I. MELLÉKLET

2016. július 7.

Věra Jourová

a jogérvényesülésért, a fogyasztópolitikáért és a nemek közötti esélyegyenlőségért felelős biztos

Európai Bizottság

Rue de la Loi/Westraat 200

1049 Bruxelles/Brussel

Belgium

Tisztelt Jourová biztos asszony!

Az Egyesült Államok nevében ezennel örömmel adom át az EU-USA adatvédelmi pajzs anyagainak csomagját, amely a munkacsoportjaink közötti gyümölcsöző tárgyalások eredménye. Ez a csomag a Bizottság számára nyilvános forrásokból elérhető más anyagokkal együtt nagyon szilárd alapot biztosít az Európai Bizottság részére a megfelelőség újonnan történő megállapításához (1).

Mindketten büszkék lehetünk a keretrendszeren végzett javításokra. Az adatvédelmi pajzs az atlanti térség mindkét oldalán erős konszenzusos támogatást élvező elveken alapul, és mi megerősítettük azok érvényességét. Együttműködésünk révén valódi lehetőségünk nyílt az adatvédelem javítására az egész világon.

Az adatvédelmi csomag tartalmazza az adatvédelmi pajzs elveit, valamint a programot igazgató Kereskedelmi Minisztérium Nemzetközi Kereskedelmi Igazgatósága (ITA) által írt, 1. mellékletként csatolt levelet, amelyben leírjuk a minisztériumunk által annak biztosítása érdekében tett kötelezettségvállalásokat, hogy az adatvédelmi pajzs hatékonyan működjön. A csomag tartalmazza még a 2. mellékletet is, amely részletezi a Kereskedelmi Minisztériumnak az adatvédelmi pajzs keretében elérhető új választott bírósági modellre vonatkozó további kötelezettségvállalásait.

Arra utasítottam a munkatársaimat, hogy minden szükséges erőforrást sürgősen és teljes körűen állítsanak az adatvédelmi pajzs keretrendszer megvalósításának szolgálatába, illetve fordítsák ezeket az erőforrásokat annak biztosítására, hogy az 1. és 2. mellékletben leírt kötelezettségvállalások időben teljesüljenek.

Az adatvédelmi pajzs csomag tartalmaz még az Egyesült Államok hatóságai által készített más dokumentumokat is, nevezetesen az alábbiakat:

—	a Szövetségi Kereskedelmi Bizottság (FTC) levele, amely leírja az adatvédelmi pajzs általa történő végrehajtását,

—	a Közlekedési Minisztérium levele, amely leírja az adatvédelmi pajzs általa történő végrehajtását,

—	a nemzeti hírszerzés igazgatójának irodája (ODNI) által készített két levél az USA nemzetbiztonsági hatóságaira vonatkozó biztosítékokról és korlátozásokról,

—	a Külügyminisztérium levele és az azt kísérő tájékoztatás, amely leírja a Külügyminisztérium kötelezettségvállalását egy új adatvédelmi pajzs ombudsman kinevezésére, akinek a feladata az Egyesült Államok jelfelderítési gyakorlataira vonatkozó megkeresések benyújtása, valamint

—	az Igazságügyi Minisztérium által készített levél az Egyesült Államok kormányának a bűnüldözési és közérdekű célból történő hozzáférésére vonatkozó biztosítékokról és korlátozásokról.

Biztosíthatom arról, hogy az Egyesült Államok komolyan veszi ezeket a kötelezettségvállalásokat.

A megfelelőség megállapításáról szóló végső jóváhagyás után 30 napon belül a teljes adatvédelmi pajzs csomagot továbbítjuk a Szövetségi Közlönynek közzétételre.

Várakozással tekintünk az Önökkel történő együttműködésre az adatvédelmi pajzs megvalósítása, valamint e folyamat következő szakaszának megkezdése során.

---

(1)  Amennyiben az EU–USA adatvédelmi pajzs által biztosított védelem megfelelőségére vonatkozó bizottsági határozat Izlandra, Liechtensteinre és Norvégiára is alkalmazandó, az adatvédelmi pajzs egyaránt lefedi majd Európai Uniót és ezt a három országot. Következtetésképpen az EU-ra és annak tagállamaira való hivatkozások úgy értelmezendők, hogy azok Izlandra, Liechtensteinre és Norvégiára is vonatkoznak.

II. MELLÉKLET

AZ EU-USA ADATVÉDELMI PAJZS KERETRENDSZER ELVEI KIADTA AZ EGYESÜLT ÁLLAMOK KERESKEDELMI MINISZTÉRIUMA

I.   ÁTTEKINTÉS

1.

Bár az Egyesült Államok és az Európai Unió közös célja az adatvédelem fokozása, az Egyesült Államok az Európai Uniótól eltérően közelíti meg az adatvédelmet. Az Egyesült Államok ágazati megközelítést használ, amely a jogalkotási eszközök, az előírások és az önszabályozás kombinációján alapszik. Figyelembe véve ezeket az eltéréseket, valamint annak érdekében, hogy az egyesült államokbeli szervezetek számára a személyes adatok Európai Unióból az Egyesült Államokba történő továbbításához megbízható mechanizmust biztosítsunk, miközben garantáljuk, hogy az érintett uniós polgárok továbbra is élvezzék az európai jogszabályok által előírt hatékony biztosítékokat és védelmet a személyes adataik kezelésével kapcsolatban, amikor azokat nem uniós országokba továbbítják, a Kereskedelmi Minisztérium hatósági jogkörében a nemzetközi kereskedelem támogatása, elősegítése és fejlesztése céljából kiadja ezeket az adatvédelmi pajzs elveket, köztük a kiegészítő elveket (együttesen: „az elvek”) (15 U.S.C. § 1512). Az elveket az ágazattal és a nyilvánossággal konzultálva a kereskedelem, illetve az Egyesült Államok és az Európai Unió közötti nemzetközi kereskedelem megkönnyítése érdekében dolgozták ki. Az elveket csak az Európai Unióból személyes adatokat fogadó egyesült államokbeli szervezetek használatára szánták az adatvédelmi pajzs minősítés elnyerése, és ezáltal az Európai Bizottság megfelelőségi határozatának előnyeiből való részesülés céljából (1). Az elvek nem érintik a tagállamokban a személyes adatok kezelésére alkalmazandó 95/46/EK irányelv („az irányelv”) végrehajtására szolgáló nemzeti rendelkezéseket. Az elvek az Egyesült Államok joga alapján egyébként alkalmazandó adatvédelmi kötelezettségeket sem korlátozzák.

2.

A személyes adatok Unióból történő továbbítása érdekében az adatvédelmi pajzs alkalmazásának céljából a szervezeteknek maguknak kell tanúsítaniuk az elvek teljesítését a Kereskedelmi Minisztérium (vagy annak megbízottja) („a Minisztérium”) számára. A szervezet döntése, hogy ilyen módon csatlakozik az adatvédelmi pajzshoz, teljesen önkéntes ugyan, de a hatékony megfelelés kötelező: annak a szervezetnek, amely önmaga tanúsítja a Minisztérium felé a megfelelését, és nyilvánosan bejelenti kötelezettségvállalását az elvek teljesítésére, teljes mértékben be kell tartania az elveket. Az adatvédelmi pajzshoz történő csatlakozás érdekében a szervezetnek a) a Szövetségi Kereskedelmi Bizottság (az „FTC”), a Közlekedési Minisztérium vagy más hatósági szerv vizsgálati és végrehajtási hatáskörébe kell tartoznia, amely hatékonyan biztosítja az elvek teljesítését (jövőbeli melléklet az Európai Unió által elismert további USA hatósági szerveket is felsorolhat); b) nyilvánosan ki kell jelenteniük a kötelezettségvállalásukat, hogy betartják az elveket; c) nyilvánosságra kell hozniuk az adatvédelmi szabályzatukat ezekkel az elvekkel összhangban; és d) teljes körűen meg kell valósítaniuk azt. Ha a szervezet nem felel meg, akkor a Szövetségi Kereskedelmi Bizottságról szóló törvény tisztességtelen és megtévesztő cselekedetek tilalmáról szóló 5. szakasza (15 U.S.C. § 45(a)) vagy az ilyen cselekedetek tilalmáról szóló más törvény vagy rendelet alapján peresíthető.

3.

A Kereskedelmi Minisztérium fenntart és közzétesz egy hiteles listát azokról az egyesült államokbeli szervezetekről, amelyek öntanúsítást végeztek a Minisztérium felé, és kötelezettséget vállaltak az elvek betartására (az „adatvédelmi pajzsban részt vevő szervezetek listája”). Az adatvédelmi pajzs előnyei biztosítottak attól a naptól fogva, amikor a Minisztérium az adatvédelmi pajzs listára felveszi a szervezetet. A Minisztérium törli a szervezetet az adatvédelmi pajzs listáról, ha önkéntesen kilép az adatvédelmi pajzs rendszerből, vagy nem teljesíti az éves ismételt tanúsítását a Minisztérium felé. A szervezet törlése az adatvédelmi pajzs listáról azt jelenti, hogy többé nem élvezi az Európai Bizottság megfelelőségi határozatának előnyeit személyes adatok Unióból történő fogadása tekintetében. A szervezetnek továbbra is alkalmaznia kell az elveket az adatvédelmi pajzsban történő részvétele során általa kapott személyes adatok tekintetében, és évente meg kell erősítenie a Minisztérium számára a kötelezettségvállalását, hogy így tesz, ameddig a birtokában van az információ; ellenkező esetben a szervezetnek vissza kell adnia vagy törölnie kell az információt, vagy más engedélyezett módon „megfelelő” védelmet kell biztosítania az információ számára. A Minisztérium azokat a szervezeteket is törli az adatvédelmi pajzs listáról, amelyek ismételten nem teljesítették az elveket; ezek a szervezetek nem jogosultak az adatvédelmi pajzs előnyökre és vissza kell adniuk vagy törölniük kell a személyes adatokat, amelyeket az adatvédelmi pajzs keretében kaptak.

4.

A Minisztérium fenntart és közzétesz egy hiteles listát is azokról az egyesült államokbeli szervezetekről, amelyek előzőleg öntanúsítást végeztek a Minisztérium felé, majd törölték őket az adatvédelmi pajzs listáról. A Minisztérium egyértelmű figyelmeztetést ad, hogy ezek a szervezetek nem résztvevői az adatvédelmi pajzsnak; hogy az adatvédelmi pajzs listáról történt törlés azt jelenti, hogy az ilyen szervezet nem állíthatja, hogy megfelel az adatvédelmi pajzsnak és kerülnie kell minden olyan állítást vagy félrevezető gyakorlatot, amely arra utal, hogy résztvevője az adatvédelmi pajzsnak; és hogy az ilyen szervezetek már nem jogosultak az Európai Bizottság megfelelőségi határozatának előnyeire, amelynek révén az ilyen szervezetek személyes adatokat kaphatnának az Európai Uniótól. Az a szervezet, amely továbbra is azt állítja, hogy részt vesz az adatvédelmi pajzsban, vagy az adatvédelmi pajzs listáról történt törlése után az adatvédelmi pajzzsal kapcsolatos egyéb megtévesztő nyilatkozatot tesz, az FTC, a Közlekedési Minisztérium vagy más végrehajtási hatóság végrehajtási intézkedést foganatosíthat vele szemben.

5.

Az elvek betartása az alábbiak szerint korlátozható: a) a nemzetbiztonság, a közérdek vagy a bűnüldözés követelményeinek teljesítéséhez szükséges mértékben; b) törvény, kormányrendelet vagy az ítélkezési gyakorlat által, amelyek az elvekkel ellentétes kötelezettségeket vagy kifejezett felhatalmazásokat hoznak létre, feltéve, hogy az ilyen felhatalmazás gyakorlása során a szervezet bizonyítani tudja, hogy az elvek nemteljesítése az ilyen felhatalmazás által támogatott törvényes érdekek teljesítéséhez szükséges mértékre korlátozódik; vagy c) ha az irányelv vagy a tagállami jogszabályok hatálya kivételeket vagy eltéréseket tesz lehetővé, feltéve, hogy az ilyen kivételeket vagy eltéréseket összehasonlítható esetekben alkalmazzák. Az adatvédelem erősítésének céljával összhangban a szervezeteknek törekedniük kell az elvek teljes mértékű és átlátható megvalósítására, beleértve adatvédelmi szabályzatukban annak megjelölését, hogy az elvek alól a fenti b) pontban engedélyezett kivételeket hol alkalmazzák rendszeresen. Ugyanebből az okból, ahol az elvek és/vagy az Egyesült Államok jogszabályai választási lehetőséget engednek, a szervezetektől elvárják, hogy lehetőség szerint a magasabb szintű védelem mellett döntsenek.

6.

A szervezetek az adatvédelmi pajzshoz történt csatlakozásuk után az adatvédelmi pajzs keretében továbbított valamennyi személyes adatra kötelesek alkalmazni az elveket. Az a szervezet, amely az adatvédelmi pajzs előnyeit ki akarja terjeszteni az Európai Unióból továbbított, a munkaviszonnyal összefüggésben felhasználandó, humán erőforrással kapcsolatos személyes információra, köteles ezt jelezni, amikor öntanúsítást végez a Minisztérium felé, és meg kell felelnie az öntanúsításról szóló kiegészítő elvben meghatározott követelményeknek.

7.

Az értelmezési kérdések és az elveknek való megfelelés, valamint az adatvédelmi pajzsban részt vevő szervezetek adatvédelmi szabályzatainak tekintetében az Egyesült Államok jogát kell alkalmazni, kivéve, ha a szervezetek az európai adatvédelmi hatóságokkal („adatvédelmi hatóságok”) való együttműködés mellett kötelezték el magukat. Eltérő megállapodás hiányában az elvek minden rendelkezését alkalmazni kell, ha relevánsak.

8.

Fogalommeghatározások: a.   „Személyes adatok” és „személyes információk”: olyan azonosított vagy azonosítható egyénre vonatkozó adatok, amelyek az irányelv hatálya alá tartoznak, és amelyeket valamely egyesült államokbeli szervezet az Európai Unióból kapott, és valamilyen formában rögzítette őket. b.   „Személyes adatok kezelése”: a személyes adatokkal automatikus vagy nem automatikus módon végzett bármely művelet vagy műveletek összessége, azaz gyűjtés, rögzítés, rendszerezés, tárolás, átalakítás vagy megváltoztatás, visszakeresés, betekintés, felhasználás, közlés vagy terjesztés, valamint törlés vagy megsemmisítés. c.   „Adatkezelő”: az a személy vagy szervezet, amely egyedül vagy másokkal együtt meghatározza a személyes adatok kezelésének célját és eszközeit.

9.

Az elvek hatálybalépésének napja az a nap, amikor az Európai Bizottság megfelelőségi határozatát véglegesen jóváhagyják.

II.   ALAPELVEK

1.   Tájékoztatás

a.

A szervezetnek tájékoztatnia kell az egyéneket az alábbiakról: i. a részvétele az adatvédelmi pajzsban, és egy linket vagy internetcímet kell biztosítania az adatvédelmi pajzs listához, ii. a gyűjtött személyes adatok típusa és adott esetben a szervezetnek az elveket szintén teljesítő egységei vagy leányvállalatai, iii. a kötelezettségvállalása, hogy alkalmazza az elveket valamennyi személyes adatra, amelyet az Európai Uniótól az adatvédelmi pajzs keretében kapott, iv. milyen célokra gyűjt és használ fel rájuk vonatkozó személyes adatokat, v. a szervezet elérhetősége érdeklődés és panasz esetén, beleértve az Európai Unión belüli szervezeti egységét, amely válaszolni tud az ilyen érdeklődésre vagy panaszra, vi. azon harmadik felek típusa vagy meghatározása, amelyek részére felfedi a személyes adatokat, és az adatok felfedésének célja, vii. az egyének személyes adataikhoz való hozzáféréshez való joga, viii. a szervezet által az egyének számára biztosított lehetőségek és eszközök a személyes adataik használatának vagy felfedésének korlátozására, ix. a panaszok kezelésére és az egyének számára ingyenes jogorvoslat biztosítására kijelölt független vitarendező szerv, valamint annak meghatározása, hogy az: (1) az adatvédelmi hatóságok által létrehozott testület, (2) egy Európai Unióban székhellyel rendelkező alternatív vitarendezési szolgáltató, vagy (3) egy Egyesült Államokban székhellyel rendelkező alternatív vitarendezési szolgáltató, x. az FTC, a Közlekedési Minisztérium vagy más egyesült államokbeli erre felhatalmazott hatósági szerv vizsgálati és végrehajtási hatáskörébe tartozik, xi. lehetőség az egyén számára arra, hogy bizonyos feltételek mellett kötelező erejű választott bírósági határozatért folyamodjon, xii. állami hatóságok jogszerű kérésére személyes adatok átadásának az előírása, beleértve a nemzetbiztonsági vagy bűnüldözési előírások teljesítését, és xiii. a felelőssége harmadik fél részére történő adattovábbítás esetén.

b.

Ezt a tájékoztatást világos és érthető megfogalmazásban kell megadni, az első alkalommal akkor, amikor az egyéneket felkérik arra, hogy a szervezet részére személyes információkat szolgáltasson, vagy azt követően a lehető legrövidebb időn belül, de minden esetben azt megelőzően, hogy a szervezet az ilyen információt más célra használná fel, mint amelyre az adatokat átadó szervezet eredetileg gyűjtötte vagy kezelte őket, vagy mielőtt harmadik félnek azokat először átadná.

2.   Választási lehetőség

a.

A szervezetnek választási lehetőséget (önkéntes kívülmaradás) kell felkínálnia az egyéneknek, hogy személyes adataikat i. átadják-e harmadik félnek; vagy ii. felhasználják-e olyan célra, amely lényegesen különbözik attól (azoktól) a cél(ok)tól, amely(ek)re eredetileg gyűjtötték az adatokat, vagy amelye(ke)t az egyén a későbbiekben engedélyezett. Az egyének számára egyértelmű, szembetűnő és könnyen hozzáférhető mechanizmusokat kell biztosítani a választási lehetőség gyakorolására.

b.	Az előző bekezdéstől eltérően nem szükséges választási lehetőséget biztosítani, amikor az adatközlés a feladato(ka)t a szervezet nevében és útmutatásai alapján végrehajtó, megbízottként eljáró harmadik fél részére történik. A szervezetnek azonban mindig szerződést kell kötnie a megbízottal.

c.

A különleges adatok tekintetében (ilyenek az egyén orvosi vagy egészségi állapotára, faji vagy etnikai hovatartozására, politikai véleményére, vallási vagy filozófiai meggyőződésére, szakszervezeti tagságára vagy szexuális életére vonatkozó személyes adatok) a szervezeteknek megerősítő kifejezett hozzájárulást (önkéntes részvétel) kell kapniuk az egyéntől, ha az információt i. harmadik fél számára átadják, vagy ii. a gyűjtés eredeti céljától, illetve az egyén által a választási lehetőségével élve a későbbiekben engedélyezett céltól eltérő célra használják fel. Ezenkívül a szervezetnek különleges adatként kell kezelnie minden olyan, harmadik féltől kapott információt, amelyet a harmadik fél érzékeny (különleges) adatként határoz meg és kezel.

3.   Elszámoltathatóság harmadik fél részére történő adattovábbításért

a.

Az információ adatkezelőként eljáró harmadik fél számára történő továbbításához a szervezeteknek alkalmazniuk kell az értesítés és a választási lehetőség elveit. A szervezeteknek szerződést kell kötniük a harmadik fél adatkezelővel, amely rendelkezik arról, hogy az ilyen adatok csak korlátozott és meghatározott célokra kezelhetők, amelyek összhangban vannak az egyén által adott hozzájárulással, valamint arról, hogy a címzett az elvekkel azonos szintű védelmet biztosít és értesíti a szervezetet, ha megállapítja, hogy már nem felel meg ennek a kötelezettségnek. A szerződés úgy rendelkezik, hogy ilyen megállapítás esetén a harmadik fél adatkezelő megszünteti az adatkezelést vagy egyéb ésszerű és megfelelő lépéseket tesz a védelem helyreállítására..

b.

A személyes adatok adatkezelőként eljáró harmadik fél számára történő továbbításához a szervezeteknek: i. az ilyen adatokat csak korlátozott és meghatározott célokra szabad átadniuk; ii. meg kell bizonyosodniuk arról, hogy a közvetítő köteles legalább olyan szintű adatvédelmet biztosítani, mint amit az elvek előírnak; iii. indokolt és megfelelő lépéseket kell tenniük annak biztosítására, hogy a közvetítő valóban a szervezet elvek szerinti kötelezettségeivel összhangban kezeli a továbbított személyes adatokat; iv. kötelezniük kell a megbízottat, hogy értesítse a szervezetet, ha megállapítja, hogy nem felel meg annak kötelezettségének, hogy az elvekben előírttal azonos szintű védelmet biztosítsa; v. kérésre – többek között iv. francia bekezdés szerinti esetben – indokolt és megfelelő lépéseket kell tenniük a jogosulatlan adatkezelés megszüntetése és az eredeti állapot helyreállítása érdekében; valamint vi. az adott megbízottal kötött szerződésük megfelelő adatvédelmi rendelkezéseinek összefoglalását vagy egy reprezentatív példányát kérésre át kell adniuk a Minisztériumnak.

4.   Biztonság

a.

A személyes adatokat létrehozó, fenntartó, felhasználó vagy terjesztő szervezeteknek indokolt és megfelelő intézkedéseket kell tenniük, hogy megóvják az információt az elvesztéstől, a visszaéléstől és a jogtalan hozzáféréstől, a nyilvánosságra hozataltól, a megváltoztatástól és a megsemmisítéstől, megfelelően figyelembe véve a kezeléssel járó kockázatokat és a személyes adatok természetét.

5.   Adatok sértetlensége és célhoz kötöttség

a.

Az elvekkel összhangban a személyes adatoknak olyan információkra kell korlátozódniuk, amelyek a kezelés célja szempontjából relevánsak (2). A szervezet nem dolgozhat fel személyes adatot a gyűjtés céljaival vagy az egyén által a későbbiekben engedélyezett célokkal összeegyeztethetetlen módon. A szervezetnek az ilyen célokhoz szükséges mértékben megfelelő lépéseket kell tennie annak biztosítására, hogy a személyes adatok a tervezett felhasználás szempontjából megbízhatók, pontosak, teljesek és naprakészek legyenek. A szervezetnek annyi ideig kell teljesítenie az elveket, amíg megőrzi az ilyen információkat.

b.

Az adatok kizárólag addig őrizhetők meg az egyént azonosító vagy annak azonosítására alkalmas formában (3), amíg ez az adatkezelés az 5. pont a. alpontja szerinti célját szolgálja. Ez a kötelezettség nem akadályozza meg, hogy a szervezet hosszabb időszakokon keresztül kezeljen személyes adatokat, amennyiben a szóban forgó adatkezelés ésszerűen szolgálja a közérdekű archiválás, újságírás, irodalom és művészet, tudományos és történeti kutatás, és statisztikai elemzés céljait. Ilyen esetekben az érintett adatkezelés egyéb elvek és a keretrendszer egyéb rendelkezéseinek hatálya alá tartozik. A szervezeteknek ésszerű és megfelelő intézkedéseket kell hozniuk, hogy e rendelkezésnek megfeleljenek.

6.   Hozzáférés

a.

Az egyéneknek hozzáféréssel kell rendelkezniük a valamely szervezet birtokában lévő, rájuk vonatkozó személyes adatokhoz, és lehetőségük kell, hogy legyen a pontatlan vagy az elvek megsértésével kezelt információk javítására, módosítására vagy törlésére, kivéve, ha az adott esetben a hozzáférés biztosításának terhe vagy költsége nem állna arányban az egyén adatvédelmi jogához fűződő kockázatokkal, vagy ha ezzel más személy jogait érné sérelem.

7.   Jogorvoslat, végrehajtás és felelősség

a.

A hatékony adatvédelemnek magában kell foglalnia az elvek teljesítését biztosító erős mechanizmusokat, a jogorvoslati jogot az elvek nemteljesítése által érintett egyének számára, valamint a szervezetre vonatkozó következményeket, amikor az elveket nem követi. Az ilyen mechanizmusoknak minimumkövetelményként tartalmazniuk kell: i. könnyen hozzáférhető független eljárási mechanizmusokat, amelyekkel minden egyes személy panaszait és vitáit az egyén számára ingyenesen és az elvekre hivatkozva meg lehet vizsgálni és gyorsan meg lehet oldani, és kártérítést lehet megítélni, ha az alkalmazandó jog vagy magánszektorbeli kezdeményezések ezt előírják; ii. nyomonkövetési eljárásokat annak ellenőrzésére, hogy a szervezetek által az adatvédelmi gyakorlataikról készített tanúsítványok és állítások helytállóak-e, és hogy az adatvédelmi gyakorlatokat úgy valósították-e meg, ahogyan azokat benyújtották, különös tekintettel a dokumentumokban foglaltak be nem tartásának eseteire; valamint iii. az elvek elfogadását kijelentő szervezetek részéről kötelezettséget az elvek be nem tartásából adódó problémák jogorvoslatára, valamint az ilyen szervezetekre vonatkozó következményeket. A szervezetek általi teljesítés biztosítása érdekében a szankcióknak kellőképpen szigorúaknak kell lenniük.

b.

A szervezetek és a kiválasztott független jogorvoslati mechanizmusok azonnal válaszolnak a Minisztériumnak az adatvédelmi pajzzsal kapcsolatos megkereséseire és információkéréseire. Valamennyi szervezetnek gyorsan kell válaszolnia az EU tagállamok hatóságai által a Minisztériumon keresztül az elvek betartására vonatkozóan benyújtott panaszokra. Azoknak a szervezeteknek, amelyek úgy döntöttek, hogy együttműködnek az adatvédelmi hatóságokkal, beleértve a humánerőforrás-adatokat kezelő szervezeteket, közvetlenül ezeknek a hatóságoknak kell válaszolniuk a panaszok kivizsgálása és megoldása során.

c.

A szervezetek kötelesek a panaszok választott bírósági rendezésére és az I. mellékletben meghatározott feltételek követésére, amennyiben egy egyén kötelező erejű választott bírósági határozatot kért – értesítést küldve az érintett szervezetnek, követve az I. mellékletben meghatározott eljárásokat, és betartva az ott meghatározott feltételeket.

d.

Harmadik fél részére történő adattovábbítás esetén az adatvédelmi pajzsban részt vevő szervezet felelős az általa az adatvédelmi pajzs alapján kapott és ezt követően a nevében tevékenykedő harmadik fél megbízottnak átadott személyes adatok kezeléséért. Az adatvédelmi pajzsban részt vevő szervezet marad a felelős az elvek alapján, amennyiben a megbízottja az ilyen személyes adatokat nem az elveknek megfelelően kezeli, kivéve, ha a szervezet bizonyítja, hogy nem felelős a károkozást előidéző eseményért.

e.

Ha az adatvédelmi pajzsban részt vevő szervezet nemteljesítés miatt az FTC vagy egy bíróság végzésének a hatálya alá kerül, a szervezetnek közzé kell tennie az FTC számára benyújtott megfelelési vagy értékelési jelentés adatvédelmi pajzsra vonatkozó minden részét, amennyiben az nem ellentétes a titoktartási előírásokkal. A Minisztérium egy kijelölt kapcsolattartó pontot létesített az adatvédelmi hatóságok számára az adatvédelmi pajzsban részt vevő szervezetek megfelelőségi problémáinak kezelésére. Az FTC elsőbbséggel vizsgálja a Minisztérium és az uniós tagállamok hatóságainak az elvek be nem tartása miatti megkereséseit, és a megkeresésekkel kapcsolatban megfelelő időben információt cserél a megkereső állami hatósággal, amennyiben az nem ellentétes a titoktartási korlátozásokkal.

III.   KIEGÉSZÍTŐ ELVEK

1.   Különleges adatok

a)

A szervezet nem köteles kifejezett megerősítő hozzájárulást (önkéntes részvétel) beszerezni a különleges adatokra vonatkozóan, ha az adatkezelés: i. az érintett vagy más személy létfontosságú érdekében áll; ii. jogszerű követelések vagy a védelem kialakításához szükséges; iii. egészségügyi ellátás vagy diagnózis nyújtásához szükséges; iv. politikai, filozófiai, vallási vagy szakszervezeti célú alapítvány, egyesület vagy bármilyen más nonprofit szerv törvényes tevékenysége során történik, és azzal a feltétellel, hogy a kezelés kizárólag a szervezet tagjaira vagy olyan személyekre vonatkozik, akik a céljaival összefüggésben rendszeres kapcsolatban állnak az adott szervezettel, és az adatokat az érintettek beleegyezése nélkül nem adják át harmadik félnek; v. a szervezetnek a munkajog területén fennálló kötelezettségei végrehajtása céljából szükséges; vagy vi. olyan adatokra vonatkozik, amelyeket az egyén kifejezetten nyilvánosságra hozott.

2.   Újságírói kivételek

a)

Tekintve az Egyesült Államokban a sajtószabadság alkotmányos védelmét és az irányelv szerinti mentességet az újságírói anyagra vonatkozóan, amennyiben az Egyesült Államok alkotmányának első kiegészítésében szereplő, a sajtószabadságra vonatkozó jog ütközik az adatvédelem érdekeivel, az első alkotmánykiegészítésnek kell szabályoznia ezen érdekek egyeztetését, tekintettel az egyesült államokbeli személyek vagy szervezetek tevékenységére.

b)

A közzétételre, rádió- vagy televízióműsorhoz vagy újságírói anyag nyilvános közlésének más formájához összegyűjtött személyes adatokra – akár felhasználják azokat, akár nem –, valamint a korábban közzétett anyagban talált, médiaarchívumból terjesztett információkra az adatvédelmi pajzs elvek követelményei nem vonatkoznak.

3.   Mögöttes felelősség

a)

Az internetszolgáltatók, a távközlési szolgáltatók és más szervezetek nem felelősek az adatvédelmi pajzs elvek alapján, amikor más szervezet nevében csupán közlik, továbbítják, átirányítják vagy tárolják az információt. Amint maga az irányelv, az adatvédelmi pajzs sem hoz létre mögöttes felelősséget. Amennyiben a szervezet a harmadik fél által továbbított adatok tekintetében csupán továbbító csatornaként jár el, és nem határozza meg e személyes adatok kezelésének céljait és eszközeit, nem felelős.

4.   Átvilágítás és auditálás végzése

a)	A könyvvizsgálók és befektetési bankárok tevékenysége az egyén beleegyezése vagy tudta nélküli személyesadat-kezeléssel is járhat. Ezt lehetővé teszik az értesítésre, a választási lehetőségre és a hozzáférésre vonatkozó elvek az alább leírt körülmények között.

b)

A nyilvánosan működő részvénytársaságok és a zártkörű részvénytársaságok – az adatvédelmi pajzsban részt vevő szervezeteket is beleértve – rendszeres auditáláson esnek át. Az ilyen auditálásokat – különösen az esetleges törvénysértést vizsgálókat – veszélyezteti, ha idő előtt közlik őket. Ugyanígy a lehetséges összeolvadásban vagy felvásárlásban érintett, adatvédelmi pajzsban részt vevő szervezetnek átvilágítást kell végez(tet)nie. Ez gyakran személyes adatok – pl. felső vezetők vagy más fontos beosztású személyek adatai – gyűjtésével és kezelésével jár. A túl korai közlés akadályozhatná a tranzakciót, vagy akár az értékpapírokra vonatkozó előírásokat is sérthetné. A befektetési bankárok és az átvilágításban részt vevő ügyvédek, vagy az auditálást végző könyvvizsgálók csak a törvényes vagy közérdekű követelményeknek való megfeleléshez szükséges mértékben és időtartamban kezelhetnek információt az egyén tudta nélkül, és olyan más körülmények között, amelyek esetén ezen elvek alkalmazása sértené a szervezet jogos érdekeit. Ezek a jogos érdekek magukban foglalják a szervezetek jogi kötelezettségei és törvényes számviteli tevékenységei teljesítésének folyamatos ellenőrzését, és a lehetséges akvizíciókkal, összeolvadásokkal, közös vállalkozásokkal vagy a befektetési bankárok vagy könyvvizsgálók által végrehajtott más hasonló ügyletekkel összefüggő titoktartás szükségességét.

5.   Az adatvédelmi hatóságok szerepe

a)

A szervezetek az uniós adatvédelmi hatóságokkal folytatott együttműködésre vonatkozó kötelezettségvállalásukat az alábbiakban leírt módon valósítják meg. Az adatvédelmi pajzs alapján az EU-ból személyes adatokat fogadó egyesült államokbeli szervezeteknek kötelezettséget kell vállalniuk az adatvédelmi pajzs elveinek teljesítését biztosító hatékony mechanizmusok alkalmazására. Konkrétan a jogorvoslati, végrehajtási és felelősségi elvben meghatározottak szerint a részt vevő szervezeteknek az alábbiakat kell biztosítaniuk: (a) i. jogorvoslati lehetőség azon egyének számára, akikre az adatok vonatkoznak; (a) ii. nyomonkövetési eljárások annak ellenőrzésére, hogy az általuk az adatvédelmi gyakorlataikról készített tanúsítványok és állítások helytállóak-e; (a) iii. az elvek nemteljesítéséből eredő problémák orvoslására vonatkozó kötelezettségek és az ilyen szervezetekre vonatkozó következmények. A szervezet eleget tehet a jogorvoslati, végrehajtási és felelősségi elv (a) pontja i. és iii. francia bekezdésének, ha elfogadja az adatvédelmi hatóságokkal történő együttműködésre vonatkozóan itt meghatározott előírásokat.

b)

A szervezet kötelezi magát az adatvédelmi hatóságokkal történő együttműködésre azáltal, hogy az adatvédelmi pajzs öntanúsítási beadványában bejelenti a Kereskedelmi Minisztériumnak (lásd: öntanúsításról szóló kiegészítő elv), hogy a szervezet: i. elhatározza, hogy az adatvédelmi hatóságokkal történő együttműködés révén eleget tesz az adatvédelmi pajzs jogorvoslati, végrehajtási és felelősségi elv (a) pontja i. és iii. francia bekezdésében meghatározott követelménynek; ii. együttműködik az adatvédelmi hatóságokkal az adatvédelmi pajzs alapján benyújtott panaszok kivizsgálásában és megoldásában; és iii. betartja az adatvédelmi hatóságoktól kapott valamennyi ajánlást, amennyiben az adatvédelmi hatóságok úgy látják, hogy a szervezetnek különleges intézkedést kell hoznia az adatvédelmi pajzs elveinek való megfeleléshez, beleértve a jogorvoslati vagy kártérítési intézkedéseket az elvek nemteljesítése által érintett egyének javára, és írásban erősíti meg az adatvédelmi hatóságok felé az ilyen intézkedés megtörténtét.

c)

Adatvédelmi hatósági testületek működése i. Az adatvédelmi hatóságok együttműködése tájékoztatás és tanácsadás formájában, a következőképpen valósul meg: 1. Az adatvédelmi hatóságok ajánlását az adatvédelmi hatóságok európai uniós szinten létrehozott nem hivatalos testülete kézbesíti, amely többek között segíti az összehangolt és összefüggő megközelítés biztosítását. 2. A testület ajánlást ad az Egyesült Államok egyénektől származó megoldatlan panaszokkal kapcsolatban érintett szervezeteinek az EU-ból az adatvédelmi pajzs alapján továbbított személyes információk kezelésére. Ez az ajánlás az adatvédelmi pajzs elvek helyes alkalmazását kívánja biztosítani, és magában foglal bármilyen, az érintett egyén(ek)re vonatkozó jogorvoslatot, amelyet az adatvédelmi hatóságok megfelelőnek tartanak. 3. A testület ilyen ajánlást az érintett szervezetek megkeresésére és/vagy a közvetlenül az egyénektől érkező, olyan szervezetek elleni panaszokra válaszul ad ki, amelyek az adatvédelmi pajzs céljainak megfelelően elkötelezték magukat az adatvédelmi hatóságokkal történő együttműködés mellett, miközben ösztönzi és szükség esetén első fokon segíti az ilyen egyének számára a belső panaszkezelési eljárások igénybevételét, amelyeket a szervezet nyújtani tud. 4. Az ajánlást csak azután adják ki, hogy a jogvitában érdekelt mindkét fél megfelelő lehetőséget kapott észrevételeinek előterjesztésére és a bemutatni kívánt bizonyítékok benyújtására. A testület törekszik arra, hogy a jogszerű eljárásra vonatkozó követelményhez mérten a lehető leggyorsabban elfogadja az ajánlást. Általános szabályként a testület arra törekszik, hogy a panasz vagy megkeresés kézhezvételét követő 60 napon belül – illetve, ha lehetséges, ennél gyorsabban – kiadja az ajánlást. 5. A testület közzéteszi a hozzá benyújtott panaszok vizsgálatának eredményeit, ha azt helyénvalónak találja. 6. Az ajánlás testület általi kiadása semmilyen kötelezettséget nem ró a testületre vagy az egyes adatvédelmi hatóságokra. ii. A fentiek szerint a jogviták megoldására ezt a lehetőséget választó szervezeteknek vállalniuk kell, hogy betartják az adatvédelmi hatóságok ajánlását. Ha a szervezet az átadástól számított 25 napon belül nem tesz eleget az ajánlásban foglaltaknak, és a késedelmet nem indokolja megfelelően, a testület értesítést küld azon szándékáról, hogy az ügyet a Szövetségi Kereskedelmi Bizottság, a Közlekedési Minisztérium vagy az Egyesült Államok más szövetségi vagy állami testülete elé viszi, amely végrehajtási hatáskörrel rendelkezik csalás vagy megtévesztés esetén, vagy hogy megállapítsa, hogy az együttműködési megállapodást súlyosan megszegték, és ezért azt semmisnek kell tekinteni. Az utóbbi esetben a testület tájékoztatja a Kereskedelmi Minisztériumot annak érdekében, hogy az adatvédelmi pajzs listát megfelelően módosíthassák. Az adatvédelmi hatóságokkal történő együttműködési kötelezettségvállalás bármilyen nemteljesítése, valamint az adatvédelmi pajzs elvek be nem tartása a Szövetségi Kereskedelmi Bizottságról szóló törvény 5. szakasza vagy más hasonló törvény alapján megtévesztő gyakorlatként perelhető lesz.

d)

Ha a szervezet az kívánja, hogy az adatvédelmi pajzs előnyei kiterjedjenek a munkaviszony keretében az EU-ból továbbított humánerőforrás-adatokra is, akkor kötelezettséget kell vállalnia, hogy együttműködik az adatvédelmi hatóságokkal az ilyen adatokkal kapcsolatban (lásd a humánerőforrás-adatokra vonatkozó kiegészítő elvet).

e)

Az ezt a lehetőséget választó szervezeteknek éves díjat kell fizetniük, amely a testület működési költségeinek fedezésére szolgál; ezenkívül adott esetben vállalniuk kell a szükséges fordítási költségeket, amelyek a testületnél a kérelmek elbírálásából vagy a szervezetekkel szemben felmerülő panaszokból adódnak. Az éves díj nem haladja meg az 500 USD-t, és kisebb vállalkozások esetében ennél kevesebb lesz.

6.   Öntanúsítás

a)	Az adatvédelmi pajzs előnyök attól a naptól fogva biztosítottak, hogy a Minisztérium – miután megállapította, hogy a beadvány hiánytalan – a szervezet öntanúsítási beadványát feltette az adatvédelmi pajzs listára.

b)

Az adatvédelmi pajzsra vonatkozó öntanúsításhoz a szervezet az adatvédelmi pajzshoz csatlakozó szervezet nevében eljáró vállalkozás tisztségviselője által aláírt levelet küldhet a Minisztériumnak, amely legalább a következő adatokat tartalmazza: i. a szervezet neve, levélcíme, e-mail címe, telefon- és telefaxszámai; ii. a szervezet tevékenységeinek leírása, tekintettel az EU-ból kapott személyes adatokra; és iii. a szervezet személyes adatokra vonatkozó adatvédelmi szabályzatának leírása, beleértve a következőket: 1. ha a szervezetnek van nyilvános honlapja, akkor a honlap címe, ahol az adatvédelmi szabályzat elérhető, vagy ha a szervezet nem rendelkezik nyilvános honlappal, akkor a hely, ahol megtekinthető az adatvédelmi szabályzat a nyilvánosság számára; 2. a bevezetés tényleges időpontja; 3. a panaszokat, hozzáférési kérelmeket és az adatvédelmi pajzzsal kapcsolatban felmerülő bármilyen kérdést kezelő kapcsolattartó iroda; 4. az az állami szerv, amelynek hatásköre van a szervezet ellen esetleges tisztességtelen vagy megtévesztő gyakorlat, valamint az adatvédelmet szabályozó törvények és rendeletek megsértése ügyében benyújtott panaszok kivizsgálására (és amely szerv az elvekben vagy az elvek jövőbeli mellékletében fel van sorolva); 5. bármely olyan adatvédelmi program neve, amelynek a szervezet tagja; 6. az ellenőrzés módszere (pl. házon belül, harmadik fél által) (lásd az ellenőrzésről szóló kiegészítő elvet); és 7. a független jogorvoslati mechanizmus, amely a megoldatlan panaszok kivizsgálására rendelkezésre áll.

c)

Amennyiben a szervezet az adatvédelmi pajzs előnyeit ki akarja terjeszteni az Európai Unióból átadott, a munkaviszonnyal összefüggésben felhasználásra kerülő humánerőforrás-adatokra, ezt akkor teheti meg, ha van olyan, az elvekben vagy az elvek jövőbeli mellékletében felsorolt hatósági szerv, amely joghatósággal bír a szervezet ellen humánerőforrás-adatok kezelésével kapcsolatban felmerülő panaszok kivizsgálására. Ezen túlmenően a szervezetnek ezt jeleznie kell az öntanúsítási beadványában, és ki kell jelentenie az EU érintett hatóságával vagy hatóságaival való együttműködésre vonatkozó kötelezettségvállalását a humánerőforrás-adatokra és az adatvédelmi hatóságokra vonatkozó kiegészítő elvnek megfelelően, valamint azt, hogy követi a szóban forgó hatóságok ajánlását. A szervezetnek át kell adnia a Minisztérium számára a humán erőforrásra vonatkozó adatvédelmi szabályzatának egy példányát, és tájékoztatást kell adnia arról, hol tekinthető meg az adatvédelmi szabályzat az érintett alkalmazottai számára.

d)

A Minisztérium adatvédelmi pajzs listát tart fenn azokról a szervezetekről, amelyek öntanúsítást tartalmazó beadványt nyújtottak be, ezáltal biztosítva az adatvédelmi pajzs előnyök hozzáférhetőségét, és az éves ismételt öntanúsítások és a vitarendezésről és végrehajtásról szóló kiegészítő elv szerint kapott értesítések alapján frissíti ezt a listát Az ilyen öntanúsításokat legalább évente kell benyújtani; ellenkező esetben a szervezetet törlik az adatvédelmi pajzs listáról, és az adatvédelmi pajzs előnyök már nem lesznek biztosítottak számára. Mind az adatvédelmi pajzs listát, mind a szervezetek öntanúsítási beadványait nyilvánosan közzéteszik. Minden olyan szervezetnek, amelyet a Minisztérium felvett az adatvédelmi pajzs listára, az erre vonatkozóan közzétett adatvédelem-politikai nyilatkozatában szintén ki kell jelentenie, hogy betartja az adatvédelmi pajzs elveket. Ha a szervezet adatvédelmi szabályzata online elérhető, tartalmaznia kell a Minisztérium adatvédelmi pajzs honlapjára mutató hiperlinket, valamint a megoldatlan panaszok kivizsgálására rendelkezésre álló független jogorvoslati mechanizmus honlapjára vagy panaszbenyújtási formanyomtatványára mutató hiperlinket.

e)

Az adatvédelmi elvek közvetlenül a tanúsítás után már alkalmazandók. Mivel az elvek harmadik felekkel folytatott kereskedelmi kapcsolatokat érintenek, az adatvédelmi pajzs keretrendszerben a keretrendszer hatálybalépését követő első két hónap során tanúsító szervezeteknek a harmadik felekkel fennálló kereskedelmi kapcsolataikat a lehető legrövidebb időn belül, de legkésőbb kilenc hónappal azt követően, hogy tanúsították az adatvédelmi pajzs megfelelésüket, összhangba kell hozniuk a harmadik fél részére történő adattovábbításokért való elszámoltathatóságra vonatkozó elvvel. Az átmeneti időszak során, amikor a szervezetek harmadik felek számára adatokat adnak át, i. alkalmazniuk kell az értesítési és választási lehetőség elveket, és ii. amennyiben személyes adatokat továbbítanak megbízottként működő harmadik felek számára, meg kell bizonyosodniuk arról, hogy a megbízott köteles legalább ugyanolyan szintű védelmet nyújtani, mint amelyet az elvek előírnak.

f)

A szervezetnek alkalmaznia kell az elveket valamennyi személyes adatra, amelyet az Európai Unióból az adatvédelmi pajzs keretében kapott. Az adatvédelmi pajzs elvek betartására vonatkozó kötelezettségvállalást nem kötik időkorláthoz az azon idő alatt fogadott személyes adatok tekintetében, amíg a szervezet élvezi az adatvédelmi pajzs előnyeit. A szervezet kötelezettségvállalása azt jelenti, hogy továbbra is alkalmazza az elveket az ilyen adatok esetében mindaddig, amíg tárolja, felhasználja vagy nyilvánosságra hozza azokat, még akkor is, ha a későbbiekben bármilyen okból elhagyja az adatvédelmi pajzsot. Annak a szervezetnek, amely kilép az adatvédelmi pajzsból, de meg akarja őrizni ezeket az adatokat, évente meg kell erősítenie a Minisztérium számára a kötelezettségvállalását, hogy továbbra is alkalmazza az elveket vagy más engedélyezett módon „megfelelő” védelmet nyújt az információt számára (például olyan szerződés alkalmazásával, amely teljes körűen tükrözi a megfelelő általános szerződési feltételeket, amelyeket az Európai Bizottság elfogadott); ellenkező esetben a szervezetnek vissza kell küldenie vagy törölnie kell az információkat. Annak a szervezetnek, amely kilép az adatvédelmi pajzsból, törölnie kell a vonatkozó adatvédelmi szabályzatából az adatvédelmi pajzsra való hivatkozást, amely arra utal, hogy a szervezet továbbra is aktívan részt vesz az adatvédelmi pajzsban, és jogosult annak előnyeire.

g)

Annak a szervezetnek, amely összeolvadás vagy felvásárlás eredményeként megszűnik önálló jogi személyként létezni, előzetesen értesítenie kell a Minisztériumot erről. Az értesítésben jeleznie kell azt is, hogy a felvásárló jogi személy vagy az összeolvadás eredményeként létrejött jogi személy i. továbbra is betartja az adatvédelmi pajzs elveket a felvásárlást vagy összeolvadást szabályozó törvény rendelkezése alapján; vagy ii. úgy dönt, hogy önmaga tanúsítja az adatvédelmi pajzs elvek betartását vagy helyettük más biztosítékokat vezet be, például írásos megállapodást, amely biztosítja az adatvédelmi pajzs elvek betartását. Amennyiben sem az i., sem a ii. francia bekezdés nem alkalmazandó, az adatvédelmi pajzs keretében megszerzett valamennyi személyes adatot haladéktalanul törölni kell.

h)

Annak a szervezetnek, amely bármely okból kilép az adatvédelmi pajzsból, törölnie kell minden olyan állítást, amely arra utal, hogy a szervezet továbbra is részt vesz az adatvédelmi pajzsban, vagy jogosult az adatvédelmi pajzs előnyeire. Az EU-USA adatvédelmi pajzs tanúsító védjegyet, amennyiben használták, szintén törölni kell. Ha a szervezet hamisan tájékoztatja a közvéleményt az adatvédelmi pajzs elvek betartásával kapcsolatban, a szervezet az FTC vagy más illetékes kormányzati szerv részéről perelhető. A Minisztériumnak adott megtévesztő közlések a hamis nyilatkozatokról szóló törvény (18 U. S. C. § 1001) alapján perelhetők.

7.   Ellenőrzés

a)

A szervezeteknek gondoskodniuk kell nyomonkövetési eljárásokról annak az ellenőrzésére, hogy azok a tanúsítások és állítások, amelyeket az adatvédelmi pajzs szerinti adatvédelmi gyakorlatukról készítenek, megfelelnek-e a valóságnak, és megvalósításuk a tényállításokkal és az adatvédelmi pajzs elvekkel összhangban történik-e.

b)	Ahhoz, hogy a jogorvoslati, végrehajtási és felelősségi elv ellenőrzési követelményeinek megfeleljen, a szervezetnek az ilyen tanúsításokat és állításokat vagy önértékeléssel, vagy külső megfelelőségi felülvizsgálati eljárásokkal kell ellenőriznie.

c)

Az önértékelési megközelítés szerint az ilyen ellenőrzésnek jeleznie kell, hogy a szervezetnek az EU-ból fogadott személyes információkra vonatkozó, közzétett adatvédelmi szabályzata pontos, átfogó, jól látható módon bemutatott, teljes mértékben végrehajtott és hozzáférhető. Azt is jeleznie kell, hogy az adatvédelmi szabályzata megfelel az adatvédelmi pajzs elveinek; hogy az egyéneket tájékoztatják a panaszok kezelésére szolgáló bármilyen belső szabályzatról, valamint azokról a független mechanizmusokról, amelyeken keresztül panaszt tehetnek; hogy tartalmaz az alkalmazottak oktatására vonatkozó eljárást a végrehajtást illetően, valamint fegyelmi eljárásokat az adatvédelmi szabályzat követésének elmulasztása esetére; és hogy tartalmaz belső eljárásokat a fentiek teljesítésének időszakos tárgyilagos vizsgálatára. Az önértékelést hitelesítő nyilatkozatot a vállalkozás egy tisztségviselőjének vagy a szervezet más meghatalmazottjának kell aláírnia legalább évente egyszer, és az egyének kérelmére, illetve vizsgálattal vagy a teljesítés elmulasztására vonatkozó panasszal összefüggésben hozzáférhetővé kell tennie.

d)

Amennyiben a szervezet a külső megfelelőségi felülvizsgálatot választja, az ilyen felülvizsgálati eljárásnak be kell mutatnia, hogy a szervezetnek az EU-ból fogadott személyes adatokra vonatkozó adatvédelmi szabályzata összhangban van az adatvédelmi pajzs elvekkel, azoknak megfelel, valamint az egyéneket tájékoztatták azokról a mechanizmusokról, amelyeken keresztül panaszt tehetnek. A felülvizsgálat módszerei korlátlanul magukban foglalhatják az ellenőrzést, szúrópróbaszerű felülvizsgálatokat, „csapdák” használatát, vagy adott esetben technikai eszközök használatát. A külső megfelelőségi felülvizsgálat sikeres befejezését hitelesítő nyilatkozatot vagy a felülvizsgálatot végző személynek, vagy a vállalkozás valamelyik tisztségviselőjének vagy a szervezet más meghatalmazottjának kell aláírnia legalább évente egyszer, és az egyének kérésére, illetve egy vizsgálattal vagy a teljesítéssel kapcsolatos panasszal összefüggésben rendelkezésre kell bocsátani.

e)

A szervezeteknek meg kell őrizniük az adatvédelmi pajzs adatvédelmi gyakorlatuk végrehajtásáról szóló nyilvántartásaikat, és kérésre, vizsgálattal vagy a teljesítés elmulasztására vonatkozó panasszal összefüggésben a panaszok kivizsgálásért felelős független szerv vagy a tisztességtelen és megtévesztő gyakorlatok esetében illetékes hivatal számára hozzáférhetővé kell tenniük. A szervezeteknek azonnal válaszolniuk kell az elvek általuk történő betartására vonatkozó minisztériumi megkeresésekre és más információkérésekre.

8.   Hozzáférés

a)   A hozzáférési elv a gyakorlatban

i.

Az adatvédelmi pajzs elvek alapján a hozzáférési jog az adatvédelem alapvető eleme. Különösen azt teszi lehetővé az egyének számára, hogy ellenőrizzék a róluk tárolt információ pontosságát. A hozzáférési elv azt jelenti, hogy az egyénnek az alábbi jogai vannak: 1. visszajelzést kapni a szervezettől, hogy a szervezet kezel-e rá vonatkozó személyes adatokat (4); 2. közöljék vele az ilyen adatokat annak érdekében, hogy ellenőrizni tudja azok pontosságát és az adatkezelés jogszerűségét; és 3. az adatokat javíttathatja, módosíttathatja vagy töröltetheti, amennyiben azok pontatlanok vagy az elvek megsértésével kezelték azokat.

ii.

Az egyéneknek azonban nem kell indokolniuk a személyes adataikhoz való hozzáférés iránti kérelmüket. Egyének hozzáférés iránti kérésére reagálva a szervezeteknek először azt kell megtudniuk, hogy mi vezetett elsősorban a kérelemhez. Ha például a hozzáférési kérelem bizonytalan vagy túl általános területre vonatkozik, a szervezet párbeszédet kezdhet az egyénnel, hogy jobban megértse a kérelem indítékát és behatárolja a válaszinformációt. A szervezet kérdéseket tehet fel arra vonatkozóan, hogy az egyén a szervezet mely részével/részeivel állt kapcsolatban, illetve milyen jellegű az információ (vagy felhasználása), amely a hozzáférés iránti kérelem tárgyát képezi.

iii.

A hozzáférés alapvető jellegének megfelelően a szervezeteknek mindig jóhiszeműen törekedniük kell a hozzáférés biztosítására. Ha például bizonyos információ védelemre szorul, és könnyen elkülöníthető más, a hozzáférés iránti kérelem tárgyát képező személyes információtól, a szervezetnek el kell takarnia a védett adatokat, és hozzáférhetővé kell tennie a többi adatot. Ha a szervezet úgy határoz, hogy a hozzáférést egy adott esetben korlátozni kell, a hozzáférést kérő egyén számára magyarázatot kell adnia a döntéséről, és a további megkeresésekhez egy kapcsolattartási pontot kell kijelölnie számára.

b)   A hozzáférés biztosításának terhe vagy költsége

i.

A személyes adatokhoz való hozzáférés joga csak kivételes körülmények esetén korlátozható, amennyiben ezzel más személy jogait érné sérelem, vagy a hozzáférés biztosításának terhe vagy költsége nem állna arányban az adott esetben az egyén adatvédelmi jogának a kockázatával. A költség és a teher fontos tényezők, amelyeket figyelembe kell venni, de nem meghatározó tényezők annak megállapításában, hogy a hozzáférés biztosítása indokolt-e.

ii.

Ha például a személyes adatot olyan döntésekre használják, amelyek jelentős hatással vannak az egyénre (pl. fontos juttatások megtagadása vagy megadása, mint például biztosítás, jelzáloghitel vagy állás), akkor – e kiegészítő elvek más rendelkezéseivel összhangban – a szervezetnek akkor is fel kell fednie az információt, ha ez viszonylag bonyolult vagy költséges. Ha a kért információ nem különleges adat, vagy azt nem olyan döntésekhez használják, amelyek jelentős hatással vannak az egyénre, ezzel szemben azonnal hozzáférhető, és biztosítása nem költséges, a szervezetnek biztosítania kell a hozzáférést az ilyen információkhoz.

c)   Bizalmas kereskedelmi információk

i.

A bizalmas kereskedelmi információ olyan információ, amelynek nyilvánosságra hozataltól való megvédésére a szervezet lépéseket tett, ha annak nyilvánosságra kerülése segítené a piaci versenytársat. A szervezet megtagadhatja vagy korlátozhatja a hozzáférést, amennyiben annak engedélyezése a fent meghatározott saját bizalmas kereskedelmi információját – mint például a szervezet által létrehozott marketingkövetkeztetéseket vagy osztályozásokat, vagy mások bizalmas kereskedelmi információját – feltárná, amennyiben az ilyen információ szerződéses titoktartási kötelezettség alá tartozik.

ii.	Amennyiben a bizalmas kereskedelmi információ könnyen elkülöníthető más, hozzáférés iránti kérelem tárgyát képező személyes információktól, a szervezetnek el kell takarnia a bizalmas kereskedelmi adatokat, és rendelkezésre kell bocsátania a nem bizalmas információt.

d)   Adatbázisok létrehozása

i.	A szervezet biztosíthat hozzáférést az egyén számára történő megfelelő személyes adatok átadása formájában; nem követelmény az egyén hozzáférése a szervezet adatbázisához.

ii.	A hozzáférés biztosítása csak azon a szinten szükséges, ahogyan a szervezet tárolja a személyes információt. Maga a hozzáférési elv nem jelent semmilyen kötelezettséget a személyesadat-állományok megőrzésére, karbantartására, újjászervezésére vagy átszerkesztésére.

e)   Mikor korlátozható a hozzáférés

i.

Mivel a szervezeteknek mindig jóhiszeműen törekedniük kell arra, hogy az egyéneknek hozzáférést biztosítsanak a személyes adataikhoz, a szervezetek csak meghatározott körülmények esetén korlátozhatják a hozzáférést, és a hozzáférés korlátozására vonatkozó indoknak mindig meghatározottnak kell lennie. Csakúgy mint az irányelv szerint, a szervezet korlátozhatja az információhoz való hozzáférést, amennyiben a megismerése valószínűleg fontos közérdekek – például nemzetbiztonság, honvédelem, közbiztonság – védelmével ütközne. Ezen túlmenően, amennyiben a személyes információt kizárólag kutatási vagy statisztikai célokra dolgozzák fel, a hozzáférés megtagadható. A hozzáférés megtagadásának vagy korlátozásának más indokai: 1. a törvény végrehajtásába vagy érvényesítésébe, illetve magánkereseti jogalapokba való beavatkozás, beleértve a bűncselekmények megelőzését, kivizsgálását vagy felderítését, illetve a tisztességes eljáráshoz való jogot; 2. amennyiben felfedés esetén mások törvényes jogai vagy érdekei sérülnének; 3. törvényes vagy más szakmai kiváltság vagy kötelezettség megsértése; 4. munkavállalói biztonsági vizsgálatok vagy panaszeljárások, vagy a munkavállalói utánpótlás-tervezéssel és vállalkozás-átszervezésekkel kapcsolatos eljárások hátrányos befolyásolása; vagy 5. a biztos irányítással összefüggő folyamatos ellenőrzéssel, felülvizsgálattal vagy szabályozó funkciókkal összefüggésben vagy a szervezet részvételével a jövőben vagy jelenleg folyamatban levő tárgyalások során szükséges titkosság hátrányos befolyásolása.

ii.	A kivételre igényt tartó szervezetnek igazolnia kell annak alkalmazhatóságát, és az egyének számára meg kell jelölni a hozzáférés korlátozásának indokait és a további megkeresésekhez a kapcsolattartási pontot.

f)   Visszaigazoláshoz való jog és díj felszámításának joga a hozzáférés költségének fedezésére

i.	Az egyénnek joga van visszaigazolást kérni arról, hogy a szervezet birtokában van-e rá vonatkozó személyes adat. Az egyénnek joga van a rá vonatkozó személyes adatokat megismerni. A szervezetek felszámíthatnak díjat, feltéve, hogy az nem túlzott.

ii.	A díj felszámítása például akkor lehet indokolt, ha a hozzáférés kérése egyértelműen túlzott, különösen az ismétlődő jellege miatt.

iii.	A hozzáférés nem utasítható vissza a költségre hivatkozva, ha az egyén felajánlotta a költségek megfizetését.

g)   Ismétlődő vagy zaklató hozzáférés iránti kérelmek

A szervezetek ésszerű korlátokat határozhatnak meg arra, hogy adott időtartamon belül egy adott személy hozzáférési kérései hányszor teljesíthetők. Az ilyen korlátozások megállapításakor a szervezetnek figyelembe kell vennie az olyan tényezőket, mint az információ frissítésének gyakorisága, az adatok felhasználásának célja, valamint az információ jellege.

h)   Hozzáférésre irányuló csalárd kérelem

A szervezet nem köteles a hozzáférést megadni addig, amíg nem rendelkezik elegendő információval ahhoz, hogy a kérelmező személyazonosságát megállapítsa.

i)   Válaszadási határidő

A szervezetnek ésszerű időn belül, ésszerű módon válaszolnia kell a hozzáférésre irányuló kérelmekre – olyan formában, amely könnyen érthető az egyén számára. Az érintettek számára rendszeresen információt biztosító szervezet teljesítheti az egyén hozzáférésre irányuló kérelmét rendszeres adatszolgáltatással, ha az nem jelent túlzott késedelmet.

9.   Humánerőforrás-adatok

a)   Az adatvédelmi pajzs adatköre

i.

Amennyiben az EU-ban letelepedett szervezet (korábbi vagy jelenlegi) munkavállalóiról a munkaviszonnyal kapcsolatban gyűjtött személyes információkat továbbítja az adatvédelmi pajzsban részt vevő anya-, leányvállalatnak vagy hozzá nem tartozó szolgáltatónak az Egyesült Államokba, a továbbítás élvezi az adatvédelmi pajzs előnyeit. Ilyen esetekben az információ gyűjtése és a továbbítást megelőző kezelése annak az uniós országnak a nemzeti joga alá tartozik, ahol azt összegyűjtötték, és a továbbításra vonatkozó feltételeket és korlátozásokat azon jog szerint kell figyelembe venni.

ii.

Az adatvédelmi pajzs elvek kizárólag egyedileg azonosított vagy azonosítható adatok továbbítása vagy azokhoz való hozzáférés esetén alkalmazandók. Az összesített foglalkoztatási adatokra és a személyes adatokat nem tartalmazó vagy név nélküli adatok felhasználására támaszkodó statisztikai jelentés adatvédelmi aggályokra nem ad okot.

b)   Az értesítési és választási lehetőség elvek alkalmazása

i.

Bármely egyesült államokbeli szervezet, amely az adatvédelmi pajzs alapján az Európai Unióból munkavállalókra vonatkozó információt kapott, azt csak az értesítési és választási lehetőség elvvel összhangban fedheti fel harmadik fél számára vagy használhatja fel különböző célokra. Ha például egy szervezet a munkaviszonyon keresztül összegyűjtött személyes információt nem munkaviszonnyal összefüggő célokra – például marketingértesítésekre – szándékozik felhasználni, akkor az egyesült államokbeli szervezetnek az előírt választási lehetőséget kell biztosítania az érintett magánszemélyek számára, mielőtt így tenne, kivéve, ha azok már engedélyezték az információ ilyen célú felhasználását. E felhasználás nem lehet összeegyeztethetetlen azokkal a célokkal, amelyek érdekében a személyes adatokat gyűjtötték, vagy amelyeket az egyén később engedélyezett. Ezenfelül az ilyen választási lehetőségeket tilos a foglalkoztatási alkalmak korlátozására vagy az ilyen alkalmazottakkal szemben bármilyen megtorló intézkedés alkalmazására felhasználni.

ii.	Meg kell jegyezni, hogy egyes, a néhány EU tagállamból történő továbbítás tekintetében általánosan alkalmazható feltételek kizárhatják az ilyen információ felhasználását más célokra, még az EU-n kívüli továbbítást követően is, és az ilyen feltételeket tiszteletben kell tartani.

iii.

Ezen túlmenően, a munkaadóknak ésszerű erőfeszítéseket kell tenniük, hogy igazodjanak a munkavállalók adatvédelmi érdekeihez. Ez jelentheti például a személyes adatokhoz való hozzáférés korlátozását, bizonyos adatok névtelenítését, vagy kódok vagy álnevek hozzárendelését, ha az adott igazgatási célhoz nincs szükség a valódi nevekre.

iv.	Olyan mértékben és arra az időtartamra, amely annak érdekében szükséges, hogy a szervezet lehetőségei ne csorbuljanak az előléptetések, kinevezések vagy más hasonló foglalkoztatási döntések meghozatala során, a szervezetnek nem szükséges felajánlania az értesítést és a választási lehetőséget.

c)   A hozzáférési elv alkalmazása

A hozzáférésről szóló kiegészítő elv útmutatást ad azokról az indokokról, amelyek igazolhatják a hozzáférés iránti kérelem megtagadását vagy korlátozását a humán erőforrások összefüggésében. Természetesen az Európai Unióban a munkaadóknak a helyi rendeleteknek kell megfelelniük, és biztosítaniuk kell, hogy az európai unióbeli alkalmazottak a saját országaik jogszabályaiban előírtaknak megfelelően hozzáférjenek az ilyen információhoz, az adatfeldolgozás és a tárolás helyszínétől függetlenül. Az adatvédelmi pajzs megköveteli, hogy az ilyen adatokat az Egyesült Államokban kezelő szervezet együttműködjön az ilyen hozzáférés biztosításában vagy közvetlenül, vagy az EU-beli munkaadón keresztül.

d)   Végrehajtás

i.

Amennyiben a személyes információt csak a munkaviszonnyal összefüggésben használják fel, a munkavállalóval szemben az adatokért az elsődleges felelősség az EU-beli szervezeté marad. Ebből következik, hogy, amennyiben az európai munkavállalók adatvédelmi jogaik megsértésére vonatkozó panaszokkal élnek, és nincsenek megelégedve a belső felülvizsgálati, panasz- és fellebbezési eljárások (vagy egy szakszervezettel kötött szerződés alá tartozó bármilyen alkalmazható jogorvoslati eljárás) eredményeivel, akkor az alkalmazott munkahelye szerint illetékes állami vagy nemzeti adatvédelmi vagy munkaügyi hatósághoz kell irányítani őket. Ez magában foglalja azokat az eseteket is, amikor a személyes dat vélelmezett helytelen kezelésének a felelőssége azé az egyesült államokbeli szervezeté, amely az információt a munkaadótól kapta, ilyenformán az adatvédelmi pajzs elvek vélelmezett megsértését jelenti. Ez lesz a leghatékonyabb módja a helyi munkajog és munkaügyi megállapodások, valamint az adatvédelmi jogszabályok által előírt, egymást gyakran átfedő jogok és kötelezettségek teljesítésének.

ii.

Az Egyesült Államokban az adatvédelmi pajzsban részt vevő szervezetnek, amely az Európai Unióból továbbított európai unióbeli humánerőforrás-adatokat használ fel a munkaviszonnyal összefüggésben, és amely az ilyen adattovábbításokat az adatvédelmi pajzs keretébe kívánja helyezni, ezért el kell köteleznie magát az EU illetékes hatóságai által elvégzett vizsgálatokban való együttműködésre, valamint azok ajánlásainak követésére az ilyen esetekben.

e)   Az elszámoltathatóság harmadik fél részére történő adattovábbításért elv alkalmazása

Az adatvédelmi pajzsban részt vevő szervezet foglalkoztatással kapcsolatos, az adatvédelmi pajzs keretében továbbított személyes adatokra vonatkozó alkalmi igényei esetén, pl. repülőút, szállodai szoba foglalása, biztosítás kötése, kisszámú munkavállaló személyes adatai továbbíthatók adatkezelők számára a hozzáférési elv alkalmazása nélkül vagy a harmadik fél adatkezelővel kötött szerződés nélkül, amit egyébként megkövetel az elszámoltathatóság harmadik fél részére történő adattovábbításért elv, amennyiben az adatvédelmi pajzsban részt vevő szervezet betartotta az értesítés és a választási lehetőség elvét.

10.   Harmadik fél részére történő adattovábbításra vonatkozó kötelező szerződések

a)   Adatkezelési szerződések

i.	Amikor kizárólag kezelés céljából továbbítanak személyes adatokat az Európai Unióból az Egyesült Államokba, szükség van szerződésre, tekintet nélkül az adatkezelő adatvédelmi pajzsban való részvételére.

ii.

Az Európai Unióban az adatkezelőktől mindig megkövetelik a szerződés megkötését, amikor pusztán adatkezelési célú továbbítás történik, akár az EU-n belül, akár azon kívül végzik el az adatkezelési műveletet, függetlenül attól, hogy az adatkezelő részt vesz-e az adatvédelmi pajzsban. A szerződés célja annak biztosítása, hogy az adatot kezelő személy: 1. kizárólag az adatkezelő utasítása alapján jár el; 2. megfelelő technikai és szervezési intézkedéseket tesz a személyes adatok véletlen vagy jogellenes megsemmisülése, véletlen elvesztése, megváltoztatása, jogosulatlan nyilvánosságra hozatala vagy hozzáférése elleni védelme érdekében, és tudatában van, hogy a harmadik fél részére történő adattovábbítás engedélyezett-e; valamint 3. figyelembe véve az adatkezelés jellegét, segít az adatkezelőnek az elvek szerinti jogaikat gyakorló egyéneknek történő válaszadásban.

iii.

Mivel az adatvédelmi pajzsban részt vevők megfelelő védelmet biztosítanak, az adatvédelmi pajzsban részt vevőkkel pusztán adatkezelésre vonatkozóan kötött szerződések előzetes engedélyezésére nincs szükség (vagy az ilyen engedélyt az uniós tagállamok automatikusan megadják), ami egyébként az adatvédelmi pajzsban részt nem vevő vagy megfelelő védelmet másként nem biztosító adatátvevőkkel való szerződések esetében szükséges lenne.

b)   Adattovábbítás vállalatok vagy jogi személyek ellenőrzött csoportján belül

Amikor személyes adatokat továbbítanak vállalatok vagy jogi személyek ellenőrzött csoportján belül, nem mindig szükséges szerződés az elszámoltathatóság harmadik fél részére történő adattovábbításért elv alapján. Vállalatok vagy jogi személyek ellenőrzött csoportján belül az adatkezelők az adattovábbítást más eszközök – köztük kötelező erejű uniós vállalati szabályok vagy más csoporton belüli eszközök (pl. megfelelőségi vagy ellenőrzési programok) – alapján is végezhetik, amelyek biztosítják a személyes adatok védelmének a folytonosságát az adatvédelmi pajzs elvei szerint. Ilyen adattovábbítás esetén az adatvédelmi pajzsban részt vevő szervezet marad a felelős az adatvédelmi pajzs elveinek teljesítéséért.

c)   Adatkezelők közötti adattovábbítás

Adatkezelők közötti adattovábbítás esetén a címzett adatkezelőnek egy adatvédelmi pajzsban részt vevő szervezetnek kell lennie, vagy rendelkeznie kell független jogorvoslati mechanizmussal. Az adatvédelmi pajzsban részt vevő szervezetnek szerződést kell kötnie a címzett harmadik fél adatkezelővel, amely ugyanolyan szintű védelemről rendelkezik, mint amilyen az adatvédelmi pajzs keretében rendelkezésre áll, ide nem értve azt az előírást, hogy a harmadik fél adatkezelő egy adatvédelmi pajzsban részt vevő szervezet legyen vagy rendelkezzen független jogorvoslati mechanizmussal, feltéve, hogy elérhetővé tesz egy ezzel egyenértékű mechanizmust.

11.   Vitarendezés és végrehajtás

a)   A jogorvoslati, végrehajtási és felelősségi elv megállapítja az adatvédelmi pajzs végrehajtására vonatkozó követelményeket. Az elv a) pontja ii. francia bekezdése szerinti követelményeknek való megfelelést a hitelesítésről szóló kiegészítő elv határozza meg. Ez a kiegészítő elv az a) pont i. és iii. francia bekezdésével foglalkozik; mindkét esetben független jogorvoslati mechanizmusra van szükség. Ezek a mechanizmusok különböző formákat ölthetnek, de meg kell felelniük a jogorvoslati, végrehajtási és felelősségi elv követelményeinek. A szervezetek a követelményeknek a következőkön keresztül tesznek eleget: i. magánszektor által kifejlesztett adatvédelmi programok teljesítése, amelyek az adatvédelmi pajzs elveket belefoglalják szabályaikba, és a jogorvoslati, végrehajtási és felelősségi elvben leírt típusú, hatékony végrehajtási mechanizmusokat tartalmaznak; ii. alkalmazkodás a törvényi vagy szabályozó felügyeleti hatóságokhoz, amelyek rendelkeznek az egyedi panaszok kezeléséről és a jogviták rendezéséről; vagy iii. kötelezettségvállalás az Európai Unióban lévő adatvédelmi hatóságokkal vagy meghatalmazott képviselőikkel való együttműködésre.

b)   E felsorolás szándéka a szemléltetés, nem a korlátozás. A magánszektor a végrehajtás biztosítására további mechanizmusokat is tervezhet, amennyiben azok megfelelnek a jogorvoslati, végrehajtási és felelősségi elv és a kiegészítő elvek követelményeinek. Meg kell jegyezni, hogy a jogorvoslati, végrehajtási és felelősségi elv követelményei arra vonatkozó követelményeken túl alkalmazandók, hogy az önszabályozó törekvéseknek a Szövetségi Kereskedelmi Bizottságról szóló törvény tisztességtelen vagy megtévesztő cselekményeket tiltó 5. cikke vagy más olyan jogszabály vagy rendelkezés alapján végrehajthatóknak kell lenniük, amely tiltja az ilyen cselekményeket.

c)   Az adatvédelmi pajzs szerinti kötelezettségvállalásaik teljesítésének biztosítása és a program igazgatásának a támogatása érdekében a szervezeteknek, valamint a független jogorvoslati mechanizmusoknak – a Minisztérium kérésére – tájékoztatást kell nyújtaniuk az adatvédelmi pajzsról. Ezenkívül valamennyi szervezetnek gyorsan kell válaszolnia az adatvédelmi hatóságok által a Minisztériumon keresztül az elvek betartására vonatkozóan benyújtott panaszokra. A válaszban szerepelni kell annak, hogy a panasz érdemi-e, és amennyiben igen, akkor a szervezet hogyan fogja orvosolni a problémát. A Minisztérium az Egyesült Államok joga szerint védi az általa kapott információk titkosságát.

d)   Jogorvoslati mechanizmusok

i.

A fogyasztókat arra kell ösztönözni, hogy szükség esetén még azelőtt nyújtsanak be panaszt az adott szervezettel kapcsolatban, hogy független jogorvoslati mechanizmust vennének igénybe. A szervezeteknek a panasz kézhezvételétől számított 45 napon belül válaszolniuk kell a fogyasztónak. A jogorvoslati mechanizmus függetlensége olyan ténykérdés, amely különösen elfogulatlansággal, átlátható összetétellel és finanszírozással, valamint hitelesített nyomon követő nyilvántartással mutatható be. A jogorvoslati, végrehajtási és felelősségi elvben megkövetelteknek megfelelően, a magánszemélyek számára rendelkezésre álló jogorvoslatnak könnyen hozzáférhetőnek és az egyének számára ingyenesnek kell lennie. A jogvitát eldöntő szerveknek a magánszemélyektől átvett minden egyes panaszt ki kell vizsgálniuk, hacsak azok nem nyilvánvalóan alaptalanok vagy komolytalanok. Ez nem zárja ki eleve a jogosultsági követelmények megállapítását a jogorvoslati mechanizmust működtető szervezet részéről, de az ilyen követelményeknek átláthatóaknak és igazoltaknak kell lenniük (például az olyan panaszok kizárása érdekében, amelyek a program hatályán kívül esnek, vagy amelyeket egy másik fórumon mérlegelnek), és nem érinthetik negatívan a törvényes panaszok kivizsgálására vonatkozó kötelezettségvállalást. Ezen túlmenően, a jogorvoslati mechanizmusoknak az egyének számára a panasz benyújtásakor teljes és könnyen elérhető információt kell szolgáltatniuk a jogvitákat eldöntő eljárás működéséről. Az ilyen információnak értesítést kell tartalmaznia a mechanizmus adatvédelmi gyakorlatairól, összhangban az adatvédelmi pajzs elvekkel. Szintén együtt kell működniük az eszközök – mint például formanyomtatványok a panaszokhoz – kidolgozásában, a panaszrendezési eljárás megkönnyítése érdekében.

ii.

A független jogorvoslati mechanizmusok nyilvános honlapján tájékoztatást kell nyújtani az adatvédelmi pajzs elveiről és az adott mechanizmus által az adatvédelmi pajzs keretében nyújtott szolgáltatásokról. E tájékoztatásnak tartalmaznia kell: (1) az adatvédelmi pajzs elvei független jogorvoslati mechanizmusokra vonatkozó követelményeivel kapcsolatos információkat vagy egy arra mutató linket; (2) a Minisztérium adatvédelmi pajzs honlapjára mutató linket; (3) annak leírását, hogy az adatvédelmi pajzs keretében nyújtott vitarendezési szolgáltatásaik ingyenesek az egyének számára; (4) annak leírását, hogyan lehet egy adatvédelmi pajzzsal kapcsolatos panaszt benyújtani; (5) az adatvédelmi pajzzsal kapcsolatos panaszok kezelésének a határidejét; valamint (6) a lehetséges jogorvoslatok körének leírását.

iii.

A független jogorvoslati mechanizmusoknak éves jelentést kell közzétenniük, amely összesített statisztikákat tartalmaz a vitarendezési szolgáltatásaikra vonatkozóan. Az éves jelentésnek a következőket kell tartalmaznia: (1) az adatvédelmi pajzzsal kapcsolatosan kapott panaszok összesített számát az adott év során; (2) a kapott panaszok típusát; (3) a vitarendezés minőségére vonatkozó mutatókat, pl. a panaszok kezelésére fordított időtartam; és (4) a kapott panaszok kimenetelét, mégpedig a jogorvoslatok vagy a kiszabott szankciók számát és típusát.

iv.

Az I. mellékletben meghatározottak szerint választott bírósági lehetőség áll az egyének számára rendelkezésre annak meghatározására maradványkövetelés esetén, hogy az adatvédelmi pajzsban részt vevő szervezet megsértette-e az elvek szerinti kötelezettségeit az adott egyénnel kapcsolatban, és az ilyen jogsértés teljesen vagy részlegesen orvoslás nélkül marad-e. Ez a lehetőség csak ezekre a célokra áll rendelkezésre. Ez a lehetőség például nem áll rendelkezésre az elvek (5) kivételei esetében vagy az adatvédelmi pajzs megfelelőségére vonatkozó állítás tekintetében. E választott bírósági lehetőség keretében az adatvédelmi pajzzsal foglalkozó testület (amely a felek megállapodása szerint egy–három választott bíróból áll) egyénspecifikus, nem pénzbeli méltányos jogorvoslatot (pl. az egyén kérdéses adataihoz való hozzáférés, azok korrekciója, törlése vagy visszaadása) is kiszabhat, amely csak az adott egyén tekintetében hivatott orvosolni az elvek megsértését. Az egyének és az adatvédelmi pajzsban részt vevő szervezetek a választott bíróság határozatának bírósági felülvizsgálatát és végrehajtását kérhetik a USA Szövetségi Választott bírósági Törvénye alapján.

e)   Jogorvoslatok és szankciók

A jogvitákat eldöntő szerv által nyújtott bármilyen jogorvoslatnak azt kell eredményeznie, hogy a nemteljesítés hatását a szervezet visszafordítsa vagy kijavítsa, amennyiben ez megvalósítható, és a szervezet által a jövőben végzett adatkezelés összhangba kerüljön az elvekkel, valamint – adott esetben – a panaszt tevő egyén személyes adatainak szüntessék be. A szankcióknak kellőképpen szigorúaknak kell lenniük ahhoz, hogy biztosítsák az elvek szervezet általi betartását. A változó szigorúságú szankciók skálája a jogvitát eldöntő szervek számára lehetővé teszi a nemteljesítés különböző fokozatainak megfelelő választ. A szankcióknak magukban kell foglalniuk a nemteljesítésre vonatkozó megállapítások közzétételét és bizonyos körülmények között az adatok törlésére vonatkozó követelményt (6). Más szankciók magukban foglalhatják a pecsét felfüggesztését és eltávolítását, az egyének ellentételezését a nemteljesítés következtében felmerült veszteségekért és a felfüggesztő végzéseket. A magánfelek jogvitáit eldöntő szerveknek és az önszabályozó testületeknek értesíteniük kell a megfelelő joghatósággal rendelkező kormányzati szervet vagy adott esetben a bíróságokat az adatvédelmi pajzsban részt vevő szervezetek szabályszegéséről, továbbá tájékoztatniuk kell erről a Minisztériumot is.

f)   Az FTC fellépése

Az FTC kötelezettséget vállalt arra, hogy soron kívül kivizsgálja az alábbi felektől kapott, az elvek állítólagos be nem tartásával kapcsolatos megkereséseket: i. adatvédelmi önszabályozó szervezetek és más független vitarendezési szervek; ii. uniós tagállamok; és iii. a Minisztérium, annak a meghatározására, hogy a Szövetségi Kereskedelmi Bizottságról szóló törvény tisztességtelen vagy megtévesztő kereskedelmi eljárások vagy gyakorlatok tiltásáról szóló 5. szakaszát megszegték-e. Ha az FTC arra a következtetésre jut, hogy okkal feltételezi, hogy az 5. szakaszt megszegték, megoldhatja az ügyet a kifogásolt gyakorlatot megtiltó, abbahagyásra kötelező meghagyással, vagy panasz benyújtásával valamelyik szövetségi kerületi bírósághoz, amelynek az eredménye siker esetén az ugyanilyen tartalmú szövetségi bírósági végzés lehet. Ide tartozik az adatvédelmi pajzs elvei teljesítésének vagy az adatvédelmi pajzsban való részvételnek a hamis állítása olyan szervezetek részéről, amelyek vagy már nem szerepelnek az adatvédelmi pajzs listán, vagy soha nem nyújtottak be öntanúsítást a Minisztériumhoz. Az FTC az adott magatartás beszüntetésére kötelező meghagyás megsértéséért polgári szankciókat eszközölhet ki, míg a szövetségi bírósági végzés megsértéséért polgári vagy bűnvádi engedetlenség címén indíthat pert. Az FTC értesíti a Minisztériumot bármilyen ilyen irányú fellépéséről. A Minisztérium arra ösztönzi az egyéb kormányzati szerveket, hogy értesítsék az ilyen megkeresésekre vonatkozó végleges intézkedésekről vagy az adatvédelmi pajzs elvekhez való csatlakozást meghatározó más döntésekről.

g)   Ismétlődő nemteljesítés

i.

Ha egy szervezet ismétlődően nem teljesíti az elveket, tovább már nem jogosult az adatvédelmi pajzs előnyeire. Az elveket ismétlődően nem teljesítő szervezeteket a Minisztérium törli az adatvédelmi pajzs listáról, és vissza kell adniuk vagy törölniük kell azokat a személyes adatokat, amelyeket az adatvédelmi pajzs keretében kaptak.

ii.

Ismétlődő nemteljesítés áll fenn, ha a szervezet, amely önmaga tanúsította megfelelését a Minisztériumnak, megtagadja valamely adatvédelmi önszabályozó, független vitarendezési vagy kormányzati szerv végleges határozatának teljesítését, vagy az ilyen szerv megállapítja, hogy a szervezet gyakran nem teljesíti az elveket, olyan mértékben, hogy a teljesítésre vonatkozó állítása már nem hihető. Ezekben az esetekben a szervezetnek haladéktalanul értesítenie kell a Minisztériumot az ilyen tényekről. Ellenkező esetben a szervezet a hamis nyilatkozatokról szóló törvény (18 U. S. C. § 1001) alapján perelhető. Egy szervezet visszalépése egy magánszektorbeli adatvédelmi önszabályozó programból vagy független vitarendezési mechanizmusból nem menti fel a kötelezettsége alól, hogy megfeleljen az elveknek, és a megfelelés ismétlődő nemteljesítését jelenti.

iii.

A Minisztérium törli a szervezetet az adatvédelmi pajzs listáról, amennyiben értesítést kap az ismétlődő nemteljesítésről függetlenül attól, hogy az értesítést magától a szervezettől, egy adatvédelmi önszabályozó szervtől vagy más független vitarendező szervtől vagy egy kormányzati szervtől kapta-e, de csak azután, hogy először 30 napos határidővel felszólítást küld erre vonatkozóan, és lehetőséget biztosít a nemteljesítő szervezet számára a válaszadásra. Ennek megfelelően a Minisztérium által fenntartott adatvédelmi pajzsban részt vevő szervezetek listája egyértelműen mutatja, mely szervezetek élvezik és mely szervezetek nem élvezik már az adatvédelmi pajzs előnyeit.

iv.	Az adatvédelmi pajzs újraminősítés céljából egy önszabályozó szervben való részvételért folyamodó szervezetnek az adatvédelmi pajzsban való előző részvételéről teljes körűen tájékoztatnia kell az adott szervet.

12.   Választási lehetőség – A kívülmaradás időzítése

a)

A választási lehetőség elv célja alapvetően annak biztosítása, hogy a személyes információt olyan módon használják, illetve fedjék fel, amely összhangban van az egyén elvárásaival és választásaival. Ennek megfelelően az egyénnek lehetősége kell hogy legyen bármikor kizárni azt, hogy a személyes információt közvetlen üzletszerzési célra használják fel, a szervezet által megállapított ésszerű határokon belül, azaz például időt adva a szervezetnek a kívülmaradás érvénybe léptetésére. A szervezet ezenkívül megkövetelheti a kívülmaradást kérő egyéntől az azonosság megállapításához elegendő információ szolgáltatását. Az Egyesült Államokban az egyének ezzel a választási lehetőséggel egy központi „kívülmaradási” program révén élhetnek: ilyen pl. a Direct Marketing Association Mail Preference Service Közvetlen (Üzletszerzést Folytató Vállalkozások Szövetségének Csomagküldő Szolgálata) programja. Olyan szervezeteknek, amelyek részt vesznek a Direct Marketing Association Mail Preference Service szolgáltatásában, elő kell segíteniük a „kívülmaradási” lehetőség rendelkezésre állását olyan fogyasztók számára, akik nem kívánnak kereskedelmi információkhoz jutni. Az egyénnek minden esetben könnyen hozzáférhető és megfizethető mechanizmust kell biztosítani e lehetőség gyakorlására.

b)

Hasonlóképpen, a szervezet felhasználhatja az információt bizonyos közvetlen értékesítési célokra, olyankor, amikor a gyakorlatban kivitelezhetetlen az egyén számára a kívülmaradási lehetőség megadása az információ felhasználása előtt, ha a szervezet ugyanakkor (és kérésre bármikor) haladéktalanul megadja az egyén számára azt a lehetőséget, hogy visszautasítsa (anélkül hogy ez számára költséget jelentene) minden további közvetlen üzletszerzési értesítés fogadását, és a szervezet eleget tesz a személy kívánságának.

13.   Utazással kapcsolatos információk

a)

A légi utasok helyfoglalása és más utazási információi, mint például a törzsutasprogramra vagy a szállodafoglalásra, illetve a különleges kiszolgálási igényekre, mint például a vallási követelményeknek megfelelő ételekre vagy az esetleges fizikai segítségre vonatkozó információ különböző körülmények között továbbítható az EU-n kívül található szervezetek részére. Az irányelv 26. cikke alapján a „személyes adatok olyan harmadik országba irányuló továbbítása, amely a 25. cikk (2) bekezdése értelmében nem biztosít megfelelő szintű védelmet”, csak a következő feltételek mellett történhet: i. a továbbítás a fogyasztó által kért szolgáltatások biztosítása, vagy egy megállapodás, mint például a „törzsutasprogram” megállapodás feltételeinek teljesítése érdekében szükséges; vagy i.) a fogyasztó egyértelműen hozzájárulását adta. Az Egyesült Államokban az adatvédelmi pajzshoz tartozó szervezetek biztosítják a személyes adatok megfelelő védelmét, és ezért a fenti feltételek és az irányelv 26. cikkében megállapított más feltételek teljesítése nélkül fogadhatnak az EU-ból továbbított adatokat. Mivel az adatvédelmi pajzs a különleges információk tekintetében különleges szabályokat tartalmaz, az ilyen információkat (amelyek összegyűjtésére például a vásárlók fizikai segítségre vonatkozó igényeivel összefüggésben lehet szükség) az adatvédelmi pajzs résztvevői számára történő továbbítások magukban foglalhatják. Az információt továbbító szervezetnek azonban minden esetben tiszteletben kell tartania annak az uniós tagállamnak a jogszabályait, amelyben működik, amelyek többek között különleges feltételeket írhatnak elő a különleges adatok kezelésére vonatkozóan.

14.   Gyógyszeripari és gyógyászati termékek

a)   Az uniós tagállamok jogszabályainak, illetve az adatvédelmi pajzs elveinek alkalmazása

A személyes adatok összegyűjtésére és bármilyen, az Egyesült Államokba történő továbbítást megelőző kezelésére a tagállami jogszabályokat kell alkalmazni. Amint az adatokat továbbították az Egyesült Államokba, az adatvédelmi pajzs elvei vonatkoznak rájuk. A gyógyszeripari kutatásra és más célokra használt adatokat adott esetben anonimizálni kell.

b)   Jövőbeli tudományos kutatások

i.

A különleges orvosi vagy gyógyszeripari kutatások során kidolgozott személyes adatok gyakran értékes szerepet játszanak a jövőbeni tudományos kutatásban. Amennyiben egy adott kutatásra összegyűjtött személyes adatokat az Egyesült Államok valamelyik adatvédelmi pajzsban levő szervezetéhez továbbítják, a szervezet felhasználhatja az adatokat egy új tudományos kutatási tevékenységhez, ha az első esetben megfelelő értesítést és választási lehetőséget biztosítottak. Az ilyen értesítésnek tájékoztatást kell adnia az adatok sajátos jövőbeni felhasználásairól: például időszakos nyomon követés, kapcsolódó tanulmányok vagy marketing.

ii.

Magától értetődő, hogy az adatok összes jövőbeni felhasználása nem határozható meg pontosan, mivel az eredeti adatokba történő új betekintésből új kutatási felhasználás, új orvosi felfedezések és előrelépések, illetve közegészségügyi és szabályozói fejlesztések keletkezhetnek. Ahol lehetséges, az értesítésnek ezért tartalmaznia kell egy magyarázatot arról, hogy a személyes adatokat jövőbeni, előre nem látható orvosi és gyógyszeripari kutatási tevékenységekben esetleg felhasználják. Ha a felhasználás nem összeegyeztethető azzal (azokkal) az általános kutatási cél(ok)kal, amelyekre a személyes adatokat eredetileg gyűjtötték, vagy amelyekhez az egyén utóbb hozzájárult, ismét kérni kell a beleegyezését.

c)   Klinikai kísérletből való kilépés

A résztvevők bármikor dönthetnek a klinikai kísérletből való kilépés mellett, illetve felkérhetők a kilépésre. A kilépést megelőzően gyűjtött személyes adatokat a klinikai kísérlet részeként gyűjtött más adatokkal együtt még lehet kezelni, de csak abban az esetben, ha ezt az értesítésben egyértelműen a résztvevő tudtára adták, amikor beleegyezett a részvételbe.

d)   Adattovábbítás szabályozási vagy felügyeleti célokra

A gyógyszeripari és orvostechnikai eszközt gyártó vállalkozások számára megengedett, hogy az Egyesült Államok szabályozó hatóságai számára szabályozási és felügyeleti célokból az EU-ban végzett klinikai kísérletekből származó személyes adatokat adjanak át. A szabályozó hatóságokon kívül más felek, mint például a vállalkozás telephelyei és más kutatóhelyek számára engedélyezettek hasonló továbbítások az értesítési és választási lehetőség elvnek megfelelően.

e)   „Vak” kísérletek

i.

Sok klinikai kísérletnél a tárgyilagosság biztosítása érdekében a résztvevők, és gyakran a vizsgálók számára sem adható hozzáférés az arra vonatkozó információhoz, hogy az egyes résztvevők milyen kezelést kapnak. Ha így tennének, az veszélyeztetné a kutatás és az eredmények érvényességét. Az ilyen (úgynevezett „vak”) klinikai kísérletek résztvevői számára nem kell hozzáférést biztosítani a saját kezelésükre vonatkozó adatokhoz a kísérlet során, ha ezt a korlátozást elmagyarázták, amikor a résztvevő belépett a kísérletbe, és az ilyen információ felfedése veszélyeztetné a kutatás integritását.

ii.

A kísérletben e feltételek alapján történő részvételre vonatkozó megállapodás a hozzáférési jogról való indokolt lemondás. A kísérlet befejezését és az eredmények elemzését követően a résztvevők kérésre hozzáférhetnek adataikhoz. Ezt elsősorban az orvostól vagy más egészségügyi szolgáltatótól kell kérniük, akitől a klinikai kísérleten belül a kezelést kapták, vagy másodsorban a támogató szervezettől.

f)   Termékbiztonság és a hatékonyság ellenőrzése

A gyógyszeripari vagy orvostechnikai eszközt gyártó vállalatnak nem kell alkalmaznia az adatvédelmi pajzs elveit az értesítésre, a választási lehetőségre, az elszámoltathatóságra harmadik fél részére történő adattovábbításért, és a hozzáférésre vonatkozóan a termékbiztonságot és a hatékonyságot ellenőrző tevékenységeiben, beleértve a nemkívánatos események jelentését és a bizonyos gyógyszereket vagy orvostechnikai eszközöket használó betegek/alanyok megfigyelését, amennyiben az elvek betartása akadályozza a szabályozási követelményeknek való megfelelést. Ez egyaránt igaz mind az egészségügyi szolgáltatók jelentéseire a gyógyszeripari és orvostechnikai eszközt gyártó vállalkozások felé, mind pedig a gyógyszeripari és orvostechnikai eszközt gyártó vállalkozások jelentéseire a kormányzati ügynökségek – mint pl. a Szövetségi Élelmiszer- és Gyógyszerügyi Hivatal (FDA) – felé.

g)   Egyedülálló módon és megváltoztathatatlanul kódolt adatok

A kutatási adatokat a kutatás vezetője egyedi módon és megváltoztathatatlanul kódolta azok keletkezésekor, hogy az egyéni érintettek személyazonosságát ne lehessen megismerni. Az ilyen kutatást támogató gyógyszeripari vállalkozások nem kapják meg a kulcsot. Az egyedülálló kóddal csak a kutató rendelkezik, annak érdekében, hogy különleges körülmények esetén (pl. ha utólagos orvosi ellenőrzésre van szükség) azonosíthassa a kutatási alanyt. Az ilyen módon kódolt adatok továbbítása az EU-ból az Egyesült Államokba nem képez az adatvédelmi pajzs elvek hatálya alá tartozó személyesadat-továbbítást.

15.   Nyilvános nyilvántartás és nyilvánosan hozzáférhető információ

a)

A szervezetnek a nyilvánosan hozzáférhető forrásból származó személyes adatokra alkalmaznia kell az adatvédelmi pajzs biztonságra, az adatok sértetlenségére és a célhoz kötöttségre, valamint a jogorvoslatra, végrehajtásra és felelősségre vonatkozó elveit. Ezeket az elveket kell alkalmazni a nyilvános archívumból gyűjtött személyes adatokra is, azaz olyan archívumokból, amelyeket a kormányzati ügynökségek vagy bármilyen szintű jogi személyek tartanak fenn, amelyek általában nyitottak a betekintésre a nyilvánosság számára.

b)

Az értesítés, választási lehetőség és az elszámoltathatóság harmadik fél részére történő adattovábbításért elvét nem szükséges alkalmazni a nyilvános nyilvántartásban lévő információra mindaddig, amíg az nem kapcsolódik össze nem nyilvános nyilvántartásban lévő információval, valamint amennyiben a vonatkozó joghatóság által a betekintésre megállapított feltételeket tiszteletben tartják. Általában nem szükséges az értesítés, választási lehetőség és az elszámoltathatóság harmadik fél részére történő adattovábbításért elvét alkalmazni a nyilvánosan hozzáférhető információra, hacsak az európai átadó nem jelzi, hogy az ilyen információ olyan korlátozások alá tartozik, amelyek megkövetelik a szervezettől a fenti elvek alkalmazását a tervezett felhasználásokra. A szervezetek nem felelősek azért, hogy az információt hogyan használják fel azok, akik ahhoz nyilvánosságra hozott anyagokból jutnak hozzá.

c)	Amennyiben egy szervezetről megállapították, hogy az elveket megsértve szándékosan hozott nyilvánosságra személyes információt annak érdekében, hogy ő vagy mások e kivételekből részesülhessenek, a továbbiakban nem jogosult az adatvédelmi pajzs előnyeire.

d)

A hozzáférés elvét nem szükséges alkalmazni a nyilvános nyilvántartásban lévő információra mindaddig, amíg az nem kapcsolódik össze más személyes adatokkal (kivéve az indexáláshoz vagy nyilvános nyilvántartásban lévő információ rendezéséhez használt kis mennyiségben); azonban a vonatkozó joghatóság által a betekintésre megállapított feltételeket tiszteletben kell tartani. Ha azonban a nyilvános információhoz (a fent kifejezetten említettektől eltérő) nem nyilvános információ kapcsolódik, a szervezetnek biztosítania kell az összes ilyen információhoz való hozzáférést – feltételezve, hogy az nem tartozik más engedélyezett kivételek közé.

e)

Ugyanúgy, mint a nyilvános archívumokban tárolt adatok esetében, nem szükséges a nagyközönség számára már elérhető információhoz való hozzáférés biztosítása, amíg azokat nem kapcsolják össze nyilvánosan nem elérhető információval. Azok a szervezetek, amelyek a nyilvánosan hozzáférhető információ értékesítési üzletágában tevékenykednek, a hozzáférésre vonatkozó kérelmek megválaszolása során a szervezet szokásos díját számíthatják fel. Más megoldásként az egyének az adataikhoz való hozzáférést attól a szervezettől kérhetik, amely eredetileg összeállította az adatokat.

16.   Közigazgatási szervek hozzáférési kérései

a)

A közigazgatási szervek személyes adatokhoz történő hozzáférésre vonatkozó jogszerű kérései átláthatóságának a biztosítása érdekében az adatvédelmi pajzsban részt vevő szervezetek önkéntesen kiadhatnak rendszeres átláthatósági jelentéseket azoknak a személyes adatokhoz történő hozzáférésre vonatkozó kéréseknek a számáról, amelyeket közigazgatási szervektől kaptak bűnüldözési vagy nemzetbiztonsági okokból, amennyiben az ilyen adatközlést a vonatkozó jogszabályok megengedik.

b)

Az adatvédelmi pajzsban részt vevő szervezet által ezekben a jelentésekben nyújtott információ minden olyan más információval együtt, amelyet a hírszerző közösség adott ki más információkkal együtt, felhasználható az adatvédelmi pajzs működéséről szóló közös éves áttekintés céljára az elveknek megfelelően.

c)	Az értesítés elve (a) pontja xii. francia bekezdésének megfelelően az értesítés hiánya nem akadályozza vagy gátolja meg, hogy a szervezet választ adjon a jogszerű kérésekre.

---

(1)  Amennyiben az EU–USA adatvédelmi pajzs által biztosított védelem megfelelőségére vonatkozó bizottsági határozat Izlandra, Liechtensteinre és Norvégiára is alkalmazandó, az adatvédelmi pajzs egyaránt lefedi majd Európai Uniót és ezt a három országot. Következtetésképpen az EU-ra és annak tagállamaira való hivatkozások úgy értelmezendők, hogy azok Izlandra, Liechtensteinre és Norvégiára is vonatkoznak.

(2)  A körülményektől függően az összeegyeztethető kezelési célok közé tartozhatnak azok, amelyek ésszerűen szolgálják az ügyfélkapcsolatokat, a megfelelőséget és a jogi szempontokat, az ellenőrzést, a biztonságot, a csalás megelőzést, a szervezet törvényes jogainak megőrzését illetve védelmét, vagy olyan egyéb célokat, amelyek az adatgyűjtés összefüggésében megfelelnek egy ésszerű személy elvárásainak.

(3)  E tekintetben egy egyén akkor „azonosítható”, ha – tekintettel azokra az azonosítási eszközökre, amelyeknek az alkalmazása ésszerűen valószínűsíthető (figyelemmel többek között az azonosítás költségére és időigényére, valamint az adatkezelés idején rendelkezésre álló technológiára, továbbá az adatok megőrzésének formájára) – a szervezet vagy egy harmadik személy ésszerűen azonosítani tudná az adott egyént, ha hozzáférne az adatokhoz.

(4)  A szervezetnek válaszolnia kell az egyén arra vonatkozó kéréseire, hogy mi az adatfeldolgozás célja, melyek az érintett személyesadat-kategóriák, a címzettek vagy a címzettek kategóriái, akik felé az adatokat továbbítják.

(5)  Az elvek I.5. pontja

(6)  A jogvitákat eldöntő szervek saját belátásuk szerint ítélhetik meg azokat a körülményeket, amelyek esetén ezeket a szankciókat alkalmazzák. Az érintett adatok érzékenysége figyelembe veendő tényező annak eldöntésében, hogy szükség lehet-e az adatok törlésére, mint ahogyan az is, hogy a szervezet az adatvédelmi pajzs elveinek durva áthágásával gyűjtött-e össze, használt-e fel vagy hozott-e nyilvánosságra információt.

III. MELLÉKLET

2016. július 7.

Tisztelt Jourová biztos asszony!

Örömmel tölt el, hogy megállapodásra jutottunk az Európai Unió–Egyesült Államok adatvédelmi pajzsról, amelynek része egy biztosi mechanizmus, melynek segítségével az uniós hatóságok kéréseket tudnak benyújtani uniós egyének nevében az Egyesült Államok jelfelderítési gyakorlatával kapcsolatban.

2014. január 17-én Barack Obama elnök fontos hírszerzési reformokat jelentett be, amelyeket a 28. sz. elnöki rendelet tartalmaz (PPD-28). A PPD-28 keretében kijelöltem Catherine A. Novelli külügyminiszter-helyettest a nemzetközi informatikai diplomácia főkoordinátorának, aki a kapcsolattartónk lesz azon külföldi kormányok felé, amelyek aggodalmukat akarják kifejezni az Egyesült Államok jelfelderítési tevékenysége kapcsán. Ennek a funkciónak az alapján létrehoztam egy adatvédelmi pajzs biztosi mechanizmust az A. mellékletben meghatározott feltételek szerint, amelyeket 2016. február 22-i levelem óta frissítettek. Utasítottam Novelli miniszterhelyettest ennek a funkciónak a betöltésére. Novelli miniszterhelyettes független az Egyesült Államok hírszerzési közösségétől, és közvetlen alárendeltem.

Utasítottam a munkatársaimat, hogy biztosítsák a szükséges erőforrásokat az új biztosi mechanizmus megvalósításához, és bízom benne, hogy ez hatékony eszközt fog jelenteni az uniós egyének aggodalmainak kezelésére.

IV. MELLÉKLET

2016. július 7.

E-MAILEN

Věra Jourová

A jogérvényesülésért, a fogyasztópolitikáért és a nemek közötti esélyegyenlőségért felelős biztos

Európai Bizottság

Rue de la Loi/Wetstraat 200

1049 Bruxelles/Brussel

Belgium

Tisztelt Jourová biztos asszony!

Az Egyesült Államok Szövetségi Kereskedelmi Bizottsága („FTC”) nagyra értékeli a lehetőséget, hogy leírja az új EU-USA adatvédelmi pajzs keretrendszer (az „adatvédelmi pajzs keretrendszer” vagy „keretrendszer”) általa történő végrehajtását. Úgy gondoljuk, hogy a keretrendszer kritikus szerepet fog játszani az adatvédelmi jellegű kereskedelmi tranzakciók elősegítésében az egyre inkább összefonódó világban. Lehetővé teszi a vállalkozások számára fontos tevékenységek végzését a globális gazdaságban, ugyanakkor biztosítja az uniós fogyasztók fontos adatvédelmének fenntartását. Az FTC régóta elkötelezett a határokon átívelő adatvédelem iránt, és kiemelt feladatnak tekinti a keretrendszer végrehajtását. Az alábbiakban kifejtjük az FTC eddigi erős adatvédelmi tevékenységének a végrehajtását általánosságban, beleértve az eredeti védett adatkikötő program általunk történt végrehajtását, valamint az FTC eljárását az új keretrendszer végrehajtására.

Az FTC először 2000-ben fejezte ki nyilvánosan a védett adatkikötő program végrehajtása iránti elkötelezettségét. Az akkori FTC elnök, Robert Pitofsky levelet küldött az Európai Bizottságnak, amelyben leírta az FTC vállalását a védett adatkikötő adatvédelmi elveinek a hatékony végrehajtására. Az FTC fenntartotta ezt a kötelezettségvállalását közel 40 végrehajtási tevékenységben, számos további vizsgálat során és az egyes európai adatvédelmi hatóságokkal közös érdekeket érintő ügyekben folytatott együttműködés folyamán.

Miután 2013. novemberben az Európai Bizottság aggodalmát fejezte ki a védett adatkikötő program igazgatása és végrehajtása tekintetében, mi és az Egyesült Államok Kereskedelmi Minisztériuma megbeszéléseket kezdtünk az Európai Bizottság tisztségviselőivel a program erősítésének lehetőségeiről. A tanácskozások időtartama alatt, 2015. október 6-án a Bíróság határozatot tett közzé a Schrems ügyben, amely többek között érvénytelenítette az Európai Bizottság döntését a védett adatkikötő program megfelelőségéről. A határozatot követően folytattuk a munkát szoros együttműködésben a Kereskedelmi Minisztériummal és az Európai Bizottsággal az uniós egyének adatvédelmének erősítése érdekében. Az adatvédelmi pajzs keretrendszer ezeknek a folyamatos tanácskozásoknak az eredménye. A védett adatkikötő programhoz hasonlóan az FTC ezennel elkötelezi magát az új keretrendszer hatékony végrehajtása iránt. Ez a levél rögzíti ezt a kötelezettségvállalást.

Nevezetesen, megerősítjük a kötelezettségvállalásunkat négy fontos területen: (1) megkeresések előnyben részesítése és kivizsgálása; (2) hamis vagy megtévesztő adatvédelmi pajzs részvételi nyilatkozatok tárgyalása; (3) határozatok folyamatos nyomon követése; és (4) magasabb szintű részvétel és együttműködés az uniós adatvédelmi hatóságokkal a végrehajtás során. Az alábbiakban részletes tájékoztatást adunk az egyes kötelezettségvállalásokról és az FTC szerepéről a fogyasztók adatvédelme és a védett adatkikötő végrehajtása során, valamint az Egyesült Államokban a szélesebb értelemben vett adatvédelem helyzetéről (1).

I.   ELŐZMÉNYEK

A.   Az FTC-nek az adatvédelem végrehajtásával és az adatvédelmi szabályzattal kapcsolatos munkája

Az FTC széles körű polgári jogi végrehajtási jogkörrel rendelkezik a fogyasztóvédelem és a kereskedelem területén a verseny elősegítése érdekében. A fogyasztóvédelmi jogkörének részeként az FTC a jogszabályok széles körét hajtja végre a fogyasztók adatainak védelme és biztonsága érdekében. Az FTC által végrehajtott elsődleges törvény, az FTC törvény tiltja a kereskedelemben végrehajtott vagy arra kiható „tisztességtelen” vagy „megtévesztő” cselekedeteket vagy gyakorlatokat (2). Egy állítás, mulasztás vagy gyakorlat akkor megtévesztő, ha jelentős mértékű és várhatóan félrevezeti az adott körülmények között ésszerűen cselekvő fogyasztókat (3). Egy cselekmény vagy gyakorlat akkor tisztességtelen, ha olyan jelentős sérelmet okoz vagy várhatóan okoz, amelyet ésszerű módon nem tudnak a fogyasztók elkerülni vagy ellensúlyozni a számukra biztosított előnyökkel vagy verseny révén (4). Az FTC célzott alapszabályokat is végrehajt, amelyek védelmet nyújtanak az egészségre, hitel- és más pénzügyi kérdésekre, valamint a gyermekek online információira vonatkozóan, és a fenti egyes alapszabályokat végrehajtó rendelkezéseket bocsátott ki.

Az FTC törvény szerint az FTC hatásköre a „kereskedelemben végrehajtott vagy arra kiható” ügyekre vonatkozik. Az FTC nem rendelkezik hatáskörrel bűnüldözési és nemzetbiztonsági ügyekben. Az FTC a legtöbb egyéb kormányzati intézkedést sem tudja befolyásolni. Ezenkívül az FTC kereskedelmi tevékenységekre vonatkozó hatáskörére is vonatkoznak kivételek, köztük a bankok, légitársaságok, a biztosítási üzletág és a távközlési szolgáltatók közszolgáltatási tevékenysége. Az FTC nem rendelkezik hatáskörrel a legtöbb nonprofit szervezet esetében sem, de van hatásköre olyan hamis jótékonysági szervezetek vagy egyéb nonprofit szervezetek felett, amelyek ténylegesen üzleti alapon működnek. Az FTC hatáskörrel rendelkezik olyan nonprofit szervezetek felett is, amelyek működése a saját üzleti alapon működő tagjaik nyereségét eredményezi, beleértve jelentős gazdasági előnyök nyújtását ezeknek a tagoknak (5). Néhány esetben az FTC hatásköre egybeesik egyéb bűnüldözési hivatalok hatáskörével.

Erős munkakapcsolatot alakítottunk ki a szövetségi és állami hatóságokkal, és szorosan együttműködünk velük a vizsgálatok koordinálásában és szükség esetén megkeresések benyújtásában.

A végrehajtás az FTC adatvédelemi megközelítésének az alapja. Eddig az FTC több mint 500 adatvédelmi és fogyasztóvédelmi információbiztonsági üggyel foglalkozott. Ezek az ügyek mind offline, mind online információkkal kapcsolatosak; van köztük végrehajtási tevékenység nagy- és kisvállalatokkal szemben olyan ügyekben hogy állítólagosan elmulasztották megfelelően kezelni a fogyasztók különleges adatait, elmulasztották biztosítani a fogyasztók személyes adatait, megtévesztő módon online nyomon követték a fogyasztókat, spameket küldtek a fogyasztóknak, kémprogramokat vagy más rosszindulatú programokat telepítettek a fogyasztók számítógépére, megsértették a kéretlen telemarketinggel kapcsolatos és más telemarketing szabályokat, és nem megfelelően gyűjtöttek és osztottak meg fogyasztói információkat mobil készülékeken. Az FTC végrehajtási tevékenységei – mind a fizikai, mind a digitális világban – fontos üzenetet küldenek a vállalatoknak a fogyasztók adatvédelmének szükségességéről.

Az FTC számos politikai kezdeményezést is folytatott, amelyek célja a fogyasztók adatvédelmének javítása; ezek a kezdeményezések tájékoztatást nyújtanak az FTC végrehajtási munkájáról. Az FTC munkaértekezleteket tartott és jelentéseket adott ki a legjobb gyakorlatokról szóló ajánlásokkal, amelyek célja az adatvédelem javítása a mobil ökorendszerben; az adatkereskedelmi iparág átláthatóságának növelése; a nagy adathalmazok előnyeinek maximalizálása a kockázatok enyhítése mellett, különösen az alacsony jövedelmű és szolgáltatásokkal rosszul ellátott fogyasztók esetében; és többek között az arcfelismerés és a dolgok internete adatvédelmi és biztonsági vonatkozásainak hangsúlyozása.

Az FTC a fogyasztók és a vállalkozások képzésében is részt vesz a végrehajtási és politika-kidolgozási kezdeményezései hatásának javítása érdekében. Az FTC számos eszközt – kiadványokat, online forrásokat, munkaértekezleteket vagy a közösségi médiát – használt oktatási anyagok rendelkezésre bocsátására számos témában, például a mobil alkalmazásokkal, a gyermekek adatvédelmével és az adatbiztonsággal kapcsolatban. Legutóbb a Bizottság elindította a „Kezdjük biztonsággal” kezdeményezését, amelynek része új iránymutatás a vállalkozások számára azoknak a tanulságoknak az alapján, amelyeket a hivatal adatbiztonsági ügyekből, valamint az egész országban tartott munkaértekezletek sorozatából vont le. Ezenkívül, az FTC régóta vezető szerepet tölt be a fogyasztók alapvető számítástechnikai biztonsági oktatásában. Tavaly az OnGuard Online honlap és spanyol nyelvű változata, az Alerta en Línea több mint 5 millió oldalmegtekintést ért el.

B.   Az Egyesült Államok jogvédelme által uniós fogyasztóknak nyújtott előnyök

A keretrendszer a nagyobb egyesült államokbeli adatvédelmi környezetben fog működni, amely számos módon védi az uniós fogyasztókat.

Az FTC törvényben szereplő tisztességtelen és megtévesztő cselekmények és gyakorlatok tilalma nem korlátozódik az egyesült államokbeli fogyasztók egyesült államokbeli vállalatokkal szembeni védelmére, magában foglalja azokat a gyakorlatokat is, amelyek (1) ésszerűen előrelátható sérelmet okoznak vagy várhatóan okoznak majd az Egyesült Államokban, illetve (2) az Egyesült Államokban folytatott jelentős tevékenységre vonatkoznak. Ezenkívül a külföldi fogyasztók védelme során az FTC igénybe vehet minden olyan jogorvoslatot, az eredeti állapot helyreállítását is beleértve, amely rendelkezésre áll a belföldi fogyasztók védelmére.

Ténylegesen az FTC végrehajtási munkája jelentős előnyöket nyújt mind az egyesült államokbeli, mint a külföldi fogyasztók számára. Például az FTC törvény 5. pontjának érvényesítésére irányuló ügyeink egyesült államokbeli és külföldi fogyasztók adatvédelmét egyformán szolgálták. Az Accusearch információkereskedő ellen folytatott ügyben az FTC azt állította, hogy amikor a vállalat bizalmas távbeszélő-nyilvántartásokat adott el harmadik felek számára a fogyasztók tudomása vagy hozzájárulása nélkül, az tisztességtelen gyakorlat volt és megsértette az FTC törvény 5. pontját. Az Accusearch mind egyesült államokbeli, mind külföldi fogyasztókra vonatkozó információkat adott el (6). A bíróság gyorsított beavatkozást biztosított az Accusearch ellen, amely megtiltotta többek között a fogyasztók személyes adatainak marketingjét vagy értékesítését írásos hozzájárulás nélkül, hacsak nem jogszerűen szerezték azokat nyilvánosan elérhető információk alapján, és közel 200 000 USD jóvátételt rendelt el (7).

Egy másik példa az FTC megállapodása a TRUSTe-val. Ez biztosítja, hogy a fogyasztók, beleértve az uniós fogyasztókat, támaszkodhatnak egy globális önszabályozó szervezet állítására a belföldi és külföldi online szolgáltatások általa történt felülvizsgálatáról és tanúsításáról (8). Nagy jelentőségű, hogy a TRUSTe elleni keresetünk erősíti a szélesebb értelemben vett adatvédelmi önszabályozó rendszert azáltal, hogy biztosítja a jogi személyek elszámoltathatóságát, amelyek fontos szerepet játszanak az önszabályozó rendszerekben, beleértve a határokon átnyúló adatvédelmi keretrendszereket.

Az FTC egyéb célzott jogszabályokat is érvényre juttat, amelyek védelme kiterjed nem amerikai fogyasztókra is, mint például a gyermekek online adatvédelmi törvénye („COPPA”). Többek között a COPPA előírja, hogy a gyermekeket célzó honlapok és online szolgáltatások, vagy az általános közönségnek szánt oldalak, amelyek tudatosan gyűjtenek személyes adatokat 13 évnél fiatalabb gyermekektől, biztosítsanak szülői figyelmeztetést, és kérjenek ellenőrizhető szülői hozzájárulást. A COPPA hatálya alá eső egyesült államokbeli honlapoknak és szolgáltatásoknak, amelyek személyes adatokat gyűjtenek külföldi gyermekektől, meg kell felelniük a COPPA rendelkezéseinek. külföldön levő honlapoknak és online szolgáltatásoknak is meg kell felelniük a COPPA rendelkezéseinek, ha az Egyesült Államokban levő gyermekeket célozzák, vagy ha tudatosan gyűjtenek személyes adatokat az Egyesült Államokban levő gyermekektől. Az FTC által végrehajtott egyesült államokbeli szövetségi jogszabályok mellett bizonyos más szövetségi vagy állami fogyasztóvédelmi és adatvédelmi jogszabályok az uniós fogyasztóknak nyújtott további előnyökről rendelkezhetnek.

C.   A védett adatkikötő végrehajtása

Az adatvédelmi és biztonság-végrehajtási programjának részeként az FTC azzal is igyekezett megvédeni az uniós fogyasztókat, hogy végrehajtási tevékenységet végzett a védett adatkikötő megsértésével kapcsolatos ügyekben. Az FTC 39, védett adatkikötővel kapcsolatos végrehajtási intézkedést hozott: 36 állítólagos hamis tanúsítási ügyben, valamint a védett adatkikötő elvek állítólagos megsértésével kapcsolatos ügyben (a Google, a Facebook és a Myspace ellen) (9). Ezek az ügyek bemutatták a tanúsítások végrehajthatóságát és a nemteljesítés negatív következményeit. Húszéves hozzájárulási végzések előírják a Google, a Facebook és a Myspace számára olyan átfogó adatvédelmi programok megvalósítását, amelyeket ésszerűen alakítottak ki az új és meglevő termékek és szolgáltatások fejlesztése és kezelése kapcsán felmerülő adatvédelmi kockázatok kezelésére és a személyes adatok adatvédelmének és bizalmasságának a biztosítására. A fenti végzések által elrendelt átfogó adatvédelmi programoknak azonosítaniuk kell az előrelátható jelentős kockázatokat, és rendelkezniük kell a kockázatok kezeléséről. A vállalatoknak folyamatos, független értékelést kell végeztetniük az adatvédelmi programjaik tekintetében, amelyeket át kell adni az FTC-nek. A végzések azt is megtiltják a vállalatok számára, hogy az adatvédelmi gyakorlataikkal és adatvédelmi vagy biztonsági programban való részvételükkel kapcsolatban hamis állítást tegyenek. Ez a tiltás vonatkozik a vállalatok új adatvédelmi pajzs keretrendszer szerinti cselekményeire és gyakorlataira is. Az FTC polgári szankciók eszközlésével érvényesítheti ezeket a végzéseket. Például a Google 2012-ben rekordösszegű, 22,5 millió dolláros (USD) polgári jogi szankciót fizetett annak a vádnak a rendezése érdekében, hogy megszegte a rá vonatkozó végzést. Következésképpen ezek az FTC végzések segítenek megvédeni a több mint egymilliárd fogyasztót az egész világon és többszáz milliót Európában.

Az FTC ügyek középpontjában a védett adat kikötőben történő részvételre vonatkozó hamis, megtévesztő vagy félrevezető nyilatkozatok is álltak. Az FTC komolyan veszi ezeket a nyilatkozatokat. Például az FTC kontra Karnani ügy, amelyben az FTC kereset indított 2011-ben egy egyesült államokbeli közvetlen piaci üzletszerzéssel foglalkozó internetes vállalkozás ellen azt állítva, hogy ő és a vállalata azt a látszatot keltette a brit fogyasztókban, hogy a vállalat székhelye az Egyesült Királyságban van, többek között azzal, hogy a.uk kiterjesztést használta és a brit valutára és az Egyesült Királyság postai rendszerére hivatkozott (10). A fogyasztók azonban, amikor megkapták a termékeket, azt észlelték, hogy váratlan importvámokat kell fizetniük, a garanciák nem érvényesek az Egyesült Királyságban, és visszatérítés esetén díjakat kell fizetniük. Az FTC azzal is vádolta az alperest, hogy becsapta a fogyasztókat a védett adatkikötő programban való részvételéről. Feltűnő módon valamennyi áldozatul esett fogyasztó az Egyesült Királyságban volt.

A többi védett adatkikötő végrehajtási ügy közül sok esetben olyan szervezet volt érintett, amely csatlakozott a védett adatkikötő programhoz, de nem újította meg az éves tanúsítását, viszont továbbra is azt állította magáról, hogy még tag. Az alábbiakban bővebben tárgyaltak szerint az FTC arra is kötelezettséget vállal, hogy foglalkozik az adatvédelmi pajzs keretrendszerben történő részvételre vonatkozó hamis nyilatkozatokkal. Ez a stratégiai végrehajtási tevékenység kiegészíti a Kereskedelmi Minisztérium fokozott tevékenységeit, amelyek révén ellenőrzi a program tanúsításra és ismételt tanúsításra vonatkozó követelményeinek teljesítését, a hatékony megfelelés általa történő nyomon követését, beleértve a keretrendszer résztvevői által kitöltendő kérdőívek használatát és a fokozott törekvését arra, hogy azonosítsák a keretrendszerben történő részvételre vonatkozó hamis nyilatkozatokat, és megállapítsák a keretrendszer tanúsítási jel indokolatlan használatának eseteit (11).

II.   MEGKERESÉSEK SORON KÍVÜLI KEZELÉSE ÉS VIZSGÁLATOK

Ahogyan a védett adatkikötő programban tettük, az FTC elkötelezi magát arra, hogy prioritást biztosít az uniós tagállamokból jövő adatvédelmi pajzs megkereséseknek. Az adatvédelmi önszabályozó szervezetektől és más független vitarendező szervektől jövő, adatvédelmi pajzs keretrendszerre vonatkozó, önszabályozó irányelveknek történő megfeleléssel kapcsolatos megkereséseknek is prioritást biztosítunk.

A keretrendszer alapján uniós tagállamokból jövő megkeresések elősegítése érdekében az FTC egy szabvány megkeresési folyamatot hoz létre és iránymutatást nyújt az uniós tagállamoknak arról, hogy milyen típusú információk tudják a legjobban segíteni FTC-t a megkeresés kivizsgálása során. Ennek keretében az FTC kijelöl egy hivatali kapcsolattartót az uniós tagállamok megkeresései számára. Nagyon hasznos, ha a megkeresést benyújtó hatóság előzetesen megvizsgálja az állítólagos jogsértést, és együtt tud működni az FTC-vel a vizsgálatban.

Az uniós tagállamból vagy önszabályozó szervezettől jövő megkeresés kézhezvétele után az FTC számos intézkedést tehet a felvetett kérdés kezelésére. Például megvizsgálhatjuk a vállalat adatvédelmi szabályzatát, további információkat szerezhetünk be közvetlenül a vállalattól vagy harmadik felektől, tovább vizsgálódhatunk a megkeresést benyújtó személlyel, megállapíthatjuk, hogy a jogsértés rendszeres-e vagy jelentős számú fogyasztó érintett-e, meghatározhatjuk, hogy a megkeresés olyan kérdéseket is felvet-e, amelyek a Kereskedelmi Minisztérium hatáskörébe tartoznak, megállapíthatjuk, hogy fogyasztói vagy vállalkozói képzés segíthet-e, és szükség esetén végrehajtási eljárást kezdeményezhetünk.

Az FTC a megkeresésekre vonatkozó információk megkeresést benyújtó végrehajtási hatóságokkal történő cseréje iránt is elkötelezett, beleértve a megkeresések státusát, a titkosságra vonatkozó jogszabályok vagy korlátozások teljesítése mellett. A fogadott megkeresések számától és típusától függően, amennyiben lehetséges, a nyújtott tájékoztatás tartalmazza a tárgyi ügyek értékelését, beleértve a felvetett jelentős kérdések leírását és az FTC hatáskörébe tartozó jogsértések kezelése érdekében foganatosított intézkedéseket. Az FTC visszajelzést is ad a megkeresést benyújtó hatóságnak a kapott megkeresések típusáról a jogsértő magatartás kezelése érdekében tett erőfeszítések hatékonyságának növelése érdekében. Ha a megkeresést benyújtó hatóság információt kér egy adott megkeresés státusáról annak érdekében, hogy a saját végrehajtási eljárását lefolytathassa, az FTC a vizsgálat alatt álló megkeresések számát figyelembe véve, a titkosságra vonatkozó és más jogi előírások betartása mellett fog válaszolni.

Az FTC szorosan együttműködik az uniós adatvédelmi hatóságokkal a végrehajtáshoz történő segítségnyújtás érdekében is. Adott esetben ebbe beletartozhat információk megosztása és segítségnyújtás vizsgálatban az USA „SAFE WEB” (biztonságos web) törvénye szerint, amely felhatalmazza az FTC-t arra, hogy segítséget nyújtson külföldi bűnüldözési hivataloknak, ha a külföldi hivatal olyan gyakorlatokat megtiltó jogszabályokat érvényesít, amelyek lényegileg hasonlóak azokhoz a jogszabályokhoz, amelyeket az FTC hajt végre (12). Az ilyen segítségnyújtás részeként az FTC megoszthatja az FTC vizsgálatával kapcsolatban kapott információkat, kötelező erejű eljárást indíthat a saját vizsgálatát lefolytató uniós adatvédelmi hatóság nevében, és szóbeli vallomást kérhet tanúktól vagy alperesektől az adatvédelmi hatóság végrehajtási eljárásával kapcsolatban, az USA biztonságos web törvénye előírásainak teljesítése mellett. Az FTC rendszeresen él ezzel a jogkörével, hogy segítsen más hatóságoknak a világban az adatvédelmi és fogyasztóvédelmi ügyekben (13).

Az adatvédelmi pajzs keretében uniós tagállamok és adatvédelmi önszabályozó szervezetek által benyújtott megkeresések soron kívüli kezelése mellett (14), az FTC elkötelezett a keretrendszer lehetséges megsértésének saját kezdeményezésre történő kivizsgálása iránt, szükség esetén számos eszköz alkalmazásával.

Több mind egy évtized óta az FTC egy hatékony programot alkalmaz kereskedelmi szervezeteket érintő adatvédelmi és biztonsági kérdések kivizsgálására. Ezen vizsgálatok részeként az FTC rendszeresen vizsgálta, hogy a kérdéses jogi személy tett-e védett adatkikötőre vonatkozó nyilatkozatokat. Ha a jogi személy ilyen nyilatkozatokat tett és a vizsgálat azt állapította meg, hogy nyilvánvalóan megsértette a védett adatkikötő adatvédelmi elveit, az FTC a végrehajtási intézkedésének részeként a védett adatkikötő megsértését is vélelmezte. Tovább folytatjuk ezt a proaktív megközelítést az új keretrendszerben is. Nagy jelentőségű, hogy az FTC sokkal több vizsgálatot folytat, amelyek végső soron nyilvános végrehajtási intézkedéseket eredményeznek. Sok FTC-vizsgálat zárul le azért, mert a munkatársak nem állapítanak meg nyilvánvaló jogsértést. Mivel az FTC-vizsgálatok nem nyilvánosak és bizalmasak, egy vizsgálat lezárultát gyakran nem hozzák nyilvánosságra.

Az FTC által a védett adatkikötő programmal kapcsolatban kezdeményezett közel 40 végrehajtási intézkedés bizonyítja a hivatal elkötelezettségét a határokon átnyúló adatvédelmi programok proaktív végrehajtása iránt. Az FTC a rendszeresen lefolytatott adatvédelmi és biztonsági vizsgálatai részeként a keretrendszer lehetséges megsértéseit kutatja.

III.   HAMIS VAGY MEGTÉVESZTŐ ADATVÉDELMI PAJZS RÉSZVÉTELI NYILATKOZATOK TÁRGYALÁSA

A fent hivatkozottak szerint az FTC intézkedéseket foganatosít olyan jogi személyek ellen, amelyek hamis nyilatkozatot tesznek a keretrendszerben történő részvételükről. Az FTC soron kívül vizsgálja a Kereskedelmi Minisztérium által olyan szervezetekkel kapcsolatban benyújtott megkereséseket, amelyekről megállapítja, hogy helytelenül állítják magukról, hogy jelenleg a keretrendszer tagjai vagy engedély nélkül használnak keretrendszer tanúsítási jelet.

Ezenkívül kiemeljük, hogy ha egy szervezet adatvédelmi azt állítja, hogy megfelel az adatvédelmi pajzs elveinek, akkor ha elmulasztja a regisztrációt a Kereskedelmi Minisztériumnál vagy annak meghosszabbítását, az várhatóan önmagában nem mentesíti a szervezetet az alól, hogy az FTC végrehajtsa a keretrendszer szerinti kötelezettségvállalását.

IV.   VÉGZÉSEK NYOMON KÖVETÉSE

Az FTC megerősíti azt a kötelezettségvállalását is, hogy nyomon követi a végrehajtási végzéseket az adatvédelmi pajzs keretrendszer megfelelés biztosítása érdekében.

Megköveteljük a keretrendszernek történő megfelelést számos megfelelő gyorsított beavatkozásra vonatkozó rendelkezéssel az FTC keretrendszerre vonatkozó jövőbeli végzéseiben. Ez tartalmazza annak a megtiltását, hogy hamis nyilatkozatokat tegyenek a keretrendszerről és más adatvédelmi programokról, ha az FTC intézkedése ezen alapul.

Az FTC eredeti védett adatkikötő program végrehajtására vonatkozó ügyei tanulságosak. A védett adatkikötő tanúsításra vonatkozó hamis vagy megtévesztő nyilatkozatokkal kapcsolatos 36 ügyben mindegyik végzés megtiltja az alperes számára a védett adatkikötőben vagy más adatvédelmi vagy biztonsági programban történő részvételre vonatkozó hamis nyilatkozat tételét, és előírja a vállalat számára a megfelelőségi jelentések hozzáférhetővé tételét az FTC számára. A védett adatkikötő adatvédelmi elvek megsértését magában foglaló ügyekben a vállalatoktól azt követelték meg, hogy átfogó adatvédelmi programokat valósítsanak meg, és ezen programok független harmadik fél általi értékelését szerezzék be minden második évben húsz éven keresztül, amelyet be kell nyújtaniuk az FTC-hez.

Az FTC közigazgatási végzéseinek a megsértése maximum 16 000 USD összegű bírságot eredményezhet jogsértésenként vagy folytonos jogsértés esetén napi 16 000 USD összegű bírságot (15), amely sok fogyasztót érintő gyakorlat esetén több millió dollárt is elérhet. Mindegyik önkéntes megállapodásról szóló végzésnek vannak jelentéskészítési és megfelelési rendelkezései. A végzés alanyának olyan dokumentumokkal kell rendelkeznie, amely bemutatja a megfelelését a meghatározott, többéves időszakban. A végzéseket a végzés teljesítéséért felelős munkatársakhoz is továbbítani kell.

Az FTC rendszeresen nyomon követi a védett adatkikötőre vonatkozó végzések teljesítését, ahogyan minden más végzés esetében is teszi. Az FTC komolyan veszi az adatvédelmi és adatbiztonsági végzéseinek a végrehajtását és szükség esetén keresetet indít a végrehajtás érdekében. Például a fent említettek szerint a Google 22,5 millió USD összegű polgári bírságot fizetett annak a vádnak a rendezése során, hogy megsértette az FTC végzését. Nagy jelentőségű, hogy az FTC végzései továbbra is védelmet nyújtanak azoknak a fogyasztóknak az egész világon, akik kapcsolatba lépnek egy vállalkozással, nemcsak azoknak a fogyasztóknak, akik panaszt nyújtottak be.

Végezetül, az FTC továbbra is fenntart egy online listát azokról a vállalatokról, amelyekre a védett adatkikötő program vagy az új adatvédelmi pajzs keretrendszer végrehajtásával kapcsolatban végzést adtak ki (16). Ezenkívül, az elvek nemteljesítése miatt az FTC vagy egy bíróság végzésének hatálya alatt álló vállalatok számára az adatvédelmi pajzs elvei jelenleg előírják az FTC számára benyújtott megfelelőségi vagy értékelési jelentés keretrendszerrel kapcsolatos részeinek a közzétételét, amennyiben az összhangban van a titoktartásra vonatkozó jogszabályokkal és szabályokkal.

V.   UNIÓS ADATVÉDELMI HATÓSÁGOK BEVONÁSA ÉS EGYÜTTMŰKÖDÉS A VÉGREHAJTÁS SORÁN

Az FTC elismeri az uniós adatvédelmi hatóságok által a keretrendszer teljesítésével kapcsolatban játszott fontos szerepet, és támogatja a fokozott együttműködést a tanácskozás és a végrehajtás során. Az esetspecifikus ügyekben megkeresést benyújtó adatvédelmi hatóságokkal folytatott tanácskozás mellett az FTC elkötelezett a 29. cikk szerinti munkacsoport kijelölt képviselőivel folytatott rendszeres megbeszéléseken történő részvétel iránt annak megvitatása érdekében, hogyan lehet általánosságban javítani a keretrendszerrel kapcsolatos végrehajtási együttműködést. Az FTC részt vesz a Kereskedelmi Minisztériummal, az Európai Bizottsággal és a 29. cikk szerinti munkacsoport képviselőivel együtt a keretrendszer éves felülvizsgálatában, ahol megvitatják annak megvalósítását.

Az FTC bátorítja olyan eszközök kidolgozását is, amelyek javítják az uniós adatvédelmi hatóságokkal valamint a világ más adatvédelmet végrehajtó hatóságaival a végrehajtás során folytatott együttműködést. Konkrétan az FTC az Európai Unióban és a világ többi részén levő végrehajtási partnerekkel együtt tavaly egy riasztási rendszert indított be a Globális Adatvédelem Végrehajtási Hálózat („GPEN”) keretében a vizsgálatokra vonatkozó információk megosztása és a végrehajtás összehangolásának elősegítése érdekében. Ez a GPEN riasztási eszköz különösen hasznos lehet az adatvédelmi pajzs keretrendszer esetében. Az FTC és az uniós adatvédelmi hatóságok használhatják arra, hogy összehangolják az intézkedéseiket a keretrendszerrel és más adatvédelmi vizsgálatokkal kapcsolatban, beleértve kiindulásként információk cseréjét annak érdekében, hogy összehangolt és hatékonyabb adatvédelmet tudjanak biztosítani a fogyasztók számára. Várakozással tekintünk a résztvevő uniós hatóságokkal végzett munka folytatására a GPEN riasztási rendszer szélesebb körű létesítése és más eszközök kidolgozása érdekében, amelyek javítják adatvédelmi ügyekben a végrehajtási együttműködést, beleértve a keretrendszerrel kapcsolatosakat.

Az FTC örömmel erősíti meg a kötelezettségvállalását, hogy végrehajtsa az új adatvédelmi pajzs keretrendszert. Szintén várakozással tekintünk az uniós kollégáink részvételére az atlanti térség két oldalán folytatott fogyasztói adatvédelem során végzett munkánk keretében.

---

(1)  További tájékoztatás található az Egyesült Államok szövetségi és állami adatvédelmi törvényeiről az A mellékletben, valamint egy összefoglaló a legutóbbi adatvédelmi és biztonsági végrehajtási tevékenységeinkről a B mellékletben. Ez az összefoglaló elérhető az FTC alábbi honlapján: https://www.ftc.gov/reports/privacy-data-security-update-2015.

(2)  15 U.S.C. § 45(a).

(3)  Lásd FTC megtévesztés-politikai nyilatkozatát, csatolva az alábbihoz: Cliffdale Assocs., Inc., 103 F.T.C. 110, 174 (1984), lérhető: https://www.ftc.gov/public-statements/1983/10/ftc-policy-statement-deception.

(4)  Lásd15 U.S.C § 45(n); FTC tisztességtelen tevékenység-politikai nyilatkozata, csatolva az alábbihoz: Int'l Harvester Co., 104 F.T.C. 949, 1070 (1984), elérhető: https://www.ftc.gov/public-statements/1980/12/ftc-policy-statement-unfairness.

(5)  Lásd California Dental Ass'n kontra FTC, 526 U.S. 756 (1999).

(6)  Lásd a kanadai adatvédelmi biztos irodájának panaszát a PIPEDA alapján az Accusearch, Inc. ellen, amely üzleti tevékenységet folytat, pl. Abika.com címen, https://www.priv.gc.ca/cf-dc/2009/20090090731e.asp. A kanadai adatvédelmi biztos irodája egy amicus curiae levelet nyújtott be az FTC kereset fellebbezésében és saját vizsgálatot folytatott azzal a következtetéssel, hogy az Accusearch gyakorlata megsértette a kanadai jogszabályokat is.

(7)  Lásd FTC kontra Accusearch, Inc., No. 06CV015D (D. Wyo. Dec. 20, 2007), aff'd 570 F.3d 1187 (10th Cir. 2009

(8)  Lásd a True Ultimate Standards Everywhere, Inc. ügyet, No. C-4512 (F.T.C. 2015. március 12.) (határozat és végzés), hozzáférhető az alábbi internetes oldalon: https://www ftc.gov/system/files/documents/cases/150318trust-edo.pdf.

(9)  Lásd a Google, Inc. ügyet, No. C-4336 (F.T.C. 2011. október 13.) (határozat és végzés), hozzáférhető az alábbi internetes oldalon: https://www.ftc.gov/news-events/press-releases/2011/03/ftc-charges-deceptive-privacy-practices-googles-rollout-its-buzz,a Facebook, Inc. ügyben,, No. C-4365 (F.T.C. 2012. július 27.) (határozat és végzés), hozzáférhető az alábbi internetes oldalon: https://www.ftc.gov/news-events/press-releases/2012/08/ftc-approves-final-settlement-facebook; a Myspace LLC ügyben, No. C-4369 (F.T.C. 2012. augusztus 30.) hozzáférhető az alábbi internetes oldalon: https://www.ftc.gov/news-events/press-releases/2012/09/ftc-finalizes-privacy-settlement-myspace.

(10)  Lásd FTC kontra Karnani, No. 2:09-cv-05276 (C.D. Cal. 2011. május 20.) (szerződésszerűen megállapított jogerős végzés), hozzáférhető az alábbi internetes oldalon: https://www.ftc.gov/sites/default/files/documents/cases/2011/06/110609karnanistip.pdf; lásd még Lesley Fair, FTC Business Center Blog, Around the World in Shady Ways, http://www.business.ftc.gov/blog/2011/06/around-world-shady-ways (2011. június 9.).

(11)  Stefan M. Selig, nemzetközi kereskedelemért felelős kereskedelmi miniszterhelyettes (Nemzetközi Kereskedelmi Igazgatóság) levele Věra Jourová jogérvényesülésért, a fogyasztópolitikáért, és a nemek közötti esélyegyenlőségért felelős biztosnak (2016. február 23.).

(12)  Annak meghatározása során, hogy éljen-e az USA biztonságos web törvény szerinti jogkörével, az FTC többek között az alábbiakat fontolja meg: „(A) a kérelmező hivatal elfogadta-e, hogy kölcsönösen segítséget nyújt vagy fog nyújtani a jövőben a Bizottságnak; (B) a kérelem teljesítése sérti-e az Egyesült Államok közérdekét; és (C) a kérelmező hivatal vizsgálata vagy végrehajtási eljárása olyan cselekményekre vagy gyakorlatokra vonatkozik-e, amelyek sérelmet okoznak vagy várhatóan okozhatnak jelentős számú személy számára.” 15 U.S.C. § 46(j)(3). Ez a jogkör nem vonatkozik versenyjogi jogszabályok érvényesítésére.

(13)  A 2012–2015. pénzügyi években, például az FTC alkalmazta az USA biztonságos web törvény szerinti jogkörét arra, hogy információkat osszon meg külföldi hivataloktól kapott mintegy 60 kérelemre válaszul, és közel 60 polgári jogi vizsgálati felszólítást (amely közigazgatási idézéssel egyenértékű) bocsátott ki 25 külföldi vizsgálat segítésére.

(14)  Habár az FTC egyéni fogyasztói panaszokat nem rendez vagy közvetít, az FTC megerősíti, hogy elsőbbséget biztosít az uniós adatvédelmi hatóságok megkereséseinek. Ezenkívül, az FTC a panaszokat feltünteti a fogyasztóőr adatbázisában, amely hozzáférhető sok más bűnüldözési hivatal számára, a trendek azonosítása, a végrehajtási prioritások meghatározása és a vizsgálatok célpontjainak az azonosítása érdekében. Az uniós polgárok ugyanazt a panaszkezelő rendszert használhatják, amely az egyesült államokbeli polgárok számára rendelkezésre áll panaszok benyújtására az FTC-hez a www.ftc.gov/complaint internetes honlapon. Egyéni adatvédelmi pajzs panaszok esetén azonban a legjobb az lehet az uniós polgárok számára, ha a panaszokat a tagállami adatvédelmi hatósághoz vagy más vitarendezési szolgáltatóhoz nyújtják be.

(15)  15 U.S.C. § 45(m); 16 C.F.R. § 1.98.

(16)  Lásd FTC, Business Center, Legal Resources, https://www.ftc.gov/tips-advice/business-center/legal-resources?type=case&field-consumer-protection-topics-tid=251.

V. MELLÉKLET

2016. február 19.

Vera Jourová biztos

Európai Bizottság

Rue de la Loi/Wetstraat 200

1049 l049 Brussels

Belgium

Tárgy: EU-USA adatvédelmi pajzs adatvédelmi pajzs keretrendszer

Tisztelt Jourová biztos asszony!

Az Egyesült Államok Közlekedési Minisztériuma („Minisztérium” vagy „DOT”) nagyra értékeli a lehetőséget, hogy leírhatja az EU-USA adatvédelmi pajzs keretrendszer végrehajtásában játszott szerepét. Ez a keretrendszer kritikus szerepet játszik a kereskedelmi tranzakciók keretében továbbított személyes adatok védelmében az egyre inkább összefonódó világban. Lehetővé teszi a vállalkozások számára fontos tevékenységek végzését a globális gazdaságban, ugyanakkor biztosítja az uniós fogyasztók fontos adatvédelmének fenntartását.

A DOT először több mint 15 évvel ezelőtt fejezte ki elkötelezettségét a védett adatkikötő keretrendszer végrehajtása iránt egy Európai Bizottságnak küldött levélben. Abban a levélben a DOT vállalta a védett adatkikötő adatvédelmi elvek a hatékony végrehajtását. A DOT továbbra is fenntartja ezt a kötelezettségvállalását és ez a levél rögzíti ezt a kötelezettségvállalást.

Nevezetesen a DOT megismétli a kötelezettségvállalását az alábbi fontos területeken: (1) az adatvédelmi pajzs állítólagos megsértésének soron kívüli kivizsgálása; (2) megfelelő végrehajtási intézkedések olyan jogi személyek ellen, amelyek hamis vagy megtévesztő nyilatkozatokat tesznek az adatvédelmi pajzs tanúsításról; és (3) az adatvédelmi pajzs megsértésével kapcsolatos végzések végrehajtásának nyomon követése és közzététele. Tájékoztatást adunk az egyes kötelezettségvállalásokról és a szükséges mértékben a DOT eddigi szerepéről a fogyasztói adatvédelem területén és az adatvédelmi pajzs keretrendszer végrehajtása során.

I.   ELŐZMÉNYEK

A.   A DOT adatvédelmi hatásköre

A Minisztérium erősen elkötelezett a fogyasztók által a légitársaságok és jegyértékesítők számára nyújtott információk védelmének biztosítása iránt. A DOT e területen foganatosított intézkedésekre vonatkozó hatáskörének az alapja a 49 U.S.C. 41712, amely megtiltja a fuvarozók és a jegyértékesítők számára, hogy „tisztességtelen vagy megtévesztő gyakorlatot folytassanak vagy tisztességtelen verseny módszereket alkalmazzanak” a légi közlekedés értékesítése során, amely a fogyasztók sérelmét eredményezi vagy várhatóan eredményezi. A 41712. szakasz a Szövetségi Kereskedelmi Bizottságról szóló törvény (15 U. S. C. 45) 5. szakasza mintájára épül fel. A mi értelmezésünk szerint a tisztességtelen vagy megtévesztő gyakorlatról szóló alapszabály megtiltja a légitársaságok és a jegyértékesítők számára az alábbiakat: (1) az adatvédelmi szabályzatuk feltételeinek a nemteljesítése; vagy (2) magánjellegű információk gyűjtése vagy felfedése olyan módon, amely ellentétes a közrenddel, erkölcstelen vagy jelentős sérelmet okoz a fogyasztóknak, és ezt nem ellensúlyozzák előnyök. Az értelmezésünk szerint a 41712. szakasz megtiltja a légitársaságok és jegyértékesítők számára az alábbiakat is: (1) a Minisztérium által kiadott olyan szabályok megsértése, amelyek konkrét adatvédelmi gyakorlatokat tisztességtelennek vagy megtévesztőnek minősítenek; vagy (2) a gyermekek online adatvédelmi törvényének (COPPA) vagy a COPPA FTC általi megvalósítását jelentő szabályoknak a megsértése. A szövetségi jogszabályok szerint a DOT kizárólagos jogkörrel rendelkezik a légitársaságok adatvédelmi gyakorlatainak a szabályozására, és az FTC-vel közös hatásköre van a jegyértékesítők légi közlekedés értékesítése során folytatott adatvédelmi gyakorlata tekintetében.

Ennek keretében, ha egy légi fuvarozó vagy légi közlekedés értékesítő nyilvánosan kötelezettséget vállal az adatvédelmi pajzs keretrendszer adatvédelmi elvek betartására, akkor a Minisztérium a 41712. szakasz szerinti törvényi jogkörében biztosítani tudja az elvek betartását. Amennyiben tehát egy utas információt közöl egy olyan fuvarozóval vagy jegyértékesítővel, amely vállalta az adatvédelmi pajzs keretrendszer adatvédelmi elveinek a követését, akkor az elvek be nem tartása a 41712. szakasz megsértésének minősülne.

B.   Végrehajtási gyakorlat

A Minisztérium légi közlekedés végrehajtási és eljárási irodája (Légi Közlekedés Végrehajtási Iroda) vizsgálatot indít és eljár a 49 U. S. C. 41712 alá tartozó esetekben. Elsősorban tárgyalások útján – abbahagyásra kötelező közigazgatási határozatok kiadása és polgári bírságokat kirovó végzések révén – érvényesíti a tisztességtelen vagy megtévesztő gyakorlatok 41712. szakasz szerinti törvényi tilalmát,. Az iroda az esetleges jogsértésekről leginkább magánszemélyektől, utazási irodáktól, légitársaságoktól, valamint az Egyesült Államok és más országok kormányzati ügynökségeitől értesül. A fogyasztók a DOT honlapját használhatják adatvédelmi panaszok benyújtására a légitársaságok és jegyértékesítők ellen (1).

Ha egy ügyben nem jutnak ésszerű és megfelelő megállapodásra, a Légi Közlekedés Végrehajtási Iroda hatáskörében áll végrehajtási eljárást kezdeményezni, amelynek része a DOT közigazgatási bírája (ALJ) előtti bizonyítási célú meghallgatás. Az ALJ hatáskörében áll abbahagyásra kötelező közigazgatási határozatok kiadása és polgári bírságok kiszabása. A 41712. szakasz megsértése abbahagyásra kötelező közigazgatási határozat kiadását és polgári bírság kiszabását vonhatja maga után, amelynek összege a 41712. szakasz minden egyes megsértése esetén maximum 27 500 USD.

A Minisztériumnak nem áll hatáskörében kártérítés vagy pénzügyi jóvátétel megítélése az egyéni felperes számára. A Minisztérium azonban rendelkezik hatáskörrel a Légi Közlekedés Végrehajtási Iroda által folytatott vizsgálatok eredményeképpen elért olyan megállapodások jóváhagyására, amelyek a fogyasztók közvetlen kártalanítását eredményezik (pl. készpénz, kupon) az egyébként az Egyesült Államok kormánya számára fizetendő bírságok kiváltására. A múltban így történt, és amennyiben a körülmények szükségessé teszik, az adatvédelmi pajzs keretrendszer elvei kapcsán is így történhet. Ha egy légitársaság ismételten megsértené a 41712. szakasz rendelkezéseit, ez megkérdőjelezi a társaság hajlandóságát az elvek betartására, ami szélsőséges esetekben oda vezethet, hogy a társaságot működésre alkalmatlannak minősítik, és ezáltal elveszti jogát a gazdasági működésre.

Eddig a DOT viszonylag kevés olyan panaszt kapott, amely jegyértékesítők vagy légitársaságok adatvédelmi rendelkezések állítólagos megsértésére vonatkozott. Ilyen esetekben a fenti elvek szerint történik a vizsgálat.

C.   A DOT által uniós fogyasztóknak nyújtott jogvédelem

A 41712. szakasz alapján a tisztességtelen vagy megtévesztő gyakorlatok tilalma a légi közlekedésben vagy légi közlekedés értékesítésében egyesült államokbeli és külföldi légi fuvarozókra, valamint jegyértékesítőkre vonatkozik. A DOT gyakran intézkedik egyesült államokbeli és külföldi légitársaságok ellen olyan gyakorlatok miatt, amelyek mind külföldi, mind egyesült államokbeli fogyasztókat érintenek annak alapján, hogy a légitársaság gyakorlata az Egyesült Államokba irányuló vagy onnan kiinduló közlekedés során történik. A DOT igénybe vesz minden olyan jogorvoslatot, amely rendelkezésre áll mind a külföldi, mind az egyesült államokbeli fogyasztók szabályozott jogi személyek légi közlekedésben folytatott tisztességtelen vagy megtévesztő gyakorlatai elleni védelme érdekében és továbbra is így fog tenni.

A DOT a légitársaságok kapcsán egyéb célzott jogszabályokat is végrehajt, amelyek védelme kiterjed nem amerikai fogyasztókra is, mint például a COPPA. Többek között a COPPA előírja, hogy a gyermekeket célzó honlapok és online szolgáltatások, vagy az általános közönségnek szánt oldalak, amelyek tudatosan gyűjtenek személyes adatokat 13 évnél fiatalabb gyermekektől, biztosítsanak szülői figyelmeztetést, és kérjenek ellenőrizhető szülői hozzájárulást. A COPPA hatálya alá eső egyesült államokbeli honlapoknak és szolgáltatásoknak, amelyek személyes adatokat gyűjtenek külföldi gyermekektől, meg kell felelniük a COPPA rendelkezéseinek. A külföldön levő honlapoknak és online szolgáltatásoknak is meg kell felelniük a COPPA rendelkezéseinek, ha az Egyesült Államokban levő gyermekeket célozzák, vagy ha tudatosan gyűjtenek személyes adatokat az Egyesült Államokban levő gyermekektől. Amennyiben az Egyesült Államokban üzleti tevékenységet folytató egyesült államokbeli vagy külföldi légitársaságok megsértik a COPPA rendelkezéseit, a DOT hatáskörrel rendelkezik végrehajtási intézkedés tételére.

II.   AZ ADATVÉDELMI PAJZS VÉGREHAJTÁSA

Ha egy légitársaság vagy jegyértékesítő úgy dönt, hogy részt vesz az adatvédelmi pajzs keretrendszerben és a Minisztériumhoz olyan panasz érkezik, amely szerint a légitársaság vagy a jegyértékesítő állítólagosan megsértette a keretrendszert, a Minisztérium az alábbi lépéseket teszi a keretrendszer hatékony végrehajtása érdekében.

A.   Állítólagos jogsértések soron kívüli kivizsgálása

A Minisztérium Légi Közlekedés Végrehajtási Irodája kivizsgál minden egyes panaszt, amely az adatvédelmi pajzs megsértését állítja (beleértve az uniós adatvédelmi hatóságoktól kapott panaszokat), és végrehajtási intézkedéseket tesz, ha bizonyíték van a jogsértésre. Ezenkívül a Légi Közlekedés Végrehajtási Iroda együttműködik az FTC-vel és a Kereskedelmi Minisztériummal és soron kívül vizsgálja azokat az állításokat, amelyek szerint a szabályozás alá eső jogi személyek nem teljesítik az adatvédelmi pajzs keretrendszerben tett adatvédelmi kötelezettségvállalásaikat.

Az adatvédelmi pajzs keretrendszer állítólagos megsértésére vonatkozó panasz kézhezvétele után a Minisztérium Légi Közlekedés Végrehajtási Irodája számos intézkedést tehet a vizsgálatának részeként. Például kivizsgálhatja a jegyértékesítő vagy a légitársaság adatvédelmi szabályzatát, további információkat szerezhet be a jegyértékesítőtől vagy légitársaságtól vagy harmadik felektől, tovább vizsgálódhat a megkeresést benyújtó személlyel, megállapíthatja, hogy rendszeres-e a jogsértés, vagy jelentős számú fogyasztó érintett-e. Ezenkívül meghatározhatja, hogy a kérdés a Kereskedelmi Minisztérium vagy az FTC hatáskörébe eső ügyeket érint-e, hogy fogyasztói vagy vállalkozói képzés segíthet-e, és szükség esetén végrehajtási eljárást kezdeményezhet.

Ha a Minisztérium tudomására jut az adatvédelmi pajzs jegyértékesítők általi esetleges megsértése, akkor egyeztet az FTC-vel az ügyről.Ezen túlmenően tájékoztatjuk az FTC-t és a Kereskedelmi Minisztériumot az adatvédelmi pajzs végrehajtási intézkedések eredményeiről.

B.   Hamis vagy megtévesztő részvételi nyilatkozatok tárgyalása

A Minisztérium továbbra is elkötelezett az adatvédelmi pajzs megsértésének kivizsgálása iránt, beleértve az adatvédelmi pajzs program tagságára vonatkozó hamis vagy megtévesztő nyilatkozatokat. Soron kívül vizsgáljuk a Kereskedelmi Minisztérium által olyan szervezetekkel kapcsolatban benyújtott megkereséseket, amelyekről a Minisztérium megállapítja, hogy helytelenül állítják magukról, hogy jelenleg az adatvédelmi pajzs keretrendszer tagjai vagy engedély nélkül használják a keretrendszer tanúsítási jelet.

Ezenkívül kiemeljük, hogy ha egy szervezet adatvédelmi szabályzata azt állítja, hogy megfelel az adatvédelmi pajzs lényeges elveinek, akkor ha elmulasztja a regisztrációt a Kereskedelmi Minisztériumnál vagy annak meghosszabbítását, az várhatóan önmagában nem mentesíti a szervezetet az alól, hogy a DOT végrehajtsa a kötelezettségvállalását.

C.   Az adatvédelmi pajzzsal kapcsolatos végrehajtási végzések nyomon követése és közzététele

A Minisztérium Légi Közlekedés Végrehajtási Irodája továbbra is elkötelezett aziránt, hogy nyomon követi a végrehajtási végzéseket az adatvédelmi pajzs program teljesítésének biztosítása érdekében. Konkrétan, ha az iroda olyan végzést ad ki, amely utasítja a légitársaságot vagy jegyértékesítőt az adatvédelmi pajzs és a 41712. szakasz jövőbeli megsértésének abbahagyására, akkor nyomon követi a végzésben levő abbahagyásra vonatkozó rendelkezés teljesítését. Ezenkívül, az iroda biztosítja, hogy az adatvédelmi pajzs ügyekből eredő végzések elérhetők legyenek a honlapján.

Várakozással tekintünk a szövetségi partnereinkkel és uniós érintett felekkel végzett munkánk folytatására az adatvédelmi pajzzsal kapcsolatos ügyekben.

Remélem, hogy a fenti tájékoztatás hasznosnak bizonyul. Amennyiben még kérdése van, vagy további felvilágosításra volna szüksége, kérem, forduljon hozzám bizalommal.

---

(1)  http://www.transportation.gov/airconsumer/privacy-complaints.

VI. MELLÉKLET

2016. február 22.

Justin S. Antonipillai úr

Tanácsos

Az USA Kereskedelmi Minisztériuma

1401 Constitution Ave., NW

Washington, DC, 20230

Ted Dean úr

államtitkár-helyettes

Nemzetközi Kereskedelmi Minisztérium

1401 Constitution Ave., NW

Washington, DC, 20230

Tisztelt Antonipillai és Dean úr!

Az elmúlt két és fél év során az EU-USA adatvédelmi pajzs érdekében folytatott tárgyalásokkal összefüggésben az Egyesült Államok érdemi tájékoztatást adott az USA hírszerző közössége jelfelderítési tevékenységének működéséről. Ennek részét képezték az irányadó jogi keretre, e tevékenységek többrétű felügyeletére, a tevékenységekkel kapcsolatos kiterjedt átláthatóságra, és a magánélet, illetve az alapvető szabadságjogok átfogó védelmére vonatkozó információk – annak érdekében, hogy az Európai Bizottságot segítsük annak eldöntésében, hogy a védelem megfelelő-e, mivel az adatvédelmi pajzs elvei alóli nemzetbiztonsági kivételhez kapcsolódnak. Ez a dokumentum az átadott információkat foglalja össze.

I.   A PPD-28 ÉS AZ USA JELFELDERÍTŐ TEVÉKENYSÉGÉNEK FOLYTATÁSA

Az USA hírszerző közössége körültekintően szabályozott módon, az USA jogszabályait szigorúan betartva gyűjt külföldi információkat, többrétű ellenőrzés mellett, a fontos külföldi információkra és nemzetbiztonsági prioritásokra összpontosítva. Az USA jelfelderítő tevékenységére sokféle jogszabály és szabályzat vonatkozik, ideértve az USA alkotmányát, a külföldi hírszerzői tevékenység megfigyeléséről szóló törvényt (50 U.S.C. § 1801 és ezt követő rendelkezések) (FISA), a 12333 sz. elnöki rendeletet és annak végrehajtási eljárásait, elnöki iránymutatásokat, valamint a FISA-bíróság és a legfőbb ügyész által jóváhagyott számos eljárást és útmutatót, amelyek további, a külföldi hírszerzési adatok gyűjtését, megőrzését, felhasználását és terjesztését korlátozó szabályokat állapítanak meg (1).

a.   A PPD 28 áttekintése

Obama elnök 2014 januárjában tartott egy beszédet az USA jelfelderítő tevékenységének különféle reformjairól, valamint ezekről a tevékenységekről elnöki szakpolitikai irányelvet (Presidential Policy Directive 28 – PPD-28) adott ki (2). Az elnök hangsúlyozta, hogy az USA jelfelderítő tevékenysége nemcsak országa és annak szabadságjogai garantálásában segít, hanem az uniós tagállamokat is beleértve más olyan országok biztonságának és szabadságjogainak védelmét is előmozdítja, amelyek saját polgáraik védelme végett az USA hírszerző ügynökségeinek információira hagyatkoznak.

A PPD-28 olyan elvek és követelmények sorát állapítja meg, amelyek az USA valamennyi jelfelderítő tevékenységére és – állampolgárságra vagy tartózkodási helyre tekintet nélkül – mindenkire vonatkoznak. Meghatároz különösen bizonyos követelményeket az amerikai jelfelderítés keretében szerzett, nem egyesült államokbeli személyekre vonatkozó személyes adatok gyűjtésével, megőrzésével és terjesztésével kapcsolatos eljárásokra. Ezek a követelmények a későbbiekben részletesen kifejtésre kerülnek, de összefoglalva az alábbiak:

—	A PPD megismétli, hogy az Egyesült Államok csak törvény, elnöki rendelet vagy más elnöki irányelv felhatalmazásának megfelelően gyűjt jelfelderítési adatokat.

—	A PPD eljárásrendet hoz létre azt biztosítandó, hogy a jelfelderítési tevékenységet csak jogszerű és megengedett nemzetbiztonsági célok előmozdítására végezzék.

—

A PPD előírja továbbá, hogy jelfelderítési tevékenységek tervezésekor a magánéletnek és az alapvető szabadságjogoknak központi megfontolásnak kell lennie. Az Egyesült Államok nem gyűjt hírszerzési adatokat különösen bírálat vagy egyet nem értés elnyomására; személyek etnikumuk, fajuk, nemük, szexuális beállítottságuk vagy vallásuk alapján történő hátrányos megkülönböztetésére; vagy pedig egyesült államokbeli vállalatok vagy üzleti ágazatok számára kereskedelmi versenyelőny biztosítására.

—	A PPD előírja, hogy a jelfelderítési adatok gyűjtésének a lehető legcélzottabbnak kell lennie, és a tömeges jelfelderítési adatgyűjtés csak konkrét megnevezett célokra használható fel.

—

A PPD előírja, hogy a hírszerző közösség olyan eljárásrendeket fogad el, amelyek „kialakítása ésszerűen a minimumra csökkenti a jelfelderítési tevékenységekből gyűjtött személyes adatok terjesztését és megőrzését”, és kiterjeszti különösen az egyesült államokbeli személyek személyes adataira vonatkozó védelmet nem egyesült államokbeli személyek adataira.

—	A PPD-28-at végrehajtó hivatali eljárásrendek elfogadása és közzététele megtörtént.

Egyértelmű, hogy az itt meghatározott eljárások és védelem az adatvédelmi pajzsra is vonatkozik. Amennyiben Egyesült Államokban található vállalatokhoz történik adatok továbbítása az adatvédelmi pajzsnak megfelelően vagy ténylegesen bármilyen módon, az egyesült államokbeli hírszerző ügynökségek csak akkor kérhetik le ezeket az adatokat a vállalatoktól, ha a kérés a FISA-nak megfelel, vagy azt az alábbiakban ismertetett valamely nemzetbiztonsági levél jogszabályi rendelkezései szerint küldik meg (3). Emellett – az azt állító médiabeszámolók megerősítése vagy tagadása nélkül, hogy az USA hírszerző közössége adatokat gyűjt az Atlanti óceánt átszelő kábeleken történő adatforgalomból – ha az USA hírszerző közössége az Atlanti óceánt átszelő kábelekről gyűjtene adatokat, arra is vonatkoznának az itt ismertetett korlátozások és biztosítékok, beleértve a PPD-28 követelményeit is.

b.   Az adatgyűjtés korlátai

A PPD-28 több jelentős általános elvet rögzít, amelyek a a jelfelderítési adatok gyűjtését szabályozzák:

—	A jelfelderítési adatok gyűjtését törvénynek vagy elnöki felhatalmazásnak kell engedélyeznie, és azt az alkotmánynak és a törvényeknek megfelelően kell végezni.

—	A magánélet és az alapvető szabadságjogok védelmének a jelfelderítési tevékenységek tervezésekor alapvető megfontolásnak kell lennie.

—	Jelfelderítési adatok gyűjtésére csak akkor kerül sor, amikor annak érvényes külföldi hírszerzési vagy kémelhárítási célja van.

—	Az Egyesült Államok nem fog jelfelderítési adatokat gyűjteni bírálat vagy egyet nem értés elfojtására vagy megnehezítésére.

—	Az Egyesült Államok nem fog jelfelderítési adatokat gyűjteni abból a célból, hogy személyeket etnikumuk, fajuk, nemük, szexuális beállítottságuk vagy vallásuk alapján hátrányosan megkülönböztessen.

—	Az Egyesült Államok nem fog jelfelderítési adatokat gyűjteni abból a célból, hogy egyesült államokbeli vállalatok vagy üzleti ágazatok számára kereskedelmi versenyelőnyt biztosítson.

—

Az Egyesült Államok jelfelderítési tevékenységének minden esetben a lehető legcélzottabbnak kell lennie, figyelemmel az elérhető egyéb információforrásokra. Ez egyebek mellett azt is jelenti, hogy – amennyiben az a gyakorlatban megvalósítható – a jelfelderítési adatok gyűjtési tevékenységét célzottan, nem pedig tömegesen végzik.

Az a követelmény, hogy a jelfelderítési tevékenységnek „a lehető legcélzottabbnak kell lennie”, vonatkozik a jelfelderítési adatok gyűjtésének módjára és a ténylegesen gyűjtött adatok körére is. Például annak meghatározásakor, hogy kell-e jelfelderítési adatokat gyűjteni, a hírszerző közösségnek figyelembe kell vennie egyéb információk elérhetőségét, beleértve a diplomáciai vagy állami forrásokat, és az adatgyűjtésben ezeknek az eszközöknek kell prioritást biztosítania, amennyiben ez ésszerű és megvalósítható. Emellett a hírszerző közösség tagjai szabályzatainak elő kell írniuk, hogy amennyiben az a gyakorlatban megvalósítható, az adatgyűjtést konkrét külföldi hírszerzési célpontokra vagy témakörökre kell koncentrálni, diszkriminánsok (pl. konkrét létesítmények, kiválasztási feltételek és azonosítók).

Fontos a Bizottságnak adott tájékoztatást egészében nézni. Annak eldöntését, hogy mi a „megvalósítható” vagy „gyakorlatban megvalósítható”, nem bízzák egyéni mérlegelésre, hanem azt a hivatalok PPD-28 alapján kiadott és nyilvánosságra hozott szabályzatai és az itt ismertetett többi eljárás rendezi (4). Amint azt a PPD-28 kimondja, a jelfelderítési adatok tömeges gyűjtése az az adatgyűjtés, amely „műszaki vagy operatív megfontolások miatt diszkriminánsok (pl. konkrét azonosítók, kiválasztási feltételek stb.) használata nélkül történik.” Ebben a vonatkozásban a PPD-28 elismeri, hogy a hírszerző közösség tagjainak bizonyos körülmények között a jelfelderítési adatokat tömegesen kell gyűjteniük az új vagy kialakuló veszélyek és más létfontosságú nemzetbiztonsági információk azonosítására, amelyek gyakran el vannak rejtve a modern globális kommunikáció hatalmas és összetett rendszerében. Elismeri továbbá a magánélettel és az alapvető szabadságjogokkal kapcsolatban a jelfelderítési adatok tömeges gyűjtésekor felmerülő aggályokat. A PPD-28 ezért a hírszerző közösséget arra utasítja, hogy részesítse előnyben azokat a lehetőségeket, amelyek a jelfelderítési adatok tömeges gyűjtése helyett azok célzott gyűjtését teszik lehetővé. Ennélfogva a hírszerző közösség tagjainak minden olyan esetben, amikor az a gyakorlatban megvalósítható, a jelfelderítési adatok tömeges gyűjtése helyett célzott gyűjtést kell végeznie (5). Ezek az elvek biztosítják, hogy a tömeges adatgyűjtés alóli kivételek ne iktassák ki az általános szabályt.

Az „ésszerűség” fogalmát illetően: ez az USA jogának alapköve. Azt jelzi, hogy a hírszerző közösség tagjai számára nem kötelező minden elméletileg lehetséges intézkedés elfogadása, hanem ehelyett egyensúlyt kell teremteniük a magánélet és az alapvető szabadságjogok védelméhez fűződő érdek jogszerű védelmére irányuló erőfeszítéseik és a jelfelderítési tevékenységek gyakorlati szükségletei között. Ebben a kérdésben is elérhetőek a hivatalok szabályzatai, és bizonyosságot nyújthatnak arra, hogy a „kialakítása ésszerűen a minimumra csökkenti a jelfelderítési tevékenységekből gyűjtött személyes adatok terjesztését és megőrzését” megfogalmazás ne gyengítse az általános szabályt.

A PPD-28 előírja továbbá, hogy a tömeges jelfelderítési adatgyűjtés csak hat konkrét célra használható fel: külföldi hatalmak bizonyos tevékenységeinek felkutatása és megakadályozása; terrorizmus elleni küzdelem; fegyverek elterjedése elleni küzdelem; kiberbiztonság; az USA-t vagy szövetséges fegyveres erőket fenyegető veszélyek felkutatása és elhárítása; valamint nemzetközi bűnügyi fenyegetések elleni küzdelem, ideértve a szankciók megkerülését. Az elnök nemzetbiztonsági tanácsadója a nemzeti hírszerzés igazgatójával (Director for National Intelligence – DNI) egyeztetve évente felülvizsgálja a tömeges jelfelderítési adatgyűjtés megengedett felhasználási módjait annak felmérésére, hogy azokat szükséges-e megváltoztatni. A DNI ezt a listát a nemzetbiztonsággal összeegyeztethető legnagyobb mértékben nyilvánosan elérhetővé teszi. Ez fontos és átlátható korlátot szab a tömeges jelfelderítési adatgyűjtés felhasználása elé.

Ezen túlmenően a hírszerző közösség PPD-28-at végrehajtó tagjai megerősítették a nem értékelt jelfelderítési adatok lekérdezésére vonatkozó meglevő elemzési gyakorlatukat és normáikat (6). Az elemzőknek lekérdezéseiket, illetve az egyéb keresési feltételeket és technikákat úgy kell kialakítaniuk, hogy azok biztosítsák a jogszerű külföldi hírszerzési vagy bűnüldözési feladat tekintetében releváns hírszerzési információk azonosítását. Ebből a célból a hírszerző közösség tagjainak személyekre vonatkozó lekérdezéseiket a külföldi hírszerzési vagy bűnüldözési követelményeknek megfelelő jelfelderítési információkra kell összpontosítaniuk annak érdekében, hogy a személyes adatok külföldi hírszerzési vagy bűnüldözési követelményekhez nem tartozó felhasználása megelőzhető legyen.

Fontos hangsúlyozni, hogy az internetes kommunikációra vonatkozó minden olyan tömeges adatgyűjtési tevékenység, amelyet az USA hírszerző közössége jelfelderítésen keresztül végez, csak az internet kis részén történik. Ezen túlmenően a célzott lekérdezések fent ismertetett felhasználása biztosítja, hogy az elemzőkhöz csak azok az adatok kerüljenek vizsgálatra, amelyekről potenciális hírszerzési értéket feltételeznek. E korlátok célja minden ember magánéletének és alapvető szabadságjogainak védelme, állampolgárságtól és tartózkodási helytől függetlenül.

Az Egyesült Államok eljárásokat dolgozott ki annak biztosítására, hogy jelfelderítési tevékenységeket csak megfelelő nemzetbiztonsági célok támogatására folytassanak. Minden évben az elnök jelöli ki – kiterjedt, hivatalos hivatalközi folyamatot követően – a külföldi hírszerzési adatgyűjtés kiemelt országos prioritásait. A DNI feladata ezeknek a hírszerzési prioritásoknak a nemzeti hírszerzési prioritási keretbe (NIPF) történő átültetése. A PPD-28 erősítette és továbbfejlesztette ezt a hivatalközi folyamatot annak biztosítására, hogy a hírszerző közösség valamennyi hírszerzési prioritását magas szintű politikai szereplők tekintsék át és hagyják jóvá. A hírszerző közösség 204. sz. irányelve (Intelligence Community Directive – ICD) további útmutatást nyújt a NIPF-ről és azt 2015 januárjában frissítették a PPD-28 követelményeinek beépítése céljából (7). Noha a NIPF titkos, az USA konkrét külföldi hírszerzési prioritásai évente megjelennek a DNI nem titkos globális fenyegetésértékelésében (Worldwide Threat Assessment), amely szabadon elérhető az ODNI weboldalán.

A nemzeti hírszerzési prioritási keret (National Intelligence Priorities Framework – NIPF) a prioritásokat meglehetősen általánosan fogalmazza meg. Ide tartoznak olyan kérdések, mint adott külföldi ellenfelek részéről nukleáris és ballisztikus rakétakapacitások kiépítése, a kábítószerkartell-korrupció hatásainak és meghatározott országokban az emberi jogi visszaéléseknek a figyelemmel kísérése. És ezek nem csak a jelfelderítésre, hanem valamennyi hírszerzési tevékenységre vonatkoznak. A NIPF prioritásainak tényleges jelfelderítési adatgyűjtésbe történő átültetéséért felelős szervezet a Nemzeti Jelfelderítési Bizottság (National Signals Intelligence Committee vagy SIGCOM). A bizottság a Nemzetbiztonsági Ügynökség (National Security Agency – NSA) igazgatójának égisze alatt működik, akit a 12333. sz. elnöki rendelet a „jelfelderítés funkcionális irányítójának” jelöl ki, aki a jelfelderítés felügyeletéért és a hírszerző közösség egészén belüli koordinálásáért felel, a védelmi miniszter és a DNI együttes felügyelete alatt. A SIGCOM-ban a hírszerző közösség valamennyi tagja képviselve van, és mivel az Egyesült Államok teljes körűen végrehajtja a PPD-28-at, teljes körű képviseletet kapnak a jelfelderítésben politikailag érdekelt más minisztériumok és hivatalok is.

Minden olyan egyesült államokbeli minisztérium és hivatal, amely a külföldi hírszerzést igénybe veszi, adatgyűjtési kérését a SIGCOM-hoz terjeszti be. A SIGCOM felülvizsgálja ezeket a kéréseket, biztosítja, hogy azok összhangban álljanak a NIPF-fel, és azokat prioritásokhoz rendeli a következő szempontok felhasználásával:

—	Képesek a jelfelderítési adatok hasznos információkat nyújtani ebben az esetben vagy léteznek jobb vagy költséghatékonyabb információforrások – köztük például műholdképes vagy nyílt forrású információk – a követelmény teljesítésére?

—	Mennyire lényeges az információ iránti igény? Ha a NIPF-ben előresorolt prioritás, a leggyakrabban kiemelt jelfelderítési prioritás lesz.

—	Milyen típusú jelfelderítés használható?

—	Az adatgyűjtés a lehető legcélzottabb? Szükség van időbeli, földrajzi vagy egyéb korlátozásokra?

Az USA jelfelderítési követelményekkel kapcsolatos eljárása más tényezők kifejezett mérlegelését is megköveteli, jelesül:

—	Az adatgyűjtés célpontja vagy az adatgyűjtéshez használt módszer különösen kényes? Ha igen, azt magas rangú politikai szereplőknek is meg kell vizsgálnia.

—	Az adatgyűjtés indokolatlan kockázatot fog jelenteni a magánélet és az alapvető szabadságjogok tekintetében, állampolgárságtól függetlenül?

—	Szükségesek további terjesztési vagy megőrzési garanciák a magánélethez vagy nemzetbiztonsághoz fűződő érdekek megvédéséhez?

Végezetül – a folyamat végén – az NSA képzett személyzetéhez kerülnek a SIGCOM által validált prioritások, és felkutatják és megjelölik a konkrét kiválasztási feltételeket, így a telefonszámokat vagy e-mail címeket, amelyek várhatóan a prioritásoknak megfelelő külföldi hírszerzési adatgyűjtést eredményeznek. Az NSA adatgyűjtési rendszerébe való felvitel előtt minden kiválasztási feltételt felül kell vizsgálni és jóvá kell hagyni. Még ebben az esetben is az, hogy a tényleges adatgyűjtés megvalósul-e és mikor, részben olyan további megfontolásokon fog múlni, mint a megfelelő adatgyűjtési források elérhetősége. Ez a folyamat biztosítja, hogy az USA jelfelderítési adatgyűjtésének célpontjai érvényes és fontos külföldi hírszerzési szükségleteket tükrözzenek. És természetesen a FISA szerinti adatgyűjtéskor az NSA-nak és más hivataloknak követniük kell a külföldi hírszerzést felügyelő bíróság által jóváhagyott korlátozásokat. Röviden: sem az NSA, sem pedig más egyesült államokbeli hírszerző ügynökség nem dönt saját maga arról, hogy milyen adatot gyűjtsön.

Összességében ez a folyamat biztosítja, hogy az USA valamennyi hírszerzési prioritását olyan magas szintű politikai szereplők határozzák meg, akik a legmegfelelőbb helyzetben vannak az USA külföldi hírszerzési követelményeinek meghatározásához, és hogy ezek a politikai szereplők ne csak a hírszerzési adatgyűjtés potenciális értékét vegyék figyelembe, hanem az adatgyűjtéshez társuló kockázatokat is, ideértve a magánélettel, nemzetgazdasági érdekekkel és külkapcsolatokkal kapcsolatos kockázatokat is.

Az adatvédelmi pajzs szerint az Egyesült Államokba továbbított adatok vonatkozásában – noha az Egyesült Államok nem tudja megerősíteni vagy tagadni konkrét hírszerzési módszerek vagy műveletek létét – a PPD-28 követelményei vonatkoznak az Egyesült Államok által végzett valamennyi jelfelderítési műveletre, a gyűjtött adatok típusától vagy forrásától függetlenül. Továbbá a jelfelderítési adatgyűjtésre vonatkozó korlátok és biztosítékok vonatkoznak a nem engedélyezett célú jelfelderítésre is, egyaránt ideértve a külkapcsolati és a nemzetbiztonsági célokat is.

A fent tárgyalt eljárások egyértelmű elkötelezettséget tükröznek az önkényes és megkülönböztetés nélküli jelfelderítési adatgyűjtés megelőzése, valamint kormányunk legmagasabb szintje részéről az ésszerűség elvének érvényesítése mellett. A PPD-28 és a hivatali végrehajtási eljárások pontosítják az Egyesült Államok jelfelderítési adatgyűjtésének és az ilyen adatok felhasználásának új és a meglevő korlátozásait, valamint konkretizálják annak céljait. Ezek bizonyosságot adnak arra vonatkozóan, hogy a jelfelderítési tevékenységek jelenleg és a jövőben is csak jogszerű külföldi hírszerzési célok előmozdítását szolgálják.

c.   Az adatok megőrzésére és terjesztésére vonatkozó korlátozások

A PPD-28 4. szakasza előírja, hogy a hírszerző közösség minden tagjának kifejezett, az egyesült államokbeli személyekre vonatkozó korlátokkal összehasonlítható korlátozásokkal kell rendelkeznie a nem egyesült államokbeli személyekre vonatkozó, jelfelderítéssel gyűjtött személyes adatok megőrzése és terjesztése vonatkozásában. Ezek a szabályok beépítésre kerültek a hírszerző közösség minden egyes ügynökségének eljárásaiba, amelyeket 2015 februárjában adtak ki és nyilvánosan hozzáférhetőek. Ahhoz, hogy valamely személyes adat külföldi hírszerzési adatként megőrizhető és terjeszthető legyen, annak a fent ismertetett NIPF-folyamatban meghatározott, engedélyezett hírszerzési követelményhez kell kapcsolódnia; feltételezhetőnek kell lennie róla, hogy bűncselekmény bizonyítéka, vagy pedig meg kell felelnie a 12333. sz. elnöki rendelet 2.3. szakaszában meghatározott, az egyesült államokbeli személyekre vonatkozó adatmegőrzési normák egyikének.

Az olyan adatokat, amelyekre ez a vizsgálat nem történt meg, legfeljebb öt évig lehet megőrizni, kivéve, ha a DNI kifejezetten úgy dönt, hogy a további megőrzés az Egyesült Államok nemzetbiztonsági érdeke. Így a hírszerző közösség tagjainak az adatgyűjtést követően öt évvel törölniük kell a nem egyesült államokbeli személyekre vonatkozó, jelfelderítéssel gyűjtött adatokat, kivéve, ha például megállapítást nyer, hogy az információ valamely engedélyezett külföldi hírszerzési követelményhez releváns, vagy ha a DNI úgy dönt – az ODNI alapvető szabadságjogok védelmével foglalkozó hivatalnoka álláspontjának megfontolását követően –, hogy az adatok további megőrzése nemzetbiztonsági érdek.

Ezen túlmenően valamennyi hivatal PPD-28-at végrehajtó szabályzatai most kifejezetten előírják, hogy valamely személyre vonatkozó információk nem terjeszthetőek pusztán azon az alapon, hogy az illető nem egyesült államokbeli személy, és az ODNI irányelvet adott ki a hírszerző közösség valamennyi tagjának (8), amely tartalmazza ezt a követelményt. A hírszerző közösség személyzete számára a hírszerzési jelentések elkészítésekor és terjesztésekor konkrét előírás a nem egyesült államokbeli személyek magánélet védelméhez fűződő érdekeinek figyelembevétele. Nem minősülnek különösen terjeszthetőnek vagy tartósan megőrizhetőnek a külföldi személy rutinszerű tevékenységeire vonatkozó jelfelderítési adatok egyedül amiatt, mert külföldiről van szó, kivéve, ha ezek az adatok egyébként felhasználhatóak egy engedélyezett külföldi hírszerzési követelmény céljaira. Ez egy fontos korlátozás elismerése és válasz az Európai Bizottság külföldi hírszerzés 12333. sz. elnöki rendeletben szereplő fogalommeghatározásának tág hatókörével kapcsolatban megfogalmazott aggályaira.

d.   Megfelelés és felügyelet

A külföldi hírszerzés felügyeletének egyesült államokbeli rendszere szigorú és többrétű felügyeletet nyújt a vonatkozó jogszabályok és eljárások betartásának biztosítására, ideértve a nem egyesült államokbeli személyekre vonatkozó, jelfelderítéssel szerzett adatok PPD-28-ban meghatározott gyűjtésére, megőrzésére és terjesztésére vonatkozó jogszabályokat és eljárásokat. Ezek közé tartoznak a következők:

—

A hírszerző közösség több száz felügyeleti tevékenységet ellátó személyt foglalkoztat. Egyedül az NSA-nál több mint 300 fő foglalkozik a megfeleléssel, és a többi tagnak is van megfelelési irodája. Emellett az Igazságügyi Minisztérium kiterjedt felügyeletet gyakorol a hírszerzési tevékenységek felett, valamint a Védelmi Minisztérium is lát el felügyeletet.

—

A hírszerző közösség minden tagjánál saját főellenőri iroda működik, amelynek egyebek mellett a külföldi hírszerzési tevékenységek felügyelete is a feladatai közé tartozik. A főellenőrök függetlenségét jogszabály írja elő, tág vizsgálati, ellenőrzési és programfelügyeleti hatáskörük van, ideértve a csalást vagy a joggal való visszaélést,illetve jogsértéseket, és korrekciós intézkedéseket javasolhatnak. Noha a főellenőri ajánlások nem kötelezőek, a főellenőr jelentését gyakran nyilvánosságra hozzák és minden esetben beterjesztik a Kongresszusnak; ebbe beletartoznak az utójelentések is, ha a korábbi jelentésben ajánlott korrekciós intézkedéseket még nem hajtották végre. A Kongresszus ezért értesül minden meg nem felelési esetről és nyomást gyakorolhat a korrekciós intézkedés megvalósítása érdekében, a költségvetési eszközökön keresztül történő nyomásgyakorlást is ideértve. A hírszerzési programokról szóló számos főellenőri jelentés nyilvánosan is közzé lett téve (9).

—

Az ODNI polgári szabadságjogi és adatvédelmi hivatalának (Civil Liberties and Privacy Office – CLPO) feladata annak biztosítása, hogy a hírszerző közösség működésének módja az alapvető szabadságjogok és a magánélethez fűződő jogok védelme mellett mozdítsa elő a nemzetbiztonságot (10). A hírszerző közösség más tagjainak saját adatvédelmi tisztviselőjük van.

—

Az adatvédelmi és polgári szabadságjogi felügyelő tanács (Privacy and Civil Liberties Oversight Board – PCLOB), egy törvénnyel létrehozott független szerv feladata a terrorizmus elleni programok és szakpolitikák elemzése és áttekintése a jelfelderítés alkalmazására kiterjedően, azt biztosítandó, hogy azok megfelelően óvják a magánéletet és az alapvető szabadságjogokat. A tanács több nyilvános jelentést adott ki a hírszerzési tevékenységekről.

—	Amint az a későbbiekben részletesebben kifejtésre kerül, a független szövetségi bírákból álló, külföldi hírszerzést felügyelő bíróság feladata a FISA szerint folytatott jelfelderítési adatgyűjtési tevékenységek felügyelete és megfelelésének biztosítása.

—	Végezetül az USA Kongresszusa, konkrétan a Képviselőház és a Szenátus hírszerzési és igazságügyi bizottsága rendelkezik jelentős felügyeleti feladatkörökkel az USA valamennyi külföldi hírszerzés tevékenysége tekintetében, az USA jelfelderítési tevékenységét is ideértve.

E hivatalos felügyeleti mechanizmusok mellett a hírszerző közösség is számos mechanizmust rendszeresített annak biztosítására, hogy a hírszerző közösség megfeleljen az adatgyűjtés fent ismertetett korlátozásainak. Például:

—	A kabinet tisztviselőinek minden évben ellenőrizniük kell jelfelderítési követelményeiket.

—

Az NSA a teljes adatgyűjtési folyamat alatt ellenőrzi a jelfelderítési célpontokat annak megállapítására, hogy azok ténylegesen a prioritásoknak megfelelő értékes külföldi hírszerzési információkat adnak-e, és amennyiben nem, leállítja az adott célpontokra vonatkozó adatgyűjtést. További eljárások biztosítják a kiválasztási feltételek időszakos felülvizsgálatát.

—

Az Obama elnök által kinevezett független felülvizsgáló csoport ajánlására a DNI új mechanizmust hozott létre a célpont jellegére vagy az adatgyűjtés módjára figyelemmel különösen kényes jelfelderítési adatok gyűjtése és terjesztése nyomon követésére azt biztosítandó, hogy az összhangban álljon a politikai szereplők szándékaival.

—

Végezetül az ODNI évente felülvizsgálja a hírszerző közösség erőforrásainak elosztását a NIPF prioritásaihoz és a hírszerzés egészének küldetéséhez képest. Ez a felülvizsgálat kiterjed a hírszerzési adatgyűjtés valamennyi fajtája, így a jelfelderítési adatgyűjtés értékére, mind visszamenőlegesen – mennyire volt sikeres a hírszerző közösség céljai elérésében? –, mind pedig a jövőre nézve – melyek lesznek a hírszerző közösség jövőbeli szükségletei? Ez biztosítja, hogy a jelfelderítési erőforrásokat a legfontosabb nemzeti prioritásokra fordítsák.

Amint ez az átfogó áttekintés is bizonyítja, a hírszerző közösség nem saját maga dönti el, hogy mely beszélgetéseket hallgassa le, nem próbál meg minden adatot begyűjteni, illetve nem ellenőrizetlenül működik. Tevékenységei politikai szereplők által kitűzött prioritások köré csoportosulnak egy olyan folyamat révén, amelynek részét képezik a kormányzat minden részéről érkező hozzászólások, és amelyet az NSA-n belül, illetőleg az ODNI, az Igazságügyi Minisztérium és a Védelmi Minisztérium részéről is felügyelnek.

A PPD-28-nak része több más, annak biztosítását szolgáló intézkedés is, hogy a jelfelderítéssel gyűjtött személyes adatok állampolgárságra tekintet nélkül védelemben részesüljenek. A PPD-28 rendelkezik például adatbiztonsági, adatbetekintési és adatminőségi eljárásokról a jelfelderítéssel gyűjtött személyes adatok védelmére, és kötelező képzést ír elő azt biztosítandó, hogy a munkaerő megértse a személyes adatok állampolgárságtól független védelmének felelősségét. A PPD további felügyeleti és megfelelési mechanizmusokról is rendelkezik. Ide tartoznak az illetékes felügyelő és megfelelési tisztviselők részéről a jelfelderítéssel érintett személyes adatok védelmi gyakorlata tekintetében lefolytatott időszaki ellenőrzések és felülvizsgálatok. A felülvizsgálatnak le kell fednie az ilyen információk védelmére szolgáló eljárások hivatal általi betartásának vizsgálatát is.

Emellett a PPD-28 rendelkezik arról, hogy a nem egyesült államokbeli személyekhez kapcsolódó jelentős megfelelési problémákat felsőbb kormányzati szinten fogják rendezni. Amennyiben a jelfelderítéssel bármely személyről gyűjtött személyes adatokat érintő jelentős megfelelési probléma merül fel, a problémát – a meglevő beszámolási követelményeken túl – a DNI-nek is haladéktalanul jelenteni kell. Ha a probléma nem egyesült államokbeli személy személyes adataival kapcsolatos, a DNI a külügyminiszterrel és a hírszerző közösség érintett tagjának vezetőjével egyeztetve határozza meg, hogy lépéseket kell-e tenni az érintett külföldi kormány értesítésére, a források, módszerek és az egyesült államokbeli személyzet védelmével összeegyeztethető módon. Emellett – a PPD-28-ban előírtaknak megfelelően – a külügyminiszter kijelölt egy magas rangú tisztviselőt, Catherine Novelli miniszter-helyettest, azon külföldi kormányokkal való kapcsolattartásra, amelyek az Egyesült Államok jelfelderítési tevékenységeivel kapcsolatban aggályaiknak kívánnak hangot adni. A magas szintű részvétel melletti elkötelezettség példázza az USA kormánya által az elmúlt évtizedekben annak érdekében tett erőfeszítéseket, hogy megerősítse az egyesült államokbeli személyek és nem egyesült államokbeli személyek adatai tekintetében a magánélet védelmére rendszeresített számos és egymást átfedő védekezési intézkedésbe vetett bizalmat.

e.   Összefoglalás

Az Egyesült Államok külföldi hírszerzési adatok gyűjtésére, megőrzésére és terjesztésére vonatkozó folyamatai jelentős magánélet-védelmi eszközöket nyújtanak minden ember személyes adatai vonatkozásában, állampolgárságra tekintet nélkül. Ezek a folyamatok biztosítják különösen, hogy hírszerző közösségünk nemzetbiztonsági küldetésére összpontosítson, az irányadó törvények, elnöki rendeletek és elnöki irányelvek falhatalmazásának megfelelően; védje az adatokat az illetéktelen hozzáféréstől, felhasználástól és feltárástól, és tevékenységeit többrétű ellenőrzés és felügyelet mellett folytassa, beleértve a kongresszusi bizottságok általi felügyeletet. A PPD-28 és az azt végrehajtó eljárások képviselik arra irányuló erőfeszítéseinket, hogy kiterjesszünk bizonyos minimalizálási és más alapvető adatvédelmi elveket állampolgárságra tekintet nélkül valamennyi személy személyes adataira. Az USA részéről történő jelfelderítési adatgyűjtésre az USA jogának és elnöki útmutatásainak elvei és követelményei vonatkoznak, beleértve a PPD-28-ban meghatározott védelmi eszközöket. Ezek az elvek és követelmények biztosítják, hogy valamennyi személyt állampolgárságára és lakóhelyére tekintet nélkül méltósággal és tisztelettel kezeljenek, és elismerjék, hogy mindenkinek jogos adatvédelmi érdeke fűződik személyes adatainak kezeléséhez.

II.   A KÜLFÖLDI HÍRSZERZŐI TEVÉKENYSÉG MEGFIGYELÉSÉRŐL SZÓLÓ TÖRVÉNY – 702. SZAKASZ

A külföldi hírszerzői tevékenység megfigyeléséről szóló törvény (11) 702. szakasza szerinti adatgyűjtés nem „tömeges és megkülönböztetés nélküli”, hanem szűk körben a jogszerű célpontként azonosított magánszemélyekre vonatkozó külföldi hírszerzési adatok gyűjtésére irányul, valamint független bírói ellenőrzés és a végrehajtó hatalom és a Kongresszus részéről egyaránt jelentős ellenőrzés és felügyelet alatt áll. A 702. szakasz szerinti adatgyűjtés a PPD-28 követelményeinek hatálya alá tartozó jelfelderítésnek minősül (12).

A 702. szakasz szerinti adatgyűjtés a legértékesebb hírszerzési források egyike, amely egyszerre védi az Egyesült Államok és európai partnereink érdekeit is. Nyilvánosan elérhető a 702. szakasz működésére és felügyeletére vonatkozó részletes tájékoztatás. A programhoz kapcsolódó számos bírósági beadvány, bírósági határozat és felügyeleti jelentés titkosítását feloldották, és azokat az ODNI nyilvános közzétételi webhelyén közzétették: www.icontherecord.tumblr.com. Emellett a PCLOB átfogó elemzést végzett a 702. szakasz vonatkozásában, amelyről a jelentés elérhető itt: https://www.pclob.gov/library/702-Report.pdf. (13)

A 702. szakasz a FISA 2008. évi módosításakor került elfogadásra (14), hosszadalmas kongresszusi vitát követően. Felhatalmazást ad külföldi hírszerzési információk Egyesült Államokon kívül tartózkodó nem egyesült államokbeli célszemélyeken keresztül történő beszerzésére, az USA elektronikus kommunikációs szolgáltatóinak kötelező támogatásával. A 702. szakasz felhatalmazza a legfőbb ügyészt és a DNI-t – mindkettő az elnök által kinevezett és a Szenátus által megerősített kabinet tisztviselő – éves tanúsítványoknak a FISA-bírósághoz történő benyújtására (15). Ezek a tanúsítványok adják meg a gyűjtendő külföldi hírszerzési adatok konkrét kategóriáit, ilyenek a terrorizmus vagy tömegpusztító fegyverek elleni küzdelemmel kapcsolatos hírszerzési adatok, amelyeknek a FISA-törvényben meghatározott külföldi hírszerzési kategóriákba kell tartozniuk (16). Ahogy a PCLOB megjegyezte, „[e]zek a korlátozások nem engedélyezik a külföldiekre vonatkozó információk korlátlan gyűjtését.” (17)

A tanúsítványok szükségesek a FISA-bíróság által kötelezően áttekintendő és jóváhagyandó „célzási” és „minimalizálási” eljárások felvételéhez is (18). A célzási eljárások annak biztosítására szolgálnak, hogy az adatgyűjtési eljárásokra csak a törvényi felhatalmazásnak megfelelően és a tanúsítványok hatókörén belül kerüljön sor, a minimalizálási eljárások célja pedig az egyesült államokbeli személyekre vonatkozó információk megszerzésének, terjesztésének és megőrzésének korlátozása, de tartalmaznak olyan rendelkezéseket is, amelyek érdemi védelmet nyújtanak a nem egyesült államokbeli személyekre vonatkozó információknak, az alább ismertetettek szerint. Emellett, ahogy fent tárgyaltuk, az elnök a PPD-28-ban azt az utasítást adta, hogy a hírszerző közösségnek további védelmi eszközöket kell biztosítania a nem egyesült államokbeli személyekre vonatkozó személyes adatok tekintetében, és ezek érvényesülnek a 702. szakasz szerint gyűjtött információk esetében is.

Amint a bíróság jóváhagyja a célzási és minimalizálási eljárást, a 702. szakasz szerinti adatgyűjtés nem tömeges vagy megkülönböztetés nélküli, hanem „teljes egészében azokra a konkrét személyekre irányuló, akikre vonatkozóan egyedi döntés született” – magyarázza a PCLOB (19). Az adatgyűjtés célzása egyedi kiválasztási feltételek alkalmazásával történik, így olyan e-mail-címekkel vagy telefonszámokkal, amelyekről az USA hírszerzési személyzete megállapította, hogy valószínűleg a bírósághoz benyújtott tanúsítvány hatókörébe tartozó külföldi hírszerzési információk közlésére használják (20). A cél kiválasztásának alapját dokumentálni kell, és minden egyes kiválasztási szempont dokumentációját később az Igazságügyi Minisztérium ellenőrzi (21). Az USA kormánya nyilvánosságra hozott olyan információkat, amelyek tanúsága szerint 2014-ben mintegy 90 000 magánszemély volt a 702. szakasz alapján célszemély, ami elenyésző töredéke az internetezők világszerte 3 milliárdot meghaladó táborának (22).

A 702. szakasz alapján gyűjtött információkra a bíróság által jóváhagyott minimalizálási eljárások vonatkoznak, amelyek védelmet nyújtanak a nem egyesült államokbeli személyek, illetve az egyesült államokbeli személyek számára is, és ezeket az eljárásokat nyilvánosságra hozták (23). Például a 702. szakasz szerint megszerzett közléseket szigorú hozzáférési korlátozásokkal védett adatbázisokban tárolják, tekintet nélkül arra, hogy egyesült államokbeli személyektől vagy nem egyesült államokbeli személyektől származnak. Ezeket csak a magánélet védelmét szolgáló minimalizálási eljárásokban képzett, és engedélyezett feladatainak elvégzése érdekében az adott betekintésre jóváhagyott hírszerzési személyzet tekintheti meg (24). Az adatok felhasználása külföldi hírszerzési információk vagy bűncselekmény bizonyítékának azonosítására korlátozódik (25). A PPD-28 szerint ezt az információkat csak akkor lehet terjeszteni, ha arra érvényes külföldi hírszerzési vagy bűnüldözési indok áll fenn; nem elegendő az a puszta tény, hogy a kommunikáció egyik résztvevője nem egyesült államokbeli személy (26). A minimalizálási eljárások és a PPD-28 továbbá korlátot szabnak meg arra vonatkozóan is, hogy milyen hosszú ideig lehet a 702. szakasz szerint szerzett adatokat megőrizni (27).

A 702. szakasz felügyelete kiterjedt, és azt a kormányzat mindhárom hatalmi ága végzi. A törvényt végrehajtó hivatalokban többszintű belső ellenőrzés működik, ideértve a független főellenőr általi ellenőrzést, valamint az adatbetekintés technológiai korlátozásait is. Az Igazságügyi Minisztérium és az ODNI szigorúan figyelemmel kíséri és ellenőrzi a 702. szakasz alkalmazását a jogszabályi előírásoknak való megfelelés ellenőrzésére; a hivatalokat is független kötelezettség terheli az esetleges nem megfelelési esetek jelentésére. Ezeket az eseteket kivizsgálják és valamennyi megfelelési esetet jelentenek a külföldi hírszerzést felügyelő bíróságnak, az elnök hírszerzést felügyelő tanácsának és a Kongresszusnak, és megfelelően orvosolják (28). Eddig nem történt olyan eset, amely a jogszabályi követelmények megsértésére irányuló szándékos kísérletet jelezne (29).

A FISA-bíróság fontos szerepet tölt be a 702. szakasz végrehajtásában. A bíróság független szövetségi bírákból áll, akiknek a FISA-bíróságnál hét év a megbízatásuk, de a szövetségi bírákéhoz hasonlóan bírói megbízatásuk élethosszig szól. Amint fent említettük, a bíróságnak felül kell vizsgálnia az éves tanúsítványokat és célzási, illetve minimalizálási eljárásokat a jogszabályoknak való megfelelés szempontjából. Emellett, amint arról fentebb ugyancsak említést tettünk, a kormánynak haladéktalanul értesítenie kell a bíróságot a megfelelési esetekről (30), és több olyan bírósági vélemény titkosítását is feloldották, illetve nyilvánosságra hoztak olyan véleményeket, amelyek a bírói ellenőrzés kiemelkedően magas fokát és az ilyen esetek felülvizsgálatában gyakorolt bírói függetlenséget szemléltetik.

A bíróság szigorú eljárásait a korábbi elnöklő bíró ismerteti a Kongresszusnak szóló, nyilvánosságra hozott levelében (31). Továbbá az USA szabadságjogokról szóló törvénye eredményeként a bíróság kifejezett felhatalmazást kapott egy külső ügyvéd kijelölésére abból a célból, hogy független adatvédelmi védőügyvédként járjon el az új és jelentős jogkérdéseket felvonultató ügyekben (32). Szokatlan, de talán példátlan is egy ország független bíróságának ilyen fokú részvétele az olyan külföldi hírszerzés tevékenységekben, amelyek nem az ország állampolgáraira, illetve az országban tartózkodó személyekre irányulnak, és segít annak biztosításában, hogy a 702. szakasz szerinti adatgyűjtésre a megfelelő jogi keretek között kerüljön sor.

A Kongresszus a hírszerzési és igazságügyi bizottság részére törvényben előírt jelentéseken, valamint gyakori eligazításokon és meghallgatásokon keresztül gyakorol felügyeletet. Ezek közé tartozik a legfőbb ügyész 702. szakasz alkalmazását és a megfelelési eseteket dokumentáló féléves jelentése (33); a legfőbb ügyész és a DNI külön féléves jelentése a célzási és minimalizálási eljárások betartásáról, beleértve az annak biztosítását szolgáló eljárásokat, hogy az adatgyűjtés érvényes külföldi hírszerzési célra történjen (34), valamint a hírszerzés tagjainak éves jelentése, amelynek része annak tanúsítása, hogy a 702. szakasz szerinti adatgyűjtés továbbra is külföldi hírszerzési információkat ad (35).

Röviden, a 702. szakasz szerinti adatgyűjtésre törvényi felhatalmazás van; az adatgyűjtés többszintű ellenőrzés, bírói felügyelet és felügyelet alatt áll, valamint – ahogy a FISA-bíróság kimondta egy olyan véleményben, amelynek titkosítását a közelmúltban oldották fel – azt „nem tömegesen vagy megkülönböztetés nélkül végzik,” hanem „… az egyes (kommunikációs) létesítmények diszkrét célzási döntései alapján.” (36)

III.   AZ EGYESÜLT ÁLLAMOK SZABADSÁGJOGOKRÓL SZÓLÓ (USA FREEDOM) TÖRVÉNYE

Az USA 2015 júniusában törvénybe iktatott szabadságjogokról szóló törvénye (USA FREEDOM törvény) jelentősen módosította az USA megfigyelési és más nemzetbiztonsági hatásköreit, és növelte e hatáskörök és a FISA-bíróság határozatainak nyilvános átláthatóságát, az alább ismertetettek szerint (37). A törvény biztosítja, hogy hírszerzési és bűnüldözési szakembereink rendelkezzenek azokkal a hatáskörökkel, amelyek a nemzet védelméhez szükségesek, egyidejűleg biztosítva az egyének magánéletének megfelelő védelmét e hatáskörök alkalmazása során. Ez fokozza a magánélet és az alapvető szabadságjogok védelmét és növeli az átláthatóságot.

A törvény megtiltja bármely adatnak a FISA különböző rendelkezései szerinti vagy nemzetbiztonsági levelek (a törvényi felhatalmazáson alapuló közigazgatási idézés egy formája) felhasználásával történő tömeges gyűjtését, az USA-beli személyekre és a nem egyesült államokbeli személyekre vonatkozó adatokra egyaránt kiterjedő hatállyal (38). Ez a tilalom konkrétan megnevezi a az USA-n belül és azon kívül tartózkodó személyek közötti hívásokhoz kapcsolódó telefon-metaadatok gyűjtését, és az említett hatáskörök alapján az adatvédelmi pajzs szerinti információk gyűjtésére is kiterjedne. A törvény előírja, hogy a kormánynak az említett hatáskörök szerinti adatigénylést „konkrét kiválasztási feltételre” kell alapoznia, olyan feltételre, amely konkrétan azonosít egy személyt, felhasználói fiókot, lakcímet vagy személyes eszközt, olyan módon, amely a gyakorlatban ésszerű lehető legnagyobb mértékben bekorlátozza a kért információk körét (39). Ez még inkább biztosítja, hogy a hírszerzési célokra történő adatgyűjtés pontosan fókuszált és célzott legyen.

A törvény jelentős módosításokat eszközölt továbbá a FISA-bíróság előtt folyó eljárásokban, amelyek egyszerre növelik az átláthatóságot és további biztosítékot adnak arra, hogy a magánélet védelemben fog részesülni. Amint fentebb említettük, a törvény engedélyezte egy biztonsági átvilágításon átesett, adatvédelmi és alapvető szabadságjogi, hírszerzési adatgyűjtési, kommunikációtechnológiai vagy más idevágó területen gyakorlattal rendelkező ügyvédekből álló állandó testület létrehozását, akiket amicus curiae (tanácsadó) szerepkörben ki lehet jelölni a jelentős vagy új jogkérdéseket felvonultató ügyekben. Ezek az ügyvédek jogi érvelést terjeszthetnek be az egyének magánéletének és alapvető szabadságjogainak előmozdítására, valamint hozzáférnek minden olyan információhoz, amely a bíróság szerint feladatuk ellátásához szükséges, a titkos információkat is ideértve (40).

A törvény az USA kormányának a hírszerzési tevékenységekkel kapcsolatos példátlan átláthatóságára hagyatkozik azzal, hogy a DNI a legfőbb ügyésszel egyeztetve kérheti a FISA-bíróság vagy a külföldi hírszerzést felügyelő fellebbviteli bíróság által kiadott minden egyes olyan döntés, végzés vagy vélemény titkosításának feloldását vagy azok nem bizalmas összefoglalóját, amely valamely jogszabályi rendelkezés jelentős értelmezését tartalmazza.

Emellett a törvény kiterjedt közzétételt ír elő a FISA szerinti adatgyűjtésről és a nemzetbiztonsági levelek iránti kérésekre. Az Egyesült Államoknak minden évben tájékoztatnia kell a Kongresszust és a lakosságot a kért és kiadott FISA-végzések és tanúsítványok számáról; a megfigyelt egyesült államokbeli célszemélyek és a nem egyesült államokbeli célszemélyek becsült számáról; és egyéb adatok mellett az amici curiae kinevezések számáról (41). A törvény a kormány számára további nyilvános beszámolást is előír az egyesült államokbeli személyek és nem egyesült államokbeli személyekre vonatkozó nemzetbiztonsági levelek számáról (42).

A vállalati átláthatóságot illetően a törvény többféle lehetőséget biztosít a vállalatoknak a kormánytól kapott FISA-végzések és irányelvek, illetve nemzetbiztonsági levelek összesített számáról történő nyilvános beszámolásra, illetve azon felhasználói fiókok számáról, amelyekre az említett végzések irányultak (43). Több vállalat már közzétett ilyen adatokat, és az adatközlésekből látható, milyen korlátozott volt azon ügyfelek száma, akiknek az adatait átvizsgálták.

Ezek a vállalati átláthatósági jelentések szemléltetik, hogy az USA hírszerzési kérései csak az adatok elenyésző töredékét érintik. Például egy vezető vállalat közelmúltbeli átláthatósági jelentése azt mutatja, hogy kevesebb mint 20 000 felhasználói fiókjára vonatkozóan kapott nemzetbiztonsági kérést (a FISA szerint vagy nemzetbiztonsági levelet), miközben legalább 400 millió előfizetője volt. Más megfogalmazásban, a vállalat beszámolója szerint az USA nemzetbiztonsági kérései előfizetőinek kevesebb mint 5 ezrelékét érintették. Még ha mindegyik ilyen kérés védett adatkikötő adatra vonatkozott is volna (persze ez nem így volt), nyilvánvaló, hogy a kérések célzottak és megfelelő léptékűek, és nem tekinthetőek sem tömegesnek, sem pedig megkülönböztetés nélkülinek.

Végezetül, noha a nemzetbiztonsági leveleket engedélyező törvény már korlátozza azokat a körülményeket, amelyek mellett a levél címzettjének megtiltható annak közlése, a törvény előírja azt is, hogy a közlés megtagadásának követelményét időszakonként felül kell vizsgálni; előírja továbbá, hogy a nemzetbiztonsági levelek címzettjeit értesíteni kell arról, hogy nem állnak fenn a közlés megtagadásának követelményét alátámasztó tények; továbbá eljárásokat iktat törvénybe a címzettek számára a közlés megtagadása követelményének vitatására (44).

Összegezve, az USA szabadságjogokról szóló törvényének az USA hírszerzési hatásköreit érintő jelentős módosításai egyértelmű bizonyítékot jelentenek az Egyesült Államok azon nagyszabású erőfeszítéseire, hogy a személyes adatok, a magánélet és az alapvető szabadságjogok védelmét, valamint az átláthatóságot az USA valamennyi hírszerzési gyakorlatának homlokterébe helyezze.

IV.   ÁTLÁTHATÓSÁG

Az USA szabadságjogokról szóló törvénye által előírt átláthatóság mellett az USA hírszerző közössége számos további információt nyújt a lakosságnak, jó példát mutatva hírszerzési tevékenységei átláthatóságát illetően. A hírszerző közösség nyilvánosságra hozta számos szabályzatát, eljárásrendjét, a külföldi hírszerzést felügyelő bíróság döntéseit, és más olyan anyagokat, amelyek titkosítását feloldották, ezzel megteremtve az átláthatóság rendkívüli mértékét. Ezen túlmenően a hírszerző közösség lényegesen bővítette a nemzetbiztonsági adatgyűjtési hatáskörök kormányzati felhasználási statisztikáinak közzétételét. A hírszerző közösség 2015. április 22-én adta ki második éves jelentését, amely statisztikákat mutat be arról, hogy a kormány milyen gyakran él ezekkel a fontos hatáskörökkel. Az ODNI is közzétette – az ODNI webhelyén és az IC On the Record alkalmazásban konkrét átláthatósági elveinek csomagját (45) és egy végrehajtási tervet is, amely az elveket gyakorlati, mérhető kezdeményezésekbe ülteti át (46). A nemzeti hírszerzési igazgató 2015 októberében utasítást adott ki, hogy minden egyes hírszerző ügynökség jelöljön ki hírszerzési átláthatósági tisztviselőt a vezetésén belül, az átláthatóság előmozdítására és az átláthatósági kezdeményezések vezetésére (47). Az átláthatósági tisztviselő szorosan együtt fog működni minden egyes hírszerző ügynökség adatvédelmi és polgári szabadságjogi tisztségviselőjével annak biztosítására, hogy az átláthatóság, a magánélet és az alapvető szabadságjogok védelme továbbra is kiemelt prioritás maradjon.

Ezeket az erőfeszítéseket példázza, hogy az NSA vezető adatvédelmi és polgári szabadságjogi tisztségviselője az elmúlt pár évben több olyan jelentést nyilvánosságra hozott, amelynek titkosítását feloldották, köztük a 702. szakasz, a 12333. sz. elnöki rendelet és az USA szabadságjogokról szóló törvénye szerinti tevékenységekre vonatkozó jelentést (48). Emellett a hírszerző közösség munkájában szorosan együttműködik a PCLOB-val, a Kongresszussal és az USA adatvédelmi tanácsadói közösségével annak érdekében, hogy további átláthatóságot vigyen az USA hírszerzési tevékenységeibe, amennyiben az megvalósítható és összeegyeztethető a kényes hírszerzési források és módszerek védelmével. Egészében véve az USA hírszerzési tevékenységei legalább annyira vagy még inkább átláthatóak, mint a világ bármely más nemzetéé, és a kényes hírszerzési források és módszerek védelme szükségességével összeegyeztethető lehető legátláthatóbbak.

Az USA hírszerzési tevékenységeivel fennálló átláthatóság magas fokát összegzendő:

—

A hírszerző közösség több ezer oldalnyi, hírszerzési tevékenységeink konkrét eljárásait és követelményeit bemutató bírósági vélemény és ügynökségi eljárás titkosítását oldotta fel és tette az interneten elérhetővé. Jelentéseket adtunk ki továbbá az irányadó korlátozások hírszerző ügynökségek általi betartásáról is.

—	A magas rangú hírszerző tisztviselők rendszeresen nyilatkoznak szervezetük szerepköréről és tevékenységeiről, a munkájukra vonatkozó megfelelési rendszerekre és biztosítékokra kiterjedően.

—	A hírszerző közösség számos további dokumentumot adott ki az információhoz való szabad hozzáférésről szóló törvény szerinti hírszerzési tevékenységekről.

—	Az elnök kiadta a PPD-28-at, további nyilvános korlátokat szabva hírszerzési tevékenységeinknek, és az ODNI két nyilvános jelentést is kiadott e korlátozások végrehajtásáról.

—	A hírszerző közösséget most törvény kötelezi a FISA-bíróság által kiadott jelentős jogi vélemények vagy e vélemények összefoglalója titkosításának feloldására.

—	A kormánynak évente be kell számolnia arról, hogy milyen mértékben használ bizonyos nemzetbiztonsági hatásköröket és erre a vállalatok is felhatalmazást kaptak.

—	A PCLOB több részletes nyilvános jelentést adott ki a hírszerzési tevékenységekről, és ezt a jövőben is folytatni fogja.

—	A hírszerző közösség nagy mennyiségű titkos információt bocsát a Kongresszus felügyeleti bizottságai rendelkezésére.

—	A DNI átláthatósági elveket adott ki a hírszerző közösség tevékenységei vonatkozásában.

Ez a kiterjedt átláthatóság még tovább fog erősödni. Természetesen valamennyi nyilvánosságra hozott információ elérhető lesz a Kereskedelmi Minisztérium és az Európai Bizottság számára egyaránt. A Kereskedelmi Minisztérium és az Európai Bizottság közötti, az adatvédelmi pajzs végrehajtásáról folytatott éves felülvizsgálat lehetőséget nyújt majd az Európai Bizottságnak az újonnan nyilvánosságra hozott információk által felvetett minden kérdés, illetve az adatvédelmi pajzsot és annak működését érintő minden más kérdés megvitatására, és értelmezésünk szerint a Minisztérium saját mérlegelési jogkörében felkérheti más hivatalok – a hírszerző közösséget is ideértve – képviselőit az említett felülvizsgálatban való részvételre. Ez természetesen azon mechanizmusok mellett él, amelyeket a PPD-28 az uniós tagállamok számára biztosít a megfigyelési vonatkozású aggályok kijelölt külügyminisztériumi tisztviselőnél való felvetésére.

V.   JOGORVOSLAT

Az USA joga számos jogorvoslati utat biztosít azoknak a magánszemélyeknek, akiket nemzetbiztonsági okokból jogellenes elektronikus megfigyelésnek vetettek alá. A FISA értelmében az USA bíróságaihoz fordulás nem korlátozódik egyesült államokbeli személyekre. Minden olyan egyén, aki perképességét igazolni tudja, jogorvoslatot kap a FISA szerinti, jogellenes elektronikus megfigyelés vitatására. Például a FISA lehetővé teszi a jogellenes elektronikus megfigyelés alatt állók számára az USA kormánytisztviselői ellen személyes minőségükben kártérítési kereset indítását, beleértve a megtorló kártérítést és az ügyvédi díjakat is. Lásd: 50 U. S. C. § 1810. A perképességét igazolni képes magánszemélyek polgári pert indíthatnak az Egyesült Államok ellen pénzbeli kártérítés iránt, a perköltségekre kiterjedően, amennyiben a FISA szerinti elektronikus megfigyelés során róluk gyűjtött információkat jogellenesen és szándékosan felhasználták vagy nyilvánosságra hozták. Lásd: 18 U. S. C. § 2712. Amennyiben a kormány a FISA alapján sérelmet szenvedett személy elektronikus megfigyeléséből kapott vagy kinyert információt kívánja felhasználni az adott személy ellen az Egyesült Államokban folyó bírósági vagy közigazgatási eljárásban, a szándékáról a bíróságot és az adott személyt előzetesen értesítenie kell, aki ebben az esetben vitathatja a megfigyelés jogszerűségét és kérheti az információ mellőzését. Lásd: 50 U. S. C. § 1806. Végül a FISA büntetőjogi szankcióról is rendelkezik azon magánszemélyek esetében, akik hivatali visszaéléssel vesznek részt jogellenes elektronikus adatgyűjtésben, vagy akik szándékosan felhasználnak vagy közölnek jogellenes megfigyeléssel szerzett információkat. Lásd 50 U. S. C. § 1809.

Az uniós polgároknak más jogorvoslati lehetőségeik vannak az USA kormánytisztviselőivel szemben az adatok jogtalan felhasználása vagy megtekintése miatt, ideértve azokat a kormányzati tisztviselőket, akik adatbetekintés vagy információk színlelt nemzetbiztonsági célokra történő felhasználása során sértenek törvényt. A számítógépes csalásról és visszaélésről szóló törvény tiltja a szándékos illetéktelen hozzáférést (vagy az engedélyezett hozzáférés túllépését) pénzügyi intézménytől, az USA kormányzati számítógépes rendszeréből vagy internetes eléréssel valamely számítógépről történő információszerzés érdekében, illetve védett számítógépek zsarolási vagy csalási célú megrongálásával való fenyegetést. Lásd: 18 U. S. C. § 1030. Állampolgárságától függetlenül minden olyan személy, aki e törvény megszegése miatt kárt vagy veszteséget szenved, az 1030(g) cikk alapján perelheti a jogsértőt (a kormánytisztviselőt ideértve) kompenzációs kártérítésre vagy elrendelő vagy méltányos kártérítésre, függetlenül attól, hogy a büntetőeljárás megindult-e, feltéve, hogy a magatartás a törvényben meghatározott körülmények közül legalább egyet magában foglal. Az elektronikus hírközlési adatvédelmi törvény (Electronic Communications Privacy Act – ECPA) szabályozza a tárolt elektronikus kommunikációba, ügyleti nyilvántartásokba és harmadik személy hírközlési szolgáltató által tárolt előfizetői adatokba való kormányzati betekintést. Lásd: 18 U. S. C. §§ 2701-2712. Az ECPA feljogosítja a sérelmet szenvedett magánszemélyt a tárolt adatokba szándékosan illetéktelenül betekintő kormányzati tisztviselő elleni perindításra. Az ECPA állampolgárságtól függetlenül minden személyre vonatkozik és a sérelmet szenvedett személyek kártérítést és ügyvédi díjakat követelhetik. A pénzügyi adatok védelméhez való jogról szóló törvény (Right to Financial Privacy Act – RFPA) korlátozza az egyes ügyfelek banki és brókeri-kereskedési adataiba való kormányzati betekintést. Lásd 12 U. S. C. §§ 3401-3422. Az RFPA értelmében a bank vagy bróker-kereskedő ügyfele perelheti az USA kormányát törvényes, tényleges és megtorló kártérítésért az ügyféladatokba való jogellenes betekintés miatt, és annak megállapítása, hogy a jogellenes betekintés szándékos volt, automatikusan vizsgálatot eredményez az érintett kormánytisztviselők esetleges fegyelmi felelősségre vonása céljából. Lásd 12 U. S. C. § 3417.

Végül az információhoz való szabad hozzáférésről szóló törvény (Freedom of Information Act – FOIA) mindenki számára eszközt biztosít a bármely témában meglevő szövetségi ügynökségi adatokba betekinteni kívánó személyeknek, néhány kivételi kategóriával. Lásd: 5 U. S. C. § 552. Ide tartoznak a titkos nemzetbiztonsági információkba, mások személyes adataiba és bűnügyi nyomozásokba való betekintésre vonatkozó korlátok, és ezek hasonlóak az országok saját, információhoz való hozzáférési törvényeiben előírt korlátokhoz. Ezek a korlátok egyformán vonatkoznak az amerikaiakra és a nem amerikaiakra. A FOIA szerint kért adatok kiadása miatti jogviták esetében közigazgatási fellebbezésnek, majd bírói útnak van helye. A bíróságnak újból döntenie kell arról, hogy az adatok visszatartása jogszerű volt-e az 5 U.S.C. § 552(a)(4)(B) szerint, és kötelezheti a kormányt az adatokba való betekintés biztosítására. Egyes esetekben a bíróságok elutasították azon kormányzati állításokat, hogy az információkat titkosságuk miatt kell visszatartani (49). Noha pénzbeli kártérítés nem kérhető, a bíróság megítélheti az ügyvédi díjakat.

VI.   KÖVETKEZTETÉS

Az Egyesült Államok elismeri, hogy jelfelderítési és egyéb hírszerzési tevékenységeinknek figyelembe kell vennie, hogy mindenkit – állampolgárságára és lakóhelyére tekintet nélkül – méltósággal és tisztelettel kell kezelni, és hogy minden személynek jogos adatvédelmi érdeke fűződik személyes adatai kezeléséhez. Az Egyesült Államok jelfelderítést csak nemzetbiztonsági és külpolitikai érdekei előmozdítására és polgárai, illetve szövetségeseinek és partnereinek polgárai védelmére használ. Röviden, a hírszerző közösség nem folytat bárkire – köztük egyszerű európai polgárokra – megkülönböztetés nélkül kiterjedő megfigyelést. Jelfelderítési adatgyűjtésre csak akkor kerül sor, ha azt szabályszerűen engedélyezik, és olyan módon, amely ezeknek a korlátozásoknak szigorúan megfelel; csak a helyettesítő források – a diplomáciai és nyilvános forrásokat is ideértve – elérhetőségének figyelembevételével, és olyan módon, amely előnyben részesíti a célszerű és megvalósítható alternatívákat. És minden olyan esetben, ha az a gyakorlatban megvalósítható, a jelfelderítés konkrét külföldi hírszerzési célpontokra vagy témákra összpontosítva folyik, diszkriminánsok használatával.

Az USA erre vonatkozó politikáját a PPD-28 erősítette meg. Ebben a keretben az egyesült államokbeli hírszerző ügynökségek nem rendelkeznek jogi hatáskörrel, erőforrásokkal és műszaki kapacitásokkal a világ teljes kommunikációjának lehallgatására. Ezek a hivatalok nem olvassák el az Egyesült Államokban vagy világszerte mindenkinek az e-mailjeit. A PPD-28-nak megfelelően az Egyesült Államok szilárd védelmi eszközöket biztosít a nem egyesült államokbeli személyek jelfelderítési tevékenységekkel gyűjtött személyes adatainak. A nemzetbiztonsággal összeegyeztethető legnagyobb mértékig ennek részét képezik a nem egyesült államokbeli személyekre vonatkozó személyes adatok megőrzésének és terjesztésének minimalizálását célzó szabályzatok és eljárásrendek, amelyek hasonlóak az egyesült államokbeli személyekre vonatkozókhoz. Emellett, a fentiekben kifejtetteknek megfelelően a 702. szakasz szerinti célzott FISA-hatáskör átfogó felügyelete példátlan. Végezetül az USA hírszerzési jogának az USA szabadságjogokról szóló törvényében meghatározott jelentős módosításai és a hírszerző közösségen belül az átláthatóság előmozdítását szolgáló, az ODNI által vezetett kezdeményezések nagyban fokozzák állampolgárságra tekintet nélkül valamennyi egyén magánéletének és alapvető szabadságjogainak védelmét.

 

2016. június 21.

Mr. Justin S. Antonipillai

Tanácsos

Egyesült Államok Kereskedelmi Minisztérium

1401 Constitution Avenue, N.W.

Washington, DC 20230

Mr. Ted Dean

Államtitkár helyettes

Nemzetközi Kereskedelmi Igazgatóság

1401 Constitution Avenue, N.W.

Washington, DC 20230

Tisztelt Antonipillai Úr és Dean Úr!

Ezúton szeretnék további tájékoztatást nyújtani arról, hogy az Egyesült Államok hogyan végzi a jelfelderítési adatok tömeges gyűjtését. Amint a 28. elnöki politikai irányelv (PPD-28) 5 lábjegyzetében kifejtik, a „nagy mennyiségű” gyűjtés viszonylag nagy mennyiségű jelfelderítési információ vagy adat megszerzésére utal, olyan körülmények között, amikor a hírszerzés nem tud a konkrét célszemélyhez társítható azonosítót (pl. a célszemély e-mailcímét vagy telefonszámát) alkalmazni az adatgyűjtés fókuszálása céljából. Ez azonban nem jelenti, hogy az ilyen fajta adatgyűjtés „tömeges”, vagy „megkülönböztetés nélküli” volna. A PPD-28 ugyanis azt is előírja, hogy „a jelfelderítési tevékenységnek a lehető legcélzottabbnak kell lennie”. E megbízatás teljesítése érdekében a hírszerzés lépéseket tesz annak biztosítására, hogy még ha nem is tudjuk konkrét azonosítókkal célzottá tenni az adatgyűjtést, a gyűjtendő adatok valószínűleg olyan külföldi hírszerzési információkat tartalmazzanak, amelyek megfelelnek a korábbi levelemben ismertetett folyamat alapján az amerikai döntéshozók által megfogalmazott követelményeknek, és minimálisra csökkentik a begyűjtött, nem releváns információk mennyiségét.

Például a hírszerzés felkérést kaphat arra, hogy szerezzen jelfelderítési információkat valamely közel-keleti ország egyik régiójában működő olyan terrorista csoport tevékenységéről, amelyről azt feltételezik, hogy nyugat-európai országok elleni támadásra készül, azonban esetleg nem ismeri a terrorista csoportban közreműködő személyek nevét, telefonszámát, e-mailcímét vagy más konkrét azonosítóját. Ezt a csoportot adott esetben úgy célozhatjuk meg, hogy gyűjtjük az adott régióból származó és oda irányuló kommunikációt, és annak további felülvizsgálata és elemzése révén azonosítjuk a csoporthoz kapcsolódó kommunikációt. Ennek során a hírszerzés arra törekszik, hogy a „lehető legnagyobb mértékben” szűkítse az adatgyűjtést. Ez „nagy mennyiségű” adatgyűjtésnek tekinthető, mert a diszkriminánsok alkalmazása nem megvalósítható, de se nem „tömeges”, se „nem megkülönböztetés nélküli”, hanem a lehető legpontosabban fókuszált.

Tehát még ha nem is lehet konkrét kiválasztási tényezőket alkalmazni, az Egyesült Államok nem gyűjt minden kommunikációt a világszerte meglévő összes kommunikációs eszközből, hanem szűrőket és más technikai eszközöket alkalmaz, hogy azokra az eszközökre összpontosítsa az adatgyűjtést, amelyek valószínűleg külföldi hírszerzési értékkel rendelkező kommunikációt tartalmaznak. Ennek során az Egyesült Államok jelfelderítési tevékenysége csak egy töredékét érinti az interneten zajló kommunikációnak.

Továbbá amint a korábbi levelemben említettem, a PPD-28 hat konkrét célra korlátozza azokat az eseteket, amikor a hírszerzés felhasználhatja a tömegesen gyűjtött jelfelderítést, mivel a nagy mennyiségű adatgyűjtés a nem releváns kommunikáció gyűjtésének nagyobb kockázatával jár. A PPD-28 és a PPD-28-at végrehajtó ügynökségek szabályzatait a jelfelderítés révén szerzett személyes adatok megőrzésére és terjesztésére vonatkozóan is korlátozásokat állapítanak meg, függetlenül attól, hogy az információkat tömegesen vagy célzottan gyűjtötték, és attól, hogy az érintett milyen állampolgárságú.

Tehát a hírszerzés „nagy mennyiségű” adatgyűjtése nem „tömeges” vagy „megkülönböztetés nélküli”, hanem az adatgyűjtés szűrésére szolgáló módszerek és eszközök alkalmazását jelenti annak érdekében, hogy olyan anyagokra fókuszálják az adatgyűjtést, amelyek megfelelnek a döntéshozók által a külföldi hírszerzésre vonatkozóan megfogalmazott követelményeknek, miközben minimálisra csökkentik a nem releváns információk gyűjtését, valamint szigorú szabályokat írnak elő az esetleg megszerzett, nem releváns információk védelmére. Az e levélben ismertetett politikák és eljárások valamennyi nagy mennyiségű jelfelderítési adatgyűjtésre vonatkoznak, ideértve az Európába irányuló vagy onnan kiinduló kommunikációt, anélkül, hogy megerősíteném vagy cáfolnám, hogy történik-e ilyen adatgyűjtés.

Önök további tájékoztatást kértek tőlem az adatvédelmi és polgári szabadságjogi felügyelő tanács (PCLOB), a főellenőrök és azok jogkörei tekintetében is. A PCLOB a végrehajtó hatalmi ágba tartozó, független hivatal. Az öttagú, kétpárti tanács tagjait az elnök nevezi ki és a Szenátus erősíti meg (50). A tanács minden tagja hatéves hivatali időt tölt el. A tanács tagjait és személyzetét megfelelő személyi biztonsági tanúsítvánnyal látják el annak érdekében, hogy maradéktalanul eleget tehessenek törvényi feladataiknak és felelősségeiknek (51).

A PCLOB megbízatása annak biztosítására vonatkozik, hogy a szövetségi kormánynak a terrorizmus megelőzésére irányuló erőfeszítései egyensúlyban legyenek a magánélet és a polgári szabadságjogok védelmének szükségességével. A tanács két alapvető feladata a felügyelet és a tanácsadás. A PCLOB állapítja meg a saját napirendjét, és meghatározza, hogy milyen felügyeleti és tanácsadási tevékenységet kíván ellátni.

A PCLOB felügyeleti szerepében felülvizsgálja és elemzi a végrehajtó hatalmi ág által, a nemzetnek a terrorizmussal szembeni védelme értekében tett intézkedéseket, és gondoskodik arról, hogy az ilyen intézkedések iránti igény egyensúlyban legyen a magánélet és a polgári szabadságjogok védelmének szükségességével (52). A PCLOB a közelmúltban fejezte be a FISA 702. szakasza alapján működtetett megfigyelési programokra összpontosító, áttekintő felülvizsgálatot (53). Jelenleg az 12333. elnöki rendelet alapján működtetett hírszerzési tevékenységek felülvizsgálatát végzi (54).

A PCLOB tanácsadói szerepében gondoskodik arról, hogy a szabadságjogokkal kapcsolatos aggályokat megfelelően figyelembe vegyék a nemzetnek a terrorizmussal szembeni védelmére irányuló erőfeszítésekkel kapcsolatos törvények, rendeletek és politikák kidolgozása és végrehajtása folyamán (55).

A tanács törvényi felhatalmazással rendelkezik arra, hogy megbízatásának elvégzése érdekében betekintsen valamennyi vonatkozó ügynökségi nyilvántartásba, jelentésbe, ellenőrzésbe, felülvizsgálatba, dokumentumba, iratba, ajánlásba vagy egyéb vonatkozó anyagba, beleértve a törvény értelmében bizalmas információkat is (56). A tanács emellett meghallgatásokat végezhet, nyilatkozatokat vagy nyilvános tanúvallomásokat vehet fel a végrehajtó hatalmi ág tisztségviselőitől vagy alkalmazottaitól (57). A tanács továbbá írásban kérheti a legfőbb ügyészt, hogy a tanács nevében bocsásson ki bizonyításban való közreműködésre kötelező határozatot, amely arra kötelezi a végrehajtó hatalmi ágon kívüli feleket, hogy nyújtsák be a releváns információkat (58).

A PCLOB-t végül törvényben meghatározott nyilvános átláthatósági követelmények terhelik, amelyek kiterjednek arra, hogy nyilvános meghallgatások tartása és nyilvánosan hozzáférhető jelentések révén folyamatosan tájékoztassa tevékenységéről a közvéleményt, a lehető legnagyobb mértékben tiszteletben tartva a minősített adatok védelmét (59). A PCLOB emellett köteles jelentést tenni arról, ha egy végrehajtó hatalmi ügynökség nem követi az ajánlását.

A hírszerzésen (IC) belüli főellenőrök (IGs) a hírszerzés programjainak és tevékenységeinek ellenőrzését, vizsgálatát és felülvizsgálatát végzik, a rendszerszintű kockázatok, sebezhetőségek és hiányosságok meghatározása és kezelése céljából. A főellenőrök emellett kivizsgálják azokat a panaszokat vagy azon vádakra vonatkozó információkat, miszerint a hírszerzés programjai és tevékenységei során törvények, szabályok vagy rendeletek megsértését, illetve hűtlen kezelést; pénzeszközök nagymértékű pazarlását; hatalommal való visszaélést követtek le, vagy a közegészségügyet és biztonságot érintő lényeges és konkrét veszélyt idéztek elő. A főellenőr függetlensége alapvető eleme az általa kiadott minden jelentés, megállapítás és ajánlás tárgyilagosságának és feddhetetlenségének. A főellenőr függetlenségének megőrzésével kapcsolatos legkritikusabb mozzanatok közé tartozik a főellenőr kinevezésének és felmentésének eljárása; a különálló operatív, költségvetési, valamint személyzeti jogkörök; továbbá a végrehajtó hatalmi ügynökség vezetőinek és a Kongresszusnak címzett kettős jelentéstételi kötelezettség.

A Kongresszus független főellenőri hivatalt hozott létre mindegyik végrehajtó hatalmi ügynökségnél, többek között a hírszerzés mindegyik szervezeténél (60). A 2015-ös költségvetési évre vonatkozó hírszerzési engedélyezési törvény elfogadását követően majdnem mindegyik hírszerzési szervezetet felügyelő főellenőrt az elnök nevezi ki és a Szenátus erősíti meg, beleértve az Igazságügyi Minisztériumot, a Központi Hírszerző Ügynökséget, a Nemzetbiztonsági Ügynökséget és a hírszerzést (61). Továbbá a főellenőrök határozatlan időre kinevezett, pártatlan tisztviselők, akiket csak az elnök menthet fel. Bár az Egyesült Államok Alkotmánya úgy rendelkezik, hogy a főellenőr felmentése az elnök jogköre, az elnök ritkán élt ezzel a jogosítvánnyal, és ehhez az elnöknek a főellenőr felmentése előtt 30 nappal írásbeli indokolást kell küldenie a Kongresszusnak (62). A főellenőr kinevezésére vonatkozó, említett eljárás biztosítja, hogy a végrehajtó hatalmi ág tisztviselői ne befolyásolják jogtalanul a főellenőr kiválasztását, kinevezését vagy felmentését.

Másrészt a főellenőrök jelentős törvényi felhatalmazással rendelkeznek arra, hogy ellenőrzéseket, vizsgálatokat és felülvizsgálatokat folytassanak a végrehajtó hatalom programjai és műveletei tekintetében. A törvényben előírt áttekintő vizsgálatok és felülvizsgálatok mellett a főellenőrök tág mérlegelési jogkörrel rendelkeznek, hogy a felügyeleti jogkörükkel élve felülvizsgálják az általuk kiválasztott programokat és tevékenységeket (63). A törvény szavatolja, hogy e jogkör gyakorlása során a főellenőrök független forrásokkal rendelkezzenek feladataik ellátáshoz, többek között joguk van saját személyzetük felvételéhez, és költségvetési igényüket külön dokumentálhatják a Kongresszus számára (64). A törvény biztosítja, hogy a főellenőrök hozzáférjenek a feladataik ellátásához szükséges információkhoz. Ez a jogkörük kiterjed arra, hogy közvetlenül hozzáférhetnek az ügynökség minden nyilvántartásához és minősítésre tekintet nélkül az ügynökség programjainak és műveleteinek részleteit tartalmazó információkhoz; bizonyításban való közreműködésre kötelező közigazgatási határozatot adhatnak ki információk és dokumentumok beszerzése céljából; valamint eskütételt végezhetnek (65). A végrehajtó hatalmi ügynökség vezetője korlátozott esetekben megtilthatja a főellenőr tevékenységét, például ha egy főellenőri ellenőrzés vagy vizsgálat jelentősen sértené az Egyesült Államok nemzetbiztonsági érdekeit. E jogkör érvényesítése szintén rendkívül ritka, és ehhez arra van szükség, hogy az ügynökség vezetője 30 napon belül értesítse a Kongresszust a jogkör gyakorlásának indokáról (66). A nemzeti hírszerzés igazgatója eddig még soha nem élt ezzel a korlátozási jogkörrel semmiféle főellenőri tevékenység esetében.

Harmadrészt a főellenőrök feladata, hogy a végrehajtó hatalmi ág programjaival és tevékenységeivel kapcsolatos csalásokról és egyéb súlyos problémákról, visszaélésekről, valamint hiányosságokról szóló jelentésekben teljes körű és aktuális tájékoztatást nyújtsanak a végrehajtó hatalmi ügynökségek vezetőinek és a Kongresszusnak (67). A kettős jelentéstétel fokozza a főellenőr függetlenségét azáltal, hogy biztosítja a főellenőri felügyelet átláthatóságát, valamint lehetővé teszi az ügynökségek vezetőinek, hogy még azt megelőzően végrehajtsák a főellenőr ajánlásait, hogy a Kongresszus jogalkotási intézkedést tehetne. Például a főellenőrök a törvény értelmében kötelesek féléves jelentéseket készíteni, amelyekben ismertetik a szóban forgó problémákat, valamint az addig az időpontig megtett korrekciós intézkedéseket (68). A végrehajtó hatalmi ügynökségek komolyan veszik a főellenőri megállapításokat és ajánlásokat, és a főellenőrök ezekben a jelentésekben, valamint a Kongresszusnak küldött, és bizonyos esetekben a nagyközönség számára készített jelentésekben gyakran számolhatnak be arról, hogy az ügynökségek elfogadják és végrehajtják a főellenőri ajánlásokat (69). E kettős jelentéstételi struktúra mellett szintén a főellenőrök felelősek a végrehajtó hatalmi ág visszaéléseit bejelentő személyeknek a megfelelő kongresszusi felügyelő bizottságokhoz kalauzolásáért, hogy azok közölhessék a végrehajtó hatalmi programok és tevékenységek során bekövetkező állítólagos csalásra, pazarlásra vagy visszaélésre vonatkozó információkat. A bejelentők személyazonosságát nem hozzák a végrehajtó hatalom tudomására, ami megóvja a visszaélést bejelentő személyeket a főellenőrnek tett bejelentés megtorlásaként hozott esetleges tiltott személyzeti intézkedésektől vagy biztonsági ellenőrzéssel kapcsolatos intézkedéstől (70). Mivel a főellenőri vizsgálatok forrásai gyakran a visszaélést bejelentő személyek, fokozza a főellenőri felügyelet hatékonyságát, hogy e személyek a végrehajtó hatalom általi befolyásolás nélkül beszámolhatnak aggályaikról a Kongresszusnak. E függetlenségből eredően a főellenőrök tárgyilagosan és feddhetetlenül segíthetik elő a végrehajtó hatalmi ügynökségek gazdaságos működését, hatékonyságát ás elszámoltathatóságát.

Végezetül a Kongresszus létrehozta a főellenőrök feddhetetlenségével és hatékonyságával foglalkozó tanácsot. E tanács többek között kidolgozza az ellenőrzésekre, vizsgálatokra és felülvizsgálatokra vonatkozó főellenőri normákat; előmozdítja a képzést; valamint a főellenőrök hivatali kötelezettségszegésével kapcsolatos állítások felülvizsgálatára vonatkozó jogkörrel rendelkezik, így kritikusan tekinthet azokra a főellenőrökre, akiket minden más szerv megfigyelésével bíztak meg (71).

Bízom benne, hogy hasznavehető információval szolgálhattam az Önök számára.

---

(1)  Az USA külföldi hírszerzési tevékenységére vonatkozó további információk elérhetőek az interneten és a nyilvánosság számára elérhetőek az IC on the Record (www.icontherecord.tumblr.com) szolgáltatáson – az ODNI kormányzati hírszerzés nagyobb nyilvánosságának támogatására szentelt nyilvános webhelyén – keresztül.

(2)  Elérhető itt: https://www.whitehouse.gov/the-press-office/2014/01/17/presidential-policy-directive-signals-intelligence-activities.

(3)  A bűnüldöző vagy szabályozó szervek az Egyesült Államokban vizsgálati célokra olyan információkat is bekérhetnek vállalatoktól a más büntető, polgári és szabályozó hatóságokra előírtak szerint, amelyek kívül esnek e dokumentum keretein, de ez a nemzetbiztonsági hatóságokra korlátozódik.

(4)  Elérhető itt: www.icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties#ppd-28. Ezek az eljárások a célra irányultság és személyre szabás ebben a levélben tárgyalt fogalmát a hírszerző közösség minden egyes tagjára szabottan hajtják végre.

(5)  Csak hogy egy példát idézzünk, az NSA PPD-28-at végrehajtó eljárásrendje kimondja, hogy „[m]inden olyan esetben, ahol az a gyakorlatban ésszerűen megvalósítható, az adatgyűjtés egy vagy több kiválasztási feltétel alkalmazásával történik annak érdekében, hogy az adatgyűjtést konkrét külföldi hírszerzési célpontokra (pl. egy meghatározott, ismert nemzetközi terroristára vagy terrorista csoportra) vagy egy konkrét külföldi hírszerzési témakörre (pl. tömegpusztító fegyverek külföldi hatalom vagy megbízottai általi terjesztése) lehessen irányozni.”

(6)  Elérhető itt: http://www.dni.gov/files/documents/1017/PPD-28_Status_Report_Oct_2014.pdf.

(7)  Elérhető itt http://www.dni.gov/files/documents/ICD/ICD%20204%20National%20Intelligence%20Priorities%20Framework.pdf.

(8)  A hírszerző közösségre vonatkozó irányelv (Intelligence Community Directive – ICD) 203, elérhető itt: http://www.dni.gov/files/documents/ICD/ICD%20203%20Analytic%20Standards.pdf.

(9)  Lásd pl. az USA Igazságügyi Minisztériuma főellenőrének jelentését: „A Review of the Federal Bureau of Investigation's Activities Under Section 702 of the Foreign Intelligence Surveillance Act of 2008”(A Szövetségi Nyomozóiroda tevékenységeinek a külföldi hírszerzői tevékenység megfigyeléséről szóló 2008. évi törvény 702. szakasza szerinti felülvizsgálata) (2012. szeptember), elérhető itt: https://oig.justice.gov/reports/2016/o1601a.pdf.

(10)  Lásd: www.dni.gov/clpo.

(11)  50 U. S. C. § 1881a.

(12)  Az Egyesült Államok a FISA egyéb rendelkezései alapján is kérhet bírói végzést adatok szolgáltatására, az adatvédelmi pajzson keresztül továbbított adatokra is kiterjedően. Lásd: 50 U.S.C. § 1801 és további rendelkezések. TA FISA elektronikus megfigyelést engedélyező I. és fizikai kutatást engedélyező III. címe is előírja a bírósági végzést (rendkívüli körülmények kivételével), és minden esetben követelmény annak alapos gyanúja, hogy a célpont egy külföldi hatalom vagy külföldi hatalom megbízottja. A FISA IV. címe engedélyezi a hívásrögzítő és a lehallgató eszközök bírói végzéshez kötött használatát (rendkívüli körülmények kivételével) engedélyezett külföldi hírszerzési, kémelhárítási vagy terrorizmus elleni nyomozásokban. A FISA V. címe megengedi az FBI-nak, hogy (rendkívüli körülmények kivételével) bírói végzéssel beszerezze azokat az üzleti nyilvántartásokat, amelyek egy engedélyezett külföldi hírszerzési, kémelhárítási vagy terrorizmus elleni nyomozásban jelentőséggel bírnak. Az alább tárgyaltaknak megfelelően az USA szabadságjogokról szóló törvénye (FREEDOM Act) kifejezetten megtiltja a FISA szerinti hívásrögzítésre vagy üzleti nyilvántartások kiadására vonatkozó, tömeges adatgyűjtésre szóló végzéseket, és előírja a „konkrét kiválasztási feltétel” követelményét annak biztosítására, hogy ezeket a hatósági eszközöket célzott módon használják.

(13)  Adatvédelmi és polgári szabadságjogi felügyelő tanács, „Report on the Surveillance Program Operated Pursuant to Section 702 of the Foreign Intelligence Surveillance Act” (Jelentés a külföldi hírszerzői tevékenység megfigyeléséről szóló törvény 702. szakasza szerint működtetett megfigyelési programról) (2014. július 2.) („a PCLOB jelentése”).

(14)  Lásd: Pub. L. No. 110-261, 122 Stat. 2436 (2008).

(15)  Lásd: 50 U. S. C. § 1881a(f).

(16)  Lásd: u.o. § 1801(e)

(17)  Lásd a PCLOB jelentésének a 99. oldalát.

(18)  Lásd: 50 U. S. C. § 1881a(f).

(19)  Lásd a PCLOB jelentésének 111. oldalát

(20)  u.o.

(21)  u.o. a 8. oldalon; 50 U.S.C. § 1881a(l); lásd még: az NSA alapvető szabadságjogok és magánélet védelméért felelős igazgatójának jelentését: „NSA's Implementation of Foreign Intelligence Surveillance Act Section 702” (A külföldi hírszerzői tevékenység megfigyeléséről szóló törvény 702. szakaszának NSA általi végrehajtása (a továbbiakban: „az NSA-jelentés”), a 4. oldalon, elérhető itt: http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(22)  A nemzeti hírszerzési igazgató 2014. évi átláthatósági jelentése, elérhető itt: http://icontherecord.tumblr.com/transparency/odni_transparencyreport_cy2014.

(23)  A minimalizálási eljárások elérhetők itt: http://www.dni.gov/files/documents/ppd-28/2014%20NSA%20702%20Minimization%20Procedures.pdf („NSA Minimization Procedures”); http://www.dni.gov/files/documents/ppd-28/2014%20FBI%20702%20Minimization%20Procedures.pdf; and http://www.dni.gov/files/documents/ppd-28/2014%20CIA%20702%20Minimization%20Procedures.pdf.

(24)  Lásd: az NSA-jelentés 4. oldalát

(25)  Lásd még: az NSA minimalizálási eljárásainak 6. oldalát.

(26)  A hírszerző ügynökségekre PPD-28 szerinti eljárások elérhetőek itt: http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(27)  Lásd: az NSA minimalizálási eljárásai; PPD-28, 4. szakasz.

(28)  Lásd: 50 U.S.C. § 1881(l); lásd még: a PCLOB jelentésének 66-76. oldalát.

(29)  Lásd: a külföldi hírszerzői tevékenység megfigyeléséről szóló törvény 702. szakasza szerint kiadott eljárások és iránymutatások betartásának a legfőbb ügyész és a nemzeti hírszerzés igazgatója által benyújtott féléves értékelésének 2–3. oldalát, elérhető itt: http://www.dni.gov/files/documents/Semiannual%20Assessment%20of%20Compliance%20with%20procedures%20and%20guidelines%20issued%20pursuant%20to%20Sect%20702%20of%20FISA.pdf.

(30)  A külföldi hírszerzést felügyelő bíróság eljárási szabályzatának 13. pontja, elérhető itt: http://www.fisc.uscourts.gov/sites/default/files/FISC%20Rules%20of%20Procedure.pdf.

(31)  Reggi B. Walton bíró 2013. július 29-i levele Patrick J. Leahy bíróhoz, elérhető itt: http://fas.org/irp/news/2013/07/fisc-leahy.pdf.

(32)  Lásd az USA szabadságjogokról szóló törvényének 401. szakaszát, P.L. 114-23.

(33)  Lásd 50 U.S.C. § 1881f.

(34)  Lásd 15 U. S. C. 1881a(f)(1).

(35)  Lásd 15 U. S. C. 1881a(f)(3). E jelentések némelyike titkosítva van.

(36)  Mem. vélemény és végzés 26. oldala (FISC 2014), elérhető itt: http://www.dni.gov/files/documents/0928/FISC%20Memorandum%20Opinion%20and%20Order%2026%20August%202014.pdf.

(37)  USA FREEDOM Act, 2015, Pub. L. No. 114-23, § 401, 129 Stat. 268.

(38)  Lásd u.o. §§ 103, 201 és 501. A nemzetbiztonsági leveleket többféle törvény is engedélyezi és lehetővé teszik az FBI számára, hogy információkat kapjon bizonyos típusú vállalatok hiteljelentéseiből, pénzügyi nyilvántartásaiból és elektronikus előfizetői és tranzakciós adataiból, kizárólag a nemzetközi terrorizmus vagy a titkos hírszerzési tevékenység elleni védekezés céljára. Lásd: 12 U.S.C. § 3414; 15 U.S.C. §§ 1681u-1681v; 18 U.S.C. § 2709. Az FBI a nemzetbiztonsági leveleket rendszerint kritikus, tartalmat nem képező információknak a terrorizmus ellenes és kémelhárítási nyomozások korai szakaszában való gyűjtésére használja – ilyen például valamely olyan felhasználói fiók előfizetőjének személyazonossága, aki esetleg kommunikációt folytatott valamely terrorista csoporttal, pl. az ISIL-lel. A nemzetbiztonsági levelek címzettjei azokat bíróság előtt megtámadhatják. Lásd 18 U. S. C. § 3511.

(39)  Lásd u.o.

(40)  Lásd u.o. § 401

(41)  Lásd u.o. § 602.

(42)  Lásd u.o.

(43)  Lásd u.o. § 603.

(44)  Lásd u.o. §§ 502(f)-503.

(45)  Elérhető itt: http://www.dni.gov/index.php/intelligence-community/intelligence-transparency-principles.

(46)  Elérhető itt: http://www.dni.gov/files/documents/Newsroom/Reports%20and%20Pubs/Principles%20of%20Intelligence%20Transparency%20Implementation%20Plan.pdf.

(47)  Lásd u.o.

(48)  Elérhető itt: https://www.nsa.gov/civil_liberties/_files/nsa_report_on_section_702_program.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf.

(49)  Lásd pl. New York Times kontra Igazságügyi Minisztérium, 756 F.3d 100 (2d Cir. 2014); American Civil Liberties Union kontra CIA, 710 F.3d 422 (D.C. Cir. 2014.

(50)  42 U.S.C. 2000ee(a), (h).

(51)  42 U.S.C. 2000ee(k).

(52)  42 U.S.C. 2000ee(d)(2).

(53)  Lásd általában véve: https://www.pclob.gov/library.html#oversightreports.

(54)  Lásd általában véve: https://www.pclob.gov/events/2015/may13.html.

(55)  42 U.S.C. 2000ee(d)(1); lásd továbbá: A PCLOB tanácsadó feladatra vonatkozó politikája és eljárása, Politika 2015-004, elérhető az alábbi internetcímen: https://www.pclob.gov/library/Policy-Advisory_Function_Policy_Procedure.pdf.

(56)  42 U.S.C. 2000ee(g)(1)(A).

(57)  42 U.S.C. 2000ee(g)(1)(B).

(58)  42 U.S.C. 2000ee(g)(1)(D).

(59)  42 U.S.C. 2000eee(f).

(60)  A főellenőrről szóló 1978. évi módosított törvény (a továbbiakban: IG-törvény) 2. és 4. szakasza; az 1947. évi módosított nemzetbiztonsági törvény (a továbbiakban: NB-törvény) 103H(b) és (e) szakasza; a központi hírszerzésről szóló törvény (a továbbiakban: CIA-törvény) 17(a) szakasza.

(61)  Lásd: Pub. L. No. 113-293, 128 Stat. 3990, (2014. dec. 19.). Kizárólag a Védelmi Hírszerzési Ügynökség és a Nemzeti Térinformatikai Hírszerző Ügynökség főellenőreit nem az elnök nevezi ki; a DOD főellenőre és a hírszerzés főellenőre azonban párhuzamos hatáskörrel rendelkeznek az említett ügynökségek felett.

(62)  Lásd a módosított 1978. évi IG-törvény 3. szakaszát; az NB-törvény 103H(c) szakaszát; valamint a CIA-törvény 17(b) szakaszát.

(63)  Lásd az 1947. évi IG-törvény 4(a) és 6(a)(2) szakaszait; az NB-törvény 103H(e) és (g)(2)(A) szakaszát; a CIA-törvény 17(a) és (c) szakaszát.

(64)  Az IG-törvény 3(d), 6(a)(7) és 6(f) szakasza. az NB-törvény 103H(d), (i), (j) és (m) szakasza; a CIA-törvény 17(e)(7) és (f) szakasza.

(65)  Az IG-törvény 6(a)(1), (3), (4), (5) és (6) szakasza; az NB-törvény 103H(g)(2) szakasza; a CIA-törvény 17(e)(1), (2), (4) és (5) szakasza.

(66)  Lásd pl. az IG-törvény 8(b) és 8E(a) szakaszait; az NB-törvény 103H(f) szakaszát; a CIA-törvény 17(b) szakaszát.

(67)  Az IG-törvény 4(a)(5) szakasza; az NB-törvény 103H(a)(b)(3) és (4) szakasza; a CIA-törvény 17(a)(2) és (4) szakasza.

(68)  Az IG-törvény 2(3), 4(a), és 5. szakasza; az NB-törvény 103H(k) szakasza; a CIA-törvény 17(d) szakasza. Az Igazságügyi Minisztérium főellenőre nyilvánosságra hozott jelentéseit hozzáférhetővé teszi az interneten az alábbi címen: http://oig.justice.gov/reports/all.htm. A hírszerzés főellenőre hasonlóan nyilvánosságra hozza féléves jelentéseit az alábbi internetcímen: https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(69)  Az IG-törvény 2(3), 4(a), és 5. szakasza; az NB-törvény 103H(k) szakasza; a CIA-törvény 17(d) szakasza. Az Igazságügyi Minisztérium főellenőre nyilvánosságra hozott jelentéseit hozzáférhetővé teszi az interneten az alábbi címen: http://oig.justice.gov/reports/all.htm. A hírszerzés főellenőre hasonlóan nyilvánosságra hozza féléves jelentéseit az alábbi internetcímen: https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(70)  Az IG-törvény 7. szakasza; az NB-törvény 103H(g)(3) szakasza; a CIA-törvény 17(e)(3) szakasza.

(71)  Az IG-törvény 11. szakasza.

VII. MELLÉKLET

2016. február 19.

Justin S. Antonipillai úr

Tanácsos

Az USA Kereskedelmi Minisztériuma

1401 Constitution Ave., NW

Washington, DC, 20230

Ted Dean úr

államtitkár-helyettes

Nemzetközi Kereskedelmi Minisztérium

1401 Constitution Ave., NW

Washington, DC, 20230

Tisztelt Antonipillai és Dean úr!

Ez a levél rövid áttekintést nyújt az Egyesült Államokban a kereskedelmi adatok és más vállalati információk bűnüldözési vagy közérdekű (polgári és közigazgatási) célú beszerzésére használt elsődleges nyomozati eszközökről, ideértve az ezekben a hatáskörökben meghatározott betekintési korlátokat (1). Ezek a jogi eljárások megkülönböztetésmentesek annyiban, hogy azokat használják az Egyesült Államokban a vállalatoktól történő információszerzéshez, ideértve azokat a vállalatokat is, amelyek önmaguk tanúsítják az USA-EU adatvédelmi pajzs keretnek való megfelelésüket, tekintet nélkül az érintett állampolgárságára. Emellett azok a vállalatok, amelyek ellen az Egyesült Államokban jogi eljárás indul, azt az alább kifejtettek szerint bíróságon megtámadhatják (2).

A hatóságok általi adatelkobzás tekintetében különösen jelentős az Egyesült Államok Alkotmányának Negyedik Kiegészítése, amely kimondja, hogy „[a]z emberek jogát személyük, házuk, okmányaik és tulajdonuk biztonságához, valamint megalapozatlan házkutatások és lefoglalások elleni védelmét nem lehet megsérteni; ilyen parancsokat csak alapos indokkal, esküvel vagy fogadalommal alátámasztott ügyben lehet kibocsátani, és részletesen meg kell jelölni a házkutatás helyét és a lefoglalandó dolgot, illetve a letartóztatandó személyt.” Az USA Alkotmányának IV. kiegészítése Ahogy az Egyesült Államok Legfelsőbb Bírósága a Berger kontra State of New York ügyben kimondta, „[a] kiegészítés alapvető célja, amint azt ezen bíróság számos döntése is elismerte, az egyének magánéletének és biztonságának a kormányzati tisztviselők önkényes beavatkozásával szembeni védelme.” 388 U.S. 41, 53 (1967) (idézi a Camara kontra Mun. Court of San Francisco ügyet, 387 U.S. 523, 528 (1967)). Belföldi bűnügyi nyomozásokban a Negyedik Kiegészítés általánosságban megköveteli a bűnüldözési tisztviselőktől a kutatás megkezdése előtt bírósági végzés beszerzését. Lásd a Katz kontra Egyesült Államok ügyet, 389 U.S. 347, 357 (1967). Amennyiben a végzés követelménye nem érvényesül, a kormányzati tevékenységnek a Negyedik Kiegészítés szerinti „ésszerűségi” tesztnek kell megfelelnie. Ezért maga az Alkotmány biztosítja, hogy az USA kormánya ne rendelkezzen korlátlan vagy önkényes hatalommal magánadatok megszerzésére.

Büntetőügyekben eljáró bűnüldöző hatóságok:

A szövetségi ügyészek, akik az Igazságügyi Minisztérium tisztviselői(DOJ), és a szövetségi nyomozó ügynökök, beleértve a Szövetségi Nyomozó Iroda (Federal Bureau of Investigation – FBI) – a DOJ keretében működő bűnüldöző szerv – ügynökeit, többféle típusú kötelező bírósági eljáráson keresztül kérhetik az Egyesült Államokban vállalati dokumentumok és más adatok kiadását, beleértve az esküdtszék által kibocsátott idézéseket, közigazgatási idézéseket és házkutatási parancsokat, és a szövetségi bűnügyi lehallgatási és hívásrögzítési hatáskörök szerint más kommunikációkhoz is hozzáférhet.

Bizonyításfelvételben vagy a tárgyaláson való közreműködésre vagy kötelező vádesküdtszéki parancs: A bizonyításfelvételben való közreműködésre kötelező parancsot célzott bűnüldözési nyomozások alátámasztására használják. Az esküdtszék által kiadott parancs a vádesküdtszék hivatalos kötelezése (rendszerint a szövetségi ügyész kérésére) egy adott büntetőjogi jogsértés esküdtszéki vizsgálatának támogatására. A vádesküdtszékek a bíróság vizsgáló ága, és azokat bíró vagy nyomozási bíró egy listáról választja. A parancs előírhatja, hogy valaki tanúskodjon az eljárásban vagy mutasson be vagy bocsásson rendelkezésre üzleti adatokat, elektronikusan tárolt információkat vagy más ingókat. Az információknak a nyomozáshoz relevánsnak kell lennie és a parancs nem lehet ésszerűtlen annak túlzó hatóköre, elnyomó vagy terhes jellege miatt. A címzett indítványt terjeszthet be a parancs ezen okok miatti vitatására. Lásd: Fed. R. Crim. 17. o. Korlátozott körülmények között a dokumentumokra vonatkozó tárgyalási közreműködési parancsok azt követően használhatóak, hogy az esküdtszék az ügyben vádat emel.

Bizonyításfelvételben való közreműködésre kötelező hatósági határozat: A bizonyításfelvételben való közreműködésre kötelező határozat meghozatalára vonatkozó hatáskör büntető vagy polgári nyomozásban használható. Büntetőjogi bűnüldözési összefüggésben több szövetségi törvény ad felhatalmazást a bizonyításfelvételben való közreműködésre kötelező közigazgatási határozatok felhasználására üzleti adatok, elektronikusan tárolt információk vagy más ingók egészségügyi csalással, gyermekbántalmazással, titkosszolgálati védelemmel, ellenőrzött anyagok használatával kapcsolatos vizsgálatokban, és kormányzati hivatalokat érintő legfőbb ügyészi vizsgálatokban történő bemutatása vagy rendelkezésre bocsátása céljából. Ha a kormány a bizonyításfelvételben való közreműködésre kötelező közigazgatási határozatot bíróságon kívánja érvényesíteni, a közigazgatási határozat címzettje – az esküdtszéki parancs címzettjéhez hasonlóan – vitathatja a határozat ésszerűségét annak túlzott hatóköre, elnyomó vagy terhes jellege miatt.

Hívásrögzítésre és lehallgatásra vonatkozó bírósági végzések: A bűnügyi hívásrögzítésre és lehallgatásra vonatkozó rendelkezések értelmében a bűnüldöző szervek bírósági végzést kaphatnak valamely telefonszámról vagy e-mail címről valós idejű, tartalmat nem felfedő tárcsázási, átirányítási, hívásfogadási és jelzési információk beszerzésére annak igazolása mellett, hogy a kapott információ egy folyamatban levő bűnügyi nyomozásban jelentőséggel bír. Lásd: 18 U. S. C. §§ 3121-3127. Ilyen eszközök jogellenes használata vagy beszerelése szövetségi bűncselekmény.

Az elektronikus hírközlési adatvédelmi törvény (ECPA). További szabályok irányadóak az internetszolgáltató telefontársaságok és más harmadik személy szolgáltatók által tárolt előfizetői adatokhoz, forgalmi adatokhoz és tárolt tartalomhoz való, az ECPA II. címe szerinti kormányzati hozzáférésre, amely törvényt tárolt kommunikációról szóló törvénynek is nevezik (Stored Communications Act – SCA), 18 U.S.C. §§ 2701–2712. Az SCA fekteti le a törvényes adatvédelmi jogok azon rendszerét, amely korlátozza az adatokba történő, az alkotmányjog szerint a fogyasztók és internetszolgáltatók előfizetői részéről szükséges mértéket meghaladó, bűnüldözési célú betekintést. Az SCA az adatgyűjtés tolakodó jellegétől függően emeli az adatvédelmi garanciák szintjét. Az előfizetői regisztrációs adatok, IP-címek és kapcsolódó időbélyegek esetében a büntetőügyekben eljáró bűnüldöző hatóságoknak idézést kell beszerezniük. A legtöbb egyéb tárolt, tartalmat nem felfedő információ – így a tárgy nélküli e-mail fejlécek – esetében a bűnüldöző hatóságoknak konkrét tényekkel kell a bíró számára igazolniuk, hogy a kért információ releváns és lényeges egy folyamatban levő bűnügyi nyomozásban. Az elektronikus kommunikáció tárolt tartalmának megszerzéséhez általában a büntető ügyekben eljáró bűnüldöző hatóságok az arra vonatkozó alapos gyanú alapján szereznek be bírói parancsot, hogy a szóban forgó felhasználói fiók bűncselekmény bizonyítékát tartalmazza. Az SCA rendelkezik a polgári jogi helytállásról és a büntetőjogi szankciókról is.

A szövetségi lehallgatási törvény szerinti megfigyelésre szóló bírósági végzések: Emellett a bűnüldöző hatóságok a szövetségi lehallgatási törvény szerint bűnügyi nyomozási célokra lehallgathatnak valós idejű telefonos, szóbeli vagy elektronikus kommunikációt. Lásd: 18 U. S. C. §§ 2510-2522. Ez a hatáskör csak bírósági végzésre elérhető, amelyben a bíró egyebek között megállapítja, hogy alaposan gyanítható, hogy a telefonos vagy elektronikus lehallgatás szövetségi bűncselekményt, vagy a büntetőeljárás elől menekülő tartózkodási helyére vonatkozó bizonyítékot nyújt. A törvény polgári jogi helytállást és büntetőjogi szankciókat ír elő a lehallgatási rendelkezések megszegése esetére.

Házkutatási parancs – 41. szabály: A bűnüldöző szervek az Egyesült Államokban helyiségeket vizsgálhatnak át, ha ezt bíró engedélyezi. A bűnüldöző szerveknek a bíró felé az alapos gyanú bizonyításával kell igazolniuk bűncselekmény elkövetését vagy a készülő bűncselekményt, és hogy a parancsban megadott helyen valószínűleg a bűncselekményhez köthető tárgyak találhatóak. Ezt a hatáskört gyakorta akkor használják, ha a helyiség rendőrségi fizikai átvizsgálása azért szükséges, mert fennáll a bizonyítékok megsemmisítésének veszélye, ha idézést vagy a bemutatást előíró egyéb végzést küldenek a vállalatnak. Lásd az USA Alkotmányának IV. kiegészítését (részletesebben fentebb tárgyaltuk), Fed. R. Crim. 41. o. A házkutatási parancs alanya kérelmezheti a parancs visszavonását annak túlzó hatóköre, zaklató jellege vagy beszerzésének egyéb szabálytalansága miatt, és a sérelmet szenvedett fél indítványozhatja a jogellenes házkutatás során beszerzett bizonyíték kizárását. Lásd a Mapp kontra Ohio ügyet, 367 U.S. 643 (1961).

DOJ irányelvek és szabályzatok: Az adatokba való kormányzati betekintés ezen alkotmányos, törvényi és szabályalapú korlátai mellett a legfőbb ügyész is kibocsátott irányelveket, amelyek további korlátokat szabnak a bűnüldöző szervek adatbetekintése elé, és amelyek a magánélet és az alapvető szabadságok védelmére vonatkozó védelmi eszközöket is tartalmaznak. Például a legfőbb ügyész irányelvei a Szövetségi Nyomozó Iroda (FBI) belföldi nyomozási műveleteire (2008 szeptembere) (a továbbiakban: a legfőbb ügyész FBI irányelvei), elérhető itt: http://www.justice.gov/archive/opa/docs/guidelines.pdf, korlátokat szabnak meg a szövetségi bűncselekmények nyomozásához kapcsolódó nyomozati eszközök használatára. Ezek az irányelvek előírják, hogy az FBI a lehető legkevésbé beavatkozó nyomozati módszereket használja, figyelembe véve a magánélet és az az alapvető szabadságjogok védelmére gyakorolt hatásokat és a hírnévcsorbulás kockázatát. Megjegyzik továbbá, hogy „evidens, hogy az FBI-nak vizsgálatait és egyéb tevékenységeit jogszerűen és ésszerűen kell végeznie, az alapvető szabadságjogokat és a magánéletet tiszteletben tartva és kerülve a jogkövető emberek életébe történő szükségtelen beavatkozást”. Lásd a legfőbb ügyész FBI-irányelveinek 5. oldalát. Az FBI ezeket az irányelveket az FBI belföldi nyomozásokra és műveletekre vonatkozó útmutatójával (Domestic Investigations and Operations Guide – DIOG) hajtotta végre, amely elérhető itt: https://vault.fbi.gov/FBI%20Domestic%20Investigations%20and%20Operations%20Guide%20(DIOG), az útmutató egy olyan átfogó kézikönyv, amely részletes korlátokat állít fel a nyomozati eszközök használatára és útmutatást ad annak biztosítására, hogy az alapvető szabadságjogok és a magánélet minden nyomozásban védelmet kapjon. A szövetségi ügyészek nyomozati tevékenységének korlátait ismertető további szabályokat és szabályzatokat az Egyesült Államok ügyészségi kézikönyve (USAM) fekteti le, amely elérhető az interneten itt: http://www.justice.gov/usam/united-states-attorneys-manual.

Polgári és szabályozó hatóságok (közérdek):

Jelentős korlátozások érvényesülnek az Egyesült Államokban a vállalati adatokba való polgári vagy szabályozói (azaz „közérdekű”) betekintés tekintetében is. A polgári és szabályozó feladatkörrel felruházott hivatalok idézéseket adhatnak ki vállalatoknak üzleti adatok, elektronikusan tárolt információk vagy más ingóságok tárgyában. Ezeket a hivatalokat a közigazgatási vagy polgári idézési hatáskör gyakorlásában nem csak szervezeti alapszabályuk korlátozza, hanem az idézések esetleges bírósági végrehajtás előtti független bírósági felülvizsgálata is. Lásd pl. Fed. R. Civ. P. 45. A hivatalok csak olyan adatokba kérhetnek betekintést, amelyek a szabályozási feladatkörükhöz jelentőséggel bírnak. A közigazgatási idézés címzettje továbbá bíróságon vitathatja az adott idézés végrehajtását annak bizonyításával, hogy a hivatal nem a korábban tárgyalt alapvető ésszerűségi normák szerint járt el.

Vannak más, az adott ágazaton és a birtokukban lévő adatok típusán alapuló jogalapok is a közigazgatási hivatalok adatkéréseinek vitatására. Például a pénzügyi intézmények vitathatják a bizonyos típusú adatokat kérő közigazgatási idézéseket azon az alapon, hogy azok a banktitokról szóló törvénybe és végrehajtási rendeleteibe ütköznek. Lásd: 31 U.S.C. § 5318, 31 C.F.R. X. rész. Más vállalkozások a tisztességes hiteljelentési törvényre hagyatkozhatnak, lásd: 15 U.S.C. § 1681b, vagy más ágazati jogszabályok gazdájára. A hivatal idézési hatáskörével való visszaélés a hivatal helytállási kötelezettségét vagy a hivatal tisztviselőinek személyes helytállási kötelezettségét alapozhatja meg. Lásd pl. a pénzügyi adatvédelemhez való jogról szóló törvény, 12 U.S.C. §§ 3401–3422. Az Egyesült Államok bíróságai ennélfogva óvnak a nem helyénvaló szabályozói adatkérésektől, és ellátják a szövetségi hivatalok fellépéseinek független felügyeletét.

Végül az Egyesült Államokban a közigazgatási hatóságok vállalati adatok közigazgatási házkutatás keretében történő fizikai lefoglalására fennálló törvényi hatásköreinek meg kell felelniük a Negyedik Kiegészítés követelményeinek. Lásd az FTC kontra Travelers Health Association ügyet, 387 U. S. 541 (1967).

Következtetés

Az Egyesült Államokban minden bűnüldözési és szabályozási tevékenységnek meg kell felelnie a vonatkozó jogszabályoknak, beleértve az USA Alkotmányát, törvényeit, szabályozásait és rendeleteit. Az ilyen tevékenységeknek meg kell felelniük a vonatkozó szabályzatoknak is, ideértve a legfőbb ügyész szövetségi bűnüldözési tevékenységekre vonatkozó irányelveit. A fenti ismertetett jogi keret korlátozza az USA bűnüldözési és szabályozó hivatalait abban, hogy az Egyesült Államokban vállalatoktól adatokat szerezzenek -- tekintet nélkül arra, hogy az információ egyesült államokbeli személyekre vagy külföldi országok polgáraira vonatkozik-e --, és emellett lehetővé teszi az e hatáskörök szerinti kormányzati adatkérések bírói felülvizsgálatát.

---

(1)  Ez az áttekintés nem ismerteti a terrorizmussal kapcsolatos bűnüldözés és más nemzetbiztonsági nyomozások által alkalmazott nemzetbiztonsági nyomozati eszközöket, ideértve a hiteljelentésekben szereplő egyes adatokra, pénzügyi adatokra, elektronikus előfizetői és ügyleti adatokra, lásd: 12 U.S.C. § 3414; 15 U.S.C. § 1681u; 15 U.S.C. § 1681v; 18 U.S.C. § 2709, valamint elektronikus megfigyelésre, házkutatási parancsokra, üzleti adatokra vonatkozó nemzetbiztonsági leveleket, és más adatok külföldi hírszerzői tevékenység megfigyeléséről szóló törvény szerinti gyűjtését, lásd: 50 U.S.C. § 1801 és rákövetkező rendelkezések.

(2)  Ez a dokumentum a szövetségi bűnüldözési és szabályozó hatóságokat tárgyalja; az állami jog megsértése ügyében az államok nyomoznak, és e jogszabálysértések tárgyalása az állami bíróságokon történik. Az állami bűnüldözési hatóságok az állami jog alapján kiadott parancsokat és idézéseket lényegében az itt ismertetett módon használják, de azzal a lehetőséggel, hogy az állami jogi eljárásra az USA alkotmányában előírt védelmet meghaladó, az állami alkotmányban előírt védelem vonatkozhat. Az állami jogban előírt védelemnek legalább az USA Alkotmányában – a Negyedik Kiegészítést is beleértve – nyújtott védelemmel azonos szintűnek kell lennie.