1.TRETJI LETNI PREGLED – OZADJE, PRIPRAVA IN POSTOPEK

Komisija je 12. julija 2016 sprejela sklep (v nadaljnjem besedilu: sklep o ustreznosti), v katerem je ugotovila, da zasebnostni ščit EU-ZDA zagotavlja ustrezno raven varstva osebnih podatkov, ki so bili preneseni iz EU organizacijam s sedežem v ZDA. Sklep o ustreznosti zahteva zlasti, da Komisija izvede letni pregled, s katerim oceni vse vidike delovanja okvira, in na tej podlagi pripravi javno poročilo, ki se predloži Evropskemu parlamentu in Svetu.

Prvi letni pregled je bil opravljen septembra 2017 v Washingtonu, oktobra 2017 pa je Komisija sprejela poročilo Evropskemu parlamentu in Svetu, ki mu je bil priložen delovni dokument služb Komisije (SWD(2017) 344 final). Komisija je ugotovila, da Združene države še naprej zagotavljajo ustrezno raven varstva podatkov, ki se v okviru zasebnostnega ščita iz EU prenesejo v ZDA, hkrati pa je predložila deset priporočil za izboljšanje praktičnega delovanja okvira.

Drugi letni pregled je bil opravljen oktobra 2018 v Bruslju, decembra 2018 pa je Komisija sprejela poročilo Evropskemu parlamentu in Svetu, ki mu je bil zopet priložen delovni dokument služb Komisije (SWD(2018) 487 final). Informacije, zbrane v okviru drugega letnega pregleda, potrjujejo ugotovitve Komisije v sklepu o ustreznosti, tako glede „trgovinskih vidikov“ okvira (tj. vidiki v zvezi s skladnostjo certificiranih podjetij z zahtevami zasebnostnega ščita kot tudi z upravljanjem, nadzorom in izvrševanjem takšnih zahtev s strani pristojnih organov ZDA) kot vidikov v zvezi z dostopom javnih organov do osebnih podatkov, prenesenih v okviru zasebnostnega ščita.

Zlasti so ukrepi, sprejeti za izvajanje priporočil Komisije po prvem letnem pregledu, izboljšali več vidikov delovanja okvira v praksi. Ministrstvo za trgovino je na primer uvedlo nove mehanizme za odkrivanje morebitnih težav v zvezi s skladnostjo, zvezna komisija za trgovino je sprejela bolj proaktiven pristop k spremljanju skladnosti in izvrševanju, poročilo nadzornega odbora za zasebnost in državljanske svoboščine o izvajanju predsedniške politične direktive št. 28 pa je bilo javno objavljeno. Ker pa so bili nekateri od teh ukrepov sprejeti tik pred drugim letnim pregledom in so bili nekateri postopki še v teku, je Komisija sklenila, da je potrebno natančno spremljanje nadaljnjega dogajanja v zvezi s temi procesi in mehanizmi.

Čeprav je funkcijo varuha pravic v okviru zasebnostnega ščita izvajal vršilec dolžnosti podsekretarja na ministrstvu za zunanje zadeve in je tako mehanizem varuha pravic v celoti deloval, je Komisija poudarila, da je pomembno trajno zapolniti položaj varuha pravic na področju zasebnostnega ščita, zlasti pa je vlado ZDA pozvala, naj pred 28. februarjem 2019 imenuje kandidata za to mesto.

Tretji letni pregled je bil opravljen 12. in 13. septembra 2019 v Washingtonu. Otvorili so ga generalna direktorica za pravosodje in potrošnike Tiina Astola, ameriški minister za trgovino Wilbur Ross, predsednik zvezne komisije za trgovino Joseph Simons in podpredsednik Evropskega odbora za varstvo podatkov Ventsislav Karadjov. V imenu EU so se ga udeležili predstavniki generalnega direktorata Evropske komisije za pravosodje in potrošnike. Sodelovalo je tudi osem predstavnikov, ki jih je imenoval Evropski odbor za varstvo podatkov.

Na strani ZDA so pri pregledu sodelovali predstavniki ministrstva za trgovino, ministrstva za zunanje zadeve, zvezne komisije za trgovino, ministrstva za promet, urada direktorja nacionalne obveščevalne službe, ministrstva za pravosodje ter člani nadzornega odbora za zasebnost in državljanske svoboščine, pa tudi na novo imenovani varuh pravic (trajna funkcija, glej spodaj) in generalni inšpektor za obveščevalno skupnost. Poleg tega so na ustreznih pregledovalnih sejah informacije zagotovili predstavniki dveh neodvisnih organizacij, ki v okviru zasebnostnega ščita nudita storitve reševanja sporov, in ameriškega arbitražnega združenja, ki upravlja arbitražni svet zasebnostnega ščita. Nazadnje so organizacije, certificirane v okviru zasebnostnega ščita, podprle letni pregled z informacijami o ukrepih, ki jih sprejmejo podjetja za izpolnjevanje zahtev okvira.

Pri pripravi tretjega letnega pregleda je Komisija zbrala informacije od zadevnih zainteresiranih strani (zlasti podjetij, certificiranih v okviru zasebnostnega ščita, prek njihovih panožnih združenj in nevladnih organizacij, ki delujejo na področju temeljnih pravic, zlasti digitalnih pravic in zasebnosti). Komisija se je poleg zbiranja pisnih prispevkov 9. septembra 2019 sestala z industrijskimi in poslovnimi združenji, 11. septembra 2019 pa z nevladnimi organizacijami.

Ugotovitve Komisije so bile nadalje podprte z javno dostopnim gradivom, kot so sodne odločbe, izvedbena pravila in postopki ustreznih organov ZDA, poročila in študije nevladnih organizacij, poročila o preglednosti, ki so jih izdala podjetja, certificirana v okviru zasebnostnega ščita, letna poročila neodvisnih pritožbenih mehanizmov in poročila medijev.

To poročilo zaključuje tretji letni pregled delovanja zasebnostnega ščita. Poročilo in priloženi delovni dokument služb Komisije (SWD(2019) 390 final) imata enako strukturo kot dokumenti o prejšnjih dveh pregledih. Zajema vse vidike delovanja zasebnostnega ščita, s posebnim poudarkom na tistih elementih, ki jih je Komisija med drugim letnim pregledom opredelila kot elemente, ki zahtevajo natančno spremljanje.

Komisija je pri izvajanju svoje ocene upoštevala tudi nadaljnji razvoj dogodkov v zadnjem letu, vključno z nedokončanim postopkom v zvezi z zasebnostnim ščitom pred Sodiščem Evropske unije. V zvezi s tem je bil pregled priložnost za Komisijo, da od organov ZDA pridobi pojasnila glede nekaterih posebnih vidikov pravnega okvira ZDA, ki ureja zbiranje tujih obveščevalnih podatkov, ki so bili izraženi v okviru tako imenovane zadeve Schrems II. Vendar pa bo Komisija morda morala ponovno oceniti stanje, ko bo Sodišče odločilo o nerešenih zadevah.

2.UGOTOVITVE

V tretjem letu delovanja je zasebnostni ščit, pri katerem je v času letnega pregleda sodelovalo več kot 5 000 podjetij, prešel iz faze zasnove v bolj operativno fazo. V tretjem letnem pregledu, ki zajema tako trgovinske vidike kot vprašanja v zvezi z vladnim dostopom do osebnih podatkov, je bil poudarek na znanju in izkušnjah, pridobljenih pri praktični uporabi okvira.

Podrobne ugotovitve v zvezi z delovanjem okvira zasebnostnega ščita po tretjem letu njegovega delovanja so predstavljene v delovnem dokumentu služb Komisije o tretjem letnem pregledu delovanja zasebnostnega ščita EU-ZDA (SWD(2019) 390 final), ki je priložen temu poročilu.

2.1.Trgovinski vidiki

Ocena trgovinskih vidikov, ki jo je opravila Komisija, je bila glede na ugotovitve iz lanskega letnega pregleda osredotočena zlasti na napredek, ki ga je ministrstvo za trgovino doseglo pri (i) postopku ponovnega certificiranja, (ii) učinkovitosti mehanizmov, ki jih je uvedlo ministrstvo za trgovino za proaktivno spremljanje skladnosti certificiranih podjetij (t. i. „naključna preverjanja“), (iii) orodjih, ki so bila uvedena za odkrivanje lažnih navedb, (iv) napredku in rezultatih ukrepov zvezne komisije za trgovino na področju izvrševanja v zvezi s kršitvami zasebnostnega ščita in (v) razvoju v zvezi s smernicami o podatkih o človeških virih.

V zvezi s postopkom ponovnega certificiranja je bilo pri tretjem letnem pregledu ugotovljeno, da ministrstvo za trgovino podjetjem, ki še niso zaključila postopka ponovnega certificiranja, ob izteku obdobja za (ponovno) certificiranje po opravljenem notranjem postopku običajno odobri znatno „obdobje odloga“. V tem obdobju (približno tri mesece in pol ali v nekaterih primerih in odvisno od tega, kdaj ministrstvo za trgovino ugotovi, da postopek ponovnega certificiranja ni bil zaključen, celo daljše časovno obdobje) ostane podjetje na „aktivnem“ seznamu zasebnostnega ščita. Dokler je podjetje navedeno kot podjetje, ki sodeluje v zasebnostnem ščitu, ostanejo obveznosti iz okvira zavezujoče in v celoti izvršljive. Vendar pa tako dolgo obdobje, v katerem se je rok za ponovno certificiranje podjetja iztekel, medtem ko je podjetje še naprej navedeno kot aktivni udeleženec v zasebnostnem ščitu, zmanjšuje preglednost in berljivost seznama zasebnostnega ščita za podjetja in posameznike v EU. Prav tako ne spodbuja sodelujočih podjetij, da dosledno spoštujejo zahtevo glede vsakoletnega ponovnega certificiranja.

Ministrstvo za trgovino je v zvezi s proaktivnimi preverjanji skladnosti podjetij z zahtevami zasebnostnega ščita aprila 2019 uvedlo sistem, v okviru katerega vsak mesec preveri 30 podjetij. Komisija pozdravlja dejstvo, da ministrstvo za trgovino redno in sistematično izvaja proaktivna naključna preverjanja skladnosti, kar je zelo pomembno za izboljšanje splošne skladnosti z okvirom in za odkrivanje primerov, ki zahtevajo izvršilne ukrepe zvezne komisije za trgovino. Vendar ugotavlja, da so ta naključna preverjanja omejena na formalne zahteve, kot so pomanjkanje odziva imenovanih kontaktnih točk ali nedostopnost politike podjetja glede zasebnosti prek spleta. Čeprav so to zagotovo pomembni vidiki skladnosti z zahtevami zasebnostnega ščita, bi morala takšna preverjanja zajemati tudi vsebinske obveznosti, na primer skladnost z načelom glede odgovornosti za prenos tretjemu, pri čemer bi bilo treba v celoti izkoristiti instrumente, ki jih lahko ministrstvo za trgovino uporabi na podlagi okvira. Zahteve glede prenosa tretjemu so bile v okviru zasebnostnega ščita znatno okrepljene, saj bi pomanjkanje zaščitnih ukrepov v takih primerih ogrozilo zaščito, ki jo zagotavlja okvir. Ker je treba naključna preverjanja še naprej izvajati redno in sistematično, je skladnost s temi bolj vsebinskimi zahtevami prav tako bistvena za kontinuiteto zasebnostnega ščita in bi morala biti pod strogim nadzorom in izvrševanjem s strani organov ZDA.