RAPPORT FRÅN KOMMISSIONEN TILL EUROPAPARLAMENTET OCH RÅDET

om den första årliga översynen av skölden för skydd av privatlivet i EU och USA och dess funktion

1.DEN FÖRSTA ÅRLIGA ÖVERSYNEN – SYFTE, FÖRBEREDELSER OCH FÖRFARANDE

I sitt beslut av den 12 juli 2016 (nedan kallat beslutet om adekvat skydd), har kommissionen funnit att skölden för skydd av privatlivet (nedan kallad skölden för skydd av privatlivet) garanterar en adekvat skyddsnivå för personuppgifter som överförs från unionen till organisationer i USA.

Skölden för skydd av privatlivet återspeglar de principer och krav som fastställdes genom domen i Europeiska unionens domstol i fallet Schrems, som ogiltigförklarade de tidigare Safe Harbour-principerna. Skölden innehåller ett antal nya element jämfört med Safe Harbour, vilket innebär ett förstärkt skydd för personuppgifter när de överförs till USA. Detta inbegriper strängare krav på företag som certifierats enligt skölden för skydd av privatlivet, till exempel när det gäller begränsningar för hur länge ett företag får behålla personuppgifter (den så kallade datalagringsprincipen) eller villkoren för hur uppgifter får delas med tredje parter utanför sköldens ram (den så kallade principen om ansvar för vidare överföring). Den skapar också förutsättningar för en mer regelbunden och rigorös övervakning av det amerikanska handelsministeriet och innebär att EU-medborgarnas möjligheter att söka upprättelse ökar markant. Skölden för skydd av privatlivet bygger dessutom på den amerikanska regeringens specifika skriftliga utfästelser och försäkringar. I dessa slås det fast att det finns tydliga begränsningar och skyddsåtgärder i fråga om offentliga myndigheters tillgång till personuppgifter, då uppgifterna överförs inom ramen för skölden för skydd av privatlivet när det gäller ändamålen nationell säkerhet, brottsbekämpning och annat som ligger i allmänhetens intresse. I detta syfte skapas också en helt ny prövningsmekanism, dvs. ombudsmannen, genom skölden.

Kommissionen har åtagit sig att varje år utvärdera sitt konstaterande om adekvat skyddsnivå, och genomför i detta syfte en årlig översyn av hur skölden fungerar. Den första årliga översynen av hur skölden fungerar sammanfattas i denna rapport. Översynen omfattade alla sköldens aspekter, dvs. de behöriga amerikanska myndigheternas och organens genomförande, administration, tillsyn och verkställande av skölden för skydd av privatlivet, samt frågor relaterade till de amerikanska myndigheternas tillgång till personuppgifter som i allmänhetens intresse överförs inom sköldens ram, framför allt den nationella säkerheten. Denna översyn inbegrep också en särskild dialog om ämnet automatiserat beslutsfattande samt en bedömning av det senaste årets utveckling inom det amerikanska rättssystemet, vilket skulle kunna påverka hur skölden fungerar.

Skölden för skydd av privatlivet har tillämpats sedan den 1 augusti 2016. Eftersom detta är första året då skölden används, har fokus för kommissionens årliga översyn varit att kontrollera att alla de mekanismer och förfaranden som tillhandahålls inom sköldens ram – av vilka många är helt nya – fullständigt genomförts och fungerar på det sätt som föreskrivs i beslutet om adekvat skydd. Kommissionen har också lagt särskild vikt vid att kontrollera om och hur de olika amerikanska myndigheter som är involverade i ramens tillämpning har efterlevt sina utfästelser och åtaganden, både vad gäller administration och tillsyn av sköldens kommersiella aspekter och vad gäller myndigheternas tillgång till personuppgifter. Skiftet i den amerikanska administrationen i januari 2017 har gjort detta särskilt relevant.

Inför den årliga översynen insamlade kommissionen information och synpunkter om genomförandet av skölden för skydd av privatlivet och om hur den fungerar från de parter som berörs, närmare bestämt företag som certifierats enligt skölden genom sina respektive branschorganisationer, och icke-statliga organisationer som är verksamma inom området grundläggande rättigheter och i synnerhet digitala rättigheter och digital integritet. Kommissionen begärde och fick också skriftlig information från sådana amerikanska myndigheter som arbetade med tillämpningen av skölden. Denna information omfattade även relevanta dokument och annat material.

Den första årliga gemensamma översynen ägde rum den 18 och 19 september 2017 i Washington, DC. Mötet öppnades av Věra Jourová, kommissionsledamot med ansvar för rättsliga frågor, konsumentfrågor och jämställdhet, och USA:s handelsminister Wilbur Ross. För EU:s räkning genomfördes den årliga översynen av representanter för Europeiska kommissionens generaldirektorat för rättsliga frågor och konsumentfrågor. I EU:s delegation ingick också åtta representanter utsedda av artikel 29-arbetsgruppen, det rådgivande organet som sammanför medlemsstaternas nationella dataskyddsmyndigheter och Europeiska datatillsynsmannen.

På den amerikanska sidan deltog representanter från handelsministeriet, den federala konkurrensmyndigheten, transportministeriet, utrikesministeriet, den nationella underrättelsetjänsten och justitieministeriet i översynen, liksom den tillförordnade ombudsmannen, en medlem från styrelsen för tillsyn av personlig integritet och medborgerliga friheter (Privacy and Civil Liberties Oversight Board, PCLOB) samt kontoret för underrättelsegemenskapens generalinspektör, the Office of the Inspector General of the Intelligence Community. Representanter från organisationer som erbjuder oberoende tvistlösning inom ramen för skölden för skydd av privatlivet, den amerikanska skiljedomssammanslutningen (American Arbitration Association) i egenskap av administratör för sköldens skiljenämnd, samt vissa företag certifierade enligt skölden, bidrog dessutom med synpunkter under den årliga översynen.

Den årliga översynen bygger också på offentliga handlingar såsom domstolsbeslut, relevanta amerikanska myndigheters genomförandebestämmelser och förfaranden för genomförande, rapporter och studier från icke-statliga organisationer, öppenhetsrapporter från företag certifierade enligt skölden, tidningsartiklar och annan medierapportering.

2.RESULTAT, SLUTSATSER OCH REKOMMENDATIONER

Av den årliga översynen framgår att de amerikanska myndigheterna har inrättat de strukturer och förfaranden som krävs för att säkerställa att skölden för skydd av privatlivet fungerar korrekt. Certifieringsprocessen har på det hela taget hanterats på ett tillfredsställande sätt och över 2 400 företag har hittills certifierats. De amerikanska myndigheterna har inrättat en mekanism för att hantera klagomål och kontrollera efterlevnad samt förfaranden för att skydda enskilda personers rättigheter. Detta inbegriper även de nya ytterligare möjligheterna för EU:s medborgare att söka rättslig prövning, såsom skiljenämnden och ombudsmannamekanismen. När det gäller den sistnämnda, utsågs en tillförordnad ombudsman i samband med administrationsskiftet i januari 2017, men den permanenta ombudsmannen har ännu inte utsetts. Samarbetet med europeiska dataskyddsmyndigheter har intensifierats. Vad gäller myndigheters tillgång till personuppgifter för ändamål som rör nationell säkerhet, finns fortfarande relevanta skyddsåtgärder på den amerikanska sidan, i synnerhet sådana som bygger på den amerikanska presidentens policydirektiv 28 (nedan kallat PPD 28) utfärdat 2014, som innehåller begränsningar och garantier avseende de nationella säkerhetsmyndigheternas användning av personuppgifter, oavsett personens nationalitet. I detta sammanhang bör det också noteras att avsnitt 702 i den amerikanska lagen om underrättelseverksamhet och övervakning utomlands, Foreign Intelligence Surveillance Act (FISA), upphör att gälla den 31 december 2017 och att reformförslag just nu diskuteras i den amerikanska kongressen.

De detaljerade faktiska slutsatserna, om hur alla aspekter av skölden för skydd av privatlivet fungerar efter dess första år av tillämpning, presenteras i kommissionens arbetsdokument om den årliga översynen av skölden för skydd av privatlivet i EU och USA och dess funktion (SWD(2017) 344 final), vilket åtföljer denna rapport.