, v nadaljnjem besedilu: ODNI) (56) Komisiji predložila podrobna zagotovila in zaveze, vsebovane v Prilogi VI k temu sklepu. Z dopisom, ki ga je podpisal državni sekretar in ki je priložen kot Priloga III k temu sklepu, se je vlada ZDA tudi zavezala, da bo ustvarila nov nadzorni mehanizem za posege na področju nacionalne varnosti, varuha človekovih pravic na področju zasebnostnega ščita, ki bo neodvisen od obveščevalne skupnosti. Zagotovilo Ministrstva za obrambo ZDA, vsebovano v Prilogi VII k temu sklepu, opisuje omejitve in zaščitne ukrepe, ki se uporabljajo za dostop do podatkov in njihovo uporabo s strani javnih organov pregona in za druge namene javnega interesa. Za povečanje preglednosti in izražanje pravne narave teh zavez bo vsak od dokumentov, navedenih v in priloženih temu sklepu, objavljen v zveznem registru ZDA.

(66) Ugotovitve Komisije glede omejitev dostopa in uporabe osebnih podatkov, ki jih javni organi ZDA prenašajo iz Evropske unije v ZDA, in obstoja učinkovitega pravnega varstva so podrobneje pojasnjene v nadaljevanju.

3.1 Dostop in uporaba s strani javnih organov ZDA za namene nacionalne varnosti

(67) Analiza Komisije kaže, da zakonodaja ZDA vsebuje številne omejitve glede dostopa do osebnih podatkov in njihove uporabe, ki se prenašajo v okviru zasebnostnega ščita EU-ZDA za namene socialne varnosti, pa tudi nadzornih in pritožbenih mehanizmov, ki zagotavljajo dovolj zaščitnih ukrepov, da so zadevni podatki učinkovito zaščiteni proti nezakonitim posegom in nevarnosti zlorabe (57). Od leta 2013, ko je Komisija izdala dve sporočili (glej uvodno izjavo 7), se je ta pravni okvir znatno okrepil, kakor je opisano v nadaljevanju.

3.1.1 Omejitve

(68) Po zakonodaji ZDA je zagotavljanje nacionalne varnosti v pristojnosti predsednika kot glavnega poveljnika, glavnega upravitelja in, kar zadeva tuje obveščevalne službe, kot pristojnega za zunanje zadeva ZDA (58). Ker ima kongres pristojnosti za uvedbo omejitev in je to storil v različnih primerih, lahko v okviru teh omejitev usmerja dejavnosti obveščevalne skupnosti ZDA, zlasti z odredbami ali predsedniškimi direktivami. To seveda velja tudi za področja, za katera ni nobenih kongresnih smernic. Trenutno sta glavna pravna instrumenta v zvezi s tem Odredba št. 12333 (59) in Predsedniška politična direktiva št. 28 (Presidential Policy Directive 28, v nadaljnjem besedilu: PPD-28).

(69) Predsedniška politična direktiva št. 28 (v nadaljnjem besedilu: PPD-28), objavljena 17. januarja 2014, uvaja številne omejitve za „obveščevalne operacije SIGINT“ (60). Ta predsedniška direktiva je zavezujoča za obveščevalne organe ZDA (61) in ostane veljavna po spremembi v administraciji ZDA (62). PPD-28 je zlasti pomembna za nedržavljane ZDA, vključno s posamezniki iz EU, na katere se nanašajo osebni podatki. Med drugim določa da: (a) mora zbiranje obveščevalnih podatkov SIGINT temeljiti na statutu ali predsedniškem pooblastilu ter se mora izvajati v skladu z ustavo ZDA (zlasti četrtim amandmajem) in zakonodajo ZDA; (b) bi se morale vse osebe obravnavati z dostojanstvom in spoštovanjem, ne glede na njihovo državljanstvo ali prebivališče; (c) imajo vse osebe legitimne interese za varstvo zasebnosti pri obdelavi njihovih osebnih podatkov; (d) so zasebnost in državljanske svoboščine sestavni del premislekov pri načrtovanju obveščevalnih dejavnosti SIGINT v ZDA; (e) morajo obveščevalne dejavnosti SIGINT v ZDA zato vključevati ustrezne zaščitne ukrepe za osebne podatke vseh posameznikov, ne glede na njihovo državljanstvo ali prebivališče.

(70) PPD-28 določa, da se lahko obveščevalni podatki SIGINT zbirajo izključno za namen tujih obveščevalnih služb in protiobveščevalnih služb za podporo nacionalnim in ministrskim misijam, ne pa za kateri koli drug namen (npr. za zagotavljanje konkurenčne prednosti podjetjem iz ZDA). V zvezi s tem ODNI pojasnjuje, da bi morali organi obveščevalne skupnosti „zahtevati, da se zbiranje podatkov, kadar je to izvedljivo, osredotoča na posebne cilje ali teme zbiranja tujih obveščevalnih podatkov z uporabo diskriminant (npr. posebni pripomočki, izbirni izrazi, identifikatorji)“ (63). Poleg tega iz zagotovil izhaja, da odločitve glede zbiranja obveščevalnih podatkov niso prepuščene presoji posameznih obveščevalnih agentov, ampak so predmet politik in postopkov, ki jih morajo vzpostaviti različni organi (agencije) obveščevalne skupnosti ZDA za izvajanje PPD-28 (64). V skladu s tem v skupnem „okviru prednostnih nalog nacionalnih obveščevalnih služb (National Intelligence Priorities Framework, v nadaljnjem besedilu: NIPF)“ potekajo tudi raziskave in določanje ustreznih izbirnikov, kar zagotavlja, da prednostne naloge obveščevalnih služb določijo oblikovalci politik na visoki ravni in da se te prednostne naloge redno pregledujejo, da se še naprej odzivajo na dejanske grožnje nacionalni varnosti in da se upoštevajo morebitna tveganja, vključno s tveganji za zasebnost (65). Na podlagi tega osebje agencije prouči in določi posebne izbirne izraze, s pomočjo katerih naj bi se zbirali tuji obveščevalni podatki, prilagojeni prednostnim nalogam (66). Izbirne izraze oziroma „izbirnike“ je treba redno pregledovati, da se preveri, ali še vedno zagotavljajo dragocene obveščevalne podatke v skladu s prednostnimi nalogami (67).

(71) Poleg tega zahtevi, določeni v PPD-28, da mora biti zbiranje vedno (68)„prilagojeno in izvedljivo“ in da mora obveščevalna skupnost dajati prednost razpoložljivosti drugih informacij ter ustreznim in izvedljivim alternativam (69), izražata splošno pravilo dajanja prednosti ciljnemu zbiranju podatkov pred množičnim zbiranjem podatkov. V skladu z zagotovili ODNI zagotavljata zlasti, da množično zbiranje ni niti „masovno“ niti „neselektivno“ in da izjema ne razveljavi pravila (70).

(72) Čeprav PPD-28 pojasnjuje, da morajo organi obveščevalne skupnosti včasih v določenih okoliščinah zbirati množične obveščevalne podatke SIGINT, na primer za ugotavljanje in oceno novih ali nastajajočih groženj, določa, da morajo ti organi dajati prednost alternativam, ki omogočajo izvajanje ciljnega zbiranja obveščevalnih podatkov SIGINT (71). Iz tega sledi, da se množično zbiranje podatkov izvaja le, če ciljno zbiranje podatkov z uporabo diskriminant, tj. identifikatorja, povezanega z določeno ciljno osebo (kot je e-poštni naslov ali telefonska številka ciljne osebe), ni mogoče „zaradi tehničnih ali operativnih razlogov“ (72). To se nanaša na način zbiranja obveščevalnih podatkov SIGINT in na dejansko zbrane podatke (72).

(73) V skladu z zagotovili ODNI obveščevalna skupnost tudi v primeru, če ne more uporabiti posebnih identifikatorjev za ciljno zbiranje podatkov, poskuša „čim bolj“ omejiti zbiranje. Za zagotovitev tega „uporablja filtre in druga tehnična orodja za osredotočanje zbiranja na tiste elemente, ki verjetno vsebujejo komunikacije, ki so pomembne za tuje obveščevalne službe“ (in bodo tako ustrezali zahtevam, ki so jih izrazili oblikovalci politike ZDA v skladu s postopkom, opisanim v uvodni izjavi 70). Zato bo množično zbiranje ciljno usmerjeno na vsaj dva načina. Prvič, vedno bo povezano z določenimi cilji tuje obveščevalne službe (npr. pridobivanje obveščevalnih podatkov SIGINT o dejavnostih teroristične skupine, ki deluje v določeni regiji) in osredotočalo se bo na komunikacije, ki so povezane s takimi cilji. Glede na zagotovilo ODNI se to izraža v dejstvu, da „obveščevalne dejavnosti SIGINT ZDA dosežejo le del komunikacij, ki potekajo prek interneta“ (73). Drugič, v zagotovilih ODNI je pojasnjeno, da bodo filtri in druga tehnična orodja, ki se uporabljajo, zasnovana tako, da se bodo osredotočala na „čim bolj natančno“ zbiranje za zagotovitev, da bo zbranih čim manj „neustreznih informacij“.

(74) Tudi kadar ZDA menijo, da je treba obveščevalne podatke zbirati množično, v skladu s pogoji, določenimi v uvodnih izjavah 70 do 73, Predsedniška politična direktiva št. 28 omejuje uporabo takih podatkov na določen seznam šestih namenov nacionalne varnosti za varstvo zasebnosti in državljanskih pravic vseh oseb, ne glede na njihovo državljanstvo in prebivališče (74). Ti dovoljeni nameni vključujejo ukrepe za odkrivanje in preprečevanje groženj oboroženim silam ali vojaškemu osebju, ki izhajajo iz vohunstva, terorizma, orožja za množično uničevanje ali groženj kibernetski varnosti, pa tudi nadnacionalnih kriminalnih groženj, povezanih z drugimi petimi nameni, pregledovali pa se bodo vsaj enkrat letno. Glede na zagotovila vlade ZDA so organi obveščevalne skupnosti okrepili svoje analitične prakse in standarde za iskanje neocenjenih obveščevalnih podatkov SIGINT, da bi izpolnili te zahteve; uporaba ciljnih poizvedb „zagotavlja, da se analitikom v proučitev vedno predložijo samo tisti obveščevalni podatki, za katere se šteje, da bi bili lahko koristni za obveščevalne namene“ (75).

(75) Te omejitve so zlasti pomembne za osebne podatke, ki se prenašajo v okviru zasebnostnega ščita EU-ZDA, zlasti, če se do osebnih podatkov dostopa zunaj ZDA, tudi med njihovim prenašanjem po čezatlantskih kablih iz Unije v ZDA. Kot so potrdili organi ZDA v zagotovilih ODNI, se za tako zbiranje uporabljajo omejitve in zaščitni ukrepi, navedeni v zadevnih zagotovilih, vključno s tistimi iz PPD-28 (76).

(76) Čeprav ta načela niso navedena v zadevnih pravnih izrazih, zajemajo bistvo načel nujnosti in sorazmernosti. Ciljno zbiranje podatkov ima očitno prednost, medtem ko je množično zbiranje podatkov omejeno na (izredne) primere, ko ciljno zbiranje podatkov ni mogoče zaradi tehničnih ali operativnih razlogov. Tudi če se množičnemu zbiranju podatkov ni mogoče izogniti, je nadaljnja „uporaba“ takih podatkov z dostopom strogo omejena na posebne, legitimne namene nacionalne varnosti (77).

(77) Tako kot direktiva, ki jo izda predsednik kot glavni upravitelj, so te zahteve zavezujoče za celotno obveščevalno skupnost in se še naprej izvajajo prek pravil in postopkov agencije, ki prenašajo splošna načela v posebna navodila za vsakodnevne dejavnosti. Poleg tega je kongres, čeprav ga ne zavezuje PPD-28, sprejel tudi ukrepe za zagotovitev, da sta zbiranje in dostop do osebnih podatkov v ZDA ciljno usmerjena in se ne izvajata „na splošni podlagi“.

(78) Razpoložljive informacije, vključno z zagotovili vlade ZDA, kažejo, da lahko obveščevalne agencije v ZDA po prenosu podatkov do organizacij v ZDA, ki so samocertificirane v okviru zasebnostnega ščita EU-ZDA, zahtevajo osebne podatke le (78), če je njihova zahteva skladna z zakonom o nadzoru tujih obveščevalnih podatkov (Foreign Intelligence Surveillance Act, v nadaljnjem besedilu: FISA) ali jo vloži Zvezni preiskovalni urad (Federal Bureau of Investigation, v nadaljnjem besedilu: FBI) na podlagi tako imenovanega dopisa o nacionalni varnosti (National Security Letter, v nadaljnjem besedilu: NSL) (79). V skladu s FISA obstaja več pravnih podlag, ki se lahko uporabljajo za zbiranje (in poznejšo obdelavo) osebnih podatkov posameznikov iz EU, na katere se nanašajo osebni podatki, ki se prenašajo v okviru zasebnostnega ščita EU-ZDA. Poleg člena 104 FISA (80), ki ureja tradicionalni individualizirani elektronski nadzor, in člena 402 FISA (81) o namestitvi snemalnikov klicev (pen registers) ali sledilnih naprav (trap and trace devices) sta osrednja instrumenta člen 501 FISA (prejšnji člen 215 zakona o domovinski varnosti ZDA (U.S. PATRIOT ACT) in člen 702 FISA (82).

(79) V zvezi s tem zakon ZDA o svobodi (USA FREEDOM Act), ki je bil sprejet 2. junija 2015, prepoveduje množično zbiranje evidenc na podlagi člena 402 FISA (pooblastilo za snemanje klicev sledenje) in člena 501 FISA (prejšnji člen 215 zakona o domovinski varnosti ZDA) (83) ter z uporabo NSL in namesto tega zahteva uporabo posebnih „izbirnih izrazov“ (84).

(80) Čeprav FISA vsebuje dodatna pravna pooblastila za izvajanje nacionalnih obveščevalnih dejavnosti, vključno z obveščevalno dejavnostjo SIGINT, je ocena Komisije pokazala, da kar zadeva osebne podatke, ki se prenašajo v okviru zasebnostnega ščita EU-ZDA, ta pooblastila enako omejujejo javne posege javnih organov v ciljno zbiranje podatkov in dostop do podatkov.

(81) To je jasno pri tradicionalnem individualiziranem elektronskem nadzoru na podlagi člena 104 FISA (85). Kot je navedeno v členu 702 FISA, ki določa podlago za dva pomembna obveščevalna programa, ki ju izvajajo obveščevalne agencije ZDA (PRISM in UPSTREAM), se preiskave izvajajo ciljno z uporabo posameznih izbirnikov, ki opredeljujejo posebna komunikacijska sredstva, kot je e-poštni naslov ali telefonska številka ciljne osebe, ne pa ključnih besed ali imen ciljnih oseb (86). Zato, kot je navedel Nadzorni odbor za zasebnost in državljanske svoboščine (Privacy and Civil Liberties Oversight Board, v nadaljnjem besedilu: PCLOB), nadzor iz člena 702 „zajema izključno ciljno usmerjanje na določene osebe (ki niso državljani ZDA), za katere so bile oblikovane individualizirane ugotovitve“ (87). Zaradi klavzule o časovni omejitvi veljavnosti bo treba člen 702 FISA pregledati leta 2017, ko bo morala Komisija znova oceniti zaščitne ukrepe, ki so na voljo posameznikom iz EU, na katere se nanašajo osebni podatki.

(82) Poleg tega je vlada ZDA v svojih zagotovilih navedla, da je Evropska komisija izrecno zagotovila, da obveščevalna skupnost ZDA „ne sodeluje pri neselektivnem nadzoru vseh, vključno z običajnimi evropskimi državljani“ (88). Kar zadeva osebne podatke, ki se zbirajo v ZDA, je ta izjava podprta z empiričnimi dokazi, ki kažejo, da se zahteve za dostop z NSL in na podlagi FISA, posamično ali skupaj, nanašajo le na razmeroma majhno število ciljnih subjektov v primerjavi s skupnim pretokom podatkov na internetu (89).

(83) Kar zadeva dostop do zbranih podatkov in varstvo podatkov, PPD-28 zahteva, da se dostop „omeji na pooblaščeno osebje, ki mora biti seznanjeno z informacijami za opravljanje svojih nalog“, ter da se osebni podatki „obdelujejo in hranijo pod pogoji, ki zagotavljajo ustrezno varstvo in preprečujejo dostop nepooblaščenim osebam, v skladu z veljavnimi zaščitnimi ukrepi za občutljive podatke“. Obveščevalno osebje je deležno ustreznega in zadostnega usposabljanja v zvezi z načeli iz PPD-28 (90).

(84) Kar zadeva hrambo in nadaljnje razširjanje osebnih podatkov posameznikov iz EU, na katere se nanašajo osebni podatki, ki jih zbirajo obveščevalni organi ZDA, je v PPD-28 navedeno, da bi se morale vse osebe (vključno z nedržavljani ZDA) obravnavati z dostojanstvom in spoštovanjem, da imajo vse osebe legitimni interes za varstvo zasebnosti pri obdelavi njihovih osebnih podatkov in da morajo organi obveščevalne skupnosti zato vzpostaviti politike, ki zagotavljajo ustrezne zaščitne ukrepe za take podatke, „ki so razumno zasnovani za zmanjšanje [njihovega] razširjanja in hrambe“ (91).

(85) Vlada ZDA je pojasnila, da ta zahteva po razumnosti pomeni, da organom obveščevalne skupnosti ne bo treba sprejeti „kakršnih koli teoretično mogočih ukrepov“, ampak bodo morale „uravnotežiti svoja prizadevanja za zaščito legitimnih interesov glede zasebnosti in državljanskih svoboščin s praktičnimi potrebami obveščevalnih dejavnosti SIGINT“ (92). V zvezi s tem bodo nedržavljani ZDA obravnavani enako kot državljani ZDA, na podlagi postopkov, ki jih odobri generalni državni tožilec (93).

(86) V skladu s temi pravili je hramba običajno omejena na največ pet let, razen če zakonodaja vsebuje posebno določbo ali če direktor nacionalne obveščevalne službe po natančni oceni vprašanj v zvezi z zasebnostjo, pri čemer upošteva mnenja uradnika za varstvo državljanskih svoboščin ODNI, pa tudi uradnih oseb agencije za varstvo zasebnosti in državljanske pravice agencije, določi, da je stalna hramba v interesu nacionalne varnosti (94). Razširjanje je omejeno na primere, ko so podatki pomembni za osnovni namen zbiranja podatkov in tako ustrezajo zahtevi pooblaščenih tujih obveščevalnih organov ali organov kazenskega pregona (95).

(87) Glede na zagotovila vlade ZDA se osebni podatki ne smejo razširjati zgolj zato, ker zadevni posameznik ni državljan ZDA in se „obveščevalni podatki SIGINT o običajnih dejavnostih tuje osebe ne bi šteli za tuje obveščevalne podatke, ki bi se lahko stalno razširjali ali hranili zgolj zaradi tega dejstva, razen če sicer ustrezajo zahtevi pooblaščenih tujih obveščevalnih organov“ (96).

(88) Na podlagi zgoraj navedenega je Komisija zato sklenila, da so v ZDA vzpostavljena pravila, namenjena omejitvi morebitnih posegov za namene nacionalne varnosti v temeljne pravice oseb, katerih osebni podatki se prenašajo iz Unije v ZDA v okviru zasebnostnega ščita EU-ZDA, na tisto, kar je nujno potrebno za doseganje zadevnega legitimnega cilja.

(89) Kot je prikazano v zgornji analizi, pravo ZDA zagotavlja, da se bodo nadzorni ukrepi uporabili le za pridobivanje tujih obveščevalnih podatkov, kar je legitimni cilj politike (97), in da bodo čim bolj prilagojeni. Zlasti množično zbiranje podatkov bo izjemoma dovoljeno le, če ciljno zbiranje podatkov ne bo mogoče, spremljali pa ga bodo dodatni zaščitni ukrepi, da se bosta zmanjšala količina zbranih podatkov in nadaljnji dostop (ki bo moral biti ciljno usmerjen in dovoljen le za posebne namene).

(90) Po oceni Komisije je to skladno s standardom Sodišča iz sodbe v zadevi Schrems, v skladu s katerim mora predpis, ki pomeni poseg v temeljne pravice, zagotovljene v členih 7 in 8 Listine, določati „minimalne zahteve“ (98) in „ni zgolj na nujno potrebno omejena ureditev, ki splošno dovoljuje hrambo vseh osebnih podatkov vseh posameznikov, katerih podatki so bili preneseni iz Unije v Združene države, ne da bi se uporabljalo kakršno koli razlikovanje, omejitev ali izjema glede na cilj, ki se ga poskuša doseči, in ne da bi bilo predvideno objektivno merilo, ki bi omogočalo dostop javnih organov do podatkov in poznejšo uporabo teh podatkov samo v namene, ki so natančno določeni, strogo omejeni in bi lahko utemeljevali poseg, ki ga pomenita dostop in uporaba teh podatkov“ (99). Prav tako ne bo neomejenega zbiranja in hrambe podatkov vseh oseb brez kakršnih koli omejitev ali neomejenega dostopa. Poleg tega zagotovila, predložena Komisiji, vključno z zagotovilom, da se ameriške obveščevalne dejavnosti SIGNIT nanašajo le na del komunikacij na internetu, izključujejo „splošni“ dostop do vsebine elektronskih komunikacij (100).

3.1.2 Učinkovito pravno varstvo

(91) Komisija je ocenila nadzorne mehanizme, ki obstajajo v ZDA, glede morebitnih posegov obveščevalnih organov ZDA v osebne podatke, ki se prenašajo v ZDA, in možnosti individualne pritožbe, ki so na voljo posameznikov iz EU, na katere se nanašajo osebni podatki.

Nadzor

(92) Za ameriško obveščevalno skupnost se uporabljajo različni mehanizmi pregleda in nadzorni mehanizmi, za katere so pristojne tri veje države. Ti vključujejo notranje in zunanje organe izvršilne veje oblasti, številne kongresne odbore ter sodni nadzor, zlasti dejavnosti zakona o nadzoru tujih obveščevalnih podatkov.

(93) Obveščevalne dejavnosti organov ZDA obsežno nadzoruje izvršilna veja oblasti.

(94) V skladu s členom 4(a)(iv) PPD-28 politike in postopki organov obveščevalne skupnosti „vključujejo ustrezne ukrepe za olajšanje nadzora nad izvajanjem zaščitnih ukrepov za varstvo osebnih podatkov“, ti ukrepi pa bi morali vključevati redno izvajanje revizij (101).

(95) V zvezi s tem je bilo vzpostavljenih več ravni nadzora, vključno na ravni uradnikov za državljanske pravice in varstvo zasebnosti, generalnega inšpektorja, Urada ODNI za državljanske svoboščine in varstvo zasebnosti, PCLOB in predsedniškega obveščevalnega nadzornega odbora (President's Intelligence Oversight Board). Te nadzorne funkcije pomaga izvajati osebje za skladnost v vseh agencijah (102).

(96) Kot je pojasnila vlada ZDA (103), obstajajo na različnih ministrstvih, pristojnih za obveščevalne dejavnosti, in v obveščevalnih agencijah uradniki za državljanske pravice ali varstvo zasebnosti, ki so pristojni za nadzor (104). Čeprav se posebne pristojnosti teh uradnikov lahko nekoliko razlikujejo glede na zakonsko podlago, s katero so jim pooblastila podeljena, običajno zajemajo nadzor nad postopki za zagotovitev, da zadevno ministrstvo/agencija ustrezno upošteva pomisleke, povezane z zasebnostjo ali državljanskimi pravicami, in da ima vzpostavljene ustrezne postopke za obravnavo pritožb posameznikov, ki menijo, da je kršena njihova zasebnost ali državljanske svoboščine (in v nekaterih primerih, kot je ODNI, so lahko sami pooblaščeni za obravnavanje pritožb (105)). Vodja ministrstva/agencije mora zagotoviti, da uradniki prejmejo vse podatke, in zagotovi se mu dostop do vsega gradiva, potrebnega za opravljanje njegovih nalog. Uradniki za državljanske pravice in varstvo zasebnosti redno poročajo kongresu in PCLOB, vključno s poročanjem o številu in naravi pritožb, ki jih prejme ministrstvo/agencija, povzetkom obravnave takih pritožb, opravljenimi pregledi in preiskavami ter vplivom dejavnosti, ki jih je izvedel uradnik (106). Glede na oceno nacionalnih organov za varstvo podatkov se lahko notranji nadzor, ki ga izvajajo uradniki za državljanske pravice ali varstvo zasebnosti, obravnava kot „razmeroma zanesljiv“, čeprav po njihovem mnenju ne dosega zahtevane stopnje neodvisnosti (107).

(97) Poleg tega ima vsak organ obveščevalne skupnosti svojega generalnega inšpektorja, ki je med drugim pristojen za nadzor nad tujimi obveščevalnimi dejavnostmi (108). To v okviru ODNI vključuje Urad generalnega inšpektorja (Office of the Inspector General) s celovito pristojnostjo nad celotno obveščevalno skupnostjo in pooblastili za proučitev pritožb ali informacij v zvezi z obtožbami o protipravnem ravnanju ali zlorabi položaja v povezavi s programi ali dejavnostmi ODNI in/ali obveščevalne skupnosti (109). Generalni inšpektorji so zakonsko neodvisne (110) enote, pristojne za izvajanje revizij in preiskav v zvezi s programi in postopki, ki jih izvaja ustrezna agencija za nacionalne obveščevalne namene, vključno s primeri zlorab ali kršitev zakona (111). Pooblaščeni so za dostop do vseh evidenc, poročil, revizij, pregledov, dokumentov, spisov, priporočil ali drugega ustreznega gradiva, po potrebi s sodnim pozivom, in lahko opravljajo zaslišanja (112). Čeprav lahko generalni inšpektorji izdajajo samo nezavezujoča priporočila za popravne ukrepe, se njihova poročila, vključno s poročili o nadaljnjih ukrepih (ali odsotnosti ukrepov), objavijo in pošljejo Kongresu, ki lahko na podlagi teh poročil opravlja svojo nadzorno funkcijo (113).

(98) Poleg tega so Nadzornemu odboru za zasebnost in državljanske svoboščine, neodvisni agenciji (114) izvršilne oblasti, sestavljeni iz dvostrankarskega petčlanskega odbora (115), ki ga imenuje predsednik z odobritvijo senata za šestletno obdobje, podeljena pooblastila na področju politik boja proti terorizmu in njihovem izvajanju z namenom varstva zasebnosti in državljanskih svoboščin. Pri pregledu ukrepov obveščevalne skupnosti lahko dostopa do vseh ustreznih evidenc, poročil, revizij, pregledov, dokumentov, spisov in priporočil agencije, vključno z zaupnimi informacijami, opravlja pogovore in prisostvuje zaslišanjem. Prejema poročila uradnikov za državljanske pravice in varstvo zasebnosti več zveznih ministrstev/agencij (116), jim lahko izdaja priporočila ter redno poroča kongresnim odborom in predsedniku (117). Odbor za nadzor zasebnosti in državljanskih svoboščin mora v okviru svojega mandata pripraviti tudi poročilo o oceni izvajanja PPD-28.

(99) Navedene nadzorne mehanizme dopolnjuje obveščevalni nadzorni odbor (Intelligence Oversight Board), ustanovljen v okviru predsedniškega obveščevalnega svetovalnega odbora (President's Intelligence Advisory Board), ki nadzoruje skladnost obveščevalnih organov ZDA z ustavo in vsemi veljavnimi pravili.

(100) Za olajšanje nadzora se organe obveščevalne skupnosti spodbuja k oblikovanju informacijskih sistemov za omogočanje spremljanja, evidentiranja in pregledovanja poizvedb ali drugih iskanj osebnih podatkov (118). Organi za nadzor in skladnost redno preverjajo prakse organov obveščevalne skupnosti za varstvo osebnih podatkov, vsebovanih v obveščevalnih podatkih SIGINT, in njihovo skladnost s temi postopki (119).

(101) Te nadzorne funkcije so podprte tudi z obsežnimi zahtevami za poročanje glede neskladnosti. Postopki agencije morajo zlasti zagotavljati, da se v primeru velikih težav v zvezi s skladnostjo, ki vključuje osebne podatke katere koli osebe, ne glede na državljanstvo, zbrane s pomočjo obveščevalnih dejavnosti SIGINT, taka težava takoj sporoči vodji organa obveščevalne skupnosti, ki nato obvesti direktorja nacionalne obveščevalne službe, ki na podlagi PPD-28 določi, ali so potrebni kakršni koli popravni ukrepi (120). Poleg tega morajo vsi organi obveščevalne skupnosti na podlagi Odredbe št. 12333 poročati obveščevalnemu svetovalnemu odboru o primerih neskladnosti (121). Ti mehanizmi zagotavljajo, da se težava obravnava na najvišji ravni v obveščevalni skupnosti. Če je vpletena oseba, ki ni državljan ZDA, direktor nacionalne obveščevalne službe v posvetovanju z državnim sekretarjem in vodjo ministrstva ali agencije, ki pošlje sporočilo, določi, ali je treba sprejeti ukrepe za obveščanje ustrezne tuje vlade v skladu z zaščito virov in metod ter osebja ZDA (122).

(102) Poleg za te nadzorne mehanizme v okviru izvršilne oblasti je kongres ZDA, natančneje stalni obveščevalni in pravosodni odbori ter obveščevalni in pravosodni odbori v okviru senata (House and Senate Intelligence and Judiciary Committees), pristojen za nadzor nad vsemi tujimi obveščevalnimi dejavnostmi v ZDA, vključno z dejavnosti SIGINT v ZDA. V skladu z zakonom o nacionalni varnosti (National Security Act) „predsednik zagotovi, da se kongresni obveščevalni odbori v celoti in sproti obveščajo o obveščevalnih dejavnostih ZDA, vključno s katero koli pomembno predvideno obveščevalno dejavnostjo, kot se zahteva v skladu s tem podpoglavjem“ (123). Poleg tega „[p]redsednik zagotovi, da se kongresni obveščevalni odbori nemudoma obvestijo o kakršni koli nezakoniti obveščevalni dejavnosti, pa tudi o kakršnih koli popravnih ukrepih, ki so bili sprejeti ali so načrtovani v povezavi s tako nezakonito dejavnostjo“ (124). Člani teh odborov imajo dostop do zaupnih podatkov, pa tudi do obveščevalnih metod in programov (125).

(103) S poznejšimi zakoni so bile zahteve za poročanje razširjene in izpopolnjene, tako v zvezi z organi obveščevalne skupnosti kot tudi ustreznimi generalnimi inšpektorji in generalnim državnim tožilcem. Na primer, FISA zahteva, da generalni državni tožilec „v celoti obvešča“ obveščevalne in pravosodne odbore v okviru senata ter stalne obveščevalne in pravosodne odbore o dejavnostih vlade v skladu z nekaterimi členi FISA (126). Zahteva tudi, da vlada kongresnim odborom predloži kopije „vseh sklepov, odredb ali mnenj sodišča za nadzor tujih obveščevalnih podatkov ali prizivnega sodišča za nadzor tujih obveščevalnih podatkov, ki vključujejo pomembno sestavo ali razlago“ določb FISA. Zlasti kar zadeva nadzor v skladu s členom 702 FISA, se ta izvaja z zakonsko določenimi poročili za obveščevalne in pravosodne odbore, pa tudi s pogostim obveščanjem in zaslišanji. To vključuje polletno poročilo generalnega državnega tožilca, v katerem je opisana uporaba člena 702 FISA, s spremnimi dokumenti, vključno zlasti s poročili o skladnosti Ministrstva za pravosodje in ODNI, opisom morebitnih primerov neskladnosti (127) ter ločeno polletno oceno generalnega državnega tožilca in direktorja nacionalne obveščevalne službe, ki beleži skladnost s postopki izbire cilja in zmanjševanja količine podatkov, vključno s skladnostjo s postopki za zagotavljanje, da se zbiranje izvaja za upravičen namen zbiranja tujih obveščevalnih podatkov (128). Kongres prejema tudi poročila generalnih inšpektorjev, ki so pooblaščeni za ocenjevanje, ali agencije upoštevajo postopke za izbiro cilja in zmanjševanje količine podatkov ter smernice generalnega državnega tožilca.

(104) V skladu z zakonom ZDA o svobodi iz leta 2015 mora vlada ZDA med drugim Kongresu (in javnosti) vsako leto razkriti število zahtevanih in prejetih odredb in direktiv FISA, pa tudi oceno števila državljanov in nedržavljanov ZDA, nad katerimi se izvaja nadzor (129). Zakon zahteva tudi dodatno javno poročanje o številu izdanih NSL tako v zvezi z državljani kot tudi nedržavljani ZDA (ter hkrati omogoča prejemnikom odredb in potrdil FISA, pa tudi zahtevkov na podlagi NSL, da pod določenimi pogoji izdajo poročila o preglednosti) (130).

(105) Tretjič, obveščevalne dejavnosti javnih organov ZDA, ki temeljijo na FISA, omogočajo pregled in v nekaterih primerih predhodno odobritev ukrepov s strani sodišča FISA (v nadaljnjem besedilu: FISC) (131), neodvisnega sodišča (132), katerega odločbe se lahko izpodbijajo na drugostopenjskem sodišču za nadzor tujih obveščevalnih podatkov (Foreign Intelligence Court of Review, v nadaljnjem besedilu: FISCR) (133) in na koncu vrhovnem sodišču ZDA (134). V primeru predhodne odobritve morajo organi, ki zaprosijo za ukrepe (FBI, NSA CIA itd.), osnutek zahtevka predložiti pravnikom na Oddelku za nacionalno varnosti Ministrstva za pravosodje, ki ga pregledajo in po potrebi zahtevajo dodatne informacije (135). Ko je zahtevek dokončan, ga mora odobriti generalni državni tožilec, namestnik generalnega državnega tožilca ali pomočnik generalnega državnega tožilca za nacionalno varnost (136). Ministrstvo za pravosodje nato predloži zahtevek FISC, ki ga oceni in sprejme predhodno odločitev o nadaljnjih ukrepih (137). Kadar poteka obravnava, lahko FISC opravi zaslišanje, kar lahko vključuje strokovno svetovanje (138).

(106) Sodišču FISC (in FISCR) pomaga stalni senat petih posameznikov, ki imajo strokovno znanje in izkušnje na področju nacionalne varnosti in državljanskih svoboščin (139). Iz te skupine sodišče imenuje posameznika, ki deluje kot amicus curiae, za pomoč pri obravnavi kakršnega koli zahtevka za odredbo ali pregled, ki po mnenju sodišča predstavlja novo ali pomembno razlago zakona, razen če sodišče ugotovi, da tako imenovanje ni primerno (140). To bi moralo zlasti zagotoviti, da so pomisleki glede zasebnosti ustrezno izraženi v oceni sodišča. Sodišče lahko posameznika ali organizacijo imenuje za opravljanje naloge amicus curiae, vključno z zagotavljanjem tehničnega strokovnega znanja, kadar se mu to zdi primerno, ali na predlog dovoli posamezniku ali organizaciji, da predloži stališče amicus curiae (141).

(107) Kar zadeva pravni pooblastili za nadzor v okviru FISA, ki sta najpomembnejši za prenose podatkov v okviru zasebnostnega ščita EU-ZDA, se nadzor s strani FISC razlikuje.

(108) V skladu s členom 501 FISA (142), ki dovoljuje zbiranje „kakršnih koli oprijemljivih predmetov (vključno s knjigami, evidencami, spisi, dokumenti in drugimi listinami)“, mora zahtevek, ki se predloži FISC, vsebovati izjavo o dejstvih, ki kažejo, da obstajajo utemeljeni razlogi za sklepanje, da so zahtevani oprijemljivi predmeti pomembni za odobreno preiskavo (ki ni ocena nevarnosti), izvedeno za pridobitev tujih obveščevalnih podatkov, ki se ne nanašajo na državljana ZDA, ali za zaščito pred mednarodnim terorizmom ali tajnimi obveščevalnimi dejavnostmi. Zahtevek mora vsebovati tudi seznam postopkov za zmanjševanje količine podatkov, ki jih je generalni državni tožilec sprejel za hrambo in razširjanje zbranih obveščevalnih podatkov (143).

(109) V nasprotju s tem pa FISC v skladu s členom 702 FISA (144) ne dovoljuje posameznih nadzornih ukrepov, temveč dovoljuje nadzorne programe (kot sta programa PRISM in UPSTREAM) na podlagi letnih potrdil, ki jih pripravita generalni državni tožilec in direktor nacionalne obveščevalne službe. Člen 702 FISA dovoljuje ciljno osredotočanje na osebe, za katere se utemeljeno sklepa, da se nahajajo zunaj ZDA, za pridobitev tujih obveščevalnih podatkov (145). NSA tako izbiro cilja izvede v dveh korakih: prvič, analitiki NSA identificirajo nedržavljane ZDA v tujini, katerih nadzor bo na podlagi ocene analitikov zagotovil ustrezne tuje obveščevalne podatke, navedene v potrdilu; drugič, po identifikaciji teh posameznikov in odobritvi ciljnega osredotočanja nanje z mehanizmom obseženih pregledov v okviru NSA (146) se izbirnikom, ki opredelijo komunikacijska sredstva (kot so e-poštni naslovi), ki jih uporabljajo ciljne osebe, „dodelijo naloge“ (tj. ti izbirniki se razvijejo in uporabljajo) (147). Kot je navedeno, potrdila, ki ji odobri FISC, ne vsebujejo nobenih informacij o ciljnih posameznikih, temveč so v njih opredeljene kategorije tujih obveščevalnih podatkov (148). Čeprav FISC ne presoja – na podlagi verjetnega vzroka ali katerega koli drugega standarda – ustreznosti ciljnega osredotočanja na posameznike za pridobivanje tujih obveščevalnih podatkov (149), njegov nadzor zajema tudi nadzor nad izpolnjevanjem pogoja, da „je pomemben namen pridobivanja zbrati tuje obveščevalne podatke“ (150). NSA lahko namreč v skladu s členom 702 FISA zbira sporočila nedržavljanov ZDA zunaj ZDA samo, če je mogoče utemeljeno sklepati, da se zadevno komunikacijsko sredstvo uporablja za sporočanje tujih obveščevalnih podatkov (npr. povezanih z mednarodnim terorizmom, širjenjem jedrskega orožja ali sovražne kibernetske dejavnosti). Ugotovitve v zvezi s tem so predmet sodne presoje (151). V potrdilih morajo biti določeni tudi postopki izbire cilja in zmanjševanja količine podatkov (152). Generalni državni tožilec in direktor nacionalne obveščevalne službe preverjata skladnost, agencije pa morajo kakršen koli primer neskladnosti sporočiti FISC (153) (pa tudi kongresu in predsedniškemu obveščevalnemu nadzornemu odboru), ki lahko na tej podlagi spremeni pooblastilo (154).

(110) Poleg tega je administracija ZDA privolila, da bo za povečanje učinkovitosti nadzora s strani FISC izvedla priporočilo PCLOB za predložitev dokumentacije odločb FISC o izbiri cilja iz člena 702, vključno z naključnim vzorcem seznamov nalog, da se FISC omogoči, da oceni, kako se zahteva glede namena zbiranja tujih obveščevalnih podatkov upošteva v praksi (155). Hkrati je administracija ZDA sprejela in izvedla ukrepe za revidiranje postopkov izbire cilja NSA za boljše dokumentiranje razlogov za zbiranje tujih obveščevalnih podatkov za odločitve o izbiri cilja (156).

Individualna pravna sredstva

(111) Na podlagi zakonodaje ZDA so posameznikom iz EU, na katere se nanašajo osebni podatki, na voljo številne možnosti, če jih skrbi, ali njihove osebne podatke obdelujejo (zbirajo, ocenjujejo itd.) člani obveščevalne skupnosti in, če jih, ali se upoštevajo veljavne omejitve v skladu z zakonodajo ZDA. Te možnosti se nanašajo zlasti na tri področja, in sicer: posege na podlagi FISA; nezakonit in namerni dostop vladnih uslužbencev do osebnih podatkov ter dostop do informacij na podlagi zakona o dostopu do informacij javnega značaja (Freedom of Information Act, v nadaljnjem besedilu: FOIA) (157).

(112) Prvič, zakon o nadzoru tujih obveščevalnih podatkov določa več pravnih sredstev za izpodbijanje nezakonitega elektronskega nadzora, ki so na voljo tudi nedržavljanom ZDA (158). To vključuje možnost, da posamezniki vložijo civilni zahtevek za denarno odškodnino proti ZDA, če so bile informacije o njih nezakonito in namerno uporabljene ali razkrite (159), da osebno tožijo uslužbence vlade ZDA (ki so ravnali „pod pretvezo zakona“) za denarno odškodnino (160) in da izpodbijajo zakonitost nadzora (ter zahtevajo omejitev informacij), če namerava vlada ZDA uporabiti ali razkriti kakršne koli informacije, ki so pridobljene ali izhajajo iz elektronskega nadzora, proti posamezniku v sodnem ali upravnem postopku v ZDA (161).

(113) Drugič, vlada ZDA je opozorila Komisijo na številne dodatne možnosti, ki bi jih posamezniki iz EU, na katere se nanašajo osebni podatki, lahko uporabili za pritožbo proti vladnim uslužbencem zaradi nezakonitega vladnega dostopa do osebnih podatkov ali njihove uporabe, tudi za domnevne namene nacionalne varnosti (to so zakon o računalniških goljufijah in zlorabah (Computer Fraud Abuse Act) (162), zakon o zasebnosti elektronskih komunikacij (Electronic Communications Privacy Act) (163) in zakon o pravici do finančne zasebnosti (Right to Financial Privacy Act) (164)). Vsa ta pravna sredstva se nanašajo na posebne podatke, ciljne posameznike in/ali vrste dostopa (npr. oddaljeni dostop računalnika prek interneta) in so na voljo pod določenimi pogoji (npr. naklepno/namerno ravnanje, ravnanje zunaj uradnih pooblastil, utrpela škoda) (165). Splošnejšo možnost pravnega varstva nudi zakon o upravnem postopku (Administrative Procedure Act, člen 702 naslova 5 Zakonodajne zbirke ZDA), v skladu s katerim ima „vsaka oseba, ki ji je bila storjena pravna krivica zaradi ukrepanja agencije ali na katero je to ukrepanje agencije negativno vplivalo ali jo oškodovalo,“ pravico, da zahteva sodno presojo. To vključuje možnost, da se od sodišča zahteva, naj „ugotovi, da so ukrepanje, ugotovitve in sklepi agencije, za katere je bilo ugotovljeno, da so […] samovoljni, kapriciozni, da predstavljajo zlorabo diskrecijske pravice ali so na drugačen način neskladni s pravom, nezakoniti in naj jih razveljavi“ (166).

(114) Nenazadnje je vlada ZDA opozorila, da je zakon o dostopu do informacij javnega značaja sredstvo, s pomočjo katerega lahko nedržavljani ZDA zahtevajo dostop do obstoječih evidenc zvezne agencije, tudi če te evidence vsebujejo osebne podatke posameznika (167). Zakon o dostopu do informacij javnega značaja se ne osredotoča na določanje možnosti uporabe individualnih pravnih sredstev proti posegom v osebne podatke kot take, čeprav bi lahko posameznikom načeloma omogočal, da pridobijo dostop do ustreznih informacij, ki jih hranijo nacionalne obveščevalne agencije. Zdi se, da so tudi s tega vidika možnosti omejene, saj lahko agencije zadržijo informacije, ki spadajo med določene navedene izjeme, vključno z dostopom do zaupnih nacionalnih obveščevalnih podatkov in podatkov v zvezi s preiskavami kazenskega pregona (168). Vendar lahko posamezniki z zahtevo upravnega in sodnega pregleda izpodbijajo uporabo takih izjem s strani nacionalnih obveščevalnih agencij.

(115) Čeprav imajo zato posamezniki, vključno s posamezniki iz EU, na katere se nanašajo osebni podatki, na voljo različne možnosti pravnega varstva, če so predmet nezakonitega (elektronskega) nadzora za namene nacionalne varnosti, je prav tako jasno, da vsaj nekatere pravne podlage, ki jih lahko uporabijo obveščevalni organi ZDA (npr. Odredba št. 12333), niso zajete. Poleg tega so tudi kadar za nedržavljane ZDA načeloma obstajajo možnosti pravnega varstva, kot na primer pri nadzoru v skladu s FISA, razpoložljive možnosti za ukrepanje omejene (169) in zahtevki posameznikov (vključno z državljani ZDA) se razglasijo za nedopustne, če ne morejo dokazati pravnega interesa (170), kar omejuje dostop do rednih sodišč (171).

(116) Da bi zagotovila dodatne možnosti pravnega varstva, ki bi bile na voljo vsem posameznikom iz EU, na katere se nanašajo osebni podatki, se je vlada ZDA odločila, da bo ustvarila nov mehanizem varuha človekovih pravic, kot je določen v dopisu državnega sekretarja ZDA Komisiji, ki je priložen v Prilogi III k temu sklepu. Ta mehanizem temelji na imenovanju visokega koordinatorja (na ravni podsekretarja) na zunanjem ministrstvu v skladu s PPD-28 kot kontaktne točke za tuje vlade, na katero lahko naslovijo vprašanja v zvezi z obveščevalnimi dejavnostmi SIGINT ZDA, vendar bistveno presega prvotni koncept.

(117) V skladu z obveznostmi vlade ZDA bo mehanizem varuha človekovih pravic zagotavljal, da se bodo posamezne pritožbe ustrezno proučile in obravnavale ter da bodo posamezniki prejeli neodvisno potrditev, da so bili zakoni ZDA upoštevani ali, v primeru kršitve takih zakonov, da je bila neskladnost odpravljena (172). Mehanizem vključuje „varuha človekovih pravic na področju zasebnostnega ščita“, tj. podsekretarja in dodatno osebje ter druge nadzorne organe, ki bo nadzoroval različne člane obveščevalne skupnosti, na sodelovanje katerih se bo varuh človekovih pravic na področju zasebnostnega ščita zanašal pri obravnavi pritožb. Zlasti če se bo posameznikova zahteva nanašala na združljivost nadzora s pravom ZDA, bi se lahko varuh človekovih pravic na področju zasebnostnega ščita obrnil na neodvisne nadzorne organe s pooblastili za preiskovanje (kot so generalni inšpektorji ali PCLOB). V vsakem primeru državni sekretar zagotovi, da ima varuh človekovih pravic sredstva za zagotavljanje, da njegov odgovor na posamezne zahtevke temelji na vseh potrebnih informacijah.

(118) Ta „sestavljena struktura“ mehanizmu varuha človekovih pravic zagotavlja neodvisen nadzor in individualna pravna sredstva. Poleg tega se s sodelovanjem z drugimi nadzornimi organi zagotovi, da ima dostop do potrebnega strokovnega znanja in izkušenj. Z uvedbo obveznosti varuha človekovih pravic na področju zasebnostnega ščita, da potrdi skladnost ali odpravo morebitne neskladnosti, mehanizem odraža zavezo vlade ZDA kot celote, da bo obravnavala in rešila pritožbe posameznikov iz EU.

(119) Prvič, za razliko od izključno medvladnega mehanizma bo varuh človekovih pravic na področju zasebnostnega ščita prejemal pritožbe posameznikov in odgovarjal nanje. Take pritožbe lahko javni organi naslovijo na nadzorne organe držav članic, ki so pristojni za nadzor nacionalnih varnostnih služb in/ali obdelavo osebnih podatkov, ki jih bodo predložili centraliziranemu organu EU, ta pa jih bo posredoval varuhu človekovih pravic na področju zasebnostnega ščita (173). To bo dejansko prineslo koristi za posameznike iz EU, ki se lahko obrnejo na nacionalni organ „blizu doma“ in v svojem jeziku. Naloga takega organa bo pomagati posamezniku pri vložitvi zahtevka pri varuhu človekovih pravic na področju zasebnostnega ščita, ki bo vseboval osnovne informacije in se bo zato lahko štel za „popolnega“. Posamezniku ni treba dokazati, da je vlada ZDA z obveščevalnimi dejavnostmi SIGINT dejansko dostopala do njegovih osebnih podatkov.

(120) Vlada ZDA se zavezuje, da bo zagotovila, da si bo varuh človekovih pravic na področju zasebnostnega ščita pri opravljanju svojih nalog lahko zagotovil sodelovanje drugih mehanizmov za nadzor in pregled skladnosti, ki jih določa pravo ZDA. To bo včasih vključevalo nacionalne obveščevalne organe, zlasti če se zahteva lahko razlaga kot zahteva za dostop do dokumentov v skladu z zakonom o dostopu do informacij javnega značaja (Freedom of Information Act). V drugih primerih, zlasti kadar so zahteve povezane z združljivostjo nadzora s pravom ZDA, bo tako sodelovanje vključevalo neodvisne nadzorne organe (npr. generalne inšpektorje), ki bodo imeli nalogo in pooblastila za izvedbo podrobne preiskave (zlasti na podlagi dostopa do vseh ustreznih dokumentov in pooblastila, da zahtevajo informacije in izjave) ter bodo obravnavali neskladnost (174). Varuh človekovih pravic na področju zasebnostnega ščita bo lahko tudi predložil zadeve PCLOB v proučitev (175). Če kateri koli od teh nadzornih organov odkrije neskladnost, bo moral zadevni organ obveščevalne skupnosti (npr. obveščevalna agencija) odpraviti neskladnosti, saj bo varuh človekovih pravic le tako lahko predložil „pozitiven“ odgovor posamezniku (tj. da je bila morebitna neskladnost odpravljena), h kateremu se je vlada ZDA zavezala. V okviru sodelovanja bo varuh človekovih pravic na področju zasebnostnega ščita tudi obveščen o rezultatu preiskave in mu bo omogočeno, da prejme vse informacije, ki jih potrebuje za pripravo odgovora.

(121) Varuh človekovih pravic na področju zasebnostnega ščita bo neodvisen od obveščevalne skupnosti ZDA in tako ne bo prejemal njenih navodil (176). To je zelo pomembno ob upoštevanju dejstva, da bo moral varuh človekovih pravic „potrditi“, da (i) je bila pritožba ustrezno proučena in da (ii) se je upoštevala ustrezna zakonodaja ZDA, vključno zlasti z omejitvami in zaščitnimi ukrepi iz Priloge VI, ali, v primeru neskladnosti, da je bila taka kršitev odpravljena. Da bo varuh človekovih pravic na področju zasebnostnega ščita lahko zagotovil navedeno neodvisno potrdilo, bo moral prejeti potrebne informacije o preiskavi, na podlagi katerih bo lahko ocenil točnost odgovora na pritožbo. Poleg tega se je državni sekretar zavezal, da bo podsekretar objektivno opravljal naloge varuha človekovih pravic na področju zasebnostnega ščita in da ne bo pod neustreznim vplivom, ki bi lahko vplival na predloženi odgovor.

(122) Na splošno ta mehanizem zagotavlja, da bodo posamezne pritožbe temeljito preiskane in rešene ter da bodo vsaj na področju nadzora pri tem vključeni neodvisni nadzorni organi s potrebnim strokovnim znanjem in izkušnjami ter pooblastili za preiskovanje in varuh človekovih pravic, ki bo lahko svoje naloge izvajal, ne da bi bil pod neustreznim, zlasti političnim, vplivom. Poleg tega bodo lahko posamezniki predložili pritožbe, ne da bi jim bilo treba dokazati, da so bili nadzorovani, ali za to navesti indice (177). Komisija je na podlagi navedenega zadovoljna, da obstajajo ustrezna in učinkovita zagotovila proti zlorabi.

(123) Na podlagi zgoraj navedenega je Komisija sklenila, da ZDA zagotavljajo učinkovito pravno varstvo pred posegi njenih obveščevalnih organov v temeljne pravice oseb, katerih podatki se v okviru zasebnostnega ščita EU-ZDA prenašajo iz Unije v ZDA.

(124) V zvezi s tem Komisija upošteva sodbo Sodišča v zadevi Schrems, v skladu s katero „ureditev, ki ne določa nobene možnosti, da bi posameznik lahko uporabil pravna sredstva za pridobitev dostopa do osebnih podatkov, ki se nanj nanašajo, ali dosegel popravo ali izbris takih podatkov, posega v bistvo temeljne pravice do učinkovitega sodnega varstva, določene v členu 47 Listine“ (178). Ocena Komisije je potrdila, da so v Združenih državah Amerike zagotovljena taka pravna sredstva, vključno prek uvedbe mehanizma varuha človekovih pravic. Mehanizem varuha človekovih pravic zagotavlja neodvisen nadzor s pooblastili za preiskovanje. V okviru stalnega spremljanja zasebnostnega ščita, ki ga izvaja Komisija in vključuje tudi letni skupni pregled, ki zajema tudi varuha človekovih pravic, se bo znova ocenila učinkovitost tega mehanizma.

3.2 Dostop in uporaba s strani javnih organov ZDA za namene kazenskega pregona in javnega interesa

(125) Kar zadeva posege v osebne podatke, ki se prenašajo v okviru zasebnostnega ščita EU-ZDA za namene kazenskega pregona, je vlada ZDA (prek Ministrstva za pravosodje) podala zagotovila glede veljavnih omejitev in zaščitnih ukrepov, ki po oceni Komisije izkazujejo ustrezno stopnjo varstva.

(126) V skladu s temi informacijami preiskave in zasegi organov pregona iz četrtega amandmaja ustave ZDA (179) načeloma (180) zahtevajo sodni nalog na podlagi dokazanega „utemeljenega razloga“. V nekaterih posebej določenih in izjemnih primerih, ko se zahteva za nalog ne uporablja (181), je kazenski pregon predmet preskusa „razumnosti“ (182). Ali sta preiskava ali zaseg razumna, „se določi z oceno, v kakšni meri preiskava ali zaseg posega v zasebnost posameznika na eni strani in v kakšni meri sta potrebna za spodbujanje zakonitih vladnih interesov na drugi strani“ (183). Bolj splošno, četrti amandma zagotavlja zasebnost in dostojanstvo ter ščiti pred samovoljnimi in nasilnimi dejanji vladnih uslužbencev (184). Ti pojmi zajemajo zamisel o nujnosti in sorazmernosti v pravu Unije. Ko organom kazenskega pregona zaseženih sredstev ni treba več uporabljati kot dokaze, bi jih morali vrniti (185).

(127) Čeprav pravica iz četrtega amandmaja ne zajema oseb, ki niso državljani ZDA in ne prebivajo v Združenih državah Amerike, so te z njo vseeno posredno varovane, saj osebne podatke hranijo ameriška podjetja, kar pomeni, da morajo organi kazenskega pregona v vsakem primeru zaprositi za sodno odobritev (ali vsaj spoštovati zahtevo po razumnosti) (186). Dodatno varstvo zagotavljajo posebni zakonsko določeni organi, pa tudi smernice Ministrstva za pravosodje, ki omejujejo dostop organov pregona do podatkov na razloge nujnosti in sorazmernosti (npr. z zahtevanjem, da FBI uporablja najmanj vsiljive preiskovalne metode, ki so mogoče, ob upoštevanju vpliva na zasebnost in državljanske svoboščine) (187). Glede na zagotovila vlade ZDA se enako ali večje varstvo uporablja za preiskave organov pregona na ravni države (z upoštevanjem preiskav, ki se izvedejo v skladu z državnimi zakoni) (188).

(128) Čeprav predhodna sodna odobritev sodišča ali velike porote (preiskovalni organ sodišča, ki ga sodnik ali sodnik nižjega sodišča vključi v poroto) ni potrebna v vseh primerih (189), so upravni sodni pozivi omejeni na posebne primere in bodo predmet neodvisnega sodnega pregleda vsaj v primerih, ko vlada zahteva izvršilni postopek pred sodiščem (190).

(129) Enako velja za uporabo upravnih sodnih pozivov za namene javnega interesa. Poleg tega se glede na zagotovila vlade ZDA podobne vsebinske omejitve uporabljajo tudi v zvezi s tem, da lahko agencije zahtevajo dostop samo do tistih podatkov, ki so pomembni za zadeve, ki spadajo v njihovo pristojnost, in da morajo upoštevati standard razumnosti.

(130) Poleg tega pravo ZDA zagotavlja številne možnosti pravnega varstva za posameznike proti javnemu organu ali enemu od njegovih uslužbencev, če ti organi obdelujejo osebne podatke. Te možnosti, ki vključujejo zlasti zakon o upravnem postopku (Administrative Procedure Act – APA), zakon o dostopu do informacij javnega značaja (Freedom of Information Act – FOIA) in zakon o zasebnosti elektronskih komunikacij (Electronic Communications Privacy Act – ECPA), so na voljo vsem posameznikom, ne glede na njihovo državljanstvo, v skladu z morebitnimi veljavnimi pogoji.

(131) Običajno ima v skladu z določbami o sodni presoji zakona o upravnem postopku (191) (Administrative Procedure Act), „vsaka oseba, ki ji je bila storjena pravna krivica zaradi ukrepanja agencije ali na katero je to ukrepanje agencije negativno vplivalo ali jo oškodovalo,“ pravico, da zahteva sodno presojo (192). To vključuje možnost, da se od sodišča zahteva, naj „ugotovi, da so ukrepanje, ugotovitve in sklepi agencije, za katere je bilo ugotovljeno, da so […] samovoljni, kapriciozni, da predstavljajo zlorabo diskrecijske pravice ali so na drugačen način neskladni s pravom, nezakoniti in naj jih razveljavi“ (193).

(132) Naslov II zakona o zasebnosti elektronskih komunikacij (194) (Electronic Communications Privacy Act) podrobneje določa sistem zakonskih pravic do zasebnosti in tako ureja dostop organov kazenskega pregona do vsebin telefonskih, ustnih ali elektronskih komunikacij, ki jih hranijo tretji ponudniki storitev (195). Kot kaznivo dejanje obravnava nezakonit dostop do takih komunikacij (tj. dostop, ki ga ne odobri sodišče ali ki drugače ni dopusten) in določa pravno varstvo za prizadetega posameznika, saj lahko vloži civilno tožbo na zveznem sodišču ZDA za dejansko in kaznovalno odškodnino ter za pravično nadomestilo ali ugotovitveno določbo proti vladnemu uslužbencu, ki je namerno storil taka nezakonita dajanja, ali Združenim državam Amerike.

(133) Prav tako ima v skladu z zakonom o dostopu do informacij javnega značaja (Freedom of Information Act, člen 552 naslova 5 zakonodajne zbirke ZDA) vsaka oseba pravico, da pridobi dostop do evidenc zvezne agencije in, ko izčrpa vsa upravna sredstva, zahteva izvršitev take pravice na sodišču, razen če take evidence pred javnim razkritjem varuje izjema ali posebno izvzetje za organe kazenskega pregona (196).

(134) Poleg tega več drugih zakonov dodeljuje posameznikom pravico, da vložijo tožbo zoper javni organ ali uslužbenca ZDA zaradi obdelave njihovih osebnih podatkov; taki zakoni so zakon o prisluškovanju telefonskim pogovorom (197) (Wiretap Act), zakon o računalniških goljufijah in zlorabah (198) (Computer Fraud and Abuse Act), zvezni zakon o odškodninskih zahtevkih (199) (Federal Torts Claim Act), zakon o pravici do finančne zasebnosti (Right to Financial Privacy Act) (200) in zakon o poštenem kreditnem poročanju (Fair Credit Reporting Act) (201).

(135) Komisija je zato sklenila, da so v ZDA vzpostavljena pravila, ki so namenjena omejitvi morebitnih posegov za namene kazenskega pregona (202) ali druge namene javnega interesa v temeljne pravice oseb, katerih osebni podatki se v okviru zasebnostnega ščita EU-ZDA prenašajo iz Unije v ZDA, na tisto, kar je nujno potrebno za doseganje zadevnega zakonitega cilja, in ki zagotavljajo učinkovito pravno varstvo pred takimi posegi.

4. USTREZNA STOPNJA VARSTVA V OKVIRU ZASEBNOSTNEGA ŠČITA EU-ZDA

(136) Ob upoštevanju navedenih ugotovitev Komisija meni, da ZDA zagotavljajo ustrezno stopnjo varstva osebnih podatkov, ki se v okviru zasebnostnega ščita EU-ZDA prenašajo iz Unije samocertificiranim organizacijam.

(137) Komisija zlasti meni, da načela, ki jih je izdalo Ministrstvo za trgovino ZDA, kot celota zagotavljajo raven varstva osebnih podatkov, ki je v bistvu enakovredna ravni, ki jo zagotavljajo osnovna načela, določena v Direktivi 95/46/ES.

(138) Poleg tega je učinkovita uporaba načel zagotovljena z obveznostmi glede preglednosti in upravljanjem zasebnostnega ščita s strani Ministrstva za trgovino.

(139) Komisija tudi meni, da nadzorni in pritožbeni mehanizmi, ki jih zagotavlja zasebnostni ščit, kot celota omogočajo ugotavljanje kršitev načel s strani organizacij v zasebnostnem ščitu in njihovo kaznovanje v praksi ter posamezniku, na katerega se nanašajo osebni podatki, ponujajo pravna sredstva za pridobitev dostopa do osebnih podatkov, povezanih z njim, in, na koncu, popravek ali izbris takih podatkov.

(140) Nenazadnje, Komisija na podlagi razpoložljivih informacij o pravnem redu ZDA, vključno z zavezami vlade ZDA, meni, da bodo kakršni koli posegi javnih organov ZDA v temeljne pravice oseb, katerih podatki se v okviru zasebnostnega ščita prenašajo iz Unije v ZDA za namene nacionalne varnosti, kazenskega pregona ali drugih javnih interesov, in iz tega izhajajoče omejitve, uvedene za samocertificirane organizacije v zvezi z njihovim spoštovanjem načel, omejeni na tisto, kar je nujno potrebno za doseganje zadevnega zakonitega cilja, in da obstaja učinkovito pravno varstvo pred takim posegom.

(141) Komisija je sklenila, da so s tem izpolnjeni standardi iz člena 25 Direktive 95/46/ES, ki se razlagajo ob upoštevanju Listine Evropske unije o temeljnih pravicah, kot je Sodišče pojasnilo zlasti v sodbi v zadevi Schrems.

5. UKREPI ORGANOV ZA VARSTVO PODATKOV IN OBVEŠČANJE KOMISIJE

(142) Sodišče je v sodbi v zadevi Schrems pojasnilo, da Komisija nima pristojnosti za omejevanje pooblastil organov za zaščito podatkov, ki izhajajo iz člena 28 Direktive 95/46/ES (vključno s pooblastili za začasno ustavitev prenosa podatkov), če oseba, ki vloži zahtevek na podlagi navedene določbe, izrazi dvom glede združljivosti sklepa Komisije o ustreznosti varstva z varstvom temeljne pravice do zasebnosti in varstva podatkov (203).

(143) Za učinkovito spremljanje delovanja zasebnostnega ščita bi morale države članice obveščati Komisija o pomembnih ukrepih organov za varstvo podatkov.

(144) Sodišče je tudi menilo, da morajo države članice in njihovi organi v skladu z drugim pododstavkom člena 25(6) Direktive 95/46/ES sprejeti ukrepe, ki so potrebni za skladnost z ukrepi institucij Unije, saj se za slednje načeloma šteje, da so zakoniti in da ustvarjajo pravne učinke, dokler niso ukinjeni, razveljavljeni v tožbi za razveljavitev ali razglašeni za neveljavne na podlagi predloga za sprejetje predhodne odločbe ali ugovora nezakonitosti. Zato je sklep Komisije o ustreznosti varstva, sprejet na podlagi člena 25(6) Direktive 95/46/ES, zavezujoč za vse org