SV Europeiska unionens officiella tidning L 207/1

KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2016/1250

av den 12 juli 2016

enligt Europaparlamentets och rådets direktiv 95/46/EG om huruvida ett adekvat skydd säkerställs genom skölden för skydd av privatlivet i EU och Förenta staterna

[delgivet med nr C(2016) 4176]

(Text av betydelse för EES)

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 25.6,

efter samråd med Europeiska datatillsynsmannen (2), och

av följande skäl:

1. INLEDNING

(1) I direktiv 95/46/EG fastställs regler för överföringar av personuppgifter från medlemsstaterna till tredjeländer i den utsträckning sådana överföringar omfattas av direktivets tillämpningsområde.

(2) Syftet med artikel 1 och skälen 2 och 10 i ingressen i direktiv 95/46/EG är inte endast att säkerställa ett effektivt och fullständigt skydd för fysiska personers grundläggande fri- och rättigheter, särskilt den grundläggande rätten till respekt för privatlivet, i samband med behandling av personuppgifter, utan även att säkerställa en hög skyddsnivå när det gäller dessa grundläggande fri- och rättigheter (3).

(3) Betydelsen av både den grundläggande rätten till respekt för privatlivet, som garanteras av artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna, och den grundläggande rätten till skydd av personuppgifter, som garanteras av artikel 8 i stadgan, betonas i EU-domstolens rättspraxis (4).

(4) Enligt direktiv artikel 25.1 i direktiv 95/46/EG ska medlemsstaterna föreskriva att överföring av personuppgifter till tredje land endast får ske om ifrågavarande tredje land säkerställer en adekvat skyddsnivå och om medlemsstatens lagar genom vilka andra bestämmelser i direktivet genomförs, efterlevs före överföringen. Kommissionen kan konstatera att ett tredje land har en adekvat skyddsnivå genom sin interna lagstiftning eller på grund av de internationella förpliktelser som landet har ingått för att skydda enskilda personers rättigheter. I sådana fall, och utan att de påverkar efterlevnaden av de nationella bestämmelser som antagits enligt andra bestämmelser i direktivet, får personuppgifter överföras från medlemsstaterna utan att det behövs några ytterligare garantier.

(5) Enligt artikel 25.2 i direktiv 95/46/EG ska bedömningen av skyddsnivån ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp överföringar av uppgifter, inbegripet de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land.

(6) I kommissionens beslut 2000/520/EG (5) med avseende på artikel 25.2 i direktiv 95/46/EG, ansågs de principer om integritetsskydd (Safe Harbor Privacy Principles) tillämpade i enlighet med den vägledning som ges i de frågor och svar (nedan kallade FoS) som utfärdats av Förenta staternas handelsministerium utgöra en adekvat skyddsnivå för personuppgifter som överförs från unionen till organisationer som är etablerade i Förenta staterna.

(7) I sina meddelanden COM(2013) 846 final (6) och COM(2013) 847 final av den 27 november 2013 (7) ansåg kommissionen att grundprinciperna för safe harbor-systemet måste ses över och stärkas mot bakgrund av en rad faktorer, bland annat den exponentiella ökningen av dataflödena och dataflödenas avgörande betydelse för den transatlantiska ekonomin, den snabba ökningen av antalet företag i Förenta Staterna som är anslutna till safe harbor-systemet och ny information om omfattningen och räckvidden av vissa av Förenta staternas övervakningsprogram, som gav upphov till frågor om den skyddsnivå som det kunde garantera. Dessutom fann kommissionen ett antal brister i safe harbor-systemet.

(8) På grundval av belägg som samlats in av kommissionen, bland annat information från arbetet i EU–Förenta staterna-kontaktgruppen för integritetsskydd (8) och den information om Förenta staternas underrättelseprogram som mottagits inom ramen för ad hoc-arbetsgruppen för dataskydd mellan EU och Förenta staterna (9), utformade kommissionen 13 rekommendationer för en översyn av safe harbor-systemet. Rekommendationerna inriktades på att stärka de väsentliga sekretessprinciperna, öka insynen i de självcertifierade företagens integritetsskyddsregler i Förenta staterna, förbättra myndigheternas övervakning i Förenta staterna, tillsyn och verkställighet av efterlevnaden av dessa principer, se till att ekonomiskt överkomliga tvistlösningsmekanismer finns tillgängliga och säkerställa att undantaget med hänvisning till den nationella säkerheten och brottsbekämpningen i beslut 2000/520/EG tillämpas enbart då det är absolut nödvändigt och proportionerligt.

(9) I sin dom av den 6 oktober 2015 i mål C-362/14, Maximillian Schrems mot Data Protection Commissioner, ogiltigförklarade EU-domstolens beslut 2000/520/EC (10). Utan att undersöka innehållet i principerna om integritetsskydd ansåg domstolen att kommissionen i beslutet inte hade angett att Förenta staterna de facto ”säkerställer” en adekvat skyddsnivå genom sin interna lagstiftning eller på grund av de internationella förpliktelser som åligger landet (11).

(10) I detta avseende förklarade domstolen att begreppet ”adekvat skyddsnivå” i artikel 25.6 i direktiv 95/46/EG inte innebär en skyddsnivå som är identisk med den som garanteras i unionens rättsordning, men att begreppet måste förstås som att det krävs att detta tredjeland säkerställer en nivå för skyddet av grundläggande fri- och rättigheter som är väsentligen likvärdig med den skyddsnivå som garanteras inom unionen enligt direktiv 95/46/EG jämfört med stadgan om de grundläggande rättigheterna. Även om de medel som detta tredjeland använder kan skilja sig från dem som används inom unionen, måste dessa medel dock visa sig i praktiken kunna säkerställa ett skydd som är väsentligen likvärdigt (12).

(11) EU-domstolen kritiserade att det saknades tillräckliga konstateranden i beslut 2000/520/EG beträffande förekomsten i Förenta staterna av regler som antagits av staten och som syftar till att begränsa eventuella ingrepp i de grundläggande rättigheterna för personer vilkas personuppgifter överförs från unionen till Förenta staterna, ingrepp som statliga organ kan vara tillåtna att göra när de görs i ett legitimt syfte, såsom nationell säkerhet, och att det finns något effektivt rättsligt skydd mot denna typ av ingrepp (13).

(12) Under 2014 inledde kommissionen förhandlingar med Förenta staternas myndigheter för att diskutera hur safe harbor-systemet kunde stärkas enligt de 13 rekommendationerna i meddelandet COM(2013) 847 final. Dessa förhandlingar intensifierades efter EU-domstolens dom i Schrems-målet med sikte på ett eventuellt nytt beslut om adekvat skyddsnivå som uppfyller kraven i artikel 25 i direktiv 95/46/EG enligt domstolens tolkning. De dokument som bifogas detta beslut och som även kommer att offentliggöras i Förenta staternas federala register är resultatet av dessa diskussioner. Principerna (bilaga II), tillsammans med de officiella utfästelserna och åtagandena från flera myndigheter Förenta staterna i dokumenten i bilagorna I och III–VII, utgör ”skölden för skydd av privatlivet i EU och Förenta staterna”.

(13) Kommissionen har noggrant analyserat Förenta staternas lagstiftning och praxis, inbegripet dessa officiella utfästelser och åtaganden. På grundval av de konstateranden som görs i skälen 136–140 drar kommissionen slutsatsen att Förenta staterna säkerställer en adekvat skyddsnivå för skydd av personuppgifter som överförs enligt skölden för skydd av privatlivet i EU och Förenta staterna från unionen till självcertifierade organisationer i Förenta staterna.

2. SKÖLDEN FÖR SKYDD AV PRIVATLIVET I EU OCH FÖRENTA STATERNA

(14) Skölden för skydd av privatlivet i EU och Förenta staterna bygger på ett system för självcertifiering genom vilket organisationer i Förenta staterna förbinder sig att följa en uppsättning principer om integritetsskydd – principerna om integritetsskydd för skölden för skydd av privatlivet i EU och UA, inklusive kompletterande principer (nedan tillsammans kallade principerna) – som utfärdats av Förenta staternas handelsministerium och ingår i bilaga II till detta beslut. Den gäller för både registeransvariga och registerförare (förmedlare), med det särskilda villkoret att registerförare måste vara bundna av ett avtal att agera endast enligt instruktioner från den EU-registeransvariga och att hjälpa den sistnämnda att tillmötesgå enskilda som utövar sina rättigheter enligt principerna (14).

(15) Utan att det påverkar de nationella bestämmelser som antagits i enlighet med direktiv 95/46/EG har detta beslut effekten att överföringar från en registeransvarig eller registerförare i unionen till organisationer i Förenta staterna som har självcertifierat sin anslutning till principerna hos handelsministeriet och har åtagit sig att följa dem tillåts. Principerna gäller endast för behandlingen av personuppgifter som utförs av organisationen i Förenta staterna i den mån som behandling som utförs av sådana organisationer inte omfattas av tillämpningsområdet för unionslagstiftning (15). Skölden för skydd av privatlivet påverkar inte tillämpningen av unionslagstiftning som reglerar behandlingen av personuppgifter i medlemsstaterna (16).

(16) Det skydd för personuppgifter som skölden för skydd av privatlivet ger gäller för alla registrerade i EU (17) vars personuppgifter har överförts från unionen till organisationer i Förenta staterna som har självcertifierat sin anslutning till principerna hos handelsministeriet.

(17) Principerna blir omedelbart tillämpliga vid certifiering. Ett undantag rör principen om ansvar för vidare överföring i fall där en organisation som självcertifierar sin anslutning till skölden för privatlivet redan har has preexisterande kommersiella förbindelser med tredjeparter. Med tanke på att det kan ta tid att bringa dessa kommersiella förbindelser i överensstämmelse med de regler som är tillämpliga enligt principen om ansvar för vidare överföring, kommer organisationen att bli tvungen att göra detta så snart som möjligt, och i alla händelser senast nio månader efter självcertifiering (förutsatt att detta äger rum under de första två månaderna efter den dag då skölden för privatlivet träder i kraft). Under denna mellanliggande period ska organisationen tillämpa principerna om meddelande och valmöjlighet (och sålunda ge den registrerade i EU möjlighet inte omfattas) och, om personuppgifter överförs till en tredje part som agerar som förmedlare, säkerställa att den sistnämnda tillhandahåller åtminstone samma skyddsnivå som den som krävs enligt principerna (18). Denna övergångsperiod ger en rimlig och lämplig balans mellan respekten för den grundläggande rätten till dataskydd och de legitima behoven hos företag att ha tillräckligt med tid till förfogande för att anpassa sig till den nya ramen där detta också är beroende av deras kommersiella förbindelser med tredjeparter.

(18) Systemet kommer att förvaltas och övervakas av handelsministeriet på grundval av dess åtaganden som anges i utfästelserna från Förenta staternas handelsminister (bilaga I till detta beslut). När det gäller verkställandet av principerna har den federala konkurrensmyndigheten (Federal Trade Commission, FTC) och transportministeriet gjort utfästelser som ingår i bilagorna IV och V till detta beslut.

2.1 Principerna

(19) Som en del av sin självcertifiering enligt skölden för skydd av privatlivet i EU och Förenta staterna måste organisationer förbinda sig att följa principerna (19).

(20) Enligt principen om meddelande är organisationerna skyldiga att lämna information till registrerade om en rad viktiga aspekter i behandlingen av deras personuppgifter (t.ex. typ av insamlade uppgifter, ändamålet med behandlingen, rätt till åtkomst och valmöjlighet, villkor för vidare överföring samt ansvarsskyldighet). Ytterligare garantier gäller, särskilt kravet att organisationerna ska offentliggöra sina integritetsskyddspolicyer (som ska avspegla principerna) och ange länkar till handelsministeriets webbplats (med närmare upplysningar om självcertifiering, registrerades rättigheter samt tillgängliga instanser för handläggning av klagomål), den förteckning över organisationer som anslutit sig till skölden (som avses i skäl 30) samt en adress till ett lämpligt alternativt tvistlösningsorgans webbplats.

(21) Enligt principen om dataintegritet och ändamålsbegränsning måste personuppgifter begränsas till de uppgifter som är relevanta för ändamålet med behandlingen, vara tillförlitliga för det avsedda ändamålet samt riktiga, fullständiga och aktuella. En organisation får inte behandla personuppgifter på ett sätt som är oförenligt med det ändamål för vilket de ursprungligen samlades in om inte den registrerade i efterhand har gett sitt tillstånd. Organisationer måste säkerställa att personuppgifter är tillförlitliga för det avsedda ändamålet samt riktiga, fullständiga och aktuella.

(22) Om ett nytt (ändrat) ändamål i sak skiljer sig från men fortfarande är förenligt med det ursprungliga ändamålet, ger principen om valmöjlighet registrerade rätten att invända (opt-out). Principen om valmöjlighet har inte företräde framför det uttryckliga förbudet mot oförenlig behandling (20). För direktmarknadsföring gäller särskilda regler som gör det möjligt att ”när som helst” undantas (opt-out) från användning av personuppgifter (21). När det gäller känsliga uppgifter måste organisationerna normalt sett inhämta den registrerades uttryckliga samtycke (opt in).

(23) Fortfarande gäller att enligt principen om dataintegritet och ändamålsbegränsning får personlig information lagras i en form som identifierar en fysisk person eller gör en fysisk person identifierbar (och således i form av personuppgifter) endast så länge det tjänar de syften för vilka den ursprungligen insamlades eller tillstånd gavs i efterhand. Denna skyldighet hindrar inte organisationer som är anslutna till skölden för skydd av privatlivet från att behandla personuppgifter under längre perioder, men endast för den tid och i den omfattning sådan behandling skäligen tjänar ett av följande särskilda ändamål: arkivering i allmänhetens intresse, journalistik, litteratur och konst, vetenskaplig eller historisk forskning och statistisk analys. Längre lagring av personuppgifter för ett av dessa ändamål kommer att omfattas av garantier som tillhandahålls av principerna.

(24) Enligt principen om säkerhet måste organisationer som skapar, lagrar, använder eller sprider personuppgifter vidta ”rimliga och lämpliga” säkerhetsåtgärder, med beaktande av riskerna i samband med behandlingen och personuppgifternas natur. Om uppgiftsbehandlingen läggs ut på entreprenad måste organisationerna ingå ett avtal med underentreprenören som garanterar samma skyddsnivå som principerna, och vidta åtgärder för att säkerställa att avtalet genomförs korrekt.

(25) Enligt principen om tillgång (22) har registrerade rätt, utan motivering och mot endast en skälig avgift, att få bekräftelse från en organisation om huruvida organisationen behandlar personuppgifter som rör dem samt meddelas dessa personuppgifter inom skälig tid. Denna rätt kan endast begränsas i undantagsfall. Om rätten till tillgång förnekas eller begränsas måste det vara nödvändigt och vederbörligen motiverat. Det är organisationen som ska visa att dessa krav är uppfyllda. Registrerade måste kunna korrigera, ändra eller radera personuppgifter som är felaktiga eller har behandlats i strid mot principerna. Inom områden där företag med största sannolikhet kommer att använda automatiserad behandling av personuppgifter för att fatta beslut som påverkar den enskilde (t.ex. kreditgivning, erbjudanden om hypotekslån, anställning), ger Förenta staternas lagstiftning särskilt skydd mot ogynnsamma beslut (23). Typiska inslag i sådana akter är att enskilda har rätt att informeras om de särskilda skäl som ligger till grund för beslutet (t.ex. avslag på ansökan om kredit), att protestera mot ofullständig eller oriktig information (liksom åberopande av illegitima faktorer), och att söka upprättelse. Dessa regler ger skydd i det sannolikt tämligen begränsade antalet fall där automatiserade beslut kommer att fattas av den organisation som är ansluten till skölden (24). Med tanke på den ökande användningen av automatiserad behandling (inbegripet profilering) som en grund för beslutsfattande som påverkar enskilda i den moderna digitala ekonomin, är detta ändå ett område som måste övervakas noga. För att underlätta denna övervakning har det överenskommits med Förenta staternas myndigheter att en dialog om automatiserat beslutsfattande, däribland ett utbyte av information om likheterna och skillnaderna mellan EU:s och Förenta staternas tillvägagångssätt i detta avseende, kommer att vara en del av den första årliga översynen samt efterföljande översyner i förekommande fall.

(26) Enligt principen om rättsmedel, genomförande och ansvar (25) måste deltagande organisationer tillhandahålla robusta mekanismer för att säkerställa efterlevnad av de andra principerna och tillhandahålla rättsmedel för registrerade i EU vars personuppgifter har behandlats på ett sätt som strider mot bestämmelserna, inklusive effektiva medel för gottgörelse. När en organisation frivilligt har beslutat att självcertifiera (26) sig enligt skölden för skydd av privatlivet i EU och Förenta staterna är den skyldig att följa principerna. Organisationerna måste årligen återcertifiera sitt deltagande i skölden för att få fortsätta motta personuppgifter från unionen via skölden. Organisationerna måste också vidta åtgärder för att kontrollera (27) att deras offentliggjorda integritetsskyddspolicy överensstämmer med principerna och att de faktiskt följs. Detta kan antingen göras med hjälp av ett självbedömningssystem, som måste omfatta interna förfaranden för att se till att personalen utbildas i genomförandet av organisationens integritetsskyddspolicy och att efterlevnaden regelbundet granskas på ett objektivt sätt, eller genom externa efterlevnadskontroller, som kan omfatta revisioner eller slumpvisa kontroller. Dessutom måste organisationen inrätta en effektiv prövningsmekanism för att hantera eventuella klagomål (se i detta hänseende även skäl 43) samt omfattas av de utrednings- och verkställighetsbefogenheter som tilldelats transportministeriet eller ett annat behörigt lagstadgat organ i Förenta staterna som kommer att säkerställa efterlevnad av principerna.

(27) Särskilda regler gäller för så kallade ”vidare överföringar”, dvs. överföringar av personuppgifter från en organisation till en registeransvarig eller registerförare som är tredjepart, oberoende av om den sistnämnda befinner sig i Förenta staterna eller i ett tredjeland utanför Förenta staterna (och unionen). Syftet med dessa regler är att säkerställa att de skydd som garanteras för personuppgifter om registrerade i EU inte kommer att undermineras, och inte kan kringgås, genom att uppgifterna vidarebefordras till tredjeparter. Detta är särskilt relevant i mer komplexa behandlingskedjor som är typiska för dagens digitala ekonomi.

(28) Inom ramen för principen om ansvar för vidare överföring (28) kan all vidare överföring ske endast i) för begränsade och specificerade ändamål, ii) på grundval av ett avtal (eller ett jämförbart arrangemang inom en företagskoncern (29)) och iii) om ett sådant avtal ger samma skyddsnivå som den skyddsnivå som garanteras av principerna, vilket inkluderar kravet på att tillämpningen av principerna får begränsas endast i den mån det är nödvändigt för att uppfylla krav i fråga om nationell säkerhet, rättsefterlevnad och andra ändamål som rör allmänintresset (30). Detta bör jämföras med principen om meddelande och, när det gäller vidare överföring till en registeransvarig som är tredjepart (31), med principen om valmöjlighet, enligt vilka registrerade ska informeras (bland annat) om typen av/identiteten hos varje mottagare som är tredjepart, ändamålet med vidareöverföringen samt de valmöjligheter som erbjuds och kan motsätta sig (opt-out), eller, när det gäller känsliga uppgifter, måste ge sitt ”uttryckliga samtycke” (opt in) till vidare överföring. Mot bakgrund av principen om dataintegritet och ändamålsbegränsning förutsätter skyldigheten att tillhandahålla samma skyddsnivå som den skyddsnivå som garanteras av principerna att tredjeparten får behandla de personuppgifter som överförs till den endast för ändamål som inte är oförenliga med de ändamål för vilka uppgifterna ursprungligen insamlades eller tillstånd gavs i efterhand av den enskilde.

(29) Skyldigheten att tillhandahålla samma skyddsnivå som den skyddsnivå som krävs enligt principerna gäller för alla tredjeparter som är involverade i behandlingen av de uppgifter som överförs på detta sätt oberoende av var de finns (i Förenta staterna eller i ett annat tredjeland) samt när den ursprungliga tredjepartsmottagaren själv överför dessa uppgifter till en annan tredjepartsmottagare, exempelvis för behandling som utförs av underentreprenörer. I samtliga fall måste avtalet med tredjepartsmottagaren ange att den sistnämnda ska meddela organisationen som är ansluten till skölden om den fastställer att den inte längre kan fullgöra denna skyldighet. När ett sådant fastställande har gjorts ska tredjepartens behandling upphöra; i annat fall måste andra rimliga och lämpliga åtgärder vidtas för att rätta till situationen (32). Om efterlevnadsproblem uppstår vid behandling som utförs av underentreprenörer måste den organisation som agerar som personuppgiftsansvarig bevisa att den inte är ansvarig för den händelse som gett upphov till skadan. Annars blir den skadeståndsskyldig. Ytterligare skydd gäller för vidare överföring till en tredjepartsförmedlare (33).

2.2 Insyn i och förvaltning av skölden för skydd av privatlivet i EU och Förenta staterna

(30) Skölden för skydd av privatlivet i EU och Förenta staterna tillhandahåller tillsyns- och verkställighetsmekanismer i syfte att kontrollera och säkerställa att självcertifierade företag i Förenta staterna följer principerna och att varje underlåtenhet att följa principerna tas upp till behandling. Dessa mekanismer fastställs i principerna (bilaga II) och de åtaganden som gjorts av handelsministeriet (bilaga I), FTC (bilaga IV) och transportministeriet (bilaga V).

(31) För att säkerställa korrekt tillämpning av skölden för privatlivet i EU och Förenta staterna måste berörda parter, t.ex. registrerade, exportörer av uppgifter och de nationella dataskyddsmyndigheterna, kunna identifiera de organisationer som har anslutit sig till principerna. I detta syfte har handelsministeriet förbundit sig att föra och göra tillgänglig för allmänheten en förteckning över de organisationer som har självcertifierat sin anslutning till principerna och som lyder under åtminstone en av de brottsbekämpande myndigheter som avses i bilagorna I och II till detta beslut (nedan kallad förteckningen över organisationer som anslutit sig till skölden) (34). Handelsministeriet kommer uppdatera förteckningen på grundval av de årliga återcertifieringarna och närhelst en organisation drar sig tillbaka eller stryks från skölden. Ministeriet kommer dessutom att upprätthålla och offentliggöra en officiell förteckning över organisationer som har strukits från förteckningen, och ange skälen till att organisationen har strukits. Det kommer också att ange en länk till förteckningen över FTC-ärenden som är relaterade till skölden för skydd av privatlivet som finns på FTC:s webbplats.

(32) Handelsministeriet kommer att göra både förteckningen över organisationer som anslutit sig till skölden och återcertifieringarna allmänt tillgängliga via en särskild webbplats. Självcertifierade organisationer måste i sin tur ange ministeriets webbplats för förteckningen över organisationer som anslutit sig till skölden. Om organisationens integritetsskyddspolicy finns tillgänglig online ska den dessutom innehålla en hyperlänk till webbplatsen för skölden för skydd av privatlivet och en hyperlänk till ett klagomålsformulär som den oberoende instansen för handläggning av klagomål har gjort tillgängligt för att utreda olösta klagomål. För det tredje kommer handelsministeriet, inom ramen för organisationernas certifiering och återcertifiering om anslutning till skölden, att systematiskt kontrollera att deras integritetspolicyer överensstämmer med principerna.

(33) Organisationer som upprepade gånger har överträtt principerna kommer att strykas från förteckningen över organisationer som anslutit sig till skölden, och organisationerna måste återlämna eller radera de personuppgifter som de har mottagit inom ramen för skölden för privatlivet i EU och Förenta staterna. I andra fall av strykningar får organisationen behålla sådana uppgifter om den årligen till handelsministeriet bekräftar sitt åtagande att fortsätta att tillämpa principerna eller tillhandahåller en adekvat skyddsnivå för personuppgifterna genom andra tillåtna medel (t.ex. genom ett avtal som fullständigt avspeglar kraven i de relevanta standardavtalsbestämmelser som antagits av kommissionen). I sådana fall måste organisationen ange en kontaktpunkt inom organisationen för alla frågor som rör skölden.

(34) Handelsministeriet kommer att övervaka organisationer som inte längre deltar i skölden för skydd av privatlivet i EU och Förenta staterna, antingen för att de frivilligt har dragit sig tillbaka eller för att deras certifiering har löpt ut, för att undersöka om organisationerna planerar att återlämna, radera eller behålla (35) de personuppgifter som de tidigare mottagit inom ramen för skölden. Om de behåller dessa uppgifter är organisationerna skyldiga att fortsätta att tillämpa principerna på dem. Om handelsministeriet stryker organisationer från skölden på grund av att de upprepade gånger har överträtt principerna kommer ministeriet att se till att dessa organisationer återlämnar eller raderar de personuppgifter som de har mottagit inom ramen för skölden.

(35) En organisation som av någon anledning lämnar skölden för skydd av privatlivet i EU och Förenta staterna måste avlägsna alla offentliga förklaringar som antyder att organisationen fortsätter att delta i skölden eller omfattas av dess förmåner, särskilt eventuella hänvisningar till skölden i sin offentliggjorda integritetsskyddspolicy. Handelsministeriet kommer att söka efter och ta itu med falska påståenden om deltagande i skölden, inbegripet påståenden från tidigare medlemmar (36). All missvisande information från en organisation till allmänheten om organisationens anslutning till principerna i form av vilseledande uttalanden eller metoder är föremål för verkställighetsåtgärder av FTC, transportministeriet eller andra relevanta brottsbekämpande myndigheter i Förenta staterna; oriktiga utfästelser till handelsministeriet kan leda till åtal i enlighet med Förenta staternas lag om osann utsaga (False Statements Act, 18 U.S.C. § 1001) (37).

(36) Handelsministeriet kommer på eget initiativ att övervaka alla falska påståenden om deltagande i skölden för skydd av privatlivet eller otillbörlig användning av sköldens certifieringsmärkning. Dataskyddsmyndigheter kan uppmana ministeriet att granska organisationer via ministeriets särskilda kontaktpunkt. Om en organisation drar sig tillbaka från deltagande i skölden för skydd av privatlivet i EU och Förenta staterna eller inte återcertifierar sin anslutning till principerna eller stryks från förteckningen över organisationer som har anslutit sig till skölden, kommer handelsministeriet att fortlöpande kontrollera att organisationen har avlägsnat eventuella hänvisningar till skölden i sin integritetsskyddspolicy som antyder ett fortsatt deltagande i skölden. Om organisationen fortsätter att göra falska påståenden kommer ministeriet att hänskjuta ärendet till FTC, transportministeriet eller en annan behörig myndighet för eventuella verkställighetsåtgärder. Ministeriet kommer också att skicka frågeformulär till organisationer vars självcertifiering har löpt ut eller organisationer som frivilligt har dragit sig tillbaka från skölden för skydd av privatlivet, för att ta reda på om organisationen kommer att återlämna, radera eller fortsätta att tillämpa principerna på de personuppgifter som de mottog medan de deltog i skölden och, om personuppgifter kommer att behållas, bekräfta vem inom organisationen som fungerar som fast kontaktpunkt för frågor rörande skölden.

(37) Handelsministeriet kommer fortlöpande att utföra efterlevnadskontroller (38) på eget initiativ av självcertifierade organisationer, bland annat genom att skicka ut detaljerade frågeformulär. Det kommer också att systematiskt genomföra granskningar när det mottar ett (seriöst) klagomål och organisationen inte besvarar dess förfrågningar på ett tillfredsställande sätt eller om det finns trovärdiga bevis som tyder på att en organisation kanske inte följer principerna. I förekommande fall kommer handelsministeriet också att samråda med dataskyddsmyndigheter om sådana efterlevnadskontroller.

2.3 Prövningsmekanismer, klagomålshantering och genomförande

(38) Skölden för skydd av privatlivet i EU och Förenta staterna, via principen om rättsmedel, genomförande och ansvar, kräver att organisationer ska tillhandahålla rättsmedel för enskilda som påverkats av bristande efterlevnad och således ge registrerade i EU möjlighet att inge klagomål mot självcertifierade företag i Förenta staterna rörande bristande efterlevnad samt få dessa klagomål lösta, om nödvändigt via ett beslut om lämplig gottgörelse.

(39) Som en del av sin självcertifiering måste organisationer uppfylla kraven i principen om rättsmedel, genomförande och ansvar genom att tillhandahålla effektiva och lättillgängliga oberoende instanser för handläggning av klagomål genom vilka varje enskilds klagomål och tvister kan handläggas och snabbt lösas utan kostnad för den enskilda personen.

(40) Organisationer får välja oberoende instanser för handläggning av klagomål i antingen unionen eller Förenta staterna. Detta inbegriper möjligheten att frivilligt åta sig att samarbeta med EU:s dataskyddsmyndigheter. Emellertid finns det ingen sådan valmöjlighet när organisationer behandlar personaluppgifter, eftersom samarbete med dataskyddsmyndigheterna då är obligatoriskt. Alternativt kan man använda sig av oberoende alternativ tvistlösning eller program för integritetsskydd som utarbetats inom den privata sektorn och som införlivar principerna i sina regler. De sistnämnda måste inbegripa effektiva mekanismer för kontroll av efterlevnaden i enlighet med kraven i principen om rättsmedel, genomförande och ansvar. Organisationerna är skyldiga att åtgärda eventuella problem som rör bristande efterlevnad. De måste också ange att de omfattas av de utrednings- och verkställighetsbefogenheter som tilldelats FTC, transportministeriet eller något annat behörigt lagstadgat organ i Förenta staterna.

(41) Följaktligen ger ramen för skölden för skydd av privatlivet registrerade personer en rad möjligheter att utöva sina rättigheter, inge klagomål mot självcertifierade företag i Förenta staterna rörande bristande efterlevnad och få sina klagomål lösta, om nödvändigt via ett beslut om lämplig gottgörelse. Enskilda kan inge ett klagomål direkt till en organisation, till ett oberoende tvistlösningsorgan som utsetts av organisationen, till nationella dataskyddsmyndigheter eller till FTC.

(42) I fall där deras klagomål inte har lösts av någon av dessa instanser för handläggning av klagomål eller mekanismer för kontroll av efterlevnaden har enskilda också rätt att begära ett bindande skiljedomsförfarande hos arbetsgruppen för skölden för skydd av privatlivet (bilaga 1 till bilaga II till detta beslut). Med undantag för skiljedomsarbetsgruppen, som kräver att vissa rättsmedel ska vara uttömda innan det alternativet kan väljas, står det enskilda fritt att utnyttja vilken eller vilka som helst av prövningsmekanismerna efter eget val, och de är inte skyldiga att välja en mekanism framför någon annan eller att iaktta någon viss ordningsföljd. Det finns dock en viss logisk ordning som det är tillrådligt att följa och som beskrivs nedan.

(43) För det första kan registrerade i EU driva fall av bristande efterlevnad av principerna genom direkta kontakter med det självcertifierade företaget i Förenta staterna. För att underlätta en lösning måste organisationerna införa en effektiv prövningsmekanism för att hantera sådana klagomål. Organisationen måste bland annat i sin integritetsskyddspolicy ge tydlig information om en kontaktpunkt som enskilda personer kan vända sig till, antingen inom eller utanför organisationen, som kommer att handlägga klagomål (inklusive eventuella relevanta organisationer i EU som kan besvara frågor eller handlägga klagomål) och om oberoende mekanismer för handläggning av klagomål.

(44) Efter mottagande av en enskild persons klagomål, direkt från den enskilda eller via handelsministeriet efter ett hänskjutande från en dataskyddsmyndighet, måste organisationen ge den registrerade i EU ett svar inom 45 dagar. Svaret ska innehålla en bedömning av huruvida klagomålet är berättigat och information om hur organisationen kommer att lösa problemet. Organisationer är också skyldiga att utan dröjsmål besvara förfrågningar och andra framställningar om information från handelsministeriet eller från en dataskyddsmyndighet (39) (om organisationen har förbundit sig att samarbeta med dataskyddsmyndigheten) som rör deras anslutning till principerna. Organisationer ska behålla sin dokumentation om genomförandet av sina integritetsskyddspolicyer och på begäran göra den tillgänglig för en oberoende instans för handläggning av klagomål eller FTC (eller en annan myndighet i Förenta staterna med behörighet att utreda illojala och bedrägliga metoder) i samband med en undersökning eller ett klagomål om bristande efterlevnad.

(45) För det andra kan enskilda också framföra ett klagomål direkt till det oberoende tvistlösningsorgan (antingen i Förenta staterna eller i unionen) som av en organisation utsetts att utreda och lösa individuella klagomål (om de inte är uppenbart ogrundade eller oseriösa) och kostnadsfritt tillhandahålla lämpliga rättsmedel för den enskilda personen. De sanktioner och rättsmedel som beslutas av ett sådant tvistlösningsorgan måste vara tillräckligt stränga för att säkerställa att organisationerna följer principerna och bör föreskriva att organisationen avhjälper eller rättar till följderna av den bristande efterlevnaden och, beroende på omständigheterna, upphör med vidare behandling av de berörda personuppgifterna och/eller raderar dem. Fall av bristande efterlevnad ska offentliggöras. Oberoende tvistlösningsorgan som utsetts av en organisation ska på sina offentliga webbplatser lägga ut relevant information om skölden för skydd av privatlivet i EU och Förenta staterna och om de tjänster de tillhandahåller inom ramen för skölden. De ska offentliggöra en årsrapport varje år med sammanställd statistik om sina tjänster (40).

(46) Som en del av sina förfaranden för efterlevnadskontroller kommer handelsministeriet att kontrollera att självcertifierade företag faktiskt i Förenta staterna har registrerat sig hos den oberoende instans för handläggning av klagomål som de hävdar att de är registrerade hos. Både organisationerna och de ansvariga oberoende instanserna för handläggning av klagomål ska utan dröjsmål besvara förfrågningar och framställningar om information från handelsministeriet som rör skölden för skydd av privatlivet.

(47) Om organisationen inte följer ett beslut från ett tvistlösningsorgan eller ett självreglerande organ måste dessa organ anmäla sådan bristande efterlevnad till handelsministeriet och FTC (eller andra myndigheter i Förenta staterna som är behöriga att utreda illojala och bedrägliga metoder), eller till en behörig domstol (41). Om en organisation vägrar att efterleva ett slutligt avgörande från ett organ för självreglering på integritetskyddets område, ett oberoende tvistlösningsorgan eller ett regeringsorgan, eller där ett sådant organ finner att en organisation ofta gör sig skyldig till överträdelser av principerna, kommer detta att betraktas som en upprepad överträdelse, varefter handelsministeriet, efter att först ha gett 30 dagars förvarning och en möjlighet att svara den organisation som gjort sig skyldig överträdelsen, kommer att stryka organisationen från förteckningen (42). Om organisationen, efter det att den har strukits från förteckningen, fortsätter att hävda att den är certifierad för deltagande i skölden för skydd av privatlivet, kommer ministeriet att hänskjuta den FTC eller ett annat verkställande organ (43).

(48) För det tredje får enskilda också framföra sina klagomål till en nationell dataskyddsmyndighet. Organisationer är skyldiga att samarbeta i en dataskyddsmyndighets utredning och lösning av ett klagomål antingen när det gäller behandling av personaluppgifter som samlats in inom ramen för ett anställningsförhållande eller när respektive organisation frivilligt har underställts dataskyddsmyndigheters tillsyn. Organisationerna ska särskilt besvara frågor, följa de rekommendationer som ges av dataskyddsmyndigheten, även om gottgörelse eller kompenserande åtgärder, och ska lämna en skriftlig bekräftelse till dataskyddsmyndigheten om att sådana åtgärder har vidtagits.

(49) Dataskyddsmyndigheternas rekommendationer avges via en informell särskild arbetsgrupp, bestående av dataskyddsmyndigheter och inrättad på unionsnivå, vilken kommer att hjälpa till med att säkerställa att ett enhetligt och konsekvent tillvägagångssätt tillämpas för ett klagomål (44). Rekommendationer kommer att avges efter det att båda parter i en tvist har getts en rimlig möjlighet att inkomma med synpunkter och förete eventuella bevis. Arbetsgruppen kommer att avge sina rekommendationer så snabbt som möjligt inom ramen för korrekt handläggning av ärendet, normalt inom 60 dagar efter mottagandet av klagomålet. Om en organisation inte följer dessa rekommendationer inom 25 dagar efter det att rekommendationerna avgetts och inte har någon tillfredsställande förklaring till förseningen, ska arbetsgruppen tillkännage sin avsikt att antingen hänskjuta ärendet till FTC (eller en annan behörig verkställande myndighet i Förenta staterna) eller fastställa att en allvarlig överträdelse av samarbetsåtagandet har skett. Det första alternativet kan föranleda verkställighetsåtgärder på grundval av avsnitt 5 i FTC-lagen (eller en liknande lag). Enligt det andra alternativet kommer arbetsgruppen att informera handelsministeriet, som kommer att betrakta organisationens vägran att följa arbetsgruppens rekommendationer som en upprepad överträdelse, vilket kommer att leda till att organisationen stryks från förteckningen över organisationer som har anslutit sig till skölden.

(50) Om den nationella dataskyddsmyndighet som har mottagit klagomålet inte har vidtagit åtgärder för att behandla klagomålet eller om åtgärderna har varit otillräckliga, har den som framställt klagomålet möjlighet att bestrida sådant handlande eller sådan brist på handlande vid de nationella domstolarna i respektive medlemsstat.

(51) Enskilda får också framställa klagomål till dataskyddsmyndigheter även när arbetsgruppen bestående av dataskyddsmyndigheter inte har utsetts till tvistlösningsorgan för en organisation. I dessa fall får dataskyddsmyndigheten hänskjuta sådana klagomål antingen till handelsdepartementet eller till FTC. För att underlätta och öka samarbetet i frågor som rör enskilda klagomål och fall där organisationer som är anslutna till skölden för skydd av privatlivet gör sig skyldiga till bristande efterlevnad, kommer handelsministeriet att inrätta en särskild kontaktpunkt som ska agera som länk och bistå med dataskyddsmyndigheters undersökningar rörande en organisations efterlevnad av principerna (45). Även FTC har förbundit sig att inrätta en särskild kontaktpunkt (46) och bistå dataskyddsmyndigheterna med undersökningsassistans i enlighet med U.S. Safe WEB Act (47).

(52) För det fjärde har handelsministeriet åtagit sig att ta emot, granska och göra sitt bästa för att lösa klagomål som rör organisationer som inte följer principerna. I detta syfte tillhandahåller handelsministeriet särskilda förfaranden för dataskyddsmyndigheter så att de kan hänskjuta klagomål till en särskild kontaktpunkt samt spåra och följa upp klagomålen med företagen för att underlätta en lösning. För att påskynda handläggningen av enskilda klagomål kommer kontaktpunkten att samarbeta direkt om efterlevnadsfrågor med respektive dataskyddsmyndighet och informera myndigheten om klagomålets status inom en period på högst 90 dagar från hänskjutandet. På så sätt kan registrerade ta upp klagomål om bristande efterlevnad från självcertifierade företags (i Förenta staterna) sida direkt med sina nationella dataskyddsmyndigheter, som vidarebefordrar klagomålen till handelsministeriet i egenskap av den myndighet i Förenta staterna som förvaltar skölden för skydd av privatlivet i EU och Förenta staterna. Handelsministeriet har också åtagit sig att inom ramen för den årliga granskningen av sköldens funktion lämna en rapport med en samlad analys av de klagomål som det mottar varje år (48).

(53) Om handelsministeriet på grundval av kontroller på eget initiativ, klagomål eller annan information drar slutsatsen att en organisation upprepade gånger har överträtt principerna kommer den att stryka organisationen från förteckningen över organisationer som anslutit sig till skölden. Vägran att följa ett slutligt avgörande från ett organ för självreglering på integritetskyddets område, ett oberoende tvistlösningsorgan eller ett regeringsorgan, inklusive en dataskyddsmyndighet, kommer att betraktas som en upprepad överträdelse.

(54) För det femte måste en organisation som är ansluten till skölden för skydd av privatlivet omfattas av de utrednings- och verkställighetsbefogenheter som tilldelats myndigheterna i Förenta staterna, särskilt den federala konkurrensmyndigheten (Federal Trade Commission) (49) som kommer att säkersälla efterlevnad av principerna. FTC kommer att prioritera hänskjutanden av fall av bristande efterlevnad av principerna som mottas från oberoende tvistlösningsorgan eller självreglerande organ, handelsministeriet och dataskyddsmyndigheter (som agerar på eget initiativ eller med anledning av klagomål) för att fastställa om avsnitt 5 i FTC-lagen har överträtts (50). FTC har åtagit sig att inrätta ett standardiserat förfarande för hänskjutanden, utse en kontaktpunkt vid myndigheten för hänskjutanden från dataskyddsmyndigheter och utbyta information om hänskjutanden. FTC kommer dessutom att ta emot klagomål direkt från enskilda personer och kommer att genomföra utredningar om frågor som rör skölden för skydd av privatlivet på eget initiativ som ett led av sina allmänna utredningar av integritetsskyddsfrågor.

(55) FTC kan se till att principerna följs genom administrativa beslut (förordnanden) och kommer systematiskt att övervaka efterlevnaden av sådana förordnanden. Om en organisation inte följer principerna kan FTC hänskjuta ärendet till behörig domstol för att utverka civilrättsliga påföljder och annan gottgörelse, även för eventuella skador till följd av det olagliga beteendet. Alternativt kan FTC direkt utverka ett preliminärt eller definitivt föreläggande eller andra rättsåtgärder från en federal domstol. Varje förordnande som utfärdas till en organisation som deltar i skölden för skydd av privatlivet innehåller bestämmelser om egenrapportering (51), och organisationerna måste offentliggöra alla eventuella avsnitt i efterlevnads- eller bedömningsrapporter som lämnas in till FTC och som är relevanta för skölden. FTC kommer dessutom att föra en onlineförteckning över företag som omfattas av förordnanden från FTC- eller domstolsbeslut i ärenden som rör skölden.

(56) För det sjätte kan registrerade i EU som en ”sista utväg”, om inget av de andra tillgängliga rättsmedlen har löst deras klagomål på ett tillfredsställande sätt, begära ett bindande skiljedomsförfarande hos ”arbetsgruppen för skölden för skydd av privatlivet”. Organisationer måste informera enskilda om deras möjlighet, under vissa omständigheter, att begära ett bindande skiljedomsförfarande och de är skyldiga att svara när en enskild har valt detta alternativ genom att inge ett meddelande till den berörda organisationen (52).

(57) Denna skiljedomsarbetsgrupp kommer att bestå av en pool med minst 20 skiljemän som utses av handelsministeriet och kommissionen på grundval av deras oberoende, integritet och erfarenhet av Förenta staternas lagstiftning om integritetsskydd och unionens dataskyddslagstiftning. För varje enskild tvist kommer parterna att välja en arbetsgrupp bestående av en eller tre (53) skiljemän från denna pool. Förhandlingarna kommer att ske enligt standardregler för skiljedomsförfaranden som handelsministeriet och kommissionen ska komma överens om. Dessa regler kommer att komplettera den redan inrättade ramen som innehåller flera inslag som gör denna mekanism mer tillgänglig för registrerade i EU: i) Vid förberedande av ett yrkande inför arbetsgruppen får den registrerade bistås av sin dataskyddsmyndighet. ii) Platsen för skiljeförfarandet kommer att vara Förenta staterna, men registrerade i EU kan välja att delta via telefon- eller videoanslutning, som ska tillhandahållas utan kostnad för den enskilde. (ii) Det språk som ska användas i skiljedomsförfarandet ska som regel vara engelska, men tolkning vid skiljedomsförhöret samt översättning kommer normalt sett (54) att tillhandahållas på motiverad begäran och utan kostnad för den registrerade. (iv) Slutligen måste varje part stå för sina egna advokatkostnader om de företräds av en advokat inför arbetsgruppen. Emellertid kommer handelsministeriet att inrätta en fond, dit organisationer som är anslutna till skölden för skydd av privatlivet ska betala ett årligt bidrag som ska täcka de berättigade kostnaderna för skiljedomsförfarandet upp till maximala belopp som ska fastställas av Förenta staternas myndigheter i samråd med kommissionen.

(58) Arbetsgruppen för skölden för skydd av privatlivet kommer att ha befogenhet att påföra ”individuella specifika icke-monetära åtgärder” (55) för att avhjälpa bristande efterlevnad av principerna. Arbetsgruppen kommer att beakta annan gottgörelse som redan erhållits via andra mekanismer inom ramen för skölden när den fäller sitt avgörande, men enskilda personer kan ändå begära skiljedom om de anser att dessa andra former av gottgörelse är otillräckliga. Detta innebär att registrerade i EU kan åberopa skiljedom i alla ärenden där handlande eller brist på handlande från behöriga myndigheters sida i Förenta staterna (t.ex. FTC) har lett till att deras klagomål inte har fått en tillfredsställande lösning. Skiljedom kan inte åberopas om en dataskyddsmyndighet har rättslig befogenhet att lösa yrkandet i fråga med avseende på det självcertifierade företaget i Förenta staterna, dvs. i de fall där organisationen antingen är skyldig att samarbeta och följa dataskyddsmyndigheternas rekommendationer när det gäller behandling av personaluppgifter som samlats in inom ramen för ett anställningsförhållande, eller frivilligt har förbundit sig att göra detta. Enligt lagen om federal skiljedom (Federal Arbitration Act) kan enskilda personer verkställa skiljedomsbeslut i domstolar i Förenta staterna, vilket säkerställer rättsliga åtgärder om företaget inte efterlever bestämmelserna.

(59) Om en organisation inte uppfyller sitt åtagande att respektera principerna och sin offentliggjorda integritetsskyddspolicy kan det finnas andra sätt att söka rättslig prövning enligt Förenta staternas lagstiftning, som föreskriver rättsmedel enligt skadeståndslagstiftningen och i fall av oriktiga utfästelser, illojala eller bedrägliga handlingar eller metoder samt avtalsbrott.

(60) Vidare gäller att om en dataskyddsmyndighet, efter att ha mottagit ett yrkande från en registrerad i EU, anser att överföringen av en personuppgifter om en enskild till en organisation i Förenta staterna genomförs i strid med EU:s dataskyddslagstiftning, inbegripet när EU-exportören av uppgifter har anledning att tro att organisationen inte följer principerna, kan den också utöva sina befogenheter gentemot exportören av uppgifter och, om nödvändigt, beordra att uppgiftsöverföringen ska avbrytas.

(61) Mot bakgrund av informationen i detta avsnitt anser kommissionen att de principer om utfärdats av Förenta staternas handelsministerium som en helhet säkerställer en skyddsnivå för personuppgifter som är väsentligen likvärdig med den skyddsnivå som garanteras genom de väsentliga grundläggande principer som fastställs i direktiv 95/46/EG.

(62) En effektiv tillämpning av principerna garanteras dessutom genom handelsministeriets skyldigheter på insynsområdet och dess förvaltning och efterlevnadskontroll av skölden för skydd av privatlivet.

(63) Kommissionen anser dessutom att, som helhet, de tillsynsmekanismer, de instanser för handläggning av klagomål och de verkställighetsmekanismer som tillhandahålls inom ramen för skölden för skydd av privatlivet dels gör det möjligt att i praktiken upptäcka och bestraffa överträdelser av principerna som begås av organisationer som deltar i skölden, dels ger de registrerade rättsmedel för att få tillgång till personuppgifter som rör dem och, eventuellt, få uppgifterna rättade eller raderade.

3. TILLGÅNG OCH ANVÄNDNING AV PERSONUPPGIFTER SOM ÖVERFÖRS ENLIGT SKÖLDEN FÖR SKYDD AV PRIVATLIVET I EU OCH FÖRENTA STATERNA AV OFFENTLIGA MYNDIGHETER I FÖRENTA STATERNA

(64) Såsom följer av bilaga II avsnitt I.5 begränsas anslutningen till principerna till vad som är nödvändigt för att uppfylla krav i fråga om nationell säkerhet, allmänintresset och rättsefterlevnaden.

(65) Kommissionen har bedömt begränsningarna och garantierna i Förenta staternas lag när det gäller tillgång till och användning av personuppgifter som överförs inom ramen för skölden för skydd av privatlivet i EU och Förenta staterna av Förenta staternas offentliga myndigheter för ändamål som rör nationell säkerhet, brottsbekämpning och andra ändamål som rör allmänintresset. Dessutom har Förenta staternas regering, via den nationella underrättelsetjänsten (56), lämnat detaljerade utfästelser och försäkringar till kommissionen, som ingår i bilaga VI till detta beslut. Genom en skrivelse undertecknad av utrikesministern som bifogas som bilaga III till detta beslut har Förenta staternas regering dessutom förbundit sig att inrätta en ny tillsynsmekanism för ingrepp som hör samman med nationell säkerhet, ombudsmannen för skölden för skydd av privatlivet, som är oberoende gentemot underrättelsegemenskapen. I en framställning från Förenta staternas justitieministerium, som ingår som bilaga VII till detta beslut, beskrivs slutligen de begränsningar och garantier som gäller för offentliga myndigheters tillgång till och användning av uppgifter för brottsbekämpande ändamål och andra ändamål som rör allmänintresset. För att öka insynen och återspegla den rättsliga karaktären hos dessa åtaganden kommer samtliga dokument som förtecknas och bifogas till detta beslut att offentliggöras i Förenta staternas federala register.

(66) Slutsatserna från kommissionen för begränsning av åtkomst till och användning av personuppgifter som överförs från EU till Förenta staterna av Förenta staternas offentliga myndigheter samt förekomsten av effektivt rättsligt skydd diskuteras närmare nedan.

3.1 Förenta staternas offentliga myndigheters tillgång och användning av personuppgifter av skäl som rör nationell säkerhet

(67) Kommissionens analys visar att Förenta staternas lagstiftning innehåller dels en rad begränsningar av tillgången till och användningen av personuppgifter som överförs inom ramen för skölden för skydd av privatlivet i EU och Förenta staterna av skäl som rör nationell säkerhet, dels tillsyns- och prövningsmekanismer som ger tillräckliga garantier för ett effektivt skydd av dessa uppgifter mot olagliga ingrepp och risker för missbruk (57). Denna rättsliga ram har stärkts avsevärt sedan kommissionen utfärdade sina två meddelanden 2013 (se skäl 7), såsom beskrivs nedan.

3.1.1 Begränsningar

(68) Enligt Förenta staternas konstitution är det presidenten, i egenskap av överbefälhavare och regeringschef, som har ansvaret för att garantera den nationella säkerheten och, när det gäller utländska underrättelser, att föra Förenta staternas utrikespolitik (58). Kongressen har befogenheter att införa begränsningar, och har gjort detta i flera avseenden. Presidenten kan leda Förenta staternas underrättelsegemenskaps verksamheter inom dessa gränser, särskilt genom dekret (Executive Orders) eller presidentdirektiv (Presidential Policy Directives). Detta gäller naturligtvis även inom de områden som kongressen inte har utfärdat vägledning om. För närvarande är de två centrala rättsliga instrumenten i detta avseende Executive Order 12333 (nedan kallad E.O. 12333) (59) och Presidential Policy Directive 28 (nedan kallat PPD-28).

(69) Genom Presidential Policy Directive 28 (PPD-28), utfärdat den 17 januari 2014, införs ett antal begränsningar av ”signalspaningsverksamhet” (60). Detta presidentdirektiv är bindande för Förenta staternas underrättelsemyndigheter (61) och är tillämpligt enligt en ändring i Förensta staternas administration (62). PPD-28 är av särskild betydelse för utländska medborgare, inklusive registrerade i EU. Det föreskriver bland annat följande: a) Insamling av uppgifter via signalspaning måste vara godkänd enligt lag eller ske med presidentens tillstånd, och måste genomföras i enlighet med Förenta staternas konstitution (särskilt fjärde tillägget) och Förenta staternas lagstiftning. b) Alla människor bör behandlas med värdighet och respekt, oavsett nationalitet och bostadsort. c) Alla personer har legitima integritetsintressen när det gäller behandlingen av deras personuppgifter. d) Integritetsskyddet och de medborgerliga fri- och rättigheterna ska vara integrerade överväganden i planeringen av Förenta staternas signalspaningsverksamhet. e) Förenta staternas signalspaningsverksamhet måste därför omfatta lämpliga garantier för alla enskilda personers personuppgifter, oavsett nationalitet och bostadsort.

(70) Enligt PPD-28 får signalspaningsuppgifter endast samlas in om det finns ett ändamål som rör utländska underrättelser eller kontraspionage för att stödja nationella uppdrag och ministerierelaterade uppdrag, och inte för något annat ändamål (t.ex. för att ge företag i Förenta staterna konkurrensfördelar). I detta avseende klargör ODNI att enheter inom underrättelsegemenskapen ”bör kräva att insamlingen när så är möjligt bör inriktas på specifika utländska underrättelsemål eller frågor genom användning av urvalsfaktorer (t.ex. specifika anläggningar, urvalstermer och identifierare)” (63). Utfästelserna ger dessutom garantier för att beslut om underrättelseinsamling inte lämnas åt enskilda underrättelsetjänstemäns godtycke, utan omfattas av de policyer och förfaranden som underrättelsegemenskapens olika enheter i Förenta staterna (myndigheter och byråer) är skyldiga att inrätta för att genomföra PPD-28 (64). Forskning om och fastställande av lämpliga urvalstermer sker följaktligen inom den övergripande ”prioriteringsramen för nationell underrättelseverksamhet” (National Intelligence Priorities Framework. NIPF), vilket garanterar att underrättelseprioriteringar fastställs av politiskt ansvariga på hög nivå och regelbundet ses över så att de kontinuerligt kan anpassas till aktuella hot mot nationell säkerhet och beaktar möjliga risker, även integritetsrisker (65). På denna grundval forskar underrättelsetjänsternas personal om och identifierar specifika urvalstermer som väntas leda till insamling av utländska underrättelser som är anpassade till prioriteringarna (66). Urvalstermer måste ses över regelbundet för att kontrollera att de fortfarande ger värdefull underrättelseinformation enligt prioriteringarna (67).

(71) Kraven i PPD-28 på att underrättelseinsamling alltid (68) ska vara ”så anpassad som möjligt”, och att underrättelsegemenskapen ska prioritera tillgång till annan information samt lämpliga och genomförbara alternativ (69), avspeglar dessutom en allmän regel om prioritering av riktad insamling framför bulkinsamling. Enligt den garanti som ges av ODNI säkerställer de i synnerhet att bulkinsamling varken är ”massinsamling” eller ”slumpartad insamling”, och att undantaget inte ”sväljer” regeln (70).

(72) I PPD-28 anges att enheter inom underrättelsegemensapen ibland måste samla in signalspaningsuppgifter i bulk under vissa omständigheter, t.ex. för att identifiera och bedöma nya eller framväxande hot, men PPD-28 instruerar samtidigt enheterna att prioritera alternativ som möjliggör riktad signalspaning (71). Härav följer att bulkinsamling endast kommer att genomföras när riktad insamling genom användning av urvalsfaktorer – dvs. en identifierare förknippad med ett visst mål (t.ex. målets adress eller telefonnummer) – inte är möjlig ”på grund av tekniska eller operativa överväganden” (72). Detta gäller både det sätt som signalspaningsuppgifter samlas in på och vilka uppgifter som faktiskt samlas in (72).

(73) Enligt utfästelserna från ODNI kommer den att sträva efter att avgränsa insamlingen ”så mycket som möjligt”, även när underrättelsegemenskapen inte kan använda specifika identifierare för riktad insamling. För att säkerställa detta använder den ”filter och andra tekniska verktyg för att inrikta insamlingen på de anläggningar som sannolikt innehåller meddelanden av värde när det gäller utländska underrättelser” (och därmed kommer den att kunna anpassas till de krav som uttalas av politiskt ansvariga i Förenta staterna i enlighet med den process som beskrivs ovan i skäl 70). Som en konsekvens av detta kommer bulkinsamling att målinriktas på minst två sätt: För det första kommer den alltid att avse särskilda utländska underrättelsemål (t.ex. signalspaning för att inhämta information om en terroristgrupps verksamhet i en viss region) och inrikta insamlingen på kommunikation som har en sådan koppling. Enligt den garanti som ges av ODNI avspeglas detta i det faktum att ”Förenta staternas signalspaningsverksamhet berör endast en bråkdel av den kommunikation som sker via internet” (73). För det andra klargörs i ODNI:s utfästelser att filtren och andra tekniska verktyg som används kommer att utformas för att inrikta insamlingen ”så precist som möjligt” för att säkerställa att man minierar mängden ”irrelevant information” som samlas in.

(74) Även om Förenta staterna anser det nödvändigt att samla in signalspaningsuppgifter i bulk, enligt de villkor som anges i skälen 70–73, begränsar PPD-80 användningen av sådan information till en särskild förteckning över sex ändamål som rör nationell säkerhet i syfte att skydda alla människors integritet och medborgerliga friheter, oavsett nationalitet och bostadsort (74). Dessa tillåtna ändamål omfattar åtgärder för att upptäcka och motverka hot från spionage, terrorism, massförstörelsevapen, hot mot cybersäkerhet, mot försvarsmakten eller militär personal samt transnationella kriminella hot som är relaterade till de övriga fem ändamålen, och förteckningen kommer att ses över minst årligen. Enligt utfästelserna från Förenta staternas regering har enheter inom underrättelsegemenskapen förstärkt sina analysmetoder och analysstandarder för sökning i signalunderrättelser som inte tidigare utvärderats så att de överensstämmer med dessa krav. Användningen av riktade sökningar ”säkerställer att endast de uppgifter som anses ha ett eventuellt värde som underrättelseuppgifter lämnas till analytiker för undersökning” (75).

(75) Dessa begränsningar är särskilt relevanta för personuppgifter som överförts inom ramen för skölden för skydd av personuppgifter i EU och Förenta staterna, särskilt om insamling av personuppgifter skulle äga rum utanför Förenta staterna, inbegripet under överföringen av uppgifterna via de transatlantiska kablarna från unionen till Förenta staterna. Såsom bekräftats av Förenta staternas myndigheter i ODNI:s utfästelser gäller de begränsningar och garantier som anges där – inklusive de som omfattas av PPD-28 – för sådan insamling (76).

(76) Även om de inte är formulerade i juridiska termer återspeglar dessa principer det väsentliga i principerna om nödvändighet och proportionalitet. Riktad insamling prioriteras tydligt, medan bulkinsamling begränsas till (exceptionella) situationer där riktad insamling inte är möjlig av tekniska eller operativa skäl. Även där bulkinsamling inte kan undvikas är vidare ”användning” av sådana uppgifter genom åtkomst strikt begränsad till särskilda och legitima nationella säkerhetsändamål (77).

(77) Eftersom dessa krav ingår i ett direktiv som har utfärdats av presidenten i egenskap av regeringschef är de bindande för hela underrättelsegemenskapen och har genomförts ytterligare i form av regler och förfaranden för underrättelsetjänsterna som införlivar de allmänna principerna i uttryckliga riktlinjer för den dagliga verksamheten. Kongressen i sig är inte bunden av PPD-28, men har också vidtagit åtgärder för att se till att insamlingen av och åtkomsten till personuppgifter i Förenta staterna är riktad i stället för att utföras ”på ett generaliserat sätt”.

(78) Av tillgängliga uppgifter, bland annat de utfästelser som mottagits från Förenta staternas regering, framgår att när uppgifterna väl har överförts till organisationer i Förenta staterna som är självcertifierade enligt skölden för skydd av privatlivet i EU och Förenta staterna kan underrättelsetjänsterna endast (78) ansöka om att få åtkomst till personuppgifter när en sådan förfrågan är förenlig med lagen om underrättelseverksamhet och övervakning utomlands (Foreign Intelligence Surveillance Act, FISA) eller görs av FBI, baserat på en s.k. nationell säkerhetsskrivelse (National Security Letter, NSL) (79). FISA innehåller flera rättsliga grunder som kan användas för att samla in (och därefter behandla) personuppgifter om registrerade i EU som överförs inom ramen för skölden för skydd av privatlivet. Förutom avsnitt 104 i FISA (80) som omfattar traditionell individualiserad elektronisk övervakning och avsnitt 402 i FISA (81) om installation av ”pen registers” eller ”trap and trace”-anordningar, är de två centrala instrumenten avsnitt 501 i FISA (f.d. avsnitt 215 i U.S. PATRIOT ACT) och avsnitt 702 i FISA (82).

(79) I detta avseende innehåller Förenta staterna FREEDOM Act, som antogs den 2 juni 2015, ett förbud mot bulkinsamling av register baserat på avsnitt 402 i FISA (godkännande av användning av ”pen registers” och ”trap and trace”-anordningar), avsnitt 501 i FISA (f.d. avsnitt 215 i U.S. PATRIOT ACT) (83) och genom användning av NSL, och kräver i stället användning av särskilda ”urvalstermer” (84).

(80) FISA innehåller ytterligare rättsliga befogenheter för genomförandet av nationell underrättelseverksamhet, inklusive signalspaning, men kommissionens bedömning visar att dessa befogenheter, när det gäller överföring av personuppgifter inom ramen för skölden för skydd av privatlivet i EU och Förenta staterna, också begränsar offentliga myndigheters ingrepp till riktad insamling och åtkomst.

(81) Detta gäller helt klart för individualiserad elektronisk övervakning enligt avsnitt 104 i FISA (85). När det gäller avsnitt 702 i FISA, som utgör grunden för två viktiga underrättelseprogram som drivs av Förenta staternas underrättelsetjänster (Prism, Upstream), utförs sökningarna på ett riktat sätt med användning av individuella urvalstermer som identifierar särskilda kommunikationsmedel, t.ex. målets e-postadress eller telefonnummer, men inte nyckelord eller ens de berörda personernas namn (86). Såsom styrelsen för tillsyn av personlig integritet och medborgerliga friheter (Privacy and Civil Liberties Oversight Board, PCLOB) har konstaterat består övervakning enligt avsnitt 702 ”endast av att inrikta sökningarna på vissa [utländska] personer för vilka ett individualiserat beslut har fattats” (87). Till följd av en ”tidsfristklausul” ska avsnitt 702 i FISA ses över 2017. Kommissionen kommer då att behöva göra en ny bedömning av de garantier som är tillgängliga för registrerade i EU.

(82) I sina utfästelser har Förenta staternas regering dessutom gett Europeiska kommissionen uttryckliga garantier för att Förenta staternas underrättelsegemenskap ”inte bedriver någon godtycklig övervakning av någon, inte heller av vanliga EU-medborgare” (88). När det gäller personuppgifter som samlas in inom Förenta staterna stöds detta uttalande av empiriska bevis, som visar att åtkomstförfrågningar via nationella säkerhetsskrivelser och enligt FISA, både individuellt och tillsammans, endast rör ett relativt litet antal mål jämfört med det totala uppgiftsflödet på internet (89).

(83) När det gäller åtkomst till insamlade uppgifter och datasäkerhet föreskriver PPD-28 att åtkomst ”ska begränsas till behörig personal som behöver känna till informationen för att kunna utföra sitt uppdrag”, och att personuppgifter ”ska behandlas och lagras under förhållanden som ger en adekvat skyddsnivå och förhindrar åtkomst av obehöriga, enligt tillämpliga garantier för känslig information”. Underrättelsepersonal ges lämplig och adekvat utbildning i de principer som anges i PPD-28 (90).

(84) I fråga om lagring och vidare spridning av personuppgifter om registrerade i EU som samlas in av Förenta staternas underrättelsemyndigheter föreskriver PPD-28 att alla personer (inklusive utländska medborgare) ska behandlas med värdighet och respekt, att alla personer har legitima integritetsintressen när det gäller behandlingen av deras personuppgifter och att enheter inom underrättelsegemenskapen därför måste inrätta policyer som ger lämpliga garantier för sådana uppgifter och som är ”skäligt utformade för att minimera spridning och lagring av uppgifterna” (91).

(85) Förenta staternas regering har förklarat att detta skälighetskrav innebär att enheter inom underrättelsegemenskapen inte ska vidta ”teoretiskt möjliga åtgärder”, utan ska ”balansera insatserna när det gäller att skydda legitima intressen rörande integritetsskydd och medborgerliga friheter med signalspaningsverksamhetens praktiska behov” (92). I detta avseende kommer utländska medborgare att behandlas på samma sätt som Förenta staternas medborgare, enligt de förfaranden som har godkänts av justitieministern (93).

(86) Enligt dessa regler begränsas lagringen vanligen till högst fem år, om det inte finns särskilda lagbestämmelser eller ett uttryckligt avgörande från den nationella underrättelsetjänsten, efter en noggrann utvärdering av integritetsskyddet – med beaktande av åsikterna från ODNI:s tjänsteman med ansvar för skyddet av medborgerliga friheter samt underrättelsetjänstens tjänstemän med ansvar för integritetsskydd och medborgerliga friheter – om att fortsatt lagring ligger i den nationella säkerhetens intresse (94). Spridning begränsas till fall där informationen är relevant för det underliggande syftet med insamlingen och således motsvarar ett godkänt behov i fråga om utländsk underrättelseverksamhet eller brottsbekämpande verksamhet (95).

(87) Enligt de garantier som getts av Förenta staternas regering får personuppgifter inte spridas enbart på grund av att den berörda personen inte är medborgare i Förenta staterna, och ”signalspaning som riktas mot en utländsk persons rutinmässiga aktiviteter anses inte utgöra utländska underrättelseuppgifter som kan spridas eller lagras permanent endast på grundval av detta faktum, om spaningen inte på annat sätt motsvarar ett godkänt krav rörande utländska underrättelseuppgifter” (96).

(88) På grundval av allt som anförts ovan drar kommissionen slutsatsen att Förenta staterna har regler som är utformade för att se till att eventuella ingrepp av skäl som rör nationell säkerhet i de grundläggande rättigheterna för de personer vars personuppgifter överförs från EU till Förenta staterna inom ramen för skölden för skydd av privatlivet i EU och Förenta staterna begränsas till vad som är absolut nödvändigt för att uppnå det legitima målet i fråga.

(89) Som analysen ovan har visat säkerställer Förenta staternas lagstiftning att övervakningsåtgärder kommer att användas endast för att inhämta utländska underrättelseuppgifter – vilket är ett legitimt policymål (97) – och att de kommer att vara anpassade så långt det är möjligt. I synnerhet kommer bulkinsamling att godkännas endast i undantagsfall där riktad insamling inte är möjlig, och den kommer att åtföljas av ytterligare garantier för att minimera mängden insamlade uppgifter och efterföljande åtkomst (som måste vara riktad och endast medges för särskilda ändamål).

(90) I kommissionens bedömning överensstämmer detta med den standard som domstolen fastställde i Schrems-målet, enligt vilken lagstiftning som innebär ett ingrepp i de grundläggande rättigheter som garanteras av artiklarna 7 och 8 i stadgan måste slå fast ”minimikrav” (98) och att den ”inte är begränsad till vad som är strängt nödvändigt när den generellt tillåter lagring av samtliga personuppgifter om alla personer vilkas uppgifter har överförts från unionen till Förenta staterna, utan att det görs några åtskillnader, begränsningar eller undantag med beaktande av det eftersträvade syftet och utan att det föreskrivs något objektivt kriterium som gör det möjligt att avgränsa myndigheternas åtkomst till uppgifterna och att avgränsa deras senare användning till bestämda, strängt begränsade syften som kan motivera det ingrepp som såväl åtkomst som användning av uppgifterna innebär” (99). Inte heller kommer det att förekomma obegränsad insamling och lagring av uppgifter om alla personer utan några begränsningar, och inte heller obegränsad åtkomst. De utfästelser som kommissionen mottagit, däribland en försäkran om att Förenta staternas signalspaningsverksamhet berör endast en bråkdel av den kommunikation som sker via internet, utesluter dessutom att det skulle förekomma ”generell” (100) åtkomst till innehållet i elektronisk kommunikation.

3.1.2 Effektivt rättsligt skydd

(91) Kommissionen har bedömt både de tillsynsmekanismer som finns i Förenta staterna när det gäller eventuella ingrepp från Förenta staternas underrättelsemyndigheters sida i personuppgifter som överförs till Förenta staterna och de möjligheter som finns för registrerade i EU att ansöka om individuell gottgörelse.

Tillsyn

(92) Förenta staternas underrättelsegemenskap är föremål för olika gransknings- och tillsynsmekanismer som ombesörjs av statens tre grenar. Dessa omfattar interna och externa organ inom den verkställande grenen, ett antal kongressutskott samt rättslig tillsyn, särskilt med avseende på verksamhet som lyder under Foreign Intelligence Surveillance Act.

(93) För det första är underrättelseverksamhet som bedrivs av Förenta staternas myndigheter föremål för omfattande tillsyn som utförs inom den verkställande grenen.

(94) Enligt avsnitt 4(a)(iv) i PPD-28 ska policyer och förfaranden hos enheter inom underrättelsegemenskapen ”innehålla lämpliga åtgärder för att underlätta tillsyn över genomförandet av garantier för personuppgiftsskydd”. Dessa åtgärder bör omfatta regelbundna granskningar (101).

(95) Flera tillsynsnivåer har införts i detta avseende, bland annat tjänstemän med ansvar för medborgerliga friheter eller för integritetsskydd, generalinspektörer, ODNI Civil Liberties and Privacy Office, styrelsen för tillsyn av personlig integritet och medborgerliga fri- och rättigheter (PCLOB) och presidentens styrelse för tillsyn av underrättelseverksamheten (President's Intelligence Oversight Board). Dessa tillsynsfunktioner stöds av personal med ansvar för efterlevnadsfrågor vid alla underrättelsetjänster (102).

(96) Som Förenta staternas regering har förklarat (103) finns det tjänstemän med ansvar för medborgerliga friheter eller integritetsskydd, som också har tillsynsansvar, vid flera myndigheter med underrättelseansvar och underrättelsetjänster (104). De specifika befogenheterna för dessa tjänstemän kan variera något beroende på bemyndigande lagstiftning, men de omfattar vanligen övervakning av förfaranden för att säkerställa att respektive myndighet/tjänst beaktar integritetsskydd och medborgerliga friheter på lämpligt sätt. Lämpliga förfaranden har också införts för att behandla klagomål från enskilda personer som anser att deras integritetsskydd eller medborgerliga friheter har kränkts (och i vissa fall, t.ex. ODNI, kan de själva ha behörighet att utreda klagomål (105)). Chefen för myndigheten/tjänsten ska i sin tur säkerställa att tjänstemännen får all information och ges åtkomst till allt material som de behöver för att kunna fullgöra sina uppgifter. Tjänstemännen med ansvar för medborgerliga friheter och integritetsskydd rapporterar regelbundet till kongressen och PCLOB, bland annat om antal och typer av klagomål som mottas av myndigheten/tjänsten, en sammanfattning av klagomålens disposition, utförda granskningar och utredningar samt effekterna av den verksamhet som bedrivs av tjänstemannen (106). Enligt den bedömning som genomförts av de nationella dataskyddsmyndigheterna kan den interna tillsyn som utövas av tjänstemännen med ansvar för medborgerliga friheter och integritetsskydd betraktas som ”tämligen robust”, även om tjänstemännen, enligt dataskyddsmyndigheternas åsikt, inte i tillräcklig grad uppfyller kravet på oberoende (107).

(97) Dessutom har varje enhet underrättelsegemenskapen sin egen generalinspektör, som bland annat ansvarar för tillsynen över utländsk underrättelseverksamhet (108). Detta inbegriper, inom ODNI, ett generalinspektörskontor med omfattande behörighet för hela underrättelsegemenskapen och befogenhet att utreda klagomål eller information om påstått olagligt handlande eller maktmissbruk i samband med ODNI:s och/eller underrättelsegemenskapens program och verksamheter (109). Generalinspektörerna är lagstadgat oberoende (110) enheter med ansvar för att utföra granskningar och utredningar som rör de program och verksamheter som genomförs av respektive underrättelsetjänst för nationella underrättelseändamål, även när det gäller missbruk eller överträdelse av lagstiftningen (111). De har rätt att få åtkomst till alla register, rapporter, revisioner, granskningar, dokument, skrivelser, rekommendationer och annat relevant material, vid behov genom föreläggande, och får ta upp vittnesmål (112). Generalinspektörerna kan endast utfärda icke-bindande rekommendationer om korrigerande åtgärder, men deras rapporter, även om uppföljningsåtgärder (eller avsaknad av sådana), offentliggörs och överlämnas dessutom till kongressen, som kan utöva sin tillsynsbefogenhet på denna grundval (113).

(98) Dessutom har styrelsen för tillsyn av personlig integritet och medborgerliga friheter (Privacy and Civil Liberties Oversight Board), en oberoende myndighet (114) inom den verkställande grenen som består av en styrelse (115), stödd av två partier, med fem ledamöter som utses av presidenten för en fast mandatperiod på sex år med senatens godkännande, anförtrotts ansvar när det gäller förfaranden för terrorismbekämpning och genomförandet av dessa, med målet att skydda integriteten och de medborgerliga fri- och rättigheterna. I sin granskning av underrättelsegemenskapens verksamhet har den rätt att få åtkomst till underrättelsetjänsternas relevanta register, rapporter, revisioner, granskningar, dokument, skrivelser och rekommendationer, inklusive sekretessbelagd information, och får genomföra intervjuer och ta upp vittnesmål. Styrelsen får rapporter från tjänstemän med ansvar för medborgerliga friheter eller integritetsskydd vid flera federala myndigheter/underrättelsetjänster (116), kan utfärda rekommendationer till dem och rapporterar regelbundet till kongressutskott och till presidenten (117). Styrelsen ska också, inom ramen för sitt mandat, utarbeta en rapport med en bedömning av genomförandet av PPD-28.

(99) Dessutom kompletteras de tidigare nämnda tillsynsmekanismerna med styrelsen för tillsyn av underrättelseverksamhet (Intelligence Oversight Board), som inrättats inom ramen för presidentens rådgivande styrelse för underrättelseverksamhet (Intelligence Advisory Board). Denna styrelse har i uppdrag att övervaka Förenta staternas underrättelsemyndigheternas efterlevnad av konstitutionen och alla tillämpliga regler.

(100) För att underlätta tillsynen uppmuntras enheterna inom underrättelsegemenskapen att utforma informationssystem för att möjliggöra övervakning, registrering och granskning av förfrågningar eller andra sökningar avseende personuppgifter (118). Tillsyns- och efterlevnadsorganen kontrollerar regelbundet de metoder som tillämpas av enheter inom underrättelsegemenskapen för att skydda personuppgifter i signalspaning och hur de efterlever sådana förfaranden (119).

(101) Dessa tillsynsfunktioner stöds dessutom av omfattande rapporteringskrav i fråga om bristande efterlevnad. Underrättelsetjänsternas måste i sina förfaranden särskilt säkerställa att allvarliga fall av bristande efterlevnad som omfattar personuppgifter för alla personer, oavsett nationalitet, som samlats in genom signalspaning, omedelbart ska rapporteras till chefen för den berörda enheten inom underrättelsegemenskapen, som i sin tur kommer att informera chefen för den nationella underrättelsetjänsten. Denne ska enligt PPD-28 fastställa om korrigerande åtgärder är nödvändiga (120). Enligt E.O. 12333 är dessutom alla enheter inom underrättelsegemenskapen skyldiga att rapportera fall av bristande efterlevnad till styrelsen för tillsyn av underrättelseverksamheten (121). Dessa mekanismer säkerställer att sådana frågor behandlas på högsta nivå inom underrättelsegemenskapen. Om det rör sig om personer som inte är medborgare i Förenta staterna ska chefen för den nationella underrättelsetjänsten, i samråd med utrikesministern och chefen för det anmälande ministeriet eller den anmälande myndigheten, avgöra om åtgärder bör vidtas för att meddela den berörda utländska regeringen, med beaktande av källskyddet samt skyddet av metoder och Förenta staternas personal (122).

(102) För det andra, förutom dessa tillsynsmekanismer inom den verkställande grenen, har Förenta staternas kongress, särskilt House and Senate Intelligence and Judiciary Committees, tillsynsansvar när det gäller all utländsk underrättelseverksamhet som bedrivs av Förenta staterna, inbegripet Förenta staternas signalspaning. Enligt National Security Act”ska presidenten säkerställa att kongressens utskott för underrättelseverksamhet hålls fullständigt och fortlöpande informerade om Förenta staternas underrättelseverksamhet, bland annat eventuell viktig planerad underrättelseverksamhet enligt vad som krävs i detta underkapitel” (123). Det anges även att ”presidenten ska säkerställa att eventuell olaglig underrättelseverksamhet samt eventuella korrigerande åtgärder som har vidtagits eller planeras i samband med sådan olaglig verksamhet omedelbart rapporteras till kongressens underrättelseutskott” (124). Ledamöterna av dessa utskott har tillgång till sekretessbelagd information samt information om underrättelsemetoder och underrättelseprogram (125).

(103) Rapporteringskraven har utökats och förbättrats genom senare lagstiftning, både när det gäller enheter inom underrättelsegemenskapen, berörda generalinspektörer och justitieministern. Enligt FISA ska justitieministern t.ex. ”fullständigt informera” senatens och representanthusets utskott för underrättelseverksamhet respektive rättsväsendet om regeringens verksamheter enligt vissa avsnitt i FISA (126). Lagstiftningen föreskriver också att regeringen ska förse kongresskommittéerna med ”kopior av alla beslut, föreskrifter eller yttranden som utfärdas av Foreign Intelligence Surveillance Court eller Foreign Intelligence Surveillance Court of Review och som innehåller viktiga diskussioner om eller tolkningar” av FISA-bestämmelser. När det gäller övervakning enligt avsnitt 702 i FISA utövas tillsynen genom obligatoriska rapporter till kommittéerna för underrättelseverksamhet respektive rättsväsendet samt täta genomgångar och utfrågningar. Dessa inbegriper en halvårsrapport från justitieministern om tillämpningen av avsnitt 702 i FISA med styrkande dokument, särskilt justitieministeriets och ODNI:s efterlevnadsrapporter och en redogörelse för eventuella fall av bristande efterlevnad (127) och en separat halvårsbedömning av justitieministern och DNI om efterlevnaden av förfarandena för målinriktning och minimering samt efterlevnaden av de förfaranden som har tagits fram för att se till att insamlingen sker för ett godkänt ändamål i fråga om utländska underrättelseuppgifter (128). Kongressen får också rapporter från generalinspektörer som är behöriga att utvärdera underrättelsetjänsternas efterlevnad av förfarandena för målinriktning och minimering samt justitieministerns riktlinjer.

(104) Enligt Förenta staterna FREEDOM Act från 2015 måste Förenta staternas regering varje år till kongressen (och allmänheten) lämna ut information om antalet FISA-förelägganden och direktiv som har sökts och beviljats samt bland annat uppskattningar av antalet utländska medborgare och medborgare i Förenta staterna som är föremål för övervakning (129). Lagen kräver dessutom ytterligare offentlig rapportering om antalet utfärdade nationella säkerhetsskrivelser, även här både rörande Förenta staternas medborgare och utländska medborgare (samtidigt får mottagare av FISA-beslut och certifieringar samt NSL-förfrågningar utfärda insynsrapporter på vissa villkor) (130).

(105) För det tredje ska underrättelseverksamhet som bedrivs av Förenta staternas offentliga myndigheter på grundval av FISA medge granskning, och i vissa fall förhandsgodkännande av åtgärderna, av domstolen för övervakning av utländsk underrättelseinformation (FISC) (131), en oberoende domstol (132) vars beslut kan bestridas inför Foreign Intelligence Court of Review (FISCR) (133) och, i sista hand, Förenta staternas högsta domstol (134). När det gäller förhandsgodkännande måste de begärande myndigheterna (FBI, NSA, CIA osv.) lämna ett utkast till ansökan till juristerna vid justitieministeriets avdelning för nationell säkerhet, som kommer att kontrollera den och vid behov kräva ytterligare information (135). När ansökan har färdigbehandlats måste den godkännas av justitieministern, vice justitieministern eller den biträdande ministern för nationell säkerhet (136). Justitieministeriet lämnar sedan ansökan till FISC, som bedömer den och fattar ett preliminärt beslut om hur man bör gå till väga (137). Om en utfrågning genomförs är FISC behörig att ta upp vittnesmål, vilket kan omfatta råd från sakkunniga (138).

(106) FISC (och FISCR) stöds av en permanent arbetsgrupp som består av fem personer med sakkunskap i nationella säkerhetsfrågor och medborgerliga friheter (139). Från denna grupp ska domstolen utse en person som ska agera som sakkunnig för att bistå i övervägandet av ansökningar om beslut eller granskning som, enligt domstolens åsikt, utgör en ny eller väsentlig lagtolkning, om inte domstolen finner att det är olämpligt att utse en sakkunnig (140). Syftet med detta är särskilt att se till att integritetsöverväganden avspeglas på lämpligt sätt i domstolens bedömningar. Domstolen kan utse en person eller en organisation som sakkunnig, även för tekniska frågor, om den anser att så är lämpligt, eller, på förslag tillåta att en person eller en organisation inger en sakkunnigrapport (141).

(107) FISC:s tillsyn skiljer sig när det gäller de två rättsliga befogenheter för övervakning enligt FISA som är viktigast för överföringar av uppgifter enligt skölden för skydd av privatlivet i EU och Förenta staterna.

(108) Enligt avsnitt 501 i FISA (142), enligt vilket insamling av ”alla konkreta föremål (inklusive böcker, register, skrivelser, dokument och andra föremål)” är tillåten, måste ansökan till FISC innehålla en faktaredogörelse som visar att det finns skäliga grunder för att anse att de konkreta föremål som eftersöks är relevanta för en godkänd utredning (förutom hotbedömningar) som genomförs för att inhämta utländska underrättelseuppgifter som inte rör Förenta staternas medborgare eller skydda nationen mot internationell terrorism eller hemlig underrättelseverksamhet. Ansökan ska även innehålla en redogörelse för de minimeringsförfaranden som har införts av justitieministern för lagring och spridning av de insamlade underrättelseuppgifterna (143).

(109) Enligt avsnitt 702 i FISA (144) godkänner FISC dock inte individuella övervakningsåtgärder, utan snarare övervakningsprogram (såsom Prism och Upstream) på grundval av årliga certifieringar som utarbetas av justitieministern och chefen för den nationella underrättelsetjänsten. Enligt avsnitt 702 i FISA är målinriktning mot personer som skäligen kan antas befinna sig utanför Förenta staterna tillåten för att inhämta utländska underrättelseuppgifter (145). Målinriktningen utförs av NSA i två steg: Först identifierar NSA:s analytiker de personer som inte är medborgare i Förenta staterna som befinner sig utomlands och av vilka övervakningen, enligt analytikerns bedömning, kommer att ge de relevanta utländska underrättelseuppgifter som anges i certifieringen. Därefter, när dessa enskilda personer har identifierats och målinriktningen har godkänts genom en grundlig granskningsmekanism inom NSA (146) avdelas urvalstermer för att identifiera kommunikationsmedel (t.ex. e-postadresser) som används av målen (147). Som påpekats innehåller de certifieringar som ska godkännas av FISC inte någon information om de enskilda personer som målinriktningen gäller, utan anger snarare kategorier av utländska underrättelseuppgifter (148). FISC bedömer inte – enligt trolig orsak eller någon annan norm – huruvida målinriktningen för de utvalda personerna är lämplig för att inhämta utländska underrättelseuppgifter (149), utan kontrollen rör villkoret att ”ett viktigt syfte med insamlingen är att erhålla utländska underrättelseuppgifter” (150). Enligt avsnitt 702 i FISA får NSA endast samla in meddelanden från utländska medborgare utanför Förenta staterna om det skäligen kan antas att ett visst kommunikationsmedel används för att kommunicera utländsk underrättelseinformation (som t.ex. är relaterad till internationell terrorism, kärnvapenspridning eller fientlig internetverksamhet. Sådana avgöranden är föremål för rättslig granskning (151). Certifieringarna måste även omfatta förfaranden för målinriktning och minimering (152). Justitieministern och chefen för den nationella underrättelsetjänsten kontrollerar efterlevnaden, och underrättelsetjänsterna är skyldiga att rapportera eventuella fall av bristande efterlevnad till FISC (153) (och till kongressen och presidentens styrelse för tillsyn av underrättelseverksamheten) (154).

(110) För att öka effektiviteten i FISC:s tillsyn har Förenta staternas administration dessutom samtyckt till att genomföra en rekommendation från PCLOB om att lämna dokumentation till FISC rörande beslut om målinriktning enligt avsnitt 702, inklusive ett slumpmässigt urval av checklistor, så att FISC kan bedöma hur kravet på underrättelsesyfte tillgodoses i praktiken (155). Samtidigt gick Förenta staternas administration med på och har vidtagit åtgärder för att granska den nationella säkerhetstjänstens förfaranden för målinriktning för att bättre dokumentera de skäl för att samla in utländska underrättelseuppgifter som ligger till grund för beslut om målinriktning (156).

Rättslig prövning för enskilda

(111) Förenta staternas lagstiftning föreskriver ett antal möjligheter för registrerade i EU som undrar om deras personuppgifter har behandlats (insamling, åtkomst osv) av enheter inom Förenta staternas underrättelsegemenskap, och om så är fallet, huruvida de begränsningar som är tillämpliga enligt Förenta staternas lagstiftning har följts. Dessa avser framför allt tre områden: ingrepp enligt FISA, olaglig och avsiktlig tillgång till personuppgifter av regeringstjänstemän, och tillgång till information enligt Freedom of Information Act (FOIA) (157).

(112) För det första föreskriver Foreign Intelligence Surveillance Act ett antal rättsmedel, som även finns tillgängliga för utländska medborgare, för att bestrida olaglig elektronisk övervakning (158). Till detta hör möjligheten för enskilda att åberopa civilrättsliga grunder för skadestånd mot Förenta staterna när information om dem har använts eller lämnats ut på ett olagligt och medvetet sätt (159), stämma enskilda tjänstemän vid Förenta staternas regering (under falska lagliga förespeglingar) och begära skadestånd (160), och att bestrida lagenligheten i övervakningen (och begära att informationen hemlighålls) i den händelse Förenta staternas regering har för avsikt att använda eller lämna ut information som har erhållits eller härrör från elektronisk övervakning mot den enskilde i rättsliga eller administrativa förfaranden i Förenta staterna (161).

(113) För det andra har den amerikanska regeringen informerat kommissionen om ett antal ytterligare möjligheter som registrerade i EU kan använda för att väcka talan mot regeringstjänstemän för olaglig åtkomst eller användning av personuppgifter från regeringens sida, inklusive i påstått nationella säkerhetssyften (Computer Fraud and Abuse Act (162), Electronic Communications Privacy Act (163) och Right to Financial Privacy Act (164)). Alla dessa grunder för talan rör specifika uppgifter, mål och/eller typer av åtkomst (t.ex. fjärråtkomst till en dator via internet) och får åberopas på vissa villkor (t.ex. avsiktligt/uppsåtligt agerande, agerande utanför officiell behörighet, liden skada) (165). En mer allmän möjlighet till rättslig prövning finns i Administrative Procedure Act (5 U.S.C. § 702), enligt vilken en person som felaktigt drabbats av rättsliga åtgärder till följd av ett organs agerande eller som skadats eller förfördelats till följd av ett organs agerande, har rätt att söka rättslig prövning. Detta inbegriper möjligheten att be domstolen att hejda olagliga åtgärder och upphäva ett organs åtgärder samt avgöranden och slutsatser som anses vara godtyckliga och nyckfulla, innebära maktmissbruk eller på annat sätt oförenliga med lagstiftningen (166).

(114) Förenta staternas regering har slutligen hänvisat till FOIA som ett medel för utländska medborgare att ansöka om åtkomst till federala myndighetsregister, även när registren innehåller den enskildes personuppgifter (167). Med tanke på sin inriktning kan FOIA inte åberopas som ett rättsmedel för enskilda mot ingrepp i personuppgifter i sig, även om den i princip kan ge enskilda personer möjlighet att få åtkomst till relevant information som innehas av nationella underrättelsetjänster. Även i detta avseende förefaller möjligheterna vara begränsade, eftersom underrättelsetjänsterna kan undanhålla information som omfattas av vissa angivna undantag, inklusive åtkomst till sekretessbelagd nationell säkerhetsinformation och information som avser brottsutredningar (168). De nationella underrättelsetjänsternas utnyttjande av sådana undantag kan dock bestridas av enskilda personer, som kan begära både administrativ och rättslig granskning.

(115) Enskilda personer, inklusive registrerade i EU, har därför ett antal möjligheter till rättslig prövning när de har varit föremål för olaglig (elektronisk) övervakning av nationella säkerhetsskäl, och det står också klart att åtminstone några av de rättsliga grunder som Förenta staternas underrättelsemyndigheter kan tillämpa (t.ex. E.O. 12333) inte omfattas. Även om det i princip finns möjligheter för utländska medborgare att söka rättslig prövning, t.ex. rörande övervakning enligt FISA, är tillgängliga grunder för talan dock begränsade (169), och talan som väcks av enskilda personer (inklusive medborgare i Förenta staterna) kommer att förklaras oacceptabel när den saknar grund (170), vilket begränsar möjligheterna att väcka talan vid allmänna domstolar (171).

(116) För att ge alla registrerade i EU en ytterligare möjlighet att söka rättslig prövning har Förenta staternas regering beslutat att inrätta en ny ombudsmannamekanism, vilket beskrivs i den skrivelse från Förenta staternas utrikesminister till kommissionen som finns i bilaga III till detta beslut. Denna mekanism bygger på utnämningen av en chefssamordnare enligt PPD-28 (på statssekreterarnivå) vid utrikesdepartementet som kontaktpunkt för utländska regeringar som vill ta upp frågor angående Förenta staternas signalspaningsverksamhet, men går betydligt längre.

(117) Enligt åtagandena från Förenta staternas regering kommer ombudsmannamekanismen att säkerställa att individuella klagomål utreds ordentligt och att enskilda personer får en oberoende bekräftelse av att Förenta staternas lagstiftning har följts eller, i händelse av överträdelse, att den bristande efterlevnaden har åtgärdats (172). Mekanismen omfattar ”ombudsmannen för skölden”, dvs. statssekreteraren och ytterligare personal samt andra tillsynsorgan som är behöriga att kontrollera de olika enheterna inom underrättelsegemenskapen på vars samarbete ombudsmannen för skölden kommer att förlita sig vid behandlingen av klagomål. När en enskild persons begäran avser övervakningens förenliget med Förenta staternas lagstiftning kommer ombudsmannen för skölden att kunna förlita sig på oberoende tillsynsorgan med utredningsbefogenheter (t.ex. generalinspektörerna eller PCLOB). I varje fall säkerställer utrikesministern att ombudsmannen har resurser för att säkerställa att svaret på en enskild begäran bygger på all nödvändig information.

(118) Genom denna ”sammansatta struktur” garanterar ombudsmansmekanismen oberoende tillsyn och enskild prövning. Samarbetet med andra tillsynsorgan säkerställer dessutom tillgång till nödvändig expertis. Genom att ålägga ombudsmannen för skölden att bekräfta efterlevnad eller avhjälpa bristande efterlevnad återspeglar mekanismen ett åtagande av Förenta staternas regering i sin helhet att ta itu med och åtgärda klagomål från enskilda i EU.

(119) För det första kommer ombudsmannen för skölden, till skillnad från en ren mellanstatlig mekanism, att motta och besvara individuella klagomål. Sådana klagomål kan göras hos medlemsstaternas tillsynsmyndigheter med behörighet för tillsyn över nationella säkerhetstjänster och/eller offentliga myndigheters behandling av personuppgifter, vilka översänder dem till ett centraliserat EU-organ varifrån de vidarebefordras till ombudsmannen för skölden (173). Detta gynnar i själva verket enskilda i EU, eftersom de kan vända sig till ett nationellt organ som ”finns nära” och på sitt eget språk. Detta organ kommer att ha uppgiften att hjälpa personer med att göra en begäran till ombudsmannen för skölden, så att den innehåller grundläggande information och därför kan anses vara ”fullständig”. Den enskilde behöver inte visa att Förenta staternas regering faktiskt har haft åtkomst till personuppgifterna genom signalspaning.

(120) För det andra åtar sig Förenta staternas regering att, då den utför sina uppgifter, säkerställa att ombudsmannen för skölden kan förlita sig på samarbetet med andra befintliga mekanismer för tillsyn och efterlevnadskontroll som finns i Förenta staternas lagstiftning. Detta kommer ibland att involvera nationella underrättelsemyndigheter, särskilt om begäran ska tolkas som att avse tillgång till handlingar i enlighet med Freedom of Information Act. I andra fall, särskilt när en begäran avser övervakningens förenlighet med Förenta staternas lagstiftning, kommer samarbetet bl.a. att omfatta oberoende tillsynsorgan (t.ex. generalinspektörer) med ansvar och behörighet att genomföra en grundlig utredning (särskilt genom tillgång till alla relevanta handlingar och befogenheten att begära information och rapporter) och att ta itu med bristande efterlevnad (174). Ombudsmannen för skölden kommer även att kunna hänskjuta ärenden till PCLOB för övervägande (175). Om bristande efterlevnad har konstaterats av en av dessa tillsynsorgan måste berörd enhet inom underrättelsegemenskapen (t.ex. en underrättelsetjänst) avhjälpa denna bristande efterlevnad, då endast detta gör det möjligt för ombudsmannen att ge ett ”positivt” svar till den enskilde (dvs. att eventuell bristande efterlevnad har avhjälpts), som Förenta staternas regering har gjort åtagande om. Som en del av samarbetet kommer ombudsmannen för skölden att informeras om resultatet av utredningen, och ombudsmannen kommer att ha möjlighet att säkerställa att den får all nödvändig information för att förbereda sitt svar.

(121) Slutligen ska ombudsmannen för skölden vara oberoende av, och således inte ta emot instruktioner från, Förenta staternas underrättelsegemenskap (176). Detta är av avgörande betydelse, eftersom ombudsmannen kommer att behöva ”bekräfta” att i) klagomålet har blivit ordentligt utrett och att ii) Förenta staternas relevanta lagstiftning – inklusive i synnerhet de begränsningar och garantier som anges i bilaga VI – har följts eller, vid bristande efterlevnad, sådana brister har åtgärdats. För att kunna lämna denna oberoende bekräftelse måste ombudsmannen för skölden få nödvändig information om utredningen för att kunna ge ett exakt svar på klagomålet. Dessutom har utrikesministern åtagit sig att se till att statssekreteraren kommer att fungera som ombudsman för skölden på ett objektivt sätt och fri från otillbörlig påverkan som kan påverka det svar som ska ges.

(122) På det hela taget säkerställer denna mekanism att enskilda klagomål kommer att utredas grundligt samt lösas, och att detta åtminstone när det gäller övervakning kommer att inbegripa oberoende tillsynsorgan med erforderlig expertis och utredningsbefogenheter och en ombudsman som kommer att kunna fullgöra sina uppgifter utan att utsättas för otillbörlig, särskilt politisk, påverkan. Dessutom kommer enskilda att kunna framföra klagomål utan att behöva visa, eller ens indikera, att de har varit föremål för övervakning (177). Mot bakgrund av dessa förhållanden är kommissionen övertygad om att det finns adekvata och effektiva garantier mot missbruk.

(123) På grundval av allt som anförts ovan drar kommissionen slutsatsen att Förenta staterna garanterar ett effektivt rättsligt skydd mot ingrepp från dess underrättelsemyndigheter i de grundläggande rättigheterna för personer vars uppgifter överförs från unionen till Förenta staterna inom ramen för skölden för skydd av privatlivet i EU och Förenta staterna.

(124) I detta hänseende noterar kommissionen domstolens dom i Schrems-målet, enligt vilken en ”lagstiftning i vilken det inte föreskrivs någon möjlighet för enskilda att använda rättsmedel för att erhålla tillgång till, rätta eller radera uppgifter som rör dem, respekterar inte det väsentliga innehållet i den grundläggande rätten till effektivt domstolsskydd, vilken är stadfäst i artikel 47 i stadgan” (178). Kommissionens bedömning har bekräftat att sådana rättsmedel tillhandahålls i Förenta staterna, däribland genom införandet av ombudsmannamekanismen. Ombudsmansmekanismen omfattar oberoende tillsyn med utredningsbefogenheter. Inom ramen för kommissionens fortlöpande övervakning av skölden för skydd av privatlivet, inbegripet genom den årliga gemensamma översynen som också ska involvera ombudsmannen, kommer effektiviteten i denna mekanism att omprövas.

3.2 Tillgång till och användning av personuppgifter, av Förenta staternas offentliga myndigheter, för brottsbekämpande ändamål och andra ändamål som rör allmänintresset

(125) När det gäller ingrepp i personuppgifter som överförs enligt skölden för skydd av privatlivet i EU och Förenta staterna har Förenta staternas regering (via justitieministeriet) visat på tillämpliga