I PRIEDAS

2016 m. liepos 7 d.

Věrai Jourovái,

už teisingumą, vartotojų reikalus ir lyčių lygybę atsakingai Komisijos narei

Europos Komisija

Rue de la Loi/Westraat 200

1049 Briuselis

Belgija

Gerbiama Komisijos nare V. Jourová,

džiaugiuosi galėdamas Jungtinių Amerikos Valstijų vardu kartu su šiuo raštu perduoti Jums ES ir JAV „privatumo skydo“ medžiagos dokumentus, kuriuos per dvejus metus trukusias rezultatyvias diskusijas parengė mūsų darbo grupės. Šis dokumentų rinkinys, įskaitant kitą Komisijai viešuose šaltiniuose prieinamą informaciją, – itin patikimas Europos Komisijos naujos išvados dėl tinkamumo pagrindas (1).

Abi pusės turėtų didžiuotis atliktais sistemos patobulinimais. „Privatumo skydas“ grindžiamas principais, dėl kurių tvirtai sutariama abiejose Atlanto pusėse, be to, mes pradėjome griežčiau juos taikyti. Dirbdami drauge turime realią galimybę pagerinti privatumo apsaugą visame pasaulyje.

„Privatumo skydo“ dokumentų rinkinį, be kita ko, sudaro „privatumo skydo“ principai, taip pat programą administruojančios Komercijos departamento Tarptautinės prekybos administracijos (TPA) raštas (pridedamas kaip 1 priedas), kuriame aprašomi mūsų departamento prisiimti įsipareigojimai siekiant užtikrinti, kad „privatumo skydo“ sistema būtų veiksminga. Dokumentų rinkinyje taip pat yra 2 priedas, kuriame aprašyti kiti Komercijos departamento įsipareigojimai, susiję su naujai sukurtu „privatumo skydo“ arbitražo modeliu.

Savo darbuotojams nurodžiau skirti visus reikalingus išteklius, kad „privatumo skydo“ sistema būtų įgyvendinta greitai ir visapusiškai, ir užtikrinti, kad 1 ir 2 prieduose nurodyti įsipareigojimai būtų laiku įgyvendinti.

„Privatumo skydo“ dokumentų rinkinį taip pat sudaro kitų Jungtinių Amerikos Valstijų agentūrų dokumentai, t. y.:

—	Federalinės prekybos komisijos (FPK) raštas, kuriame aprašoma, kaip ji užtikrins „privatumo skydo“ veikimą,

—	Transporto departamento raštas, kuriame aprašoma, kaip jis užtikrins „privatumo skydo“ veikimą,

—	Nacionalinės žvalgybos direktoriaus biuro (ODNI) parengti du raštai dėl apsaugos priemonių ir JAV nacionalinio saugumo institucijoms taikomų apribojimų,

—	Valstybės departamento raštas ir pridedamas memorandumas, kuriuose aprašomas Valstybės departamento įsipareigojimas įsteigti naują „privatumo skydo“ ombudsmeno įstaigą, kuriai būtų teikiamos užklausos dėl Jungtinių Amerikos Valstijų signalų žvalgybos praktikos, ir

—	Teisingumo departamento parengtas raštas dėl apsaugos priemonių ir JAV Vyriausybei taikomų apribojimų leidžiant susipažinti su duomenimis teisėsaugos ir viešojo intereso tikslais.

Galiu patikinti, kad Jungtinės Amerikos Valstijos rimtai vertina šiuos įsipareigojimus.

Per 30 dienų nuo galutinio sprendimo dėl tinkamumo patvirtinimo visas „privatumo skydo“ dokumentų rinkinys bus perduotas Federaliniam registrui, kad šis jį paskelbtų.

Nekantraujame toliau su jumis bendradarbiauti įgyvendinant „privatumo skydo“ nuostatas ir kartu pereinant prie kito šio proceso etapo.

---

(1)  Jeigu Komisijos sprendimas dėl ES ir JAV „privatumo skydo“ suteikiamos apsaugos tinkamumo taikomas Islandijai, Lichtenšteinui ir Norvegijai, „privatumo skydo“ dokumentų rinkinys bus taikomas tiek Europos Sąjungai, tiek šioms trims šalims.

II PRIEDAS

JAV KOMERCIJOS DEPARTAMENTO PASKELBTI ES IR JAV „PRIVATUMO SKYDO“ SISTEMOS PRINCIPAI

I.   APŽVALGA

1.

Nors Jungtinių Amerikos Valstijų ir Europos Sąjungos bendras tikslas – pagerinti privatumo apsaugą, Jungtinės Amerikos Valstijos privatumą traktuoja kitaip nei Europos Sąjunga. Jungtinėse Amerikos Valstijose taikomas sektorinis metodas, paremtas teisės aktų, reguliavimo ir savireguliavimo deriniu. Atsižvelgdamas į šiuos skirtumus ir siekdamas sudaryti galimybę Jungtinių Amerikos Valstijų organizacijoms pasinaudoti asmens duomenų perdavimo iš Europos Sąjungos į Jungtines Amerikos Valstijas mechanizmais kartu užtikrinant, kad ES duomenų subjektai toliau naudotųsi veiksmingomis saugumo priemonėmis ir apsauga, kurią pagal Europos teisės aktus reikalaujama užtikrinti tvarkant į ne ES šalis perduotus jų asmens duomenis, Komercijos departamentas, vadovaudamasis jam įstatymu suteiktais įgaliojimais, skelbia šiuos „privatumo skydo“ principus, įskaitant papildomus principus (toliau kartu – privatumo principai), kad skatintų, remtų ir plėtotų tarptautinę prekybą (JAV kodekso 15 antraštinės dalies 1512 straipsnis). Privatumo principai sukurti pasikonsultavus su Europos Komisija, pramonės atstovais ir kitais suinteresuotaisiais subjektais ir skirti prekybai bei komercijai tarp Jungtinių Amerikos Valstijų ir Europos Sąjungos palengvinti. Šių privatumo principų laikosi tik tos Jungtinių Amerikos Valstijų organizacijos, kurios iš Europos Sąjungos gauna asmens duomenis ir atitinka „privatumo skydo“ organizacijos statusą, taigi naudojasi Europos Komisijos sprendimo dėl tinkamumo teikiamais privalumais (1). Privatumo principai nepakeičia Direktyvą 95/46/EB (toliau – Direktyva) įgyvendinančių nacionalinių nuostatų, kurios taikomos asmens duomenis tvarkant valstybėse narėse. Privatumo principais taip pat neribojami privatumo srityje galiojantys įsipareigojimai, kurie kitais atvejais taikomi pagal JAV teisę.

2.

Kad organizacija galėtų pagal „privatumo skydo“ nuostatas perduoti asmens duomenis iš ES, ji privalo taikyti autosertifikavimo procedūrą, kuria Komercijos departamentui (arba jo paskirtai institucijai) (toliau – Departamentas) patvirtina savo įsipareigojimą laikytis privatumo principų. Nors organizacijos sprendimus dėl dalyvavimo „privatumo skydo“ sistemoje priima visiškai savanoriškai, faktinis reikalavimų laikymasis yra privalomas: organizacijos, kurios patvirtina Departamentui savo įsipareigojimą laikytis privatumo principų ir viešai apie tai paskelbia, privalo visapusiškai laikytis privatumo principų. Norėdama dalyvauti „privatumo skydo“ sistemoje, organizacija privalo: a) patekti į Federalinės prekybos komisijos (FPK), Transporto departamento arba kitos valstybinės įstaigos, kuri veiksmingai užtikrins privatumo principų laikymąsi, tyrimų ir vykdymo įgaliojimų taikymo sritį (kitos ES pripažintos JAV valstybinės įstaigos ateityje gali būti nurodomos priede); b) viešai paskelbti savo įsipareigojimą laikytis privatumo principų; c) atskleisti visuomenei savo privatumo politiką, atitinkančią šiuos privatumo principus, ir d) visapusiškai juos įgyvendinti. Jeigu organizacija nesilaiko privatumo principų, jai taikomos sankcijos pagal Federalinės prekybos komisijos akto 5 straipsnį, kuriuo draudžiami nesąžiningi ir apgaulingi veiksmai prekybos srityje arba veiksmai, darantys poveikį prekybai (JAV kodekso 15 antraštinės dalies 45 straipsnio a dalis), arba kitus įstatymus arba taisykles, kuriais draudžiami tokie veiksmai.

3.

Komercijos departamentas toliau tvarkys ir viešai skelbs patikimą JAV organizacijų, kurios pateikė departamentui autosertifikavimo pažymėjimą ir pareiškė įsipareigojančios laikytis privatumo principų, sąrašą (toliau – „privatumo skydo“ sąrašas). „Privatumo skydo“ teikiami privalumai užtikrinami nuo dienos, kurią Departamentas įrašo organizaciją į„privatumo skydo“sąrašą. Departamentas išbrauks organizaciją iš „privatumo skydo“ sąrašo, jeigu ji savanoriškai nustos dalyvauti „privatumo skydo“ sistemoje arba jeigu ji Departamentui nepateiks metinio patvirtinimo. Jeigu organizacija išbraukiama iš „privatumo skydo“ sąrašo, tai reiškia, kad ji nebegali remtis Europos Komisijos sprendimu dėl tinkamumo ir gauti asmens duomenų iš ES. Organizacija privalo toliau taikyti privatumo principus asmens duomenims, kuriuos gavo dalyvaudama „privatumo skydo“ sistemoje, ir kasmet teikti Departamentui savo įsipareigojimo taikyti privatumo principus patvirtinimą ir teikti tokį patvirtinimą tol, kol ji saugo tokią informaciją; priešingu atveju organizacija privalo grąžinti arba ištrinti informaciją arba kitomis leistinomis priemonėmis užtikrinti „tinkamą“ apsaugą. Departamentas iš „privatumo skydo“ sąrašo taip pat išbrauks tas organizacijas, kurios nuolat nesilaikė privatumo principų; šios organizacijos netenka „privatumo skydo“ suteikiamų privalumų ir privalo grąžinti arba ištrinti asmens duomenis, kuriuos gavo dalyvaudamos „privatumo skydo“ sistemoje.

4.

Departamentas taip pat tvarkys ir viešai skelbs patikimą JAV organizacijų, kurios anksčiau pateikė Departamentui autosertifikavimo pažymėjimą, tačiau buvo pašalintos iš „privatumo skydo“ sąrašo, registrą. Departamentas aiškiai įspės šias organizacijas, kad jos nebedalyvauja „privatumo skydo“ sistemoje; kad išbraukimas iš „privatumo skydo“ sąrašo reiškia, jog tokios organizacijos nebegali teigti, kad laikosi „privatumo skydo“ nuostatų, ir privalo vengti bet kokių pareiškimų arba klaidinančių veiksmų, iš kurių būtų galima numanyti, kad jos dalyvauja „privatumo skydo“ sistemoje; ir kad tokios organizacijos nebeturi teisės naudotis Europos Komisijos sprendimo dėl tinkamumo teikiamais privalumais, kurie leistų šioms organizacijoms gauti asmens duomenis iš ES. FPK, Transporto departamentas arba kitos teisėsaugos institucijos gali imtis vykdymo veiksmų dėl organizacijos, kuri toliau teigia dalyvaujanti „privatumo skydo“ sistemoje arba nurodo kitus su „privatumo skydu“ susijusius klaidingus pareiškimus po to, kai buvo išbraukta iš „privatumo skydo“ sąrašo.

5.

Šių privatumo principų laikymasis gali būti ribojamas: a) tiek, kiek tai būtina nacionalinio saugumo, viešojo intereso arba teisėsaugos reikalavimams įvykdyti; b) pagal įstatymą, Vyriausybės reglamentą arba teismų praktiką, dėl kurių atsiranda prieštaraujančių pareigų ar aiškių leidimų, jei vykdydama bet kurį tokį leidimą organizacija gali įrodyti, kad privatumo principų nesilaikoma tik tiek, kiek tai būtina atsižvelgiant į organizacijos ginamus viršesnius teisėtus interesus; arba c) jei Direktyvoje arba valstybės narės įstatyme nustatytos išimtys ar leidžiančios nukrypti nuostatos ir jei tokios išimtys ar leidžiančios nukrypti nuostatos taikomos dėl panašių priežasčių. Siekdamos privatumo apsaugos stiprinimo, organizacijos turi stengtis visiškai ir skaidriai laikytis šių privatumo principų, o jei pirmesnio sakinio b punkte nurodytos išimtys bus taikomos reguliariai, jos turi tai nurodyti savo privatumo taisyklėse. Dėl tos pačios priežasties pageidaujama, kad tais atvejais, kai pagal privatumo principus ir (arba) JAV teisę galima pasirinkti kelis variantus, organizacijos pasirinktų geriausią apsaugą suteikiantį variantą.

6.

Organizacijos yra įpareigotos taikyti privatumo principus visiems asmens duomenims, perduotiems pagal „privatumo skydo“ nuostatas po to, kai jos tapo „privatumo skydo“ narėmis. Organizacija, kuri nusprendžia praplėsti „privatumo skydo“ privalumus žmogiškųjų išteklių asmeninei informacijai, perduodamai iš ES ir skirtai naudoti darbo santykiuose, privalo tai nurodyti, kai ji patvirtina Departamentui savo įsipareigojimą laikytis papildomo principo dėl autosertifikavimo reikalavimų.

7.

Su privatumo principų aiškinimu ir laikymusi susiję klausimai ir su atitinkama „privatumo skydo“ organizacijų privatumo politika susiję klausimai bus sprendžiami taikant JAV teisę, išskyrus atvejus, kai tokios organizacijos įsipareigojo bendradarbiauti su Europos duomenų apsaugos priežiūros institucijomis (DAI). Išskyrus atvejus, kai nurodyta kitaip, visos „privatumo skydo“ principų nuostatos taikomos pagal paskirtį.

8.

Apibrėžtys: a)   „asmens duomenys“ ir „asmeninė informacija“– Jungtinių Amerikos Valstijų organizacijos iš Europos Sąjungos gauti ir bet kuria forma įrašyti duomenys apie nustatytos arba galimos nustatyti tapatybės asmenį, kuriems taikoma Direktyva; b)   asmens duomenų „tvarkymas“– bet kokia operacija ar operacijų seka, susijusi su asmens duomenimis, nesvarbu, ar tokios operacijos atliekamos automatinėmis priemonėmis ar ne, pvz., rinkimas, įrašymas, tvarkymas, saugojimas, tikslinimas ir keitimas, gavimas, tikrinimas, naudojimas, atskleidimas ar platinimas, taip pat trynimas ar sunaikinimas; c)   duomenų valdytojas– asmuo ar organizacija, kuri savarankiškai arba kartu su kitais asmenimis ar organizacijomis nustato asmens duomenų tvarkymo tikslus ir priemones.

9.

Privatumo principai įsigalioja nuo tos dienos, kurią Europos Komisija galutinai patvirtina sprendimą dėl tinkamumo.

II.   PRINCIPAI

1.   Pastaba

a.

Organizacija privalo informuoti fizinius asmenis apie: i) savo dalyvavimą „privatumo skydo“ sistemoje ir pateikti nuorodą į svetainę arba svetainės adresą, kuriuo skelbiamas „privatumo skydo“ sąrašas, ii) renkamų asmens duomenų rūšį ir, kai tinkama, organizacijos subjektus arba filialus, kurie taip pat laikosi privatumo principų, iii) savo įsipareigojimą visus asmens duomenis, gautus iš ES pagal „privatumo skydo“ nuostatas, tvarkyti pagal privatumo principus, iv) tikslus, kuriais renkami ir naudojami jų asmens duomenys, v) kaip organizacijai pateikti bet kokias užklausas ar skundus, įskaitant bet kurią susijusią ES įmonę, kuri gali atsakyti į tokias užklausas arba nagrinėti skundus, vi) trečiųjų šalių, kurioms ji atskleidžia asmens duomenis, rūšį ir tapatybę ir tikslus, kuriais atskleidžiami tokie duomenys, vii) fizinių asmenų teisę susipažinti su savo asmens duomenimis, viii) sprendimus ir priemones, kurias organizacija siūlo fiziniams asmenims, norintiems riboti jų asmens duomenų naudojimą ir atskleidimą, ix) paskirtą nepriklausomą ginčų sprendimo įstaigą, kuri nagrinėja skundus ir teikia fiziniam asmeniui nemokamas ir tinkamas teisių gynimo paslaugas, taip pat informuoja apie tai, ar tai yra: 1) DAI sudaryta komisija, 2) ES įsisteigęs alternatyvaus ginčų nagrinėjimo paslaugų teikėjas arba 3) Jungtinėse Amerikos Valstijose įsisteigęs alternatyvaus ginčų nagrinėjimo paslaugų teikėjas, x) tai, ar jai taikomi FPK, Transporto departamento ar bet kurios kitos JAV įgaliotos valstybinės įstaigos tyrimo ir vykdymo įgaliojimai, xi) galimybę tam tikromis sąlygomis fiziniam asmeniui taikyti privalomą arbitražą, xii) reikalavimą atskleisti asmens duomenis tenkinant teisėtus valdžios institucijų prašymus, įskaitant prašymus dėl nacionalinio saugumo arba teisėsaugos reikalavimų įvykdymo, ir xiii) savo atsakomybę toliau perduodant duomenis trečiosioms šalims.

b)

Toks pranešimas turi būti pateiktas aiškia ir suprantama kalba tada, kai asmenų pirmą kartą prašoma suteikti asmeninę informaciją organizacijai arba kuo greičiau po to, tačiau bet kuriuo atveju prieš organizacijai panaudojant tokią informaciją kitais tikslais, nei tie, dėl kurių duomenis perduodančioji organizacija ją iš pradžių surinko ar tvarkė, arba prieš pirmą kartą ją atskleidžiant trečiajai šaliai.

2.   Pasirinkimas

a)

Organizacija privalo suteikti asmenims galimybę pasirinkti (galimybė atsisakyti), ar jų asmeninė informacija gali būti: i) atskleista trečiajai šaliai arba ii) naudojama tikslais, kurie iš esmės neatitinka tų tikslų, dėl kurių ji buvo iš pradžių surinkta, ar vėliau buvo gautas fizinio asmens sutikimas ją naudoti. Fiziniams asmenims turi būti suteikti aiškūs, suprantami ir lengvai prieinami pasirinkimo mechanizmai.

b)	Nukrypstant nuo ankstesnės pastraipos, pasirinkimo galimybės nebūtina užtikrinti, jeigu duomenys atskleidžiami trečiajai šaliai, kuri veikia kaip atstovas, kuris organizacijos vardu arba pagal jos nurodymus atlieka užduotį (-is). Tačiau organizacija su tokiu atstovu visada sudaro sutartį.

c)

Dėl neskelbtinos informacijos (t. y. asmeninės informacijos apie sveikatos būklę, rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus, narystę profesinėse sąjungose ar informacijos apie asmens lytinį gyvenimą) organizacijos visada privalo gauti aiškų teigiamą fizinių asmenų sutikimą (galimybė pasirinkti), jeigu tokia informacija turi būti i) atskleista trečiajai šaliai arba ii) naudojama kitu, ne iš pradžių numatytu, tikslu arba fiziniai asmenys duoda tokį sutikimą pasinaudodami pasirinkimo galimybe. Be to, organizacija visuomet turi laikyti iš trečiųjų šalių gautus asmens duomenis neskelbtinais, jei ta trečioji šalis tuos duomenis laiko konfidencialiais ir atitinkamai juos tvarko.

3.   Atsakomybė už tolesnį perdavimą

a)

Norėdamos perduoti asmens duomenis trečiajai šaliai, organizacijos privalo laikytis pranešimo ir pasirinkimo principų. Organizacijos taip pat privalo sudaryti sutartį su trečiosios šalies duomenų valdytoju, kurioje nustatoma, kad tokie duomenys gali būti tvarkomi tik ribotais ir konkrečiais tikslais, atitinkančiais fizinio asmens duoto sutikimo sąlygas, ir kad duomenų gavėjas užtikrins tokį pat duomenų apsaugos lygį, kuris užtikrinamas pagal privatumo principus, ir informuos organizaciją, jeigu nustatys, kad ji nebesilaiko šios pareigos. Sutartyje nustatoma, kad tais atvejais, kai tokį sprendimą priima trečioji šalis, duomenų valdytojas nustoja tvarkyti duomenis arba imasi kitų pagrįstų ir tinkamų priemonių, kad ištaisytų susidariusią padėtį.

b)

Norėdama perduoti asmens duomenis trečiajai šaliai, kuri veikia kaip atstovas, organizacija privalo: i) perduoti tokius duomenis tik ribotais ir konkrečiais tikslais; ii) patvirtinti, kad atstovas yra įpareigotas užtikrinti ne mažesnį privatumo apsaugos lygį nei tas, kuris užtikrinamas pagal privatumo principus; iii) imtis pagrįstų ir tinkamų priemonių, kuriomis būtų užtikrinama, kad atstovas veiksmingai tvarkytų asmens duomenis, kurie buvo perduoti laikantis organizacijos įsipareigojimų, susijusių su privatumo principais; iv) reikalauti, kad atstovas, nustatęs, kad nebegali toliau laikytis pareigos užtikrinti tokį patį apsaugos lygį, kurio reikalaujama pagal privatumo principus, informuotų apie tai organizaciją; v) gavusi pranešimą, įskaitant pranešimą pagal iv punktą, imtis pagrįstų ir tinkamų priemonių, kad sustabdytų neteisėtą duomenų tvarkymą ir ištaisytų su tuo susijusią padėtį, ir vi) Departamento prašymu pateikti atitinkamų savo sutarties su tuo atstovu privatumo nuostatų santrauką arba patvirtintą kopiją.

4.   Saugumas

a)

Organizacijos, kurios kuria, tvarko, naudoja arba skleidžia asmeninę informaciją, privalo, atsižvelgdamos į su tokios informacijos tvarkymu susijusią riziką ir informacijos pobūdį, imtis pagrįstų ir tinkamų priemonių informacijai apsaugoti nuo praradimo, netinkamo naudojimo ir neteisėtos prieigos prie jos, neteisėto atskleidimo, keitimo ir sunaikinimo.

5.   Duomenų vientisumas ir tikslo ribojimas

a)

Privatumo principų laikomasi, kai asmens duomenys atitinka tikslus, kuriais jie yra tvarkomi (2). Organizacija neturi teisės tvarkyti asmeninės informacijos tokiais būdais, kurie neatitinka tikslų, dėl kurių ji buvo surinkta ar vėliau buvo gautas asmens sutikimas ją naudoti. Tiek, kiek būtina tokiems tikslams, organizacija privalo imtis pagrįstų priemonių užtikrinti, kad asmens duomenys atitiktų numatomą jų naudojimo paskirtį, būtų tikslūs, išsamūs ir naujausi. Organizacija privalo laikytis privatumo principų tol, kol saugo tokią informaciją.

b)

Informacija gali būti saugoma forma, iš kurios galima nustatyti asmens tapatybę arba kuri sudarytų sąlygas nustatyti asmens tapatybę (3), tik tiek, kiek ji reikalinga duomenų tvarkymo tikslu, kaip apibrėžta 5 dalies a punkte. Ši pareiga neužkerta kelio organizacijoms tvarkyti asmeninės informacijos ilgiau ir tiek, kiek toks tvarkymas yra pagrįstas atsižvelgiant į archyvavimo visuomeniniais interesais, žurnalistikos, literatūros ir meno, mokslinių ar istorinių tyrimų ir statistinių duomenų analizės tikslus. Šiais atvejais tokiam duomenų tvarkymui taikomi kiti privatumo principai ir sistemos nuostatos. Organizacijos turėtų imtis pagrįstų ir tinkamų priemonių, kad laikytųsi šios nuostatos.

6.   Prieiga prie duomenų

a)

Asmenims turi būti suteikta galimybė susipažinti su organizacijos laikoma asmenine informacija apie juos, ją ištaisyti, pakeisti ar sunaikinti, jei ji būtų netiksli arba tvarkoma pažeidžiant privatumo principus, išskyrus atvejus, kai suteikiant informaciją patiriama našta ar išlaidos būtų neproporcingai didelės, palyginti su pavojumi to asmens privatumui arba būtų pažeistos kitų asmenų teisės.

7.   Teisių gynimas, reikalavimų užtikrinimas ir atsakomybė

a)

Veiksmingai privatumo apsaugai būtini patikimi mechanizmai, kuriais užtikrinamas privatumo principų laikymasis, fizinių asmenų, kuriems turėjo įtakos privatumo principų nesilaikymas, galimybė ginti teises ir privatumo principų nesilaikančios organizacijos atsakomybė. Būtina, kad tokios institucijos atitiktų šiuos minimalius reikalavimus: i) tai turi būti lengvai prieinamos nepriklausomos teisių gynimo institucijos, kurios operatyviai tirtų ir laikydamosi privatumo principų nemokamai išspręstų kiekvieno asmens skundus bei ginčus ir priteistų žalos atlyginimą, jei tai numatyta taikytinuose teisės aktuose ar privačiojo sektoriaus nuostatose; ii) turi būti nustatytos papildomos procedūros, skirtos patikrinti, ar įmonių pareiškimai ir patikinimai apie privatumo taisykles yra teisingi ir ar tokios privatumo taisyklės yra taikomos taip, kaip skelbiama ir iii) turi būti nustatytos pareigos išspręsti nesklandumus, kylančius dėl to, kad organizacijos klaidingai nurodo, kad laikosi privatumo principų, ir nustatyta tokių organizacijų atsakomybė. Sankcijos turi būti pakankamai griežtos, kad priverstų organizacijas laikytis įsipareigojimų.

b)

Organizacijos ir jų pasirinktos nepriklausomos teisių gynimo institucijos greitai reaguos į Departamento pateiktas užklausas ir prašymus pateikti informaciją, susijusią su „privatumo skydu“. Visos organizacijos privalo greitai reaguoti į skundus dėl privatumo principų nesilaikymo, kuriuos ES valstybės narės valdžios institucijos perdavė per Departamentą. Organizacijos, kurios nusprendė bendradarbiauti su DAI, įskaitant žmogiškųjų išteklių duomenis tvarkančias organizacijas, privalo tiesiogiai bendrauti su tokiomis institucijomis skundų tyrimo ir sprendimo klausimais.

c)	Organizacijos įpareigojamos arbitražo tvarka nagrinėti reikalavimus ir vadovautis I priede nustatytomis sąlygomis, jeigu asmuo taikė privalomą arbitražo procedūrą įteikdamas organizacijai atitinkamą pranešimą, taikydamas procedūras ir laikydamasis I priede nustatytų sąlygų.

d)

Jeigu duomenys perduodami toliau, „privatumo skydo“ organizacija atsako už asmens duomenų, gautų pagal „privatumo skydo“ nuostatas, tvarkymą ir tolesnį jų perdavimą trečiajai šaliai, kuri jos vardu veikia kaip atstovas. „Privatumo skydo“ organizacija išlieka atsakinga pagal privatumo principus, jeigu jos atstovas tvarko tokius asmens duomenis su privatumo principais nesuderinamu būdu, nebent organizacija įrodo, kad ji neatsako už įvykį, dėl kurio atsirado žala.

e)

Jeigu FPK arba teismas organizacijos atžvilgiu priima sprendimą dėl reikalavimų nesilaikymo, organizacija viešai skelbia visus su „privatumo skydu“ susijusius FPK pateiktų atitikties arba vertinimo ataskaitų skirsnius ir tai darydama atsižvelgia į konfidencialumo reikalavimus. Departamentas įsteigė specialų DAI kontaktinį centrą, kuris sprendžia visus klausimus, susijusius su tuo, kaip „privatumo skydo“ organizacijos laikosi reikalavimų. FPK prioritetine tvarka nagrinės bylas dėl privatumo principų nesilaikymo, kurias perdavė Departamentas ir ES valstybių narių valdžios institucijos, ir laiku bei laikydamasi galiojančių konfidencialumo apribojimų keisis informacija dėl perduotų bylų su perduodančiosios valstybės valdžios institucijomis.

III.   PAPILDOMI PRINCIPAI

1.   Neskelbtini duomenys

a)

Nereikalaujama, kad organizacija gautų teigiamą aiškų sutikimą (galimybė pasirinkti) dėl neskelbtinų duomenų, kai: i) duomenys tvarkomi duomenų subjektui ar kitam asmeniui gyvybiškai svarbiais tikslais; ii) duomenis tvarkyti būtina pareiškiant teisinius reikalavimus ar nustatant gynybos argumentus; iii) duomenų reikia medicinos priežiūrai atlikti ar diagnozei nustatyti; iv) duomenys tvarkomi vykdant fondo, asociacijos ar kitos pelno nesiekiančios organizacijos, užsiimančios politine, filosofine, religine ar profesinių sąjungų veikla, teisėtą veiklą, jei tai susiję tik su organizacijos nariais ar reguliariai su jos veikla susijusių reikalų turinčiais asmenimis ir tokie duomenys be duomenų subjekto sutikimo nėra atskleidžiami trečiajai šaliai; v) duomenys būtini darbo teisinius santykius reglamentuojančiuose teisės aktuose numatytiems organizacijos įsipareigojimams vykdyti arba vi) tai yra duomenys, kuriuos asmuo aiškiai viešai paskelbė.

2.   Su žurnalistika susijusios išimtys

a)

Atsižvelgiant į JAV Konstitucijoje nustatytą spaudos laisvės apsaugą ir Direktyvoje nustatytą išimtį žurnalistinei medžiagai, tais atvejais, kai JAV Konstitucijos Pirmojoje pataisoje nustatytos laisvos spaudos teisės prieštarauja privatumo apsaugos interesams, JAV asmenų ir organizacijų veiklos interesai derinami taikant Pirmosios pataisos normas.

b)	„Privatumo skydo“ principai netaikomi asmeninei informacijai, kuri yra surinkta skelbti, transliuoti ar kitoms visuomenės informavimo apie žurnalistinę medžiagą formoms, – nesvarbu, ar ji būtų panaudota, ar ne, taip pat iš žurnalistikos archyvų išplatintai anksčiau skelbtai informacijai.

3.   Netiesioginė atsakomybė

a)

Pagal „privatumo skydo“ principus interneto ar telekomunikacijų paslaugų teikėjai ir kitos organizacijos teisiškai neatsako, jei kitos organizacijos vardu jie tik perduoda, nukreipia, pakeičia ar saugo informaciją. Kaip nustatyta ir pačioje Direktyvoje, „privatumo skydas“ nesukuria netiesioginės atsakomybės. Jei organizacija atlieka tik trečiųjų šalių siunčiamos informacijos perdavimo funkciją ir nenustato tų asmens duomenų tvarkymo tikslų ir priemonių, ji nėra teisiškai atsakinga.

4.   Išsamus patikrinimas ir audito atlikimas

a)	Vykdydami savo veiklą auditoriai ir investicijų bankininkai gali tvarkyti asmens duomenis be jo sutikimo ar žinios. Tai leidžiama pagal pranešimo, pasirinkimo ir prieigos prie duomenų principus, atsižvelgiant į toliau aprašytas aplinkybes.

b)

Auditas reguliariai atliekamas akcinėse bendrovėse ir uždarosiose akcinėse bendrovėse, įskaitant „privatumo skydo“ organizacijas. Tokie auditai, visų pirma tie, kurių metu nagrinėjami potencialūs pažeidimo atvejai, gali būti neveiksmingi, jeigu apie juos bus paskelbta iš anksto. Panašiai ir „privatumo skydo“ organizacija, dalyvaujanti potencialiame bendrovių susijungimo arba perėmimo procese, turės arba privalės atlikti išsamų patikrinimą. Tokiu atveju dažnai bus renkami ir tvarkomi asmens duomenys, pvz., informacija apie vyresniuosius pareigūnus arba kitus svarbias pareigas einančius darbuotojus. Iš anksto paskelbus apie auditą, gali būti pakenkta sandoriui arba netgi pažeidžiamos vertybinių popierių taisyklės. Investicijų bankininkai ir advokatai, dalyvaujantys atliekant išsamų patikrinimą, arba auditą atliekantys auditoriai gali tvarkyti asmens duomenis be jo žinios pirmiausia tuo atveju, kai būtina vykdyti įstatymų ar visuomenės interesų reikalavimus ir esant tokioms aplinkybėms, kai šių privatumo principų taikymas gali pakenkti teisėtiems organizacijos interesams. Tokie teisėti interesai yra organizacijos teisinių įsipareigojimų vykdymo ir teisėtos apskaitos tvarkymo veiklos stebėsena ir poreikis užtikrinti konfidencialumą, susiję su galimais įmonių įsigijimais, susijungimais, bendromis įmonėmis ar kitais panašiais auditorių ir investicijų bankininkų vykdomais sandoriais.

5.   Duomenų apsaugos institucijų vaidmuo

a)

Organizacijos įgyvendins savo įsipareigojimą bendradarbiauti su Europos Sąjungos duomenų apsaugos institucijomis (DAI), kaip aprašyta toliau. Pagal „privatumo skydo“ sistemą JAV organizacijos, gaunančios asmens duomenis iš ES, privalo įsipareigoti naudoti veiksmingus mechanizmus, užtikrinančius „privatumo skydo“ principų laikymąsi. Tiksliau tariant, atsižvelgiant į teisių gynimo, reikalavimų užtikrinimo ir atsakomybės principą, dalyvaujančios organizacijos privalo: (a)(i) suteikti fiziniams asmenims, su kuriais yra susiję duomenys, teisių gynimo priemones; (a)(ii) taikyti procedūras, kuriomis patikrinama, ar jų pareiškimai ir patikinimai dėl privatumo praktikos yra tikri, ir (a)(iii) įsipareigoti spręsti problemas, kylančias dėl privatumo principų nesilaikymo ir nustatyti tokioms organizacijoms taikomas sankcijas. Organizacija gali įvykdyti teisių gynimo, reikalavimų užtikrinimo ir atsakomybės principo (a)(i) ir (a)(iii) punktuose nustatytus reikalavimus, jeigu ji laikosi šiame skirsnyje aprašyto bendradarbiavimo su DAI reikalavimo.

b)

Organizacija įsipareigoja bendradarbiauti su DAI, savo pareiškime dėl „privatumo skydo“ autosertifikavimo, kuris teikiamas Komercijos departamentui, nurodydama (žr. papildomą autosertifikavimo principą), kad organizacija: i) įsipareigodama bendradarbiauti su DAI, apsisprendė laikytis „privatumo skydo“ teisių gynimo, reikalavimų užtikrinimo ir atsakomybės principo (a)(i) ir (a)(iii) punktų; ii) bendradarbiaus su DAI tiriant ir sprendžiant su „privatumo skydu“ susijusius skundus ir iii) laikysis visų DAI teikiamų rekomendacijų, kai, DAI manymu, organizacijai reikia imtis tam tikrų veiksmų norint laikytis „privatumo skydo“ principų, įskaitant teisės gynimo ir kompensacines priemones asmenims, nukentėjusiems dėl bet kokio privatumo principų pažeidimo, ir raštu patvirtins DAI, kad tokių veiksmų buvo imtasi.

c)

DAI komisijų veikla i) DAI bendradarbiaus suteikdamos informaciją ir teikdamos konsultacijas tokiais būdais: 1. DAI konsultacijos bus teikiamos per Europos Sąjungos lygiu įkurtą DAI komisiją, kuri, be kita ko, padės užtikrinti darnų ir nuoseklų požiūrį. 2. Ši komisija konsultuos JAV organizacijas neišspręstų skundų, kuriuos fiziniai asmenys pateikia dėl asmens duomenų, perduotų iš ES pagal „privatumo skydo“ nuostatas, tvarkymo klausimais. Tokiomis konsultacijomis bus siekiama užtikrinti, kad „privatumo skydo“ principai būtų taikomi teisingai ir būtų suteiktos fizinio (-ų) asmens (-ų) teisių gynimo priemonės, kurias DAI laikys tinkamomis. 3. Komisija teiks tokias konsultacijas atsakydama į organizacijų pranešimus ir (arba) tiesiogiai iš fizinių asmenų gautus skundus dėl organizacijų, kurios įsipareigojo bendradarbiauti su DAI, siekdamos laikytis „privatumo skydo“ principų, paskatindama ir, jei reikia, padėdama tokiems fiziniams asmenims iš pradžių pasinaudoti vidinėmis skundų nagrinėjimo procedūromis, kurias gali pasiūlyti organizacija. 4. Konsultacijos bus suteikiamos tik abiem šalims suteikus pagrįstą galimybę pateikti pastabas ir visus pageidaujamus įrodymus. Komisija sieks kuo greičiau suteikti konsultaciją, laikydamasi nustatytos tvarkos reikalavimų. Pagal bendrą taisyklę komisija konsultaciją stengsis suteikti per 60 dienų nuo skundo ar perduotos bylos gavimo, o jei įmanoma – greičiau. 5. Komisija viešai skelbs jai pateiktų skundų svarstymo rezultatus, jei manys, kad tai reikalinga. 6. Komisijoje suteiktos konsultacijos neužtraukia jokios atsakomybės pačiai komisijai ar kuriai nors atskirai DAI. ii) Kaip pažymėta anksčiau, šį ginčų sprendimo būdą pasirinkusios organizacijos privalo įsipareigoti laikytis DAI konsultacijų. Jei organizacija per 25 dienas po konsultacijos suteikimo neįvykdo jos reikalavimų ir nepateikia tinkamo paaiškinimo, komisija praneša apie savo ketinimus perduoti klausimą Federalinei prekybos komisijai, Transporto departamentui ar kitai JAV federalinei ar valstijos institucijai, kad ši imtųsi vykdymo veiksmų apgaulės arba klaidinimo atvejais, arba nusprendžia, kad bendradarbiavimo susitarimas yra rimtai pažeistas ir dėl to turi būti pripažintas niekiniu ir negaliojančiu. Pastaruoju atveju komisija informuos Komercijos departamentą, kad būtų atitinkamai pakoreguotas „privatumo skydo“ sąrašas. Bet koks įsipareigojimo bendradarbiauti su DAI nevykdymas ir „privatumo skydo“ principų nevykdymas pagal FPK akto 5 straipsnį ar panašų normatyvinį aktą bus laikomas apgaulingais veiksmais.

d)	Organizacija, kuri nori, kad „privatumo skydo“ sistemos teikiami privalumai būtų taikomi iš ES įdarbinimo tikslais perduotiems žmogiškųjų išteklių duomenims, privalo įsipareigoti bendradarbiauti su DAI tokių duomenų perdavimo ir tvarkymo srityje (žr. papildomą žmogiškųjų išteklių duomenų principą).

e)

Šią galimybę pasirinkusios organizacijos privalės mokėti metinį mokestį, skirtą grupės veiklos išlaidoms padengti, ir dar papildomai gali būti paprašyta padengti būtinas vertimo išlaidas, susijusias su pranešimų ar skundų prieš organizacijas svarstymu. Metinis mokestis bus ne didesnis kaip 500 JAV dolerių, o mažesnėms bendrovėms jis bus mažesnis.

6.   Autosertifikavimas

a)	„Privatumo skydo“ teikiamais privalumais galima naudotis nuo tos dienos, kurią Departamentas įrašo organizacijos pareiškimą dėl autosertifikavimo į „privatumo skydo“ sąrašą po to, kai nustatė, kad pareiškimas yra išsamus.

b)

Norėdama patvirtinti savo dalyvavimą „privatumo skydo“ sistemoje, organizacija gali pateikti Departamentui bendrovės pareigūno organizacijos vardu pasirašytą patvirtinimo pažymėjimą, kad prisijungiama prie „privatumo skydo“, ir jame turėtų būti pateikta bent jau tokia informacija: i) organizacijos pavadinimas, pašto adresas, elektroninio pašto adresas, telefono ir fakso numeriai; ii) organizacijos veiklos, susijusios su asmenine informacija, gaunama iš ES, aprašymas ir iii) organizacijos privatumo taisyklių, susijusių su asmenine informacija, aprašymas, įskaitant: 1. jeigu organizacija turi viešą svetainę, – atitinkamą svetainės adresą, kuriuo skelbiama privatumo politika, arba, jeigu organizacija neturi viešos svetainės, kurioje vietoje su privatumo politika gali susipažinti visuomenė; 2. jų faktinio taikymo pradžios datą; 3. kontaktinį biurą, kuris nagrinėja skundus, prašymus leisti susipažinti su duomenimis ir visus kitus klausimus, susijusius su „privatumo skydu“; 4. konkrečią valstybinę įstaigą, turinčią jurisdikciją nagrinėti bet kokius skundus prieš organizaciją dėl galimų nesąžiningų ar apgaulingų veiksmų ir privatumo teisės aktų ar taisyklių pažeidimų (kuri yra įtraukta į privatumo principų sąrašą arba būsimą privatumo principų priedą); 5. bet kokių privatumo programų, kuriose dalyvauja organizacija, pavadinimus; 6. tikrinimo metodą (pvz., vidaus, trečiosios šalies) (žr. papildomą tikrinimo principą) ir 7. nepriklausomą teisių gynimo instituciją, į kurią galima kreiptis tiriant neišspręstus skundus.

c)

Jeigu organizacija nori, kad jos „privatumo skydo“ teikiami privalumai būtų taikomi žmogiškųjų išteklių informacijai, perduotai iš ES ir skirtai naudoti darbo santykiuose, ji tai gali daryti tais atvejais, kai privatumo principų sąraše arba būsimame privatumo principų priede nurodyta valstybinė įstaiga turi jurisdikciją nagrinėti organizacijoms pareikštus reikalavimus, kylančius dėl žmogiškųjų išteklių informacijos tvarkymo. Be to, organizacija privalo tai nurodyti savo autosertifikavimo pažymėjime ir paskelbti savo įsipareigojimą bendradarbiauti su atitinkama ES valdžios institucija ar institucijomis pagal taikomą papildomą žmogiškųjų išteklių duomenų ir duomenų apsaugos institucijų vaidmens principą ir patvirtinti, kad ji toliau paisys tokių valstybinių įstaigų pateiktų konsultacijų. Organizacija taip pat privalo pateikti Departamentui savo žmogiškųjų išteklių privatumo politikos kopiją ir informaciją, kurioje vietoje su privatumo politika gali susipažinti nukentėję darbuotojai.

d)

Departamentas tvarkys „privatumo skydo“ organizacijų, kurios pateikia užpildytus autosertifikavimo pažymėjimus, sąrašą ir taip užtikrins „privatumo skydo“ teikiamų privalumų prieinamumą, taip pat atnaujins tokį sąrašą pagal metinius pakartotinius autosertifikavimo pažymėjimus ir pranešimus, gautus pagal papildomą ginčų nagrinėjimo ir vykdymo principą. Tokie autosertifikavimo pažymėjimai turi būti teikiami ne rečiau kaip kartą per metus; priešingu atveju organizacija bus išbraukta iš „privatumo skydo“ sąrašo ir nebegalės naudotis „privatumo skydo“ teikiamais privalumais. Tiek „privatumo skydo“ sąrašas, tiek organizacijų pateikti pažymėjimai bus skelbiami viešai. Visos organizacijos, kurias Departamentas įrašė į „privatumo skydo“ sąrašą, taip pat privalo savo atitinkamos paskelbtos privatumo politikos pareiškimuose nurodyti, kad laikosi „privatumo skydo“ principų. Jeigu organizacijos privatumo politika skelbiama internete, joje būtina pateikti saitą į „privatumo skydo“ svetainę, taip pat saitą į nepriklausomos teisių gynimo institucijos, į kurią galima kreiptis tiriant neišspręstus skundus, svetainę arba skundo pateikimo formą.

e)

„Privatumo skydo“ principai taikomi iš karto nuo jų patvirtinimo momento. Pripažindamos, kad privatumo principai darys poveikį komerciniams santykiams su trečiosiomis šalimis, organizacijos, kurios patvirtina dalyvavimą „privatumo skydo“ sistemoje per pirmuosius du mėnesius nuo sistemos įsigaliojimo datos, esamus komercinius santykius su trečiosiomis šalimis kuo greičiau suderina su atskaitomybės už tolesnį perdavimą principu ir bet kuriuo atveju ne vėliau kaip per devynis mėnesius nuo dienos, kurią jos patvirtino dalyvaujančios „privatumo skydo“ sistemoje. Organizacijos, kurios per šį laikiną terminą perdavė duomenis trečiajai šaliai, i) taiko pranešimo ir pasirinkimo principus ir, ii) jeigu asmens duomenys perduodami trečiajai šaliai, kuri veikia kaip atstovas, patvirtina, kad atstovas yra įpareigotas užtikrinti bent jau tokį pat apsaugos lygį, kurio reikalaujama pagal privatumo principus.

f)

Organizacija „privatumo skydo“ principus privalo taikyti visiems asmens duomenims, kuriuos ji, dalyvaudama „privatumo skydo“ sistemoje, gavo iš ES. Įsipareigojimas laikytis „privatumo skydo“ principų dėl asmens duomenų, gautų per laikotarpį, kurį organizacija naudojasi „privatumo skydo“ privalumais, galioja neterminuotai. Toks įsipareigojimas reiškia, kad organizacija ir toliau taikys privatumo principus tokiems duomenims, kol juos laiko, naudoja ar atskleidžia, net jei dėl kokios nors priežasties nustoja dalyvauti „privatumo skydo“ sistemoje. Organizacija, kuri nustoja dalyvauti „privatumo skydo“ sistemoje, tačiau nori išlaikyti tokius duomenis, privalo kasmet patvirtinti Departamentui savo įsipareigojimą toliau taikyti privatumo principus arba kitomis leistinomis priemonėmis (pvz., sudarydamos sutartį, kurioje visapusiškai atsispindi atitinkamų Europos Komisijos nustatytų standartinių sutarčių sąlygų reikalavimai) užtikrinti „pakankamą“ apsaugą; priešingu atveju organizacija privalo grąžinti arba ištrinti informaciją. Organizacija, kuri nustojo dalyvauti „privatumo skydo“ sistemoje, privalo iš visos susijusios privatumo politikos pašalinti bet kokias nuorodas į „privatumo skydą“, iš kurių būtų galima numanyti, kad organizacija toliau aktyviai dalyvauja „privatumo skydo“ sistemoje ir turi teisę naudotis jos teikiamais privalumais.

g)

Organizacija, kuri dėl bendrovių susijungimo ar teisių perėmimo nustoja egzistuoti kaip atskiras juridinis asmuo, apie tai privalo iš anksto informuoti Departamentą. Pranešime taip pat reikėtų nurodyti, ar ją įsigijęs juridinis asmuo ar po susijungimo susikūręs juridinis asmuo i) toliau laikysis „privatumo skydo“ principų pagal bendrovių susijungimą ar teisių perėmimą reglamentuojantį teisės aktą arba ii) nuspręs patvirtinti savo įsipareigojimą laikytis „privatumo skydo“ principų ar imtis kitų apsaugos priemonių, pvz., raštu sudaryti sutartį, kuri užtikrintų, kad bus laikomasi „privatumo skydo“ principų. Jei i ir ii punktai netaikomi, visi „privatumo skydo“ sistemoje gauti asmens duomenys turi būti nedelsiant ištrinti.

h)

Jeigu organizacija dėl kokios nors priežasties nustoja dalyvauti „privatumo skydo“ sistemoje, ji privalo pašalinti visus pareiškimus, iš kurių būtų galima numanyti, kad ji toliau dalyvauja „privatumo skydo“ sistemoje arba turi teisę naudotis „privatumo skydo“ teikiamais privalumais. Naudojamas ES ir JAV „privatumo skydo“ sertifikavimo ženklas taip pat turi būti pašalintas. Už bet kokį visuomenės klaidinimą dėl organizacijos įsipareigojimo laikytis „privatumo skydo“ principų ją gali bausti FPK ar kita atitinkama Vyriausybinė įstaiga. Už klaidingos informacijos pateikimą Departamentui gali būti baudžiama pagal Melagingų parodymų aktą (JAV kodekso 18 antraštinės dalies 1001 straipsnis).

7.   Tikrinimas

a)	Organizacijos privalo patvirtinti papildomas procedūras, kurias taikys tikrindamos, ar jų pareiškimai ir patikinimai apie jų „privatumo skydo“ privatumo praktiką yra teisingi ir ar ta privatumo praktika įgyvendinta, kaip nurodyta „privatumo skydo“ principuose ir jų nepažeidžiant.

b)	Siekdama laikytis teisių gynimo, reikalavimų užtikrinimo ir atsakomybės principo reikalavimų dėl tikrinimo, organizacija privalo tikrinti tokius pareiškimus ir patikinimus atlikdama vidaus vertinimą arba išorės atitikties peržiūrą.

c)

Taikant vidaus vertinimo būdą, tokiu tikrinimu turi būti nustatyta, ar organizacijos paskelbta privatumo politika dėl asmeninės informacijos, gautos iš ES, yra teisinga, išsami, aiškiai išdėstyta, visiškai vykdoma ir prieinama. Ji taip pat privalo nurodyti, kad jos privatumo politika atitinka „privatumo skydo“ principus; kad asmenys informuojami apie visas vidaus skundų nagrinėjimo procedūras ir apie nepriklausomus mechanizmus, kuriais gali pasinaudoti teikdami skundus; kad ji yra nustačiusi darbuotojų mokymo apie privatumo politikos įgyvendinimą procedūras ir numačiusi drausminę atsakomybę už privatumo politikos nesilaikymą ir kad ji yra nustačiusi vidaus procedūras dėl periodinių objektyvių pirmiau išdėstytų reikalavimų laikymosi peržiūrų. Bent kartą per metus turi būti surašytas kompanijos pareigūno ar kito įgalioto organizacijos atstovo pasirašytas autosertifikavimo pareiškimas, jis turi būti pateikiamas asmenų prašymu atliekant tyrimą arba esant nusiskundimų dėl reikalavimų nesilaikymo.

d)

Jei organizacija pasirenka išorinius reikalavimų laikymosi patikrinimus, jais turi būti nustatyta, ar organizacijos privatumo taisyklės dėl asmeninės informacijos, gautos iš ES, atitinka „privatumo skydo“ principus, ar jų laikomasi ir ar asmenys yra informuoti apie mechanizmus, kuriais naudodamiesi jie gali reikšti nusiskundimus. Patikrinimai gali būti atliekami tokiais (tačiau nebūtinai vien tokiais) būdais: auditu, atsitiktiniais patikrinimais, panaudojant „spąstų“ metodą arba pasitelkiant technologijos priemones. Bent kartą per metus turi būti surašyta tikrintojo, kompanijos pareigūno ar kito įgalioto organizacijos atstovo pasirašyta išorinį reikalavimų laikymosi patikrinimą patvirtinanti ataskaita ir ji turi būti pateikiama asmenų prašymu atliekant tyrimą arba esant nusiskundimų dėl reikalavimų nesilaikymo.

e)

Organizacijos turi tvarkyti savo „privatumo skydo“ privatumo politikos praktinio vykdymo registrus ir pateikti juos už nusiskundimų nagrinėjimą atsakingai nepriklausomai institucijai ar agentūrai, kurios jurisdikcija aprėpia nesąžiningų ir apgaulingų veiksmų tyrimą, kai to pareikalaujama atliekant tyrimą ar esant nusiskundimų dėl reikalavimų nesilaikymo. Organizacijos taip pat privalo greitai reaguoti į Departamento užklausas ir kitus prašymus pateikti informaciją, susijusius su tuo, kaip organizacija laikosi privatumo principų.

8.   Galimybė susipažinti su duomenimis

a)   Galimybės susipažinti su duomenimis principo praktiniai aspektai

i)

Pagal „privatumo skydo“ principus galimybė susipažinti su duomenimis yra esminis privatumo apsaugos principas. Taip leidžiama asmenims patikrinti saugomos informacijos apie juos tikslumą. Galimybės susipažinti su duomenimis principas reiškia, kad fiziniai asmenys turi teisę: 1. gauti organizacijos patvirtinimą, ar ji tvarko jo asmens duomenis (4); 2. gauti tokius duomenis, kad galėtų patikrinti jų tikslumą ir tvarkymo teisėtumą, ir 3. ištaisyti, pakeisti arba ištrinti duomenis, kai jie yra netikslūs arba tvarkomi pažeidžiant privatumo principus.

ii)

Fiziniai asmenys neprivalo nurodyti prašymų leisti susipažinti su savo asmens duomenimis motyvų. Atsakydamos į fizinio asmens prašymą leisti susipažinti su duomenimis, organizacijos pirmiausia turėtų įvertinti, dėl kokios (-ių) priežasties (-ių) toks prašymas buvo pateiktas. Pavyzdžiui, jei prašymas leisti susipažinti su duomenimis yra neaiškus ar didelės apimties, organizacija galėtų pabendrauti su asmeniu, kad geriau suprastų prašymo motyvus, ir nustatyti tinkamiausią informaciją. Organizacija gali pasiteirauti, su kuriais organizacijos padaliniais asmuo bendravo, ir (arba) apie informacijos, su kuria prašoma leisti susipažinti, pobūdį (ar panaudojimą).

iii)

Kadangi galimybė susipažinti su duomenimis yra esminio pobūdžio principas, organizacijos turėtų visuomet tinkamai pasistengti suteikti galimybę susipažinti su duomenimis. Pavyzdžiui, kai tam tikrą informaciją reikia apsaugoti ir ją galima lengvai atskirti nuo kitos informacijos, su kuria prašoma leisti susipažinti, organizacija turėtų atskirti apsaugotą informaciją ir pateikti tik tą, kurios prašoma. Jei kuriuo nors konkrečiu atveju organizacija nusprendžia, kad galimybė susipažinti su duomenimis turėtų būti ribojama, ji turi prašančiam asmeniui nurodyti priežastį, dėl kurios taip nusprendė ir pasiūlyti papildomą būdą, kuriuo naudodamasis jis gali prašyti leisti susipažinti su duomenimis.

b)   Pareiga teikti informaciją arba su tuo susijusios išlaidos

i)

Prieiga prie duomenų gali būti ribojama išimtinėmis aplinkybėmis, kai būtų pažeistos teisėtos kitų asmenų, išskyrus prašymą pateikusį fizinį asmenį, teisėtos teisės arba kai pareiga pateikti informaciją arba su tuo susijusios išlaidos būtų neproporcingos, atsižvelgiant į atitinkamo fizinio asmens privatumui kylančią riziką. Informacijos pateikimo išlaidos ir pareiga pateikti informaciją yra svarbūs veiksniai ir į juos reikėtų atsižvelgti, tačiau jie nėra lemiami nustatant, ar informacijos suteikimas yra pagrįstas.

ii)

Pavyzdžiui, jei fizinio asmens duomenys naudojami sprendimams, kurių įtaka tam asmeniui didžiulė (pvz., atimtų ar suteiktų svarbią naudą, kaip antai draudimo, hipotekos ar darbo suteikimo reikalais), tuomet, laikydamasi kitų šių papildomų principų, organizacija turėtų atskleisti informaciją net jei ją gana sunku ar brangu suteikti. Jeigu prašomi asmens duomenys nėra konfidencialūs arba nėra naudojami priimant sprendimus, kurie turės didelį poveikį fiziniam asmeniui, tačiau jau yra prieinami ir juos galima pateikti nepatiriant didelių išlaidų, organizacija turėtų leisti susipažinti su tokia informacija.

c)   Konfidenciali komercinė informacija

i)

Konfidenciali komercinė informacija yra tokia informacija, kurią organizacija stengiasi apsaugoti nuo atskleidimo, jei jos atskleidimas padėtų rinkos konkurentams. Organizacijos gali atsisakyti suteikti visišką prieigą arba riboti pateikiamą informaciją, jei ją suteikus būtų atskleista jos pačios konfidenciali komercinė informacija, pvz., organizacijos padarytos rinkodaros išvados ar sudarytos klasifikacijos, arba kitų organizacijų konfidenciali komercinė informacija, kuriai taikomi sutartiniai konfidencialumo įsipareigojimai.

ii)	Jei konfidencialią komercinę informaciją galima lengvai atskirti nuo kitų asmens duomenų, su kuriais prašoma leisti susipažinti, organizacija turėtų atskirti apsaugotą informaciją ir pateikti nekonfidencialią informaciją.

d)   Duomenų bazių organizavimas

i)	Organizacija asmeniui informaciją apie atitinkamus asmens duomenis gali suteikti juos atskleisdama ir asmeniui nebūtina naudotis prieiga prie organizacijos duomenų bazės.

ii)	Prieiga turi būti suteikiama atsižvelgiant į tai, kiek asmens duomenų saugo organizacija. Pats galimybės susipažinti su duomenimis principas neįpareigoja išlaikyti, turėti, pertvarkyti ar restruktūrizuoti asmeninės informacijos kompiuterinių bylų.

e)   Kokiais atvejais prieiga gali būti ribojama?

i)

Kadangi organizacijos visada privalo sąžiningai stengtis leisti asmenims susipažinti su savo asmens duomenimis, aplinkybės, kuriomis organizacija gali riboti tokią prieigą, yra ribotos, o visos ribotos prieigos priežastys turi būti konkrečios. Kaip nustatyta Direktyvoje, organizacija gali riboti prieigą prie informacijos, jei ją atskleidus galėtų būti pažeista svarbių kitų visuomenės interesų apsauga, pvz., nacionalinio saugumo, gynybos ar visuomenės saugumo. Be to, tais atvejais, kai asmens duomenys tvarkomi vien tyrimo ar statistinių duomenų rinkimo tikslais, galima atsisakyti suteikti prieigą prie informacijos. Kitos prieigos prie informacijos atsisakymo ar ribojimo priežastys yra tokios: 1. trukdymas vykdyti teisės aktus ar prižiūrėti jų vykdymą arba trukdymas nagrinėti privačias bylas, įskaitant teisės pažeidimų prevenciją, tyrimą ar atskleidimą arba sąžiningo teismo proceso teisę; 2. informacijos atskleidimas, kai būtų pažeistos kitų asmenų teisėtos teisės arba svarbūs interesai; 3. teisinių ar kitų profesinių lengvatų ar įsipareigojimų pažeidimas; 4. kenkimas darbuotojo saugos tyrimui arba skundų procedūrai, arba dėl darbuotojų pareigų perėmimo ir įmonių reorganizavimo; 5. pakenkimas konfidencialumui, kuris gali būti būtinas stebėsenos, inspektavimo ar kontrolės funkcijoms, susijusioms su patikimu valdymu, arba ateityje, arba vykstančioms deryboms, kuriose dalyvauja organizacija.

ii)	Organizacija, kuri taiko išimtį, turi pareigą įrodyti jos būtinybę ir prieigos ribojimo priežastis, taip pat kontaktinį centrą, į kurį asmenys galėtų kreiptis.

f)   Teisė gauti patvirtinimą ir mokestis informacijos pateikimo išlaidoms kompensuoti

i)	Asmuo turi teisę gauti patvirtinimą, ar ši organizacija turi jo asmens duomenų. Asmuo taip pat turi teisę gauti su jo asmeniu susijusius asmens duomenis. Organizacija už tai gali imti mokestį, kuris nėra pernelyg didelis.

ii)	Mokesčio ėmimas gali būti pagrįstas, pvz., kai prašymai pateikti informaciją akivaizdžiai yra per didelės apimties, visų pirma dėl jų pasikartojančio pobūdžio.

iii)	Negalima atsisakyti suteikti prieigą dėl su išlaidomis susijusių priežasčių, jei asmuo pasisiūlo apmokėti išlaidas.

g)   Pasikartojantys arba nepagrįsti prašymai leisti susipažinti su duomenimis

Organizacija gali imti pagrįstą mokestį ir apriboti tenkinamų vieno asmens reikalavimų skaičių per tam tikrą laikotarpį. Nustatydama tokius apribojimus, organizacija turi įvertinti tokius veiksnius: informacijos atnaujinimo dažnumą, informacijos naudojimo paskirtį ir pobūdį.

h)   Apgaulingi prašymai leisti susipažinti su duomenimis

Organizacija neprivalo leisti susipažinti su duomenimis, jei jai pateikiama nepakankamai informacijos, kad ji galėtų patvirtinti reikalavimą pateikusio asmens tapatybę.

i)   Atsakymų pateikimo terminas

Organizacijos į prašymus leisti susipažinti su informacija turėtų atsakyti per protingą terminą, tinkamu būdu ir asmeniui suprantama forma. Organizacija, kuri duomenų subjektams informaciją teikia reguliariai, gali patenkinti asmens prašymą leisti susipažinti su duomenimis reguliariai juos atskleisdama, jeigu toks atskleidimas nebūtų pernelyg pavėluotas.

9.   Žmogiškųjų išteklių duomenys

a)   „Privatumo skydo“ nuostatų taikymo sritis

i)

Jeigu ES organizacija perduoda savo darbuotojų (buvusių ar esamų) asmens duomenis, kurie buvo surinkti juos įdarbinant, „privatumo skydo“ sistemoje dalyvaujančiai patronuojančiajai bendrovei, susijusiai įmonei ar nesusijusiam paslaugų teikėjui Jungtinėse Amerikos Valstijose, tokiems duomenims taikomi „privatumo skydo“ suteikiami privalumai. Tokiais atvejais informacija prieš ją perduodant yra renkama ir tvarkoma laikantis tos ES šalies, kurioje ji buvo surinkta, teisės aktų, ir būtina laikytis visų tuose teisės aktuose numatytų jos perdavimo sąlygų ar apribojimų.

ii)

„Privatumo skydo“ principai galioja tik tuomet, kai yra perduodami ar prieinami asmenį identifikuojantys įrašai arba įrašai, iš kurių galima nustatyti asmens tapatybę. Statistiniai pranešimai, sudaryti remiantis apibendrintais įdarbinimo duomenimis, kuriuose nėra asmens duomenų arba naudojami nuasmeninti duomenys, nėra susiję su privatumo klausimais.

b)   Pranešimo ir pasirinkimo principų taikymas

i)

JAV organizacija, gavusi informaciją apie darbuotojus iš ES „privatumo skydo“ sistemos, gali atskleisti ją trečiosioms šalims arba naudoti ją įvairiems tikslams tik laikydamasi pranešimo ir pasirinkimo principų. Pavyzdžiui, jei organizacija ketina panaudoti darbo santykių metu surinktą asmeninę informaciją su įdarbinimu nesusijusiais tikslais, pvz., rinkodaros pranešimuose, JAV organizacija prieš tai privalo suteikti susijusiems asmenims būtiną pasirinkimo galimybę, nebent jie jau būtų leidę naudoti informaciją tokiems tikslams. Toks naudojimas negali būti nesuderinamas su tikslais, kuriais asmeninė informacija buvo surinkta arba vėliau ją leido rinkti pats asmuo. Be to, draudžiama atsižvelgiant į pasirinkimą apriboti įdarbinimo galimybes arba imtis kokių nors sankcijų prieš tokius darbuotojus.

ii)	Atkreiptinas dėmesys, kad tam tikromis plačiai taikomomis perdavimo iš kai kurių ES valstybių narių sąlygomis neleidžiama naudoti tokios informacijos kitais tikslais net perdavus ją už ES ribų ir tokias sąlygas būtina vykdyti.

iii)	Be to, darbdaviai turi pagrįstai stengtis vykdyti darbuotojų privatumo pageidavimus. Tai, pavyzdžiui, gali būti daroma apribojant prieigą prie asmens duomenų – kai kuriuos duomenis nuasmeninant, priskiriant jiems kodus ar pseudonimus, kai tikrieji vardai valdymo tikslais nebūtini.

iv)	Laikotarpiui, būtinam, kad nebūtų pakenkta organizacijos gebėjimams, kai paaukštinamos pareigos, skiriama į pareigas ar priimami kiti panašūs darbo santykių sprendimai, organizacija neprivalo pranešti ir suteikti pasirinkimo.

c)   Prieigos prie duomenų principo taikymas

Papildomą prieigos prie duomenų principą sudaro nuostatos, kuriomis pateisinamas atsisakymas suteikti reikalaujamą prieigą prie žmogiškųjų išteklių informacijos arba jos apribojimas. Žinoma, darbdaviai Europos Sąjungoje privalo laikytis vietinių teisės aktų ir užtikrinti, kad Europos Sąjungos darbuotojai turėtų prieigą prie tokios informacijos, kaip reikalaujama jų šalių teisės aktuose, neatsižvelgiant į duomenų tvarkymo ir saugojimo vietą. Pagal „privatumo skydo“ principus reikalaujama, kad tokius duomenis tvarkanti organizacija Jungtinėse Amerikos Valstijose bendradarbiautų suteikiant tokią prieigą tiesiogiai arba per ES darbdavį.

d)   Reikalavimų užtikrinimas

i)

Jei asmens duomenys naudojami tik darbo santykiams, darbuotojo atžvilgiu už duomenis atsakinga lieka visų pirma ES organizacija. Tai reiškia, kad Europos darbuotojams pasiskundus dėl jų duomenų apsaugos teisių pažeidimų ir jiems nesant patenkintiems vidinio patikrinimo rezultatais, skundo nagrinėjimo ir apeliacijos procedūromis (arba bet kokiomis taikomomis skundų darbovietės administracijai procedūromis pagal sutartį su profesine sąjunga), tie skundai turi būti adresuoti valstybinei ar nacionalinei duomenų apsaugos ar darbo institucijai, kurios jurisdikcijai priklauso darbuotojų darbovietė. Tai apima atvejus, kai JAV organizacija, gavusi informaciją iš darbdavio, atsako už tariamą netinkamą asmens duomenų tvarkymą, todėl tai reiškia „privatumo skydo“ principų pažeidimą. Tai yra veiksmingiausias būdas spręsti klausimus dėl dažnai vienu kitiems prieštaraujančių teisių ir įsipareigojimų, nustatytų vietiniais darbo teisės aktais, darbo sutartimis ir duomenų apsaugos įstatymu.

ii)

„Privatumo skydo“ sistemai priklausanti JAV organizacija, naudojanti darbo santykiams iš Europos Sąjungos perduodamus ES žmogiškųjų išteklių duomenis, kuri nori, kad perduodant tokius duomenis būtų taikomi „privatumo skydo“ principai, privalo įsipareigoti bendradarbiauti su kompetentingomis ES institucijomis joms vykdant tyrimus ir laikytis jų konsultacijų.

e)   Atsakomybės už tolesnį perdavimą principo taikymas

Tenkindama nereguliarius su įdarbinimu susijusius veiklos poreikius, kurie apima pagal „privatumo skydą“ perduotų asmens duomenų tvarkymą, pvz., skrydžio ar viešbučio kambario užsakymas arba draudimas, „privatumo skydo“ organizacija nedidelio skaičiaus darbuotojų asmens duomenis duomenų valdytojams gali perduoti netaikydama prieigos prie duomenų principo arba nesudarydama sutarties su duomenų valdytoju, kuris veikia kaip trečioji šalis, kaip kitais atvejais to reikalaujama pagal atsakomybės už tolesnį perdavimą principą, jeigu ta „privatumo skydo“ organizacija laikėsi pranešimo ir pasirinkimo principų.

10.   Privalomos sutartys dėl tolesnio perdavimo

a)   Duomenų tvarkymo sutartys

i)	Kai duomenys iš ES į Jungtines Amerikos Valstijas perduodami vien tvarkymo tikslais, sutartį reikės sudaryti, nepaisant to, ar duomenų tvarkytojas dalyvauja „privatumo skydo“ sistemoje.

ii)

Europos Sąjungoje duomenų valdytojai visuomet privalo sudaryti sutartį, jei duomenys perduodami vien tvarkyti, nesvarbu, ar duomenys būtų tvarkomi ES, ar už jos ribų ir ar duomenų tvarkytojas dalyvauja „privatumo skydo“ sistemoje. Sutarties tikslas – užtikrinti, kad duomenų tvarkytojas: 1. veiktų tik pagal duomenų valdytojo nurodymus; 2. pasirūpintų tinkamomis techninėmis ir organizacinėmis priemonėmis asmens duomenims apsaugoti nuo atsitiktinio arba neteisėto sunaikinimo, arba atsitiktinio praradimo, pakeitimo, neteisėto atskleidimo arba tikrinimo ir aiškiai žinotų, ar duomenis leidžiama perduoti toliau, ir, 3. atsižvelgiant į duomenų tvarkymo pobūdį, padėtų duomenų valdytojui pateikti atsakymus asmenims, kurie pasinaudoja savo teisėmis pagal privatumo principus.

iii)

Kadangi „privatumo skydo“ dalyviai suteikia pakankamą apsaugą, sutarčių su „privatumo skydo“ dalyviais vien duomenų tvarkymo tikslais nereikia iš anksto patvirtinti (arba tokį patvirtinimą ES valstybės narės suteikia automatiškai), tačiau sutartis, sudaromas su „privatumo skydo“ sistemai nepriklausančiais ar nesuteikiančiais pakankamos apsaugos duomenų gavėjais, reikėtų iš anksto patvirtinti.

b)   Duomenų perdavimas korporacijų arba įmonių kontroliuojamoje grupėje

Kai asmeninė informacija perduodama tarp dviejų duomenų valdytojų korporacijų arba įmonių kontroliuojamoje grupėje, pagal atsakomybės už tolesnį perdavimą principą sutartį sudaryti ne visada būtina. Korporacijų arba įmonių kontroliuojamoje grupėje veikiantys duomenų valdytojai tokius duomenų perdavimus gali grįsti kitais dokumentais, pvz., ES privalomomis įmonių taisyklėmis arba kitomis grupėje taikomomis priemonėmis (pvz., atitikties ir kontrolės programomis), kuriomis užtikrinama nuolatinė asmeninės informacijos apsauga pagal „privatumo skydo“ principus. Tokiais atvejais „privatumo skydo“ organizacija išlieka atsakinga už „privatumo skydo“ principų laikymąsi.

c)   Duomenų perdavimas tarp duomenų valdytojų

Jei vienas duomenų valdytojas perduoda duomenis kitam, duomenų gavėjas nebūtinai turi būti „privatumo skydo“ organizacija arba turėti nepriklausomą teisių gynimo instituciją. „Privatumo skydo“ organizacija privalo sudaryti sutartį su duomenų valdytojo statusą turinčia trečiąja šalimi duomenų gavėja, kuria užtikrinamas toks pat apsaugos lygis kaip ir „privatumo skyde“, ir nereikalauti, kad ta trečioji šalis duomenų valdytoja būtų „privatumo skydo“ organizacija arba turėtų nepriklausomą teisių gynimo institucija, jeigu ji naudoja lygiavertį mechanizmą.

11.   Ginčų sprendimas ir reikalavimų užtikrinimas

a)   Teisių gynimo, reikalavimų užtikrinimo ir atsakomybės principo nuostatose nustatyti „privatumo skydo“ užtikrinimui taikomi reikalavimai. Principo (a)(ii) punkte nustatytų reikalavimų įvykdymo tvarka nustatyta papildomo tikrinimo principo nuostatose. Šio papildomo principo nuostatose aptariami (a)(i) ir (a)(iii) punktai, kuriuose reikalaujama užtikrinti nepriklausomų teisių gynimo institucijų veikimą. Tokie mechanizmai gali būti įvairūs, tačiau jie privalo atitikti teisių gynimo, reikalavimų užtikrinimo ir atsakomybės principo reikalavimus. Organizacijos reikalavimus įvykdo taip: i) laikydamosi privačiojo sektoriaus sukurtų privatumo programų, kurių taisyklėse įtvirtinti „privatumo skydo“ principai ir kuriose nustatyti veiksmingi teisių gynimo mechanizmai, atitinkantys teisių gynimo, reikalavimų užtikrinimo ir atsakomybės principų reikalavimus; ii) laikydamosi teisinių arba reguliavimo priežiūros institucijų reikalavimų, susijusių su individualių skundų nagrinėjimu ir ginčų sprendimu; arba iii) įsipareigodamos bendradarbiauti su Europos Sąjungos duomenų apsaugos institucijomis arba jų įgaliotais atstovais.

b)   Šis sąrašas yra aiškinamojo pobūdžio ir neišsamus. Privačiajame sektoriuje gali būti nustatyti papildomi mechanizmai, kuriais užtikrinamas reikalavimų laikymasis, jeigu jie atitinka teisių gynimo, reikalavimų užtikrinimo ir atsakomybės principą ir papildomus principus. Atkreipkite dėmesį, kad teisių gynimo, reikalavimų užtikrinimo ir atsakomybės principo reikalavimai papildo reikalavimą, pagal kurį savireguliaciniai veiksmai turi būti užtikrinami pagal Federalinės prekybos komisijos akto 5 straipsnį, kuriuo draudžiami nesąžiningi ir apgaulingi veiksmai, arba kitą teisės aktą, kuriuo draudžiami tokie veiksmai.

c)   Siekdamos palengvinti su „privatumo skydu“ susijusių įsipareigojimų vykdymą ir padėti administruoti programą, organizacijos, taip pat jų nepriklausomos teisių gynimo institucijos, Departamento prašymu privalo teikti su „privatumo skydu“ susijusią informaciją. Be to, organizacijos privalo greitai reaguoti į skundus dėl jų padarytų principų pažeidimų, kuriuos per Departamentą perdavė DAI. Atsakyme reikėtų nurodyti, ar skundas turi pagrindą, ir, jei taip, kaip organizacija išspręs problemą. Departamentas gautos informacijos konfidencialumą užtikrins pagal JAV teisę.

d)   Teisių gynimo institucijos

i)

Pirmiausia vartotojai turėtų būti raginami teikti bet kokius galimus skundus pačioms organizacijoms, o tik vėliau pasinaudoti nepriklausomomis teisių gynimo institucijomis. Organizacijos vartotojui atsakymą privalo pateikti per 45 dienas nuo skundo gavimo. Tai, ar teisių gynimo institucija yra nepriklausoma, yra faktinis klausimas, į kurį galima atsakyti visų pirma užtikrinant nešališkumą, skaidrią sudėtį ir finansavimą, taip pat reikalaujant įrodyti profesinę patirtį. Kaip reikalaujama pagal teisių gynimo, reikalavimų užtikrinimo ir atsakomybės principą, asmenims prieinamos teisių gynimo priemonės turi būti iš anksto nustatytos ir nemokamos. Ginčų sprendimo institucijos turi nagrinėti visus iš asmenų gautus skundus, nebent jie būtų akivaizdžiai nepagrįsti ar nerimti. Tai nedraudžia teisių gynimo institucija besinaudojančiai organizacijai nustatyti tinkamumo reikalavimų, tačiau tokie reikalavimai turi būti skaidrūs ir pagrįsti (pvz., atmetant skundus, kuriems programa netaikoma arba jie skirti svarstyti kitur) ir negali sumažinti įsipareigojimo nagrinėti teisėtus skundus. Be to, asmenims, pateikiantiems skundą teisių gynimo institucijai, turi būti suteikta visa ir lengvai pasiekiama informacija apie ginčų sprendimo tvarką. Ši informacija turi apimti institucijos privatumo praktiką, atitinkančią „privatumo skydo“ principus. Jos taip pat turėtų bendradarbiauti kurdamos tokias priemones kaip standartinės skundų formos, kad palengvintų skundų nagrinėjimo procesą.

ii)

Nepriklausomos teisių gynimo institucijos savo viešose svetainėse privalo pateikti informaciją apie „privatumo skydo“ principus ir paslaugas, kurias jos teikia dalyvaudamos „privatumo skydo“ sistemoje. Ši informacija turi apimti: 1) informaciją apie „privatumo skydo“ principų reikalavimus, susijusius su nepriklausomomis teisių gynimo institucijomis, arba nuorodą į tokią informaciją; 2) nuorodą į Departamento „privatumo skydo“ svetainę; 3) paaiškinimą, kad jų ginčų sprendimo paslaugos pagal „privatumo skydą“ asmenims teikiamos nemokamai; 4) aprašymą, kaip galima pateikti su „privatumo skydu“ susijusį skundą; 5) terminą, per kurį išnagrinėjami su „privatumo skydu“ susiję skundai, ir 6) įvairių galimų teisių gynimo priemonių aprašymą.

iii)

Nepriklausoma teisių gynimo institucija privalo skelbti metinę ataskaitą, kurioje pateikiami apibendrinti statistiniai duomenys apie jų teikiamas ginčų sprendimo paslaugas. Metinėje ataskaitoje būtina nurodyti: 1) bendrą su „privatumo skydu“ susijusių skundų, gautų per ataskaitinius metus, skaičių; 2) gautų skundų rūšis; 3) kokybinius ginčų sprendimo rodiklius, pvz., skundų nagrinėjimo trukmė, ir 4) sprendimus, kurie buvo priimti išnagrinėjus skundus, visų pirma nustatytų teisių gynimo priemonių arba sankcijų skaičių ir rūšis.

iv)

Kaip nustatyta I priede, arbitražu asmenys gali pasinaudoti, kad, atsižvelgdami į neįvykdytus reikalavimus, nustatytų, ar „privatumo skydo“ organizacija pažeidė savo įsipareigojimus pagal privatumo principus dėl to asmens ir ar bet kuris toks pažeidimas išlieka visiškai arba iš dalies neištaisytas. Arbitražu galima pasinaudoti tik minėtais tikslais. Ši alternatyva nėra prieinama, pvz., dėl privatumo principo išimčių (5) arba dėl teiginių, susijusių su „privatumo skydo“ tinkamumu. Pagal šią arbitražo alternatyvą „privatumo skydo“ komisija (kurią sudaro vienas arba trys arbitrai, tai priklauso nuo šalių sutarimo) turi įgaliojimus nustatyti su konkrečiu asmeniu susijusias nepinigines lygiavertes teisių gynimo priemones (pvz., prieiga prie atitinkamų asmens duomenų, šių duomenų taisymas, trynimas arba grąžinimas), kurios yra būtinos siekiant ištaisyti privatumo principų pažeidimą tik to asmens atžvilgiu. Asmenys ir „privatumo skydo“ organizacijos galės siekti, kad arbitražiniai sprendimai būtų peržiūrimi teisme ir vykdomi pagal JAV teisę, t. y. Federalinį arbitražo aktą.

e)   Teisių gynimo priemonės ir sankcijos

Ginčų sprendimo institucijos suteiktomis bet kokiomis teisės gynimo priemonėmis turėtų būti užtikrinama, kad organizacija kiek įmanoma panaikintų ar ištaisytų reikalavimų nesilaikymo sukeltus padarinius, toliau tvarkytų informaciją laikydamasi privatumo principų ir nebetvarkytų skundą parašiusio asmens duomenų. Sankcijos turi būti pakankamai griežtos, kad priverstų organizacijas laikytis privatumo principų. Įvairaus sunkumo nusižengimus ginčų sprendimo institucijos reikiamai įvertins taikydamos skirtingas griežtumo sankcijas. Pagal sankcijas turi būti numatyta viešai paskelbti išvadas dėl reikalavimų nesilaikymo ir kai kuriais atvejais pareikalauti sunaikinti duomenis (6). Kitos sankcijos gali būti veiklos sustabdymas ir licencijos atėmimas, dėl reikalavimų nesilaikymo asmenims padarytos žalos atlyginimas ir draudimo priemonės. Privačiojo sektoriaus ginčų sprendimo institucijos ir savireguliacijos institucijos privalo pranešti apie „privatumo skydo“ sistemos organizacijų nuostatų nesilaikymą atitinkamai valdžios institucijai arba teismams ir informuoti Departamentą.

f)   FPK veikla

FPK įsipareigojo prioritetine tvarka peržiūrėti perduotas bylas, kuriose teigiama, kad nebuvo laikomasi privatumo principų, gautas iš: i) privatumo savireguliacinių organizacijų ir kitų nepriklausomų ginčų sprendimo įstaigų; ii) ES valstybių narių; ir iii) Departamento, kad nustatytų, ar buvo pažeistas FPK akto 5 straipsnis, kuriuos draudžiami nesąžiningi arba apgaulingi veiksmai ar komercinė praktika. Jei FPK nusprendžia, kad yra priežasčių manyti, jog 5 straipsnis buvo pažeistas, ji gali reikalauti sustabdyti administracinę veiklą, paklusti nutraukimo įsakymui, draudžiančiam vykdomą veiklą, pateikti skundą federaliniam apygardos teismui, o šiam priėmus palankų sprendimą, gali išleisti tokio paties pobūdžio federalinio teismo įsakymą. Tai apima neteisingus pareiškimus dėl „privatumo skydo“ principų laikymosi arba dalyvavimo „privatumo skyde“, kuriuos padarė iš „privatumo skydo“ sąrašo išbrauktos arba Departamentui niekada autosertifikavimo pažymėjimo neteikusios organizacijos. FPK gali taikyti administracines nuobaudas už administracinio veiklos sustabdymo ir nutraukimo įsakymo nesilaikymą ir persekioti administracine arba baudžiamąja tvarka už federalinio teismo įsakymo nevykdymą. FPK informuos Departamentą apie visus tokius veiksmus, kurių imasi. Departamentas skatina kitas valdžios institucijas informuoti apie galutinį tokių pranešimų sutvarkymą ir kitus nurodymus, nustatančius „privatumo skydo“ principų laikymąsi.

g)   Nuolatinis reikalavimų nesilaikymas

i)

Jei organizacija nuolatos pažeidinėja privatumo principus, iš jos atimama teisė naudotis „privatumo skydo“ privalumais. Sistemingai privatumo principų nesilaikančios organizacijos bus išbraukiamos iš „privatumo skydo“ sąrašo ir privalo grąžinti arba ištrinti pagal ES ir JAV „privatumo skydo“ nuostatas gautus asmens duomenis.

ii)

Nuolatiniai pažeidinėjimai apibrėžiami kaip Departamentui įsipareigojusios organizacijos atsisakymas paklusti bet kurios savireguliacijos ar Vyriausybinės įstaigos galutiniam sprendimui arba tokia institucija nustato, kad organizacija taip dažnai pažeidinėja privatumo principus, kad jos pasižadėjimas jų laikytis yra nepatikimas. Tokiais atvejais organizacija privalo nedelsdama informuoti Departamentą (arba jo įgaliotą asmenį) apie tokius faktus. Jei organizacija nesilaiko šio reikalavimo, ji gali būti baudžiama pagal Melagingų parodymų aktą (JAV kodekso 18 antraštinės dalies 1001 straipsnis). Organizacijos pasišalinimas iš privačiojo sektoriaus savireguliacijos programos arba nepriklausomo ginčų sprendimo mechanizmo neatleidžia nuo pareigos laikytis privatumo principų ir reikštų nuolatinį reikalavimų nesilaikymą.

iii)

Departamentas išbrauks organizaciją iš „privatumo skydo“ sąrašo reaguodamas į bet kokį gautą pranešimą apie nuolatinį reikalavimų nesilaikymą, nepaisant to, ar jis gautas iš pačios organizacijos, privačios savireguliacijos įstaigos ar kitos nepriklausomos ginčų sprendimo įstaigos, ar iš Vyriausybinės įstaigos, tačiau tik po to, kai iš pradžių buvo įteiktas 30 dienų pranešimas ir suteikta galimybė reikalavimų nesilaikiusiai organizacijai pateikti pastabas. Atitinkamai Departamento tvarkomame „privatumo skydo“ sąraše aiškiai nurodoma, kurios organizacijos gali naudotis „privatumo skydo“ privalumais, o kurios – ne.

iv)	Jei organizacija teikia prašymą dalyvauti savireguliacijos institucijoje, kad galėtų vėl būti priimta į „privatumo skydo“ sistemą, ji privalo pateikti tai institucijai visą informaciją apie savo ankstesnį dalyvavimą „privatumo skydo“ sistemoje.

12.   Pasirinkimas – atsisakymo laikas

a)

Plačiąja prasme pasirinkimo principo paskirtis — užtikrinti, kad asmeninė informacija būtų naudojama ir atskleidžiama taip, kaip to tikisi ir pasirenka pats asmuo. Todėl asmuo turi turėti galimybę bet kuriuo metu atsisakyti savo asmens duomenų tvarkymo tiesioginės rinkodaros tikslais per organizacijos nustatytus pagrįstus terminus, kurių, pvz., pakaktų atsisakymui įgyvendinti. Organizacija taip pat gali reikalauti pateikti pakankamai informacijos, kad būtų nustatyta atsisakymo reikalaujančio asmens tapatybė. Jungtinėse Amerikos Valstijose asmenys šią pasirinkimo galimybę gali įgyvendinti pasinaudodami centrine atsisakymo programa, pvz., „Direct Marketing Association's Mail Preference Service“. Šią programą naudojančios organizacijos klientus, kurie nepageidauja gauti komercinės informacijos, turėtų aiškiai informuoti apie galimybę ja pasinaudoti. Bet kuriuo atveju asmeniui turi būti suteiktas lengvai prieinamas ir suprantamas pasirinkimo mechanizmas.

b)

Panašiai organizacija gali naudoti informaciją tam tikrais tiesioginės rinkodaros tikslais, kai suteikti asmeniui atsisakymo galimybę iki panaudojant informaciją neįmanoma, jei organizacija suteikia asmeniui galimybę iškart (o pareikalavus – bet kuriuo metu) atsisakyti (nemokamai) gauti kitus tiesioginės rinkodaros pranešimus ir įvykdo asmens pageidavimą.

13.   Kelionės informacija

a)

Oro vežėjo keleivio rezervacijos duomenys ir kita kelionės informacija, pvz., lojalaus keleivio arba viešbučio rezervacijos informacija ir specialūs keleivio poreikiai, pvz., religiją atitinkantis valgis arba fizinė pagalba, gali būti perduodami organizacijoms, esančioms už ES, keliomis skirtingomis aplinkybėmis. Pagal Direktyvos 26 straipsnį asmens duomenys „trečiajai šaliai, kuri neužtikrina pakankamo apsaugos lygio, nurodyto 25 straipsnio 2 dalyje“ gali būti perduodami tik tuo atveju, kai i) būtina suteikti kliento reikalaujamas paslaugas arba vykdyti sutarties, pvz., lojalaus keleivio sutarties, sąlygas, arba ii) vartotojas davė aiškų sutikimą. „Privatumo skydo“ sistemoje dalyvaujančios JAV organizacijos suteikia tinkamą apsaugą asmens duomenims ir todėl gali gauti iš ES perduodamus duomenis nesilaikydamos tų sąlygų arba kitų Direktyvos 26 straipsnyje nurodytų sąlygų. Kadangi „privatumo skyde“ galioja specialios taisyklės neskelbtinai informacijai apsaugoti, tokią informaciją (kurią gali prireikti surinkti todėl, kad klientui reikia fizinės pagalbos) galima siųsti „privatumo skydo“ dalyviams kartu su kita informacija. Informaciją perduodanti organizacija visuomet privalo laikytis ES valstybės narės, kurioje veikia, teisės aktų, kuriuose, be kita ko, gali būti nustatytos specialios ypatingos informacijos tvarkymo sąlygos.

14.   Farmaciniai ir medicinos produktai

a)   ES valstybių narių įstatymų arba „privatumo skydo“ principų taikymas

ES valstybės narės teisės aktai galioja renkant asmens duomenis ir juos tvarkant iki perduodant į Jungtines Amerikos Valstijas. Perdavus duomenis į Jungtines Amerikos Valstijas, galioja „privatumo skydo“ principai. Farmaciniams tyrimams ir kitais tikslais naudojami duomenys gali būti pakeisti taip, kad nebūtų galima nustatyti duomenų subjekto tapatybės.

b)   Būsimi moksliniai tyrimai

i)

Specialiųjų medicinos ar farmacinių tyrimų studijų metu gauti asmens duomenys dažnai yra labai svarbūs būsimiems moksliniams tyrimams. Jeigu atliekant vieną mokslinį tyrimą asmens duomenys perduodami „privatumo skydo“ sistemoje dalyvaujančiai JAV organizacijai, organizacija gali panaudoti duomenis naujai mokslinio tyrimo veiklai, jei iš pradžių tinkamai informavo duomenų subjektą ir suteikė jam pasirinkimo galimybę. Tokiame pranešime turi būti pateikta informacija apie bet kokį konkretų būsimą duomenų panaudojimą, pvz., periodinius atsiliepimus, susijusias studijas ar rinkodarą.

ii)

Suprantama, kad neįmanoma nurodyti visko, kam ateityje gali būti panaudota informacija, nes naujų galimybių ją panaudoti tyrimams gali atsirasti dėl naujo pirminių duomenų supratimo, naujų medicinos atradimų ir pažangos,taip pat visuomenės sveikatos ir kontrolės plėtros. Todėl pranešime turi būti paaiškinta, kad asmens duomenys gali būti panaudoti būsimiems medicinos ir farmacijos tyrimams, kurių neįmanoma numatyti. Jeigu asmens duomenis ketinama panaudoti tikslams, neatitinkantiems pirminių bendrųjų tyrimo tikslų ar tų, kuriems asmuo vėliau davė sutikimą, būtina gauti naują sutikimą.

c)   Atsisakymas dalyvauti klinikiniame tyrime

Bet kuriuo metu dalyviai gali nuspręsti arba jų gali būti paprašyta nebedalyvauti klinikiniuose tyrimuose. Visi iki to laiko surinkti asmens duomenys ir kiti klinikinio tyrimo metu gauti duomenys gali būti tvarkomi, jei dalyviui apie tai buvo pranešta tuomet, kai jis sutiko juose dalyvauti.

d)   Duomenų perdavimas reguliavimo ir priežiūros tikslais

Farmacinius ir medicinos įrenginius gaminančios kompanijos ES vykdytų klinikinių tyrimų metu gautus asmens duomenis gali suteikti tvarkytojams Jungtinėse Amerikos Valstijose priežiūros ir kontrolės tikslais. Panašiai duomenis galima perduoti kitoms nei reguliavimo institucijos šalims, pvz., įmonės padaliniams ir kitiems tyrėjams, jeigu toks perdavimas atitinka pranešimo ir pasirinkimo principus.

e)   „Aklieji“ tyrimai

i)

Kad būtų užtikrintas daugelio klinikinių tyrimų objektyvumas, dalyviams, o dažnai ir tyrėjams, negalima suteikti prieigos prie informacijos apie kiekvieno dalyvio gydymą. Ją suteikus, kiltų pavojus, kad tyrimų studijos ir jų rezultatai taptų nebepatikimi. Tokiuose klinikiniuose tyrimuose (toliau – „aklieji“ tyrimai) dalyvaujantiems asmenims neturi būti suteikiama prieiga prie duomenų apie jų gydymą bandymo metu, jeigu šis apribojimas buvo paaiškintas dalyviui sutinkant dalyvauti bandyme, o tokios informacijos atskleidimas pakenktų mokslinio tyrimo vientisumui.

ii)

Sutikimas dalyvauti tyrime tokiomis sąlygomis yra pagrįstas prieigos teisės atsisakymu. Jei dalyviai pageidauja prieiti prie savo duomenų, tai galima padaryti tik pabaigus tyrimą ir išanalizavus rezultatus. Iš pradžių jie turi to prašyti tyrimo metu juos gydžiusio gydytojo ar kito sveikatos priežiūros teikėjo arba po to – rėmusiosios organizacijos.

f)   Produkto saugumo ir veiksmingumo stebėsena

Farmacinius ar medicinos prietaisus gaminanti bendrovė, vykdydama su jos produkto saugumo ir veiksmingumo stebėsena susijusią veiklą, privalo taikyti „privatumo skydo“ pranešimo, pasirinkimo, atsakomybės už tolesnį duomenų perdavimą ir prieigos prie duomenų principus, įskaitant šių principų laikymąsi rengiant ataskaitas apie neigiamas pasekmes ir tam tikrus vaistus arba medicinos prietaisus naudojančių pacientų (subjektų) sekimą, jeigu laikantis privatumo principų daroma įtaka reguliavimo reikalavimų laikymuisi. Tai pasakytina apie sveikatos priežiūros teikėjų farmacijos ir medicinos prietaisų gamybos bendrovėms teikiamus pranešimus ir šių bendrovių pranešimus valdžios institucijoms, kaip antai Maisto ir vaistų valdybai.

g)   Raktu užkoduoti duomenys

Dažniausiai pagrindinis tyrėjas, vos tik gavęs tyrimų duomenis, iš karto juos užkoduoja unikaliu kodu, kad nebūtų atskleista atskirų duomenų subjektų tapatybė. Tokį tyrimą remiančios farmacijos kompanijos kodo rakto negauna. Unikalų kodo raktą turi tik tyrėjas, kad tam tikromis aplinkybėmis galėtų nustatyti tyrimų subjekto tapatybę (pvz., jei reikia tęstinės medicinos priežiūros). Tokiu būdu užkoduotų duomenų perdavimas iš ES į Jungtines Amerikos Valstijas nereikštų asmens duomenų perdavimo, kuriam būtų taikomi „privatumo skydo“ principai.

15.   Viešasis archyvas ir viešai prieinama informacija

a)

Organizacija privalo „privatumo skydo“ saugumo, duomenų vientisumo, tikslo ribojimo ir teisių gynimo reikalavimų užtikrinimo ir atsakomybės principus taikyti iš viešai prieinamų šaltinių gautiems asmens duomenims. Šie privatumo principai taip pat taikomi iš viešųjų archyvų surinktiems asmens duomenims, t. y. iš bet kokio lygio Vyriausybės agentūrų ar įstaigų saugomų archyvų, kurie apskritai prieinami visuomenei.

b)

Pranešimo, pasirinkimo ar atsakomybės už tolesnį duomenų perdavimą principų viešųjų archyvų informacijai taikyti nebūtina, jei ji nėra sujungta su neviešųjų archyvų informacija ir turi būti paisoma bet kurioje atitinkamoje jurisdikcijoje galiojančių duomenų tikrinimo sąlygų. Taip pat nebūtina taikyti pranešimo, pasirinkimo ar atsakomybės už tolesnį duomenų perdavimą principų viešai prieinamai informacijai, nebent siuntėjas iš Europos nurodo, kad tokiai informacijai taikomi apribojimai, dėl kurių organizacija privalo taikyti privatumo principus. Organizacijos neatsako už tai, kaip tokią informaciją panaudos gaunantieji ją iš paskelbtos medžiagos.

c)	Jei nustatoma, kad organizacija, pažeisdama privatumo principus, sąmoningai viešai paskelbė asmeninę informaciją ir kad ji arba kiti gali turėti iš to naudos, ji netenka teisės naudotis „privatumo skydo“ privalumais.

d)

Prieigos prie duomenų principo nebūtina taikyti iš viešųjų archyvų gautai informacijai, jeigu ji nenaudojama su kita asmenine informacija (išskyrus nedidelius kiekius, kurie naudojami viešuosiuose archyvuose pateikiamai informacijai indeksuoti arba tvarkyti); tačiau turi būti paisoma bet kurioje atitinkamoje jurisdikcijoje galiojančių duomenų tikrinimo sąlygų. Priešingai, kai viešųjų archyvų informacija yra sujungta su kita neviešųjų archyvų informacija (kitokia, nei nurodyta pirmiau), organizacija privalo suteikti prieigą prie visos tokios informacijos, jei ji neribojama dėl kitų leistinų išimtinių priežasčių.

e)

Kalbant apie viešųjų archyvų informaciją, nebūtina suteikti prieigos prie plačiajai visuomenei prieinamos informacijos, jei ji nesujungta su viešai neprieinama informacija. Viešai prieinama informacija prekiaujančios organizacijos gali imti iš klientų mokestį už prieigos reikalavimus. Tačiau asmenys gali bandyti susipažinti su informacija apie save per organizaciją, kuri iš pradžių tą informaciją sukaupė.

16.   Valdžios institucijų pateikti prašymai suteikti prieigą prie duomenų

a)

Siekiant užtikrinti valdžios institucijų teisėtų prašymų suteikti prieigą prie asmeninės informacijos skaidrumą, „privatumo skydo“ organizacijos gali savanoriškai teikti periodines skaidrumo ataskaitas, kuriose būtų pateikiama informacija apie prašymų leisti susipažinti su asmenine informacija skaičių, kuriuos valdžios institucijos gauna teisėsaugos arba nacionalinio saugumo sumetimais, tiek, kiek atskleisti tokią informaciją pagal taikytiną teisę yra leidžiama.

b)	Šiose ataskaitose „privatumo skydo“ organizacijų pateikta informacija kartu su žvalgybos bendruomenės paskelbta informacija ir kita informacija gali būti naudojama atliekant „privatumo skydo“ veikimo pagal privatumo principus bendrą metinę peržiūrą.

c)	Tai, kad nėra pranešimo pagal pranešimo principo (a)(xii) dalį, neužkerta organizacijai kelio arba nepažeidžia jos galimybių pateikti atsakymą į bet kurį teisėtą prašymą.

---

(1)  Jeigu Komisijos sprendimas dėl ES ir JAV „privatumo skydo“ suteikiamos apsaugos tinkamumo taikomas Islandijai, Lichtenšteinui ir Norvegijai, „privatumo skydo“ dokumentų rinkinys bus taikomas tiek Europos Sąjungai, tiek šioms trims šalims. Todėl nuorodos į ES ir jos valstybes nares reiškia nuorodas į Islandiją, Lichtenšteiną ir Norvegiją.

(2)  Priklausomai nuo aplinkybių, su tikslus atitinkantis duomenų tvarkymas gali būti susijęs, pvz., su pagrįstais klientų ryšiais, reikalavimų laikymusi ir teisinėmis aplinkybėmis, auditu, saugumu ir sukčiavimo prevencija, organizacijos teisėtų teisių išsaugojimu arba gynimu, arba kitais tikslais, atitinkančiais protingai veikiančio asmens lūkesčius atsižvelgiant į duomenų rinkimą.

(3)  Šiomis aplinkybėmis jeigu, atsižvelgiant į pagrįstas tapatybės nustatymo priemones, kurios, tikėtina, bus naudojamos (be kita ko, atsižvelgiant į tapatybės nustatymo išlaidas ir laiką, reikalingą tapatybei nustatyti, ir technologijas, kurios yra prieinamos duomenų tvarkymo metu), ir duomenų saugojimo formą, organizacija galėtų pagrįstai nustatyti asmens tapatybę arba tai galėtų padaryti trečioji šalis, jeigu jai būtų suteikta prieiga prie duomenų, tai reiškia, kad asmens tapatybę galima nustatyti.

(4)  Organizacija turėtų atsakyti į fizinių asmenų prašymus nurodyti duomenų tvarkymo tikslus, tvarkomų asmens duomenų kategorijas ir gavėjus, kuriems atskleidžiami asmens duomenys, arba tokių gavėjų kategorijas.

(5)  Privatumo principų I.5 skirsnis.

(6)  Ginčų sprendimo institucijos gali pasirinkti, kokiomis aplinkybėmis taikys tokias sankcijas. Atitinkamų duomenų konfidencialumas yra vienas iš veiksnių, į kuriuos reikia atsižvelgti nusprendžiant, ar reikėtų reikalauti ištrinti duomenis, į jį taip pat reikėtų atsižvelgti nustatant, ar organizacija informaciją rinko, naudojo arba ją atskleidė akivaizdžiai pažeisdama „privatumo skydo“ principus.

III PRIEDAS

2016 m. liepos 7 d.

Gerbiama Komisijos nare V. Jourová,

džiaugiuosi galėdamas pranešti, kad pasiekėme bendrą sutarimą dėl Europos Sąjungos ir Jungtinių Amerikos Valstijų „privatumo skydo“ sistemos, kuriai taip pat priklauso ombudsmeno mechanizmas, kuriuo naudodamosi ES institucijos galės ES asmenų vardu teikti prašymus dėl JAV signalų žvalgybos veiksmų.

2014 m. sausio 17 d. Prezidentas Barackas Obama paskelbė apie svarbias žvalgybos reformas, numatytas Prezidento politinėje direktyvoje Nr. 28 (PPD-28). Vadovaudamasis PPD-28, valstybės sekretorę Catheriną A. Novelli, kuri taip pat veikia kaip Tarptautinės informacinių technologijų diplomatijos vyresnioji koordinatorė, paskyriau kontaktiniu asmeniu, kuris nagrinės užsienio Vyriausybių užklausas dėl JAV signalų žvalgybos veiklos. Remdamasis šiomis funkcijomis, įsteigiau „privatumo skydo“ ombudsmeno mechanizmą, veiksiantį A priede nustatytomis sąlygomis, kurios po mano 2016 m. vasario 22 d. rašto buvo dar atnaujintos. Eiti šias pareigas pavedžiau Sekretorei C. A. Novelli. Sekretorė C. A. Novelli yra nepriklausoma nuo JAV žvalgybos bendruomenės ir tiesiogiai man atskaitinga.

Savo darbuotojams pavedžiau skirti reikalingus išteklius šiam naujam ombudsmeno mechanizmui įgyvendinti ir esu įsitikinęs, kad tai bus veiksminga priemonė, padedanti spręsti ES asmenims rūpimus klausimus.

IV PRIEDAS

2016 m. liepos 7 d.

GAUTA E. PAŠTU

Věrai Jourovái

už teisingumą, vartotojų reikalus ir lyčių lygybę atsakingai Komisijos narei

Europos Komisija

Rue de la Loi/Wetstraat200

1049 Briuselis

Belgija

Gerbiama Komisijos nare V. Jourová,

Jungtinių Amerikos Valstijų federalinė prekybos komisija (FPK) teigiamai vertina galimybę aprašyti, kaip ji užtikrina naujos ES ir JAV „privatumo skydo“ sistemos (toliau – „privatumo skydo“ sistema arba sistema) veikimą. Manome, kad sistema atliks lemiamą vaidmenį palengvinant komercinių sandorių, kuriuose užtikrinama privatumo apsauga, sudarymą vis glaudesniais tarpusavio ryšiais susijusioje pasaulinėje rinkoje. Ši sistema sudarys sąlygas įmonėms atlikti svarbias operacijas globalios ekonomikos sąlygomis, kartu padės užtikrinti, kad ES vartotojai naudotųsi svarbiomis privatumo apsaugos priemonėmis. FPK jau seniai įsipareigojo užtikrinti privatumo apsaugą tarpvalstybiniu mastu, o naujos sistemos veikimo užtikrinimui skirs ypatingą dėmesį. Toliau paaiškiname bendrąsias FPK užtikrinamos griežtos apsaugos istoriją, įskaitant pradinės „saugaus uosto“ programos įgyvendinimą, taip pat FPK požiūrį į naujos sistemos užtikrinimą.

FPK įgyvendinti „saugaus uosto“ programą pirmą kartą viešai įsipareigojo 2000 metais. Tuo metu pareigas ėjęs FPK pirmininkas Robertas Pitas savo iniciatyva nusiuntė Europos Komisijai raštą, kuriame išdėstė FPK įsipareigojimą dėti visas pastangas, kad užtikrintų „saugaus uosto“ privatumo principų laikymąsi. FPK toliau laikėsi šio įsipareigojimo iškeldama beveik 40 bylų, atlikdama įvairius papildomus tyrimus ir bendradarbiaudama su atskiromis Europos duomenų apsaugos institucijomis (ES DAI), kai sprendė abiem pusėms svarbius klausimus.

2013 m. lapkričio mėn. Europos Komisijai išreiškus nerimą dėl „saugaus uosto“ programos administravimo ir įgyvendinimo, mes kartu su JAV komercijos departamentu pradėjome konsultuotis su Europos Komisijos pareigūnais, kad ištirtume programos stiprinimo būdus. Vykstant šioms konsultacijoms, 2015 m. spalio 6 d. Europos Teisingumo Teismas priėmė sprendimą Schrems byloje, kurioje, be kita ko, Europos Komisijos sprendimą dėl „saugaus uosto“ programos tinkamumo pripažino negaliojančiu. Po šio sprendimo toliau glaudžiai bendradarbiavome su Komercijos departamentu ir Europos Komisija stengdamiesi stiprinti ES gyventojams suteikiamas privatumo apsaugos priemones. „Privatumo skydo“ sistema yra šių vykstančių konsultacijų rezultatas. Kaip ir „saugaus uosto“ programos atveju, FPK šiuo raštu įsipareigoja dėti visas pastangas, kad užtikrintų naujosios sistemos veikimą. Šiuo raštu patvirtinamas minėtas įsipareigojimas.

Visų pirma patvirtiname savo įsipareigojimą keturiose pagrindinėse srityse: 1) teikti prioritetą perduotoms byloms ir jas nagrinėti; 2) šalinti klaidingus arba apgaulingus pareiškimus dėl dalyvavimo „privatumo skydo“ sistemoje; 3) nuolat stebėti, kaip laikomasi reikalavimų, ir 4) imtis aktyvesnių veiksmų ir bendradarbiauti su ES DAI reikalavimų užtikrinimo srityje. Toliau pateikiame išsamią informaciją apie kiekvieną iš šių įsipareigojimų ir svarbias aplinkybes, susijusias su FPK vaidmeniu užtikrinant vartotojų apsaugą ir „saugaus uosto“ veikimą, taip pat išsamiau apibūdinsime Jungtinių Amerikos Valstijų privatumo sistemą (1).

I.   APLINKYBĖS

A.   FPK užtikrinamas privatumas ir politinis darbas

FPK turi plačius civilinius reikalavimo užtikrinimo įgaliojimus, susijusius su vartotojų apsauga ir konkurencijos skatinimu prekybos srityje. Įgyvendindama įgaliojimus vartotojų apsaugos srityje, FPK vykdo įvairius įstatymus, kad apsaugotų vartotojų duomenų privatumą ir saugumą. Pagrindiniame įstatyme, FPK akte, kurį įgyvendina FPK, draudžiami „nesąžiningi“ arba „apgaulingi“ veiksmai ar praktika prekybos srityje arba darantys poveikį prekybai (2). Pareiškimas, neveikimas arba praktika yra apgaulingi, jeigu jie yra esminiai ir, tikėtina, gali klaidinti šiomis aplinkybėmis veikiančius vartotojus (3). Subjekto praktika yra nesąžininga, jeigu ja sukeliama arba, tikėtina, gali būti sukelta didelė žala, kurios vartotojas pagrįstai negali išvengti, arba kuri negali būti kompensuojama vartotojui arba ištaisoma konkurencinėje aplinkoje (4). FPK taip pat vykdo konkrečius įstatymus, kad apsaugotų su sveikata, įsiskolinimais ir kitais finansiniais klausimais susijusią informaciją, taip pat vaikų informaciją internete, ir dėl kiekvieno iš šių įstatymų priėmė įgyvendinimo taisykles.

FPK jurisdikcija pagal FPK aktą taikoma „prekybos srityje kylantiems arba jai poveikį darantiems klausimams“. FPK neturi jurisdikcijos nagrinėti baudžiamosios teisės užtikrinimo arba nacionalinio saugumo klausimų. FPK taip pat negali kontroliuoti daugumos kitų Vyriausybės veiksmų. Be to, FPK jurisdikcijai prekybos srityje taikomos išimtys, įskaitant su bankais, oro vežėjais, draudimo bendrovėmis ir bendra telekomunikacijų paslaugų teikėjų vežimo veikla susijusios išimtis. FPK taip pat neturi jurisdikcijos daugumos ne pelno organizacijų atžvilgiu, tačiau ji turi jurisdikciją apgaulingų labdaros fondų ir kitų ne pelno organizacijų, kurios iš tikrųjų siekia pelno, atžvilgiu. FPK taip pat turi jurisdikciją ne pelno organizacijų, kurios veikia siekdamos pelno savo nariams, atžvilgiu, įskaitant esminės ekonominės naudos šiems nariams teikimą (5). Kai kuriais atvejais FPK jurisdikcija sutampa su kitų teisėsaugos institucijų jurisdikcija.

Užmezgėme tvirtus darbo santykius su federalinėmis ir valstijų valdžios institucijomis ir glaudžiai su jomis dirbame koordinuodami tyrimus arba, kai tinkama, perduodami bylas.

Vykdymo užtikrinimas yra pagrindinis FPK požiūrio į privatumo apsaugą aspektas. Iki šiol FPK iškėlė daugiau nei 500 bylų, susijusių su vartotojų informacijos privatumo ir saugumo apsauga. Ši bylų visuma apima ne internete ir internete pateiktą informaciją ir vykdymo veiksmus prieš dideles ir mažas bendroves, kuriose teigiama, kad jos nesugebėjo tinkamai tvarkyti neskelbtinų vartotojų duomenų, neužtikrinto vartotojų asmeninės informacijos apsaugos, apgaulingai sekė vartotojus internete, siuntė vartotojams brukalus, įdiegė vartotojų kompiuteriuose šnipinėjimo programas ir kitą kenkimo programinę įrangą, pažeidė „Do Not Call“ bei kitas telemarketingo taisykles ir netinkamai rinko vartotojų informaciją mobiliuosiuose įrenginiuose ir ja dalijosi. FPK vykdymo veiksmais, kurių ji imasi fizinėje ir skaitmeninėje aplinkoje, bendrovėms siunčiama rimta žinia apie poreikį apsaugoti vartotojų privatumą.

FPK taip pat įgyvendino įvairias politines iniciatyvas, kuriomis siekė didinti vartotojų privatumą, kuris yra FPK vykdymo veiksmų pagrindas. FPK surengė praktinius seminarus ir parengė ataskaitas, kuriose rekomenduojama vadovautis geriausia patirtimi, susijusia su privatumo mobilioje ekosistemoje stiprinimu, skaidrumo duomenų tarpininkų sektoriuje didinimu, kuo didesnės didelių duomenų kiekio naudos užtikrinimu kartu sumažinant riziką, visų pirma kylančią mažas pajamas gaunantiems ir nepakankamai aptarnaujamiems vartotojams, ir kuriose atkreiptas dėmesys į privatumo ir saugumo aspektus, be kita ko, susijusius su veido atpažinimu ir daiktų internetu.

FPK taip pat užsiima vartotojų ir įmonių švietimu, kad didintų savo reikalavimų užtikrinimo ir politikos tobulinimo iniciatyvų poveikį. FPK naudoja įvairias priemones – leidinius, elektroninius išteklius, praktinius seminarus ir socialinę žiniasklaidą, kad suteiktų mokymo medžiagą pačiomis įvairiausiomis temomis, įskaitant mobiliąsias programėles, vaikų privatumą ir duomenų saugumą. Visai neseniai Komisija pradėjo įgyvendinti iniciatyvą „Saugumas svarbiausia“, kurioje įmonėms pateikiamos naujos praktine patirtimi, kurią agentūra įgijo nagrinėdama saugumo bylas, taip pat surengdama įvairius praktinius seminarus visoje šalyje, pagrįstos rekomendacijos. Be to, FPK ilgą laiką yra lyderė šviečiant vartotojus pagrindiniais kompiuterinio saugumo klausimais. Praėjusiais metais mūsų tinklalapis „On Guard Online site“ ir jo analogas ispanų kalba „Alerta en Línea“ buvo peržiūrėtas daugiau nei 5 mln. kartų.

B.   ES vartotojams palankios JAV teisinės apsaugos priemonės

Sistema veiks platesniame JAV privatumo kontekste, kuriame ES vartotojų apsauga užtikrinama įvairiais būdais.

FPK akte nustatytas nesąžiningų arba apgaulingų veiksmų ar praktikos draudimas taikomas ne tik JAV vartotojams, siekiant juos apsaugoti nuo JAV bendrovių, nes jame aptariama praktika, kuri 1) sukelia arba gali sukelti pagrįstai numatomą žalą Jungtinėse Amerikos Valstijose, arba 2) yra susijusi su esminiu elgesiu Jungtinėse Amerikos Valstijose. Be to, siekdama apsaugoti užsienio vartotojus, FPK gali naudoti visas teisių gynimo priemones, įskaitant restituciją, kuri yra prieinama vidaus vartotojams.

Tiesą sakant, FPK darbas reikalavimų užtikrinimo srityje yra labai naudingas tiek JAV, tiek užsienio vartotojams. Pavyzdžiui, mūsų bylos, kuriomis užtikrinamas FPK akto 5 straipsnio laikymasis, padėjo užtikrinti vienodą JAV ir užsienio vartotojų privatumo apsaugą. Byloje prieš informacijos tarpininką „Accu search“ FPK teigė, kad bendrovė pardavė slaptus telefoninius įrašus trečiosioms šalims be vartotojų žinios arba sutikimo, ir tai buvo nesąžiningi veiksmai, kuriais pažeistas FPK akto 5 straipsnis. „Accu search“ pardavė informaciją, susijusią su JAV ir užsienio vartotojais (6). Teismas dėl „Accu search“ priėmė įsakymą, kuriuo, be kita ko, uždraudė teikti rinkai ar pardavinėti asmeninę informaciją be rašytinio sutikimo, išskyrus atvejus, kai tokia informacija buvo teisėtai gauta iš viešai prieinamų informacijos šaltinių, ir nurodė sumokėti beveik 200 000 JAV dolerių kompensaciją (7).

FPK susitarimas su bendrove „TRUSTe“ yra kitas pavyzdys. Susitarimu užtikrinama, kad vartotojai, įskaitant Europos Sąjungos vartotojus, galėtų remtis pasaulinės savireguliacijos organizacijos pareiškimais, kuriuos ji pateikia dėl savo viduje ir užsienyje teikiamų internetinių paslaugų peržiūros ir sertifikavimo (8). Dar svarbiau, kad mūsų veiksmai „TRUSTe“ atžvilgiu taip pat padeda stiprinti privatumo savireguliacinę sistemą platesniu mastu užtikrinant subjektų, kurie dalyvauja savireguliavimo schemose, įskaitant tarpvalstybines privatumo sistemas, atskaitomybę.

FPK taip pat vykdo kitus specialius įstatymus, kuriais užtikrinama ne tik JAV vartotojų apsauga, pvz., Vaikų privatumo internete apsaugos aktas (COPPA). COPPA, be kita ko, reikalaujama, kad vaikams skirtų svetainių ir internetinių paslaugų operatoriai arba visai auditorijai skirtose svetainėse, kuriose, kaip žinoma, renkama asmeninė informacija iš 13 metų nesulaukusių vaikų, būtų pateiktas įspėjimas tėvams ir gaunamas tėvų sutikimas. JAV veikiančios svetainės ir paslaugos, kurioms taikomas COPPA ir kuriose renkama asmeninė informacija iš užsienio vaikų, turi atitikti COPPA. Užsienyje veikiančios svetainės ir internetinės paslaugos turi atitikti COPPA, jeigu jos orientuotos į JAV vaikus arba jeigu, kaip žinoma, jose renkama asmeninė informacija iš JAV vaikų. Be JAV federalinių įstatymų, kurių vykdymą užtikrina FPK, tam tikruose kituose federaliniuose ir valstijų lygmeniu galiojančiuose vartotojų privatumo apsaugos įstatymuose gali būti numatyta papildoma ES vartotojų apsauga.

C.   „Saugaus uosto“ užtikrinimas

Vykdydama privatumo ir saugumo užtikrinimo programą, FPK taip pat siekė apsaugoti ES vartotojus iškeldama vykdymo bylas dėl „saugaus uosto“ nuostatų pažeidimo. FFPK iškėlė 39 bylas dėl „saugaus uosto“ reikalavimų užtikrinimo: 36 bylos buvo susijusios su klaidingais pareiškimais dėl sertifikavimo ir trys bylos iškeltos „Google“, „Facebook“ ir „Myspace“, susijusios su tariamais „saugaus uosto“ privatumo principų pažeidimais (9). Šios bylos parodo, kad sertifikavimo reikalavimai yra užtikrinami, be to, jose galima pamatyti už jų nesilaikymą kylančias pasekmes. Pagal dvidešimties metų sutikimo reikalavimą „Google“, „Facebook“ ir „Myspace“ įpareigojamos įgyvendinti išsamias privatumo programas, kurios turi būti sukurtos taip, kad padėtų spręsti privatumo riziką, susijusią su naujų ir esamų produktų ir paslaugų tobulinimu ir valdymu, ir užtikrinti asmeninės informacijos privatumą ir konfidencialumą. Pagal šiuos reikalavimus parengtose išsamiose programose turi būti nurodyta numatoma esminė rizika ir kontrolės priemonės šiai rizikai suvaldyti. Bendrovės taip pat turi pateikti savo privatumo programas nuolatiniam nepriklausomam vertinimui ir tai turi būti daroma FPK. Reikalavimais bendrovėms taip pat draudžiama laikytis klaidingos privatumo praktikos ir dalyvauti bet kurioje privatumo ar saugumo programoje. Šis draudimas taip pat bus taikomas bendrovės veiksmams ir praktikai pagal naują „privatumo skydo“ sistemą. FPK gali užtikrinti šių reikalavimų vykdymą skirdama civilines baudas. Tiesą sakant, „Google“ 2012 m. sumokėjo rekordinę 22,5 mln. JAV dolerių baudą, kad patenkintų reikalavimus, susijusius su pažeistu reikalavimu. Todėl šie FPK reikalavimai padeda užtikrinti daugiau nei milijardo vartotojų visame pasaulyje, iš kurių šimtai milijonų gyvena Europoje, apsaugą.

FPK bylose taip pat daug dėmesio skirta neteisingiems, apgaulingiems arba klaidinantiems pareiškimams, susijusiems su dalyvavimu „saugiame uoste“. FPK šiuos pareiškimus vertina rimtai. Pavyzdžiui, byloje FPK prieš Karnani FPK pareiškė ieškinį 2011 m. Jungtinių Amerikos Valstijų internetinio marketingo specialistui – ji teigė, kad jis ir jo bendrovė klaidino Britanijos vartotojus, priversdama juos manyti, kad bendrovė buvo įsisteigusi Jungtinėje Karalystėje, įskaitant „.uk“ interneto plėtinių naudojimą ir nuorodą į Britanijos valiutą bei JK pašto sistemą (10). Tačiau kai gaudavo produktus, vartotojai sužinodavo turį sumokėti importo mokesčius, kurių nesitikėjo, gavę garantijas, kurios negalioja Jungtinėje Karalystėje, ir sumokėti mokesčius, susijusius su lėšų susigrąžinimu. FPK taip pat pateikė kaltinimus, kad atsakovai apgavo vartotojus dėl savo dalyvavimo „saugaus uosto“ programoje. Visų pirma pažymėtina, kad visi nukentėję vartotojai gyveno Jungtinėje Karalystėje.

Dauguma kitų mūsų „saugaus uosto“ užtikrinimo bylų buvo susijusios su organizacijomis, kurios prisijungė prie „saugaus uosto“ programos, tačiau nesugebėjo atnaujinti savo metinio patvirtinimo ir toliau teigė esančios programos narės. Kaip aptarta toliau, FPK taip pat įsipareigoja šalinti klaidingus pareiškimus dėl dalyvavimo „privatumo skydo“ sistemoje. Ši strateginė reikalavimų užtikrinimo veikla papildys intensyvesnius Komercijos departamento veiksmus tikrinant atitiktį programos reikalavimams, susijusiems su sertifikavimu ir pakartotiniu sertifikavimu, veiksminga atitikties stebėsena, įskaitant sistemos dalyviams skirtų klausimynų siuntimą, ir jos didesnes pastangas nustatyti klaidingus pareiškimus dėl narystės sistemoje ir bet kokį netinkamą sistemos sertifikavimo ženklo naudojimą (11).

II.   PERDUODAMŲ BYLŲ PRIORITETAI IR TYRIMAI

Kaip ir „saugaus uosto“ programoje, FPK įsipareigoja pirmenybę teikti ES valstybių narių perduotoms byloms, susijusioms su „privatumo skydu“. Pirmenybę taip pat teiksime byloms dėl savireguliacijos rekomendacijų, susijusių su „privatumo skydo“ sistemos reikalavimų nesilaikymu, gautoms iš privatumo savireguliacinių organizacijų ir kitų nepriklausomų ginčų sprendimo įstaigų.

Siekdama palengvinti bylų perdavimą pagal sistemą iš ES valstybių narių, FPK kuria standartizuotą bylų perdavimo procesą ir teikia ES valstybėms narėms rekomendacijas dėl informacijos, kuri geriausiai padėtų FPK tirti perduotą bylą, rūšių. Atlikdama šiuos veiksmus, FPK paskirs kontaktinę agentūrą, kuriai ES valstybės narės galės perduoti bylas. Tai naudingiausia, kai perduodančioji institucija atlieka preliminarų tariamo pažeidimo tyrimą ir gali bendradarbiauti su tyrimą atliekančia FPK.

Gavusi bylą iš ES valstybės narės arba savireguliacinės organizacijos, FPK gali imtis įvairių veiksmų, kad išspręstų iškeltus klausimus. Pavyzdžiui, galime peržiūrėti bendrovės privatumo politiką, tiesiogiai gauti papildomą informaciją iš bendrovės arba trečiųjų šalių, bendradarbiauti su bylą perdavusia institucija, įvertinti, ar yra pažeidimų modelis arba ar yra daug nukentėjusių vartotojų, nustatyti, ar perduota byla yra susijusi su Komercijos departamento kompetencijai priklausančiais klausimais, įvertinti, ar būtų naudinga mokyti vartotojus ir įmones, ir, kai tinkama, pradėti vykdymo bylą.

FPK taip pat įsipareigoja keistis informacija apie perduotas bylas su perduodančiosiomis teisėsaugos institucijomis, įskaitant informaciją apie perduotos bylos statusą, ir laikytis konfidencialumo įstatymų ir apribojimų. Tiek, kiek pagrįsta atsižvelgiant į perduotų bylų skaičių ir rūšį, teikiamą informaciją sudarys perduotų klausimų vertinimas, įskaitant svarbiausių iškeltų klausimų ir bet kokių veiksmų, kurių pagal savo kompetenciją ėmėsi FPK, kad ištaisytų teisės pažeidimus, aprašymą. FPK perduodančiajai institucijai taip pat teiks grįžtamąją informaciją apie gautų bylų rūšis, kad padidintų veiksmų, kuriais siekiama spręsti neteisėto elgesio problemą, veiksmingumą. Jeigu perduodančioji teisėsaugos institucija siekia gauti informacijos apie konkrečios bylos statusą, kad atliktų savo tyrimą, FPK, atsižvelgdama į nagrinėjamų bylų skaičių ir laikydamasi konfidencialumo ir kitų teisinių reikalavimų, teiks tokiai institucijai prašomą informaciją.

FPK taip pat glaudžiai dirbs su ES DAI, kad suteiktų vykdymo pagalbą. Atitinkamais atvejais tai galėtų reikšti dalijimąsi informacija ir tyrimo pagalba pagal JAV saugaus tinklo aktą, kuriuo FPK leidžiama teikti pagalbą užsienio teisėsaugos institucijoms, kurios vykdo įstatymus, kuriais draudžiama praktika, kuri iš esmės yra panaši į praktiką, kuri draudžiama FPK vykdomais įstatymais (12). Teikdama šią paramą, FPK gali dalytis informacija, kurią gavo atlikdama FPK tyrimą, ESA DAI, atliekančios savo tyrimą, vardu priimti procesinius dokumentus ir siekti gauti žodinį patvirtinimą iš liudytojų arba atsakovo DAI vykdymo byloje, laikydamasi JAV saugaus tinklo akto. FPK reguliariai naudojasi šiais įgaliojimais, kad padėtų kitoms institucijoms nagrinėti privatumo ir vartotojų apsaugos bylas (13).

FPK ne tik prioritetine tvarka nagrinėja ES valstybių narių ir privatumo savireguliacijos organizacijų perduotas „privatumo skydo“ bylas (14), bet ir įsipareigoja savo iniciatyva tirti galimus sistemos pažeidimus, kai tinkama, naudodama įvairias priemones.

Jau gerą dešimtmetį FPK įgyvendina griežtą privatumo ir saugumo klausimų tyrimo programą, kurioje taip pat dalyvauja komercinės organizacijos. Atlikdama šiuos tyrimus, FPK paprastai nagrinėjo, ar atitinkamas subjektas teikė pareiškimus dėl „saugaus uosto“. Jeigu subjektas teikė tokius pareiškimus ir tyrimo metu buvo nustatyti aiškūs „saugaus uosto“ privatumo principų pažeidimai, FPK visus kaltinimus pažeidus „saugumo uosto“ nuostatas įtraukė į savo vykdymo bylas. Šio aktyvaus veikimo būdo laikysimės ir pagal naująją sistemą. Svarbu, kad FPK atlieka daug daugiau tyrimų, kuriuos baigus galiausiai pradedamos vykdymo bylos. Dauguma FPK tyrimų baigiami darbuotojams nenustačius akivaizdaus pažeidimo. Kadangi FPK tyrimai yra nevieši ir konfidencialūs, dažnai apie baigtą tyrimą viešai nepranešama.

Beveik 40 FPK pradėtų vykdymo bylų, susijusių su „saugaus uosto“ programa, patvirtina agentūros įsipareigojimą aktyviai įgyvendinti tarpvalstybines privatumo programas. FPK toliau tirs galimus sistemos pažeidimus atlikdama privatumo ir saugumo tyrimus, kurių imamės reguliariai.

III.   KLAIDINGŲ ARBA APGAULINGŲ PAREIŠKIMŲ DĖL DALYVAVIMO „PRIVATUMO SKYDO“ SISTEMOJE ŠALINIMAS

Kaip nurodyta pirmiau, FPK imsis veiksmų dėl subjektų, kurie klaidingai praneša apie savo dalyvavimą sistemoje. FPK prioritetine tvarka nagrinės Komercijos departamento perduotas bylas dėl organizacijų, kurios, kaip nustatyta, klaidingai nurodo dalyvaujančios sistemoje arba be leidimo naudoja bet kokį sistemos sertifikavimo ženklą.

Be to, atkreipiame dėmesį į tai, kad jeigu organizacijos privatumo politikoje nurodoma, jog ji laikosi „privatumo skydo“ principų, jos nesugebėjimas patvirtinti arba registruotis Komercijos departamente pats savaime nebus tinkama priežastis pateisinti FPK savo įsipareigojimų pagal sistemą nesilaikymo.

IV.   NUTARČIŲ VYKDYMO STEBĖSENA

FPK taip pat patvirtina savo įsipareigojimą stebėti, kaip vykdomos nutartys, kad būtų užtikrinta atitiktis „privatumo skydo“ sistemos reikalavimams.

Taikydami įvairias tinkamas draudžiamas priemones, kurias ateityje nustatysime FPK sistemos nutarčių forma, reikalausime, kad būtų laikomasi sistemos reikalavimų. Tai apima draudimą teikti klaidingus pareiškimus dėl sistemos ir kitų privatumo programų, kai tokie pareiškimai yra pagrindinės FPK bylos pagrindas.

FPK bylos dėl pradinės „saugumo uosto“ programos vykdymo yra ribojamojo pobūdžio. 36 bylose dėl klaidingų arba apgaulingų pareiškimų dėl „saugaus uosto“ sertifikavimo kiekviena nutartimi atsakovui buvo draudžiama klaidingai pareikšti apie dalyvavimą „saugiame uoste“ arba bet kurioje kitoje privatumo arba saugumo programoje ir reikalaujama, kad bendrovė leistų FPK susipažinti su atitikties ataskaita. Bylose, susijusiose su „saugaus uosto“ privatumo principų pažeidimu, iš bendrovių buvo reikalaujama įgyvendinti išsamias privatumo programas, gauti metinį nepriklausomos trečiosios šalies programų vertinimą ir teikti jį FPK dvidešimt metų.

FPK administracinių nutarčių pažeidimas gali užtraukti piniginę baudą iki 16 000 JAV dolerių už vieną pažeidimą, arba 16 000 JAV dolerių už vieną dieną, jeigu pažeidimas tęsiamas (15), o ši suma, jeigu pažeidimas susijęs su veiksmais, nuo kurių nukenčia daugybė vartotojų, gali siekti milijonus dolerių. Kiekvienoje nutartyje dėl draudimo yra nustatytos atsiskaitymo ir atitikties nuostatos. Subjektai, kuriems adresuota nutartis, konkretų skaičių metų turi saugoti dokumentus, kuriais įrodoma, kad jie laikėsi reikalavimų. Nutartys taip pat turi būti įteikiamos darbuotojams, atsakingiems už reikalavimų užtikrinimą.

Kaip ir visais kitais atvejais, FPK sistemiškai stebi, kaip laikomasi „saugaus uosto“ nutarčių. FPK rimtai žiūri į savo privatumo ir saugumo nutarčių vykdymą ir prireikus imasi jų vykdymo veiksmų. Pavyzdžiui, kaip nurodyta pirmiau, „Google“ sumokėjo 22,5 mln. JAV dolerių civilinę baudą, kad pašalintų visus pažeidimus, kuriuos padarė nesilaikydama FPK nutarties. Svarbu, kad FPK nutartimis toliau bus saugomi visi pasaulio vartotojai, kurie bendrauja su įmonėmis, o ne tik skundus pateikę vartotojai.

Galiausiai FPK toliau tvarkys internetinį bendrovių, dėl kurių buvo priimtos nutartys, susijusios su „saugaus uosto“ programa ir „privatumo skydo“ sistema, sąrašą (16). Be to, pagal „privatumo skydo“ principus dabar reikalaujama, kad bendrovės, dėl kurių FPK arba teismas priėmė nutartį dėl privatumo principų nesilaikymo, viešai paskelbtų visų FPK pateiktų atitikties arba vertinimo ataskaitų skirsnius, susijusius su sistema, ir tai padarytų laikydamosi konfidencialumo įstatymų ir taisyklių.

V.   DARBAS SU ES DAI IR BENDRADARBIAVIMAS VYKDYMO SRITYJE

FPK pripažįsta svarbų ES DAI vaidmenį, kurį jos atlieka užtikrindamos atitiktį sistemos reikalavimams, ir skatina intensyvesnes konsultacijas ir bendradarbiavimą vykdymo srityje. Be įvairių konsultacijų, susijusių su DAI perduotų bylų klausimais, FPK įsipareigoja dalyvauti periodiniuose susitikimuose su paskirtais 29 straipsnio darbo grupės atstovais ir bendrais bruožais aptarti, kaip pagerinti bendradarbiavimą vykdymo srityje pagal sistemą. FPK kartu su Komercijos departamentu, Europos Komisija ir 29 straipsnio darbo grupės atstovais taip pat dalyvaus metinėje sistemos peržiūroje, kad aptartų jos įgyvendinimo klausimus.

FPK taip pat ragina sukurti priemonę, kuri paskatins bendradarbiavimą vykdymo srityje su ES DAI, taip pat kitomis privatumo užtikrinimo institucijomis visame pasaulyje. Visų pirma FPK kartu su vykdymo partneriais Europos Sąjungoje ir visame pasaulyje, praėjusiais metais Pasauliniame privatumo užtikrinimo tinkle (angl. Global Privacy Enforcement Network, GPEN) pradėjo naudoti perspėjimo sistemą, kad dalytųsi informacija apie tyrimus ir skatintų bendradarbiavimą vykdymo srityje. Ši GPEN perspėjimo priemonė galėtų būti ypač naudinga įgyvendinant „privatumo skydo“ sistemą. FPK ir ES DAI galėtų šią sistemą naudoti su „privatumo skydu“ susijusiems ir kitiems privatumo tyrimams koordinuoti, įskaitant jos naudojimą dalijantis informacija siekiant užtikrinti koordinuotą ir veiksmingesnę vartotojų apsaugą. Toliau stengsimės dirbti su dalyvaujančiomis ES institucijomis, kad diegtume GPEN perspėjimo sistemą platesniu mastu ir kurtume kitas priemones, kad gerintume bendradarbiavimą vykdymo srityje, kiek jis susijęs su privatumo bylomis, įskaitant su sistema susijusias bylas.

FPK su malonumu patvirtina savo įsipareigojimą įgyvendinti naują „privatumo skydo“ sistemą. Taip pat ketiname toliau bendradarbiauti su savo ES kolegomis, kad užtikrintume vartotojų privatumą abiejose Atlanto pusėse.

---

(1)  Papildomos informacijos apie JAV federalinius ir valstijų įstatymus pateikiame A priede, o B priede pateikiame neseniai atliktų privatumo ir saugumo užtikrinimo veiksmų santrauką. Šią santrauką taip pat galima rasti FPK svetainėje adresu https://www.ftc.gov/reports/privacy-data-security-update-2015.

(2)  JAV kodekso 15 antraštinės dalies 45 straipsnio a dalis.

(3)  Žr. FPK politinį pareiškimą dėl apgaulės, pridedamą prie Cliffdale Assocs., Inc., 103F.T.C. 110,174 (1984),

(4)  skelbiama adresu https://www.ftc.gov/public-statements/1983/10/ftc-policy-statement-deception.

(5)  Žr. JAV kodekso 15 antraštinės dalies 45 straipsnio n dalį; FPK politinį pareiškimą dėl nesąžiningumo, pridedamą prie Int'l Harvester Co., 104, F.T.C. 949, 1070 (1984), skelbiamas adresu https://www.ftc.gov/public-statements/1980/12/ftc-policy-statement-unfairness.

(6)  Žr. California Dental Ass'nv. FTC, 526 U.S. 756 (1999).

(7)  Žr. Kanados privatumo komisaro biuro pagal PIPDEA pateiktą skundą dėl „Accu search, Inc.“, kuris veikė kaip „Abika.com“, https://www.priv.gc.ca/cf-dc/2009/2009_009_0731_e.asp. Kanados privatumo komisaro biuras pateikė amicus curiae raštą, kuriuo apskundė FPK bylą, ir, atlikęs savo tyrimą, padarė išvadą, kad „Accu search“ praktika taip pat pažeidė Kanados teisę.

(8)  Žr. FTC v. Accu search, Inc., Nr. 06CV015D (D. Wyo., 2007 m. gruodžio 20 d.), aff'd 570 F.3d 1187 (10th Cir. 2009).

(9)  Žr. sprendimą byloje True Ultimate Standards Everywhere, Inc., Nr. C-4512 (FPK. 2015 m. kovo 12 d.) (sprendimas ir įsakymas), skelbiama adresu https://www ftc.gov/system/files/documents/cases/150318trust-edo.pdf.

(10)  Žr. sprendimą byloje Google, Inc., Nr. .C-4336 (FPK, 2011 m. spalio 13 d.) (sprendimas ir įsakymas), https://www.ftc.gov/news-events/press-releases/2011/03/ftc-charges-deceptive-privacy-practices-googles-rollout-its-buzz; sprendimą byloje Facebook, Inc., Nr. C-4365 (FPK, 2012 m. liepos 27 d.) (sprendimas ir įsakymas), skelbiama adresu https://www.ftc.gov/news-events/press-releases/2012/08/ftc-approves-final-settlement-facebook; sprendimą byloje My space LLC, Nr. C-4369 (FPK, 2012 m. rugpjūčio 30 d.) (sprendimas ir įsakymas), skelbiama adresu https://www.ftc.gov/news-events/press-releases/2012/09/ftc-finalizes-privacy-settlement-myspace.

(11)  Žr. FTC v. Karnani, Nr. 2:09-cv-05276 (C.D. Cal., 2011 m. gegužės 20 d.) (galutinis sprendimas), skelbiamas adresu https://www ftc.gov/sites/default/files/documents/cases/2011/06/110609karnanistip.pdf; taip pat žr. Lesley Fair, FTC Business Center Blog, Around the World in Shady Ways, https://www.ftc.gov/blog/2011/06/around-world-shady-ways (2011 m. birželio 9 d.).

(12)  Tarptautinės prekybos administracijos Tarptautinės prekybos komercijos sekretoriaus Stefano M. Seligo raštas Komisijos narei, atsakingai už teisingumą, vartotojų reikalus ir lyčių lygybę, Věrai Jourovái (2016 m. vasario 23 d.).

(13)  Nustatydama, ar pasinaudoti JAV saugaus tinklo aktu suteikiamais įgaliojimais, FPK, be kita ko, nagrinėja: „a) ar prašančioji agentūra sutiko teikti ar teiks abipusę pagalbą Komisijai; b) ar tenkinant prašymą būtų pažeistas Jungtinių Amerikos Valstijų viešasis interesas, ir c) ar prašančiosios agentūros tyrimas arba vykdymo byla yra susijusi su veiksmais arba praktika, kurie sukelia arba gali sukelti žalą dideliam skaičiui žmonių.“ JAV kodekso 15 antraštinės dalies 46 straipsnio j dalies 3 punktas. Šie įgaliojimai netaikomi konkurencijos įstatymų vykdymui.

(14)  Pavyzdžiui, 2012–2015 fiskaliniais metais FPK pasinaudojo jai pagal JAV saugaus tinklo aktą suteiktais įgaliojimais, kad dalytųsi informacija atsakydama beveik į 60 prašymų, kuriuos pateikė užsienio agentūros, ir priėmė beveik 60 pilietinių tyrimo užklausų (lygiaverčių administraciniams tyrimams), kad padėtų atlikti 25 užsienio tyrimus.

(15)  Nors FPK nesprendžia individualių vartotojų skundų ir netarpininkauja juos nagrinėjant, ji patvirtina, kad pirmenybę teiks „privatumo skydo“ byloms, kurias perdavė ES DAI. Be to, FPK naudoja skundus savo vartotojų apsaugos duomenų bazėje, kuri yra prieinama daugumai kitų teisėsaugos institucijų, kad nustatytų tendencijas, vykdymo prioritetus ir galimus tyrimo tikslus. ES piliečiai gali naudotis ta pačia skundų sistema, kuri yra prieinama JAV piliečiams, kad pateiktų skundą FPK (www.ftc.gov/complaint). Tačiau individualius su „privatumo skydu“ susijusius skundus ES piliečiams gali būti naudingiausia pateikti savo valstybės narės DAI arba alternatyvaus ginčo sprendimo paslaugų teikėjui.

(16)  JAV kodekso 15 antraštinės dalies 45 straipsnio m dalis; 16 C.F.R. § 1.98.

V PRIEDAS

2016 m. vasario 19 d.

Komisijos narei Verai Jourovái

Europos Komisija

Rue de la Loi/Wetstraat200

1049 Briuselis

Belgija

Dėl ES ir JAV „privatumo skydo“ sistemos

Gerbiama Komisijos nare V. Jourová,

Jungtinių Amerikos Valstijų transporto departamentas (toliau – Departamentas arba DOT) teigiamai vertina galimybę aprašyti savo vaidmenį užtikrinant ES ir JAV „privatumo skydo“ sistemos įgyvendinimą. Ši sistema atlieka esminį vaidmenį apsaugant asmens duomenis, kurie teikiami sudarant komercinius sandorius vis labiau globalėjančiame pasaulyje. Jis sudaro sąlygas įmonėms atlikti svarbias operacijas pasaulinėje ekonomikoje, kartu suteikiant ES vartotojams svarbias privatumo apsaugos priemones.

DOT pirmą kartą viešai įsipareigojo užtikrinti „saugaus uosto“ sistemą daugiau nei prieš 15 metų Europos Komisijai adresuotame rašte. Tame rašte DOT pažadėjo energingai užtikrinti „saugaus uosto“ privatumo principų laikymąsi. DOT toliau laikosi šio įsipareigojimo, o šiuo raštu dar kartą patvirtinamas anksčiau prisiimtas įsipareigojimas.

Be to, DOT atnaujina savo įsipareigojimą šiose keturiose pagrindinėse srityse: 1) prioritetiniai tyrimai dėl tariamų „privatumo skydo“ pažeidimų; 2) tinkamos vykdymo bylos, iškeltos subjektams, kurie pateikia klaidingus arba apgaulingus pareiškimus dėl dalyvavimo „privatumo skydo“ sistemoje, ir 3) vykdymo nutarčių stebėsena ir „privatumo skydo“ principų pažeidimų viešinimas. Teikiame informaciją visose keturiose įsipareigojimų srityse ir prireikus informuojame apie DOT vaidmenį saugant vartotojų privatumą ir užtikrinant „privatumo skydo“ sistemos veikimą.

I.   APLINKYBĖS

A.   DOT įgaliojimai privatumo srityje

Departamentas tvirtai įsipareigojo užtikrinti informacijos, kurią vartotojai teikia oro vežėjams ir bilietų pardavėjams, apsaugą. DOT įgaliojimai imtis veiksmų šioje srityje yra nustatyti JAV kodekso 49 antraštinės dalies 41712 straipsnyje, kuriame vežėjui arba bilietų pardavėjui draudžiama užsiimti „nesąžininga arba apgaulinga veikla arba taikyti nesąžiningus konkurencijos metodus“ parduodant oro vežimo paslaugą, dėl kurios vartotojas, tikėtina, patirs žalos. 41712 straipsnis suformuluotas pagal Federalinės prekybos komisijos (FPK) akto 5 straipsnį (JAV kodekso 15 antraštinės dalies 45 straipsnis). Savo įstatymus, kuriais reglamentuojama nesąžininga ar apgaulinga veikla, aiškiname kaip draudžiančius oro vežėjui ar bilietų pardavėjui: 1) pažeisti savo privatumo politikos sąlygas arba 2) rinkti arba atskleisti informaciją tokiu būdu, kuriuo pažeidžiama viešoji politika, kuris prieštarauja moralei arba sukelia vartotojui didelę žalą, kurios negalima kompensuoti jokiomis kompensacinėmis priemonėmis. 41712 straipsnį taip pat aiškiname kaip draudžiantį vežėjams ir bilietų pardavėjams: i) pažeisti bet kokias Departamento priimtas taisykles, kuriose konkreti privatumo praktika įvardijama kaip nesąžininga arba apgaulinga, arba 2) pažeisti Vaikų privatumo apsaugos internete aktą (COPPA) arba FPK taisykles, kuriomis įgyvendinamas COPPA. Pagal federalinę teisę DOT turi išimtinius įgaliojimus reguliuoti oro vežėjų privatumo praktiką, be to, ji dalijasi jurisdikcija su FPK, kiek ji susijusi su bilietų pardavėjo privatumo praktika parduodant oro vežėjų teikiamas paslaugas.

Iš esmės, vežėjui arba oro vežėjo paslaugų pardavėjui viešai įsipareigojus taikyti „privatumo skydo“ sistemos principus, Departamentas gali naudotis 41712 straipsnyje nustatytais įgaliojimais, kad užtikrintų šių principų laikymąsi. Todėl, jeigu keleivis pateikia informaciją vežėjui arba bilietų pardavėjui, kuris įsipareigojo laikytis „privatumo skydo“ sistemos privatumo principų, kiekvienas atvejis, kai vežėjas arba bilietų pardavėjas nesilaikys šių principų, bus laikomas 41712 straipsnio pažeidimu.

B.   Vykdymo praktika

Departamento Aviacijos užtikrinimo ir procedūrų biuras (Aviacijos reikalavimų užtikrinimo biuras) vykdo tyrimus ir baudžiamąjį persekiojimą pagal JAV kodekso 49 antraštinės dalies 41712 straipsnį. Jis užtikrina įstatymo 41712 straipsnyje nustatytą draudimą, susijusį su nesąžininga ir apgaulinga praktika, visų pirma derėdamasis, rengdamas veiksmų nutraukimo ir sustabdymo nutartis ir rengdamas nutartis dėl civilinių baudų skyrimo. Biuras apie galimus pažeidimus iš esmės sužino iš asmenų, kelionių agentų, oro vežėjų ir JAV bei užsienio Vyriausybių agentūrų gautų skundų. Vartotojai gali pasinaudoti DOT svetaine, kad pateiktų privatumo skundą dėl oro vežėjų ir bilietų pardavėjų (1).

Jeigu byloje nepasiekiamas pagrįstas ir tinkamas susitarimas, Aviacijos reikalavimų užtikrinimo biuras turi įgaliojimus pradėti DOT administracinės teisės teisėjo (ALJ) nagrinėjamą vykdymo bylą, kurioje rengiamas įrodymų nagrinėjimo posėdis. ALJ turi įgaliojimus priimti sustabdymo ir nutraukimo nutartis ir skirti civilines baudas. Dėl 41712 straipsnio pažeidimų gali būti priimamos sustabdymo ir nutraukimo nutartys, o už kiekvieną 41712 straipsnio pažeidimą gali būti skiriamos iki 27 500 JAV dolerių civilinės baudos.

Departamentas neturi įgaliojimų priteisti nuostolių atlyginimą arba priimti sprendimą dėl piniginių kompensacijų išmokėjimo pavieniams pareiškėjams. Tačiau Departamentas turi įgaliojimus patvirtinti susitarimus, kurie sudaromi Aviacijos reikalavimų užtikrinimo biurui atlikus tyrimą, duoda tiesioginę naudą vartotojams (pvz., grynieji pinigai, kvitai) ir kuriais atlyginamos paprastai JAV Vyriausybei mokėtinos piniginės baudos. Tokios praktikos laikytasi praeityje ir jos taip pat gali būti laikomasi įgyvendinant „privatumo skydo“ sistemos principus, jei tai yra pateisinama atsižvelgiant į aplinkybes. Jeigu oro vežėjas nuolat pažeidinėja 41712 straipsnį, gali kilti klausimų dėl oro vežėjo pajėgumo laikytis reikalavimų, o tokiu atveju išimtinėmis aplinkybėmis gali būti pripažįstama, kad oro vežėjas nėra tinkamas toliau vykdyti veiklą, ir jis gali prarasti veiklos licenciją.

Iki šiol DOT gavo gana mažai skundų, kuriuose bilietų pardavėjai arba vežėjai kaltinami privatumo pažeidimais. Pateikti skundai tiriami pagal pirmiau nurodytus principus.

C.   DOT užtikrinama ES vartotojų teisinė apsauga

Pagal 41712 straipsnį nesąžiningos arba apgaulingos veiklos draudimas oro vežimo arba oro vežimo paslaugų pardavimo srityje taikomas JAV ir užsienio vežėjams ir bilietų pardavėjams. DOT dažnai imasi veiksmų JAV ir užsienio oro vežėjų atžvilgiu, kai jų veikla daro poveikį užsienio ir JAV vartotojams, remdamiesi oro vežėjų praktika, kurios jie laikėsi teikdami vežimo į JAV ir iš JAV paslaugas. DOT naudoja ir toliau naudos visas prieinamas teisių gynimo priemones, kad apsaugotų užsienio ir JAV vartotojus nuo nesąžiningos arba apgaulingos praktikos oro vežimo srityje, kurią taiko reguliuojami subjektai.

Oro vežėjų atžvilgiu DOT taip pat vykdo kitus konkrečius įstatymus, kurių apsaugos priemonės taikomos ir ne JAV vartotojams, pvz., COPPA. Be to, COPPA reikalaujama, kad į vaikus orientuotų svetainių ir internetinių paslaugų arba visai auditorijai skirtų svetainių operatoriai, kurie, kaip žinoma, renka asmeninę informaciją iš 13 metų nesulaukusių vaikų, teiktų tėvams įspėjimą ir gautų patikrinamą tėvų sutikimą. JAV veikiančios svetainės ir paslaugos, kurioms taikoma COPPA ir kuriose renkama asmeninė informacija iš užsienio vaikų, privalo atitikti COPPA. Užsienyje veikiančios svetainės ir internetinės paslaugos taip pat privalo atitikti COPPA, jeigu jos yra orientuotos į Jungtinių Amerikos Valstijų vaikus arba jeigu jose, kaip žinoma, renkama asmeninė informacija iš Jungtinių Amerikos Valstijų vaikų. Tiek, kiek JAV arba užsienio oro vežėjai, kurie veikia Jungtinėse Amerikos Valstijose, pažeidžia COPPA, DOT turi jurisdikciją imtis vykdymo veiksmų.

II.   „PRIVATUMO SKYDO“ UŽTIKRINIMAS

Jeigu oro vežėjas arba bilietų pardavėjas nusprendžia dalyvauti „privatumo skydo“ sistemoje, o Departamentas gauna skundą, kad toks oro vežėjas arba bilietų pardavėjas tariamai pažeidė sistemą, Departamentas imsis toliau nurodytų veiksmų, kad užtikrintų tinkamą sistemos veikimą.

A.   Tariamų pažeidimų tyrimas prioritetine tvarka

Departamento Aviacijos reikalavimų užtikrinimo biuras tirs kiekvieną skundą dėl tariamo „privatumo skydo“ pažeidimo (įskaitant iš ES duomenų apsaugos institucijų gautus skundus) ir, pasitvirtinus įrodymams dėl pažeidimo, imsis vykdymo veiksmų. Be to, Aviacijos reikalavimų užtikrinimo biuras bendradarbiaus su FPK ir Komercijos departamentu ir prioritetine tvarka nagrinės kaltinimus, kad reguliuojami subjektai nesilaiko privatumo įsipareigojimų, susijusių su dalyvavimu „privatumo skydo“ sistemoje.

Gavęs skundą dėl tariamo „privatumo skydo“ sistemos pažeidimo, Departamento Aviacijos reikalavimų užtikrinimo biuras gali imtis įvairių su atliekamu tyrimu susijusių veiksmų. Pavyzdžiui, jis gali peržiūrėti bilietų pardavėjo arba oro vežėjo privatumo politiką, gauti papildomą informaciją iš bilietų pardavėjo, oro vežėjo arba trečiųjų šalių, kreiptis į bylą perdavusią instituciją ir įvertinti, ar yra pažeidimo modelis arba daug nukentėjusių vartotojų. Be to, jis nustatys, ar nagrinėjamas klausimas patenka į Komercijos departamento ar FPK kompetencijos sritį, įvertins, ar būtų naudinga surengti vartotojų ir įmonių mokymo kursus, ir, kai tinkama, pradės vykdymo bylą.

Sužinojęs apie galimą „privatumo skydo“ pažeidimą, kurį padarė bilietų pardavėjai, Departamentas šiuo klausimu savo veiksmus koordinuos su FPK. Taip pat teiksime informaciją FPK ir Komercijos departamentui apie kiekvienos „privatumo skydo“ vykdymo bylos rezultatus.

B.   Klaidingų arba apgaulingų pareiškimų dėl dalyvavimo „privatumo skydo“ sistemoje šalinimas

Departamentas toliau laikosi įsipareigojimo tirti „privatumo skydo“ pažeidimus, įskaitant klaidingus arba apgaulingus pareiškimus dėl dalyvavimo „privatumo skydo“ programoje. Prioritetine tvarka nagrinėsime Komercijos departamento perduotas bylas dėl organizacijų, kurios, Departamento manymu, netinkamai save laiko „privatumo skydo“ narėmis arba be leidimo naudoja „privatumo skydo“ sistemos sertifikavimo ženklą.

Be to, atkreipiame dėmesį į tai, kad, jeigu organizacijos privatumo politikoje įsipareigojama laikytis esminių „privatumo skydo“ principų, organizacijos nesiregistravimas arba pakartotinis nesiregistravimas Komercijos departamente pats savaime, tikėtina, nebus tinkama priežastis, dėl kurios DOT negalės užtikrinti jos įsipareigojimų vykdymo.

C.   Vykdymo nutarčių dėl „privatumo skydo“ pažeidimų stebėsena ir viešas skelbimas

Departamento Aviacijos reikalavimų užtikrinimo biuras taip pat toliau įsipareigoja stebėti, kaip vykdomos nutartys, ir prireikus užtikrina atitiktį „privatumo skydo“ programai. Konkrečiau kalbant, jeigu Biuras priima nutartį, kurioje oro vežėjui arba bilietų pardavėjui liepiama sustabdyti ir nutraukti „privatumo skydo“ ir 41712 straipsnio pažeidimus, jis stebės, kaip subjektas laikosi šių nutartyje nustatytų sustabdymo ir nutraukimo nuostatų. Be to, Biuras užtikrins, kad „privatumo skydo“ bylose priimtos nutartys būtų skelbiamos internete.

Spręsdami „privatumo skydo“ klausimus, toliau stengsimės dirbti su savo federaliniais partneriais ir ES suinteresuotaisiais subjektais.

Tikiuosi, kad ši pateikta informacija bus naudinga. Jeigu turite kokių nors papildomų klausimų, prašom susisiekti su manimi.

---

(1)  http://www.transportation.gov/airconsumer/privacy-complaints.

VI PRIEDAS

2016 m. vasario 22 d.

Justinui S. Antonipillai,

JAV komercijos departamento

advokatui

1401 Constitution Ave., NW

Vašingtonas, DC 20230

Tedui Deanui,

Tarptautinės prekybos administracijos

sekretoriaus pavaduotojui

1401 Constitution Ave., NW

Vašingtonas, DC 20230

Gerbiami J. Antonipillai ir T. Deanai,

per pastaruosius pusantrų metų derėdamosi dėl ES ir JAV „privatumo skydo“ Jungtinės Amerikos Valstijos teikė esminę informaciją apie JAV žvalgybos bendruomenės signalų žvalgybos duomenų rinkimo veiklą. Per šias derybas buvo pateikta informacija apie reglamentuojančią teisinę sistemą, daugialypę šios veiklos priežiūrą, visapusišką šios veiklos skaidrumą ir bendras privatumo ir pilietinių laisvių apsaugos priemones siekiant padėti Europos Komisijai nustatyti, ar šios apsaugos priemonės yra tinkamos, nes jos susijusios su „privatumo skydo“ principuose nustatyta nacionalinio saugumo išimtimi. Šiame dokumente apibendrinama pateiktoji informacija.

I.   PPD-28 IR JAV SIGNALŲ ŽVALGYBOS VEIKLOS VYKDYMAS

JAV žvalgybos bendruomenė užsienio žvalgybos duomenis renka taikydama griežtas kontrolės priemones, griežtai laikydamasi JAV įstatymų ir taikydama daugialypę priežiūrą, kurioje daugiausia dėmesio skiriama svarbiems užsienio žvalgybos ir nacionalinio saugumo prioritetams. JAV signalų žvalgybos duomenų rinkimą reglamentuoja įvairūs įstatymai ir politika, įskaitant JAV Konstituciją, Užsienio žvalgybos stebėsenos aktą (JAV kodekso 50 antraštinės dalies 1801 ir kiti straipsniai) (FISA), Vykdomąjį įsaką 12333 ir jo įgyvendinimo procedūras, prezidento gaires ir įvairias FISA teismo ir generalinio advokato patvirtintas procedūras ir rekomendacijas, kuriose nustatytos papildomos taisyklės dėl užsienio žvalgybos informacijos rinkimo, saugojimo, naudojimo ir skleidimo ribojimo (1).

a.   PPD-28 apžvalga

Prezidentas B. Obama savo 2014 m. sausio mėn. pasakytoje kalboje bendrais bruožais apibūdino įvairias JAV signalų žvalgybos veiklos reformas ir paskelbė Prezidento politinę direktyvą Nr. 28 (PPD-28) dėl šios veiklos (2). Prezidentas pabrėžė, kad JAV signalų žvalgybos veikla padeda užtikrinti ne tik mūsų šalies ir laisvių apsaugą, bet ir kitų šalių saugumą ir laisves, įskaitant ES valstybes nares, besiremiančias informacija, kurią JAV žvalgybos agentūros gavo siekdamos apsaugoti savo piliečius.

PPD-28 nustatyti įvairūs principai ir reikalavimai, kurie taikomi visai JAV signalų žvalgybos veiklai ir visiems žmonėms, nepaisant jų pilietybės ar buvimo vietos. Visų pirma joje nustatyti tam tikri procedūriniai reikalavimai, susiję su asmeninės informacijos apie ne JAV asmenis, kuri buvo gauta pagal JAV signalų žvalgybą, rinkimu, saugojimu ir skleidimu. Šie reikalavimai išsamiau aptariami toliau, tačiau apibendrinant:

—	PPD pakartojama, kad Jungtinės Amerikos Valstijos signalų žvalgybos duomenis renka tik įstatyme, vykdomajame įsake arba kitoje prezidento direktyvoje nustatytais atvejais.

—	PPD nustatytos procedūros, kuriomis siekiama užtikrinti, kad signalų žvalgybos veikla būtų vykdoma tik siekiant teisėtų ir leistinų nacionalinio saugumo tikslų.

—

PPD taip pat reikalaujama, kad planuojant signalų žvalgybos duomenų veiklą būtų paisoma privatumo ir pilietinių laisvių. Visų pirma Jungtinės Amerikos Valstijos nerenka žvalgybos duomenų, kad nuslopintų kritiką arba kitokią nuomonę, siekdama pakenkti kitokios tautybės, rasės, lyties, lytinės orientacijos arba religijos asmenims arba suteikti JAV bendrovėms ir JAV verslo sektoriams konkurencinį pranašumą prekybos srityje.

—	PPD nurodoma, kad signalų žvalgybos duomenų rinkimas turi būti kuo tikslingesnis ir kad masiškai renkami signalų žvalgybos duomenys gali būti naudojami tik konkrečiai nustatytais tikslais.

—

PPD nustatyta, kad žvalgybos bendruomenės subjektai turi nustatyti procedūras „kuriomis būtų pagrįstai platinimas ir saugomas minimalus per signalų žvalgybą surinktos asmeninės informacijos kiekis“ ir visų pirma praplečiamas tam tikrų apsaugos priemonių, taikomų JAV asmenų asmeninės informacijos apsaugai, galiojimas ne JAV asmenų informacijai.

—	Agentūros procedūros, kuriomis įgyvendinama PPD-28, yra patvirtintos ir paskelbtos viešai.

Šioje direktyvoje nustatytų procedūrų ir apsaugos priemonių taikymas „privatumo skydo“ sistemai yra aiškus. Kai duomenys Jungtinių Amerikos Valstijų korporacijoms perduodami pagal „privatumo skydą“ arba bet kuriomis priemonėmis, JAV žvalgybos agentūros gali gauti tuos duomenis iš šių korporacijų tik jeigu prašymas atitinka FISA arba pateikiamas pagal vieno iš nacionalinio saugumo rašto įstatymines nuostatas, kurios aptariamos toliau (3). Be to, nepatvirtinant ar nepaneigiant žiniasklaidos pranešimų apie tai, kad JAV žvalgybos bendruomenė tariamai renka duomenis iš transatlantinių kabelių, kol jie perduodami į Jungtines Amerikos Valstijas, jeigu JAV žvalgybos bendruomenė turi rinkti duomenis iš transatlantinių kabelių, ji tai darytų taikydama šiame rašte nustatytų apribojimų ir apsaugos priemonių, įskaitant PPD-28, reikalavimus.

b.   Duomenų rinkimo apribojimai

PPD-28 nustatyti įvairūs svarbūs bendrieji principai, kuriais reglamentuojamas signalų žvalgybos duomenų rinkimas.

—	Signalų žvalgybos duomenų rinkimas turi būti pagrįstas įstatymu arba prezidento leidimu, be to, tokie duomenys turi būti renkami laikantis Konstitucijos ir teisės.

—	Privatumas ir pilietinės laisvės turi būti esminiai aspektai, į kuriuos atsižvelgiama planuojant signalų žvalgybos veiklą.

—	Signalų žvalgybos duomenys bus renkami tik esant pagrįstam užsienio žvalgybos arba kontržvalgybos tikslui.

—	Jungtinės Amerikos Valstijos nerinks signalų žvalgybos duomenų siekdamos nuslopinti kritiką arba kitokią nuomonę.

—	Jungtinės Amerikos Valstijos nerinks signalų žvalgybos duomenų, kad pakenktų kitokios tautybės, rasės, lyties, lytinės orientacijos arba religijos asmenims.

—	Jungtinės Amerikos Valstijos nerinks signalų žvalgybos duomenų, kad suteiktų JAV bendrovėms ir verslo sektoriams konkurencinį pranašumą prekybos srityje.

—	JAV signalų žvalgybos veikla visada turi būti kuo tikslingesnė, o ją vykdant turi būti atsižvelgiama į kitus prieinamus informacijos šaltinius. Tai, be kita ko, reiškia, kad, kai įmanoma, užuot masiškai rinkus signalų žvalgybos duomenis, vykdoma tikslinga signalų žvalgybos duomenų rinkimo veikla.

Reikalavimas, pagal kurį signalų žvalgybos veikla turi būti „kuo tikslingesnė“, taikomas signalų žvalgybos duomenų rinkimo būdui ir faktiškai renkamiems duomenims. Pavyzdžiui, nustatydama, ar verta rinkti signalų žvalgybos duomenis, žvalgybos bendruomenė privalo išnagrinėti kitos informacijos prieinamumą, įskaitant diplomatinius ar viešus šaltinius, ir teikti pirmenybę duomenų rinkimui tokiomis priemonėmis, kai tai yra tinkama ir pagrįsta. Be to, žvalgybos bendruomenės subjektų politikoje turėtų būti reikalaujama, kad, jei įmanoma, renkant duomenis daugiausia dėmesio būtų skiriama konkretiems užsienio žvalgybos tikslams arba temoms ir būtų naudojami diskriminantai (pvz., konkretūs įrenginiai, atrankos sąlygos ir identifikatoriai).

Svarbu vertinti Komisijai pateiktos informacijos visumą. Sprendimai dėl to, kas yra „įmanoma“ ar „praktiška“, ne paliekami asmenų diskrecijai, bet priimami remiantis viešai paskelbta politika, kurią agentūros nustatė pagal PPD-28, ir kitais šioje direktyvoje aprašytais procesais (4). Kaip nurodyta PPD-28, masinis signalų žvalgybos duomenų rinkimas yra rinkimas, kuris „dėl techninių arba veiklos aplinkybių, vykdomas nenaudojant diskriminantų (pvz., specialių identifikatorių, atrankos sąlygų ir pan.).“ Šiuo atžvilgiu PPD-28 pripažįstama, jog žvalgybos bendruomenės subjektai signalų žvalgybos duomenis privalo masiškai rinkti tam tikromis aplinkybėmis, kad nustatytų naujas arba kylančias grėsmes ir kitą gyvybiškai svarbią nacionalinio saugumo informaciją, kuri dažnai slepiama didelėje ir sudėtingoje šiuolaikinėje pasaulinių ryšių sistemoje. Joje taip pat pripažįstami su privatumu ir pilietinėmis laisvėmis susiję klausimai, kurie kyla masiškai renkant signalų žvalgybos duomenis. Todėl PPD-28 nurodoma, kad žvalgybos bendruomenė turi pirmenybę teikti alternatyvoms, kurios leistų atlikti tikslingą signalų žvalgybą, o ne masiškai rinkti signalų žvalgybos duomenis. Todėl žvalgybos bendruomenės subjektai, kai įmanoma, turėtų vykdyti tikslingą signalų žvalgybos duomenų rinkimo veiklą, o ne masiškai rinkti signalų žvalgybos duomenis (5). Šiais principais masinio duomenų rinkimo išimtis netaptų viršesnė už bendrąją taisyklę.

Kalbant apie „pagrįstumo“ koncepciją, pažymėtina, kad tai yra esminis JAV teisės principas. Jis reiškia, kad žvalgybos bendruomenės subjektai neturės nustatyti bet kokios teoriškai įmanomos priemonės, tačiau turės suderinti savo veiksmus su praktiniais signalų žvalgybos veiklos poreikiais, kad apsaugotų teisėtus su privatumu ir pilietinėmis laisvėmis susijusius interesus. Šiuo atveju agentūros politika taip pat yra prieinama, ir joje gali būti pateikiamas patikinimas, kad formuluote „pagrįstai sukurta siekiant platinti ir saugoti kuo mažiau asmeninės informacijos“ nepažeidžiama pagrindinė taisyklė.

PPD-28 taip pat nustatyta, kad masiškai surinkti signalų žvalgybos duomenys gali būti naudojami tik šešiais konkrečiais tikslais: tam tikrai užsienio valstybių veiklai atskleisti ir jai nutraukti, kovai su terorizmu, kovai su ginklų platinimu,kibernetiniam saugumui užtikrinti, grėsmėms JAV arba sąjungininkų ginkluotosioms pajėgoms nustatyti ir pašalinti ir kovai su tarptautinėmis nusikalstamumo grėsmėmis, įskaitant sankcijų vengimą. Prezidento patarėjas nacionalinio saugumo klausimais, pasikonsultavęs su Nacionalinės žvalgybos direktoriumi (DNI), kasmet peržiūri šiuos leistinus masiškai surinktų signalų žvalgybos duomenų naudojimo tikslus, kad nustatytų, ar jų nereikėtų pakeisti. DNI, atsižvelgdamas į nacionalinio saugumo aspektus, šį sąrašą paskelbs viešai. Tai yra svarbus ir skaidrus masiškai surinktų signalų žvalgybos duomenų apribojimas.

Be to, PPD-28 įgyvendinantys žvalgybos bendruomenės subjektai sugriežtino galiojančią analizės praktiką ir standartus, susijusius su užklausomis dėl neįvertintų signalų žvalgybos duomenų (6). Analitikai privalo struktūrizuoti savo užklausas arba kitas paieškos sąlygas ir būdus ir užtikrinti, kad jie būtų tinkami žvalgybos informacijai, susijusiai su teisėta užsienio žvalgybos arba teisėsaugos užduotimi, nustatyti. Šiuo atžvilgiu žvalgybos bendruomenės subjektai savo užklausas apie asmenis turi orientuoti į signalų žvalgybos informacijos kategorijas, atitinkančias užsienio žvalgybos arba teisėsaugos reikalavimą, kad būtų užkirstas kelias asmeninės informacijos, nesusijusios su užsienio žvalgybos arba teisėsaugos reikalavimais, naudojimu.

Svarbu pabrėžti, kad bet kokia masinio duomenų rinkimo veikla, susijusi su interneto ryšiais, kurią JAV žvalgybos bendruomenė vykdo pasitelkdama signalų žvalgybą, atliekama tik nedidelėje interneto dalyje. Be to, naudojant tikslingas užklausas, kaip aprašyta pirmiau, užtikrinama, kad analitikams būtų pateikti tik tie duomenys, kurie, kaip manoma, gali turėti žvalgybinę vertę. Šiais apribojimais siekiama apsaugoti visų asmenų privatumą ir pilietines laisves, nepaisant jų pilietybės ir gyvenamosios vietos.

Jungtinės Amerikos Valstijos nustatė procedūras, kad užtikrintų signalų žvalgybos veiklos vykdymą tik siekiant tinkamų nacionalinio saugumo tikslų. Kiekvienais metais prezidentas po išsamių ir oficialių tarpagentūrinių procedūrų nustato svarbiausius valstybės prioritetus užsienio žvalgybos duomenų rinkimo srityje. DNI turi pareigą šiuos žvalgybos prioritetus paversti Nacionalinės žvalgybos prioritetų sistema arba NIPF. PPD-28 sustiprinti ir patobulinti agentūrų sąveikos procedūros siekiant užtikrinti, kad visi žvalgybos bendruomenės prioritetai būtų peržiūrimi ir tvirtinami aukštu politiniu lygmeniu. Žvalgybos bendruomenės direktyvoje (ICD) Nr. 204 pateikiamos papildomos rekomendacijos dėl NIPF ir ji buvo atnaujinta 2015 m. sausio mėn., siekiant į ją įtraukti PPD-28 reikalavimus (7). Nors NIPF yra įslaptintas, su konkrečiais JAV užsienio žvalgybos prioritetais susijusi informacija kasmet aptariama DNI išslaptintame Pasauliniame grėsmių vertinime (angl. Worldwide Threat Assessment), kuris taip pat skelbiamas ODNI svetainėje.

NIPF prioritetai yra gana abstraktūs. Jie apima tokias temas kaip branduolinių ir balistinių raketų pajėgumų stiprinimas konkrečiose priešiškose užsienio šalyse, narkotikų kartelio korupcijos padarinius ir piktnaudžiavimą žmogaus teisėmis konkrečiose šalyse. Prioritetai taikomi ne tik signalų žvalgybai, bet ir visai žvalgybos veiklai. Už NIPF prioritetų įgyvendinimą renkant faktinius signalų žvalgybos duomenis atsakinga organizacija vadinama Nacionaliniu signalų žvalgybos komitetu, arba SIGCOM. Jis yra pavaldus Nacionalinio saugumo agentūros (NSA) direktoriui, kuris pagal Vykdomąjį įsaką 12333skiriamaskaip „funkcinis signalų žvalgybos valdytojas“, atsakingas už signalų žvalgybos priežiūrą ir koordinavimą visoje žvalgybos bendruomenėje prižiūrint gynybos sekretoriui ir DNI. SIGCOM sudaro visų žvalgybos bendruomenės subjektų atstovai, ir, kadangi Jungtinės Amerikos Valstijos visiškai įgyvendina PPD-28, jame taip pat dalyvaus visų kitų departamentų ir agentūrų, politiškai suinteresuotų signalų žvalgyba, atstovai.

Visi JAV departamentai ir agentūros, kurios naudoja užsienio žvalgybos duomenis, prašymus dėl duomenų rinkimo teikia SIGCOM. SIGCOM išnagrinėja šiuos prašymus, užtikrina, kad jie atitinka NIPF, ir suteikia jiems prioritetus, vadovaudamasi toliau nurodytais kriterijais.

—	Ar signalų žvalgyba šiuo atveju gali pateikti naudingos informacijos, o gal yra geresnių arba ekonomiškai veiksmingesnių informacijos atitinkamu klausimu šaltinių, pvz., vaizdų arba atvirojo šaltinio informacijos?

—	Kaip skubiai ši informacija reikalinga? Jeigu tai yra svarbus NIPF prioritetas, dažniausiai tai bus svarbus signalų žvalgybos prioritetas.

—	Kokios rūšies signalų žvalgybą būtų galima naudoti?

—	Ar duomenų rinkimas yra pagrįstai tikslingas? Ar reikėtų taikyti laiko, geografinius arba kitus apribojimus?

Pagal JAV signalų žvalgybos reikalavimus taip pat reikia atidžiai išnagrinėti kitus aspektus, t. y.:

—	Ar duomenų rinkimo objektas arba taikoma duomenų rinkimo metodika yra ypač konfidenciali? Jeigu taip, šį klausimą turi peržiūrėti vyresnieji politiką formuojantys pareigūnai.

—	Ar dėl duomenų rinkimo privatumui ir pilietinėms laisvėms gali kilti nepateisinama rizika, nepaisant pilietybės?

—	Ar būtina nustatyti papildomas duomenų platinimo ir saugojimo priemones, kad būtų apsaugoti privatumo arba nacionalinio saugumo interesai?

Galiausiai proceso pabaigoje apmokytas NSA personalas perima SIGCOM patvirtintus prioritetus ir išnagrinėja bei nustato konkrečias atrankos sąlygas, pvz., telefono numerius arba e. pašto adresus, kuriuos tikimasi panaudoti renkant šiuos prioritetus atitinkančią užsienio žvalgybos informaciją. Kiekvieną sekamą įrenginį reikia peržiūrėti ir patvirtinti prieš jį įtraukiant į NSA duomenų rinkimo sistemas. Tačiau net ir tuomet tai, ar faktinis duomenų rinkimas vyks ir kada, iš dalies priklausys nuo papildomų aplinkybių, pvz., atitinkamų duomenų rinkimo šaltinių prieinamumo. Šiuo procesu užtikrinama, kad JAV signalų žvalgybos duomenų rinkimo objektai atitiktų teisėtus ir svarbius užsienio žvalgybos poreikius. Žinoma, tais atvejais, kai duomenys renkami pagal FISA, NSA ir kitos agentūros privalo paisyti papildomų apribojimų, kuriuos patvirtino Užsienio žvalgybos stebėjimo teismas. Trumpai tariant, nei NSA, nei kuri nors kita JAV žvalgybos agentūra pati nenusprendžia, kokius duomenis rinkti.

Iš esmės šiuo procesu užtikrinama, kad visus JAV žvalgybos prioritetus nustatytų vyresnieji politikos pareigūnai, kurie geriausiai gali nustatyti JAV užsienio žvalgybos reikalavimus, ir kad šie politikos pareigūnai atsižvelgtų ne tik į potencialią renkamų žvalgybos duomenų vertę, bet ir į su tokia rinkimo veikla susijusią riziką, įskaitant riziką privatumui, nacionaliniams ekonominiams interesams ir užsienio santykiams.

Kalbant apie į Jungtines Amerikos Valstijas pagal „privatumo skydą“ perduotus duomenis, pažymėtina, kad nors Jungtinės Amerikos Valstijos negali patvirtinti arba paneigti konkrečių žvalgybos metodų arba operacijų, PPD-28 reikalavimai taikomi bet kurioms Jungtinių Amerikos Valstijų vykdomoms signalų žvalgybos operacijoms, nepaisant renkamų duomenų rūšies arba šaltinio. Be to, signalų žvalgybos duomenų rinkimui taikytini apribojimai ir apsaugos priemonės, taikomos signalų žvalgybos duomenims, surinktiems bet kuriuo kitu teisėtu tikslu, įskaitant užsienio santykius ir nacionalinio saugumo tikslus.

Iš pirmiau aptartų procedūrų matyti aiškus įsipareigojimas užkirsti kelią savavališkam ir masiškam signalų žvalgybos informacijos rinkimui ir aukščiausiu mūsų Vyriausybės lygmeniu įgyvendinti pagrįstumo principą. PPD-28 ir agentūros įgyvendinimo procedūrose paaiškinami nauji ir esami apribojimai, taikomi tikslui, kuriuo Jungtinės Amerikos Valstijos renka ir naudoja signalų žvalgybos duomenis, be to, šis tikslas aprašomas išsamiau. Šiose procedūrose turėtų būti įtvirtintas patikinimas, kad signalų žvalgybos veikla yra ir toliau bus vykdoma tik siekiant teisėtų užsienio žvalgybos tikslų.

c.   Duomenų saugojimo ir platinimo apribojimai

PPD-28 4 skirsnyje reikalaujama, kad kiekvienas žvalgybos bendruomenės subjektas turėtų nustatęs aiškias asmeninės informacijos apie ne JAV asmenis, surinktos naudojant signalų žvalgybą, saugojimo ir platinimo ribas, kurios būtų panašios į informacijai apie JAV asmenis taikomas ribas. Šios taisyklės yra įtrauktos į kiekvienos žvalgybos bendruomenės procedūras, kurios paskelbtos 2015 m. vasario mėn. ir yra viešai prieinamos. Kad asmeninė informacija atitiktų saugojimo arba platinimo užsienio žvalgybos tikslais sąlygas, ji turi būti susijusi su teisėtu žvalgybos reikalavimu, kaip nustatyta pirmiau aprašytame NIPF procese; turi būti pagrįstai manoma, kad bus gauta nusikaltimo įrodymų, arba įgyvendintas vienas iš kitų JAV asmens duomenų saugojimo standartų, nustatytų Vykdomojo įsako 12333 2.3 skirsnyje.

Informacija, dėl kurios nebuvo priimtas toks sprendimas, gali būti saugoma ne ilgiau nei penkerius metus, išskyrus atvejus, kai DNI aiškiai nustato, kad nuolatinis saugojimas atitinka Jungtinių Amerikos Valstijų nacionalinio saugumo interesus. Todėl žvalgybos bendruomenės subjektai privalo ne JAV asmenų informaciją, surinktą signalų žvalgybos metu,ištrinti praėjus penkeriems metams nuo surinkimo, išskyrus atvejus, kai, pvz., yra nustatyta, kad informacija yra svarbi vykdant nustatytą žvalgybos reikalavimą, arba jeigu DNI, atsižvelgęs į ODNI pilietinių laisvių apsaugos pareigūno ir agentūros privatumo ir pilietinių laisvių pareigūno nuomonę, nustato, kad nuolatinis saugojimas atitinka nacionalinio saugumo interesą.

Be to, visoje agentūros politikoje, kuria įgyvendinama PPD-28, dabar aiškiai reikalaujama, kad informacija apie asmenį nebūtų platinama vien todėl, kad jis nėra JAV asmuo, o ODNI priėmė visiems žvalgybos bendruomenės subjektams skirtą direktyvą (8), kurioje atsispindi šis reikalavimas. Aiškiai reikalaujama, kad žvalgybos bendruomenės personalas, rengdamas ir platindamas žvalgybos ataskaitas, atsižvelgtų į ne JAV asmenų privatumo interesus. Visų pirma signalų žvalgybos duomenys apie kasdienę užsienio asmens veiklą neturėtų būti laikomi užsienio žvalgybos duomenimis, kuriuos būtų galima platinti arba saugoti nuolat, atsižvelgiant vien į tą faktą, nebent kitu atveju juo tenkinamas teisėtas užsienio žvalgybos reikalavimas. Šia nuostata pripažįstamas svarbus apribojimas, kuris atitinka Europos Komisijos išreikštą susirūpinimą dėl užsienio žvalgybos sąvokos apibrėžties platumo, kaip nustatyta Vykdomajame įsake 12333.

d.   Atitiktis ir priežiūra

JAV užsienio žvalgybos priežiūros sistemoje nustatyta efektyvi ir daugialypė priežiūra siekiant užtikrinti atitiktį taikytiniems įstatymams ir procedūroms, įskaitant su ne JAV asmens informacijos, gautos vykdant signalų žvalgybą, kaip nustatyta PPD-28, rinkimu, saugojimu ir platinimu susijusias procedūras. Tai apima:

—

Šimtus žvalgybos bendruomenėje dirbančių priežiūros darbuotojų. Vien NSA dirba daugiau nei 300 žmonių, užtikrinančių reikalavimų laikymąsi, be to, kiti subjektai taip pat turi priežiūros biurus. Be to, Teisingumo departamentas vykdo plačią žvalgybos priežiūros veiklą ir ją taip pat vykdo Gynybos departamentas.

—

Kiekvienas žvalgybos bendruomenės subjektas turi savo generalinio inspektoriaus biurą, kuris, be kitų pareigų, turi pareigą prižiūrėti užsienio žvalgybos veiklą. Generaliniai inspektoriai pagal įstatymą yra nepriklausomi; turi plačius įgaliojimus atlikti tyrimus, auditą ir peržiūrėti programas, įskaitant sukčiavimo ir piktnaudžiavimo arba teisės pažeidimo atvejų peržiūras, ir gali rekomenduoti imtis taisomųjų veiksmų. Nors generalinio inspektoriaus rekomendacijos nėra privalomos, jo ataskaitos dažnai skelbiamos viešai ir bet kuriuo atveju teikiamos Kongresui; tai pasakytina ir apie vėlesnes ataskaitas, jeigu dar neatlikti taisomieji veiksmai, kuriuos rekomenduota atlikti ankstesnėse ataskaitose. Todėl Kongresas yra informuojamas apie bet kokį reikalavimų nesilaikymo atvejį ir gali daryti spaudimą, įskaitant biudžetinį spaudimą, kad užtikrintų taisomųjų veiksmų vykdymą. Paskelbta nemažai generalinio inspektoriaus ataskaitų apie žvalgybos programas (9).

—	ODNI Pilietinių laisvių ir privatumo biuras (CLPO) turi pareigą užtikrinti žvalgybos bendruomenės veikimą tokiu būdu, kad būtų ginamas nacionalinis saugumas kartu apsaugant piliečių laisves ir privatumo teises. (10) Kiti žvalgybos bendruomenės subjektai turi savo atskirus privatumo pareigūnus.

—

Privatumo ir pilietinių laisvių priežiūros valdyba (PCLOB) (nepriklausoma įstatymu įsteigta įstaiga) turi pareigą analizuoti ir peržiūrėti kovos su terorizmu programas ir politiką, įskaitant signalų žvalgybos naudojimą, kad užtikrintų tinkamą privatumo ir pilietinių laisvių apsaugą jomis. Ji priėmė keletą viešų žvalgybos veiklos ataskaitų.

—	Kaip išsamiau aptarta toliau, Užsienio žvalgybos priežiūros teismas, kurį sudaro nepriklausomi federaliniai teisėjai, turi pareigą prižiūrėti visus pagal FISA vykdomus signalų žvalgybos duomenų rinkimo veiksmus ir laikytis jų.

—	Galiausiai JAV Kongresas, t. y. Atstovų Rūmų ir Senato žvalgybos ir teismų komitetai, turi svarbias pareigas prižiūrėti visą JAV užsienio žvalgybos veiklą, įskaitant JAV signalų žvalgybą.

Be šių oficialių priežiūros mechanizmų, žvalgybos bendruomenė yra nustačiusi įvairius mechanizmus, kuriais užtikrina, kad žvalgybos bendruomenėje būtų laikomasi su pirmiau aprašytu duomenų rinkimu susijusių apribojimų. Pavyzdžiui:

—	Kabineto pareigūnai turi kasmet patvirtinti savo signalų žvalgybos reikalavimus.

—

NSA tikrina signalų žvalgybos taikinius taikydama duomenų rinkimo procedūrą, kad nustatytų, ar jie iš tikrųjų teikia vertingą užsienio žvalgybos informaciją, atitinkančią prioritetus, ir neberinks prioritetų neatitinkančių taikinių duomenų. Papildomomis procedūromis užtikrinama, kad atrankos sąlygos būtų periodiškai peržiūrimos.

—

Remdamasis Prezidento B. Obamos sudarytos nepriklausomos peržiūros grupės rekomendacija, DNI sukūrė naują mechanizmą, kurio paskirtis – stebėti signalų žvalgybos duomenų, kurie dėl taikinio pobūdžio arba duomenų rinkimo būdų yra ypač konfidencialūs, siekiant užtikrinti, kad jie atitiktų politikos formuotojų sprendimus.

—

Galiausiai ODNI kasmet peržiūri, kaip žvalgybos bendruomenė paskirsto išteklius NIPF prioritetams ir visai žvalgybos misijai. Per šią peržiūrą nustatoma visų renkamų žvalgybos duomenų vertė, įskaitant signalų žvalgybą, ir nagrinėjama, kaip žvalgybos bendruomenei pavyko pasiekti nustatytus tikslus. Ir ko žvalgybos bendruomenei reikės ateityje? Taip užtikrinama, kad signalų žvalgybos ištekliai būtų taikomi svarbiausiems nacionaliniams prioritetams.

Kaip matyti iš šios išsamios apžvalgos, žvalgybos bendruomenė savarankiškai nesprendžia, kokių pokalbių klausytis, nebando rinkti visos informacijos ar veikti be priežiūros. Jos veikla orientuota į politikos formuotojų nustatytus prioritetus, taikomas procesas, kurio metu savo indėlį įneša Vyriausybinės įstaigos ir kuris yra prižiūrimas ir pačioje NSA, ir ODNI, Teisingumo departamento ir Gynybos departamento.

PPD-28 taip pat yra įvairių nuostatų, kuriomis užtikrinama, kad būtų apsaugota pagal signalų žvalgybą surinkta asmeninė informacija, nepaisant pilietybės. Pavyzdžiui, PPD-28 nustatytos duomenų saugumo, prieigos ir kokybės procedūros, kuriomis apsaugoma asmeninė informacija, surinkta renkant signalų žvalgybos duomenis, ir rengiami privalomi mokymai siekiant užtikrinti, kad darbuotojai suvoktų pareigą apsaugoti asmeninę informaciją, nepaisant pilietybės. PPD taip pat nustatyti papildomi priežiūros ir atitikties mechanizmai. Tai apima periodinį signalų žvalgybos metu surinktos asmeninės informacijos apsaugos praktikos auditą ir peržiūras, kurias atlieka atitinkami priežiūros ir atitikties pareigūnai. Peržiūrų metu taip pat turi būti nagrinėjama, kaip agentūros laikosi tokios informacijos apsaugos procedūrų.

Be to, PPD-28 nustatyta, kad svarbūs atitikties klausimai, susiję su ne JAV asmenimis, bus sprendžiami Vyriausybės vyresniųjų pareigūnų lygmeniu. Kilus svarbiam atitikties klausimui, susijusiam su bet kurio asmens asmenine informacija, surinkta vykdant signalų žvalgybos veiklą, apie jį nedelsiant turi būti pranešama DNI laikantis visų galiojančių pranešimo reikalavimų. Jeigu klausimas yra susijęs su ne JAV asmens asmenine informacija, DNI, pasikonsultavęs su valstybės sekretoriumi ir atitinkamo žvalgybos bendruomenės subjekto direktoriumi, nustatys, ar reikėtų imtis veiksmų, kad būtų informuota atitinkama užsienio Vyriausybė, kartu laikantis šaltinių, metodų ir JAV personalo apsaugos. Be to, kaip nurodyta PPD-28, valstybės sekretorius paskyrė vyresniąją pareigūnę, sekretorę Catherine Novelli, kuri veikia kaip užsienio Vyriausybių kontaktinis centras, sprendžiantis klausimus dėl Jungtinių Amerikos Valstijų vykdomos signalų žvalgybos veiklos. Šis aukšto lygmens įsipareigojimas atspindi JAV Vyriausybės pastarųjų kelerių metų pastangas didinti pasitikėjimą įvairiomis ir iš dalies sutampančiomis privatumo apaugos priemonėmis, taikomomis JAV ir ne JAV asmenų informacijos apsaugai.

e.   Santrauka

Jungtinių Amerikos Valstijų nustatytose užsienio žvalgybos duomenų rinkimo, saugojimo ir platinimo procedūrose numatytos svarbios privatumo apsaugos priemonės, kurios taikomos visų asmenų, nepaisant jų pilietybės, asmeninei informacijai. Visų pirma šiomis procedūromis užtikrinama, kad mūsų žvalgybos bendruomenė daugiausia dėmesio skirtų savo nacionalinio saugumo misijai, kaip ji apibrėžta taikomuose įstatymuose, vykdomuosiuose įsakuose ir prezidento direktyvose, apsaugotų informaciją nuo neteisėtos prieigos, naudojimo ir atskleidimo ir vykdytų savo veiklą taikydama daugialypę peržiūrą ir priežiūrą, įskaitant Kongreso priežiūros komitetus. PPD-28 ir jį įgyvendinančiose procedūrose atsispindi mūsų pastangos plėsti tam tikrų minimalios informacijos ir kitų esminių duomenų apsaugos principų taikymo sritį, kad ji apimtų visų asmenų asmeninę informaciją, nepaisant jų pilietybės. Asmeninei informacijai, kuri buvo gauta renkant JAV signalų žvalgybos duomenis, taikomi JAV teisės ir prezidento direktyvų principai ir reikalavimai, įskaitant PPD-28 nustatytas apsaugos priemones. Šiais principais ir reikalavimais užtikrinama, kad su visais asmenimis būtų elgiamasi oriai ir pagarbiai, nepaisant jų pilietybės ar gyvenamosios vietos, ir pripažįstama, kad visi asmenys turi teisėtus privatumo interesus tvarkant jų asmeninę informaciją.

II.   UŽSIENIO ŽVALGYBOS STEBĖJIMO AKTO 702 STRAIPSNIS

Duomenų rinkimas pagal Užsienio žvalgybos stebėjimo akto 702 straipsnį (11) nėra „masinis ir be atrankos“, tačiau jis konkrečiai orientuotas į užsienio žvalgybos duomenų rinkimą iš individualių teisėtai nustatytų taikinių, aiškiai sankcionuotas remiantis aiškiais įstatyme nustatytais įgaliojimais ir gali būti nepriklausomos teisminės priežiūros ir esminės peržiūros ir priežiūros vykdomosios valdžios institucijose ir Kongrese dalyku. Duomenų rinkimas pagal 702 straipsnį laikomas signalų žvalgyba, kuriai taikomi PPD-28 reikalavimai (12).

Duomenų rinkimas pagal 702 straipsnį yra vienas vertingiausių žvalgybos duomenų, kuriais apsaugomos Jungtinės Amerikos Valstijos ir Europos partneriai, šaltinių. Išsami informacija apie 702 straipsnio veikimą ir priežiūrą yra vieša. Įvairios teismo bylos, teismo sprendimai ir priežiūros ataskaitos, susijusios su programa, buvo išslaptintos ir paskelbtos ODNI viešoje informacijos atskleidimo svetainėje (www.icontherecord.tumblr.com). Be to, 702 straipsnį išsamiai išanalizavo PCLOB, o šios analizės ataskaita skelbiama adresu https://www.pclob.gov/library/702-Report.pdf (13).

702 straipsnis buvo nustatytas 2008 m., po išsamių viešų diskusijų priėmus FISA pakeitimų aktą (14). Šiuo straipsniu leidžiama įgyti užsienio žvalgybos informaciją stebint ne JAV piliečius, esančius ne Jungtinėse Amerikos Valstijose, įskaitant būtinąją JAV elektroninių ryšių paslaugų teikėjų pagalbą. 702 straipsnyje leidžiama generaliniam advokatui ir DNI – dviem kabinetinio lygio pareigūnams, kuriuos Senato pritarimu paskyrė prezidentas, – teikti FISA teismui metinius sertifikatus (15). Šiuose sertifikatuose nustatomos konkrečios užsienio žvalgybos duomenų, kurie bus renkami, kategorijos, pvz., su kova su terorizmu arba masinio naikinimo ginklais susiję žvalgybos duomenys, kurie turi patekti į užsienio žvalgybos duomenų, kaip jie apibrėžti FISA, kategorijas (16). Kaip pažymėjo PCLOB, „[š]iais apribojimais neleidžiama neribotai rinkti informacijos apie užsieniečius“ (17).

Į sertifikatus taip pat reikalaujama įtraukti „tikslingumo“ ir „minimalios informacijos“ procedūras, kurias turi peržiūrėti ir patvirtinti FISA teismas (18). Sekimo procedūrų paskirtis – užtikrinti, kad duomenys būtų renkami tik pagal įstatymą ir kaip nustatyta sertifikatuose; minimalios informacijos procedūrų paskirtis – riboti informacijos apie JAV asmenis įgijimą, platinimą ir saugojimą, tačiau jose taip pat yra nuostatų, kuriose numatyta esminė informacijos apie ne JAV asmenis apsauga, kaip aprašyta toliau. Be to, kaip aprašyta pirmiau, PPD-28 prezidentas nurodė, kad žvalgybos bendruomenė nustato papildomas asmeninės informacijos apie ne JAV asmenis apsaugos priemones, kurios taikomos pagal 702 straipsnį surinktai informacijai.

Teismui patvirtinus sekimo ir minimalios informacijos procedūras, duomenys pagal 702 straipsnį nerenkami masiškai ar be atrankos, tačiau renkami duomenys, kuriuos „sudaro vien konkrečių asmenų, dėl kurių buvo priimtas individualus sprendimas, sekimo metu gauta informacija“, kaip nustatyta PCLOB (19). Duomenys tikslingai renkami naudojant individualius įrenginius, pvz., e. pašto adresus arba telefonų numerius, kurie, JAV žvalgybos personalo manymu, gali būti naudojami perduodant užsienio žvalgybos informaciją, kuriai taikomas teismui pateiktas sertifikatas (20). Taikinio atrankos pagrindas turi būti dokumentuojamas, o kiekvieno sekamo įrenginio dokumentaciją vėliau peržiūri Teisingumo departamentas (21). JAV Vyriausybė atskleidė informaciją, iš kurios matyti, kad 2014 m. pagal 702 straipsnį buvo sekama apytiksliai 90 000 asmenų, – tai tik maža dalis, palyginti su daugiau nei 3 mlrd. interneto naudotojų visame pasaulyje (22).

Pagal 702 straipsnį surinktai informacijai taikomos teismo patvirtintos minimalios informacijos procedūros, kuriose nustatytos ne JAV asmenims ir JAV asmenims taikomos apsaugos priemonės; šios procedūros yra viešos (23). Pavyzdžiui, pagal 702 straipsnį perimti ryšiai – nesvarbu, ar jie yra JAV asmenų, ar ne JAV asmenų, – saugomi duomenų bazėse, kuriose prieiga suteikiama griežtomis sąlygomis. Juos gali peržiūrėti tik žvalgybos darbuotojai, kurie buvo apmokyti taikyti privatumo apsaugos ir minimalios informacijos procedūras ir kuriems suteikta konkreti prieiga prie ryšių duomenų, kad galėtų atlikti jiems pavestas funkcijas (24). Duomenų naudojimui taikomi apribojimai, susiję su užsienio žvalgybos informacijos arba nusikaltimo įrodymų nustatymu (25). Pagal PPD-28 ši informacija gali būti platinama tik jeigu yra pateisinamas užsienio žvalgybos arba teisėsaugos tikslas; vien tai, kad viena ryšių šalis nėra JAV asmuo, nėra pakankamas pagrindas rinkti informaciją (26). Minimalios informacijos procedūrose ir PPD-28 taip pat nustatyti pagal 702 straipsnį surinktų duomenų saugojimo terminai (27).

702 straipsnio priežiūra yra išsami ir ją atlieka trys mūsų vykdomosios valdžios šakos. Įstatymą įgyvendinančios agentūros taiko daugialypę vidaus peržiūrą, įskaitant nepriklausomų generalinių inspektorių atliekamą peržiūrą, ir technologinę prieigos prie duomenų kontrolę. Teisingumo departamentas ir ODNI atidžiai peržiūri ir stebi, kaip taikomas 702 straipsnis, kad patikrintų atitiktį teisinėms taisyklėms; agentūros taip pat turi nepriklausomą pareigą pranešti apie galimus reikalavimų nesilaikymo incidentus. Šie incidentai tiriami, o apie visus atitikties incidentus pranešama užsienio žvalgybos stebėsenos teismui, Prezidento žvalgybos priežiūros valdybai ir Kongresui, įskaitant, kai tinkama, tokių incidentų pasekmių šalinimą (28). Iki šiol nebuvo jokių incidentų, susijusių su sąmoningais bandymais pažeisti teisę arba apeiti teisinius reikalavimus (29).

FISA teismas atlieka svarbų vaidmenį įgyvendinant 702 straipsnį. Jį sudaro nepriklausomi federaliniai teisėjai, kurie pareigas FISA teisme eina septynerių metų kadenciją, tačiau, kaip ir visi federaliniai teisėjai, į teisėjo pareigas skiriami iki gyvos galvos. Kaip minėta, Teismas privalo peržiūrėti metinius sertifikatus ir sekimo bei minimalios informacijos procedūras ir patikrinti, ar jos atitinka įstatymą. Be to, kaip minėta, Vyriausybė turi nedelsdama informuoti Teismą apie atitikties klausimus (30), o iš kelių Teismo išslaptintų ir atskleistų nuomonių matyti, kad, peržiūrėdamas šiuos incidentus, Teismas vadovaujasi ypač aukštais atidumo ir nepriklausomumo standartais.

Griežtas Teismo procedūras nustatė buvęs jo pirmininkas savo rašte Kongresui, kuris yra paskelbtas viešai (31). Todėl pagal toliau aprašytą JAV laisvės aktą Teismas dabar turi aiškius įgaliojimus paskirti išorės advokatą, kaip nepriklausomą advokatą, veikiantį privatumo bylose, kuriose sprendžiami nauji arba svarbūs teisiniai klausimai (32). Šis šalies nepriklausomo teisėjo dalyvavimo užsienio žvalgybos veikloje, nukreiptoje į asmenis, kurie nėra nei tos šalies piliečiai, nei joje gyvena, laipsnis yra neįprastas, gal net beprecedentis, ir padeda užtikrinti, kad duomenys pagal 702 straipsnį būtų renkami laikantis tinkamų teisinių ribų.

Kongresas priežiūrą vykdo rengdamas pagal įstatymą reikalaujamas ataskaitas ir teikdamas jas žvalgybos ir teismų komitetams, taip pat dažnai rengdamas trumpus informacinius susitikimus ir posėdžius. Tai apima generalinio advokato pusmečio ataskaitą apie 702 straipsnio taikymą ir visus atitikties incidentus (33), atskirą generalinio advokato ir DNI pusmečio ataskaitą, kurioje dokumentuojama atitiktis sekimo ir minimalios informacijos procedūroms, įskaitant atitiktį procedūroms, kuriomis siekiama užtikrinti, kad duomenys būtų renkami teisėtu užsienio žvalgybos tikslu (34), ir žvalgybos subjektų direktorių metinę ataskaitą, kurioje patvirtinama, kad pagal 702 straipsnį renkamuose duomenyse toliau pateikiama užsienio žvalgybos informacija (35).

Trumpai tariant, duomenų rinkimas pagal 702 straipsnį leidžiamas įstatymu, tačiau tokiai duomenų rinkimo veiklai taikoma daugialypė peržiūra, teisminė priežiūra ir stebėsena ir, kaip nurodė FISA teismas neseniai priimtoje išslaptintoje nuomonėje, „duomenys renkami ne masiškai ir be atrankos“, bet „priimant <.. .> konkrečius sprendimus dėl asmeninės [ryšių] įrangos sekimo“ (36).

III.   JAV LAISVĖS AKTAS

2015 m. birželio mėn. įsigaliojusiu JAV laisvės aktu iš esmės pakeisti JAV stebėjimo ir kiti nacionalinio saugumo įgaliojimai ir padidintas skaidrumas dėl šių įgaliojimų naudojimo ir FISA teismo sprendimų, kaip nurodyta toliau (37). Aktu užtikrinama, kad mūsų žvalgybos ir teisėsaugos specialistams būtų suteikti įgaliojimai, kurių jiems reikia tautai apsaugoti, kartu užtikrinant, kad naudojantis šiais įgaliojimais būtų tinkamai apsaugotas asmenų privatumas. Juo sustiprinamas privatumas ir pilietinės laisvės ir padidinamas skaidrumas.

Aktu draudžiama masiškai rinkti bet kokius įrašus, įskaitant JAV ir ne JAV asmenų įrašus, pagal įvairias FISA nuostatas arba naudojant Nacionalinio saugumo raštus, pagal įstatymą leidžiamų administracinių potvarkių forma (38). Šis draudimas visų pirma taikomas telefonų metaduomenims, susijusiems su skambučiais tarp JAV esančių ir užsienyje esančių asmenų, ir bus svarbus pagal šiuos įgaliojimus renkant „privatumo skydo“ informaciją. Pagal aktą reikalaujama, kad Vyriausybė kiekvieną prašymą dėl įrašų suteikimo pagal šiuos įgaliojimus pagrįstų„konkrečia atrankos sąlyga“, t. y. sąlyga, kuria aiškiai apibūdinamas asmuo, sąskaita, adresas arba asmeninis prietaisas, kuriuo ribojamas renkamos informacijos kiekis kiek tai pagrįstai įmanoma (39). Taip užtikrinama, kad informacijos rinkimas žvalgybos tikslais būtų konkretus ir tikslingas.

Aktu taip pat padaryti svarbūs FISA teismo procedūrų pakeitimai, kuriais užtikrinamas didesnis skaidrumas ir suteikiamos papildomos garantijos dėl privatumo apsaugos. Kaip minėta, šiuo aktu leidžiama sudaryti nuolatines saugumo leidimus turinčių advokatų, besispecializuojančių privatumo ir pilietinių laisvių, žvalgybos duomenų rinkimo, komunikacijų technologijų ir kitose susijusiose srityse, komisijas, ir šie advokatai gali būti paskiriami į teismą kaip amicus curiae bylose, susijusiose su svarbiu arba nauju teisės aiškinimu. Šiems advokatams leidžiama pateikti teisinius argumentus, kuriais ginamas asmens privatumas ir pilietinės laisvės, ir susipažinti su visa informacija, įskaitant įslaptintą informaciją, kuri, teismo manymu, yra būtina jų pareigoms vykdyti (40).

Aktas taip pat pagrįstas beprecedenčiu JAV Vyriausybės įsipareigojimu užtikrinti skaidrumą žvalgybos veiklos srityje reikalaujant, kad DNI, pasikonsultavęs su generaliniu advokatu, išslaptintų arba paskelbtų išslaptintą santrauką kiekvieno sprendimo, nutarties ar nuomonės, kurią priėmė FISA teismas arba Apeliacinis užsienio žvalgybos stebėsenos teismas, kurioje pateikiamas svarbus bet kurios teisės nuostatos vertinimas arba aiškinimas.

Be to, akte nustatyta daugybė atvejų, kai turi būti atskleidžiami prašymai dėl FISA duomenų rinkimo arba nacionalinio saugumo raštų. Jungtinės Amerikos Valstijos kasmet, be kitos informacijos, privalo atskleisti Kongresui ir visuomenei įvairias FISA nutartis ir sertifikatus, dėl kurių pateiktas prašymas buvo patenkintas, apytikslį sekamų ir stebimų JAV ir ne JAV asmenų skaičių ir paskirtų amici curiae skaičių (41). Pagal aktą taip pat reikalaujama, kad Vyriausybė teiktų papildomas viešas ataskaitas apie prašymų išduoti nacionalinio saugumo raštus dėl JAV ir ne JAV asmenų skaičių (42).

Kalbant apie įmonių skaidrumą, pažymėtina, kad minėtu aktu bendrovėms suteikiamos įvairios galimybės teikti viešas ataskaitas apie bendrą FISA nutarčių ir direktyvų arba nacionalinio saugumo raštų, kuriuos jos gauna iš Vyriausybės, skaičių, taip pat pagal šias nutartis sekamų vartotojų sąskaitų skaičių (43). Keletas bendrovių jau atskleidė tokius duomenis, iš kurių matyti, kad prašymai pateikti įrašus buvo susiję su nedideliu klientų skaičiumi.

Iš šių įmonių skaidrumo ataskaitų matyti, kad JAV žvalgybos prašymai daro poveikį tik nedidelei duomenų daliai. Pavyzdžiui, iš vienos didelės įmonės vėliausiai pateiktų skaidrumo ataskaitų matyti, kad ji gavo nacionalinius saugumo prašymus (pagal FISA arba nacionalinio saugumo raštus), susijusius su mažiau nei 20 000 jos sąskaitų, o jos abonentų skaičius buvo 400 mln. Kitaip tariant, visi JAV nacionalinio saugumo prašymai, apie kuriuos pranešė ši įmonė, buvo susiję su mažiau nei 0,05 % jos abonentų. NET jeigu kiekvienas iš šių prašymų būtų susijęs su „saugaus uosto“ duomenimis, – o tai, žinoma, nėra tas atvejis, – akivaizdu, kad prašymai yra tikslingi, jų mastas tinkamas ir jie nėra masiški arba pateikti be atrankos.

Galiausiai, nors įstatymais, kuriais leidžiama išduoti nacionalinio saugumo raštus, jau apribojamos aplinkybės, kuriomis tokio rašto gavėjui būtų galima jį atskleisti, akte taip pat nustatyta, kad toks konfidencialumo reikalavimas turi būti periodiškai peržiūrimas; reikalaujama, kad nacionalinio saugumo raštų gavėjai būti informuoti, kai, atsižvelgiant į faktus, konfidencialumo reikalavimas nebegalioja, ir informuoti apie kodifikavo procedūras, kuriomis gavėjai galėjo ginčyti konfidencialumo reikalavimą (44).

Apibendrinant, svarbūs JAV laisvės akto pakeitimai, susiję su JAV žvalgybos įgaliojimais, aiškiai įrodo dideles Jungtinių Amerikos Valstijų pastangas užtikrinti, kad,laikantis JAV žvalgybos praktikos, visada būtų paisoma asmeninės informacijos, privatumo, pilietinių laisvių apsaugos ir skaidrumo.

IV.   SKAIDRUMAS

Be JAV laisvės akte nustatytų skaidrumo reikalavimų, JAV žvalgybos bendruomenė teikia daug daugiau papildomos informacijos ir taip rodo deramą pavyzdį savo žvalgybos veiklos srityje. Žvalgybos bendruomenė paskelbė nemažai savo politikos, procedūrų, Užsienio žvalgybos stebėsenos teismo sprendimų ir kitos išslaptintos medžiagos, taip užtikrindama ypač didelį skaidrumo lygį. Be to, žvalgybos bendruomenė iš esmės padidino atskleidžiamų statistinių duomenų apie tai, kaip Vyriausybė naudojasi nacionalinio saugumo žvalgybos įgaliojimais, kiekį. 2015 m. balandžio 22 d. žvalgybos bendruomenė paskelbė savo antrąją metinę ataskaitą, kurioje pateikė statistinius duomenis apie tai, kaip dažnai Vyriausybė naudojasi šiais įgaliojimais. ODNI savo svetainėje ir IC On the Record svetainėje taip pat paskelbė konkrečių skaidrumo principų rinkinį (45) ir įgyvendinimo planą, kuris padės principus paversti konkrečiomis, įvertinamomis iniciatyvomis (46). 2015 m. spalio mėn. Nacionalinės žvalgybos direktorius nurodė, kad kiekviena žvalgybos agentūra pati paskirtų joje veikiantį žvalgybos skaidrumo pareigūną, kuris skatintų skaidrumą ir vadovautų skaidrumo iniciatyvoms (47). Skaidrumo pareigūnas glaudžiai dirbs su kiekvienu žvalgybos agentūros privatumo ir pilietinių laisvių pareigūnu ir užtikrins, kad skaidrumas, privatumas ir pilietinės laisvės toliau liktų pagrindiniais prioritetais.

Siekdamas pažangos šioje srityje, NSA vyriausiasis privatumo ir pilietinių laisvių pareigūnas per pastaruosius metus atskleidė keletą išslaptintų ataskaitų, įskaitant ataskaitas apie veiklą pagal 702 straipsnį, Vykdomąjį įsaką 12333 ir JAV laisvės aktą (48). Be to, žvalgybos bendruomenė glaudžiai dirba su PCLOB, Kongresu ir JAV privatumo advokatų bendruomene, kad dar labiau didintų JAV žvalgybos veiklos skaidrumą, kai tai įmanoma ir atsižvelgdama į konfidencialių žvalgybos šaltinių ir metodų apsaugą. Iš esmės JAV žvalgybos veikla yra tokia pat skaidri,kaip bet kurios kitos pasaulio valstybės,arba skaidresnė, ir ji skaidri tiek, kiek įmanoma atsižvelgiant į poreikį apsaugoti konfidencialius šaltinius ir metodus.

Apibendrinant visapusišką skaidrumą JAV žvalgybos veiklos srityje, galima atkreipti dėmesį į toliau nurodytus aspektus.

—

Žvalgybos bendruomenė atskleidė ir internete paskelbė didelį kiekį medžiagos, susijusios su teismo nuomonėmis ir agentūros procedūromis, kuriose apibūdinamos konkrečios mūsų žvalgybinės veiklos procedūros ir reikalavimai. Taip pat atskleidėme ataskaitas apie tai, kaip žvalgybos agentūros laikosi taikomų apribojimų.

—	Vyresnieji žvalgybos pareigūnai reguliariai viešai praneša apie savo organizacijų vaidmenį ir veiklą, įskaitant atitikties režimo aprašymus ir jų darbe taikomas apsaugos priemones.

—	Žvalgybos bendruomenė pagal Informacijos laisvės aktą paskelbė daugybę papildomų dokumentų apie žvalgybos veiklą.

—	Prezidentas paskelbė PPD-28, kurioje viešai išdėstyti papildomi mūsų žvalgybos veiklai taikomi apribojimai, o ODNI paskelbė dvi viešas šių apribojimų laikymosi ataskaitas.

—	Šiuo metu žvalgybos bendruomenė pagal įstatymą turi paskelbti svarbias FISA teismo priimtas teisines nuomones arba šių nuomonių santraukas.

—	Vyriausybė turi kasmet teikti ataskaitas apie tai, kaip naudojasi tam tikrais nacionalinio saugumo įgaliojimais, o bendrovės taip pat įgaliotos tai daryti.

—	PCLOB paskelbė keletą išsamių viešų žvalgybos veiklos ataskaitų ir tai darys ateityje.

—	Žvalgybos bendruomenė teikia išsamią įslaptintą informaciją Kongreso priežiūros komitetams.

—	DNI paskelbė skaidrumo principus, kuriais reglamentuojama žvalgybos bendruomenės veikla.

Šie skaidrumo įsipareigojimai ateityje tik didės. Žinoma, kiekviena viešai paskelbta informacija bus prieinama Komercijos departamentui ir Europos Komisijai. Komercijos departamento ir Europos Komisijos atliekama„privatumo skydo“įgyvendinimo metinė peržiūra bus puiki proga Europos Komisijai aptarti visus klausimus, galinčius kilti dėl bet kurios naujai paskelbtos informacijos, taip pat kitus klausimus, susijusius su„privatumo skydu“ir jo veikimu, ir suprantame, kad Departamentas gali savo nuožiūra kviesti kitų agentūrų, įskaitant žvalgybos bendruomenę, atstovus dalyvauti toje peržiūroje. Žinoma, tai papildo PPD-28 nustatytą mechanizmą, pagal kurį ES valstybės narės gali kelti su stebėjimu susijusius klausimus ir pateikti juos paskirtam Valstybės departamento pareigūnui.

V.   TEISIŲ GYNIMO BŪDAI

JAV teisėje nustatyti įvairūs teisių gynimo būdai, kuriais asmenys gali pasinaudoti tais atvejais, kai jų elektroninis susirašinėjimas buvo neteisėtai stebimas nacionalinio saugumo tikslais. Pagal FISA teise ginti savo teises JAV teisme gali naudotis ne tik JAV asmenys. Asmeniui, kuris gali pagrįsti savo ieškinį, turi būti suteikiamos teisių gynimo priemonės teisėtam elektroninių ryšių stebėjimui pagal FISA ginčyti. Pavyzdžiui, pagal FISA asmenims, kurių elektroniniai ryšiai buvo stebimi neteisėtai, leidžiama pareikšti ieškinį JAV Vyriausybės pareigūnams kaip fiziniams asmenims dėl piniginės kompensacijos, įskaitant baudinių nuostolių ir advokato mokesčių atlyginimą. Žr. JAV kodekso 50 antraštinės dalies 1810 straipsnį. Asmenys, kurie gali pagrįsti savo ieškinį, taip pat gali reikalauti iš Jungtinių Amerikos Valstijų civiline tvarka atlyginti piniginius nuostolius, įskaitant bylinėjimosi išlaidų atlyginimą, kai informacija apie juos, gauta pagal FISA stebint elektroninius ryšius, buvo neteisėtai ir sąmoningai atskleista. Žr. JAV kodekso 18 antraštinės dalies 2712 straipsnį. Jeigu Vyriausybė ketina naudoti arba atskleisti bet kokią nukentėjusio asmens informaciją, gautą arba perimtą pagal FISA stebint elektroninius ryšius, prieš tą asmenį teisminiame arba administraciniame procese Jungtinėse Amerikos Valstijose, ji privalo iš anksto informuoti apie savo ketinimą teismą ir asmenį, kuris tuomet gali ginčyti stebėjimo teisėtumą ir siekti panaikinti informaciją. Žr. JAV kodekso 50 antraštinės dalies 1806 straipsnį. Galiausiai FISA taip pat skiria baudžiamąsias sankcijas asmenims, kurie tyčia neteisėtai stebi elektroninius ryšius pagal įvairius įstatymus arba kurie tyčia naudoja arba atskleidžia neteisėtomis stebėjimo priemonėmis gautą informaciją. Žr. JAV kodekso 50 antraštinės dalies 1809 straipsnį.

ES piliečiai gali pasinaudoti ir kitais teisių gynimo būdais JAV Vyriausybės pareigūnų atžvilgiu, kai Asmeniui, kuris gali pagrįsti savo ieškinį, turi būti suteikiamos teisių gynimo priemonės teisėtam elektroninių ryšių stebėjimui pagal FISA ginčyti Vyriausybė neteisėtai naudoja arba tikrina duomenis, įskaitant Vyriausybės pareigūnus, kurie įstatymą pažeidžia neteisėtai tikrindami arba naudodami informaciją tariamais nacionalinio saugumo tikslais. Kompiuterinio sukčiavimo ir piktnaudžiavimo akte draudžiama tyčinė neteisėta prieiga (arba teisėtos prieigos ribų viršijimas) siekiant gauti informaciją iš finansų įstaigos, JAV Vyriausybės kompiuterinės sistemos arba prie interneto prijungto kompiuterio, taip pat grasinimai sugadinti saugomus kompiuterius siekiant daryti poveikį arba apgaulės būdu. Žr. JAV kodekso 18 antraštinės dalies 1030 straipsnį. Kiekvienas asmuo, nepaisant jo pilietybės, kuris dėl šio įstatymo pažeidimo patiria žalos arba nuostolių, gali pareikšti ieškinį pažeidėjui (įskaitant Vyriausybės pareigūną) dėl žalos kompensavimo ir draudimo arba kitų lygiaverčių teisių gynimo priemonių pagal 1030 straipsnio g dalį, nepaisant to, ar buvo pradėtas baudžiamasis persekiojimas, jeigu elgesys yra susijęs bent su keliomis įstatyme išvardytomis aplinkybėmis. Elektroninių ryšių privatumo aktu (ECPA) reglamentuojama Vyriausybės prieiga prie saugomų elektroninių ryšių ir sandorių įrašų ir abonento informacijos, kurią turi ryšių paslaugas teikiančios trečiosios šalys. Žr. JAV kodekso 18 antraštinės dalies 2701–2712 straipsnius. Pagal ECPA nukentėjusiam asmeniui leidžiama pareikšti ieškinį Vyriausybės pareigūnams dėl tyčinės neteisėtos prieigos prie saugomų duomenų. ECPA taikomas visiems asmenims, nepaisant jų pilietybės, ir nukentėjusiems asmenims gali būti priteisiamas žalos ir advokato mokesčių atlyginimas. Teisės į finansinių duomenų privatumą aktu (RFPA) ribojama JAV Vyriausybės prieiga prie banko ir tarpininkų prekiautojų įrašų, susijusių su individualiais klientais. Žr. JAV kodekso 12 antraštinės dalies 3401–3422 straipsnius. Pagal RFPA banko arba tarpininko prekiautojo klientas gali pareikšti JAV Vyriausybei ieškinį dėl įstatymuose nustatytos žalos, faktinės žalos ir baudinių nuostolių, atsiradusių gavus prieigą prie kliento įrašų, atlyginimo, o padarius išvadą, kad tokia neteisėta prieiga buvo tyčinė, prieš atitinkamus Vyriausybės darbuotojus automatiškai pradedamas tyrimas dėl galimų drausminių veiksmų. Žr. JAV kodekso 12 antraštinės dalies 3417 straipsnį.

Galiausiai Informacijos laisvės akte (FOIA) nustatytos priemonės, kuriomis kiekvienas asmuo gali pasinaudoti siekdamas gauti prieigą prie esamų federalinės agentūros įrašų bet kuriuo klausimu, atsižvelgiant į tam tikrų kategorijų išimtis. Žr. JAV kodekso 5 antraštinės dalies 552 straipsnio b dalį. Šios išimtys apima prieigos prie įslaptintos nacionalinio saugumo informacijos, kitų asmenų duomenų ir informacijos, susijusios su teisėsaugos tyrimais, ribas ir yra panašios į valstybės nustatytus apribojimus, galiojančius pagal jų prieigos prie informacijos įstatymus. Šie apribojimai amerikiečiams ir užsieniečiams taikomi vienodai. Ginčai dėl įrašų atskleidimo, kurio prašoma pagal FOIA, gali būti skundžiami administracine tvarka, o vėliau – ir federaliniame teisme. Reikalaujama, kad teismas iš naujo nustatytų, ar įrašai tinkamai saugomi (JAV kodekso 5 antraštinės dalies 552 straipsnio a dalies 4 punkto B papunktis), ir gali įpareigoti Vyriausybę suteikti prieigą prie įrašų. Kai kuriais atvejais teismai panaikino Vyriausybės pareiškimus, kad informacija turėtų būti saugoma kaip įslaptinta. (49) Nors piniginės kompensacijos negalima gauti, teismai gali priteisti atlyginti advokato mokesčius.

VI.   IŠVADA

Jungtinės Amerikos Valstijos pripažįsta, kad, vykdydama signalų žvalgybos ir kitą žvalgybos veiklą, privalo atsižvelgti į tai, kad su visais asmenimis turi būti elgiamasi oriai ir pagarbiai, nepaisant jų pilietybės arba gyvenamosios vietos, ir kad visi asmenys turi teisėtus privatumo interesus, susijusius su jų asmeninės informacijos tvarkymu. Jungtinės Amerikos Valstijos signalų žvalgybą naudoja tik siekdama ginti savo nacionalinio saugumo ir užsienio politikos interesus ir apsaugoti savo piliečius ir savo sąjungininkų ir partnerių piliečius nuo žalos. Trumpai tariant, žvalgybos bendruomenė neužsiima masine visų asmenų stebėsena, įskaitant paprastus Europos piliečius. Signalų žvalgybos duomenys renkami tik tinkamai sankcionuotais atvejais ir tokiu būdu, kuris griežtai atitinka šiuos apribojimus, tik išnagrinėjus alternatyvių šaltinių prieinamumą, įskaitant diplomatinius ir viešus šaltinius, ir tokiu būdu, kuriuo pirmenybė teikiama tinkamoms ir pagrįstoms alternatyvoms. Kai įmanoma, signalų žvalgybos duomenys renkami tik renkant tikslingus duomenis apie konkrečius užsienio žvalgybos taikinius arba temas naudojant diskriminantus.

Šiuo atžvilgiu JAV politika patvirtinta PPD-28. Šioje sistemoje JAV žvalgybos agentūros neturi teisinių įgaliojimų, išteklių, techninių gebėjimų arba noro perimti visus pasaulio ryšius. Tos agentūros neskaito visų Jungtinių Amerikos Valstijų ar pasaulyje parašomų e. laiškų. Laikydamosi PPD-28 Jungtinės Amerikos Valstijos teikia tinkamas ne JAV asmenų asmeninės informacijos, kuri renkama vykdant signalų žvalgybos veiklą, apsaugos priemones. Kiek įmanoma atsižvelgiant į nacionalinį saugumą, tai apima politiką ir procedūras, kuriomis siekiama asmeninę informaciją, susijusią su ne JAV asmenimis, kuo trumpiau saugoti ir kuo mažiau platinti, palyginti su JAV asmenims taikoma apsauga. Be to, kaip atarta pirmiau, išsamus priežiūros režimas, tikslingai taikomas pagal FISA 702 straipsnį suteiktiems įgaliojimams, neturi sau analogų. Galiausiai svarbūs JAV žvalgybos teisės pakeitimai, kurie buvo nustatyti JAV laisvės akte ir ODNI, lėmė iniciatyvas, kuriomis skatinamas žvalgybos bendruomenėje skaidrumas, iš esmės padidino visų asmenų privatumą ir pilietines laisves, nepaisant jų pilietybės.

 

2016 m. birželio 21 d.

Justinui S. Antonipillai,

JAV komercijos departamento

advokatui

1401 Constitution Avenue, N.W.

Vašingtonas, DC 20230

Tedui Deanui,

Tarptautinės prekybos administracijos

sekretoriaus pavaduotojui

1401 Constitution Avenue, N.W.

Vašingtonas, DC 20230

Gerbiami J. Antonipillai ir T. Deanai,

šiame rašte pateikiama išsamesnė informacija apie tai, kaip Jungtinės Amerikos Valstijos masiškai renka signalų žvalgybos duomenis. Kaip paaiškinta Prezidento politinės direktyvos (toliau – PPD-28) 5 išnašoje, „masinis“ duomenų rinkimas reiškia gana didelio signalų žvalgybos informacijos kiekio arba duomenų gavimą tais atvejais, kai žvalgybos bendruomenė negali panaudoti identifikatoriaus, susijusio su konkrečiu taikiniu (pvz., sekamo asmens e. pašto adresas arba telefono numeris), kad galėtų tikslingai rinkti duomenis. Tačiau tai nereiškia, kad šios rūšies duomenų rinkimas yra „masinis“ ar „vykdomas be atrankos“. Tiesą sakant, pagal PPD-28 taip pat reikalaujama, kad „[s]ignalų žvalgybos veikla būtų kuo tikslingesnė“. Toliau naudodamasi savo įgaliojimais, žvalgybos bendruomenė imasi priemonių užtikrinti, kad net ir tais atvejais, kai tikslingo duomenų rinkimo tikslais negalima panaudoti konkrečių identifikatorių, turi būti įsitikinama, kad duomenyse, kuriuos reikia surinkti, bus užsienio žvalgybos duomenų, atitinkančių JAV politikos formuotojų pagal ankstesniame mano rašte aprašytas procedūras nustatytus reikalavimus, ir kuo labiau sumažinamas renkamos nesusijusios informacijos kiekis.

Pavyzdžiui, žvalgybos bendruomenės gali būti prašoma gauti signalų žvalgybos duomenų apie Artimųjų Rytų regiono šalyje veikiančios teroristų grupės veiksmus, kuri, kaip manoma, planuoja atakas Vakarų Europos šalyse, tačiau žvalgybos bendruomenė gali nežinoti su šia teroristų grupe susijusių asmenų vardų, telefono numerių, e. pašto adresų ar kitų konkrečių identifikatorių. Tą grupę galime nuspręsti sekti rinkdami duomenis apie abipusius ryšių srautus į tą regioną ir iš jo, kuriuos vėliau peržiūrėsime ir analizuosime, kad nustatytumėme su grupes susijusius ryšius. Tai darydama žvalgybos bendruomenė turėtų stengtis užtikrinti kuo tikslingesnį duomenų rinkimą. Tokia veikla būtų laikoma „masiniu“ duomenų rinkimu, nes neįmanoma naudoti diskriminantų, tačiau ji nėra nei „masinė“, nei „vykdoma be atrankos“; tiesą sakant, stengiamasi užtikrinti kuo didesnį tokios veiklos tikslingumą.

Todėl net jeigu tikslingas duomenų rinkimas naudojant konkrečius įrenginius neįmanomas, Jungtinės Amerikos Valstijos nerenka ryšių duomenų iš visų pasaulio ryšių įrenginių, tačiau taiko filtrus ir kitas technines priemones, kad orientuotų duomenų rinkimo veiklą į įrangą, iš kurios, tikėtina, galima gauti užsienio žvalgybos vertę turinčių ryšių. Šiuo atveju Jungtinių Amerikos Valstijų signalų žvalgybos veikla yra susijusi tik su dalimi internete perduodamų ryšių.

Be to, kaip nurodyta ankstesniame mano rašte, kadangi dėl „masinio“ duomenų rinkimo kyla didesnė rizika surinkti nesusijusius ryšių duomenis, PPD-28 nustatyta, kad žvalgybos bendruomenė surinktus masinius signalų žvalgybos duomenis gali naudoti tik šešiais tikslais. PPD-28 ir agentūros nustatytoje PPD-28 įgyvendinimo politikoje taip pat nustatyti asmeninės informacijos, įgytos signalų žvalgybos metu, saugojimo ir platinimo ribojimai, nepaisant to, ar informacija buvo renkama masiškai ar tikslingai ir nepaisant asmens pilietybės.

Todėl žvalgybos „masinis“ duomenų rinkimas nėra „masinis“ ar „vykdomas be atrankos“, tačiau yra susijęs su taikomais metodais ir priemonėmis, kuriomis filtruojami renkami duomenys, siekiant tikslingai rinkti tuos duomenis, kurie atitinka politikos formuotojų nustatytus užsienio žvalgybos reikalavimus, kartu kuo labiau sumažinant nesusijusios informacijos rinkimą, ir atliekamas laikantis griežtų taisyklių, kurių paskirtis – apsaugoti nesusijusią informaciją, kuri gali būti surinkta. Šiame rašte aprašyta politika ir procedūra taikoma visai masinei signalų žvalgybos duomenų rinkimo veiklai, įskaitant bet kokį masinį į Europą ir iš Europos perduodamų ryšių rinkimą nepatvirtinant ar nepaneigiant fakto, ar tokie duomenys apskritai renkami.

Taip pat prašėte pateikti daugiau informacijos apie Privatumo ir pilietinių laisvių priežiūros valdybos (PCLOB) ir generalinius inspektorius ir jų įgaliojimus. PCLOB yra nepriklausoma vykdomosios valdžios agentūra. Ją sudaro Senato pritarimu prezidento šešerių metų kadencijai paskirta dvipartinė penkių narių valdyba (50). Kiekvienas valdybos narys skiriamas šešerių metų kadencijai. Valdybos nariams ir darbuotojams taikomi atitinkami saugumo patikrinimai, kad jie galėtų visapusiškai vykdyti savo pareigas pagal įstatymą (51).

PCLOB misija – užtikrinti, kad federalinės Vyriausybės pastangos užkirsti kelią terorizmui būtų suderintos su poreikiu apsaugoti privatumą ir pilietines laisves. Valdybos pareigos yra susijusios su dviem pagrindinėmis atsakomybės sritimis – priežiūra ir konsultavimu. PCLOB pati nustato savo darbotvarkę ir tai, kokios priežiūros veiklos ji nori imtis ar kokias konsultacijas teikti.

Vykdydama savo priežiūros funkcijas, PCLOB peržiūri ir analizuoja vykdomosios valdžios veiksmus, kurių ji imasi, kad apsaugotų tautą nuo terorizmo, ir užtikrina, kad tokių veiksmų poreikis būtų suderinamas su poreikiu apsaugoti privatumą ir pilietines laisves (52). Vėliausioje PCLOB užbaigtoje priežiūros peržiūroje daugiausia dėmesio skirta stebėjimo programoms, kurios buvo vykdomos pagal FISA 702 straipsnį (53). Šiuo metu ji atlieka pagal Vykdomąjį įsaką 12333 atliktos žvalgybos veiklos peržiūrą (54).

Vykdydama savo konsultavimo funkciją, PCLOB užtikrina, kad rengiant ir įgyvendinant įstatymus, reglamentus ir politiką, susijusią su pastangomis apsaugoti tautą nuo terorizmo, būtų paisoma su laisve susijusių aspektų (55).

Kad galėtų vykdyti savo misiją, valdybai suteikiami įstatyme nustatyti įgaliojimai susipažinti su visais susijusiais agentūros įrašais, ataskaitomis, audito dokumentais, peržiūromis, dokumentais, raštais, rekomendacijomis ir visa kita susijusia medžiaga, įskaitant pagal įstatymą įslaptintą informaciją (56). Be to, valdyba gali apklausti bet kurį vykdomosios valdžios institucijos pareigūną ar darbuotoją, gauti iš jo pareiškimus ar prašyti viešai liudyti (57). Valdyba taip pat gali raštu prašyti, kad generalinis prokuroras valdybos vardu priimtų įsakymus, kuriais vykdomajai valdybai nepavaldžios šalys būtų įpareigojamos pateikti susijusią informaciją (58).

Galiausiai PCLOB pagal įstatymą turi laikytis skaidrumo reikalavimų. Tai reiškia, kad visuomenė turi būti informuojama apie valdybos veiklą rengiant viešus posėdžius ir viešai skelbiant valdybos ataskaitas ir visapusiškai atsižvelgiant į būtinybę apsaugoti konfidencialią informaciją (59). Be to, reikalaujama, kad PCLOB praneštų, kai vykdomosios valdžios agentūra atsisako vadovautis jos rekomendacijomis.

Žvalgybos bendruomenės generaliniai inspektoriai atlieka žvalgybos bendruomenės programų ir veiklos auditą, patikrinimus ir peržiūras, kad nustatytų ir šalintų sisteminę riziką, silpnąsias vietas ir trūkumus. Be to, generaliniai inspektoriai tiria skundus ar informaciją dėl tariamų teisės, taisyklių ar reglamentų pažeidimų ar netinkamo valdymo; lėšų švaistymo stambiu mastu; piktnaudžiavimo įgaliojimais, arba didelio ir konkretaus pavojaus visuomenės sveikatai ir saugumui, kuris kyla dėl žvalgybos bendruomenės programų ir veiklos. Generalinių inspektorių nepriklausomumas yra esminis aspektas, lemiantis kiekvienos generalinio inspektoriaus parengtos ataskaitos, išvados ir rekomendacijos objektyvumą ir patikimumą. Kai kurie iš svarbiausių generalinių inspektorių nepriklausomumo užtikrinimo komponentų apima generalinio inspektoriaus paskyrimą ir atleidimo iš pareigų tvarką; atskirtus įgaliojimus veiklos, biudžeto sudarymo ir personalo srityse, ir dvejopų ataskaitų teikimą vykdomosios valdžios agentūrai ir Kongresui.

Kongresas kiekvienoje vykdomosios valdžios agentūroje, įskaitant kiekvieną žvalgybos bendruomenės subjektą, įkūrė nepriklausomą generalinio inspektoriau biurą (60). Priėmus Žvalgybos įgaliojimų 2015 fiskaliniais metais aktą, beveik visus generalinius inspektorius, kurie priežiūri žvalgybos bendruomenės subjektą, Teisingumo departamentą, Centrinę žvalgybos valdybą, Nacionalinio saugumo agentūrą ir žvalgybos bendruomenę, skiria prezidentas, o tvirtina Senatas (61). Be to, šie generaliniai inspektoriai yra nuolatiniai nepartiniai pareigūnai, kuriuos iš pareigų gali atleisti tik prezidentas. Nors pagal JAV Konstituciją reikalaujama, kad prezidentui būtų suteikti įgaliojimai atleisti generalinį inspektorių iš pareigų, tačiau jis šiais įgaliojimais retai naudojasi, be to, reikalaujama, kad prezidentas pateiktų Kongresui rašytinį pagrindimą likus 30 dienų iki generalinio inspektoriaus atleidimo (62). Šiuo generalinio inspektoriaus skyrimo procesu užtikrinama, kad vykdomosios valdžios pareigūnai nedarytų jokios netinkamos įtakos atrenkant, skiriant ar atleidžiant generalinį inspektorių.

Antra, generaliniai inspektoriai turi plačius įstatyme nustatytus įgaliojimus atlikti vykdomosios valdžios programų ir veiksmų auditą, tyrimus ir peržiūras. Be įstatyme nustatytų įgaliojimų vykdyti tyrimų ir peržiūrų priežiūrą, generaliniai inspektoriai turi plačią diskreciją naudotis priežiūros įgaliojimais ir pasirinkti, kurias programas ir veiksmus peržiūrėti (63). Šių įgaliojimų vykdymo srityje įstatymu užtikrinama, kad generaliniai inspektoriai, vykdydami savo pareigas, galėtų pasinaudoti nepriklausomais ištekliais, įskaitant galimybę savarankiškai samdyti darbuotojus ir teikti Kongresui atskirus prašymus dėl biudžeto (64). Įstatymu užtikrinama, kad generaliniai inspektoriai galėtų susipažinti su informacija, kurios reikia jų pareigoms įvykdyti. Tai apima įgaliojimus tiesiogiai susipažinti su visais agentūros įrašais ir informacija, kurioje išsamiau aprašomos agentūros programos ir veiksmai, nepaisant informacijos slaptumo; įgaliojimus susipažinti su šaukimo į teismą informacija ir dokumentais, ir įgaliojimus prisaikdinti asmenis (65). Konkrečiais atvejais vykdomosios valdžios agentūros direktorius gali uždrausti generalinio inspektoriaus veiklą, jeigu, pvz., generalinio inspektoriaus auditas arba tyrimas iš esmės pakenktų Jungtinių Amerikos Valstijų nacionalinio saugumo interesams. Vėlgi, šiais naudojimasis šiais įgaliojimais yra labai neįprastas reiškinys ir šiuo atveju agentūros direktorius iš anksto prieš 30 dienų informuoja Kongresą apie tokių įgaliojimų panaudojimo priežastis (66). Tiesą sakant, Nacionalinės žvalgybos direktorius niekada netaikė šių ribojančio pobūdžio įgaliojimų kurio nors generalinio inspektoriaus veiklai.

Trečia, generaliniai inspektoriai turi pareigą vykdomosios valdžios agentūrų direktorius ir Kongresą nuolat visapusiškai informuoti ir šiuo tikslu teikti ataskaitas apie sukčiavimą ir kitas rimtas problemas, piktnaudžiavimo atvejus ir su vykdomosios valdžios programomis ir veiksmais susijusius trūkumus (67). Dvejopų ataskaitų teikimas padeda sustiprinti generalinio inspektoriaus nepriklausomumą, nes užtikrina generalinio inspektoriaus priežiūros proceso skaidrumą ir sudaro sąlygas agentūros direktoriui įgyvendinti generalinio inspektoriaus rekomendacijas prieš Kongresui imantis teisėkūros veiksmų. Pavyzdžiui, pagal įstatymą reikalaujama, kad generaliniai inspektoriai parengtų pusmečio ataskaitas, kuriose aprašomos tokios problemos, taip pat naujausi taisomieji veiksmai, kurių buvo imtasi (68). Vykdomosios valdžios agentūros rimtai vertina generalinio inspektoriaus išvadas ir rekomendacijas, be to, generaliniai inspektoriai šiose ir kitose Kongresui, o kartais ir visuomenei teikiamose ataskaitose dažnai gali aptarti, kaip buvo laikomasi jų rekomendacijų ir kaip jos įgyvendintos (69). Be šios dvejopų ataskaitų teikimo sistemos, generaliniai inspektoriai taip pat turi pareigą nukreipti vykdomosios valdžios pranešėjus apie pažeidimus į Kongreso priežiūros komitetus, kad jie atskleistų tariamus sukčiavimo, lėšų švaistymo ar piktnaudžiavimo, susijusios su vykdomosios valdžios programomis ir veikla, atvejus. Pranešėjų apie pažeidimus tapatybės neatskleidžiamos vykdomajai valdžiai, taip pranešėjai apie pažeidimus apsaugomi nuo galimų draudžiamų personalo veiksmų arba saugumo patikrinimo veiksmų, kurių imamasi reaguojant į generaliniam inspektoriui atskleistus faktus (70). Kadangi pranešėjai apie pažeidimus dažnai yra generalinių inspektorių tyrimų šaltiniai, galimybė Kongresui pranešti jų nurodytus faktus nepatiriant vykdomosios valdžios įtakos padidina generalinio inspektoriaus priežiūros veiksmingumą. Dėl šio nepriklausomumo generaliniai inspektoriai gali objektyviai ir nuosekliai didinti vykdomosios valdžios agentūrų veiklos ekonomiškumą, veiksmingumą ir atskaitomybę.

Galiausiai Kongresas sukūrė Generalinių inspektorių integralumo ir veiksmingumo tarybą. Ši taryba, be kita ko, rengi generalinių inspektorių audito, tyrimų ir peržiūrų standartus; remia mokymą, turi įgaliojimus atlikti peržiūras dėl tariamo netinkamo generalinio inspektoriaus elgesio ir veikia kaip svarbi generalinių inspektorių, kuriems patikėta visų kitų subjektų priežiūra, stebėtoja. (71)

Tikiuosi, kad ši informacija bus naudinga.

---

(1)  Daugiau informacijos apie JAV užsienio žvalgybos veiklą pateikiama internete per viešai prieinamą žvalgybos bendruomenės svetainę (www.icontherecord.tumblr.com),ODNI viešą svetainę, kurios paskirtis – didinti Vyriausybės žvalgybinės veiklos matomumą visuomenėje.

(2)  Skelbiama adresu https://www.whitehouse.gov/the-press-office/2014/01/17/presidential-policy-directive-signals-intelligence-activities.

(3)  Jungtinių Amerikos Valstijų teisėsaugos arba reguliavimo institucijos, vadovaudamosi kitais baudžiamosios ar civilinės teisės ir reguliavimo įgaliojimais nacionalinio saugumo srityje, kurie neaptariami šiame dokumente, gali prašyti, kad korporacijos pateiktų jų tyrimams svarbią informaciją.

(4)  Skelbiama adresu www.icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties#ppd-28. Šiomis procedūromis šiame rašte aptartos tikslingumo ir pritaikymo koncepcijos įgyvendinamos atsižvelgiant į kiekvieną žvalgybos bendruomenės subjektą.

(5)  Vienas iš pavyzdžių: NSA procedūrose, kuriomis įgyvendinama PPD-28, nustatyta, kad „kai įmanoma, duomenys bus renkami naudojantis viena arba daugiau atrankos sąlygų, siekiant orientuotis į duomenų apie konkrečius užsienio žvalgybos objektus rinkimą (pvz., konkreti, žinoma tarptautinė teroristų arba teroristinė grupė) arba konkrečius užsienio žvalgybos klausimus (pvz., užsienio valstybės ar jos agentų platinami masinio naikinimo ginklai)“.

(6)  Skelbiama adresu http://www.dni.gov/files/documents/1017/PPD-28_Status_Report_Oct_2014.pdf.

(7)  Skelbiama adresu http://www.dni.gov/files/documents/ICD/ICD%20204%20National%20Intelligence%20Priorities%20Framework.pdf.

(8)  Žvalgybos bendruomenės direktyva (ICD) Nr. 203, skelbiama adresu http://www.dni.gov/files/documents/ICD/ICD%20203%20Analytic%20Standards.pdf.

(9)  Žr., pvz., JAV teisingumo departamento generalinio inspektoriaus ataskaitą „A Review of the Federal Bureau of Investigation's Activities Under Section 702 of the Foreign Intelligence Surveillance Act of 2008“ (2012 m. rugsėjo mėn.), skelbiama adresu https://oig.justice.gov/reports/2016/o1601a.pdf.

(10)  Žr. www.dni.gov/clpo.

(11)  JAV kodekso 50 antraštinės dalies 1881a straipsnis.

(12)  Jungtinės Amerikos Valstijos taip pat gali gauti teismo nutartis pagal kitas FISA nuostatas, kad rinktų duomenis, įskaitant perduotuosius pagal „privatumo skydą“. Žr. JAV kodekso 50 antraštinės dalies 1801 ir kitus straipsnius. FISA I ir III antraštinėse dalyse, kuriose atitinkamai leidžiama vykdyti elektroninę stebėseną ir atlikti fizines kratas, reikalaujama teismo nutarties (išskyrus skubius atvejus) ir visada reikalaujama, kad būtų pagrįsta priežastis tikėti, kad taikinys yra užsienio valstybė arba užsienio valstybės agentas. Pagal FISA IV antraštinę dalį remiantis teismo nutartimi (išskyrus skubius atvejus) sankcionuotuose užsienio žvalgybos, kontržvalgybos ar kovos su terorizmu tyrimuose leidžiama naudoti renkamų numerių registratorių arba spąstų ir sekimo prietaisus. Pagal FISA V antraštinę dalį FTB teismo nutartimi (išskyrus skubius atvejus) leidžiama gauti įmonių įrašus, kurie yra susiję su sankcionuotais užsienio žvalgybos, kontržvalgybos ar kovos su terorizmu tyrimais. Kaip aptarta toliau, JAV laisvės akte konkrečiai draudžiama naudoti renkamų numerių registratorių arba įmonės įrašo nutartis siekiant masiškai rinkti duomenis ir nustatomas privalomas reikalavimas naudoti „konkrečią atrankos sąlygą“ ir taip užtikrinti, kad šiais įgaliojimais būtų naudojamasi tikslingai.

(13)  Privatumo ir pilietinių laisvių valdyba, Report on the Surveillance Program Operated Pursuant to Section 702 of the Foreign Intelligence Surveillance Act (2014 m. liepos 2 d.) (PCLOB ataskaita).

(14)  Žr. oficialųjį leidinį Nr. 110–261, § 122, 129 Stat. 2436 (2008).

(15)  Žr. JAV kodekso 50 antraštinės dalies 1881a straipsnio a ir b dalis.

(16)  Žr. ten pat 1801 straipsnio e dalį.

(17)  Žr. PCLOB ataskaitos 99 punktą.

(18)  Žr. JAV kodekso 50 antraštinės dalies 1881 straipsnio a dalies d ir e punktus.

(19)  Žr. PCLOB ataskaitos 111 punktą.

(20)  Ten pat.

(21)  Ten pat, 8 punktas; JAV kodekso 50 antraštinės dalies 1881a straipsnio l dalis; taip pat žr. NSA pilietinių laisvių ir privatumo direktoriaus ataskaitos NSA's Implementation of Foreign Intelligence Surveillance Act Section 702 (toliau – NSA ataskaita) 4 punktą, skelbiama adresu http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(22)  Nacionalinės žvalgybos direktoriaus 2014 m. skaidrumo ataskaita, skelbiama adresu http://icontherecord.tumblr.com/transparency/odni_transparencyreport_cy2014.

(23)  Minimalios informacijos procedūras galima rasti: http://www.dni.gov/files/documents/ppd-28/2014%20NSA%20702%20Minimization%20Procedures.pdf (NSA minimalios informacijos procedūros); http://www.dni.gov/files/documents/ppd-28/2014%20FBI%20702%20Minimization%20Procedures.pdf; ir http://www.dni.gov/files/documents/ppd-28/2014%20CIA%20702%20Minimization%20Procedures.pdf.

(24)  Žr. NSA ataskaitos 4 punktą.

(25)  Žr., pvz., NSA minimalios informacijos procedūrų 6 punktą.

(26)  Žvalgybos agentūros PPD-28 procedūros skelbiamos adresu http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(27)  Žr., pvz., NSA minimalios informacijos procedūras, PPD-28 4 skirsnį.

(28)  Žr. JAV kodekso 50 antraštinės dalies 1881 straipsnio l dalį, taip pat PCLOB ataskaitos 66–76 punktus.

(29)  Žr. atitikties procedūroms ir gairėms pagal Užsienio žvalgybos stebėsenos akto 702 straipsnį pusmečio vertinimo, kurį teikia generalinis direktorius ir Nacionalinės žvalgybos direktorius, 2–3 punktus, skelbiama adresu http://www.dni.gov/files/documents/Semiannual%20Assessment%20of%20Compliance%20with%20procedures%20and%20guidelines%20issued%20pursuant%20to%20Sect%20702%20of%20FISA.pdf.

(30)  Užsienio žvalgybos stebėsenos teismo darbo tvarkos taisyklių 13 taisyklė, darbo tvarkos taisyklės skelbiamos adresu http://www.fisc.uscourts.gov/sites/default/files/FISC%20Rules%20of%20Procedure.pdf.

(31)  2013 m. liepos 29 d. Reggie B. Waltono raštas Patrickui J. Leahy, skelbiamas adresu http://fas.org/irp/news/2013/07/fisc-leahy.pdf.

(32)  Žr. JAV laisvės akto 401 straipsnį oficialusis leidinys Nr. 114–23.

(33)  Žr. JAV kodekso 50 antraštinės dalies 1881 straipsnio f dalį.

(34)  Žr. ten pat. 1881 straipsnio a dalies l punkto 1 papunktis.

(35)  Žr. ten pat. 1881 straipsnio a dalies l punkto 3 papunktis. Kai kurios iš šių ataskaitų yra įslaptintos.

(36)  Nario nuomonė ir įsako 26 punktas (FISC 2014), skelbiama adresu http://www.dni.gov/files/documents/0928/FISC%20Memorandum%20Opinion%20and%20Order%2026%20August%202014.pdf.

(37)  Žr. 2015 m. JAV laisvės aktą, oficialusis leidinys Nr. 114–23, § 401, 129 Stat. 268.

(38)  Žr. ten pat, 103, 201, 501 straipsniai. Nacionalinio saugumo raštai yra numatyti įvairiuose įstatymuose ir pagal juos FTB gali gauti informaciją, esančią kredito ataskaitose, finansiniuose įrašuose ir elektroninius abonentų ir sandorių įrašus iš tam tikrų rūšių bendrovių, siekdama tik užtikrinti apsaugą nuo tarptautinio terorizmo arba neteisėtos žvalgybos veiklos. Žr. JAV kodekso 12 antraštinės dalies 3414 straipsnį, 15 antraštinės dalies 1681u–1681v straipsnius, 18 antraštinės dalies 2709 straipsnį. Nacionalinius saugumo raštus paprastai naudoja FTB siekdamas rinkti svarbią su turiniu nesusijusią informaciją ankstyvais kovos su terorizmu ir kontržvalgybos tyrimo etapais, pvz., sąskaitos abonentas, kuris gali palaikyti ryšius su teroristinės grupės, pvz., ISIL, nariais. Nacionalinio saugumo rašto gavėjai turi teisę juos ginčyti teisme. Žr. JAV kodekso 18 antraštinės dalies 3511 straipsnį.

(39)  Žr. ten pat.

(40)  Žr. ten pat, 401 straipsnis.

(41)  Žr. ten pat, 602 straipsnis.

(42)  Žr. ten pat.

(43)  Žr. ten pat, 603 straipsnis.

(44)  Žr. ten pat. 502 straipsnio f dalį – 503 straipsnį.

(45)  Skelbiama adresu http://www.dni.gov/index.php/intelligence-community/intelligence-transparency-principles.

(46)  Skelbiama adresu http://www.dni.gov/files/documents/Newsroom/Reports%20and%20Pubs/Principles%20of%20Intelligence%20Transparency%20Implementation%20Plan.pdf.

(47)  Žr. ten pat.

(48)  Skelbiama adresais: https://www.nsa.gov/civil_liberties/_files/nsa_report_on_section_702_program.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf.

(49)  Žr., pvz., New York Times v. Department of Justice, 756 F.3d 100 (2d Cir. 2014); American Civil Liberties Union v. CIA, 710 F.3d 422 (D.C. Cir. 2014).

(50)  JAV kodekso 42 antraštinės dalies 2000ee straipsnio a ir h dalys.

(51)  JAV kodekso 42 antraštinės dalies 2000ee straipsnio k dalis.

(52)  JAV kodekso 42 antraštinės dalies 2000ee straipsnio d dalies 2 punktas.

(53)  Žr. bendrą informaciją https://www.pclob.gov/library.html#oversightreports.

(54)  Žr. bendrą informaciją https://www.pclob.gov/events/2015/may13.html.

(55)  JAV kodekso 42 antraštinės dalies 2000ee straipsnio d dalies 1 punktas; taip pat žr. PCLOB konsultavimo funkcijos politiką ir procedūras, politika 2015–004, skelbiama adresu https://www.pclob.gov/library/Policy-Advisory_Function_Policy_Procedure.pdf.

(56)  JAV kodekso 42 antraštinės dalies 2000ee straipsnio g dalies 1 punkto A papunktis.

(57)  JAV kodekso 42 antraštinės dalies 2000ee straipsnio g dalies 1 punkto B papunktis.

(58)  JAV kodekso 42 antraštinės dalies 2000ee straipsnio g dalies 1 punkto D papunktis.

(59)  JAV kodekso 42 antraštinės dalies 2000eee straipsnio f dalis.

(60)  1978 m. Generalinio inspektoriaus akto (iš dalies pakeistas) 2 ir 4 straipsniai (toliau – IG aktas); 1947 m. Nacionalinio saugumo akto (iš dalies pakeistas) 103H straipsnio b ir e dalys; Centrinės žvalgybos akto (toliau – CŽV aktas) 17 straipsnio a dalis.

(61)  Žr. oficialųjį leidinį Nr. 113–293, 128 Stat. 3990, (2014 m. gruodžio 19 d.). Prezidentas neskiria tik Gynybos žvalgybos agentūros ir Nacionalinės geoerdvinės žvalgybos agentūros generalinių inspektorių; tačiau Gynybos departamento generalinio inspektoriaus ir Žvalgybos bendruomenės generalinio inspektoriaus jurisdikcija šių agentūrų atžvilgiu sutampa.

(62)  1978 m. IG akto (iš dalies pakeistas) 3 straipsnis; Nacionalinio saugumo akto 103H straipsnio c dalis ir CŽV akto 17 straipsnio b dalis.

(63)  Žr. 1947 m. IG akto 4 straipsnio a dalį ir 6 straipsnio a dalies 2 punktą; Nacionalinio saugumo akto 103J straipsnio e dalį ir g dalies 2 punkto A papunktį; CŽV akto 17 straipsnio a ir c dalis.

(64)  IG akto 3 straipsnio d dalis, 6 straipsnio a dalies 7 punktas ir 6 straipsnio f dalis; Nacionalinio saugumo akto 103H straipsnio d, i, j ir m dalys; CŽV akto 17 straipsnio e dalies 7 punktas ir f dalis.

(65)  IG akto 6 straipsnio a dalies 1, 3, 4, 5 ir 6 punktai; Nacionalinio saugumo akto 103H straipsnio g dalies 2 punktas; CŽV akto 17 straipsnio e dalies 1, 2, 4 ir 5 punktai.

(66)  Žr., pvz., IG akto 8 straipsnio b dalį ir 8E straipsnio a dalį; Nacionalinio saugumo akto 103H straipsnio f dalį; CŽV akto 17 straipsnio b dalį.

(67)  IG akto 4 straipsnio a dalies 5 punktas; Nacionalinio saugumo akto 103H straipsnio a dalis ir b dalies 3 ir 4 punktai; CŽV akto 17 straipsnio a dalies 2 ir 4 punktai.

(68)  IG akto 2 straipsnio 3 punktas, 4 straipsnio a dalis ir 5 straipsnis; Nacionalinio saugumo akto 103H straipsnio k dalis; CŽV akto 17 straipsnio d dalis. Teisingumo departamento generalinis inspektorius ataskaitas skelbia viešai internete adresu http://oig.justice.gov/reports/all.htm. Panašiai, Žvalgybos bendruomenės generalinis inspektorius skelbia pusmečio ataskaitas, kurios prieinamos adresu https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(69)  IG akto 2 straipsnio 3 punktas, 4 straipsnio a dalis ir 5 straipsnis; Nacionalinio saugumo akto 103H straipsnio k dalis; CŽV akto 17 straipsnio d dalis. Teisingumo departamento generalinis inspektorius ataskaitas skelbia viešai internete adresu http://oig.justice.gov/reports/all.htm. Panašiai, Žvalgybos bendruomenės generalinis inspektorius skelbia pusmečio ataskaitas, kurios prieinamos adresu https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(70)  IG akto 7 straipsnis; Nacionalinio saugumo akto 103H straipsnio g dalies 3 straipsnis CŽV akto 17 straipsnio e dalies 3 punktas.

(71)  IG akto 11 straipsnis.

VII PRIEDAS

2016 m. vasario 19 d.

Justinui S. Antonipillai,

JAV komercijos departamento

advokatui

1401 Constitution Ave., NW

Vašingtonas, DC 20230

Tedui Deanui,

Tarptautinės prekybos administracijos

sekretoriaus pavaduotojui

1401 Constitution Ave., NW

Vašingtonas, DC 20230

Gerbiami J. Antonipillai ir T. Deanai,

šiame rašte pateikiama trumpa pagrindinių tyrimo priemonių, naudojamų komerciniams duomenims ir kitai įrašų informacijai iš Jungtinių Amerikos Valstijų gauti baudžiamosios teisės arba viešojo intereso (civilinio ir reguliavimo) tikslais, įskaitant šiuose įgaliojimuose nustatytus prieigos apribojimus (1). Šie teisiniai procesai yra nediskriminuojamojo pobūdžio, nes naudojami informacijai iš Jungtinių Amerikos Valstijų korporacijų, įskaitant bendroves, kurios pagal ES ir JAV „privatumo skydą“ taiko autosertifikavimą, nepaisant duomenų subjekto pilietybės, gauti. Be to, korporacijos, prieš kurias Jungtinėse Amerikos Valstijose pradėti teisiniai procesai, gali juos ginčyti teisme, kaip aprašyta toliau (2).

Kalbant apie valdžios institucijų duomenų areštą, ypač svarbu atkreipti dėmesį į Jungtinių Amerikos Valstijų Konstitucijos Ketvirtąją pataisą, kurioje nustatyta, jog „[a]smenų teisė, kad būtų užtikrinta jų asmens, būsto, dokumentų ir turto apsauga nuo nepagrįstos kratos ar arešto, negali būti pažeidžiama, ir jokie orderiai, išskyrus pakankamu pagrindu pagrįstus orderius, pagrįsti priesaika arba patvirtinimu, ypač orderiai, kuriuose aprašoma apieškoma vieta ir asmenys arba areštuotini daiktai, negali būti išduodami“. JAV Konstitucijos IV. Kaip nurodė Jungtinių Amerikos Valstijų Aukščiausiasis Teismas byloje Berger prieš State of New York, „[p]agrindinis šios Pataisos tikslas, kaip nurodyta įvairiuose Teismo sprendimuose, – apsaugoti asmenų privatumą ir saugumą nuo savavališkų Vyriausybės pareigūnų veiksmų“. 388 U.S. 41, 53 (1967) (cituojamas sprendimas byloje Camara prieš Mun., San Francisko teismas, 387 U.S. 523, 528 (1967)). Vidaus baudžiamuosiuose tyrimuose pagal Ketvirtąją pataisą paprastai reikalaujama, kad teisėsaugos pareigūnai, prieš atlikdami kratą, gautų teismo orderį. Žr. Katz prieš United States, 389 U.S. 347, 357 (1967). Kai reikalavimas išduoti orderį netaikomas, Vyriausybės veiklai pagal Ketvirtąją pataisą taikomas „pagrįstumo“ testas. Todėl pačia Konstitucija užtikrinama, kad JAV Vyriausybė neturėtų neribotų arba savavališkų įgaliojimų areštuoti privačią informaciją.

Baudžiamosios teisės teisėsaugos institucijos

Federaliniai prokurorai, kurie yra Teisingumo departamento (DOJ) pareigūnai, ir federalinių tyrimų agentai, įskaitant Federalinio tyrimų biuro (FTB) agentus (DOJ teisėsaugos institucija), kurie gali priversti parengti dokumentus ir kitą įrašų informaciją iš korporacijų Jungtinėse Amerikos Valstijose baudžiamojo tyrimo tikslais taikant keletą privalomų teisinių procesų, įskaitant didžiosios žiuri šaukimus, administracinius potvarkius ir kratos orderius, ir gali reikalauti kitų ryšių pagal federalinius baudžiamuosius įgaliojimus bei klausytis pokalbių telefonu ir renkamų numerių registratorių srityje.

Didžiosios žiuri arba šaukimai į teismą. Šaukimai į baudžiamąją bylą naudojami siekiant padėti atlikti tikslingus teisėsaugos institucijų tyrimus. Didžiosios žiuri šaukimas į teismą yra oficialus didžiosios žiuri prašymas (papratai pateikiamas federalinio prokuroro prašymu) padėti atlikti didžiajai žiuri konkretaus baudžiamojo įstatymo pažeidimo tyrimą. Didžioji žiuri veikia kaip teismo tiriamoji grupė, kurią išrenka teisėjas arba magistratas. Šaukime į teismą gali būti reikalaujama, kad tam tikras asmuo liudytų byloje arba pateiktų verslo įrašus, elektronine forma saugomą informaciją arba kitus materialius įrodymus arba leistų susipažinti su jais. Informacija turi būti susijusi su tyrimu, o šaukimas į teismą negali būti nepagrįstas dėl pernelyg plataus pobūdžio arba dėl to, kad yra neįvykdomas ar sukelia per didelę naštą. Gavėjas gali pateikti prašymą ginčyti šaukimą į teismą šiais pagrindais. Žr. Federalinio baudžiamojo proceso taisyklių 17 taisyklę. Tam tikromis aplinkybėmis teismo šaukimai dėl dokumentų gali būti naudojami po to, kai didžioji žiuri byloje priėmė sprendimą.

Įgaliojimai priimti administracinius potvarkius. Įgaliojimais priimti administracinius potvarkius galima pasinaudoti baudžiamuosiuose arba civiliniuose tyrimuose. Kalbant apie baudžiamąsias bylas, pažymėtina, kad pagal kai kuriuos federalinius įstatymus leidžiama naudoti administracinius potvarkius arba supažindinti su įmonių įrašais, elektronine forma saugoma informacija arba kitais materialiais tyrimo daiktais, susijusiais su sukčiavimu sveikatos srityje, vaiko išnaudojimu, slaptos tarnybos apsauga, kontroliuojamų medžiagų bylomis ir generalinių inspektorių tyrimais, kurie daro poveikį Vyriausybės agentūrom. Jeigu Vyriausybė siekia įvykdyti administracinį potvarkį teisme, administracinio potvarkio gavėjas, kaip ir didžiosios žiuri šaukimo į teismą gavėjas, gali teigti, jog potvarkis nepagrįstas dėl to, kad jis yra pernelyg plataus pobūdžio, neįvykdomas arba sukeliantis per didelę naštą.

Teismo nutartys dėl renkamų numerių registratorių arba spąstų ir sekimo prietaisų. Pagal baudžiamąsias renkamų numerių registratorių arba spąstų ir sekimo prietaisų naudojimo nuostatas teisėsaugos institucija, gavusi patvirtinimą, kad pateikta informacija yra susijusi su atliekamu baudžiamuoju tyrimu, gali gauti teismo nutartį, kad įgytų tikruoju laiku, su turiniu nesusijusius numerių rinkimo, maršruto parinkimo, adresavimo ir signalų informaciją apie telefono numerį arba e. paštą. Žr. JAV kodekso 18 antraštinės dalies 3121–3127 straipsnius. Tokio prietaiso naudojimas arba įdiegimas nesilaikant įstatymo yra federalinis nusikaltimas.

Elektroninių ryšių privatumo aktas (ECPA). Papildomomis taisyklėmis reglamentuojama Vyriausybės prieiga prie abonento informacijos, srauto duomenų ir saugomo ryšių turinio, kurį ISP telefonų bendrovės ir kitos paslaugas teikiančios trečiosios šalys turi pagal ECPA II antraštinę dalį, kuri taip pat vadinama Saugomų ryšių aktu (SCA), JAV kodekso 18 antraštinės dalies 2701–2712 straipsniai. SCA nustatyta įstatymu įtvirtinta privatumo teisių sistema, kuria ribojama teisėsaugos institucijų prieiga prie duomenų, nesusijusių su duomenimis, kurių pagal konstitucinę teisę reikalaujama iš klientų ir interneto paslaugų teikėjo abonentų. SCA nustatyti didesni privatumo apsaugos lygiai, kurie priklauso nuo duomenų rinkimo veiksmų intervencijos. Kalbant apie abonento registracijos informaciją, IP adresus ir susijusias laiko žymas bei sąskaitų informaciją, pažymėtina, kad šiuo klausimu baudžiamosios teisėsaugos institucijos turi kreiptis į teismą. Dėl didžiosios dalies kitos saugomos ir su turiniu nesusijusios informacijos, pvz., e. laiškų pavadinimų, be dalyko pavadinimo teisėsaugos institucijos privalo pateikti teisėjui konkrečius faktus, įrodančius, kad prašoma informacija yra svarbi ir esminė vykdomam baudžiamajam tyrimui Siekiant gauti saugomą elektroninių ryšių turinį, paprastai baudžiamosios teisės institucijos gauna teisėjo orderį, remdamosi pakankamu pagrindu, jeigu manoma, kad atitinkamas įrodymas prilygsta nusikaltimo įrodymui. SCA taip pat nustatyta civilinė atsakomybė ir baudžiamosios sankcijos.

Teismo orderiai dėl stebėjimo pagal Federalinį slapto pokalbių klausymosi įstatymą. Be to, teisėsaugos institucijos gali tikruoju laiku perimti pokalbius, žodinius arba elektroninius ryšius baudžiamojo tyrimo tikslais pagal federalinį slaptų pokalbių pasiklausymo įstatymą. Žr. JAV kodekso 18 antraštinės dalies 2510–2522 straipsnius. Šiais įgaliojimais galima naudotis tik remiantis teismo nutartimi, kurioje teisėjas, be kita ko, nustato, kad yra pakankamas pagrindas manyti, jog slaptas pokalbių pasiklausymas arba elektroninių ryšių perėmimas bus federalinio nusikaltimo įrodymai. Įstatyme nustatyta civilinė atsakomybė ir baudžiamosios sankcijos už slapto pokalbių klausymosi pažeidimus.

Kratos orderis – 41 taisyklė. Teisėsaugos institucijos gali fiziškai apieškoti patalpas Jungtinėse Amerikos Valstijose, kai leidimą tam išduoda teisėjas. Teisėsaugos institucijos, remdamosi „pakankamu pagrindu“, privalo teisėjui įrodyti, kad nusikaltimas buvo padarytas arba gali būti padarytas ir kad su nusikaltimu susiję elementai, tikėtina, gali būti rasti orderyje nurodytoje vietoje. Šis įgaliojimas dažnai naudojamas, kai būtina, kad policija atliktų patalpų apžiūrą dėl pavojaus, kad įrodymai gali būti sunaikinti, jeigu korporacijai įteikiamas šaukimas į teismą arba kitas orderis dėl įrodymų. Žr. JAV Konstitucijos Ketvirtąją pataisą (išsamiau aptarta pirmiau), Federalinių baudžiamojo proceso taisyklių 41 taisyklę. Jeigu orderio dalykas yra pernelyg platus, nepagrįstas arba kitaip netinkamai nustatytas, pagrįstą reikalavimą turinčios šalys gali atmesti bet kokius neteisėtos kratos metu gautus įrodymus. Žr. Mapp prieš Ohio, 367 U.S. 643 (1961).

DOJ rekomendacijos ir politika Be šių konstitucinių, įstatymais įtvirtintų ir taisyklėmis pagrįstų apribojimų dėl Vyriausybės prieigos prie duomenų, generalinis prokuroras priėmė gaires, kuriose nustatyti papildomi teisėsaugos institucijų prieigos prie duomenų apribojimai ir kuriose taip pat nustatytos privatumo ir pilietinių laisvių apsaugos priemonės. Pavyzdžiui, Generalinio advokato gairėse dėl Federalinio tyrimų biuro (FTB) vidaus operacijų (2008 m. rugsėjo mėn.) (toliau – AG FBI gairės), skelbiamose adresu http://www.justice.gov/archive/opa/docs/guidelines.pdf, nustatytos tyrimo priemonių naudojimo ribos siekiant gauti informaciją, susijusią su federalinių nusikaltimų tyrimais. Šiose gairėse reikalaujama, kad FTB naudotų kuo mažiau intervencines ir ribojančias priemones ir atsižvelgtų į poveikį privatumui, pilietinėms laisvėms ir galimą žalą reputacijai. Be to, jose pažymima, kad „paprastai FTB privalo tyrimus ir kitą veiklą vykdyti teisėtai ir pagrįstai, gerbdamas laisvę ir privatumą ir taip, kad išvengtų nereikalingo įstatymų besilaikančių žmonių gyvenimo apribojimo.“ Žr. AG FBI gairių 5 punktą. FTB šias gaires įgyvendino FTB vidaus tyrimų ir operacijų gairėse (DIOG), kurios skelbiamos adresu https://vault.fbi.gov/FBI%20Domestic%20Investigations%20and%20Operations%20Guide%20(DIOG), t. y. išsamus vadovas, kuriame nurodomos konkrečios tyrimo priemonių ribos ir gairės, kuriomis užtikrinama, kad pilietinės laisvės ir privatumas būtų užtikrinami kiekviename tyrime. Papildomos taisyklės ir politika, kuria nustatomi federalinių prokurorų tyrimo veiklos apribojimai, išdėstytos Jungtinių Amerikos Valstijų vadove (USAM), kuris taip pat skelbiamas internete adresu http://www.justice.gov/usam/united-states-attorneys-manual.

Pilietiniai ir reguliavimo įgaliojimai (viešasis interesas)

Civilinei arba reguliavimo (t. y. viešojo intereso pagrindais suteikiamai) prieigai prie duomenų, kuriuos turi Jungtinių Amerikos Valstijų korporacijos, taip pat taikomi griežti apribojimai. Civilines ir reguliavimo pareigas turinčios agentūros gali priimti korporacijoms skirtus šaukimus į teismą dėl įmonių įrašų, elektroniniu būdu saugomos informacijos ir kitų materialių daiktų. Šios agentūros, vykdydamos savo administracinius arba civilinius įgaliojimus išduoti šaukimą į teismą, turi vadovautis ne tik pagrindiniais įstatymais, bet ir nepriklausoma teismine šaukimų į teismą peržiūra prieš galimą teisminį vykdymą. Žr., pvz., Federalinių civilinio proceso taisyklių 45 taisyklę. Agentūros gali siekti gauti tik su jų reguliavimo įgaliojimais susijusius duomenis. Be to, administracinio potvarkio gavėjas gali ginčyti tą potvarkį teisme pateikdamas įrodymus, kad agentūra neveikė pagal pagrindinius pagrįstumo standartus, kaip aptarta pirmiau.

Bendrovės administracinių agentūrų prašymus dėl duomenų gali ginčyti remdamosi savo specifine pramone ir turimų duomenų rūšimi. Pavyzdžiui, finansų įstaigos gali ginčyti administracinius potvarkius, kuriais siekiama gauti tam tikrų rūšių informaciją, kuria patvirtinami Bankų paslapties akto ir jo įgyvendinimo taisyklių pažeidimai. Žr. JAV kodekso 31 antraštinės dalies 5318 straipsnį, 31 C.F.R. X dalį. Kitos įmonės gali remtis Sąžiningo kredito ataskaitų aktu, žr. JAV kodekso 15 antraštinės dalies 1681b straipsnį arba kitus sektoriaus įstatymus. Netinkamas agentūros šaukimo į teismą įgaliojimų naudojimas gali užtraukti agentūrai atsakomybę arba asmeninę agentūros pareigūnų atsakomybę. Žr., pvz., Teisės į finansinį privatumą aktą, JAV kodekso 12 antraštinės dalies 3401–3422 straipsnius. Todėl Jungtinių Amerikos Valstijų teismai vykdo netinkamų reguliavimo prašymų atranką ir nepriklausomą federalinių agentūrų veiksmų priežiūrą.

Galiausiai bet kokie įstatymais įtvirtinti įgaliojimai, kuriuos administracinės institucijos turi, kad fiziškai areštuotų Jungtinių Amerikos Valstijų įrašus pagal administracinę paiešką, privalo atitikti Ketvirtosios pataisos reikalavimus. Žr. See prieš City of Seattle, 387 U.S. 541 (1967).

Išvada

Visa teisėsaugos ir reguliavimo veikla Jungtinėse Amerikos Valstijose turi atitikti taikytiną teisę, įskaitant JAV Konstituciją, įstatymus, taisykles ir reglamentus. Tokia veikla taip pat turi atitikti taikytiną politiką, įskaitant Generalinio advokato rekomendacijas, kuriomis teisėsaugos institucijų veikla reglamentuojama federaliniu lygmeniu. Pirmiau aprašytoje teisinėje sistemoje nustatyti JAV teisėsaugos ir reguliavimo agentūrų apribojimai, kurie taikomi įgyjant informaciją iš Jungtinių Amerikos Valstijų korporacijų, nepaisant to, ar informacija yra susijusi su JAV asmenimis, ar su užsienio šalių piliečiais, be to, šioje sistemoje leidžiama atlikti bet kurio Vyriausybės prašymo dėl pagal šiuos įgaliojimus gautų duomenų peržiūrą.

---

(1)  Šioje apžvalgoje neaprašomos nacionalinio saugumo tyrimo priemonės, kurias teisėsaugos institucijos naudoja terorizmo ir kitų nacionalinio saugumo tyrimų srityje, įskaitant nacionalinio saugumo raštus (NSL) dėl tam tikrų įrašų informacijos kredito ataskaitose, finansinių įrašų ir elektroninio abonento ir sandorių įrašų, žr. JAV kodekso 12 antraštinės dalies 3414 straipsnį; JAV kodekso 15 antraštinės dalies 1681u straipsnį; JAV kodekso 15 antraštinės dalies 1681v straipsnį; JAV kodekso 18 antraštinės dalies 2709 straipsnį, o dėl elektroninio stebėjimo, kratos orderių, verslo įrašų ir kitų ryšių duomenų rinkimo pagal Užsienio žvalgybos stebėjimo aktą žr. JAV kodekso 1801 ir kitus straipsnius.

(2)  Šiame rašte aptariami teisėsaugos ir reguliavimo institucijų įgaliojimai; valstijų teisės pažeidimus tiria valstijos, o bylos dėl pažeidimų nagrinėjamos valstijų teismuose. Valstijų teisėsaugos institucijos išduoda įsakymus ir šaukimus į teismą pagal valstijos teisę iš esmės tokiu pat būdu, kaip aprašyta šiame rašte, tačiau įskaitant galimybę valstijų teisiniam procesui taikyti valstijų konstitucijose nustatytas apsaugos priemones, kurios yra griežtesnės, palyginti JAV Konstitucija. Valstijų teisėje nustatytos apsaugos priemonės turi būti bent jau lygiavertės JAV Konstitucijoje nustatytoms priemonėms, įskaitant Ketvirtąja pataisa, bet ja neapsiribojant.