POROČILO KOMISIJE EVROPSKEMU PARLAMENTU IN SVETU

o prvem letnem pregledu delovanja zasebnostnega ščita EU-ZDA

1.PRVI LETNI PREGLED – NAMEN, PRIPRAVA IN POSTOPEK

Komisija je v sklepu z dne 12. julija 2016 (v nadaljnjem besedilu: sklep o ustreznosti) ugotovila, da zasebnostni ščit EU-ZDA (v nadaljnjem besedilu: zasebnostni ščit) zagotavlja ustrezno stopnjo varstva osebnih podatkov, ki se iz Evropske unije pošiljajo organizacijam v ZDA.

Zasebnostni ščit odraža načela in zahteve, ki jih je Sodišče Evropske unije določilo v sodbi v zadevi Schrems, s katero je razveljavilo prejšnji okvir varnega pristana. S ščitom so v primerjavi z varnim pristanom zagotovljeni številni novi elementi, s katerimi se izboljšuje varstvo osebnih podatkov, ko se prenesejo v Združene države Amerike. To vključuje strožje obveznosti za družbe, certificirane v okviru zasebnostnega ščita, na primer v zvezi z omejitvami glede tega, kako dolgo lahko družba hrani osebne podatke (tako imenovano načelo „hrambe podatkov“), ali pogoji, pod katerimi se lahko podatki izmenjujejo s tretjimi strankami zunaj okvira (tako imenovano načelo „odgovornosti za prenos tretjemu“). Z njim je določeno tudi rednejše in strožje spremljanje s strani ministrstva za trgovino ZDA ter so bistveno okrepljene možnosti posameznikov iz EU za uveljavljanje pravnega varstva. Poleg tega zasebnostni ščit temelji na posebnih pisnih zagotovilih in zavezah vlade ZDA, da se za dostop javnih organov do osebnih podatkov, ki se v okviru zasebnostnega ščita prenašajo za namene nacionalne varnosti, kazenskega pregona in drugih javnih interesov, uporabljajo jasne omejitve in zaščitni ukrepi. V ta namen je z njim vzpostavljen tudi povsem nov mehanizem pravnega varstva, tj. varuh človekovih pravic.

Komisija se je zavezala, da bo vsako leto ocenila ugotovitev o njegovi ustreznosti, in v ta namen opravlja letni pregled delovanja zasebnostnega ščita. Prvi letni pregled delovanja zasebnostnega ščita je zaključen s tem poročilom. Pregled je zajemal vse vidike zasebnostnega ščita, tj. izvajanje, upravljanje, nadzor in izvrševanje okvira zasebnostnega ščita s strani pristojnih oblasti in organov ZDA, ter vprašanja v zvezi z dostopom javnih organov ZDA do osebnih podatkov, ki se v okviru zasebnostnega ščita prenašajo za namene javnega interesa, zlasti nacionalne varnosti. Vključeval je tudi dialog o posebni temi avtomatiziranega sprejemanja odločitev in oceno sprememb v pravnem sistemu ZDA v zadnjem letu, ki bi lahko vplivale na delovanje zasebnostnega ščita.

Okvir zasebnostnega ščita deluje od 1. avgusta 2016. Glede na to, da je minilo prvo leto njegovega delovanja, je bil letni pregled Komisije osredotočen na preverjanje, ali se vsi mehanizmi in postopki, določeni v okviru – od katerih so bili številni vzpostavljeni na novo –, v celoti izvajajo in delujejo tako, kot je predvideno v sklepu o ustreznosti. Poleg tega je Komisija posebno pozornost namenila preverjanju, ali in kako so različni organi ZDA, vključeni v izvajanje okvira, izpolnili svoja zagotovila in zaveze, tako glede upravljanja in nadzora komercialnih vidikov zasebnostnega ščita kot glede vladnega dostopa do osebnih podatkov. Zaradi spremembe administracije ZDA januarja 2017 je to postalo še posebno pomembno.

Komisija je v pripravah na letni pregled zbirala informacije in povratne informacije o izvajanju in delovanju okvira zasebnostnega ščita pri zadevnih deležnikih, natančneje pri družbah, certificiranih v okviru zasebnostnega ščita, prek njihovih trgovinskih združenj in pri nevladnih organizacijah, dejavnih na področju temeljnih pravic ter še zlasti digitalnih pravic in zasebnosti. Za pisne informacije, vključno z ustreznimi dokumenti in gradivom, je zaprosila tudi organe ZDA in jih od njih tudi pridobila.

Prvi letni skupni pregled je potekal 18. in 19. septembra 2017 v Washingtonu, DC. Začela sta ga komisarka za pravosodje, potrošnike in enakost spolov Věra Jourová in ameriški minister za trgovino Wilbur Ross. Letni pregled so za EU opravili predstavniki Generalnega direktorata Evropske komisije za pravosodje in potrošnike. Delegacija EU je vključevala tudi osem predstavnikov, ki jih je imenovala Delovna skupina za varstvo podatkov iz člena 29, svetovalni organ, ki združuje nacionalne organe za varstvo podatkov držav članic in Evropskega nadzornika za varstvo podatkov.

Na strani ZDA so v pregledu sodelovali predstavniki ministrstva za trgovino, zvezne komisije za trgovino (Federal Trade Commission (FTC)), ministrstva za promet, ministrstva za zunanje zadeve, urada direktorja nacionalne obveščevalne službe (Office of the Director of National Intelligence) in ministrstva za pravosodje, pa tudi vršilec dolžnosti varuha človekovih pravic, član odbora za nadzor zasebnosti in državljanskih svoboščin (Privacy and Civil Liberties Oversight Board (PCLOB)) ter urad generalnega inšpektorja obveščevalne skupnosti (Office of the Inspector General of the Intelligence Community). Poleg tega so k letnemu pregledu prispevali predstavniki organizacij, ki ponujajo neodvisno reševanje sporov v okviru zasebnostnega ščita, ameriško arbitražno združenje (American Arbitration Association) kot upravljavec arbitražnega senata zasebnostnega ščita in nekatere družbe, certificirane v okviru zasebnostnega ščita.

V letnem pregledu so bile uporabljene tudi informacije iz javno dostopnega gradiva, kot so odločbe sodišč, izvedbena pravila in postopki ustreznih organov ZDA, poročila in študije nevladnih organizacij, poročila o preglednosti, ki so jih izdale družbe, certificirane v okviru zasebnostnega ščita, članki v tisku in druga poročila v medijih.

2.UGOTOVITVE, SKLEPI IN PRIPOROČILA

Letni pregled je pokazal, da so organi ZDA vzpostavili potrebne strukture in postopke za zagotovitev pravilnega delovanja zasebnostnega ščita. Postopek certificiranja se je na splošno izvajal zadovoljivo, do zdaj pa je bilo certificiranih več kot 2 400 družb. Organi ZDA so vzpostavili mehanizme reševanja pritožb in izvrševanja ter postopke za varovanje pravic posameznikov. To vključuje tudi nove dodatne možnosti pravnega varstva za posameznike iz EU, kot sta arbitražni senat in mehanizem varuha človekovih pravic. Kar zadeva slednjega, je bil po spremembi administracije januarja 2017 imenovan vršilec dolžnosti varuha človekovih pravic, imenovanje stalnega varuha človekovih pravic pa še poteka. Sodelovanje z evropskimi organi za varstvo podatkov je bilo okrepljeno. Kar zadeva dostop javnih organov do osebnih podatkov za namene nacionalne varnosti, se na strani ZDA še naprej uporabljajo ustrezni zaščitni ukrepi, zlasti tisti, ki temeljijo na leta 2014 izdani predsedniški politični direktivi št. 28 (Presidential Policy Directive 28), v kateri so določeni omejitve in zaščitni ukrepi za uporabo osebnih podatkov s strani nacionalnih varnostnih organov, ne glede na državljanstvo posameznika. V tem okviru je treba poudariti tudi, da naj bi 31. decembra 2017 prenehal veljati člen 702 ameriškega zakona o nadzoru tujih obveščevalnih podatkov (Foreign Intelligence Surveillance Act (FISA)) in da ameriški kongres razpravlja o predlogih reforme.

Podrobne ugotovitve o dejanskem stanju delovanja vseh vidikov okvira zasebnostnega ščita po prvem letu njegovega delovanja so predstavljene v delovnem dokumentu služb Komisije o letnem pregledu delovanja zasebnostnega ščita EU-ZDA (SWD(2017) 344 final), ki spremlja to poročilo.