Pretoki podatkov potekajo po vsem svetu. Evropsko unijo zavezujejo pogodbe in Listina Evropske unije o temeljnih pravicah, na podlagi katerih je zagotovljena zaščita vsem posameznikom v EU. EU je dolžna izvesti vse potrebne ukrepe, da se pravici do zasebnosti in do varstva osebnih podatkov upoštevata pri vseh postopkih obdelovanja podatkov, vključno z njihovimi prenosi.

Po razkritju dejavnosti nadzora leta 2013 si EU in Združene države, kot njen strateški partner, prizadevajo za prenos osebnih podatkov iz EU v Združene države za komercialne namene opredeliti nov sveženj standardov, ki bi temeljil na sistemu samocertificiranja. Podobno kot nacionalni organi za varstvo podatkov v EU tudi ENVP v času globalnih, takojšnjih in nepredvidljivih pretokov podatkov priznava vrednost trajnostnega pravnega okvira za komercialne prenose podatkov med EU in Združenimi državami, pri čemer je to največje trgovinsko partnerstvo na svetu. Vendar mora ta okvir v celoti izražati skupne demokratične vrednote in vrednote, ki temeljijo na posameznikovih pravicah, ki so v zvezi z EU zapisane v Lizbonski pogodbi in Listini o temeljnih pravicah, v zvezi z Združenimi državami pa v ameriški ustavi.

Osnutek zasebnostnega ščita je lahko korak v pravo smer, vendar tak, kot je zasnovan zdaj, po našem mnenju ne vključuje zadovoljivo vseh ustreznih zaščitnih ukrepov za varstvo pravic posameznikov v EU do zasebnosti in varstva podatkov, vključno s pravnim varstvom. Če bo Evropska komisija želela sprejeti sklep o ustreznosti, bodo potrebne precejšnje izboljšave. EU bi zlasti morala pridobiti dodatna zagotovila z vidika nujnosti in sorazmernosti ukrepov, ne pa kar sprejeti dejstvo, da imajo organi Združenih držav rutinski dostop do prenesenih podatkov na podlagi meril s pravnimi izhodišči v državi prejemnika, in ne na podlagi meril, kot veljajo v EU, so zapisana v pogodbah in sklepih EU in so skladna z ustavnimi tradicijami držav članic.

V dobi visoke povezanosti in porazdeljenih omrežij imajo lahko samoregulacija zasebnih organizacij ter zagotovila in prevzete obveznosti javnih uradnikov kratkoročni učinek, dolgoročno pa to ne bi zadostovalo za varstvo pravic in interesov posameznika in v celoti zadovoljilo potreb globaliziranega digitalnega sveta, v katerem so mnoge države sprejele pravila o varstvu podatkov.

Zato bi bila v čezatlantskem dialogu dobrodošla dolgoročnejša rešitev, ki bi v zavezujočo zvezno zakonodajo vnesla vsaj glavni načeli, da morajo biti pravice jasno in jedrnato opredeljene, kot to velja za druge države nečlanice EU, ki so prestale „strogo preverjanje“, da zagotavljajo zadostno raven zaščite; to je tisto, kar je Sodišče EU v svoji sodbi v zadevi Schrems določilo, da je „v bistvenem enako“ standardom, ki veljajo v pravu EU in ki, po mnenju delovne skupine, ustanovljene na podlagi člena 29, pomeni, da vsebuje „bistvo temeljnih načel“ varstva podatkov.

Pozdravljamo izboljšano preglednost oblasti Združenih držav pri uporabi izjem od načel zasebnostnega ščita za pravosodje, nacionalno varnost in javni interes.

Vendar je videti, da kar je bilo v odločbi iz leta 2000 o varnem pristanu še izjema, je v osnutku sklepa o zasebnostnem ščitu glede dostopa, filtriranja in analize osebnih podatkov, prenesenih v komercialne namene, ki jih lahko izvajajo pravosodni in obveščevalni organi, postalo pravilo. ENVP v osnutku sklepa in njegovih prilogah opaža, da je obseg obveščevalne dejavnosti s prestrezanjem signalov in količina podatkov, prenesenih iz EU, ki jih je mogoče zbirati in uporabiti po prenosu, še zlasti med prenosom, ne glede na najnovejše trende prehoda z nediskriminacijske splošne obveščevalne dejavnosti na bolj ciljno usmerjene in izbrane pristope, še vedno velik in zato dvomljiv.

Čeprav se omenjene prakse lahko nanašajo tudi na obveščevalne dejavnosti v drugih državah in čeprav pozdravljamo preglednost oblasti Združenih držav v teh novih okoliščinah, lahko trenutni osnutek sklepa upravičuje takšno ravnanje. Evropsko komisijo zato pozivamo, naj pošlje jasnejše sporočilo: na podlagi obveznosti EU, ki jih ima po Lizbonski pogodbi, lahko javni organi dostopajo do podatkov, poslanih v komercialne namene, vključno s podatki med pošiljanjem, in jih uporabljajo le v izjemnih okoliščinah in kjer je to nujno potrebno za določen javni interes.

Glede določb o prenosu podatkov v komercialne namene se od upravljavcev ne bi smelo pričakovati, da bodo stalno spreminjali modele skladnosti. Kljub temu osnutek sklepa temelji na zdajšnji zakonodaji EU, ki jo bo maja 2018 nadomestila Uredba (EU) 2016/679 (Splošna uredba o varstvu podatkov), manj kot leto dni po tistem, ko bodo upravljavci začeli zasebnostni ščit v celoti izvajati. Splošna uredba o varstvu podatkov upravljavcem nalaga in krepi njihove obveznosti, ki presegajo devet načel, razvitih v zasebnostnem ščitu. Ne glede na končne spremembe osnutka Evropski komisiji priporočamo, da celovito presodi prihodnje vidike glede na svoje prvo poročilo in da pravočasno opredeli zadevne korake za dolgoročnejše rešitve, če te obstajajo, ki naj zamenjajo zasebnostni ščit s strožjimi in trdnejšimi pravnimi okviri za izboljšanje čezatlantskih odnosov.

ENVP zato izdaja posebna priporočila glede zasebnostnega ščita.