PRILOGA I

7. julij 2016

Věra Jourová

Komisarka za pravosodje, potrošnike in enakost spolov

Evropska komisija

Rue de la Loi/Wetstraat 200

1049 Bruselj

Belgija

Spoštovana komisarka Jourová,

veseli me, da vam lahko v imenu Združenih držav pošljem sveženj gradiva v zvezi z zasebnostnim ščitom EU-ZDA, ki je plod dvoletnih produktivnih razprav med najinima ekipama. Ta sveženj in drugo gradivo, ki je na razpolago Komisiji iz javnih virov, zagotavljata trdno podlago za novo ugotovitev Evropske komisije o ustreznosti (1).

Ponosna sva lahko na izboljšave okvira. Zasebnostni ščit temelji na načelih, ki imajo podporo v trdnem konsenzu na obeh straneh Atlantika, delovanje teh načel pa smo še okrepili. S skupnim delom imamo resnično priložnost izboljšati zaščito zasebnosti po vsem svetu.

Sveženj o zasebnostnem ščitu vsebuje načela zasebnostnega ščita in pismo, priloženo kot Priloga 1, Uprave za mednarodno trgovino (ITA) ameriškega Ministrstva za trgovino, pristojne za program, v katerem so opisane zaveze našega ministrstva glede zagotavljanja učinkovitega delovanja zasebnostnega ščita. Sveženj vključuje tudi Prilogo 2, ki vsebuje druge zaveze Ministrstva za trgovino v zvezi z novim arbitražnim modelom, ki je na razpolago v okviru zasebnostnega ščita.

Svojim zaposlenim sem naročila, naj namenijo vsa potrebna sredstva za hitro in polno izvajanje okvira zasebnostnega ščita ter za pravočasno izpolnitev zavez iz Prilog 1 in 2.

Sveženj o zasebnostnem ščitu vključuje tudi druge dokumente agencij Združenih držav, in sicer:

—	pismo Zvezne komisije za trgovino (Federal Trade Commission, v nadaljnjem besedilu: FTC), ki opisuje njeno izvrševanje zasebnostnega ščita;

—	pismo Ministrstva za promet, ki opisuje njegovo izvrševanje zasebnostnega ščita;

—	pismi urada direktorja nacionalne obveščevalne službe (Office of the Director of National Intelligence, v nadaljnjem besedilu: ODNI) v zvezi z zaščitnimi ukrepi in omejitvami, ki veljajo za ameriške nacionalne varnostne organe;

—

pismo Ministrstva za zunanje zadeve ZDA s priloženim memorandumom, ki opisuje zavezo tega ministrstva, da uvede nov institut varuha človekovih pravic na področju zasebnostnega ščita za predložitev poizvedb v zvezi z obveščevalnimi dejavnostmi ZDA pri zaznavanju signalov (v nadaljnjem besedilu: SIGINT) in

—	pismo, ki ga je pripravilo Ministrstvo za pravosodje ZDA v zvezi z zaščitnimi ukrepi in omejitvami dostopa vlade ZDA za potrebe kazenskega pregona in javnega interesa.

Prepričani ste lahko, da Združene države te zaveze jemljejo resno.

Popoln sveženj o zasebnostnem ščitu bo poslan v objavo Zveznemu registru v 30 dneh po končnem sprejetju ugotovitve o ustreznosti.

Veselimo se sodelovanja z vami pri uvajanju zasebnostnega ščita in pri skupnem delu na naslednji fazi tega procesa.

---

(1)  Če se bo sklep Komisije o ustreznosti varstva, ki ga zagotavlja zasebnostni ščit EU-ZDA, uporabljal za Islandijo, Lihtenštajn in Norveško, bo sveženj o zasebnostnem ščitu zajemal tako Evropsko unijo kot tudi te tri države.

PRILOGA II

NAČELA OKVIRA ZASEBNOSTNEGA ŠČITA EU-ZDA IZDALO MINISTRSTVO ZA TRGOVINO ZDA

I.   PREGLED

1.

Združene države in Evropska unija so si sicer zadale skupen cilj krepitve varstva zasebnosti, vendar se pristop Združenih držav do zasebnosti razlikuje od pristopa Evropske unije. V Združenih državah se uporablja sektorski pristop, ki temelji na mešanici zakonodaje, predpisov in samourejanja. Glede na te razlike in da bi organizacijam v Združenih državah zagotovili zanesljiv mehanizem za prenose osebnih podatkov iz Evropske unije v Združene države, obenem pa poskrbeli, da posamezniki iz EU, na katere se nanašajo osebni podatki, še naprej uživajo učinkovite zaščitne ukrepe in varstvo, kakor jih predpisuje evropska zakonodaja v zvezi z obdelavo njihovih osebnih podatkov, ko se ti prenesejo v države zunaj EU, Ministrstvo za trgovino izdaja ta načela zasebnostnega ščita, vključno z dopolnilnimi načeli (v nadaljnjem besedilu skupaj: načela) v okviru svoje zakonske pristojnosti, da omogoča, spodbuja in razvija mednarodno trgovino (člen 1512 naslova 15 zakonodajne zbirke ZDA). Načela so bila oblikovana v posvetovanju z Evropsko komisijo, predstavniki industrije in drugimi deležniki zaradi lajšanja trgovskih in gospodarskih stikov med Združenimi državami in Evropsko unijo. Namenjena so izključno organizacijam v Združenih državah, ki prejemajo osebne podatke iz Evropske unije, z namenom izpolnjevanja pogojev zasebnostnega ščita in s tem prejemanja ugodnosti iz sklepa Evropske komisije o ustreznosti (1). Načela ne vplivajo na uporabo nacionalnih določb, s katerimi se izvaja Direktivo 95/46/ES (v nadaljnjem besedilu: direktiva) in se nanašajo na obdelavo osebnih podatkov v državah članicah. Načela prav tako ne omejujejo obveznosti v zvezi z varstvom zasebnosti, ki sicer veljajo v skladu z zakonodajo ZDA.

2.

Da bi organizacija za izvedbo prenosov osebnih podatkov iz EU lahko uporabila zasebnostni ščit, mora samocertificirati svojo zavezanost k načelom pri Ministrstvu za trgovino (ali njegovemu pooblaščenemu predstavniku) (v nadaljnjem besedilu: Ministrstvo). Medtem ko so odločitve organizacij, da tako vstopijo v zasebnostni ščit, popolnoma prostovoljne, pa je dejansko spoštovanje načel obvezno: organizacije, ki se samocertificirajo pri Ministrstvu in javno razglasijo svojo zavezanost k načelom, morajo načela spoštovati v celoti. Organizacija mora za pristop k zasebnostnem ščitu (a) soditi v okvir preiskovalnih in izvršilnih pooblastil Zvezne komisije za trgovino (v nadaljnjem besedilu: FTC), Ministrstva za promet ali drugega zakonsko določenega organa, ki bo učinkovito zagotovil spoštovanje načel (drugi zakonsko določeni organi ZDA, ki jih prizna EU, se lahko vključijo pozneje s prilogo); (b) javno razglasiti svojo zavezanost k spoštovanju načel; (c) javno razkriti svoje politike zasebnosti v skladu s temi načeli in (d) jih v celoti izvajati. Če organizacija ne izpolnjuje načel, je mogoče zoper njo začeti postopek v skladu s členom 5 zakona o zvezni komisiji za trgovino (Federal Trade Commission Act), ki prepoveduje nepoštena in goljufiva dejanja v trgovini ali v zvezi s trgovino (člen 45(a) naslova 15), ali drugih zakonih ali predpisih, ki prepovedujejo takšna dejanja.

3.

Ministrstvo za trgovino bo vodilo verodostojen seznam organizacij iz ZDA, ki so se samocertificirale pri Ministrstvu in razglasile svojo zavezanost k spoštovanju načel, (v nadaljnjem besedilu: seznam zasebnostnega ščita) ter javnosti omogočilo dostop do njega. Ugodnosti zasebnostnega ščita so zagotovljene od datuma, ko Ministrstvo uvrsti organizacijo na seznam varnostnega ščita. Ministrstvo s seznama zasebnostnega ščita organizacijo odstrani, če ta prostovoljno izstopi iz zasebnostnega ščita ali če ne opravi letne samocertifikacije pri Ministrstvu. Odstranitev organizacije s seznama zasebnostnega ščita pomeni, da ta ni več upravičena do ugodnosti, ki izhajajo iz sklepa Evropske komisije o ustreznosti, da bi prejemala osebne informacije iz EU. Dokler hrani osebne informacije, ki jih je prejela med sodelovanjem v zasebnostnem ščitu, mora organizacija v zvezi s takimi informacijami še naprej uporabljati načela in pri Ministrstvu vsako leto potrditi svojo zavezanost k takšnemu ravnanju; v nasprotnem primeru mora organizacija vrniti ali izbrisati informacije ali zagotoviti „ustrezno“ varstvo informacij z drugimi dovoljenimi sredstvi. Ministrstvo s seznama zasebnostnega ščita odstrani tudi tiste organizacije, ki vztrajno ne izpolnjujejo načel; te organizacije niso upravičene do ugodnosti zasebnostnega ščita in morajo vrniti ali izbrisati osebne informacije, ki so jih prejele v okviru zasebnostnega ščita.

4.

Ministrstvo bo prav tako vodilo in dalo javnosti na voljo verodostojno evidenco organizacij iz ZDA, ki so se v preteklosti samocertificirale pri Ministrstvu, vendar so bile s seznama zasebnostnega ščita odstranjene. Ministrstvo bo izdalo jasno opozorilo, da te organizacije ne sodelujejo v zasebnostnem ščitu; da odstranitev s seznama zasebnostnega ščita pomeni, da take organizacije ne morejo trditi, da izpolnjujejo načela zasebnostnega ščita, ter da se morajo vzdržati morebitnih izjav ali zavajajočih ravnanj, ki bi nakazovala, da sodelujejo v zasebnostnem ščitu in da take organizacije niso več upravičene do ugodnosti, ki izhajajo iz sklepa Evropske komisije o ustreznosti in bi tem organizacijam omogočala prejemanje osebnih informacij iz EU. Proti organizaciji, ki še naprej trdi, da sodeluje v zasebnostnem ščitu, ali daje druge lažne navedbe v zvezi z zasebnostnim ščitom, potem ko je že bila odstranjena s seznama zasebnostnega ščita, lahko Zvezna komisija za trgovino, Ministrstvo za promet ali drugih organi pregona uvedejo izvršilne ukrepe.

5.

Zavezanost k tem načelom je lahko omejena: (a) če je to potrebno za izpolnjevanje zahtev nacionalne varnosti, javnega interesa ali kazenskega pregona; (b) z zakonom, vladnim podzakonskim aktom ali sodno prakso, ki ustvarijo nezdružljivost obveznosti ali izrecnih pooblastil, pod pogojem, da lahko organizacija pri izvajanju takih pooblastil dokaže, da je njeno neizpolnjevanje načel omejeno na obseg, ki je potreben za izpolnitev prevladujočih zakonitih interesov na podlagi takih pooblastil; ali (c) če direktiva ali pravo države članice dovoljuje izjeme in odstopanja, če se te izjeme in odstopanja uporabljajo v primerljivih okoliščinah. V skladu s ciljem krepitve varstva zasebnosti si morajo organizacije prizadevati, da načela uveljavijo v celoti in pregledno, vključno s tem, da v svoji politiki varstva zasebnosti navedejo, kdaj se bodo izjeme, dovoljene s točko (b) zgoraj, redno uporabljale. Iz istega razloga se od organizacij pričakuje, da se, kadar načela in/ali pravo ZDA dopuščajo izbiro, odločijo za možnost z večjim varstvom.

6.

Organizacije morajo po vstopu v zasebnostni ščit načela uporabljati pri vseh osebnih podatkih, ki se prenesejo na podlagi uporabe zasebnostnega ščita. Organizacija, ki se odloči razširiti ugodnosti zasebnostnega ščita na osebne podatke o človeških virih, ki jih prejme iz EU, za uporabo v okviru zaposlitvenih razmerij, mora to navesti ob samocertificiranju pri Ministrstvu in izpolniti zahteve, ki so določene v dopolnilnem načelu o samocertificiranju.

7.

Zakonodaja ZDA se bo uporabila za vprašanja glede razlage in izpolnjevanja načel ter ustreznih politik zasebnosti organizacij v zasebnostnem ščitu, razen če so se takšne organizacije zavezale k sodelovanju z evropskimi organi za zaščito podatkov. Če ni določeno drugače, se vse določbe načel uporabljajo v primerih, v katerih ustrezajo.

8.

Opredelitev pojmov: a. „Osebni podatki“ in „osebne informacije“ so podatki o znanem ali prepoznavnem posamezniku, ki so zapisani v kateri koli obliki in sodijo na področje uporabe direktive ter jih organizacije v ZDA prejmejo iz Evropske unije. b. „Obdelava“ osebnih podatkov pomeni kakršno koli operacijo ali niz operacij, ki se izvedejo na osebnih podatkih z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, evidentiranje, organiziranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje ali širjenje in izbris ali uničenje. c. „Upravljavec“ je oseba ali organizacija, ki sama ali v sodelovanju z drugimi določa namene in sredstva za obdelavo osebnih podatkov.

9.

Datum začetka veljavnosti načel je datum končne odobritve ugotovitve Evropske komisije o ustreznosti.

II.   NAČELA

1.   Obvestilo

a.

Organizacija mora posameznike obvestiti o: i. svojem sodelovanju v zasebnostnem ščitu in zagotoviti povezavo do ali spletni naslov seznama zasebnostnega ščita, ii. vrstah zbranih osebnih podatkov in, kjer je primerno, o subjektih in podružnicah organizacije, ki prav tako spoštujejo načela, iii. svoji zavezanosti k temu, da pri vseh osebnih podatkih, ki jih prejme iz EU na podlagi zasebnostnega ščita, uporabi načela, iv. namenih, za katere zbira in uporablja njihove osebne informacije, v. kako stopiti stik s takšno organizacijo pri morebitnih poizvedbah ali pritožbah, vključno z katero koli ustrezno ustanovo v EU, ki lahko odgovori na takšne poizvedbe ali pritožbe, vi. vrsti ali identiteti tretjih strank, katerim razkrije osebne informacije, in namene za njihovo razkritje, vii. pravici posameznikov do dostopa do svojih osebnih podatkov, viii. izbiri in sredstvih, ki jih organizacija ponuja posameznikom za omejevanje uporabe in razkritja njihovih osebnih podatkov, ix. neodvisni službi za reševanje sporov, določeni za obravnavanje pritožb in brezplačno zagotavljanje ustreznega pritožbenega mehanizma posamezniku, in ali je to: (1) forum, ki ga ustanovijo organi za zaščito podatkov, (2) drugi izvajalec reševanja sporov s sedežem v EU ali (3) drugi izvajalec reševanja sporov s sedežem v Združenih državah, x. tem, da zanje veljajo preiskovalna in izvršilna pooblastila Zvezne komisije za trgovino, Ministrstva za promet ali morebitnega drugega ameriškega zakonsko določenega organa, xi. možnosti posameznika, da pod določenimi pogoji uveljavi zavezujočo arbitražo, xii. zahtevi po razkritju osebnih informacij na podlagi zakonitih zahtev javnih organov, tudi z namenom izpolnjevanja zahtev nacionalne varnosti ali kazenskega pregona, in xiii. svoji odgovornosti v primerih prenosa tretjemu.

b.

To obvestilo organizacije mora biti jasno in nedvoumno, ko posameznika prvič prosi za zagotovitev osebnih podatkov ali kakor hitro je izvedljivo za tem, v vsakem primeru pa pred uporabo teh podatkov za namene, ki niso tisti, za katere jih je prvotno zbrala in obdelala pošiljajoča organizacija, ali pred prvim razkrijem tretji stranki.

2.   Možnost izbire

a.

Organizacija mora posameznikom ponuditi možnost izbire (zavrnitve) o tem, ali se bodo njihovi osebni podatki (i) razkrili tretji stranki ali (ii) se bodo uporabili za namen, ki se bistveno razlikuje od namenov, za katere so bili prvotno zbrani ali jih posamezniki pozneje odobrili. Posameznikom se morajo zagotoviti postopki izvršitve možnosti izbire, ki so jasni, razumljivi in dostopni.

b.	Z odstopanjem od prejšnjega odstavka možnost izbire ni potrebna, kadar se podatki razkrivajo tretji stranki, ki v vlogi posrednika izvaja naloge v imenu in po navodilih organizacije. Vendar pa organizacija vedno sklene pogodbo s posrednikom.

c.

Pri občutljivih podatkih (tj. osebnih podatkih, ki določajo zdravniško in zdravstveno stanje, rasno in etnično pripadnost, politična, verska in filozofska prepričanja, sindikalno članstvo, in podatkih o spolnem življenju posameznika) morajo organizacije od posameznikov pridobiti izrecno pozitivno soglasje (privolitev), kadar je takšne podatke treba (i) razkriti tretji stranki ali (ii) jih uporabiti za namen, ki ni tisti, za katerega so bili prvotno zbrani ali so ga posamezniki pozneje odobrili s svojo izbiro privolitve. Poleg tega mora organizacija obravnavati kot občutljive vse osebne informacije, ki jih je prejela od tretje stranke, kadar jih kot občutljive identificira in obravnava tretja stranka.

3.   Odgovornost za prenos tretjemu

a.

Za prenos osebnih informacij tretjemu, ki nastopa v vlogi upravljavca, morajo organizacije izpolniti načeli obvestila in možnosti izbire. Organizacije morajo skleniti tudi pogodbo s tretjim upravljavcem, ki določa, da se taki podatki smejo obdelovati le za omejene in natančno določene namene v skladu s soglasjem, ki ga podal posameznik, in da bo prejemnik zagotovil enako raven zaščite kot načela ter organizacijo obvestil, če ugotovi, da te obveznosti ne more več izpolnjevati. V tej pogodbi je določeno, da tretji upravljavec v primeru take ugotovitve preneha z obdelavo ali sprejme druge razumne in ustrezne ukrepe za odpravo.

b.

Za prenos osebnih podatkov tretji stranki, ki nastopa v vlogi posrednika, morajo organizacije: (i) prenesti takšne podatke le za omejene in natančno določene namene; (ii) potrditi, da je posrednik dolžan zagotoviti vsaj enako raven varstva zasebnosti, kot jo zahtevajo načela; (iii) sprejeti razumne in ustrezne ukrepe, s katerimi zagotovijo, da posrednik dejansko obdela prenesene osebne informacije na način, ki je skladen z obveznostmi organizacije v skladu z načeli; (iv) od zastopnika zahtevati, da jih v primeru ugotovitve, da ne more več izpolnjevati obveznosti glede zagotavljanja enake ravni varstva, kot jo zahtevajo načela, o tem obvesti; (v) po obvestilu, vključno v skladu s točko iv, sprejeti razumne in ustrezne ukrepe za ustavitev in odpravo nepooblaščene obdelave ter na zahtevo Ministrstvu zagotovi povzetek ali reprezentativni izvod ustreznih določb o zasebnosti iz svoje pogodbe s tem posrednikom.

4.   Varnost

a.

Organizacije, ki pripravljajo, vzdržujejo, uporabljajo ali širijo osebne podatke, morajo sprejeti ustrezne in razumne ukrepe, da jih zavarujejo pred izgubo, zlorabo in nepooblaščenim dostopom, razkritjem, spreminjanjem in uničenjem ob ustreznem upoštevanju tveganj, vključenih v obdelavo, in naravo osebnih podatkov.

5.   Neokrnjenost podatkov in omejitev namena

a.

V skladu z načeli je treba osebne informacije omejiti na informacije, ki ustrezajo namenu obdelave (2). Organizacija ne sme obdelovati osebnih podatkov na način, ki je nezdružljiv z nameni, za katere so bili podatki zbrani ali jih je posameznik pozneje odobril. V obsegu, potrebnem za te namene, mora organizacija z ustreznimi ukrepi zagotoviti, da so osebni podatki zanesljivi za nameravano uporabo, točni, popolni in trenutni. Organizacija mora spoštovati načela, dokler hrani take informacije.

b.

Informacije se lahko hranijo v obliki, s katero je posameznik določen ali določljiv (3), le dokler služijo namenu obdelave v smislu točke 5a. Ta obveznost organizacijam ne preprečuje obdelave osebnih podatkov za daljša obdobja, in sicer če čas in obseg take obdelave razumno služi namenom arhiviranja v javnem interesu, novinarstva, literature in umetnosti, znanstvenih in zgodovinskih raziskav ter statistične analize. V teh primerih za tako obdelavo veljajo druga načela in določbe okvira. Organizacije morajo sprejeti razumne in ustrezne ukrepe za uskladitev s to določbo.

6.   Dostop

a.

Posamezniki morajo imeti dostop do svojih osebnih podatkov, ki jih hrani organizacija, in možnost, da te podatke popravijo, spremenijo ali izbrišejo, kadar niso točni ali so bili obdelani ob kršitvi načel, razen kadar bi bili stroški ali izdatki za zagotovitev dostopa nesorazmerni s tveganjem za zasebnost zadevnega posameznika ali kadar bi bile kršene pravice drugih oseb.

7.   Pritožbeni mehanizem, uveljavljanje in odgovornost

a.

Učinkovita zaščita zasebnosti mora vključevati trdne mehanizme, ki zagotavljajo skladnost z načeli, pritožbene mehanizme za posameznike, ki jih neizpolnjevanje načel prizadene, in posledice za organizacije, kadar ne spoštujejo načel. Takšni mehanizmi morajo vključevati vsaj: i. dostopne neodvisne pritožbene mehanizme, s katerimi se pritožbe in spori vsakega posameznika preiščejo in hitro razrešijo brez stroška za posameznika in s sklicevanjem na načela, ter se dodeli odškodnina na podlagi veljavne zakonodaje ali pobud javnega sektorja; ii. postopke za preverjanje resničnosti izjav in zatrjevanj organizacij glede njihove prakse varovanja zasebnosti ter preverjanje izvajanja praks varstva zasebnosti na naveden način ter zlasti glede na primere neizpolnjevanja; in iii. obveznosti odpravljanja težav, ki nastanejo, ker organizacije, ki so javno razglasile svojo zavezanost k načelom, teh ne spoštujejo, in posledice za te organizacije. Sankcije morajo biti dovolj stroge, da zagotovijo spoštovanje načel.

b.

Organizacije in njihovi izbrani neodvisni pritožbeni mehanizmi se bodo pravočasno odzvali na poizvedbe in zahteve Ministrstva po informacijah v zvezi z zasebnostnim ščitom. Vse organizacije se morajo hitro odzvati na pritožbe v zvezi s skladnostjo z načeli, ki so jih organi držav članic EU poslali na Ministrstvo. Organizacije, ki so se odločile sodelovati z organi za zaščito podatkov, vključno z organizacijami, ki obdelujejo podatke o človeških virih, morajo neposredno odgovoriti takšnim organom v zvezi s preiskovanjem in reševanjem pritožb.

c.	Organizacije so dolžne presoditi trditve in upoštevati pogoje, določene v Prilogi I, če je posameznik uveljavil zavezujočo arbitražo, s tem ko je zadevni organizaciji poslal obvestilo in upošteval postopke ter v skladu s pogoji, določenimi v Prilogi I.

d.

V okviru prenosa tretjemu je organizacija v zasebnostnem ščitu odgovorna za obdelavo osebnih podatkov, ki jih prejme v okviru zasebnostnega ščita in naknadno prenese tretji stranki, ki nastopa v vlogi posrednika v njenem imenu. Organizacija v zasebnostnem ščitu ostane odškodninsko odgovorna po načelih, če njen posrednik obdeluje take osebne informacije na način, ki ni skladen z načeli, razen če organizacija dokaže, da ni odgovorna za dogodek, ki je povzročil škodo.

e.

Ko organizacija postane predmet odloka FTC ali sodne odločbe zaradi neizpolnjevanja načel, organizacija objavi vse ustrezne dele poročila o skladnosti ali oceni v zvezi z zasebnostnim ščitom, ki se predloži Zvezni komisiji za trgovino, če je to skladno z zahtevami glede zaupnosti. Ministrstvo je imenovalo posebno osebo za stike z organi za zaščito podatkov v primeru težav glede izpolnjevanja načel s strani organizacij v zasebnostnem ščitu. Zvezna komisija za trgovino bo prednostno obravnavala predložitve glede neizpolnjevanja načel z Ministrstva in organov držav članic EU ter bo pravočasno izmenjala informacije o teh zadevah z državnimi organi, ki so jih predložili, v skladu z obstoječimi omejitvami glede zaupnosti.

III.   DOPOLNILNA NAČELA

1.   Občutljivi podatki

a.

Organizacija ni dolžna pridobiti izrecnega pozitivnega soglasja (privolitve) v zvezi z občutljivimi podatki, kjer je obdelava: i. v življenjskem interesu subjekta podatkov ali druge osebe; ii. potrebna za uveljavitev pravnih zahtevkov ali obrambe; iii. nujna za zagotovitev zdravstvene nege ali diagnoze; iv. izvedena med potekom zakonitih dejavnosti politično, filozofsko, versko ali sindikalno usmerjenega sklada, združenja ali kake druge nepridobitne organizacije in pod pogojem, da obdelava zadeva izključno člane te organizacije ali osebe, ki so v zvezi z njenimi dejavnostmi z organizacijo v rednih stikih, ter da se podatki ne razkrijejo tretji stranki brez privolitve subjektov podatkov; v. potrebna za izvajanje obveznosti organizacije na področju delovnega prava; ali vi. povezana s podatki, ki jih je posameznik očitno dal v javnost sam.

2.   Izjeme za novinarsko področje

a.	Glede na ustavno varstvo svobode tiska v ZDA in izjemo direktive za novinarsko področje, kadar so pravice svobodnega tiska iz prvega amandmaja Ustave ZDA v koliziji z interesom varstva zasebnosti, mora prvi amandma uravnotežiti te interese glede na dejavnosti fizičnih in pravnih oseb v ZDA.

b.

Za osebne podatke, ki se zbirajo za objavo v časopisu ali po radiu in televiziji ali za drugo obliko javnega sporočanja novinarskega gradiva, ne glede na to, ali so bili dejansko uporabljeni, pa tudi za podatke, najdene v predhodno objavljenem gradivu, razširjenem iz medijskih arhivov, ne veljajo zahteve načel zasebnostnega ščita.

3.   Sekundarna odgovornost

a.

Ponudniki internetnih storitev, telekomunikacijska podjetja in druge organizacije niso odgovorni po načelih zasebnostnega ščita, kadar v imenu druge organizacije zgolj prenašajo, usmerjajo, zamenjujejo ali pridobivajo informacije. Kakor utemeljuje sama direktiva, zasebnostni ščit ne ustvarja sekundarne odgovornosti. Kolikor je organizacija zgolj posrednik podatkov, ki jih prenaša tretja stranka ter pri tem ne določa namenov in načinov obdelave teh osebnih podatkov, ni odgovorna.

4.   Izvedba skrbnega pregleda in revizij

a.	Dejavnosti revizorjev in investicijskih bank lahko vključujejo obdelavo osebnih podatkov brez privolitve ali vednosti posameznika. To dovoljujejo načela obvestila, možnosti izbire in dostopa pod pogoji, opisanimi spodaj.

b.

Javne delniške družbe in podjetja z omejenim številom lastnikov, vključno z organizacijami v zasebnostnem ščitu, so predmet rednih revizij. Takšne revizije, zlasti tiste, ki preiskujejo morebitna hudodelstva, so lahko ogrožene, če so razkrite prehitro. Podobno bo morala organizacija v zasebnostnem ščitu, ki je vpletena v morebitno združitev ali prevzem, izvesti ali prestati „skrbni pregled“. Ta bo pogosto vključeval zbiranje in obdelavo osebnih podatkov, kot so informacije o višjih izvršilnih delavcih in drugem ključnem osebju. Prehitro razkritje lahko ovira posel ali celo krši veljavni predpis glede vrednostnih papirjev. Investicijske banke in odvetniki, najeti za skrbni pregled, ali revizorji, ki izvajajo revizijo, lahko obdelujejo podatke brez vednosti posameznika samo v takšnem obsegu in tako dolgo, kolikor je potrebno, da se zadosti zakonskim ali javnim interesom, ter v drugih okoliščinah, v katerih bi uporaba teh načel škodovala zakonitim interesom organizacije. Ti zakoniti interesi vključujejo spremljanje izpolnjevanja zakonitih obveznosti in zakonitih računovodskih dejavnosti organizacij ter potrebo po zaupnosti v zvezi z morebitnimi nakupi, združitvami, skupnimi vlaganji ali drugo podobno transakcijo, ki jo opravijo investicijske banke in revizorji.

5.   Vloga organov za zaščito podatkov

a.

Organizacije bodo izvajale svojo zavezo k sodelovanju z organi EU za zaščito podatkov, kakor je opisano spodaj. V okviru zasebnostnega ščita se morajo organizacije ZDA, ki prejemajo osebne podatke iz EU, zavezati, da bodo uporabile učinkovite mehanizme za zagotavljanje izpolnjevanja načel zasebnostnega ščita. Kakor je navedeno v načelu pritožbenega mehanizma, uveljavljanja in odgovornosti, morajo sodelujoče organizacije zagotoviti: (a)(i) pritožbene mehanizme za posameznike, na katere se nanašajo podatki; (a)(ii) postopke za preverjanje resničnosti izjav in zatrjevanj glede njihove prakse varovanja zasebnosti; in (a)(iii) obveznosti odpravljanja težav, ki nastanejo zaradi neizpolnjevanja načel, in posledice za te organizacije. Organizacija lahko izpolni točki (a)(i) in (a)(iii) načela pritožbenega mehanizma, uveljavljanja in odgovornosti, če se zaveže k zahtevam, določenim tukaj, za sodelovanje z organi za zaščito podatkov.

b.

Organizacija se zaveže, da bo sodelovala z organi za zaščito podatkov, tako da v predložitvi samocertifikacije Ministrstvu za trgovino (glej dopolnilno načelo o samocertificiranju) izjavi naslednje: i. da se je organizacija odločila izpolniti zahteve iz točk (a)(i) in (a)(iii) načela pritožbenega mehanizma, uveljavljanja in odgovornosti z zavezo o sodelovanju z organi za zaščito podatkov; ii. da bo sodelovala z organi za zaščito podatkov pri preiskavah in reševanju pritožb, s sklicevanjem na načela zasebnostnega ščita; in iii. da bo upoštevala vsak nasvet organov za zaščito podatkov, kadar ti organi menijo, da mora organizacija s posebnim ukrepom poskrbeti za uskladitev z načeli zasebnostnega ščita, vključno z reševanjem pritožb in izplačilom odškodnin v korist posameznikov, ki so bili prizadeti zaradi kakršnega koli neizpolnjevanja načel, ter da bo organom za zaščito podatkov pisno potrdila, da je take ukrepe sprejela.

c.

Delovanje forumov organov za zaščito podatkov i. Sodelovanje z organi za zaščito podatkov EU bo potekalo prek informacij in nasvetov na naslednji način: 1. Nasvete organov za zaščito podatkov EU bo posredoval neuradni forum, ustanovljen na ravni Evropske unije, ki bo med drugim pomagal zagotoviti usklajen in skladen pristop. 2. Forum bo zadevnim organizacijam ZDA svetoval glede nerešenih pritožb posameznikov v zvezi z ravnanjem z osebnimi podatki, ki so bili preneseni iz Evropske unije v okviru zasebnostnega ščita. Nasvet bo oblikovan za zagotovitev pravilne uporabe načel zasebnostnega ščita in bo vključeval vsa pravna sredstva za zadevne posameznike, ki jih bodo organi za zaščito podatkov šteli za ustreznega. 3. Forum bo takšne nasvete zagotavljal v odgovor na posredovana stališča iz zadevnih organizacij in/ali na neposredne pritožbe posameznikov zoper organizacije, ki so se zavezale, da bodo sodelovale z organi za zaščito podatkov za namene zasebnostnega ščita, pri čemer bo spodbujal in po potrebi pomagal takim posameznikom, da na začetku uporabijo morebitni notranji mehanizem reševanja pritožb, ki ga lahko ima organizacija. 4. Nasvet bo izdan šele, ko bosta oba udeleženca v sporu imela ustrezno priložnost za predložitev pripomb in kakršnih koli dokazov. Forum bo poskušal dati nasvet tako hitro, kakor to dopušča zahteva po pravilnem postopku. Praviloma si bo forum prizadeval zagotoviti nasvet v 60 dneh po prejetju pritožbe ali posredovanega stališča in po možnosti še prej. 5. Forum bo javno objavil rezultate svojih preučevanj pritožb, če se mu bo to zdelo primerno. 6. Nasvet foruma ne povzroči odgovornosti za forum ali za posamezne organe za zaščito podatkov. ii. Kakor je navedeno zgoraj, se morajo organizacije, ki se odločijo za tak način reševanja sporov, zavezati, da bodo ravnale po nasvetu organov za zaščito podatkov. Če organizacija tudi po 25 dneh po prejemu nasveta ne ravna v skladu z njim in če ne ponudi zadovoljive razlage za zamudo, forum sporoči svojo namero, da bo predložil zadevo Zvezni komisiji za trgovino, Ministrstvu za promet ali drugemu zveznemu ali državnemu organu ZDA, ki ima zakonska pooblastila za pregon v primeru goljufije ali zavajanja, ali da bo sklenil, da gre za resno kršitev sporazuma o sodelovanju, ki ga je zato treba šteti za ničnega in neveljavnega. V slednjem primeru bo forum obvestil Ministrstvo za trgovino, da ustrezno spremeni seznam zasebnostnega ščita. Vsako neizpolnjevanje zaveze o sodelovanju z organi za zaščito podatkov, pa tudi neizpolnjevanje načel zasebnostnega ščita pomeni goljufivo prakso in kršitev po členu 5 zakona o FTC (FTC Act) ali drugega podobnega zakona.

d.	Organizacija, ki želi ugodnosti po zasebnostnem ščitu za podatke o človeških virih, ki se prenesejo iz EU v okviru zaposlitvenega razmerja, se mora zavezati k sodelovanju z organi za zaščito podatkov v zvezi s takšnimi podatki (glej dopolnilno načelo v zvezi s podatki o človeških virih).

e.

Organizacije, ki se bodo odločile za sodelovanje, bodo morale plačati letno pristojbino za pokrivanje stroškov delovanja foruma, dodatno pa so lahko zaprošene za kritje vseh potrebnih stroškov za prevajanje, ki izhajajo iz obravnave forumu predloženih stališč ali pritožb posameznikov zoper organizacije. Letna pristojbina ne bo presegla 500 USD in bo nižja za manjša podjetja.

6.   Samocertificiranje

a.	Ugodnosti zasebnostnega ščita se zagotavljajo od datuma, na katerega Ministrstvo uvrsti predložitev samocertifikacije organizacije na seznam zasebnostnega ščita po tem, ko je ugotovilo, da je vloga popolna.

b.

Če se želi organizacija samocertificirati za zasebnostni ščit, mora predložiti Ministrstvu samocertifikacijo, ki jo podpiše vodstveni delavec v imenu organizacije, ki pristopa k zasebnostnemu ščitu, in mora vsebovati vsaj naslednje podatke: i. ime organizacije, poštni naslov, elektronski naslov, telefonsko številko in število faksa; ii. opis dejavnosti organizacije v zvezi z osebnimi podatki, ki jih prejema iz EU; in iii. opis politike organizacije glede varstva zasebnosti, vključno s podatki: 1. če ima organizacija javno spletno stran, ustrezni spletni naslov, kjer je na voljo politika zasebnosti, ali, v kolikor organizacija nima javne spletne strani, kje je javnosti na voljo politika zasebnosti; 2. datum začetka izvajanja; 3. kontaktno službo, ki se ukvarja s pritožbami, zahtevami po dostopu in drugimi vprašanji, ki izhajajo iz načel zasebnostnega ščita; 4. posebno zakonsko telo, ki je pristojno za obravnavanje morebitnih pritožb proti organizaciji v zvezi z morebitno nepošteno ali zavajajočo prakso in kršitvami zakonov ali predpisov, ki urejajo zasebnost (in ki je navedena na seznamu načel ali v prihodnji prilogi k načelom); 5. ime katerega koli programa za varstvo zasebnosti, katerega član je organizacija; 6. metodo preverjanja (npr. znotraj organizacije, tretja stran) (glej dopolnilno načelo glede preverjanja); in 7. neodvisni pritožbeni mehanizem, ki je na voljo za preiskave nerešenih pritožb.

c.

Kadar organizacija želi, da bi ugodnosti varnega pristana zajele tudi podatke o človeških virih, prenesene iz Evropske unije za uporabo v okviru zaposlitvenih razmerij, lahko to stori, kadar obstaja zakonsko telo, pristojno za obravnavo pritožb v zvezi s podatki o človeških virih, ki je navedeno v načelih ali prihodnji prilogi k načelom. Organizacija mora to navesti tudi v svoji predložitvi samocertifikacije ter se zavezati, da bo sodelovala z zadevnim organom ali organi EU v skladu z dopolnilnimi načeli glede podatkov o človeških virih in vloge organov za zaščito podatkov, kakor primerno, ter da bo upoštevala nasvet, ki ga bo dobila od teh organov. Organizacija mora Ministrstvu predložiti tudi izvod svoje politike za varstvo zasebnosti človeških virov in informacije o tem, kje je politika zasebnosti na voljo zadevnim zaposlenim.

d.

Ministrstvo bo vzdrževalo seznam organizacij v okviru zasebnostnega ščita, ki predložijo popolne samocertifikacije, s čimer bo zagotovilo razpoložljivost ugodnosti zasebnostnega ščita, ter bo letno ažuriralo podatke na seznamu na podlagi letnih predložitev samocertifikacije in uradnih obvestil, ki jih prejme v skladu z dopolnilnim načelom glede reševanja sporov in uveljavljanja. Takšne samocertifikacije se predložijo najmanj enkrat letno, sicer je organizacija odstranjena s seznama zasebnostnega ščita in ji ugodnosti zasebnostnega ščita ne bodo več zagotovljene. Seznam zasebnostnega ščita in samocertifikacijske predložitve organizacij bodo na voljo javnosti. Vse organizacije, ki jih Ministrstvo uvrsti na seznam zasebnostnega ščita, morajo tudi v ustreznih objavljenih izjavah o svoji politiki zasebnosti navesti, da spoštujejo načela zasebnostnega ščita. Če je politika zasebnosti organizacije na voljo na spletu, mora vključevati povezavo na spletno stran Ministrstva v zvezi z zasebnostnim ščitom in povezavo na spletno stran ali obrazec za predložitev pritožbe neodvisnega pritožbenega mehanizma, ki je na voljo za preiskovanje nerešenih pritožb.

e.

Načela zasebnosti začnejo veljati takoj po certifikaciji. Ob priznavanju, da bodo načela vplivala na trgovinska razmerja s tretjimi strankami, organizacije, ki se potrdijo v okviru zasebnostnega ščita v prvih dveh mesecih po datumu začetka veljavnosti okvira, uskladijo obstoječa trgovinska razmerja s tretjimi strankami z načelom odgovornosti za prenos tretjemu čim prej, vendar najpozneje v devetih mesecih od datuma, na katerega se potrdijo v okviru zasebnostnega ščita. Kadar organizacije v tem vmesnem obdobju prenesejo podatke tretji stranki, (i) uporabijo načeli obvestila in možnosti izbire, ter (ii) kadar se osebni podatki prenesejo tretji stranki, ki nastopa v vlogi posrednika, zagotovijo, da je posrednik dolžan zagotoviti vsaj enako raven zaščite, kot jo predpisujejo načela.

f.

Organizacija mora za vse osebne podatke, ki jih prejme iz EU na podlagi zasebnostnega ščita, uporabiti načela zasebnostnega ščita. Pri podatkih, ki jih organizacija prejme v času, ko uživa ugodnosti zasebnostnega ščita, zavezanost k načelom zasebnostnega ščita ni časovno omejena. Ta zaveza pomeni, da bo organizacija uporabljala načela, dokler take podatke hrani, uporablja ali razkriva, četudi pozneje iz kakršnega koli razloga izstopi iz zasebnostnega ščita. Organizacija, ki izstopi iz zasebnostnega ščita, a želi hraniti takšne podatke, mora vsako leto pri Ministrstvu potrditi svojo zavezo, da bo še naprej spoštovala načela ali zagotovila „ustrezno“ zaščito za informacije z drugimi dovoljenimi sredstvi (na primer, s pogodbo, ki v celoti odraža zahteve ustreznih standardnih pogodbenih klavzul, ki jih sprejema Evropska komisija); sicer mora organizacija vrniti ali izbrisati informacije. Organizacija, ki izstopi iz zasebnostnega ščita. mora iz ustrezne politike zasebnosti odstraniti vse sklice na zasebnostni ščit, ki nakazujejo, da organizacija še naprej dejavno sodeluje v zasebnostnem ščitu in je upravičena do njegovih ugodnosti.

g.

Organizacija, ki zaradi združitve ali prevzema preneha obstajati kot ločena pravna oseba, mora o tem vnaprej uradno obvestiti Ministrstvo. V uradnem obvestilu mora tudi navesti, ali bo prevzemna ali združena organizacija (i) še naprej zavezana k načelom zasebnostnega ščita po zakonu o prevzemu ali združitvi ali (ii) se bo odločila, da samocertificira zavezanost k načelom zasebnostnega ščita ali uvede druge varovalke, kot je pisni sporazum, ki bo zagotovil zavezanost k načelom. Kadar se ne uporabljata ne (i) ne (ii), se morajo takoj zbrisati vsi osebni podatki, ki so bili pridobljeni v okviru zasebnostnega ščita.

h.

Kadar organizacija iz kakršnega koli razloga izstopi iz zasebnostnega ščita, mora odstraniti vse izjave, ki nakazujejo, da ta še naprej sodeluje v zasebnostnem ščitu ali je upravičena do ugodnosti zasebnostnega ščita. Prav tako je treba odstraniti certifikacijsko oznako zasebnostnega ščita EU-ZDA, če je uporabljena. Za vsako zavajanje širše javnosti v zvezi z zavezanostjo k načelom zasebnostnega ščita lahko Zvezna komisija za trgovino ali drug pristojni državni organ ukrepa proti kršitvi. Zavajanje Ministrstva se lahko kaznuje po zakonu o lažnih navedbah (False Statements Act) (člen 1001 naslova 18 zakonodajne zbirke ZDA).

7.   Preverjanje

a.	Organizacije morajo zagotoviti postopke za preverjanje resničnosti izjav in zatrjevanj, ki jih dajo organizacije glede svojih praks zasebnosti v okviru zasebnostnega ščita, ter izvajanja teh praks na naveden način in v skladu z načeli zasebnostnega ščita.

b.	Da organizacija izpolni zahteve preverjanja iz načela pritožbenega mehanizma, uveljavljanja in odgovornosti, mora takšne izjave in zatrjevanja preveriti s samoocenjevanjem ali zunanjim pregledom skladnosti z načeli.

c.

Pri samoocenjevanju mora tako preverjanje pokazati, da je objavljena politika organizacije glede zasebnosti osebnih podatkov, prejetih iz EU, točna, celovita, prikazana na vidnem mestu, v celoti izvedena in dostopna. Pokazati mora tudi, da je njena politika zasebnosti v skladu z načeli zasebnostnega ščita; da so posamezniki obveščeni o kakršnem koli notranjem mehanizmu organizacije za obravnavo pritožb in o neodvisnih mehanizmih, prek katerih se lahko pritožijo; da je vzpostavila postopke za izobraževanje zaposlenih o izvajanju politike ter za disciplinske ukrepe v primeru kršitve te politike; ter da je vzpostavila notranje postopke za redno objektivno pregledovanje usklajenosti z zgoraj navedenim. Izjavo o samooceni mora podpisati vodstveni delavec ali drug pooblaščeni predstavnik organizacije vsaj enkrat na leto in mora biti na voljo posameznikom na njihovo zahtevo ali v okviru preiskave ali pritožbe zaradi neskladnosti z načeli.

d.

Kadar se organizacija odloči za zunanji pregled skladnosti z načeli, mora tak pregled pokazati, da je njena politika zasebnosti v zvezi z osebnimi podatki, prejetimi iz EU, v skladu z načeli zasebnostnega ščita, da organizacija ravna v skladu z njo ter da so posamezniki obveščeni o mehanizmih za pritožbe. Metode pregledovanja so neomejene in lahko obsegajo revizijo, naključne preglede, uporabo „vab“ ali tehnoloških orodij. Izjavo o uspešno končanem zunanjem pregledu mora podpisati bodisi izvajalec pregleda bodisi vodstveni delavec ali drug pooblaščeni predstavnik organizacije vsaj enkrat na leto in mora biti na voljo posameznikom na njihovo zahtevo ali organom za preiskavo ali pritožbe zaradi skladnosti z načeli.

e.

Organizacije morajo voditi evidenco o svojem izvajanju prakse zasebnosti v okviru zasebnostnega ščita in jo v primeru preiskave ali pritožbe zaradi neskladnosti izročiti neodvisnemu organu, ki je pristojen za preiskavo pritožb, ali agenciji, ki je pristojna za obravnavo nepoštenih in goljufivih praks. Organizacije se morajo prav tako hitro odzvati na poizvedbe in druge zahteve za informacije iz Ministrstva v zvezi z zavezanostjo organizacije k spoštovanju načel.

8.   Dostop

a.   Načelo dostopa v praksi

i.

Po načelih zasebnostnega ščita je pravica do dostopa temeljna za varstvo zasebnosti. Posameznikom zlasti omogoča, da preverijo točnost svojih podatkov, ki jih hrani organizacija. Načelo dostopa pomeni, da imajo posamezniki pravico: 1. pridobiti od organizacije potrditev o tem, ali organizacija obdeluje njihove osebne podatke ali ne (4); 2. da jim sporočijo takšne podatke, da lahko preverijo njihovo točnost in zakonitost obdelave; in 3. da spremenijo, popravijo ali izbrišejo podatke, kadar so ti netočni ali obdelani ob kršitvi načel.

ii.

Posameznikom ni treba upravičevati zahtev za dostop do njihovih osebnih podatkov. Organizacije naj pri odzivu na posameznikovo zahtevo po dostopu najprej pogledajo težave, ki so vodile do zahteve. Če je na primer zahteva po dostopu nejasna in se nanaša na več področij, lahko organizacija v pogovoru s posameznikom poskuša bolje razumeti motiv za njegovo zahtevo ter poišče ustrezne podatke. Organizacija lahko poizve, na katere dele organizacije se je posameznik obrnil ali na katere vrste podatkov ali njihovo uporabo se nanaša zahteva po dostopu.

iii.

V skladu s temeljno naravo pravice do dostopa bi si organizacije morale vedno dobronamerno prizadevati zagotoviti dostop. Na primer kadar je treba določeno informacijo zavarovati in jo je mogoče zlahka ločiti od drugih osebnih informacij, na katere se nanaša zahteva po dostopu, mora organizacija prekriti zaščiteno informacijo in dati na voljo preostale podatke. Če organizacija ugotovi, da je treba v določenem posebnem primeru omejiti dostop, mora posamezniku, ki ga zahteva, pojasniti razloge za svojo odločitev in navesti ime službe za dajanje nadaljnjih informacij.

b.   Stroški in izdatki za zagotovitev dostopa

i.

Pravico dostopa do osebnih podatkov je mogoče omejiti v izjemnih okoliščinah, kjer bi bile kršene zakonite pravice drugih oseb ali kjer bi bili stroški ali izdatki za zagotovitev dostopa nesorazmerni s tveganji za zasebnost posameznika v zadevnem primeru. Stroški in izdatki so pomemben dejavnik, ki ga je treba upoštevati, vendar niso prevladujoči dejavniki pri ugotavljanju, ali je zagotovitev dostopa razumna ali ne.

ii.

Na primer, če se bodo osebne informacije uporabile za odločitve, ki bodo pomembno vplivale na posameznika (npr. zavrnitev ali dodelitev pomembnih ugodnosti, kot so zavarovanje, hipoteka in zaposlitev), potem mora organizacija v skladu z drugimi določbami teh dopolnilnih načel razkriti navedene podatke, četudi je zagotovitev njihovega dostopa razmeroma težka ali draga. Če zahtevane osebne informacije niso občutljive ali se ne uporabijo za odločitve, ki bodo pomembno vplivale na posameznika, temveč so dostopne in poceni, mora organizacija zagotoviti dostop do takih informacij.

c.   Zaupne tržne informacije

i.

Zaupne tržne informacije so informacije, ki jih je organizacija zavarovala pred razkritjem, saj bi slednje pomagalo konkurentu na trgu. Organizacije lahko zavrnejo ali omejijo dostop, kadar bi z odobritvijo polnega dostopa razkrile svoje zaupne tržne informacije, kot so v organizaciji narejeni tržni koncepti ali klasifikacije, ali zaupne tržne informacije drugega, kadar zanje velja pogodbena obveznost o zaupnosti.

ii.	Kadar je zaupno tržno informacijo mogoče brez težav ločiti od drugih osebnih informacij, na katere se nanaša zahteva po dostopu, mora organizacija na novo prekriti zaupno tržno informacijo in omogočiti dostop do podatkov, ki niso zaupni.

d.   Organiziranost podatkovnih zbirk

i.	Dostop se lahko zagotovi tako, da organizacija posamezniku razkrije ustrezne osebne informacije, za kar ni potreben dostop posameznika do podatkovne zbirke organizacije.

ii.	Dostop je treba zagotoviti samo do osebnih informacij, ki jih hrani organizacija. Načelo dostopa samo po sebi ne obvezuje organizacije, da hrani, vzdržuje, ponovno organizira ali ponovno strukturira datoteke z osebnimi podatki.

e.   Kdaj je mogoče omejiti dostop

i.

Ker si morajo organizacije vedno v dobri veri prizadevati, da posameznikom zagotovijo dostop do njihovih osebnih podatkov, so okoliščine, v katerih lahko organizacije omejijo tak dostop, omejene, vsak razlog za omejitev dostopa pa mora biti natančno naveden. V skladu z direktivo lahko organizacija omeji dostop do podatkov, samo kadar obstaja verjetnost, da bi njihovo razkritje poseglo v zaščito pomembnih nasprotujočih si javnih interesov, kot je nacionalna varnost, obramba ali javna varnost. Poleg tega se lahko dostop zavrne, kadar se osebni podatki obdelujejo izključno za namene raziskav ali statistike. Drugi razlogi za zavrnitev ali omejitev dostopa so: 1. poseg v izvrševanje ali uveljavljanje prava ali v zasebne pravne interese, vključno s preprečevanjem, preiskovanjem ali odkrivanjem kaznivih dejanj in pravico do poštenega sojenja; 2. razkritje, kadar bi bile kršene zakonite pravice ali pomembni pravni interesi drugih; 3. kršitev zakonskih in drugih poklicnih privilegijev in obveznosti; 4. vplivanje na preiskave o varnosti zaposlenih in pritožbene postopke ali v zvezi z načrtovanjem zamenjav zaposlenih in z reorganizacijo podjetja; ali 5. vplivanje na zaupnost, ki je potrebna v zvezi s spremljanjem, inšpekcijo in nadzornimi funkcijami, povezanimi s trdnim upravljanjem, ali v prihodnosti ali tekočih pogajanjih, v katera je vključena organizacija.

ii.	Organizacija, ki se sklicuje na izjemo, mora dokazati potrebo po njej ter navesti razloge za omejitev dostopa in ime službe za dajanje nadaljnjih informacij posameznikom.

f.   Pravica do pridobivanja potrditve in zaračunavanja pristojbine za pokrivanje stroškov za zagotovitev dostopa

i.	Posameznik ima pravico pridobiti potrditev o tem, ali ima ta organizacija osebne podatke, ki se nanašajo nanj. Posameznik ima tudi pravico, da mu sporočijo njegove osebne podatke. Organizacija lahko zaračuna pristojbino, ki ni previsoka.

ii.	Zaračunavanje pristojbine je lahko upravičeno, denimo, kadar so zahteve za dostop očitno previsoke, zlasti zaradi njihove ponavljajoče narave.

iii.	Dostopa se ne sme zavrniti zaradi stroškov, če jih je posameznik pripravljen plačati.

g.   Ponavljajoče in nadležne zahteve za dostop

Organizacija lahko postavi razumne omejitve glede številka poskusov v določenem obdobju, v katerem bodo izpolnjene zahteve za dostop nekega posameznika. Pri postavljanju takšnih omejitev mora organizacija upoštevati takšne dejavnike, kot je pogostost posodabljanja informacij, namen njihove uporabe in njihova narava.

h.   Goljufive zahteve za dostop

Organizaciji ni treba zagotoviti dostopa, dokler nima v rokah dovolj podatkov, da lahko potrdi istovetnost osebe, ki zahteva dostop.

i.   Časovni okvir za odgovore

Organizacije morajo odgovoriti na zahteve za dostop v razumnem roku, na razumen način in v obliki, ki je razumljiva posamezniku. Organizacija, ki redno zagotavlja informacije posameznikom, na katere se osebni podatki nanašajo, lahko izpolni posamezno zahtevo za dostop z rednim razkritjem, če to ne pomeni čezmerne zamude.

9.   Podatki o človeških virih

a.   Kritje zasebnostnega ščita

i.

Kadar organizacija v EU prenese osebne podatke o svojih zaposlenih (nekdanjih ali sedanjih), zbrane v okviru zaposlitvenega razmerja, matičnemu, odvisnemu ali neodvisnemu izvajalcu storitev v Združenih državah, ki sodeluje v okviru zasebnostnega ščita, veljajo za prenos ugodnosti zasebnostnega ščita. V takih primerih velja za zbiranje in obdelavo podatkov pred prenosom nacionalno pravo države EU, v kateri so bili zbrani, pri prenosu pa je treba spoštovati vse pogoje in omejitve po navedenem pravu.

ii.

Načela zasebnostnega ščita se uporabljajo samo za prenos ali dostop do podatkov, ki so individualno določeni ali določljivi. Pri statističnem poročanju, ki temelji na zbirnih podatkih o zaposlenosti, in ne vsebuje osebnih podatkov ali vključuje uporabo anonimnih podatkov, se vprašanje varstva zasebnosti ne pojavlja.

b.   Uporaba načel obvestila in možnosti izbire

i.

Organizacija ZDA, ki je dobila podatke o zaposlenih iz EU v okviru zasebnostnega ščita, jih lahko razkrije tretji stranki ali uporabi za drugačne namene samo v skladu z načeloma obvestila in možnosti izbire. Na primer, kadar organizacija namerava uporabiti podatke, zbrane v zaposlitvenem razmerju, za namene, ki niso povezani z zaposlitvenim razmerjem, kot so tržne komunikacije, mora organizacija ZDA pred tem prizadetim posameznikom zagotoviti predpisano možnost izbire, razen če so že odobrili uporabo podatkov v take namene. Taka uporaba ne sme biti nezdružljiva s prvotnimi nameni, zaradi katerih so bili osebni podatki zbrani ali jih je posameznik pozneje odobril. Poleg tega se take možnosti izbire ne smejo izkoristiti za omejevanje zaposlitvenih možnosti ali za sankcioniranje takih zaposlenih.

ii.	Treba je navesti, da nekateri splošno uporabni pogoji za prenos iz nekaterih držav članic EU, lahko izključijo drugačno uporabo takih podatkov tudi po prenosu v državah zunaj EU, in take pogoje bo treba spoštovati.

iii.	Poleg tega bi si morali delodajalci razumno prizadevati ustreči prednostnim pravicam zaposlenih po zasebnosti. Sem sodi na primer omejitev dostopa do osebnih podatkov, anonimnost nekaterih podatkov ali uporaba šifer in psevdonimov, kadar se za namene upravljanja ne zahtevajo dejanska imena.

iv.	Organizaciji ni treba spoštovati načela obvestila in možnosti izbire v obsegu in obdobju, potrebnem za preprečitev oškodovanja zmožnosti organizacije pri odločitvah o napredovanju delavcev, imenovanjih in drugih podobnih zaposlitvenih odločitvah.

c.   Uporaba načela dostopa

Dopolnilno načelo o dostopu določajo smernice o razlogih, ki lahko v okviru človeških virov upravičijo zavrnitev ali omejitev dostopa na zahtevo posameznika. Delodajalci v Evropski uniji morajo seveda ravnati v skladu z lokalnimi predpisi in poskrbeti, da imajo zaposleni v Evropski uniji dostop do takih podatkov, kakor zahteva pravo v njihovih državah, ne glede na lokacijo obdelave in hrambe podatkov. Režim zasebnostnega ščita zahteva, da organizacija, ki v Združenih državah Amerike obdeluje take podatke, sodeluje pri zagotavljanju takšnega dostopa bodisi neposredno bodisi prek delodajalca v EU.

d.   Uveljavljanje

i.

Dokler se osebne informacije uporabljajo samo v okviru zaposlitvenega razmerja, je zaposlenemu za podatke v prvi vrsti odgovorna organizacija v EU. Iz tega sledi, da je treba, kadar se zaposleni iz EU pritožijo zaradi kršenja njihovih pravic do zaščite podatkov ter niso zadovoljni z rezultati postopkov notranjega pregleda in pritožbenih postopkov (ali drugih predvidenih pritožbenih postopkov v okviru kolektivne pogodbe), te zaposlene napotiti na državni ali nacionalni organ za zaščito podatkov ali delovnopravni organ, ki je pristojen tam, kjer delajo zaposleni. Sem sodijo tudi primeri, ko je za zatrjevano zlorabo osebnih informacij odgovorna organizacija ZDA, ki je prejela informacije od delodajalca, in tako vključuje domnevno kršitev načel zasebnostnega ščita. To bo najbolj učinkovit način za uskladitev pogosto prekrivajočih se pravic in obveznosti, ki jih določajo lokalno delovno pravo in kolektivne pogodbe ter pravo o zaščiti podatkov.

ii.

Organizacija ZDA, ki je pristopila k zasebnostnemu ščitu in uporablja podatke o človeških virih, prenesene iz EU v okviru zaposlitvenih razmerij, ter želi, da za ta prenos veljajo načela zasebnostnega ščita, se mora zato zavezati, da bo v takih primerih sodelovala v preiskavah pristojnih organov EU in upoštevala njihov nasvet.

e.   Uporaba načela odgovornosti za prenos tretjemu

Za občasne potrebe, povezane z zaposlovanjem, organizacije v zasebnostnem ščitu v zvezi z osebnimi podatki, ki se prenesejo v okviru zasebnostnega ščita, kot je rezervacija leta, hotelske sobe ali zavarovalno kritje, se lahko osebni podatki manjšega števila zaposlenih prenesejo upravljavcem brez uporabe načela dostopa ali sklenitve pogodbe s tretjim upravljavcem, kakor je sicer predpisano v okviru načela odgovornosti za prenos tretjemu, pod pogojem, da je organizacija v zasebnostnem ščitu izpolnila načeli obvestila in možnosti izbire.

10.   Obvezne pogodbe za prenos tretjemu

a.   Pogodbe za obdelavo podatkov

i.	Kadar se osebni podatki prenesejo iz EU v Združene države zgolj zaradi njihove obdelave, je potrebna pogodba ne glede na to, ali izvajalec obdelave sodeluje v zasebnostnem ščitu.

ii.

Od upravljavcev podatkov v EU se vedno zahteva podpis pogodbe, kadar se podatki prenašajo zgolj zaradi obdelave, bodisi da se obdelujejo znotraj bodisi zunaj EU, in ne glede na to, ali izvajalec obdelave sodeluje v zasebnostnem ščitu ali ne. Namen pogodbe je zagotoviti, da izvajalec obdelave: 1. deluje samo po navodilih upravljavca; 2. zagotavlja ustrezne tehnične in organizacijske ukrepe za zaščito osebnih podatkov pred slučajnim ali nezakonitim uničenjem ali slučajno izgubo, predelavo, nepooblaščenim razkritjem ali dostopom, in razume, ali je prenos tretjemu dovoljen; in 3. upošteva naravo obdelave, pomaga upravljavcu pri odgovorih posameznikom, ki uveljavljajo svoje pravice po načelih.

iii.

Ker pristopnice zasebnostnega ščita zagotavljajo ustrezno zaščito podatkov, se za pogodbe, sklenjene s pristopnicami zasebnostnega ščita samo zaradi obdelave podatkov, ne zahteva predhodno dovoljenje (ali pa bodo države članice EU tako dovoljenje dale avtomatično), kakršno se zahteva za pogodbe s prejemniki podatkov, ki niso pristopili k zasebnostnemu ščitu ali kako drugače ne zagotavljajo ustrezne zaščite podatkov.

b.   Prenosi znotraj skupine odvisnih družb ali subjektov

Pri prenosu osebnih informacij med dvema upravljavcema znotraj skupine odvisnih družb ali subjektov pogodba po načelu odgovornosti za prenos tretjemu ni vedno potrebna. Upravljavci podatkov v skupini odvisnih družb ali subjektov lahko takšne prenose utemeljijo na drugih instrumentih, kot so zavezujoča poslovna pravila EU ali drugi instrumenti znotraj skupine (npr. programi skladnosti in nadzora), pri čemer zagotovijo neprekinjeno zaščito osebnih informacij po načelih zasebnostnega ščita. V primeru takih prenosov organizacija v zasebnostnem ščitu ostane odgovorna za spoštovanje načel zasebnostnega ščita.

c.   Prenosi med upravljavci

Pri prenosih med upravljavci ni potrebno, da je upravljavec, ki prejme podatke, organizacija v zasebnostnem ščitu ali da ima neodvisni pritožbeni mehanizem. Organizacija v zasebnostnem ščitu mora skleniti pogodbo s tretjim upravljavcem, ki prejme podatke, s katero zagotovi enako raven zaščite, kakor je na voljo po zasebnostnem ščitu, pri čemer ni nujno, da je tretji upravljavec organizacija v zasebnostnem ščitu ali da ima neodvisni pritožbeni mehanizem, pod pogojem, da ima na razpolago enakovredni mehanizem.

11.   Reševanje sporov in uveljavljanje

a.   Načelo pritožbenega mehanizma, uveljavljanja in odgovornosti navaja zahteve za uveljavljanje zasebnostnega ščita. Načine izpolnjevanja zahtev iz točke (a)(ii) tega načela določa dopolnilno načelo o preverjanju. To dopolnilno načelo obravnava točki (a)(i) in (a)(iii), ki zahtevata neodvisne pritožbene mehanizme. Ti mehanizmi so lahko različni, morajo pa izpolnjevati zahteve načela pritožbenega mehanizma, uveljavljanja in odgovornosti. Organizacije izpolnijo te zahteve z: (i) usklajenostjo ravnanja s programi varstva zasebnosti zasebnega sektorja, ki v svojih pravilih vsebujejo načela zasebnostnega ščita in vključujejo učinkovite mehanizme uveljavljanja, kakor so opisani v načelu pritožbenega mehanizma, uveljavljanja in odgovornosti; (ii) usklajenostjo ravnanja z zakonskimi ali z drugimi predpisi predvidenimi nadzornimi organi, ki zagotavljajo obravnavo posameznikovih pritožb in reševanje sporov; ali (iii) zavezo za sodelovanje z organi za zaščito podatkov v Evropski uniji ali z njihovimi pooblaščenimi predstavniki.

b.   Ta seznam je ilustrativen in ne omejuje. Zasebni sektor lahko oblikuje tudi dodatne mehanizme za zagotovitev uveljavljanja, če izpolnjujejo zahteve načela pritožbenega mehanizma, uveljavljanja in odgovornosti ter dopolnilnih načel. Treba je paziti, da so zahteve načela pritožbenega mehanizma, uveljavljanja in odgovornosti dodatek k zahtevi, da mora biti samourejanje izvedljivo po členu 5 Federal Trade Commission Act, ki prepoveduje nepošteno in goljufivo ravnanje, ali drugem zakonu ali predpisu, ki prepoveduje takšno ravnanje.

c.   Da bi pomagale zagotoviti izpolnjevanje zavez v okviru zasebnostnega ščita in podprle upravljanje programa, morajo organizacije in njihovi neodvisni pritožbeni mehanizmi na zahtevo Ministrstva zagotoviti informacije v zvezi z zasebnostnim ščitom. Poleg tega morajo organizacije hitro odgovoriti na pritožbe v zvezi z njihovim izpolnjevanjem načel, ki so jih Ministrstvu predložili organi za zaščito podatkov. Odgovor mora obravnavati, ali je pritožba utemeljena in, če je, na kakšen način bo organizacija odpravila težavo. Ministrstvo bo zaščitilo zaupnost informacij, ki jih prejme v skladu z zakonodajo ZDA.

d.   Pritožbeni mehanizmi

i.

Potrošnike je treba spodbujati, da se s svojimi pritožbami najprej obrnejo na ustrezno organizacijo in šele nato uporabijo neodvisne pritožbene mehanizme. Organizacije morajo odgovoriti potrošniku v 45 dneh od prejema pritožbe. Neodvisnost pritožbenega mehanizma je konkretno vprašanje, na katerega se lahko odgovori predvsem z nepristranskostjo, pregledno sestavo in financiranjem ter z dokazi o preteklem poslovanju. Kakor zahteva načelo pritožbenega mehanizma, uveljavljanja in odgovornosti, mora biti pritožbeni mehanizem za posameznika zlahka dostopen in brezplačen. Službe za reševanje sporov morajo proučiti vse pritožbe, ki jih prejmejo od posameznikov, razen kadar so očitno neutemeljene in neresne. To ne izključuje možnosti, da organizacija, ki izvaja pritožbeni mehanizem, vzpostavi izločitvene pogoje, vendar morajo biti ti pogoji pregledni in upravičeni (na primer izključitev pritožb, ki ne sodijo na področje uporabe programa ali jih mora preučiti drug forum) ter ne smejo spodkopavati zavezanosti k proučevanju zakonitih pritožb. Pritožbeni mehanizmi morajo poleg tega zagotoviti, da posamezniki ob vložitvi pritožbe dobijo celotne in zlahka dostopne informacije o postopkih reševanja sporov. Takšna informacija mora v skladu z načeli zasebnostnega ščita vsebovati obvestilo o praksi varstva zasebnosti tega mehanizma. Pritožbeni mehanizmi morajo tudi sodelovati pri oblikovanju sredstev, ki lajšajo postopek reševanja pritožb, kot je standardni obrazec za pritožbe.

ii.

Neodvisni pritožbeni mehanizmi morajo na svojih spletnih straneh vsebovati informacije o načelih zasebnostnega ščita in storitvah, ki jih zagotavljajo v okviru zasebnostnega ščita. Te informacije morajo vsebovati: (1) informacijo o ali povezavo do zahtev načel zasebnostnega ščita za neodvisne pritožbene mehanizme; (2) povezavo do spletne strani Ministrstva v zvezi z zasebnostnim ščitom; (3) pojasnilo, da so njihove storitve v zvezi z reševanjem sporov v okviru zasebnostnega ščita za posameznike brezplačne; (4) opis načina za vložitev pritožbe, povezane z zasebnostnim ščitom; (5) časovni okvir, v katerem se obravnavajo pritožbe v zvezi z zasebnostnim ščitom; in (6) opis možnih pravnih sredstev.

iii.

Neodvisni pritožbeni mehanizmi morajo objaviti letno poročilo, v katerem zagotovijo zbirne statistične podatke v zvezi s svojimi storitvami reševanja sporov. Letno poročilo mora vsebovati: (1) skupno število pritožb v zvezi z zasebnostnim ščitom, prejetih v letu poročanja; (2) vrste prejetih pritožb; (3) ukrepe za kakovost reševanja sporov, kot je čas, potreben za obravnavo pritožb; in (4) izide prejetih pritožb, zlasti število in vrste pravnih sredstev ali naloženih sankcij.

iv.

Kakor je določeno v Prilogi I je posamezniku na voljo možnost arbitraže, kjer se pri preostalih zahtevkih ugotovi, ali je organizacija v zasebnostnem ščitu kršila svoje obveznosti do posameznika po načelih in ali je takšna kršitev ostala v celoti ali delno neodpravljena. Ta možnost je na voljo le za te namene. Ta možnost ni na voljo, denimo, v zvezi z izjemami pri načelih (5) ali v zvezi z obtožbo glede ustreznosti zasebnostnega ščita. V okviru te možnosti arbitraže je senat zasebnostnega ščita (ki ga sestavlja en ali trije arbitri, kakor se dogovorita stranki) pristojen za odrejanje nedenarnega pravičnega nadomestila glede na vsakega posameznika (kot so dostop, popravek, izbris ali vrnitev zadevnih posameznikovih podatkov), potrebnega za odpravo kršitve načel samo v zvezi s posameznikom. Posamezniki in organizacije v zasebnostnem ščitu bodo lahko zahtevali sodno presojo in izvršitev arbitražnih sklepov v skladu z zakonodajo ZDA, in sicer zveznim zakonom o arbitraži (Federal Arbitration Act).

e.   Pravna sredstva in sankcije

Vsako pravno sredstvo, ki ga zagotovi služba za reševanje sporov, bi moralo učinkovati tako, da organizacija, če je to izvedljivo, spremeni ali popravi posledice neizpolnjevanja načel in da so njeni nadaljnji postopki v skladu z načeli ali da se ustavi obdelava osebnih podatkov posameznika, ki je vložil pritožbo. Sankcije morajo biti dovolj stroge, da zagotovijo ravnanje organizacije v skladu z načeli. Razpon različno strogih sankcij bo službam za reševanje sporov omogočil ustrezen odziv na različne stopnje neizpolnjevanja načel. Sankcije morajo vključevati javno objavo ugotovitev o neizpolnjevanju načel in zahtevo za izbris podatkov v nekaterih okoliščinah (6). Druge sankcije lahko vključujejo tudi začasni odvzem in odstranitev pečata, odškodnine za posameznike za škodo, nastalo zaradi neizpolnjevanja načel, ter sodno prepoved. Kadar organizacije v zasebnostnem ščitu ne upoštevajo odločitev služb, morajo službe za reševanje sporov in samourejevalne službe iz zasebnega sektorja o tem obvestiti državne organe z ustreznimi pristojnostmi ali sodišča in Ministrstvo.

f.   Ukrepi Zvezne komisije za trgovino

Zvezna komisija za trgovino se je zavezala, da bo prednostno pregledovala predložitve o domnevnem neizpolnjevanju načel, ki jih preme od: (i) organizacij s samourejevalnim sistemom varstva zasebnosti in drugih neodvisnih organov za reševanje sporov; (ii) držav članic EU; in (iii) Ministrstva, da bi ugotovila, ali je bil kršen člen 5 zakona o FTC, ki prepoveduje nepoštena in goljufiva dejanja in ravnanje v trgovini. Če Zvezna komisija za trgovino ugotovi, da obstaja razlog za prepričanje, da je bil kršen člen 5, lahko zadevo reši tako, da izda upravni odlok, ki prepoveduje sporno ravnanje, ali da se pritoži na zvezno okrožno sodišče, kjer lahko, če uspe, doseže odločbo zveznega sodišča z enakim učinkom. To vključuje lažne navedbe organizacij, ki niso več na seznamu zasebnostnega ščita ali se nikoli niso samocertificirale pri Ministrstvu, glede zavezanosti k načelom zasebnostnega ščita ali sodelovanja v zasebnostnem ščitu. Zvezna komisija za trgovino lahko uveljavi denarne kazni za kršitev upravnega odloka o prepovedi in lahko sproži civilni ali kazenski postopek za kršitev odločbe zveznega sodišča. Zvezna komisija za trgovino obvesti Ministrstvo o vsakem takem ukrepu. Ministrstvo spodbuja druga vladna telesa, da ga obvestijo o končnem razpletu predloženih zadev in drugih odločitev v zvezi z izpolnjevanjem načel zasebnostnega ščita.

g.   Vztrajno neizpolnjevanje načel

i.

Pri vztrajnem neizpolnjevanju načel organizacija ni več upravičena do ugodnosti zasebnostnega ščita. Organizacije, ki vztrajno ne izpolnjujejo načel, bo Ministrstvo zbrisalo s seznama zasebnostnega ščita in morajo vrniti ali zbrisati osebne informacije, ki so jih prejele v okviru zasebnostnega ščita.

ii.

O vztrajnem neizpolnjevanju načel govorimo, kadar organizacija, ki se je samocertificirala pri Ministrstvu, noče ravnati v skladu s končno ugotovitvijo službe s samourejevalnim sistemom za varstvo zasebnosti, neodvisne službe za reševanje sporov ali vladne službe ali kadar taka služba ugotovi, da organizacija tako pogosto ravna proti načelom, da njena izjava o usklajenosti z načeli ni več verodostojna. V teh primerih mora organizacija o takih dejstvih takoj obvestiti Ministrstvo. Če tega ne stori, se lahko kaznuje po zakonu o lažnih navedbah (False Statements Act) (člen 1001 naslova 18 zakonodajne zbirke ZDA). Izstop organizacije iz samourejevalnega programa za varstvo zasebnosti v zasebnem sektorju ali neodvisnega mehanizma za reševanje sporov le-te ne razbremeni obveznosti do spoštovanja načel in bi pomenil vztrajno neizpolnjevanje načel.

iii.

Ministrstvo bo s svojega seznama zasebnostnega ščita odstranilo organizacijo na podlagi vsakega uradnega obvestila o vztrajnem neizpolnjevanju načel, ki ga prejme od same organizacije, službe s samourejevalnim sistemom za varstvo zasebnosti ali od vladne službe, vendar šele po izteku 30-dnevnega roka, v katerem ima organizacija, ki ni ravnala v skladu z načeli, možnost odziva. Seznam zasebnostnega ščita, ki ga vodi Ministrstvo, bo torej jasno pokazal, katerim organizacijam so zagotovljene in katerim organizacijam niso več zagotovljene ugodnosti zasebnostnega ščita.

iv.	Organizacija, ki se prijavi za sodelovanje v samourejevalni službi z namenom, da izpolni pogoje za ponovno sodelovanje v zasebnostnem ščitu, mora navedeni službi predložiti vse podatke o svojem prejšnjem sodelovanju v zasebnostnem ščitu.

12.   Možnost izbire – časovna omejitev zavrnitve

a.

Splošni namen načela izbire je zagotoviti, da se osebni podatki uporabljajo in razkrivajo v skladu s pričakovanji in odločitvami posameznika. Posameznik mora torej vedno imeti možnost „zavrnitve“, da se njegovi osebni podatki uporabljajo za neposredno trženje, ob upoštevanju razumnih rokov, ki jih postavi organizacija in so potrebni za učinkovito upoštevanje zavrnitve. Organizacija lahko tudi od posameznika, ki se je odločil za zavrnitev, zahteva, da z zadostnimi podatki potrdi svojo istovetnost. V Združenih državah lahko posamezniki uresničijo to možnost prek osrednjega programa „zavrnitve“, kot je Direct Marketing Association's Mail Preference Service. Organizacije, ki sodelujejo v Direct Marketing Association's Mail Preference Service, bi morale na razpoložljivost teh storitev opozarjati tiste potrošnike, ki ne želijo prejemati trgovskih informacij. Vsekakor bi moral imeti posameznik za uresničitev te možnosti na voljo dostopen in stroškovno ugoden mehanizem.

b.

Podobno lahko organizacija uporabi informacije za nekatere namene neposrednega trženja, kadar ni izvedljivo, da bi posamezniku zagotovila možnost zavrnitve pred uporabo podatkov, če organizacija posamezniku takoj ponudi možnost, da sočasno (na zahtevo pa kadar koli) zavrne (brez stroškov za posameznika) nadaljnje prejemanje neposrednih tržnih komunikacij in organizacija ravna v skladu s posameznikovimi željami.

13.   Potovalne informacije

a.

Podatki o rezervacijah na potniških letalih in druge potovalne informacije, kot so podatki o pogostih letalskih ali hotelskih rezervacijah in posebni oskrbi, na primer o posebnih obrokih zaradi verskih zahtev ali fizični pomoči, se lahko prenesejo organizacijam zunaj Evropske unije pod različnimi okoliščinami. Po členu 26 direktive se lahko osebni podatki prenesejo v tretjo državo, ki ne zagotavlja ustrezne ravni varstva podatkov v smislu člena 25(2), pod pogojem, (i) da je treba zagotoviti storitve, ki jih zahteva potrošnik, ali izpolniti pogoje dogovora, kakršen je dogovor o „pogostem letalskem potniku“; ali (ii) da potrošnik s tem nedvoumno soglaša. Ameriške organizacije, podpisnice zasebnostnega ščita, zagotavljajo ustrezno varstvo osebnih podatkov in torej lahko prejmejo podatke iz Evropske unije, ne da bi jim bilo treba izpolnjevati navedene pogoje ali druge pogoje iz člena 26 Direktive. Ker zasebnostni ščit vključuje posebna pravila za občutljive podatke, se takšni podatki (ki jih je na primer treba zbrati v zvezi z potrošnikovo potrebo po fizični pomoči) lahko prenesejo udeleženkam zasebnostnega ščita. V vsakem primeru pa mora organizacija, ki prenaša podatke, spoštovati pravo države članice EU, v kateri deluje, ki lahko med drugim vsebuje tudi posebne pogoje glede ravnanja z občutljivimi podatki.

14.   Farmacevtski in medicinski izdelki

a.   Uporaba zakonov držav članic EU ali načel zasebnostnega ščita

Pravo držav članic EU se uporablja za zbiranje osebnih podatkov in za vsako njihovo obdelavo, ki se izvede pred prenosom v Združene države. Načela zasebnostnega ščita se uporabijo takoj, ko so podatki preneseni v Združene države. Podatki, ki se uporabljajo za farmacevtske raziskave in druge namene, morajo biti po potrebi brezimni.

b.   Prihodnje znanstvene raziskave

i.

Osebni podatki, pridobljeni v posebnih medicinskih ali farmacevtskih raziskovalnih študijah, imajo pogosto dragoceno vlogo v prihodnjih znanstvenih raziskovanjih. Kadar se osebni podatki, zbrani za eno raziskavo, prenesejo organizaciji ZDA v zasebnostnem ščitu, lahko organizacija uporabi te podatke za nove znanstveno-raziskovalne dejavnosti, če sta bila najprej zagotovljena primerno obvestilo in možnost izbire. Takšno obvestilo mora vsebovati informacijo o vseh prihodnjih posebnih uporabah podatkov, kot so občasno spremljanje, sorodne študije ali trženje.

ii.

Razume se, da ni mogoče podrobno navesti vseh prihodnjih uporab podatkov, ker lahko uporaba podatkov za novo raziskavo izhaja iz novega razumevanja prvotnih podatkov, novih medicinskih odkritij in napredka ter razvoja na področju javnega zdravja in urejanja. Po potrebi mora zato obvestilo vsebovati pojasnilo, da se osebni podatki v prihodnosti morda uporabijo za medicinske in farmacevtske raziskave, ki niso predvidene. Če uporaba podatkov ni v skladu s splošnimi raziskovalnimi nameni, za katere so bili osebni podatki prvotno zbrani ali za katere je posameznik naknadno dal soglasje, je treba pridobiti novo soglasje.

c.   Umik iz kliničnega poskusa

Udeleženci se lahko kadar koli odločijo za umik iz kliničnega poskusa ali so zaprošeni, da tako storijo. Vsi osebni podatki, ki so zbrani pred umikom, se lahko še naprej obdelujejo skupaj z drugimi podatki, zbranimi med kliničnim poskusom, vendar samo, če je bil udeleženec jasno seznanjen s tem, ko je privolil v sodelovanje pri poskusu.

d.   Prenosi za regulativne in nadzorne namene

Podjetja za farmacevtske in medicinske pripomočke smejo zagotoviti osebne podatke iz kliničnih poskusov, izvedenih v EU, nadzornim organom v Združenih državah za regulativne in nadzorne namene. Podobni prenosi so dovoljeni tudi strankam, ki niso nadzorni organi, kot so sedeži podjetij in drugi raziskovalci, v skladu z načeloma obvestila in možnosti izbire.

e.   „Slepe“ študije

i.

Zaradi zagotovitve objektivnosti pri mnogih kliničnih poskusih udeleženci, pa tudi raziskovalci, nimajo dostopa do podatkov o vrsti zdravljenja posameznega udeleženca. To bi namreč lahko ogrozilo veljavnost raziskovalne študije in rezultatov. Udeležencem takšnih kliničnih poskusov (imenovanih „slepe“ študije) ni treba zagotoviti dostopa do podatkov o njihovem zdravljenju med poskusom, če je bila ta omejitev obrazložena, ko je udeleženec pristopil k poskusu in bi razkritje takšnih informacij ogrozilo celovitost raziskovalnega dela.

ii.

Privolitev udeleženca, da sodeluje pri poskusu pod takšnimi pogoji, je razumen razlog za opustitev pravice do dostopa. Po končanem poskusu in opravljeni analizi rezultatov bi morali udeleženci dobiti dostop do svojih podatkov, če tako zahtevajo. Zahtevati bi jih morali najprej pri zdravniku ali drugem zdravstvenem delavcu, ki je vodil zdravljenje med kliničnim poskusom, potem pa pri nosilni organizaciji.

f.   Spremljanje varnosti in učinkovitosti izdelkov

Podjetju za farmacevtske ali medicinske pripomočke ni treba uporabiti načela zasebnostnega ščita o obvestilu, izbiri, odgovornosti za prenos tretjemu in dostopu pri spremljanju varnosti in učinkovitosti svojih izdelkov, vključno s poročanjem o neugodnih dogodkih in sledenjem pacientov/subjektov, ki uporabljajo nekatera zdravila ali medicinske pripomočke, če spoštovanje načel posega v izpolnjevanje zakonskih zahtev. To velja za poročanje, na primer, zdravstvenih delavcev podjetjem za farmacevtske in medicinske pripomočke, pa tudi za poročanje podjetij za farmacevtske in medicinske pripomočke vladnim agencijam, kot je Food and Drug Administration.

g.   Podatki, kodirani s šifrirnim ključem

Ob nastanku raziskovalnih podatkov jih vodja raziskave nespremenljivo kodira z edinstvenimi šifrirnim ključem, tako da ni mogoče odkriti istovetnosti posameznih subjektov podatkov. Farmacevtske družbe, ki so nosilke takih raziskav, ne dobijo šifrirnega ključa. Samo raziskovalec ima edinstveni šifrirni ključ, s katerim lahko v posebnih okoliščinah prepozna subjekt raziskave (na primer, če se zahteva nadaljnja zdravniška pozornost). Pri prenosu tako šifriranih podatkov iz EU v Združene države tako ne gre za prenos osebnih podatkov, za katerega veljajo načela zasebnostnega ščita.

15.   Informacije iz javnih evidenc in javnosti dostopnih podatkov

a.

Organizacija mora pri osebnih podatkih iz javno dostopnih virov uporabiti načela zasebnostnega ščita glede varnosti, neokrnjenosti podatkov in omejitvi namena ter o pritožbenem mehanizmu, uveljavljanju in odgovornosti. Ta načela veljajo tudi za osebne podatke, zbrane iz javnih evidenc, tj. tiste, ki jih hranijo državne agencije ali subjekti na kateri koli ravni in so odprte na vpogled širši javnosti.

b.

Pri podatkih iz javnih evidenc ni treba uporabiti načel obvestila, izbire ali odgovornosti za prenos tretjemu, če niso povezani s podatki iz evidenc, ki niso javne, in se spoštujejo vsi pogoji glede vpogleda v podatke, ki jih je določil ustrezni pristojni organ. Prav tako na splošno ni treba uporabiti načel obvestila, izbire ali odgovornosti za prenos tretjemu pri javnosti dostopnih podatkih, razen če evropski pošiljatelj navede, da pri teh podatkih veljajo omejitve, ki zahtevajo, da organizacija uporabi navedena načela pri nameravani uporabi podatkov. Organizacije niso odgovorne za način, kako take podatke uporabljajo tisti, ki jih pridobijo iz objavljenih gradiv. Če se ugotovi, da je organizacija v nasprotju z načeli namenoma objavila osebne podatke, zato da bi ona ali druge organizacije izkoristile te izjeme, organizacija ne bo več upravičena do ugodnosti varnega pristana.

c.	Če se ugotovi, da je organizacija v nasprotju z načeli namenoma objavila osebne informacije, zato da bi ona ali druge organizacije izkoristile te izjeme, organizacija ne bo več upravičena do ugodnosti zasebnostnega ščita.

d.

Dokler informacije iz javnih evidenc niso povezane z drugimi osebnimi informacijami, ni treba uporabiti načela dostopa (razen manjših delov, ki se uporabljajo za indeksiranje in organiziranje informacij javnih evidenc); vendar se morajo spoštovati vse določbe, ki jih za vpogled določa ustrezni predpis. Kadar pa je podatek iz javnih evidenc povezan z drugimi podatki iz evidenc, ki niso javne, (razen tistih, ki so podrobno navedene zgoraj), mora organizacija zagotoviti dostop do vseh takih podatkov, če zanje ne veljajo druge dovoljene izjeme.

e.

Kakor pri podatkih iz javnih evidenc, ni treba zagotoviti dostopa do podatkov, do katerih ima javnost na splošno dostop, razen če so povezani s podatki, ki javnosti niso dostopni. Organizacije, ki se ukvarjajo s prodajo javno dostopnih informacij, lahko zaračunajo svojo običajno pristojbino za izpolnitev zahteve po dostopu. Posamezniki pa lahko zahtevajo dostop do svojih podatkov tudi pri organizaciji, ki je prvotno zbrala podatke.

16.   Zahteve javnih organov za dostop

a.

Da bi zagotovili preglednost v zvezi z zakonitimi zahtevami javnih organov za dostop do osebnih informacij, lahko organizacije v zasebnostnem ščitu prostovoljno izdajo redna poročila o številu zahtev za osebne informacije, ki jih prejmejo od javnih organov za namene kazenskega pregona ali nacionalne varnosti, če so takšna razkritja dovoljena po veljavni zakonodaji.

b.	Informacije, ki jih v teh poročilih zagotovijo organizacije v zasebnostnem ščitu, in informacije, ki jih objavi obveščevalna skupnost, in druge informacije je mogoče uporabiti kot podlago za letni skupni pregled delovanja zasebnostnega ščita v skladu z načeli.

c.	Zaradi odsotnosti obvestila v skladu s točko (a)(xii) načela obvestila organizaciji ni preprečena ali oslabljena možnost, da se odzove na morebitno zakonito zahtevo.

---

(1)  Če se bo sklep Komisije o ustreznosti varstva, ki ga zagotavlja zasebnostni ščit EU-ZDA, uporabljal za Islandijo, Lihtenštajn in Norveško, bo sveženj o zasebnostnem ščitu zajemal tako Evropsko unijo kot tudi te tri države. Zato se bo za sklicevanja na EU in njene države članice štelo, da vključujejo Islandijo, Lihtenštajn in Norveško.

(2)  Odvisno od okoliščin, primeri združljivih namenov obdelave lahko vključujejo tiste, ki razumno služijo za odnose s strankami, skladnost in pravne namene, revizije, varnost in preprečevanje goljufij, ohranjanje in obrambo pravnih pravic organizacije ali za druge namene, skladne s pričakovanji razumne osebe glede na kontekst zbiranja.

(3)  Posameznik je v tem kontekstu, če bi ga lahko glede na sredstva za identifikacijo, ki bodo pričakovano uporabljena, (ob upoštevanju, med drugim, stroškov in časa, potrebnega za identifikacijo ter razpoložljive tehnologija v času obdelave) in obliko, v kakršni se hranijo podatki, organizacija ali tretja oseba, če bi imela dostop do podatkov, razumno prepoznala, „prepoznaven.“

(4)  Organizacija mora odgovoriti na zahteve posameznika v zvezi z nameni obdelave, kategorijami zadevnih osebnih podatkov in prejemniki ali kategorijami prejemnikov, katerim se razkrijejo podatki.

(5)  Člen I.5 načel.

(6)  Službe za reševanje sporov po svoji presoji odločijo, v katerih okoliščinah bodo uporabile te sankcije. Občutljivost zadevnih podatkov je dejavnik, ki ga je treba upoštevati pri odločitvi o zahtevi za izbris podatkov, tak dejavnik je tudi, ali je organizacija zbirala, uporabljala ali razkrivala podatke v očitnem nasprotju z načeli zasebnostnega ščita.

PRILOGA III

7. julij 2016

Spoštovana komisarka Jourová!

Veseli me, da sva dosegla dogovor o zasebnostnem ščitu EU-ZDA, ki bo vključeval mehanizem varuha človekovih pravic, kateremu bodo lahko organi v EU predložili zahteve v imenu posameznikov iz EU v zvezi s prakso ZDA v obveščevalni dejavnosti pri zaznavanju signalov (SIGINT).

Predsednik Barack Obama je 17. januarja 2014 razglasil, da so v predsedniško politično direktivo 28 (Presidential Policy Directive 28 ali PPD-28) vnesli pomembne reforme obveščevalne dejavnosti. V skladu s PPD-28 sem imenoval namestnico zunanjega ministra Catherine A Novelli, ki je prav tako višja koordinatorka za mednarodno diplomacijo v informacijski tehnologiji, kot našo osebo za stike s tujimi vladami, ki želijo sprožiti vprašanja v zvezi z ameriško obveščevalno dejavnostjo SIGINT. Na podlagi tega sem ustanovil mehanizem varuha človekovih pravic na področju zasebnostnega ščita v skladu s pogoji, določenimi v Prilogi A, ki so bili po mojem pismu z 22. februarja 2016 posodobljeni. Izvajanje te funkcije sem dodelil namestnici ministra ge. Novelli. Namestnica ministra ga. Novelli deluje neodvisno od ameriške obveščevalne skupnosti in poroča neposredno meni.

Svojim zaposlenim sem naročil, naj namenijo vse potrebne vire za izvedbo tega novega mehanizma varuha človekovih pravic, in prepričan sem, da bo ta učinkovito sredstvo za obravnavo vprašanj posameznikov iz EU.

PRILOGA IV

7. julij 2016

PO ELEKTRONSKI POŠTI

Věra Jourová

Komisarka za pravosodje, potrošnike in enakost spolov

Evropska komisija

Rue de la Loi/Wetstraat 200

1049 Bruselj

Belgija

Spoštovana komisarka Jourová,

Zvezna komisija za trgovino ZDA (Federal Trade Commission ali FTC) se zahvaljuje za priložnost, da opiše uveljavljanje novega okvira zasebnostnega ščita EU-ZDA („okvir zasebnostnega ščita“ ali „okvir“). Verjamemo, da bo okvir igral ključno vlogo pri spodbujanju trgovinskih poslov, ki ščitijo zasebnost v tem vedno bolj medsebojno povezanem svetu. Podjetjem bo omogočil izvajanje pomembnih operacij v svetovnem gospodarstvu, obenem pa bo zagotovil, da potrošniki iz EU ohranijo pomembno varstvo zasebnosti. Zvezna komisija za trgovino je že dlje časa zavezana k zaščiti zasebnosti prek meja in bo prednostno obravnavala uveljavljanje novega okvira. Spodaj na splošno opisujemo preteklo odločno uveljavljanje varstva zasebnosti Zvezne komisije za trgovino, vključno z uveljavljanjem prvotnega programa varnega pristana, kot tudi pristop Zvezne komisije za trgovino k uveljavljanju novega okvira.

Zvezna komisija za trgovino je svojo zavezanost k uveljavljanju programa varnega pristana prvič izrazila leta 2000. Takratni predsednik Zvezne komisije za trgovino Robert Pitofsky je takrat poslal Evropski komisiji pismo, v katerem navaja obljubo Zvezne komisije za trgovino, da odločno uveljavi načela zasebnosti varnega pristana. Zvezna komisija za trgovino še naprej izpolnjuje to zavezo z uvedbo pregona v skoraj 40 zadevah ter številnimi preiskavami in sodelovanjem s posameznimi evropskimi organi za zaščito podatkov v zadevah skupnega interesa.

Potem ko je Evropska komisija novembra 2013 sprožila vprašanja o upravljanju in uveljavljanju programa varnega pristana, smo skupaj z Ministrstvom za trgovino ZDA začeli posvetovanja z uradniki iz Evropske komisije, da bi raziskali načine za njegovo okrepitev. Medtem ko so potekala posvetovanja, je Sodišče 6. oktobra 2015 izdalo sklep v zadevi Schrems, ki je med drugim razveljavil sklep Evropske komisije o ustreznosti programa varnega pristana. Po tem sklepu smo še naprej tesno sodelovali z Ministrstvom za trgovino in Evropsko komisijo, da bi okrepili varstvo zasebnosti posameznikov iz EU. Okvir zasebnostnega ščita je plod teh nenehnih posvetovanj. Kakor pri programu varnega pristana, se Zvezna komisija za trgovino zavezuje k odločnemu uveljavljanju novega okvira. To pismo je zapis te zaveze.

Zlasti potrjujemo svojo zavezo na štirih ključnih področjih: (1) prednostna obravnava in preiskave predloženih zadev; (2) obravnavanje lažnih ali goljufivih trditev glede članstva v zasebnostnem ščitu; (3) nenehno spremljanje odločb; in (4) okrepljeno sodelovanje z organi za zaščito podatkov EU pri vključevanju in uveljavljanju. Spodaj podajamo podrobne informacije o vsaki od teh zavez ter ustrezno ozadje vloge Zvezne komisije za trgovino pri zaščiti zasebnosti potrošnikov in uveljavljanju varnega pristana, kot tudi o širšem področju zasebnosti v Združenih državah (1).

I.   OZADJE

A.   Izvrševanje in politika Zvezne komisije za trgovino na področju varstva zasebnosti

Zvezna komisija za trgovino ima široka pooblastila za izvrševanje civilnega prava z namenom spodbujanja varstva potrošnikov in konkurenčnosti v trgovini. V okviru svojega pooblastila za zaščito potrošnikov Zvezna komisija za trgovino izvaja široko paleto zakonov za zaščito zasebnosti in varnost podatkov o potrošnikih. Glavni zakon, ki ga izvaja Zvezna komisija za trgovino, tj. zakon o FTC ali FTC Act, prepoveduje „nepoštena“ in „goljufiva“ dejanja ali ravnanje v trgovini ali v zvezi z njo (2). Predstavitev, opustitev ali ravnanje je goljufivo, če je pomembno in verjetno zavede potrošnike, ki se vedejo razumno v danih okoliščinah (3). Dejanje ali ravnanje je nepošteno, če potrošnikom povzroči ali je verjetno, da bo povzročilo, bistveno škodo, ki se ji ni mogoče razumno izogniti in je ne odtehtajo kompenzacijske ugodnosti za potrošnike ali konkurenco (4). Zvezna komisija za trgovino izvaja tudi ciljne zakone, ki ščitijo informacije v zvezi z zdravstvenimi, kreditnimi in drugimi finančnimi zadevami, kot tudi informacije na spletu o otrocih, ter izdaja predpise za izvajanje vsakega od teh zakonov.

Pristojnost Zvezne komisije za trgovino po zakonu o FTC se nanaša na zadeve „v ali v zvezi s trgovino“. Zvezna komisija za trgovino nima pristojnosti nad zadevami kazenskega pregona ali nacionalne varnosti. Zvezna komisija za trgovino prav tako ne more doseči večino drugih vladnih ukrepov. Poleg tega obstajajo izjeme v pristojnosti Zvezne komisije za trgovino nad trgovinskimi dejavnostmi, tudi v zvezi z bankami, letalskimi prevozniki, zavarovalništvom in dejavnostmi splošnih telekomunikacijskih operaterjev. Zvezna komisija za trgovino prav tako nima pristojnosti nad večino neprofitnih organizacij, vendar pa ima pristojnost nad lažnimi dobrodelnimi in drugimi neprofitnimi organizacijami, ki v resnici poslujejo za dobiček. Zvezna komisija za trgovino ima pristojnost tudi nad neprofitnimi organizacijami, ki poslujejo za dobiček svojih članov, usmerjenih v dobiček, vključno tako, da zagotavljajo precejšnje gospodarske koristi tem članom (5). V nekaterih primerih pristojnost Zvezne komisije za trgovino sovpada s pristojnostjo drugih organov kazenskega pregona.

Razvili smo trdne delovne odnose z zveznimi in državnimi organi ter z njimi tesno sodelujemo pri usklajevanju preiskav ali predložitvi zadev, kjer je primerno.

Uveljavljanje je hrbtenica pristopa Zvezne komisije za trgovino k zaščiti zasebnosti. Do danes je Zvezna komisija za trgovino vložila več kot 500 tožb za zaščito zasebnosti in varstvo informacij o potrošnikih. Te zadeve zajemajo tako informacije na spletu kot tudi na nepovezanih sredstvih ter vključujejo uvedbo pregona proti velikim in malim podjetjem, ki trdijo, da niso uspela ustrezno odstraniti občutljivih podatkov o potrošnikih, niso uspela zavarovati osebnih informacij potrošnikov, so goljufivo sledila potrošnikom po spletu, pošiljala neželeno pošto potrošnikom, namestila vohunsko ali drugo zlonamerno programsko opremo na računalnike potrošnikov, kršila pravila prepovedi klicanja in drugega trženja po telefonu ter neprimerno zbirala in izmenjevala informacije o potrošnikih na mobilnih napravah. Uvedba pregona Zvezne komisije za trgovino v teh zadevah – tako v fizičnem kot tudi v digitalnem svetu – je podjetjem poslala pomembno sporočilo o potrebi, da zaščitijo zasebnost potrošnikov.

Zvezna komisija za trgovino prav tako izvaja številne politične pobude, namenjene krepitvi varstva zasebnosti potrošnikov, ki tvorijo podlago za njeno delu pri uveljavljanju. Zvezna komisija za trgovino izvaja delavnice in izdaja poročila, v katerih priporoča dobre prakse, namenjene izboljšanju varstva zasebnosti v mobilnem okolju, povečanju preglednosti v panogi posrednikov podatkov, povečanju koristi velikih podatkov ob zmanjševanju tveganj, zlasti za potrošnike z nizkimi dohodki in manjšo dostopnostjo, in poudarjanju posledic, med drugim, prepoznavanja obraza in interneta stvari na zasebnost in varnost.

Zvezna komisija za trgovino izvaja tudi izobraževanje potrošnikov in podjetij, da bi okrepila učinek svojih pobud za uveljavljanje in oblikovanje politik. Zvezna komisija za trgovino uporablja različna orodja – objave, spletni viri, delavnice in družbena omrežja – za zagotavljanje izobraževalnega gradiva za zelo različne teme, vključno z mobilnimi aplikacijami, zasebnostjo otrok in varnostjo podatkov. Nazadnje je Zvezna komisija za trgovino sprožila svojo pobudo „Začnimo pri varnosti“ (Start With Security), ki vsebuje nova navodila za podjetja, pripravljena na podlagi izkušenj v zadevah agencije v zvezi varovanjem podatkov, in delavnice, ki se izvajajo po vsej državi. Poleg tega Zvezna komisija za trgovino že dolgo igra vodilno vlogo pri izobraževanju potrošnikov o osnovni računalniški varnosti. Lani sta imeli spletna stran OnGuard in njena španska različica Alerta en Linea več kot 5 milijonov ogledov.

B.   Pravno varstvo ZDA v korist potrošnikom iz EU

Okvir deluje v sklopu širšega področja zasebnosti v ZDA, ki na več načinov ščiti potrošnike iz EU.

Prepoved nepoštenih ali goljufivih dejanji ali ravnanja v zakonu o FTC (FTC Act) ni omejena na zaščito potrošnikov iz ZDA pred podjetji iz ZDA, saj vključuje prakse, ki (1) povzročijo ali je verjetno, da bodo povzročile, razumno predvidljivo škodo v Združenih državah ali (2) vključujejo bistveno ravnanje v Združenih državah. Poleg tega lahko Zvezna komisija za trgovino pri zaščiti tujih potrošnikov uporabi vsa pravna sredstva, vključno s povračilom, ki so na voljo za zaščito domačih potrošnikov.

Delo Zvezne komisije za trgovino pri uveljavljanju zares pomembno koristi potrošnikom v ZDA kot tudi tujim potrošnikom. Denimo, naše zadeve, ki uveljavljajo člen 5 zakona o FTC, so enako zaščitile zasebnost ameriških in tujih potrošnikov. V zadevi proti posredniku podatkov Accusearch je Zvezna komisija za trgovino trdila, da je prodaja zaupnih telefonskih evidenc podjetja tretjim strankam brez vednosti ali privolitve potrošnikov nepošteno ravnanje, ki krši člen 5 zakona o FTC. Družba Accusearch je prodala informacije v zvezi z ameriškimi in tujimi potrošniki (6). Sodišče je odobrilo sodno prepoved proti družbi Accusearch, s katero je med drugim prepovedalo trženje ali prodajo osebnih informacij potrošnikov brez pisnega soglasja, razen če so te bile pridobljene zakonito iz javno dostopnih informacij, ter odredilo plačilo skoraj 200 000 USD (7).

Drug primer je poravnava Zvezne komisije za trgovino z družbo TRUSTe. Ta zagotavlja, da se lahko potrošniki, tudi tisti v Evropski uniji, zanesejo na predstavitve, da svetovna organizacija s samourejevalnim sistemom komentira svoje preglede in certifikacijo domačih in tujih spletnih storitev (8). Pomembno je, da naš postopek proti družbi širše krepi tudi samourejevalni sistem varstva zasebnosti, s tem ko zagotavlja odgovornost subjektov, ki igrajo pomembno vlogo v samourejevalnih shemah, vključno z okviri za čezmejno varstvo zasebnosti.

Zvezna komisija za trgovino uveljavlja tudi druge ciljne zakone, ki varujejo tudi potrošnike zunaj ZDA, kot je zakon Children's Online Privacy Protection Act („COPPA“). Zakon COPPA med drugim od upravljavcev spletnih strani in storitev, namenjenih otrokom, ali strani za splošno občinstvo, ki zavestno zbirajo osebne informacije otrok, starih do 13 let, zahteva, da obvestijo starše in pridobijo preverljivo soglasje staršev. Ameriške spletne strani in storitve, za katere velja zakon COPPA in ki zbirajo osebne informacije tujih otrok, so dolžne upoštevati zakon COPPA. Tuje spletne strani in storitve morajo prav tako upoštevati zakon COPPA, če so usmerjene v otroke v Združenih državah ali če zavestno zbirajo osebne informacije otrok v Združenih državah. Poleg ameriških zveznih zakonov, ki jih uveljavlja Zvezna komisija za trgovino, lahko potrošnikom iz EU prinesejo dodatne ugodnosti tudi nekateri drugi zvezni in državni zakoni na področju zaščite in varstva zasebnosti potrošnikov.

C.   Uveljavljanje varnega pristana

V okviru programa za uveljavljanje varstva zasebnosti in varnosti je Zvezna komisija za trgovino želela zaščititi tudi potrošnike iz EU, in sicer z vlaganjem tožb zaradi kršitev varnega pristana. Zvezna komisija za trgovino je vložila 39 tožb v zvezi z uveljavljanjem varnega pristana: V 36 zadevah je šlo za domnevne lažne trditve glede certifikacije, v treh zadevah – proti družbam Google, Facebook in Myspace – pa za domnevne kršitve načel zasebnosti varnega pristana (9). Te zadeve dokazujejo izvršljivost certificiranja in posledice neizpolnjevanja. Odredbe za pridobivanje soglasij v naslednjih dvajsetih letih od družb Google, Facebook in Myspace zahtevajo, da izvajajo celovite programe za varstvo zasebnosti, ki morajo razumno obravnavati tveganja za varstvo zasebnosti, povezana z razvojem in upravljanjem novih in obstoječih proizvodov in storitev, ter za zaščito zasebnosti in zaupnosti osebnih informacij. Celoviti programi varstva zasebnosti, odrejeni v teh odločbah, morajo opredeliti predvidljiva bistvena tveganja in imeti kontrole za obravnavanje takšnih tveganj. Podjetja morajo Zvezni komisiji za trgovino predložiti tudi stalne neodvisne ocene svojih programov za varstvo zasebnosti. Odločbe tem družbam prepovedujejo tudi lažne navedbe o svojem ravnanju na področju varstva zasebnosti in o svojem sodelovanju v morebitnem programu za varstvo zasebnosti ali varnost. Prepoved bi se nanašala tudi na dejanja in ravnanje podjetij po novem okviru zasebnostnega ščita. Zvezna komisija za trgovino lahko te odločbe uveljavi skozi denarne kazni. Družba Google je namreč leta 2012 plačala rekordno denarno kazen v višini 22,5 milijona USD za razrešitev obtožb, da je kršila odlok FTC zoper njo. Posledično pomagajo odloki Zvezne komisije za trgovino ščititi več kot milijardo potrošnikov po vsem svetu, od katerih jih na stotine milijonov prebiva v Evropi.

Zadeve Zvezne komisije za trgovino so osredotočene tudi na lažne, goljufive ali zavajajoče trditve glede sodelovanja v varnem pristanu. Zvezna komisija za trgovino takšne trditve jemlje resno. Na primer, v zadevi Zvezna komisija za trgovino proti Karnani je Zvezna komisija za trgovino leta 2011 vložila tožbo proti spletnemu tržniku v Združenih državah, v kateri je trdila, da je on in njegovo podjetje zavedlo britanske potrošnike, da so verjeli, da ima podjetje sedež v Združenem kraljestvu, tudi z uporabo spletnih pripon.uk in navajanjem britanske valute ter poštnega sistema Združenega kraljestva (10). Toda ko so potrošniki prejeli izdelke, so naleteli na nepričakovane uvozne dajatve, garancije, ki niso veljale v Združenem kraljestvu, in stroške, povezane s pridobivanjem povračil. Zvezna komisija za trgovino je v obtožbi navedla tudi, da so obtoženi zavajali potrošnike o svojem sodelovanju v programu varnega pristana. Vsi prizadeti potrošniki so namreč bili v Združenem kraljestvu.

Mnoge naše druge zadeve v zvezi z uveljavljanjem varnega pristana so vključevale organizacije, ki so pristopile k programu varnega pristana, vendar niso obnovile svoje certifikacije, obenem pa so se še naprej predstavljale kot aktualne članice. Kakor je obravnavano spodaj, se Zvezna komisija za trgovino zavezuje tudi k obravnavi lažnih trditev o sodelovanju v okviru zasebnostnega ščita. Ta strateška dejavnost pregona bo dopolnila okrepljene ukrepe Ministrstva za trgovino pri preverjanju izpolnjevanja zahtev programa za certifikacijo in ponovno certifikacijo, njegovo spremljanje učinkovitega izpolnjevanja, vključno z uporabo vprašalnikov za sodelujoče v okviru, in okrepljenimi prizadevanji za odkrivanje lažnih trditev glede članstva v okviru in zlorabe morebitne certifikacijske oznake okvira (11).

II.   PREDNOSTNA OBRAVNAVA IN PREISKAVE PREDLOŽITEV

Zvezna komisija za trgovino se tako kot v programu varnega pristana zavezuje, da bo dala prednost zadevam, ki jih države članice EU predložijo v okviru zasebnostnega ščita. Prav tako bomo dali prednost zadevam neizpolnjevanja samourejevalnih smernic, ki se nanašajo na okvir zasebnostnega ščita in jih predložijo organizacije s samourejevalnim sistemom za varstvo zasebnosti in druge neodvisne službe za reševanje sporov.

Za lažjo predložitev zadev držav članic EU po tem okviru Zvezna komisija za trgovino pripravlja poenoten postopek za predložitev in daje državam članicam EU navodila glede vrste informacij, ki bi najbolj pomagale Zvezni komisiji za trgovino v njeni preiskavi predložene zadeve. V okviru teh prizadevanj bo Zvezna komisija za trgovino v agenciji imenovala osebo za stike, ki bo sprejemala predložitve držav članic EU. Zelo pripravno je, če organ, ki preloži zadevo, že opravi predhodno preiskavo domnevne kršitve in lahko sodeluje z Zvezno komisijo za trgovino v preiskavi.

Ob prejemu predložitve države članice EU ali organizacije s samourejevalnim sistemom lahko Zvezna komisija za trgovino sprejme vrsto različnih ukrepov za obravnavo sproženih vprašanj. Na primer, pregledamo lahko politike zasebnosti podjetja, pridobimo dodatne informacije neposredno od podjetja ali tretjih strank, ga nadalje spremljamo skupaj s subjektom, ki je predložil zadevo, ocenimo, ali obstaja vzorec kršitev ali precejšnje število prizadetih potrošnikov, določimo, ali predložena zadeva odpira vprašanja na področju delovanja Ministrstva za trgovino, ocenimo, ali bi bilo izobraževanje potrošnikov in podjetij koristno, in po potrebi sprožimo izvršilni postopek.

Zvezna komisija za trgovino se prav tako zavezuje izmenjevati informacije o predloženih zadevah z organi pregona, ki predložijo zadevo, vključno s statusom predloženih zadev, v skladu z omejitvami in zakoni, ki urejajo zaupnost. Če je glede na število in vrsto prejetih predložitev izvedljivo, bodo zagotovljene informacije vključevale oceno predloženih zadev, vključno z opisom pomembnih vprašanj in morebitnih ukrepov, sprejetih za obravnavo kršitev zakona v okviru pristojnosti Zvezne komisije za trgovino. Zvezna komisija za trgovino bo organu, ki predloži zadevo, zagotovila tudi povratne informacije o vrstah predložitev, ki jih prejme, da bi povečala učinkovitost prizadevanj za obravnavo nezakonitega ravnanja. Če organ pregona, ki predloži zadevo, zahteva informacije o statusu posamezne predložene zadeve za namene izvajanja lastnega izvršilnega postopka, bo Zvezna komisija za trgovino odgovorila, pri tem pa upoštevala število predloženih zadev v obravnavi, zaupnost in druge zakonske zahteve.

Zvezna komisija za trgovino bo prav tako tesno sodelovala z organi EU za zaščito podatkov, da bi zagotovila pomoč pri uveljavljanju. V ustreznih primerih bi to lahko vključevalo izmenjavo informacij in pomoč pri preiskovanju v skladu z ameriškim zakonom o spletni varnosti (U.S. SAFE WEB Act), ki Zvezni komisiji za trgovino dovoljuje, da tujim organom kazenskega pregona nudi pomoč, kadar tuji organ uveljavlja zakone, ki prepovedujejo ravnanje, ki je po vsebini precej podobno ravnanju, prepovedanemu z zakoni, ki jih izvaja Zvezna komisija za trgovino (12). V okviru te pomoči lahko Zvezna komisija za trgovino izmenjuje informacije, pridobljene v zvezi z lastno preiskavo, izda prisilni postopek v imenu organa EU za zaščito podatkov, ki izvaja lastno preiskavo, in poišče ustna pričevanja prič ali obtoženih v zvezi z izvršilnim postopkom organa za zaščito podatkov v skladu z zahtevami ameriškega zakona o spletni varnosti (U.S. SAFE WEB Act). Zvezna komisija za trgovino redno uporablja to pooblastilo za pomoč drugim organom po svetu v zadevah glede zaščite zasebnosti in potrošnikov (13).

Poleg prednostne obravnave zadev, ki jih države članice EU in organizacije s samourejevalnim sistemom za varstvo zasebnosti predložijo v okviru zasebnostnega ščita (14), se Zvezna komisija za trgovino zavezuje preiskati morebitne kršitve okvira na lastno pobudo, kjer je primerno, z različnimi orodji.

Zvezna komisija za trgovino že več kot desetletje ohranja trden program preiskovanja zadev glede zasebnosti in varnosti, v katere so vpletene trgovske organizacije. V okviru teh preiskav je Zvezna komisija za trgovino redno pregledovala, ali se zadevni subjekti predstavljajo v okviru varnega pristana. Če se je subjekt tako predstavljal in je preiskava razkrila očitne kršitve načel zasebnosti varnega pristana, je Zvezna komisija za trgovino v uvedbo pregona vključila obtožbe kršitev varnega pristana. S tem dejavnim pristopom bomo nadaljevali tudi v novem okviru. Pomembno je poudariti, da Zvezna komisija za trgovino opravi mnogo več preiskav zadev, kot se jih konča z javno uvedbo pregona. Mnogo preiskav Zvezne komisije za trgovino je zaključenih, ker osebje ne ugotovi očitne kršitve zakonodaje. Ker so preiskave Zvezne komisije za trgovino nejavne in zaupne, zaključek preiskave pogosto ni objavljen.

Uvedba pregona Zvezne komisije za trgovino v skoraj 40 zadevah, ki se nanašajo na program varnega pristana, priča o zavezanosti agencije k dejavnemu uveljavljanju čezmejnih programov za varstvo zasebnosti. Zvezna komisija za trgovino bo iskala morebitne kršitve okvira v sklopu preiskav v zvezi z zasebnostjo in varnostjo, ki jih redno izvajamo.

III.   OBRAVNAVANJE LAŽNIH ALI GOLJUFIVIH TRDITEV GLEDE ČLANSTVA V ZASEBNOSTNEM ŠČITU

Kakor je navedeno zgoraj, bo Zvezna komisija za trgovino ukrepala proti subjektom, ki lažno navajajo svoje sodelovanje v okviru. Zvezna komisija za trgovino bo prednostno obravnavala predložitve Ministrstva za trgovino v zvezi z organizacijami, za katere je ugotovilo, da se neustrezno predstavljajo kot aktualni člani okvira ali brez dovoljenja uporabljajo certifikacijsko oznako okvira.

Poleg tega opozarjamo, da v kolikor politika zasebnosti organizacije obljublja, da ta izpolnjuje načela zasebnostnega ščita, in se organizacija ne uspe registrirati pri Ministrstvu za trgovino, to samo po sebi ne oprosti organizacije od uveljavljanja zavez po tem okviru s strani Zvezne komisije za trgovino.

IV.   SPREMLJANJE ODLOKOV

Zvezna komisija za trgovino potrjuje tudi zavezo, da bo spremljala izvršilnih odlokov in tako zagotovila skladnost z okvirom zasebnostnega ščita.

Skladnost z okvirom bomo zahtevali skozi vrsto ustreznih prepovednih določb v prihodnjih odlokih FTC v zvezi z okvirom. To vključuje prepoved lažnih navedb v zvezi z okvirom in drugimi programi za varstvo zasebnosti, kadar so te podlaga za ukrep Zvezne komisije za trgovino.

Zadeve Zvezne komisije za trgovino, ki uveljavljajo prvotni program varnega pristana, so poučne. V 36 zadevah v zvezi z lažnimi ali goljufivimi navedbami certifikacije v varnem pristanu vsaka odločba tožencu prepoveduje lažno navajanje svojega sodelovanja v varnem pristanu ali katerem koli drugem programu za varstvo zasebnosti in varnost, ter od podjetja zahteva, da Zvezni komisiji za trgovino zagotovi poročila o skladnosti. V zadevah v zvezi s kršitvami načel zasebnosti varnega pristana je bilo določeno, da morajo podjetja izvajati celovite programe za varstvo zasebnosti in pridobiti neodvisne ocene tretjih strank v zvezi s temi programi vsako drugo leto v naslednjih dvajsetih letih, ki jih morajo predložiti Zvezni komisiji za trgovino.

Kršitve upravnih odlokov FTC lahko privedejo do denarnih kazni v višini do 16 000 ameriških dolarjev za posamezno kršitev ali 16 000 ameriških dolarjev na dan za nenehno kršenje (15),ki lahko v primeru ravnanja, ko je prizadeto veliko potrošnikov, znaša tudi več milijonov ameriških dolarjev. Vsak odlok za pridobivanje soglasij vsebuje tudi določbe v zvezi s poročanjem in skladnostjo. Subjekti, na katere se nanaša odlok, morajo hraniti dokumente, ki dokazujejo njihovo izpolnjevanje načel, določeno število let. Odloke je treba poslati tudi zaposlenim, ki so odgovorni za zagotavljanje izpolnjevanja odloka.

Zvezna komisija za trgovino sistematično spremlja izpolnjevanje odlokov v okviru varnega pristana kot pri vseh svojih odlokih. Zvezna komisija za trgovino resno jemlje uveljavljanje svojih odlokov v zvezi z varstvom zasebnosti in podatkov ter po potrebi vlaga tožbe za njihovo uveljavitev. Na primer, kakor je omenjeno zgoraj, je družba Google plačala denarno kazen v višini 22,5 milijona USD za razrešitev obtožb, da je kršila odlok FTC zoper njo. Pomembno je, da bodo odloki FTC še naprej ščitili vse potrošnike po svetu, ki sodelujejo s podjetjem, ne le tiste potrošnike, ki so vložili pritožbe.

Nazadnje, Zvezna komisija za trgovino bo še naprej vodila spletni seznam podjetij, za katera veljajo odloki v zvezi z uveljavljanjem programa varnega pristana in novega okvira zasebnostnega ščita (16). Poleg tega načela zasebnostnega ščita zdaj od podjetij, za katera velja odlok FTC ali sodna odločba zaradi neizpolnjevanja načel, da javno objavijo vse pomembne dele poročila o skladnosti ali oceni, povezanega z okvirom, ki ga predložijo Zvezni komisiji za trgovino, v obsegu, v katerem je to v skladu z zakoni in pravili o zaupnosti.

V.   SODELOVANJE Z ORGANI ZA ZAŠČITO PODATKOV EU IN PRI UVELJAVLJANJU

Zvezna komisija za trgovino priznava pomembno vlogo, ki jo igrajo organi za zaščito podatkov EU glede skladnosti z okvirom, in spodbuja okrepljeno posvetovanje in sodelovanje pri uveljavljanju. Poleg morebitnih posvetov z organi za zaščito podatkov v zvezi s posameznimi zadevami, ki jih predložijo ti organi, se Zvezna komisija za trgovino zavezuje k sodelovanju na rednih sestankih z imenovanimi predstavniki delovne skupine iz člena 29, kjer bodo na splošno obravnavani načini za izboljšanje sodelovanja pri uveljavljanju glede na okvir. FTC bo skupaj s predstavniki Ministrstva za trgovino, Evropske komisije in delovne skupine iz člena 29 sodelovala tudi v letnem pregledu okvira, kjer bo obravnavala njegovo izvajanje.

Zvezna komisija za trgovino spodbuja tudi razvoj orodij, ki bodo okrepila sodelovanje pri uveljavljanju z organi za zaščito podatkov EU in drugimi organi za uveljavljanje varstva zasebnosti po svetu. Zvezna komisija za trgovino je skupaj s partnerji za uveljavljanje v Evropski uniji in po svetu lani uvedla sistem opozarjanja v okviru mreže za globalno uveljavljanje zasebnosti (Global Privacy Enforcement Network ali GPEN) za izmenjavo informacij o preiskavah in spodbujanje usklajenega uveljavljanja. Ta pripomoček GPEN za opozarjanje je lahko posebej uporaben v okviru zasebnostnega ščita. Zvezna komisija za trgovino in organi za zaščito podatkov EU bi ga lahko uporabili za usklajevanje v zvezi z okvirom in drugimi preiskavami varstva zasebnosti, tudi kot izhodišče za izmenjavo informacij za namene zagotavljanja usklajene in učinkovitejše zaščite zasebnosti za potrošnike. Veselimo se nadaljnjega dela s sodelujočimi organi EU pri širšem vzpostavljanju sistema za opozarjanje GPEN in razvoju drugih orodij za izboljšanje sodelovanja v zadevah uveljavljanja zasebnosti, vključno s tistimi po okviru.

Zvezna komisija za trgovino z veseljem potrjuje svojo zavezo k uveljavljanju novega okvira zasebnostnega ščita. Prav tako se veselimo nadaljnjega sodelovanja s sodelavci iz EU pri zaščiti zasebnosti potrošnikov na obeh straneh Atlantika.

---

(1)  Dodatne informacije o zveznih in državnih zakonih v ZDA glede varstva zasebnosti podajamo v Prilogi A. Poleg tega je povzetek naših nedavnih ukrepov pregona zaradi varstva zasebnosti in varnosti na voljo na spletni stran Zvezne komisije za trgovino na naslovu https://www.ftc.gov/reports/privacy-data-security-update-2015.

(2)  Člen 45(a) naslova 15 zakonodajne zbirke ZDA.

(3)  Glej izjavo Zvezne komisije za trgovino o politiki glede goljufij, priloženo Cliffdale Assocs., Inc., 103 F.T.C. 110, 174 (1984), na voljo na https://www.ftc.gov/public-statements/1983/10/ftc-policy-statement-deception.

(4)  Glej člen 45(n) naslova 15 zakonodajne zbirke ZDA. Izjava Zvezne komisije za trgovino o politiki glede nepoštenosti, priložena Int'l Harvester Co., 104 F.T.C. 949, 1070 (1984), na voljo na https://www.ftc.gov/public-statements/1980/12/ftc-policy-statement-unfairness.

(5)  Glej California Dental Ass'n v. FTC, Zbirka odločb vrhovnega sodišča št. 526, str. 756 (1999).

(6)  Glej Office of the Privacy Commissioner of Canada, Pritožba v skladu s PIPEDA proti Accusearch, Inc., ki posluje kot Abika.com, https://www.priv.gc.ca/cf-dc/2009/2009_009_0731_e.asp. Urad kanadskega pooblaščenca za varstvo zasebnosti je vložil stališče amicus curiae v pritožbi na tožbo Zvezne komisije za trgovino in izvedel lastno preiskavo, v kateri je ugotovil, da je družba Accusearch s svojim ravnanjem kršila tudi kanadsko zakonodajo.

(7)  Glej FTC proti Accusearch, Inc., št. 06CV015D (D. Wyo. Dec. 20, 2007), aff'd 570 F.3d 1187 (10th Cir. 2009).

(8)  Glej v zadevi True Ultimate Standards Everywhere, Inc., št. C-4512 (F.T.C. Mar. 12, 2015) (sklep in odločba), na voljo na https://www ftc.gov/system/files/documents/cases/150318trust-edo.pdf.

(9)  Glej v zadevi Google, Inc., št. C-4336 (F.T.C. 13. oktober 2011) (sklep in odločba), na voljo na https://www.ftc.gov/news-events/press-releases/2011/03/ftc-charges-deceptive-privacy-practices-googles-rollout-its-buzz; v zadevi Facebook, Inc., št. C-4365 (F.T.C. 27. julij 2012) (sklep in odločba), na voljo na https://www.ftc.gov/news-events/press-releases/2012/08/ftc-approves-final-settlement-facebook; v zadevi Myspace LLC, št. C-4369 (F.T.C. 30. avgust 2012) (sklep in odredba), na voljo na https://www.ftc.gov/news-events/press-releases/2012/09/ftc-finalizes-privacy-settlement-myspace.

(10)  Glej FTC proti Karnani, št. 2:09-cv-05276 (C.D. Cal. 20. maj 2011) (pravnomočni sklep), na voljo na https://www ftc.gov/sites/default/files/documents/cases/2011/06/110609karnanistip.pdf; glej tudi Lesley Fair, FTC Business Center Blog, Around the World in Shady Ways, https://www.ftc.gov/blog/2011/06/around-world-shady-ways (9. junij 2011).

(11)  Pismo vršilca dolžnosti namestnika ministra za mednarodno trgovino Kena Hyatta, Uprava za mednarodno trgovino, Věri Jourovi, komisarki za pravosodje, potrošnike in enakost spolov.

(12)  Pri ugotavljanju, ali uveljaviti svoje pooblastilo po ameriškem zakonu o spletni varnosti (U.S. SAFE WEB Act), Zvezna komisija za trgovino med drugim upošteva: „(A) ali se je organ, ki predloži zahtevo, strinjal, da zagotovi ali da bo zagotovil vzajemno pomoč komisiji; (B) ali bi izpolnitev zahteve posegla v javni interes Združenih držav; in (C) ali se preiskovalni ali izvršilni postopek organa, ki predloži zadevo, nanaša na dejanja ali ravnanje, ki povzroči ali je verjetno, da bo povzročilo, škodo precejšnjemu številu oseb.“ Člen 46(j)(3) naslova 15 zakonodajne zbirke ZDA. To pooblastilo ne velja za uveljavljanje zakonov o konkurenci.

(13)  V davčnih letih 2012–2015 je, na primer, Zvezna komisija za trgovino uporabila svoje pooblastilo v skladu z zakonom ZDA o spletni varnosti (U.S. SAFE WEB Act) za izmenjavo informacij pri odgovarjanju na skoraj 60 zahtev tujih organov in izdala skoraj 60 civilnih preiskovalnih zahtevkov (ki so enakovredni sodnim pozivom) za pomoč v 25 tujih preiskavah.

(14)  Čeprav Zvezna komisija za trgovino ne razrešuje ali izvaja mediacije pri posameznih pritožbah potrošnikov, pa potrjuje, da bo prednostno obravnavala zadeve v zvezi z zasebnostnim ščitom, ki jih predložijo organi za zaščito podatkov EU. Poleg tega Zvezna komisija za trgovino uporablja pritožbe v svoji podatkovni zbirki Consumer Sentinel, dostop do katere imajo mnogi drugi organi kazenskega pregona, da bi odkrila gibanja ter določila prednostne naloge pri pregonu in morebitne preiskovalne cilje. Posamezniki iz EU lahko za predložitev pritožbe Zvezni komisiji za trgovino uporabijo enak pritožbeni sistem, kakor je na voljo državljanom ZDA, in sicer na www.ftc.gov/complaint. Za posamezne pritožbe v okviru zasebnostnega ščita pa je morda najpriročnejše, da posamezniki iz EU predložijo pritožbe organu za zaščito podatkov v svoji državi članici ali drugemu organu za reševanje sporov.

(15)  Člen 45(m) naslova 15 zakonodajne zbirke ZDA. 16 C.F.R. člen 1.98.

(16)  Glej FTC, Business Center, Legal Resources, https://www.ftc.gov/tips-advice/business-center/legal-resources?type=case&field-consumer-protection-topics-tid=251.

PRILOGA V

19. februar 2016

Komisarka Věra Jourová

Evropska komisija

Rue de la Loi/Wetstraat 200

1049 Bruselj

Belgija

V odgovor na: Okvir zasebnostnega ščita EU-ZDA

Spoštovana komisarka Jourová,

Ministrstvo za promet ZDA (v nadaljevanju: Ministrstvo) se zahvaljuje za priložnost, da opiše svojo vlogo pri uveljavljanja okvira zasebnostnega ščita EU-ZDA. Ta okvir igra ključno vlogo pri zaščiti osebnih podatkov, pridobljenih med trgovinskim poslovanjem v vedno bolj povezanem svetu. Podjetjem omogoča izvajanje pomembnih operacij v svetovnem gospodarstvu, obenem pa bo zagotovil, da potrošniki iz EU obdržijo pomembno varstvo zasebnosti.

Ministrstvo je prvič javno izrazilo svojo zavezo k uveljavljanju okvira varnega pristana v pismu, poslanem Evropski komisiji pred 15 leti. Ministrstvo se je v tem pismu zavezalo, da bo odločno uveljavljalo načela zasebnosti varnega pristana. Ministrstvo še naprej ohranja to zavezo in jo zapisuje v tem pismu.

Ministrstvo zlasti obnavlja svojo zavezo na spodnjih ključnih področjih: (1) prednostna obravnava preiskav domnevnih kršitev zasebnostnega ščita; (2) ustrezen kazenski pregon proti subjektom, ki lažno ali goljufivo navajajo certifikacijo v okviru zasebnostnega ščita; ter (3) spremljanje in javna objava izvršilnih odlokov v zvezi s kršitvami zasebnostnega ščita. Zagotavljamo informacije o vsaki od teh zavez in za potreben kontekst tudi ustrezno ozadje vloge Ministrstva pri zaščiti zasebnosti potrošnikov in uveljavljanju okvira zasebnostnega ščita.

I.   OZADJE

A.   Pooblastilo Ministrstva za promet glede varstva zasebnosti

Ministrstvo je trdno zavezano k zagotavljanju zasebnosti informacij, ki jih potrošniki dajo letalskim prevoznikom in agencijam za prodajo letalskih vozovnic. Pooblastilo Ministrstva za ukrepanje na tem področju je navedeno v členu 41712 naslova 49 zakonodajne zbirke ZDA, ki prevozniku ali agenciji za prodajo letalskih vozovnic prepoveduje „nepošteno ali goljufivo ravnanje ali nelojalno konkurenco“ pri prodaji zračnega prevoza, ki povzroči ali obstaja verjetnost, da povzroči, škodo potrošnikom. Člen 41712 je oblikovan po členu 5 zakona o FTC (Federal Trade Commission Act) (člen 45 naslova 15 zakonodajne zbirke ZDA). Določbo o nepoštenem ali goljufivem ravnanju razlagamo kot prepoved letalskim prevoznikom in agencijam za prodajo letalskih vozovnic, da: (1) kršijo pogoje svoje politike zasebnosti ali (2) zbirajo ali razkrivajo zasebne informacije na način, ki krši javni red, je nemoralen ali povzroči bistveno škodo potrošnikom, ki je ne nadomesti nobena kompenzacijska ugodnost. Člen 41712 razlagamo tudi kot prepoved za letalske prevoznike in agencija za prodajo letalskih vozovnic, da: (l) kršijo katero koli pravilo, ki ga izda Ministrstvo in ki določa posamezno ravnanje v zvezi varstvom zasebnosti kot nepošteno ali goljufivo; ali (2) kršijo zakon o varstvu zasebnosti otrok na spletu (COPPA) ali pravila Zvezne komisije za trgovino, ki izvajajo COPPA. V skladu z zveznim zakonom ima Ministrstvo izključno pristojnost za urejanje praks letalskih prevoznikov v zvezi z varstvom zasebnosti, v zvezi s praksami agencij za prodajo letalskih vozovnic pa si deli pristojnost z Zvezno komisijo za trgovino.

Ko se prevoznik ali prodajalec zračnega prevoza javno zaveže k načelom zasebnosti iz okvira zasebnostnega ščita, lahko Ministrstvo kot tako uporabi zakonske pristojnosti iz člena 41712 za zagotovitev skladnosti z navedenimi načeli. Ko torej potnik da podatke letalskemu prevozniku ali agenciji za prodajo letalskih vozovnic, ki se je zavezal(-a) k načelom zasebnosti v okviru zasebnostnega ščita, vsako neizpolnjevanje teh načel letalskega prevoznika ali agencije za prodajo letalskih vozovnic pomeni kršitev člena 41712.

B.   Prakse izvrševanja

Urad za izvrševanje in postopke v letalstvu (Office of Aviation Enforcement and Proceedings ali Aviation Enforcement Office) v okviru Ministrstva opravlja preiskave in pregon po členu 41712 naslova 49 zakonodajne zbirke ZDA. Uveljavlja zakonsko prepoved v členu 41712 proti nepoštenemu in goljufivemu ravnanju, zlasti s pogajanji ter pripravo odlokov o prepovedi in odlokov za oceno denarne kazni. Urad izve za morebitne kršitve predvsem iz pritožb, ki jih prejme od posameznikov, potovalnih agencij, letalskih prevoznikov in organov ameriške in tujih vlad. Potrošniki lahko proti letalskim prevoznikom in agencijam za prodajo letalskih vozovnic vložijo pritožbe v zvezi z varstvom zasebnosti na spletni strani Ministrstva za promet (1).

Če v zadevi ni dosežena razumna in ustrezna rešitev, ima Aviation Enforcement Office pristojnost, da uvede izvršilni postopek, ki vključuje predhodno obravnavo pred upravnim sodnikom Ministrstva za promet. Upravni sodni ima pristojnost za izdajo odlokov o prepovedi in denarnih kazni. Posledica kršitev člena 41712 je lahko izdaja odloka o prepovedi ter odredba denarne kazni v višini do 27 500 ameriških dolarjev za vsako kršitev člena 41712.

Ministrstvo nima pristojnosti za dodelitev odškodnine ali zagotovitev denarnega nadomestila posameznim pritožnikom. Vendar pa ima Ministrstvo pristojnost za odobritev poravnav na podlagi preiskav, ki jih je opravil Aviation Enforcement Office in ki neposredno koristijo potrošnikom (npr. gotovina, boni), kot poravnavo za denarne kazni, ki jih je sicer treba plačati vladi ZDA. To se je zgodilo že v preteklosti in se lahko zgodi tudi v okviru načel zasebnostnega ščita, kadar to omogočajo okoliščine. Ob ponavljajočih se kršitvah člena 41712, ki jih zagreši letalski prevoznik, bi se pojavilo vprašanje o pripravljenosti letalskega prevoznika, da ravna v skladu z načeli, kar se lahko v izjemno hudih primerih konča z ugotovitvijo, da letalski prevoznik ni več sposoben opravljati dejavnost, in torej z izgubo pooblastila za opravljanje gospodarske dejavnosti.

Do danes je Ministrstvo prejelo razmeroma malo število pritožb v zvezi z domnevnimi kršitvami zasebnosti agencij za prodajo letalskih vozovnic in letalskih prevoznikov. Ko je pritožba vložena, je preiskana glede na načela, določena zgoraj.

C.   Pravno varstvo Ministrstva za promet v korist potrošnikom iz EU

V skladu s členom 41712 se prepoved nepoštenega ali goljufivega ravnanja v letalskem prevozu ali prodaji letalskega prevoza nanaša na ameriške in tuje letalske prevoznike ter agencije za prodajo letalskih vozovnic. Ministrstvo za promet pogosto ukrepa proti ameriškim in tujim letalskim prevoznikom v zvezi z ravnanjem, ki vpliva tako na tuje kot tudi ameriške potrošnike, na podlagi tega, da se je tako ravnanje letalskega prevoznika zgodilo v toku zagotavljanja prevoza v in iz ZDA. Ministrstvo za promet bo še naprej uporabljalo vsa pravna sredstva, ki so na voljo za zaščito tujih in ameriških potrošnikov pred nepoštenim ali goljufivim ravnanjem reguliranih subjektov v letalskem prevozu.

V zvezi z letalskimi prevozniki Ministrstvo za promet uveljavlja tudi druge ciljne zakone, katerih varstvo zajema potrošnike zunaj ZDA, kot je zakon COPPA. Zakon COPPA med drugim od upravljavcev spletnih strani in storitev, namenjenih otrokom, ali strani za splošno občinstvo, ki zavestno zbirajo osebne informacije od otrok, starih do 13 let, zahteva, da obvestijo starše in pridobijo preverljivo soglasje staršev. Ameriške spletne strani in storitve, za katere velja zakon COPPA in ki zbirajo osebne informacije tujih otrok, so dolžne upoštevati zakon COPPA. Tuje spletne strani in storitve morajo prav tako upoštevati zakon COPPA, če so usmerjene v otroke v Združenih državah ali če zavestno zbirajo osebne informacije otrok v Združenih državah. Če ameriški ali tuji letalski prevozniki, ki poslujejo v Združenih državah, kršijo zakon COPPA, je Ministrstvo za promet pristojno za uvedbo pregona.

II.   UVELJAVLJANJE ZASEBNOSTNEGA ŠČITA

Če se letalski prevoznik ali agencija za prodajo letalskih vozovnic odloči sodelovati v okviru zasebnostnega ščita in Ministrstvo prejme pritožbo, da je tak letalski prevoznik ali agencija za prodajo letalskih vozovnic domnevno kršil okvir, Ministrstvo sprejme naslednje ukrepe za odločno uveljavljanje okvira.

A.   Prednostna obravnava preiskave domnevnih kršitev

Aviation Enforcement Office v okviru Ministrstva bo preiskal vsako pritožbo glede domnevnih kršitev zasebnostnega ščita (vključno s pritožbami, prejetimi od organov za zaščito podatkov EU) in uvedel pregon, kjer obstajajo dokazi o kršitvi. Poleg tega bo Aviation Enforcement Office sodeloval z Zvezno komisijo za trgovino in Ministrstvom za trgovino ter prednostno obravnaval obtožbe, da regulirani subjekti ne izpolnjujejo zavez v zvezi z varstvom zasebnosti, ki so jih sprejeli v okviru zasebnostnega ščita.

Ob prejemu obtožbe glede kršitve okvira zasebnostnega ščita lahko Aviation Enforcement Office v okviru Ministrstva sprejme različne ukrepe v sklopu svoje preiskave. Na primer, pregleda lahko politike o zasebnosti agencije za prodajo letalskih vozovnic ali letalskega prevoznika, pridobi nadaljnje informacije od agencije za prodajo letalskih vozovnic, letalskega prevoznika ali tretjih strank, ter s subjektom, ki je predložil zadevo, le-to nadalje spremlja in oceni, ali obstaja vzorec kršitev ali precejšnje število prizadetih potrošnikov. Poleg tega bi določilo, ali ima lahko zadeva posledice na področju, ki ga ureja Ministrstvo za trgovino in Zvezna komisija za trgovino, in ocenilo, ali bi bilo izobraževanje potrošnikov in podjetij koristno, ter po potrebi uvedlo pregon.

Če Ministrstvo izve za morebitne kršitve zasebnostnega ščita agencij za prodajo letalskih vozovnic, bo zadevo uskladilo z Zvezno komisijo za trgovino. O izidu morebitnega pregona v okviru zasebnostnega ščita bomo obvestili Zvezno komisijo za trgovino in Ministrstvo za trgovino.

B.   Obravnavanje lažnih ali goljufivih trditev glede članstva

Ministrstvo ostaja zavezano k preiskovanju kršitev zasebnostnega ščita, vključno z lažnimi ali goljufivimi trditvami članstva v programu zasebnostnega ščita. Prednostno bomo obravnavali zadeve, ki jih predloži Ministrstvo za trgovino v zvezi z organizacijami, za katere je ugotovilo, da se neustrezno predstavljajo kot aktualni člani zasebnostnega ščita ali brez dovoljenja uporabljajo certifikacijsko oznako okvira zasebnostnega ščita.

Poleg tega opozarjamo, da v kolikor politika zasebnosti organizacije obljublja, da izpolnjuje bistvena načela zasebnostnega ščita, in se organizaciji ne uspe registrirati pri Ministrstvu za trgovino, to samo po sebi ne oprosti organizacije od uveljavljanja teh zavez s strani Ministrstva za promet.

C.   Spremljanje in javna objava izvršilnih odlokov v zvezi s kršitvami zasebnostnega ščita

Aviation Enforcement Office v okviru Ministrstva se še naprej zavezuje, da bo spremljalo izvršilne odloke, kakor so potrebni za zagotavljanje skladnosti s programom zasebnostnega ščita. Zlasti, če urad izda odlok, ki letalskemu prevozniku ali agenciji za prodajo letalskih vozovnic prepoveduje nadaljnje kršitve zasebnostnega ščita in člena 41712, bo spremljal subjektovo izpolnjevanje določbe o prepovedi v odloku. Poleg tega bo urad zagotovil, da bodo odloki, ki izhajajo iz zadev zasebnostnega ščita, na voljo na njegovi spletni strani.

Veselimo se nadaljnjega dela z našimi zveznimi partnerji in deležniki iz EU v zadevah zasebnostnega ščita.

Upam, da vam bodo ta pojasnila v pomoč. Če boste imeli še kakšno vprašanje ali če boste potrebovali nadaljnja pojasnila, mi, prosim, brez oklevanja sporočite.

---

(1)  http://www.transportation.gov/airconsumer/privacy-complaints.

PRILOGA VI

22. februar 2016

Justin S. Antonipillai

Svetovalec

U.S. Department of Commerce

1401 Constitution Ave., NW

Washington, DC 20230

Ted Dean

Namestnik pomočnika ministra

International Trade Administration

1401 Constitution Ave., NW

Washington, DC 20230

Spoštovana g. Antonipillai in g. Dean,

v preteklih dveh letih in pol so Združene države v okviru pogajanj v zvezi z zasebnostnim ščitom EU-ZDA zagotovile precej informacij o delovanju ameriške obveščevalne skupnosti pri zbiranju informacij v okviru SIGINT. Te vključujejo informacije o veljavnem pravnem okviru, večplastni nadzor teh dejavnosti, široko preglednost teh dejavnosti in celovito varstvo zasebnosti in državljanskih svoboščin, da bi Evropski komisiji pomagali doseči sklep o ustreznosti tega varstva glede na izjeme načel zasebnostnega ščita v zvezi z nacionalno varnostjo. Ta dokument povzema podane informacije.

I.   PPD-28 IN IZVAJANJE OBVEŠČEVALNE DEJAVNOSTI SIGINT

Ameriška obveščevalna skupnost zbira tuje obveščevalne podatke na skrbno nadzorovan način strogo v skladu z zakonodajo ZDA in več plastmi nadzora, pri čemer je poudarek na pomembnih prednostnih nalogah v zvezi s tujimi obveščevalnimi podatkih in nacionalno varnostjo. Zbiranje obveščevalnih podatkov v okviru obveščevalnih dejavnosti SIGINT v ZDA ureja več zakonov in politik, vključno z Ustavo ZDA, zakonom o nadzoru tujih obveščevalnih podatkov (Foreign Intelligence Surveillance Act; člen 1801 in naslednji naslova 50 Zakonodajne zbirke ZDA), odredbo št. 12333 in njenimi izvedbenimi postopki, predsedniškimi smernicami ter številnimi postopki in smernicami, ki jih odobrita sodišče FISA in državni tožilec in ki vzpostavljajo dodatna pravila, ki omejujejo zbiranje, hranjenje, uporabo in širjenje tujih obveščevalnih podatkov (1).

a.   Pregled PPD-28

Januarja 2014 je predsednik Obama v svojem govoru povzel različne reforme ameriških obveščevalnih dejavnost SIGINT in izdal predsedniško politično direktivo 28 (Presidential Policy Directive 28 ali PPD-28) v zvezi s temi dejavnostmi (2). Predsednik je poudaril, da obveščevalne dejavnosti SIGINT, ki jih izvajajo ZDA, pomagajo varovati ne le našo državo, temveč tudi naše svobode ter varnost in svobode drugih držav, vključno z državami članicami EU, ki se zanašajo na informacije ameriških obveščevalnih agencij, da bi zaščitili svoje državljane.

PPD-28 določa niz načel in zahtev, ki veljajo za vse ameriške obveščevalne dejavnosti SIGINT ter za vse ljudi ne glede na njihovo narodnost ali kraj. Zlasti določa nekatere zahteve za postopke za obravnavo zbiranja, hranjenja in širjenja osebnih informacij o nedržavljanih ZDA, pridobljenih v skladu s SIGINT. Te zahteve so podrobneje določene spodaj, toda če jih povzamemo:

—	PPD znova ponavlja, da Združene države zbirajo obveščevalne podatke s SIGINT le v okviru zakona, odredbe ali druge predsedniške direktive.

—	PPD vzpostavlja postopke, ki zagotavljajo, da se SIGINT izvaja le za zakonite in pooblaščene potrebe nacionalne varnosti.

—

PPD zahteva tudi, da so zasebnost in državljanske svoboščine bistveni vprašanji pri načrtovanju zbiranja obveščevalnih podatkov v okviru SIGINT. Združene države zlasti ne zbirajo obveščevalnih podatkov za zatiranje ali obremenjevanje kritik ali nestrinjanja; da bi prikrajšale osebe na podlagi njihove narodnosti, rase, spola, spolne usmerjenosti ali vere; ali da bi ameriškim podjetjem in poslovnim sektorjem omogočile konkurenčno poslovno prednost.

—	PPD predpisuje, da mora biti zbiranje obveščevalnih podatkov v okviru SIGINT prilagojeno tako, da je izvedljivo in da se lahko množilno zbrani obveščevalni podatki v okviru SIGINT uporabijo zgolj za posebej navedene namene.

—

PPD določa, da mora obveščevalna skupnost sprejeti postopke, „ki so ustrezni oblikovani za zmanjševanje širjenja in hranjenja osebnih informacij, zbranih v okviru SIGINT,“ in zlasti širi določene elemente varstva, kakor so zagotovljeni za osebne informacije državljanov ZDA, na osebne informacije nedržavljanov ZDA.

—	Postopki agencije za izvajanje PPD-28 so sprejeti in objavljeni.

Veljavnost postopkov in varstva, določenega v tem dokumentu za zasebnostni ščit, je jasna. Ko so podatki preneseni korporacijam v Združenih državah v skladu z zasebnostnim ščitom ali s kakršnimi koli sredstvi, lahko ameriške obveščevalne agencije zahtevajo te podatke od teh korporacij le, če je zahteva v skladu z zakonom o nadzoru tujih obveščevalnih podatkov ali z eno od zakonskih določb sodnega poziva v zvezi z nacionalno varnostjo, ki so obravnavane spodaj (3). Poleg tega, ne da bi potrdil ali zanikal poročila medijev o tem, da obveščevalna skupnost ZDA zbira podatke po čezatlantskih kabelskih vezah med prenosom v Združene države, če bi obveščevalna skupnost ZDA zbirala podatke po čezatlantskih kabelskih vezah, bi to naredila v skladu z omejitvami in zaščitnimi ukrepi, določenimi v tem dokumentu, vključno z zahtevami PPD-28.

b.   Omejitve zbiranja

PPD-28 določa vrsto pomembnih splošnih načel, ki urejajo zbiranje obveščevalnih podatkov v okviru SIGINT:

—	Zbiranje obveščevalnih podatkov v okviru SIGINT mora dovoljevati zakon ali predsedniško pooblastilo ter mora biti izvedeno v skladu z Ustavo in zakonom.

—	Zasebnost in državljanske svoboščine morajo biti osrednji pomisleki pri načrtovanju obveščevalnih dejavnosti SIGINT.

—	Obveščevalni podatki SIGINT se bodo zbirali le, kadar obstaja veljavna potreba za tuje obveščevalne podatke ali protiobveščevalno dejavnost.

—	Združene države ne bodo zbirale obveščevalnih podatkov v okviru SIGINT za namene zatiranja ali obremenjevanja kritik ali nestrinjanja.

—	Združene države ne bodo zbirale obveščevalnih podatkov v okviru SIGINT za prikrajšanje ljudi na podlagi njihove narodnosti, rase, spola, spolne usmerjenosti ali vere.

—	Združene države ne bodo zbirale obveščevalnih podatkov v okviru SIGINT, da bi podjetjem in poslovnim sektorjem iz ZDA omogočile konkurenčno poslovno prednost.

—	Ameriška obveščevalna dejavnost SIGINT mora biti vedno tako prilagojena, kot je izvedljiva, ob upoštevanju razpoložljivosti drugih virov informacij. To med drugim pomeni, da se, kadar koli je izvedljivo, obveščevalne dejavnosti SIGINT izvajajo usmerjeno namesto množično.

Zahteva, da je obveščevalna dejavnost SIGINT „tako prilagojena, kot je izvedljiva“, se nanaša na način, na katerega se zbirajo obveščevalni podatki v okviru SIGINT, kot tudi na to, kaj se dejansko zbira. Na primer, pri določanju, ali zbirati obveščevalne podatke v okviru SIGINT, mora obveščevalna skupnost upoštevati razpoložljivost drugih virov informacij, vključno z diplomatskimi ali javnimi viri, ter, kjer je ustrezno in izvedljivo, dati prednost zbiranju z drugimi sredstvi. Poleg tega bi morale politike članov obveščevalne skupnosti, kadar je izvedljivo, zahtevati, da je zbiranje osredotočeno na posebne tuje obveščevalne cilje ali teme z uporabo diskriminant (npr. posebni instrumenti, izbirni izrazi in identifikatorji).

Pomembno je, da se informacije, zagotovljene Komisiji, obravnavajo kot celota. Odločitve o tem, kaj je „izvedljivo“ ali „uresničljivo“, niso prepuščene presoji posameznikov, temveč zanje veljajo politike, ki so jih agencije izdale po PPD-28 in ki so javno dostopne, ter drugi procesi, opisani v navedenem dokumentu (4). Kakor pravi PPD-28, je množično zbiranje obveščevalnih podatkov v okviru SIGINT zbiranje podatkov, ki „se zaradi tehničnih ali operativnih pomislekov pridobivajo brez uporabe diskriminant (npr. posebni identifikatorji, izbirni izrazi itd.)“. V tem pogledu PPD-28 priznava, da morajo člani obveščevalne skupnosti zbirati velike količine obveščevalnih podatkov v okviru SIGINT v določenih okoliščinah, da bi odkrili nove ali nastajajoče grožnje in pridobili druge bistvene informacije v zvezi z nacionalno varnostjo, ki so pogosto skrite v velikem in kompleksnem sistemu sodobnih globalnih komunikacij. Prav tako priznava pomisleke glede zasebnosti in državljanskih svoboščin, sprožene ob množičnem zbiranju obveščevalnih podatkov v okviru SIGINT. PPD-28 torej predpisuje, da obveščevalna skupnost prednostno razvrsti alternativne možnosti, ki bi omogočile izvajanje usmerjene obveščevalne dejavnosti SIGINT namesto množičnega zbiranja obveščevalnih podatkov v okviru SIGINT. Temu ustrezno bi morali, kadar je izvedljivo, člani obveščevalne skupnosti izvajati usmerjeno zbiranje v okviru SIGINT, namesto da množično zbirajo obveščevalne podatke v okviru SIGINT (5). Ta načela zagotavljajo, da izjema za množično zbiranje ne spodkopa splošnega pravila.

Koncept „razumnosti“ pa je temeljno načelo zakonodaje ZDA. Pomeni, da članom obveščevalne skupnosti ne bo treba sprejeti nobenega teoretično možnega ukrepa, temveč bodo morali uskladiti svoja prizadevanja za zaščito zakonitih interesov v zvezi z varstvom zasebnosti in državljanskih svoboščin s praktičnimi potrebami obveščevalnih dejavnosti SIGINT. Tudi tukaj so politike agencij dostopne in lahko dajo zagotovilo, da izraz „razumno oblikovan za zmanjševanje širjenja in hranjenja osebnih informacij“ ne spodkopa splošnega pravila.

PPD-28 prav tako določa, da je mogoče množično zbrane obveščevalne podatke v okviru SIGINT uporabiti le za šest posebnih namenov: zaznavanje in preprečevanje določenih dejavnosti tujih sil; boj proti terorizmu; preprečevanje širjenja orožja; kibernetska varnost; odkrivanje in preprečevanje groženj za ZDA ali zavezniške oborožene sile in boj proti nadnacionalnim grožnjam za kazniva dejanja, vključno z izmikanjem sankcijam. Predsednikov svetovalec za nacionalno varnost bo v posvetovanju z direktorjem nacionalne obveščevalne službe vsako leto pregledal te dovoljene uporabe množično zbranih obveščevalnih podatkov v okviru SIGINT in določil, ali jih je treba spremeniti. Direktor nacionalne obveščevalne službe bo javno objavil ta seznam, kolikor je to izvedljivo v skladu z nacionalno varnostjo. To omogoča pomembno in pregledno omejitev uporabe množičnega zbiranja obveščevalnih podatkov v okviru SIGINT.

Poleg tega so člani obveščevalne skupnosti, ki izvajajo PPD-28, okrepili analitične prakse in standarde za poizvedovanje neocenjenih obveščevalnih podatkov v okviru SIGINT (6). Analitiki morajo oblikovati svoje poizvedbe ali druge iskalne izraze in tehnike tako, da zagotovijo njihovo ustreznost pri odkrivanju obveščevalnih podatkov, ki se nanašajo na veljavno nalogo v zvezi s tujimi obveščevalnimi podatki ali kazenskim pregonom. V ta namen morajo člani obveščevalne skupnosti osredotočiti poizvedbe o osebah na kategorije obveščevalnih podatkov SIGINT glede na zahtevo o tujih obveščevalnih podatkih ali kazenskem pregonu, da bi preprečili uporabo osebnih informacij, ki se ne nanašajo na zahteve glede tujih obveščevalnih podatkov ali kazenskega pregona.

Pomembno je poudariti, da se vsaka dejavnost množičnega zbiranja podatkov v zvezi s komunikacijo po internetu, ki jo izvaja ameriška obveščevalna skupnost z dejavnostjo SIGINT, izvaja na majhnem deležu interneta. Poleg tega uporaba ciljnih poizvedb, kakor je opisano zgoraj, zagotavlja, da so v pregled analitiku predstavljeni samo tisti deli, ki naj bi imeli potencialno obveščevalno vrednost. Te omejitve so namenjene zaščiti zasebnosti in državljanskih svoboščin vseh oseb ne glede na njihovo narodnost in kraj bivanja.

Združene države so izpopolnile postopke in tako zagotovile, da se obveščevalne dejavnosti SIGINT izvajajo le za ustrezne potrebe nacionalne varnosti. Vsako leto predsednik določi najpomembnejše prednostne naloge države pri zbiranju tujih obveščevalnih podatkov po obsežnem uradnem medagencijskem postopku. Direktor nacionalne obveščevalne službe je dolžan prenesti te prednostne naloge v obveščevalni dejavnosti v nacionalni okvir prednostnih nalog v obveščevalni dejavnosti ali NIPF (National Intelligence Priorities Framework). PPD-28 je okrepil in izboljšal medagencijski postopek, da bi zagotovil pregled vseh prednostnih nalog obveščevalne skupnosti in njihovo odobritev s strani načrtovalcev politik na visoki ravni. Direktiva o obveščevalni skupnosti (Intelligence Community Directive ali ICD 204) zagotavlja nadaljnja navodila glede NIPF in je bila posodobljena januarja 2015, da bi vključila zahtevo PPD-28 (7). Čeprav je NIPF tajen, se informacije v zvezi s posameznimi prednostnimi nalogami Združenih držav v zvezi s tujimi obveščevalnimi podatki odražajo vsako leto v netajni oceni nevarnosti svetu (Worldwide Threat Assessment) direktorja nacionalne obveščevalne službe, ki je prav tako na voljo na spletni strani Urada direktorja nacionalne obveščevalne službe.

Prednostne naloge v NIPF so na dokaj visoki ravni posplošenosti. Vsebujejo teme, kot so spremljanje jedrskih zmogljivosti in zmogljivosti balističnih izstrelkov posameznih tujih nasprotnikov ter učinke korupcije narkokartelov in zlorabe človekovih pravic v posameznih državah. Te se ne nanašajo samo na SIGINT, temveč na vse obveščevalne dejavnosti. Organizacija, ki je odgovorna za prenos prednostnih nalog v okviru NIPF v dejansko zbiranje obveščevalnih podatkov v okviru SIGINT, je nacionalni odbor za SIGINT (National Signals Intelligence Committee) ali SIGCOM. Ta deluje pod okriljem direktorja Agencije ZDA za nacionalno varnost (NSA), ki je imenovan v odredbi št. 12333 kot „funkcionalni vodja SIGINT“, odgovoren za nadzor in usklajevanje SIGINT po vsej obveščevalni skupnosti pod nadzorom Ministra za obrambo in direktorja nacionalne obveščevalne službe. SIGCOM ima predstavnike vseh članov obveščevalne skupnosti in bo, ker Združene države v celoti izvajajo PPD-28, polno predstavljal tudi druga Ministrstva in agencije s političnim interesom v SIGINT.

Vsa ameriška Ministrstva in agencije, ki so uporabniki tujih obveščevalnih podatkov, predložijo svoje zahteve za zbiranje, odboru SIGCOM. SIGCOM pregleda te zahteve, zagotovi, da so skladne z NIPF, in jim dodeli prednostno raven na podlagi meril, kot so:

—	Ali lahko SIGINT zagotovi koristne informacije v tem primeru ali obstajajo boljši ali stroškovno učinkovitejši viri informacij za obravnavo zahteve, kot so slikovni material ali informacije iz prosto dostopnih virov?

—	Kako kritična je potreba po teh informacijah? Če ima visoko prednostno raven v NIPF, bo najpogosteje imela visoko prednostno raven v SIGINT.

—	Kakšno vrsto SIGINT je mogoče uporabiti?

—	Ali je zbiranje tako prilagojeno, kot je izvedljivo? Ali so potrebne časovne, geografske ali druge omejitve?

Postopek zahtev v zvezi z ameriško dejavnostjo SIGINT zahteva tudi izrecno obravnavo drugih dejavnikov, in sicer:

—	Ali je cilj zbiranja ali metodologija, uporabljena za zbiranje, še posebno občutljiva? Če da, jo bodo morali pregledati višji načrtovalci politik.

—	Ali bo zbiranje predstavljalo neupravičeno tveganje za zasebnost in državljanske svoboščine ne glede na narodnost?

—	Ali so potrebni dodatni zaščitni ukrepi glede širjenja in hranjenja za zaščito zasebnosti ali interesov nacionalne varnosti?

Nazadnje ob koncu postopka usposobljeni zaposleni v NSA izvedejo prednostne naloge, ki jih je potrdil SIGCOM, ter raziščejo in določijo posamezne izbirne izraze, kot so telefonske številke ali elektronski naslovi, ki naj bi zbirali tuje obveščevalne podatke glede na te prednostne naloge. Vsak izbirnik je treba pregledati in odobriti, preden je vnesen v zbirne sistem NSA. Tudi takrat bo odločitev, ali in kdaj se bo izvedlo dejansko zbiranje, deloma odvisna od dodatnih pomislekov, kot je razpoložljivost ustreznih virov zbiranja. Ta postopek zagotavlja, da je ameriško zbiranje obveščevalnih podatkov v okviru SIGINT usmerjeno v veljavne in pomembne potrebe po tujih obveščevalnih podatkih. In seveda, kadar se zbiranje izvaja v skladu z zakonom o nadzoru tujih obveščevalnih podatkov, morajo NSA in druge agencije upoštevati dodatne omejitve, ki jih odobri sodišče za nadzor tujih obveščevalnih podatkov (Foreign Intelligence Surveillance Court). Skratka, ne NSA ne nobena druga ameriška obveščevalna služba se ne odloči sama, kaj bo zbirala.

Na splošno ta postopek zagotavlja, da prednostne naloge ameriške obveščevalne dejavnosti določijo višji načrtovalci politik, ki so v najboljšem položaju za opredelitev ameriških zahtev glede tujih obveščevalnih podatkov, ti načrtovalci politik pa ne upoštevajo le potencialne vrednosti zbiranja obveščevalnih podatkov, temveč tudi tveganja, povezana s takim zbiranjem, vključno s tveganjem za zasebnost, nacionalne gospodarske interese in tuje odnose.

V zvezi s podatki, prenesenimi v Združene države v skladu z zasebnostnim ščitom, čeprav Združene države ne morejo potrditi ali zanikati posameznih obveščevalnih metod ali operacij, zahteve PPD-28 veljajo za vse operacije SIGINT, ki jih izvajajo Združene države, ne glede na vrsto ali vir podatkov, ki se zbira. Poleg tega omejitve in zaščitni ukrepi, ki veljajo za zbiranje obveščevalnih podatkov v okviru SIGINT, veljajo za obveščevalne podatke, zbrane za kateri koli pooblaščen namen, vključno za potrebe zunanjih zadev in nacionalne varnosti.

Postopki, navedeni zgoraj, so dokaz jasne zavezanosti k preprečevanju samovoljnega in neselektivnega zbiranja obveščevalnih podatkov v okviru SIGINT ter k izvajanju načela razumnosti na najvišjih ravneh naše vlade. PPD-28 in izvedbeni postopki agencije pojasnjujejo nove in obstoječe omejitve ter bolj podrobno opisujejo namen, za katerega Združene države zbirajo in uporabljajo obveščevalne podatke v okviru SIGINT. Ti morajo zagotavljati, da se in se bodo obveščevalne dejavnost SIGINT še naprej izvajale le za spodbujanje zakonitih ciljev z zvezi s tujimi obveščevalnimi podatki.

c.   Omejitve v zvezi s hranjenjem in širjenjem

Člen 4 PPD-28 določa, da mora imeti vsak član obveščevalne skupnosti izrecne omejitve glede hranjenja in širjenja osebnih informacij, zbranih v okviru SIGINT o nedržavljanih ZDA, ki so primerljive z omejitvami za državljane ZDA. Ta pravila so vključena v postopke za vsako agencijo v obveščevalni skupnosti, ki so bili objavljeni februarja 2015 in so javno dostopni. Za izpolnjevanje pogojev glede hranjenja ali širjenja kot tujih obveščevalnih podatkov se morajo osebne informacije nanašati na zahtevo o dovoljenih obveščevalnih podatkih, kakor je določena v postopku NIPF, opisanem zgoraj; mora obstajati utemeljen sum, da so dokaz kaznivega dejanja, ali morajo izpolnjevati enega od preostalih standardov za hranjenje informacij o državljanih ZDA, kakor so določeni v odredbi št. 12333, člen 2.3.

Informacij, ki niso tako določene, ni dovoljeno hraniti več kot pet let, razen če direktor nacionalne obveščevalne službe določi, da je nadaljnje hranjenje v interesu nacionalne varnosti Združenih držav. Zato morajo člani obveščevalne skupnosti zbrisati informacije o nedržavljanih ZDA, zbrane v okviru SIGINT, pet let po zbiranju, razen če so, na primer, informacije določene kot pomembne glede na zahtevo o dovoljenih tujih obveščevalnih podatkih ali če direktor nacionalne obveščevalne službe po obravnavi stališč uradnika za zaščito državljanskih svoboščin v Uradu direktorja nacionalne obveščevalne službe in uradnikov na področju varstva zasebnosti in državljanskih svoboščin v agenciji določi, da je nadaljnja hramba v interesu nacionalne varnosti.

Poleg tega vse politike agencije, ki izvajajo PPD-28, zdaj izrecno zahtevajo, da informacij o osebi ni dovoljeno širiti zgolj zato, ker posameznik ni državljan ZDA, Urad direktorja nacionalne obveščevalne službe pa je izdal direktivo vsem članom obveščevalne skupnosti (8), ki odraža to zahtevo. Od zaposlenih v obveščevalni skupnosti se še posebno zahteva, da upoštevajo interese zasebnosti nedržavljanov ZDA, kadar pripravljajo in širijo obveščevalna poročila. Zlasti se SIGINT o vsakdanjih dejavnostih tujca ne šteje za tuje obveščevalne podatke, ki jih je mogoče širiti ali hraniti trajno na osnovi samo tega dejstva, razen če se kako drugače nanaša na zahtevo o dovoljenih tujih obveščevalnih podatkih. To priznava pomembno omejitev in se odziva na pomisleke Evropske komisije o širini definicije tujih obveščevalnih podatkov, kakor je navedena v odredbi št. 12333.

d.   Skladnost in nadzor

Ameriški sistem nadzora nad tujimi obveščevalnimi podatki zagotavlja strog in večplastni nadzor za zagotavljanje skladnosti z veljavnimi zakoni in postopki, tudi tistimi, ki se nanašajo na zbiranje, hranjenje in širjenje informacij o nedržavljanih ZDA, pridobljenih v okviru SIGINT, kakor je opredeljeno v PPD-28. Ti zajemajo:

—

Obveščevalna skupnost zaposluje na stotine ljudi za nadzor. Samo v NSA je več kot 300 ljudi zadolženih za preverjanje skladnosti, pa tudi drugi člani imajo urade za nadzor. Poleg tega Ministrstvo za pravosodje zagotavlja temeljit nadzor obveščevalnih dejavnosti, nadzor pa izvaja tudi Ministrstvo za obrambo.

—

Vsak član obveščevalne skupnosti ima svoj urad generalnega inšpektorja, ki je med drugim odgovoren za nadzor tujih obveščevalnih dejavnosti. Generalni inšpektorji so zakonsko neodvisni; imajo široka pooblastila za izvajanje preiskav, revizij in pregledov programov, vključno z goljufijami in zlorabo ali kršitvijo zakona; in lahko priporočajo popravne ukrepe. Medtem ko so priporočila generalnega inšpektorja nezavezujoča, pa so njegova poročila pogosto objavljena in v vsakem primeru predložena Kongresu; to zajema tudi poročila o nadaljnjem spremljanju, če popravni ukrepi, priporočeni v prejšnjih poročilih, še niso zaključeni. Kongres je torej obveščen o morebitni neskladnosti in lahko izvaja pritisk, tudi s proračunskimi sredstvi, da bi dosegel popravne ukrepe. Številna poročila generalnih inšpektorjev o programih obveščevalnih dejavnosti so javno objavljena (9).

—

Urad za državljanske svoboščine in zasebnost v okviru Urada direktorja nacionalne obveščevalne službe je dolžan zagotoviti, da obveščevalna skupnost deluje na način, ki spodbuja nacionalno varnost, obenem pa ščiti državljanske svoboščine in pravice do zasebnosti (10). Drugi člani obveščevalne skupnosti imajo svoje uradnike, zadolžene za varstvo zasebnosti.

—

Odbor za nadzor zasebnosti in državljanskih svoboščin (PCLOB), zakonsko ustanovljeno neodvisno telo, je zadolženo za analizo in pregled programov in politik za boj proti terorizmu, vključno z uporabo SIGINT, da bi zagotovil ustrezno zaščito zasebnosti in državljanskih svoboščin. Izdal je več javnih poročil glede obveščevalnih dejavnosti.

—

Kakor je podrobneje obravnavano spodaj, je sodišče za nadzor tujih obveščevalnih podatkov, sestavljeno iz neodvisnih zveznih sodnikov, odgovorno za nadzor nad in skladnost vseh dejavnosti zbiranja obveščevalnih podatkov v okviru SIGINT, ki so izvedene v skladu z zakonom o nadzoru tujih obveščevalnih podatkov.

—	Nazadnje ima ameriški kongres, bolj točno odbori spodnjega doma in senata za obveščevalno dejavnost in pravosodje, pomembne nadzorne naloge v zvezi z vsemi dejavnostmi Združenih držav za pridobivanje tujih obveščevalnih podatkov, vključno s SIGINT.

Poleg teh uradnih nadzornih mehanizmov ima obveščevalna skupnost vzpostavljene številne mehanizme, s katerimi zagotavlja, da obveščevalna skupnost izpolnjuje omejitve glede zbiranja, opisane zgoraj. Na primer,

—	uradniki v kabinetu so dolžni vsako leto potrditi svoje zahteve v zvezi s SIGINT.

—	NSA preverja cilje SIGINT skozi celoten proces zbiranja, da bi ugotovila, ali dejansko zagotavljajo dragocene tuje obveščevalne podatke, ki ustrezajo prednostnim nalogam, ter ustavila zbiranje podatkov o ciljih, ki ne. Dodatni postopki zagotavljajo, da so izbirni izrazi redno pregledani.

—

Na podlagi priporočila neodvisne skupine za pregledovanje, ki jo je imenoval predsednik Obama, je direktor nacionalne obveščevalne službe vzpostavil novi mehanizem za spremljanje in širjenje obveščevalnih podatkov SIGINT, ki so posebej občutljivi zaradi narave cilja ali sredstev zbiranja, da bi zagotovil njegovo skladnost z določili načrtovalcev politik.

—

Urad direktorja nacionalne obveščevalne službe vsako leto pregleda dodelitev sredstev obveščevalne skupnosti glede na prednostne naloge NIPF in obveščevalno nalogo kot celoto. Ta pregled vključuje ocene vrednosti vseh vrst zbiranja obveščevalnih podatkov, vključno s SIGINT, ter se ozira nazaj, in sicer na to, kako uspešna je bila obveščevalna skupnost pri doseganju svojih ciljev, in naprej na to, kakšne bodo prihodnje potrebe obveščevalne skupnosti. To omogoča, da se viri SIGINT uporabijo za večino pomembnih nacionalnih prednostnih nalog.

Kakor prikazuje ta celovit pregled, obveščevalna skupnost ne odloča sama o tem, katerim pogovorom bo prisluškovala, skušala zbrati vse ali delovala brez nadzora. Njene dejavnosti so osredotočene na prednostne naloge, ki jih določijo načrtovalci politik, skozi proces, ki vključuje vhodne podatke od vlade in ga nadzorujejo NSA, Urad direktorja nacionalne obveščevalne službe, Ministrstvo za pravosodje in Ministrstvo za obrambo.

PPD-28 vsebuje tudi številne druge določbe, ki zagotavljajo zaščito za osebne informacije, zbrane v okviru SIGINT, ne glede na narodnost. Denimo, PPD-28 zagotavlja varnost podatkov, dostop in kakovostne postopke za zaščito osebnih informacij, zbranih v okviru SIGINT, ter obvezno usposabljanje, s katerim je zagotovljeno, da zaposleni razumejo dolžnost zaščite osebnih informacij ne glede na narodnost. PPD zagotavlja tudi dodatne mehanizme za nadzor in skladnost. Ti vsebujejo redne revizije in preglede s strani ustreznih uradnikov za nadzor in skladnost praks za zaščito osebnih informacij v SIGINT. Pregledi morajo zajeti tudi izpolnjevanje postopkov za zaščito takšnih informacij s strani agencij.

Poleg tega PPD-28 določa, da bodo pomembne zadeve glede skladnosti v zvezi z nedržavljani ZDA obravnavale višje ravni vlade. Če se pojavi pomembna zadeva glede skladnosti v zvezi z osebnimi informacijami katere koli osebe, ki so zbrane na podlagi obveščevalnih dejavnosti SIGINT, je treba poleg morebitnih obstoječih zahtev glede poročanja o zadevi nemudoma poročati direktorju nacionalne obveščevalne službe. Če zadeva vključuje osebne informacije nedržavljana ZDA, bo direktor nacionalne obveščevalne službe v posvetovanju z zunanjim ministrom in vodjo ustreznega člana obveščevalne skupnosti določil, ali je treba ukrepati in obvestiti ustrezno tujo vlado, skladno z zaščito virov, načinov in ameriškega osebja. Poleg tega je, kakor predpisuje PPD-28, zunanji minister imenoval višjo uradnico, in sicer namestnico ministra Catherine Novelli, kot osebo za stike s tujimi vladami, ki želijo sprožiti vprašanja glede ameriških obveščevalnih dejavnosti SIGINT. Ta zaveza k vključitvi visokih ravni ponazarja prizadevanja vlade ZDA v preteklih nekaj letih, da bi vlila zaupanje v številne in prekrivajoče se zaščite zasebnosti, vzpostavljene za informacije o državljanih in nedržavljanih ZDA.

e.   Povzetek

Procesi Združenih držav za zbiranje, hranjenje in širjenje tujih obveščevalnih podatkov zagotavljajo pomembne elemente varstva zasebnosti za osebne informacije vseh oseb ne glede na narodnost. Ti procesi zlasti zagotavljajo, da se naša obveščevalna skupnost osredotoči na svojo nacionalno-varnostno nalogo, kakor jo dovoljuje veljavna zakonodaja, odredbe in predsedniške direktive; varuje informacije pred nepooblaščenim dostopom, uporabo in razkritjem; in izvaja svoje dejavnosti pod več plastmi pregleda in nadzora, vključno z kongresnimi odbori za nadzor. PPD-28 in njeni izvedbeni postopki predstavljajo naša prizadevanja, da razširimo določena načela glede zmanjšanja količin podatkov in druge pomembne elemente varstva podatkov na osebne informacije vseh oseb ne glede na narodnost. Za osebne informacije, zbrane z ameriško obveščevalno dejavnostjo SIGINT, veljajo načela in zahteve zakonodaje ZDA in predsedniških navodil, vključno z varstvom, določenim v PPD-28. Ta načela in zahteve zagotavljajo, da so osebe obravnavane z dostojanstvom in spoštovanjem ne glede na njihovo narodnost ali kraj bivanja, ter priznavajo, da imajo vse osebe zakonite interese zasebnosti pri ravnanju z njihovimi osebnimi informacijami.

II.   ZAKON O NADZORU TUJIH OBVEŠČEVALNIH PODATKOV – ČLEN 702

Zbiranje po členu 702 zakona o nadzoru tujih obveščevalnih podatkov (11) ni „množično in neselektivno“, temveč je ozko usmerjeno v zbiranje tujih obveščevalnih podatkov od posamezno določenih zakonitih ciljev; je jasno dovoljeno s izrecnim zakonskim pooblastilom; in je predmet neodvisnega sodnega nadzora in temeljitega pregleda in nadzora v okviru izvršilne veje in kongresa. Zbiranje po členu 702 se šteje za obveščevalno dejavnost pri zaznavanju signalov (SIGINT) v skladu z zahtevami PPD-28 (12).

Zbiranje v skladu s členom 702 je eno najdragocenejših virov obveščevalnih podatkov, ki ščiti Združene države in naše evropske partnerje. Obsežne informacije o delovanju in nadzoru člena 702 so javno dostopne. Številnim zadevam, vloženim na sodišče, sodnim odločbam in poročilom o nadzoru v zvezi s programom je bila preklicana stopnja tajnosti in so bili objavljeni na spletni strani Urada direktorja nacionalne obveščevalne službe za javna razkritja, tj. www.icontherecord.tumblr.com. Poleg tega je Odbor za nadzor zasebnosti in državljanskih svoboščin temeljito analiziral člen 702 v poročilu, ki je na voljo na https://www.pclob.gov/library/702-Report.pdf (13).

Člen 702 je bil sprejet v okviru zakona o spremembi zakona o nadzoru tujih obveščevalnih podatkov (FISA Amendments Act) iz leta 2008 (14) po obsežni javni razpravi v kongresu. Dovoljuje pridobivanje tujih obveščevalnih podatkov z usmerjanjem na nedržavljane ZDA zunaj Združenih držav in s prisilno pomočjo ameriških ponudnikov storitev elektronskih komunikacij. Člen 702 državnega tožilca in direktorja nacionalne obveščevalne službe – dva uradnika v kabinetu, ki ju imenuje predsednik in potrdi senat – pooblašča, da vloži letne certifikacije sodišču FISA (15). Te certifikacije opredeljujejo posebne kategorije tujih obveščevalnih podatkov, ki se bodo zbirale, kot so obveščevalni podatki v zvezi z bojem proti terorizmu ali orožjem za množično uničevanje, ki morajo soditi v kategorije tujih obveščevalnih podatkov, kakor jih opredeljuje zakon o nadzoru tujih obveščevalnih podatkov (16). Kakor je opozoril Odbor za nadzor zasebnosti in državljanskih svoboščin, „[t]e omejitve ne dovoljujejo neomejenega zbiranja informacij o tujcih“ (17).

Certifikacije so potrebne tudi za vključitev postopkov „izbire cilje“ in „zmanjševanja količine podatkov“, ki jih mora pregledati in odobriti sodišče FISA (18). Postopki izbire cilje so zasnovani tako, da zagotavljajo zbiranje samo, kakor ga dovoljuje zakon in ki je v okviru certifikacij; postopki zmanjševanja so zasnovani tako, da omejujejo pridobivanje, širjenje in hranjenje informacij o državljanih ZDA, obenem pa vsebujejo določbe, ki zagotavljajo precejšnjo zaščito informacij tudi o nedržavljanih ZDA, kakor so opisane spodaj. Poleg tega je, kakor je opisano zgoraj, predsednik v PPD-28 predpisal, da mora obveščevalna skupnost zagotoviti dodatno varstvo osebnih informacij o nedržavljanih ZDA, to varstvo pa se nanaša na informacije, zbrane v okviru člena 702.

Ko sodišče odobri postopke izbire cilja in zmanjševanja količine podatkov, zbiranje po členu 702 ni več množično ali neselektivno, temveč „je v celoti sestavljeno iz usmerjanja na posamezne osebe, o katerih je bila sprejeta individualizirana ugotovitev,“ kakor pravi Odbor za nadzor zasebnosti in državljanskih svoboščin (19). Zbiranje je usmerjeno z uporabo posameznih izbirnikov, kot so elektronski naslovi ali telefonske številke, za katere so ameriški obveščevalci ugotovili, da se verjetno uporabljajo za sporočanje tujih obveščevalnih podatkov vrste, ki jo zajema certifikacija, predložena sodišču (20). Podlago za izbiro cilja je treba dokumentirati, dokumentacijo za vsak izbirnik pa naknadno pregleda Ministrstvo za pravosodje (21). Vlada ZDA je objavila informacije, ki kažejo, da je bilo leta 2014 okoli 90 000 posameznikov izbranih za cilj v okviru člena 702, kar je neznaten delež več kot 3 milijard uporabnikov interneta po vsem svetu (22).

Za informacije, zbrane v okviru člena 702, mora sodišče odobriti postopke zmanjševanja, ki zagotavljajo varstvo nedržavljanom in državljanom ZDA in ki so bili javno objavljeni (23). Na primer, komunikacija, pridobljena v okviru člena 702 o državljanu ali nedržavljanu ZDA, je shranjena v podatkovnih zbirkah s strogim nadzorom dostopa. Te lahko pregledujejo le obveščevalci, usposobljeni v postopkih zmanjševanja za zaščito zasebnosti in posebej potrjeni za ta dostop, da bi izvajali svoja pooblaščene funkcije (24). Uporaba podatkov je omejena na odkrivanje tujih obveščevalnih podatkov ali dokazov kaznivega dejanja (25). V skladu s PPD-28 je te informacije mogoče širiti le, če obstaja veljavna potreba po tujih obveščevalnih podatkih ali kazenskem pregonom; samo dejstvo, da ena stranka komunikacije ni državljan ZDA, ne zadostuje (26). Postopki zmanjševanja in PPD-28 pa prav tako postavljajo omejitve glede dolžine hranjenja podatkov, pridobljenih v skladu s členom 702 (27).

Nadzor člena 702 je temeljit in ga izvajajo tri veje naše vlade. Agencije, ki izvajajo zakon, imajo več ravni notranje revizije, vključno z neodvisnimi generalnimi inšpektorji, in tehnološki nadzor nad dostopom do podatkov. Ministrstvo za pravosodje in Urad direktorja nacionalne obveščevalne službe natančno in temeljito pregledujeta uporabo člena 702, da bi preverila izpolnjevanje zakonskih pravil; agencije imajo tudi neodvisno obveznost, da poročajo o morebitnih primerih neizpolnjevanja. Ti primeri se preiščejo, vsi primeri neizpolnjevanja pa se sporočijo sodišču za nadzor tujih obveščevalnih podatkov, predsednikovemu odboru za nadzor obveščevalnih podatkov in kongresu ter ustrezno odpravijo (28). Do danes ni bilo nobenih primerov namernih poskusov kršenja zakona ali izogibanja zakonskim zahtevam (29).

Sodišče FISA igra pomembno vlogo v izvajanju člena 702. Sestavljajo ga neodvisni zvezni sodniki, katerih mandat na sodišču FISA traja sedem let, vendar pa imajo tako kot vsi zvezni sodniki stalni mandat sodnika. Kakor je poudarjeno zgoraj, mora sodišče pregledati, ali so letne certifikacije ter postopki izbire cilja in zmanjševanja skladni z zakonom. Obenem je vlada dolžna takoj obvestiti sodišče o zadevah v zvezi z izpolnjevanjem načel (30) in več mnenjem sodišča je bila preklicana stopnja tajnosti ter so bila objavljena, kar kaže na izjemno stopnjo sodnega pregleda in neodvisnosti, ki jo izvaja med pregledom teh primerov.

Natančne procese sodišča je opisal bivši predsedujoči sodnik v pismu kongresu, ki je bilo javno objavljeno (31). Zaradi ameriškega zakona o svobodi (USA FREEDOM Act), ki je opisan spodaj, je sodišče zdaj izrecno pooblaščeno za imenovanje zunanjega odvetnika kot neodvisnega zagovornika v imenu zasebnosti v zadevah, ki predstavljajo nova ali pomembna pravna vprašanja (32). Ta stopnja vključenosti neodvisnega sodstva v tuje obveščevalne dejavnosti, usmerjene v osebe, ki niso državljani te države in se ne nahajajo v njej, je neobičajna, če ne celo brez primere, ter pomaga zagotoviti, da zbiranje v okviru člena 702 poteka znotraj ustreznih pravnih omejitev.

Kongres izvaja nadzor z zakonsko predpisanimi poročili za odbore za obveščevalne dejavnosti in sodstvo ter pogostimi informativnimi sestanki in obravnavami. Ti vključujejo polletno poročilo državnega tožilca, ki opisuje uporabo člena 702 in morebitne primere skladnosti (33); ločeno polletno oceno državnega tožilca in direktorja nacionalne obveščevalne službe, ki opisuje izpolnjevanje postopkov izbire cilja in zmanjševanja podatkov, vključno z izpolnjevanjem postopkov, katerih namen je zagotoviti, da se zbiranje izvaja za veljavno potrebo po tujih obveščevalnih podatkih (34); in letno poročilo vodij članov obveščevalne dejavnosti, ki vključuje certifikacijo, da se z zbiranjem v okviru člena 702 še naprej pridobivajo tuji obveščevalni podatki (35).

Skratka, zbiranje po členu 702 dovoljuje zakon; je predmet več plasti pregleda, sodnega nadzora in nadzora; in se, kakor je navedlo sodišče FISA v nedavnem mnenju, kateremu je bila preklicana stopnja zaupnosti, „ne izvaja množično ali neselektivno“, temveč „z ... diskretnimi odločitvami o izbiri cilja za posamezne [komunikacijske] zmogljivosti.“ (36)

III.   AMERIŠKI ZAKON O SVOBODI (USA FREEDOM Act)

Ameriški zakon o svobodi (USA FREEDOM Act), vpisan v zakonodajo junija 2015, je pomembno spremenil ameriške organe nadzora in nacionalne varnosti ter povečal javno preglednost uporabe teh pooblastil in sklepov sodišča FISA, kakor so določeni spodaj (37). Zakon zagotavlja, da imajo naši strokovnjaki v obveščevalni dejavnosti in kazenskem pregonu pooblastila, ki jih potrebujejo za zaščito naroda, obenem pa nadalje zagotavlja, da je pri izvajanju teh pooblastil zasebnost posameznikov ustrezno zaščitena. Krepi varstvo zasebnosti in državljanskih svoboščin ter povečuje preglednost.

Zakon prepoveduje množično zbiranje katerih koli evidenc o državljanih in nedržavljanih ZDA v skladu z različnimi določbami zakona o nadzoru tujih obveščevalnih podatkov ali z uporabo sodnih pozivov v zvezi z nacionalno varnostjo (National Security Letters) (38). Ta prepoved posebej vključuje telefonske metapodatke v zvezi s klici med osebami v ZDA in osebami zunaj ZDA ter bi tako vključevala tudi zbiranje informacij zasebnostnega ščita v skladu s temi pooblastili. Zakon od vlade zahteva, da utemelji vsako prošnjo za evidence v okviru teh pooblastil na „posebnem izbirnem izrazu“ – izrazu, ki posebej določa osebo, račun, naslov ali osebno napravo na način, ki omejuje obseg informacij, iskanih do največje razumno izvedljive mere (39). To nadalje zagotavlja, da je zbiranje informacij za obveščevalne potrebe natančno osredotočeno in usmerjeno v cilj.

Zakon je prav tako pomembno spremenil postopke pred sodiščem FISA, ki so povečali preglednost in dali dodatna zagotovila za zaščito zasebnosti. Kakor je poudarjeno zgoraj, je dovolil ustanovitev stalnega odbora varnostno preverjenih odvetnikov s strokovnim znanjem in izkušnjami na področju zasebnosti in državljanskih svoboščin, zbiranja obveščevalnih podatkov, komunikacijske tehnologije ali drugih ustreznih področjih, ki so lahko imenovani, da se pojavijo pred sodiščem kot prijatelji sodišča amicus curiae v zadevah, ki vključujejo pomembne ali nove razlage zakona. Ti odvetniki so pooblaščeni, da dajejo pravne argumente, ki izboljšujejo zaščito zasebnosti posameznikov in državljanskih svoboščin, ter bodo imeli dostop do vseh informacij, tudi tajnih, ki jih sodišče določi kot potrebne za izvedbo njihovih dolžnosti (40).

Zakon nadgrajuje edinstveno preglednost vlade ZDA v zvezi z obveščevalnimi dejavnostmi, s tem ko od direktorja nacionalne obveščevalne službe zahteva, da v posvetovanju z državnim tožilcem bodisi prekliče stopnjo tajnosti bodisi objavi netajni povzetek vsake odločitve, sklepa ali mnenja, ki ga je izdalo sodišče FISA ali prizivno sodišče za nadzor tujih obveščevalnih podatkov, ki vključuje pomembno sestavo ali razlago katere koli določbe zakona.

Poleg tega zakon omogoča obsežna razkritja o zbiranju v okviru zakona o nadzoru tujih obveščevalnih podatkov in zahtev sodnih pozivov v zvezi z nacionalno varnostjo. Združene države morajo vsako leto kongresu in javnosti razkriti število odredb v okviru zakona o nadzoru tujih obveščevalnih podatkov ter zahtevane in prejete certifikacije; ocene števila državljanov in nedržavljanov ZDA, ki so bili izbrani kot cilj in postali predmet nadzora; in število imenovanih prijateljev sodišča amici curiae, med drugimi informacijami (41). Zakon od vlade zahteva tudi dodatno javno poročanje glede števila zahtev v sodnih pozivih v zvezi z nacionalno varnostjo o državljanih in nedržavljanih ZDA (42).

V zvezi s preglednostjo podjetij daje zakon podjetjem vrsto možnosti za javno sporočanje skupnega števila sklepov in direktiv zakona o nadzoru tujih obveščevalnih podatkov ali sodnih pozivov v zvezi z nacionalno varnostjo, ki jih prejmejo od vlade, ter število uporabniških računov, ki so izbrani za cilj v teh sklepih (43). Več podjetij je že opravilo takšna razkritja, ki so pokazala omejeno število strank, katerih podatki so se iskali.

Ta poročila o preglednosti podjetij kažejo, da se zahtevki ameriške obveščevalne službe nanašajo le na neznaten delež podatkov. Denimo, nedavno poročilo nekega velikega podjetja kaže, da je prejelo zahtevke v zvez z nacionalno varnostjo (v skladu z zakonom o nadzoru tujih obveščevalnih podatkov ali sodnimi pozivi v zvezi z nacionalno varnostjo) za manj kot 20 000 svojih računov v času, ki je imelo vsaj 400 milijonov naročnikov. Z drugimi besedami, vsi zahtevki Združenih držav v zvezi z nacionalno varnostjo, o katerih je poročalo to podjetje, se je nanašalo na manj kot 0,005 % njegovih naročnikov. Tudi če bi se eden od teh zahtevkov nanašal na podatke v okviru varnega pristana, čemur ni tako, je očitno, da so zahteve usmerjene in ustreznega obsega ter niso množične in neselektivne.

Medtem ko so zakoni, ki dovoljujejo sodne pozive v zvezi z nacionalno varnostjo, že omejili okoliščine, v katerih je mogoče prejemniku takšnega sodnega poziva prepovedati njegovo razkritje, je zakon nadalje zagotovil, da je treba takšne zahteve po nerazkrivanju redno pregledovati; zahteval, da so prejemniki sodnih pozivov v zvezi z nacionalno varnostjo obveščeni, kadar dejstva ne podpirajo več zahteve po nerazkrivanju; in kodificiral postopke za prejemnike, s katerimi lahko izpodbijajo zahteve po nerazkrivanju (44).

Če povzamem, pomembne spremembe ameriškega zakona o svobodi v zvezi ameriškimi obveščevalnimi organi jasno pričajo o obsežnih prizadevanjih Združenih držav, da postavijo zaščito osebnih informacij, zasebnost, državljanske svoboščine in preglednosti v ospredje vseh obveščevalnih praks.

IV.   PREGLEDNOST

Poleg preglednosti, ki jo predpisuje ameriški zakon o svobodi, ameriška obveščevalna skupnost javnosti zagotavlja veliko dodatnih informacij in tako postavlja trden zgled v zvezi s preglednostjo v svojih obveščevalnih dejavnostih. Obveščevalna skupnost je objavila mnoge svoje politike, postopke, sklepe sodišča za nadzor tujih obveščevalnih podatkov in drugo gradivo, kateremu je bila preklicana stopnja zaupnosti, s čimer zagotavlja izjemno stopnjo preglednosti. Poleg tega je obveščevalna skupnost precej povečala razkrivanje statističnih podatkov o vladni uporabi organov, ki zbirajo podatke v zvezi z nacionalno varnostjo. Obveščevalna skupnost je 22. aprila 2015 izdala svoje drugo letno poročilo, v katerem je predstavila statistične podatke v zvezi s tem, kako pogosto vlada uporablja ta pomembna pooblastila. Urad direktorja nacionalne obveščevalne službe je na svoji spletni strani in spletni strani IC On the Record prav tako objavil niz konkretnih načel preglednosti (45) in izvedbeni načrt, ki prenaša ta načela v konkretne merljive pobude (46). Direktor nacionalne obveščevalne službe je oktobra 2015 vsaki obveščevalni agenciji odredil, da imenuje uradnika za preglednost obveščevalne dejavnosti v okviru svojega vodstva za spodbujanje preglednosti in vodenje pobud v zvezi s preglednostjo (47). Uradnik za preglednost bo tesno sodeloval z uradnikom za nadzor zasebnosti in državljanskih svoboščin vsake obveščevalne agencije in tako zagotovil, da preglednost, zasebnost in državljanske svoboščine ostanejo najpomembnejše prednostne naloge.

Kot primer teh prizadevanj je glavni uradnik za nadzor zasebnosti in državljanskih svoboščin pri NSA v preteklih nekaj letih objavil več poročil, katerim je bila preklicana stopnja zaupnosti, vključno s poročili o dejavnostih v okviru člena 702, odredbe št. 12333 in ameriškega zakona o svobodi (USA FREEDOM Act (48)). Poleg tega, obveščevalna skupnost tesno sodeluje z Odborom za nadzor zasebnosti in državljanskih svoboščin, kongresom in ameriško skupnostjo, ki zagovarja zasebnost, da bi zagotovila še večjo preglednost v zvezi z ameriškimi obveščevalnimi dejavnostmi, kjer je to izvedljivo in skladno z zaščito občutljivih virov in metod za pridobivanje obveščevalnih podatkov. Ameriške obveščevalne dejavnosti so kot celota tako ali pa bolj pregledne kot tiste katerega koli drugega naroda na svetu in so pregledne, kolikor je to mogoče v skladu s potrebo po zaščiti občutljivih virov in metod.

Če povzamemo obsežno preglednost ameriških obveščevalnih dejavnosti:

—	Obveščevalna skupnost je na spletu objavila na tisoče strani mnenj sodišča in postopkov agencij, v katerih so povzeti posamezni postopki in zahteve naših obveščevalnih dejavnosti. Prav tako smo objavili poročila o izpolnjevanju veljavnih omejitev s strani obveščevalnih agencij.

—	Višji obveščevalni delavci redno govorijo v javnosti o vlogi in dejavnosti svoje organizacije, pri čemer vključujejo opise ureditev in zaščitnih ukrepov v zvezi s skladnostjo, ki urejajo njihovo delo.

—	Obveščevalna skupnost je objavila številne dodatne dokumente o obveščevalnih dejavnostih v skladu z zakonom o dostopu do informacij javnega značaja.

—	Predsednik je izdal PPD-28, v kateri je javno določil dodatne omejitve za naše obveščevalne dejavnosti, Urad direktorja nacionalne obveščevalne službe pa je izdal dve javni poročili o izvajanju teh omejitev.

—	Zakon zdaj od obveščevalne skupnosti zahteva, da objavi pomembna pravna mnenja, ki jih izda sodišče FISA, ali povzetke teh mnenj.

—	Vlada mora vsako leto poročati o obsegu uporabe določenih pooblastil v zvezi z nacionalno varnostjo, to pa je dovoljeno tudi podjetjem.

—	Odbor za nadzor zasebnosti in državljanskih svoboščin je izdal več podrobnih javnih poročil glede obveščevalnih dejavnosti in bo to delal še naprej.

—	Obveščevalna skupnost zagotavlja obsežne tajne informacije kongresnim odborom za nadzor.

—	Direktor nacionalne obveščevalne službe je izdal načela preglednosti, s katerimi je uredil dejavnosti obveščevalne skupnosti.

Ta obsežna preglednost bo šla še naprej. Vse javno objavljene informacije bodo seveda na voljo Ministrstvu za trgovino in Evropski komisiji. Letni pregled med Ministrstvom za trgovino in Evropsko komisijo glede izvajanja zasebnostnega ščita bo dal Evropski komisiji priložnost, da obravnava vsa vprašanja, sprožena ob morebitnih novo objavljenih informacijah, in druge zadeve v zvezi z zasebnostnim ščitom in njegovim delovanjem, in razumemo, da lahko Ministrstvo po lastni presoji povabi predstavnike drugih agencij, vključno z obveščevalno skupnostjo, da sodelujejo v tem pregledu. Ta je seveda na voljo poleg mehanizma, zagotovljenega v PPD-28, s katerim lahko države članice EU sprožijo vprašanja v zvezi z nadzorom pri imenovanem uradniku na zunanjem Ministrstvu.

V.   PRAVNO VARSTVO

Zakonodaja ZDA zagotavlja več možnosti pravnega varstva za posameznike, ki so predmet nezakonitega elektronskega nadzora za potrebe nacionalne varnosti. V skladu z zakonom o nadzoru tujih obveščevalnih podatkov pravica do zahtevanja nadomestila na sodišču ZDA ni omejena na državljane ZDA. Posameznik, ki lahko dokaže procesno upravičenje za tožbo, ima pravna sredstva za izpodbijanje nezakonitega elektronskega nadzora v okviru zakona o nadzoru tujih obveščevalnih podatkov. Na primer, zakon o nadzoru tujih obveščevalnih podatkov omogoča osebam, ki so predmet nezakonitega elektronskega nadzora, da v svojem imenu tožijo ameriške vladne uradnike za denarno odškodnino, vključno z dodatno odškodnino in odvetniškimi stroški. Glej člen 1810 naslova 50 zakonodajne zbirke ZDA. Posamezniki, ki lahko dokažejo procesno upravičenost za tožbo, imajo tudi civilno podlago za zahtevek proti Združenim državam za denarno odškodnino, vključno s stroški sodnih postopkov, kadar so bile informacije o njih, pridobljene v elektronskem nadzoru v okviru zakona o nadzoru tujih obveščevalnih podatkov, nezakonito in namerno uporabljene ali razkrite. Glej člen 2712 naslova 18 zakonodajne zbirke ZDA. Če namerava vlada uporabiti ali razkriti morebitne informacije, ki so bile pridobljene ali izhajajo iz elektronskega nadzora katerega koli oškodovanca v okviru zakona o nadzoru tujih obveščevalnih podatkov, proti tej osebi v sodnem ali upravnem postopku v Združenih državah, mora zagotoviti predhodno obvestilo o svoji nameri sodišču in tej osebi, ki lahko nato izpodbija zakonitost nadzora in zahteva zadržanje informacij. Glej člen 1806 naslova 50 zakonodajne zbirke ZDA. Nazadnje zakon o nadzoru tujih obveščevalnih podatkov zagotavlja tudi kazenske sankcije za posameznike, ki se namerno ukvarjajo z nezakonitim elektronskim nadzorom pod pretvezo zakona ali ki namerno uporabljajo ali razkrivajo informacije, pridobljene z nezakonitim nadzorom. Glej člen 1809 naslova 50 zakonodajne zbirke ZDA.

Državljani EU imajo tudi druge možnosti, da se zakonsko pritožijo proti ameriškim vladnim uradnikom zaradi nezakonite vladne uporabe ali dostopa do podatkov, tudi proti vladnim uradnikom, ki kršijo zakon v toku nezakonitega dostopa do ali uporabe informacij za navidezne potrebe nacionalne varnosti. Zakon o računalniških goljufijah in zlorabah (Computer Fraud and Abuse Act) prepoveduje nameren nepooblaščen dostop (ali dostop, ki presega pooblastila) za pridobivanje informacij od finančne ustanove, računalniškega sistema vlade ZDA ali z računalniškim dostopom prek interneta ter grožnje za poškodovanje zaščitenih računalnikov za potrebe izsiljevanja ali goljufije. Glej člen 1030 naslova 18 zakonodajne zbirke ZDA. Vsaka oseba katere koli narodnosti, ki utrpi škodo ali izgubo zaradi kršenja tega zakona, lahko toži kršitelja (vključno z vladnim uradnikom) za nadomestilo za škodo ter prepoved ali drugo pravično nadomestilo v skladu s členom 1030(g) ne glede na to, ali je bil izveden kazenski pregon, pod pogojem, da ravnanje vsebuje vsaj eno od več okoliščin, določenih v zakonu. Zakon o zasebnosti elektronskih komunikacij (Electronic Communications Privacy Act ali ECPA) ureja vladni dostop do shranjenih evidenc elektronskih komunikacij in poslov ter informacij o naročnikih, ki jih hranijo tretji ponudniki komunikacijskih storitev. Glej člene 2701 do 2712 naslova 18 zakonodajne zbirke ZDA. Zakon o zasebnosti elektronskih komunikacij omogoča oškodovancu, da toži vladne uradnike za namerni nezakoniti dostop do shranjenih podatkov. Zakon o zasebnosti elektronskih komunikacij velja za vse osebe ne glede na državljanstvo, oškodovanci pa lahko prejmejo odškodnino in odvetniške stroške. Zakon o pravici do finančne zasebnosti (Right to Financial Privacy Act ali RFPA) omejuje dostop ameriške vlade do bančnih in borznoposredniških evidenc posameznih strank. Glej člene 3401 do 3422 naslova 12 zakonodajne zbirke ZDA. V skladu z zakonom o pravici do finančne zasebnosti lahko stranka banke ali borznoposredniške hiše toži vlado ZDA za zakonsko, dejansko in dodatno odškodnino zaradi nepravilno pridobljenega dostopa do evidenc stranke, ugotovitev, da je takšen nepravilen dostop bil nameren, pa avtomatično sproži preiskavo o morebitnih disciplinskih ukrepih proti ustreznim vladnim uslužbencem. Glej člen 3417 naslova 12 zakonodajne zbirke ZDA.

Nazadnje zakon o dostopu do informacij javnega značaja (Freedom of Information Act ali FOIA) vsem osebam zagotavlja sredstva, da zahtevajo dostop do obstoječih evidenc zveznih agencij o kateri koli temi v skladu z določenimi kategorijami izjem. Glej člen 552(b) naslova 5 zakonodajne zbirke ZDA. Te vključujejo omejitve dostopa do tajnih informacij v zvezi z nacionalno varnostjo, osebnih informacij drugih posameznikov in informacij v zvezi s kazenskimi preiskavami ter so primerljive z omejitvami, ki jih narodi odredijo s svojimi zakoni o dostopu do informacij. Te omejitve veljajo enako za Američane in Neameričane. Na spore v zvezi z objavo zahtevanih evidenc v skladu z zakonom o dostopu do informacij javnega značaja se je mogoče pritožiti upravno in nato na zveznem sodišču. Sodišče mora na novo ugotoviti, ali so bile evidence ustrezno zadržane (člen 552(a)(4)(B) naslova 5 zakonodajne zbirke ZDA), in lahko vladi odredi, da zagotovi dostop do evidenc. V nekaterih zadevah so sodišča ovrgla trditve vlade, da je treba zadevne informacije pridržati kot tajne (49). Čeprav ni na voljo nobenih denarnih odškodnin, lahko sodišča prisodijo odvetniške stroške.

VI.   SKLEP

Združene države priznavajo, da morajo naše dejavnosti SIGINT in druge obveščevalne dejavnosti upoštevati, da je treba vse osebe obravnavati z dostojanstvom in spoštovanjem ne glede na njihovo narodnost ali kraj bivanja ter da imajo vse osebe zakonite interese zasebnosti pri ravnanju z njihovimi osebnimi informacijami. Združene države uporabljajo dejavnosti SIGINT samo, da bi ugodile interesom nacionalne varnosti in zunanjepolitičnih interesov ter za zaščito svojih državljanov in državljanov svojih zaveznikov in partnerjev pred oškodovanjem. Skratka, obveščevalna skupnost ne izvaja neselektivnega nadzora kogarkoli, vključno z navadnimi evropskimi državljani. Zbiranje obveščevalnih podatkov v okviru SIGINT se izvaja samo z ustreznimi pooblastili in na način, ki je strogo v skladu s temi omejitvami; šele po obravnavi razpoložljivosti alternativnih virov, vključno z diplomatskimi in javnimi viri; in na način, ki daje prednost ustreznim in izvedljivim alternativam. Kadar koli je izvedljivo, se SIGINT izvaja le z zbiranjem, ki je osredotočeno na posebne cilje ali teme tujih obveščevalnih podatkov z uporabo diskriminant.

V tem pogledu je bila politika ZDA potrjena v PPD-28. V tem okviru ameriške obveščevalne agencije nimajo zakonskega pooblastila, virov, tehničnih zmožnosti ali želje, da prestrezajo vso svetovno komunikacijo. Te agencije ne berejo elektronskih sporočil vseh v Združenih državah ali vseh na svetu. Skladno s PPD-28, Združene države zagotavljajo trdno varstvo osebnih informacij nedržavljanov ZDA, ki se zbirajo z obveščevalno dejavnostjo SIGINT. Če je izvedljivo v skladu z nacionalno varnostjo, to vključuje politike in postopke za zmanjševanje hranjenja in širjenja osebnih informacij v zvezi z nedržavljani ZDA, ki so primerljivi z varstvom, kot ga uživajo državljani ZDA. Poleg tega je, kakor obravnavano zgoraj, celostna ureditev nadzora usmerjenega pooblastila po členu 702 zakona o nadzoru tujih obveščevalnih podatkov brez primere. Nazadnje pomembne spremembe zakona o ameriški obveščevalni dejavnosti, kakor so določene v ameriškem zakonu o svobodi (USA FREEDOM Act), in pobude, ki jih vodi Urad direktorja nacionalne obveščevalne službe za spodbujanje preglednosti v obveščevalni skupnosti, močno izboljšujejo varstvo zasebnosti in državljanskih svoboščin vseh posameznikov ne glede na njihovo narodnost.

 

21. junij 2016

Justin S. Antonipillai

Svetovalec

U.S. Department of Commerce

1401 Constitution Ave., NW

Washington, DC 20230

Ted Dean

Namestnik pomočnika ministra

International Trade Administration

1401 Constitution Ave., NW

Washington, DC 20230

Spoštovana g. Antonipillai in g. Dean,

pišem vama z namenom predložiti dodatne informacije o tem, kako so Združene države izvajajo množično zbiranje podatkov SIGINT. Kot je pojasnjeno v opombi 5 k predsedniški politični direktivi št. 28 (v nadaljevanju: PPD-28), se „množično“ zbiranje nanaša na pridobitev relativno velikega obsega obveščevalnih informacij ali podatkov SIGINT v okoliščinah, v katerih obveščevalna skupnost ne more uporabiti identifikatorja, povezanega z določeno ciljno osebo (kot je e-poštni naslov ali telefonska številka ciljne osebe), da bi osredotočila zbiranje. Vendar to ne pomeni, da je tovrstno zbiranje se „masovno“ ali „neselektivno“. PPD-28 namreč tudi zahteva, da so „obveščevalne dejavnosti SIGINT kolikor je le izvedljivo prilagojene.“ Na podlagi teh pooblastil obveščevalna skupnost sprejema ukrepe za zagotovitev, da bodo, tudi če ne moremo uporabiti posebnih identifikatorjev za ciljno zbiranje, podatki, ki se zbirajo, verjetno vsebovali tuje obveščevalne podatke, ki bodo ustrezali zahtevam, ki so jih oblikovalci politik ZDA navedli na podlagi postopka, pojasnjenega v mojem prejšnjem dopisu, ter zmanjšuje količino neupoštevnih informacij, ki se zbirajo.

Obveščevalna skupnost ima lahko na primer nalogo pridobiti obveščevalne podatke SIGINT o dejavnostih teroristične skupine, ki deluje v regiji države Bližnjega vzhoda in za katero se domneva, da načrtuje napade na zahodnoevropske države, vendar pa ne pozna imen, telefonskih številk, elektronskih naslovov ali drugi posebni identifikatorji posameznikov, povezanih s to teroristično skupino. Lahko se odloči, da bo na to skupino ciljala z zbiranjem in komunikacij, poslanih v to regijo in iz nje, da bi opravila nadaljnji pregled in analizo z namenom prepoznavanja tistih sporočil, ki se nanašajo na to skupino. Pri tem si bo obveščevalna skupnost prizadevala, da bi čim bolj zožila zbiranje podatkov. To se šteje za „množično“ zbiranje, ker je uporaba diskriminant ni izvedljiva, vendar tako zbiranje ni niti „masovno“ niti „neselektivno“, temveč je kolikor je le mogoče natančno osredotočeno.

Tako Združene države tudi takrat, ko izbiranje ciljev z uporabo posebnih izbirnikov ni mogoče, ne zbirajo vseh sporočil iz vseh komunikacijskih sredstev povsod po svetu, temveč uporabljajo filtre in druga tehnična orodja za osredotočanje zbiranja na tista sredstva, ki verjetno vsebujejo sporočila s tujo obveščevalno vrednostjo. Pri tem obveščevalne dejavnosti SIGINT, ki jih izvajajo Združene države, zajamejo le majhen del sporočil, ki potekajo po internetu.

Poleg tega, kot je navedeno v mojem prejšnjem dopisu, ker „množično“ zbiranje pomeni večje tveganje za zbiranje neupoštevnih komunikacij, PPD-28 omejuje uporabo obveščevalnih podatkov SIGINT, ki bi jih obveščevalna skupnost zbrala množično, na šest določenih namenov. PPD-28 in politike agencije za izvajanje PPD-28 omejujejo tudi shranjevanje in širjenje osebnih informacij, pridobljenih na podlagi obveščevalnih podatkov SIGINT, ne glede na to, ali so bile informacije zbrane množično ali s ciljno usmerjenim zbiranjem, in ne glede na posameznikovo državljanstvo.

Tako „množično“ zbiranje, ki ga izvaja obveščevalna skupnost, ni „masovno“ ali „neselektivno“, temveč vključuje uporabo metod in orodij za filtriranje zbiranja, da bi se osredotočilo na zbiranje materiala, ki bo ustrezal zahtevam, ki so jih oblikovalci politik navedli glede tujih obveščevalnih podatkov, pri čemer čim bolj zmanjšuje zbiranje neupoštevnih informacij ter določa stroga pravila za varstvo neupoštevnih informacij, ki bi se lahko zbrale. Politike in postopki, opisani v tem pismu, se uporabljajo za množično zbiranje vseh obveščevalnih podatkov SIGINT, vključno z vsem množičnim zbiranjem komunikacij v Evropo in iz nje, ne da bi se pri tem potrdil ali zanikal obstoj takega zbiranja.

Prosili ste me tudi za več informacij o odboru za nadzor zasebnosti in državljanskih svoboščin (Privacy and Civil Liberties Oversight Board, v nadaljnjem besedilu: PCLOB) in generalnih inšpektorjih ter o pooblastilih teh organov. PCLOB je neodvisna agencija izvršilne veje oblasti. Člane dvostrankarskega petčlanskega odbora imenuje predsednik, potrdi pa jih Senat (50). Mandat posameznega člana odbora traja šest let. Člani odbora in osebje pridobijo ustrezna varnostna potrdila, da lahko v celoti izvršujejo svoje zakonsko določene dolžnosti in odgovornosti (51).

Naloga PCLOB je zagotavljati, da se prizadevanja zvezne vlade za preprečevanje terorizma uravnotežijo s potrebo po varstvu zasebnosti in državljanskih svoboščin. Odbor ima dve temeljni nalogi – nadzor in svetovanje. PCLOB sam oblikuje svoj program in določa, katere dejavnosti nadzora ali svetovanja želi izvajati.

PCLOB v svoji nadzorni vlogi pregleduje in analizira ukrepe, ki jih izvršilna veja oblasti sprejme za zaščito države pred terorizmom, pri čemer zagotavlja, da je potreba po takih ukrepih uravnotežena s potrebo po varstvu zasebnosti in državljanskih svoboščin (52). Najnovejši zaključen nadzorni pregled PCLOB se je osredotočal na nadzorne programe, ki se izvajajo na podlagi člena 702 FISA (53). Trenutno odbor izvaja pregled obveščevalnih dejavnosti, ki se izvajajo na podlagi odredbe št. 12333 (54).

PCLOB v svoji svetovalni vlogi zagotavlja, da se vprašanja svoboščin ustrezno upoštevajo pri oblikovanju in izvajanju zakonov, drugih predpisov in politik, povezanih s prizadevanji za varovanje države pred terorizmom (55).

Da bi lahko opravljal svoje naloge, je odbor z zakonom pooblaščen za dostopanje do vseh ustreznih evidenc, poročil, revizij, pregledov, dokumentov, okrožnic, priporočil in vsega drugega zadevnega gradiva Agencije, vključno z zaupnimi informacijami v skladu z zakonom (56). Poleg tega lahko odbor opravi razgovore in sprejema izjave ali javna pričevanja katerega koli uradnika ali delavca vseh organov izvršilne veje oblasti (57). Odbor lahko tudi pisno zahteva, naj generalni državni tožilec v njegovem imenu izda sodne pozive, ki osebam zunaj izvršilne veje oblasti nalagajo, naj predložijo ustrezne informacije (58).

Nazadnje, za PCLOB veljajo zakonsko določene zahteve glede javne preglednosti. To vključuje obveščanje javnosti o dejavnostih odbora z organizacijo javnih obravnav in dajanjem njegovih poročil na voljo javnosti, in sicer v največjem mogočem obsegu, ki je skladen z varovanjem tajnih podatkov (59). Poleg tega mora PCLOB v primeru, da agencija izvršilne veje oblasti ne upošteva njegovega mnenja, o tem poročati.

Generalni inšpektorji v okviru obveščevalne skupnosti izvajajo revizije, inšpekcijske preglede in preglede programov in dejavnosti obveščevalne skupnosti, da bi opredelili in odpravili sistemska tveganja, ranljivosti in pomanjkljivosti. Poleg tega generalni inšpektorji preučujejo pritožbe ali informacije o domnevnih kršitvah zakonov, pravil ali drugih predpisov ali domnevnih slabem upravljanju, velikem zapravljanju sredstev, zlorabi pooblastil, ali znatni in posebni nevarnosti za javno zdravje in varnost v programih in dejavnostih obveščevalne skupnosti. Neodvisnost generalnih inšpektorjev je ključen element objektivnosti in integritete vsakega poročila, ugotovitve in priporočila, ki jih generalni inšpektor izda. Med najbolj odločilnimi elementi za ohranjanje neodvisnosti generalnih inšpektorjev so postopek za njihovo imenovanje in razrešitev, ločena operativna in proračunska pooblastila ter pooblastila glede osebja in zahteve za dvojno poročanje vodjem agencij izvršilne veje oblasti ter Kongresu.

Kongres je ustanovila neodvisen urad generalnega inšpektorja v vseh agencijah izvršilne veje oblasti, vključno z vsemi organi obveščevalne skupnosti (60). Po sprejetju zakona o obveščevalnih pooblastilih za davčno leto 2015 skoraj vse generalne inšpektorje, ki nadzirajo organe obveščevalne skupnosti, imenuje predsednik, potrdi pa Senat. Gre za generalne inšpektorje, ki nadzirajo ministrstvo za pravosodje, Osrednjo obveščevalno agencijo (CIA), agencijo za nacionalno varnost in obveščevalno skupnost (61). Poleg tega so ti generalni inšpektorji uradniki s stalno funkcijo, ki so nestrankarski, razreši pa jih lahko le predsednik. Medtem ko ZDA ustava določa, da je predsednik pristojen za razrešitev generalnega inšpektorja, pa se ta pristojnost redko uporablja, zahteva pa tudi, da predsednik razrešitev generalnega inšpektorja pisno obrazloži Kongresu 30 dni preden jo izvede (62). Ta postopek imenovanja generalnega inšpektorja zagotavlja, da uradniki izvršilne veje oblasti ne vplivajo neupravičeno na izbiro, imenovanje ali razrešitev generalnega inšpektorja.

Drugič, generalni inšpektorji imajo znatna zakonsko določena pooblastila za opravljanje revizij, preiskav in pregledov programov in dejavnosti izvršilne veje oblasti. Poleg nadzornih preiskav in pregledov, ki jih zahteva zakon, imajo generalni inšpektorji široko diskrecijo pri izvajanju nadzora nad programi in dejavnostmi po lastni izbiri (63). Zakon zagotavlja, da imajo generalni inšpektorji pri izvrševanju te pristojnosti na voljo neodvisna sredstva za opravljanje svojih nalog, vključno s pooblastilom za zaposlovanje lastnega osebja in ločeno navajanje proračunskih zahtev Kongresu (64). Zakon zagotavlja, da imajo generalni inšpektorji dostop do informacij, ki jih potrebujejo za izvajanje svojih nalog. To vključuje pooblastila za neposredno dostopanje do vseh evidenc in informacij agencij, v katerih so podrobno opisani programi in dejavnosti agencije, ne glede na zaupnost, pooblastila za pridobitev sodnega naloga za predložitev informacij in dokumentov ter pooblastila za opravljanje zapriseg (65). V določenih primerih lahko vodja agencije izvršilne veje oblasti prepove dejavnost generalnega inšpektorja, če bi, na primer, revizija ali preiskava, ki jo opravlja generalni inšpektor, bistveno škodovala interesom nacionalne varnosti Združenih držav. Tudi izvajanje tega pooblastila pa je zelo neobičajno in zahteva, da vodja agencije Kongres v 30 dneh obvestiti o razlogih za njegovo uveljavljanje (66). Direktor nacionalne obveščevalne agencije ni denimo nikoli uveljavljal tega omejitvenega pooblastila pri nobeni dejavnosti generalnega inšpektorja.

Tretjič, generalni inšpektorji morajo tako vodje agencij izvršilne veje oblasti kot Kongres v celoti in ažurno obveščati prek poročil o goljufijah in drugih resnih težavah, zlorabah ter pomanjkljivostih v zvezi s programi in dejavnostmi agencij izvršilne veje oblasti (67). Z dvojnim poročanjem se krepi neodvisnost generalnega inšpektorja, saj zagotavlja preglednost nadzornega procesa generalnega inšpektorja ter vodjam agencij omogoča izvajanje priporočil generalnega inšpektorja še preden bi Kongres lahko sprejel zakonodajne ukrepe. Generalni inšpektorji so na primer zakonsko zavezane k pripravi polletnih poročil, ki opisujejo take težave in popravne ukrepe, ki so bili doslej sprejeti (68). Agencije izvršilne veje oblasti obravnavajo ugotovitve in priporočila generalnega inšpektorja resno in generalni inšpektorji lahko pogosto vključijo sprejemanje in izvajanje svojih priporočil v navedena in druga poročila, ki se predložijo Kongresu, v nekaterih primerih pa tudi dajo na voljo javnosti (69). Poleg te strukture dvojnega poročanja imajo generalni inšpektorji tudi nalogo, da prijavitelje nepravilnosti iz izvršilne veje oblasti usmerijo k ustreznim nadzornim odborom Kongresa, da bi razkrili domnevne goljufije, zapravljanje ali zlorabe pri programih in dejavnostih izvršilne veje oblasti. Identiteta oseb, ki se tako javijo, je zavarovana pred razkritjem izvršilni veji oblasti, s čimer se prijavitelji nepravilnosti ščitijo pred morebitnimi ukrepi s področja prepovedi osebja ali varnostnega preverjanja, ki bi bili sprejeti v povračilo za poročanje generalnemu inšpektorju (70). Ker prijavitelji nepravilnosti pogosto predstavljajo vire za preiskave generalnih inšpektorjev, se z možnostjo poročanja o njihovih pomislekih Kongresu brez vplivanja izvršilne veje oblasti povečuje učinkovitost nadzora, ki ga izvajajo generalni inšpektorji. Zaradi te neodvisnosti lahko generalni inšpektorji z objektivnostjo in integriteto spodbudijo ekonomičnost, učinkovitost in odgovornost pri agencijah izvršilne veje oblasti.

Nazadnje, Kongres je ustanovil svet generalnih inšpektorjev za integriteto in učinkovitost. Ta svet med drugim razvija standarde generalnih inšpektorjev za revizije, preiskave in preglede; spodbuja usposabljanje; ter je pooblaščen za obravnavanje domnevnih kršitev generalnih inšpektorjev, s čimer se nadzirajo generalni inšpektorji, ki nadzirajo vse ostale (71).

Upam, da se vam bodo te informacije zdele koristne.

---

(1)  Nadaljnje informacije v zvezi s tujimi obveščevalnimi dejavnostmi ZDA so objavljene na spletu in javno dostopne prek obveščevalne skupnosti v evidenci Record (www.icontherecord.tumblr.com), tj. javni spletni strani Urada direktorja nacionalne obveščevalne službe, ki je namenjena večanju prepoznavnosti obveščevalnih dejavnosti vlade v javnosti.

(2)  Na voljo na https://www.whitehouse.gov/the-press-office/2014/01/17/presidential-policy-directive-signals-intelligence-activities.

(3)  Organi kazenskega pregona ali nadzorni organi lahko zahtevajo informacije od korporacij za preiskovalne namene v Združenih državah v skladu z drugimi kazenskimi, civilnimi in regulativnimi pooblastili zunaj okvira tega dokumenta, ki je omejen na pooblastila v okviru nacionalne varnosti.

(4)  Na voljo na www.icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties#ppd-28. Ti postopki izvajajo usmerjene in prilagojene koncepte, obravnavane v tem pismu, na način, ki je značilen za posameznega člana obveščevalne skupnosti.

(5)  Če navedem en primer, postopki Agencije ZDA za nacionalno varnost (NSA) za izvajanje PPD-28 navajajo, da „kadar koli je izvedljivo, se zbiranje izvaja z uporabo enega ali več izbirnih izrazov, da bi zbiranje usmerili na posebnih tuje obveščevalne cilje (npr. poseben znani mednarodni terorist ali teroristična skupina) ali posebne tuje obveščevalne teme (npr. širjenje orožja za množično uničevanje s strani tuje sile ali njenih agentov)“.

(6)  Na voljo na http://www.dni.gov/files/documents/1017/PPD-28_Status_Report_Oct_2014.pdf.

(7)  Na voljo na http://www.dni.gov/files/documents/ICD/ICD%20204%20National%20Intelligence%20Priorities%20Framework.pdf.

(8)  Intelligence Community Directive (ICD) 203, na voljo na http://www.dni.gov/files/documents/ICD/ICD%20203%20Analytic%20Standards.pdf.

(9)  Glej, na primer, poročilo generalnega inšpektorja na Ministrstvu za pravosodje ZDA „Pregled dejavnosti Zveznega preiskovalnega urada v okviru člena 702 zakona o nadzoru tujih obveščevalnih podatkov iz leta 2008“ (september 2012), na voljo na https://oig.justice.gov/reports/2016/o1601a.pdf.

(10)  Glej www.dni.gov/clpo.

(11)  Člen 1881a naslova 50 zakonodajne zbirke ZDA.

(12)  Združene države lahko pridobijo tudi sodne odločbe v skladu z drugimi določbami zakona o nadzoru tujih obveščevalnih podatkov za pridobivanje podatkov, vključno s podatki, prenesenimi v skladu z zasebnostnim ščitom. Glej člen 1801 et seq naslova 50 zakonodajne zbirke ZDA. Naslova I in III zakona o nadzoru tujih obveščevalnih podatkov, ki ustrezno dovoljuje elektronski nadzor in fizične preiskave, zahtevata sodno odločbo (razen v izrednih razmerah) in vedno zahtevata utemeljeni sum za prepričanje, da je cilj tuja sila ali agent tuje sile. Naslov IV zakona o nadzoru tujih obveščevalnih podatkov dovoljuje uporabo snemalnikov klicev ter naprav za pasti in sledenje v skladu s sodno odločbo (razen v izrednih razmerah) v dovoljenih dejavnostih za pridobivanje tujih obveščevalnih podatkov, protiobveščevalnih dejavnostih ali preiskavah v boju proti terorizmu. Naslov V zakona o nadzoru tujih obveščevalnih podatkov Zveznemu preiskovalnemu uradu dovoljuje, da pridobiva poslovne evidence, ki so potrebne za dovoljene preiskave tujih obveščevalnih podatkov, protiobveščevalne dejavnosti ali preiskave v boju proti terorizmu. Kakor je navedeno spodaj, ameriški zakon o svobodi (USA FREEDOM Act) posebej prepoveduje uporabo odločb za snemalnike klicev ali poslovne evidence v okviru zakona o nadzoru tujih obveščevalnih podatkov za množično zbiranje ter predpisuje zahtevo po „posebnem izbirnem izrazu“, ki zagotavlja, da se ta pooblastila uporabijo usmerjeno.

(13)  Odbor za nadzor zasebnosti in državljanskih svoboščin, „Poročilo o programu nadzora, ki se izvaja v skladu s členom 702 zakona o nadzoru tujih obveščevalnih podatkov“ (2. julij 2014) („poročilo PCLOB“).

(14)  Glej Pub. L. No. 110-261, 122 Stat. 2436 (2008).

(15)  Glej člen 1881a(a) in (b) naslova 50 zakonodajne zbirke ZDA.

(16)  Glej id. člen 1801(e).

(17)  Glej poročilo PCLOB na 99.

(18)  Glej člen 1881a(d) in (e) naslova 50 zakonodajne zbirke ZDA.

(19)  Glej poročilo PCLOB na strani 111.

(20)  Id.

(21)  Id. na strani 8; Člen 1881a(l) naslova 50 zakonodajne zbirke ZDA; glej tudi Poročilo direktorja NSA za državljanske svoboščine in zasebnost, „Izvajanje člena 702 zakona o nadzoru tujih obveščevalnih podatkov s strani NSA“ (v nadaljnjem besedilu „poročilo NSA“) na strani 4, na voljo na http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(22)  Poročilo o preglednosti direktorja nacionalne obveščevalne službe za leto 2014, na voljo na http://icontherecord.tumblr.com/transparency/odni_transparencyreport_cy2014.

(23)  Postopki zmanjševanja, ki so na voljo na: http://www.dni.gov/files/documents/ppd-28/2014%20NSA%20702%20Minimization%20Procedures.pdf („postopki zmanjševanja NSA“); http://www.dni.gov/files/documents/ppd-28/2014%20FBI%20702%20Minimization%20Procedures.pdf; and http://www.dni.gov/files/documents/ppd-28/2014%20CIA%20702%20Minimization%20Procedures.pdf.

(24)  Glej poročilo NSA na strani 4.

(25)  Glej, na primer, postopke zmanjševanja NSA na strani 6.

(26)  Postopki PPD-28 za obveščevalne agencije so na voljo na http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(27)  Glej postopke zmanjševanja NSA; PPD-28, člen 4.

(28)  Glej člen 1881(l) naslova 50 zakonodajne zbirke ZDA; glej tudi poročilo PCLOB na straneh 66–76.

(29)  Glej polletno oceno izpolnjevanja postopkov in smernic v zadevah iz člena 702 zakona o nadzoru tujih obveščevalnih podatkov, ki sta ga predložila državni tožilec in direktor nacionalne obveščevalne službe na straneh 2–3, na voljo na http://www.dni.gov/files/documents/Semiannual%20Assessment%20of%20Compliance%20with%20procedures%20and%20guidelines%20issued%20pursuant%20to%20Sect%20702%20of%20FISA.pdf.

(30)  Pravilo 13 poslovnika sodišča za nadzor tujih obveščevalnih podatkov, na voljo na http://www.fisc.uscourts.gov/sites/default/files/FISC%20Rules%20of%20Procedure.pdf.

(31)  29. julij 2013, Pismo Reggieja B. Waltona Patricku J. Leahyju, na voljo na http://fas.org/irp/news/2013/07/fisc-leahy.pdf.

(32)  Glej člen 401 USA FREEDOM Act, P.L. 114-23.

(33)  Glej člen 1881f naslova 50 zakonodajne zbirke ZDA člen 1881f.

(34)  Glej id. člen 1881a(l)(1).

(35)  Glej id. člen 1881a(l)(3). Nekatera od teh poročil so tajna.

(36)  Mem. Mnenje in sklep na strani 26 (FISC 2014), na voljo na http://www.dni.gov/files/documents/0928/FISC%20Memorandum%20Opinion%20and%20Order%2026%20August%202014.pdf.

(37)  Glej USA FREEDOM Act of 2015, Pub. L. No. 114-23, člen 401, 129 Stat. 268.

(38)  Glej id. členi 103, 201 in 501. Sodne pozive v zvezi z nacionalno varnostjo dovoljuje vrsta zakonov in omogočajo Zveznemu preiskovalnemu uradu, da pridobiva informacije v poročilih o kreditni sposobnosti, finančne podatke ter elektronske podatke o naročnikih in transakcijah od določenih vrst podjetij samo za potrebe zaščite pred mednarodnim terorizmom ali tajnimi obveščevalnimi dejavnostmi. Glej člen 3414 naslova 12 zakonodajne zbirke ZDA; člena 1681u in 1681v naslova 15 zakonodajne zbirke ZDA in člen 2709 naslova 18 zakonodajne zbirke ZDA. Sodne pozive v zvezi z nacionalno varnostjo praviloma uporablja Zvezni preiskovalni urad za zbiranje nevsebinskih informacij v začetnih fazah preiskav v boju proti terorizmu in protiobveščevalni dejavnosti – kot je identiteta naročnika računa, ki morda komunicira z agenti teroristične skupine, kot je Islamska država. Prejemniki sodnega poziva v zvezi z nacionalno varnostjo ga imajo pravico izpodbijati na sodišču. Glej člen 3511 naslova 18 zakonodajne zbirke ZDA.

(39)  Glej id.

(40)  Glej id. člen 401.

(41)  Glej id. člen 602.

(42)  Glej id.

(43)  Glej id. člen 603.

(44)  Glej id. členi 502(f)–503.

(45)  Na voljo na http://www.dni.gov/index.php/intelligence-community/intelligence-transparency-principles.

(46)  Na voljo na http://www.dni.gov/files/documents/Newsroom/Reports%20and%20Pubs/Principles%20of%20Intelligence%20Transparency%20Implementation%20Plan.pdf.

(47)  Glej id.

(48)  Na voljo na: https://www.nsa.gov/civil_liberties/_files/nsa_report_on_section_702_program.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf.

(49)  Glej, na primer, New York Times proti Department of Justice, 756 F.3d 100 (2d Cir. 2014); American Civil Liberties Union proti CIA, 710 F.3d 422 (D.C. Cir. 2014).

(50)  Člen 2000ee(a) in (h) naslova 42 Zakonodajne zbirke ZDA.

(51)  Člen 2000ee(k) naslova 42 Zakonodajne zbirke ZDA.

(52)  Člen 2000ee(d)(2) naslova 42 Zakonodajne zbirke ZDA.

(53)  Glej, na splošno, https://www.pclob.gov/library.html#oversightreports.

(54)  Glej, na splošno, https://www.pclob.gov/events/2015/may13.html.

(55)  Člen 2000ee(d)(1) naslova 42 Zakonodajne zbirke ZDA; glej tudi PCLOB Advisory Function Policy and Procedure, Policy 2015-004 (Politika in postopek za svetovalno funkcijo PCLOB, politika št. 2015-004), na voljo na: https://www.pclob.gov/library/Policy-Advisory_Function_Policy_Procedure.pdf.

(56)  Člen 2000ee(g)(1)(A) naslova 42 Zakonodajne zbirke ZDA.

(57)  Člen 2000ee(g)(1)(B) naslova 42 Zakonodajne zbirke ZDA.

(58)  Člen 2000ee(g)(1)(D) naslova 42 Zakonodajne zbirke ZDA.

(59)  Člen 2000eee(f) naslova 42 Zakonodajne zbirke ZDA.

(60)  Člena 2 in 4 zakona o generalnem inšpektorju (Inspector General Act) iz leta 1978 s spremembami; Člen 103H(b) in (e) zakona o nacionalni varnosti iz leta 1947 s spremembami (v nadaljnjem besedilu: Zakon o nacionalni varnosti). Člen 17(a) zakona o centralni obveščevalni agenciji (v nadaljnjem besedilu: zakon o CIA).

(61)  Glej Zbirko aktov Kongresa s področja javnega prava, št. 113-293, str. 128, zakon 3990 (2014). Predsednik ne imenuje le generalnih inšpektorjev za obrambno obveščevalno agencijo in za nacionalno agencijo za geoprostorske obveščevalne podatke; vendar sta generalni inšpektor za ministrstvo za obrambo in generalni inšpektor za obveščevalno skupnost sočasno pristojna za ti agenciji.

(62)  Člen 3 Zakona o generalnem inšpektorju iz leta 1978 s spremembami; člen 103H(c) Zakona o nacionalni varnosti in člen 17(b) zakona o CIA.

(63)  Glej člena 4(a) in 6(a)(2) zakona o generalnem inšpektorju iz leta 1947; člen 103H(e) in (g)(2)(a) zakona o nacionalni varnosti ter člen 17(a) in (c) zakona o CIA.

(64)  Členi 3(d), 6(a)(7) in 6(f) zakona o generalnem inšpektorju; členi 103(d), (i), (j) in (m) zakona o nacionalni varnosti ter člena 17(e)(7) in (f) zakona o CIA.

(65)  Člen 6(a)(1), (3), (4), (5), in (6) zakona o generalnem inšpektorju; Člen 103H(g)(2) zakona o nacionalni varnosti ter člen 17(e)(1), (2), (4) in (5) zakona o CIA.

(66)  Glej, na primer, člena 8(b) in 8E(a) zakona o generalnem inšpektorju; člen 103H(f) zakona o nacionalni varnosti ter člen 17(b) Zakona o CIA.

(67)  Člen 4(a)(5) zakona o generalnem inšpektorju; člen 103H(a)(b)(3) in (4) zakona o nacionalni varnosti ter člen 17(a)(2) in (4) zakona o CIA.

(68)  Členi 2(3), 4(a) in 5 Zakona o generalnem inšpektorju; člen 103H(k) Zakona o nacionalni varnosti ter člen 17(d) Zakona o CIA. Generalni inšpektor Ministrstva za pravosodje daje svoja javno objavljena poročila na voljo na spletni strani http://oig.justice.gov/reports/all.htm. Podobno daje generalni inšpektor za obveščevalno skupnost svoja polletna poročila javnosti na voljo na spletni strani https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(69)  Členi 2(3), 4(a) in 5 Zakona o generalnem inšpektorju; člen 103H(k) Zakona o nacionalni varnosti ter člen 17(d) Zakona o CIA. Generalni inšpektor Ministrstva za pravosodje daje svoja javno objavljena poročila na voljo na spletni strani http://oig.justice.gov/reports/all.htm. Podobno daje generalni inšpektor za obveščevalno skupnost svoja polletna poročila javnosti na voljo na spletni strani https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(70)  Člen 7 zakona o generalnem inšpektorju; Člen 103H(g)(3) zakona o nacionalni varnosti ter člen 17(e)(3) zakona o CIA.

(71)  Člen 11 zakona o generalnem inšpektorju.

PRILOGA VII

19. februar 2016

Justin S. Antonipillai

Svetovalec

U.S. Department of Commerce

1401 Constitution Ave., NW

Washington, DC 20230

Ted Dean

Namestnik pomočnika ministra

International Trade Administration

1401 Constitution Ave., NW

Washington, DC 20230

Spoštovana g. Antonipillai in g. Dean,

to pismo podaja kratek pregled glavnih preiskovalnih sredstev za pridobivanje poslovnih podatkov in drugih podatkov iz evidenc korporacij v Združenih državah za (civilne ali regulativne) potrebe kazenskega pregona ali javnega interesa, vključno z omejitvami dostopa, določenimi v teh pooblastilih (1). Ti pravni procesi so nediskriminatorni, saj so uporabljeni za pridobivanje informacij od korporacij v Združenih državah, vključno s podjetji, ki se bodo samocertificirala v okviru zasebnostnega ščita EU-ZDA, ne glede na narodnost posameznika, na katerega se nanašajo podatki. Poleg tega lahko korporacije, ki so jim vročeni sodni postopki v Združenih državah, le-te izpodbijajo na sodišču, kakor je navedeno spodaj (2).

V zvezi z zaseganjem podatkov s strani javnih organov je zlasti pomemben četrti amandma Ustave ZDA, ki določa, da „pravica ljudi, da so oni sami, njihove hiše, dokumenti in predmeti varni pred nerazumnimi preiskavami in zasegi, ne sme biti kršena in izdan ne sme biti noben nalog, razen na podlagi utemeljenega suma, podprtega z zaprisego ali izjavo, in ki zlasti opisuje kraj, ki ga je treba preiskati, ter osebe in predmete, ki jih je treba zaseči.“ Ustava ZDA, IV. amandma. Kakor je navedlo vrhovno sodišče ZDA v zadevi Berger proti State of New York, „osnovni namen tega amandmaja, kakor je priznan v številnih odločitvah tega sodišča, je zaščititi zasebnost in varnost posameznikov pred samovoljnimi vdori vladnih uradnikov.“ 388 U.S. 41, 53 (1967) (navajam zadevo Camara proti Mun. Court of San Francisco, 387 U.S. 523, 528 (1967)). V domačih kazenskih preiskavah četrti amandma od uslužbencev organov kazenskega pregona običajno zahteva, da pridobijo sodni nalog, preden opravijo preiskavo. Glej Katz proti United States, 389 U.S. 347, 357 (1967). Kadar zahteva naloga ne velja, je vladna dejavnost podvržena preskusu „razumnosti“ v skladu s četrtim amandmajem. Sama Ustava torej zagotavlja, da vlada ZDA nima neomejene ali samovoljne moči, da zaseže zasebne informacije.

Organi kazenskega pregona:

Zvezni tožilci, ki so uradniki Ministrstva za pravosodje, in zvezni preiskovalni agenti, ki zajemajo agente Zveznega preiskovalnega urada (FBI), tj. organa kazenskega pregona znotraj Ministrstva za pravosodje, lahko prisilijo korporacije v Združenih državah, da predložijo dokumente in druge podatke iz evidenc za potrebe kazenske preiskave z več vrstami obveznih sodnih postopkov, vključno s pozivi velike porote, sodnimi pozivi in nalogi za preiskavo, ter lahko pridobijo druge komunikacije v skladu z zveznimi kazenskimi pooblastili za prisluškovanje telefonskim pogovorom in uporabo snemalnikov klicev.

Pozivi velike porote ali pozivi na obravnavo: Pozivi na obravnavo kaznivega dejanja se uporabljajo v podporo usmerjenim kazenskim preiskavam. Poziv velike porote je uradna zahteva, ki jo izda velika porota (običajno na zahtevo zveznega tožilca) v podporo preiskavi posameznega suma kršitve kazenskega prava, ki jo izvaja velika porota. Velike porote so preiskovalna roka sodišča in jih izbere sodnik. V sodnem pozivu se lahko od osebe zahteva, da priča v postopku ali predloži ali zagotovi poslovne evidence, elektronsko shranjene informacije ali druge oprijemljive predmete. Informacije se morajo nanašati na preiskavo, sodni poziv pa ne more biti nerazumen, ker je preširok ali ker je zatirajoč ali obremenjujoč. Na tej podlagi lahko prejemnik vloži predlog za izpodbijanje sodnega poziva. Glej Fed. R. Crim. P. 17. V omejenih okoliščinah je mogoče uporabiti sodne pozive na obravnavo za dokumente, potem ko je velika porota vložila obtožnico v zadevi.

Pooblastilo za izdajo sodnih pozivov: V kazenskih in civilnopravnih preiskavah je mogoče uveljaviti pooblastila za izdajo sodnih pozivov. V okviru kazenskega pregona več zveznih zakonov dovoljuje uporabo sodnih pozivov za predložitev ali zagotovitev poslovnih evidenc, elektronsko shranjenih informacij ali drugih oprijemljivih predmetov v preiskavah goljufij v zdravstvu zlorabe otrok, zaščite tajne službe, zadevah v zvezi z nadzorovanimi snovmi in preiskavah generalnega inšpektorja, v katere so vpletene vladne agencije. Če želi vlada uveljaviti sodni poziv na sodišču, lahko prejemnik sodnega poziva, tako kot prejemnik poziva velike porote, zagovarja stališče, da je poziv nerazumen, ker je preširok ali ker je zatirajoč ali obremenjujoč.

Sodne odločbe za snemalnike klicev ter naprave za pasti in sledenje: V skladu s kazenskimi določbami v zvezi s snemalniki klicev ter napravami za pasti in sledenje lahko organi kazenskega pregona pridobijo sodno odločbo za pridobivanje sprotnih nevsebinskih informacij glede klicanih telefonskih številk, usmerjanja, naslavljanja in signaliziranja o telefonski številki ali elektronski pošti ob potrditvi, da so zagotovljene informacije pomembne za kazensko preiskavo v teku. Glej člene 3121-3127 naslova 18 zakonodajne zbirke ZDA. Uporaba ali namestitev takšne naprave zunaj zakona je zvezni zločin.

Zakon o zasebnosti elektronskih komunikacij (Electronic Communications Privacy Act ali ECPA): Vladni dostop do informacij o naročnikih, podatkov o prometu in shranjenih vsebin komunikacij, ki jih hranijo telefonska podjetja ponudnikov internetnih storitev in drugi ponudniki storitev, urejajo dodatna pravila v skladu z naslovom II ECPA, imenovanem tudi zakon o shranjenih komunikacijah (Stored Communications Act ali SCA, členi 2701 do 2712 naslova 18 zakonodajne zbirke ZDA. SCA določa sistem zakonskih pravic do zasebnosti, ki omejujejo dostop organov kazenskega pregona do podatkov, ki so več kot potrebni po ustavnem pravu od strank in naročnikov ponudnikov internetnih storitev. SCA zagotavlja višjo raven varstva zasebnosti glede na vsiljivost zbiranja. Za informacije o registraciji naročnikov, naslove IP in povezane časovne žige ter podatke za obračunavanje morajo organi kazenskega pregona pridobiti sodni poziv. Za večino drugih shranjenih nevsebinskih informacij, kot so glave v elektronskem sporočilu brez vrstice z zadevo, mora organ kazenskega pregona predstaviti sodniku posamezna dejstva, ki dokazujejo, da so zahtevane informacije pomembne in bistvene v tekoči kazenski preiskavi. Za pridobivanje shranjene vsebine elektronskih komunikacij organi kazenskega pregona na splošno pridobijo nalog od sodnika na podlagi utemeljenega suma, da zadevni račun vsebuje dokaze o kaznivem dejanju. SCA zagotavlja tudi civilno odgovornost in kazenske sankcije.

Sodne odločbe za nadzor v skladu z zveznim zakonom o prisluškovanju telefonskim pogovorom: Organi kazenskega pregona lahko dodatno sprotno prestrezajo komunikacije po telefonu, ustno ali elektronsko komunikacijo za potrebe kazenske preiskave v skladu z zveznim zakonom o prisluškovanju telefonskim pogovorom. Glej člene 2510-2522 naslova 18 zakonodajne zbirke ZDA. To pooblastilo je na voljo le v skladu s sodno odločbo, v kateri sodnik ugotovi, da med drugim obstaja utemeljeni sum, da bo prisluškovanje telefonskim pogovorom ali elektronsko prestrezanje privedlo do dokazov zveznega zločina ali do lokacije ubežnika, ki beži pred pregonom. Zakon zagotavlja civilno odgovornost in kazenske sankcije za kršitve določb glede prisluškovanja telefonskim pogovorom.

Nalog za preiskavo – pravilo 41: Organi kazenskega pregona lahko fizično preiščejo prostore v Združenih državah, kadar jim to dovoli sodnik. Organi kazenskega pregona morajo na podlagi „utemeljenega suma“ sodniku dokazati, da je bilo ali bo vsak čas storjeno kaznivo dejanje, predmete, povezane s kaznivim dejanjem, pa da je mogoče odkriti na kraju, navedenem v nalogu. To pooblastilo se pogosto uporabi, kadar je potrebna fizična preiskava prostorov s strani policije zaradi nevarnosti, da bodo uničeni dokazi, če bo korporaciji vročen sodni poziv ali drugi nalog za predložitev. Glej Ustava ZDA IV. amandma (podrobneje obravnavan zgoraj), Fed. R. Crim. P. 41. Oseba, na katero se nanaša nalog za preiskavo, lahko poda predlog za razveljavitev naloga zaradi preobsežnosti, nadležnosti ali druge neprimerne pridobitve, oškodovane stranke s procesno upravičenostjo pa lahko zadržijo morebitne dokaze, pridobljene v nezakoniti preiskavi. Glej Mapp proti Ohio, 367 U.S. 643 (1961).

Smernice in politike Ministrstva za pravosodje: Poleg teh ustavnih in zakonskih omejitev na podlagi pravil glede vladnega dostopa do podatkov je državni tožilec izdal smernice, ki postavljajo nadaljnje omejitve dostopa do podatkov s strani organov kazenskega pregona in ki vsebujejo tudi elemente varstva zasebnosti in državljanskih svoboščin. Na primer, smernice državnega tožilca za domače operacije Zveznega preiskovalnega urada (FBI) (september 2008) (v nadaljnjem besedilu „smernice AG FBI“), na voljo na http://www.justice.gov/archive/opa/docs/guidelines.pdf, postavljajo omejitve glede uporabe preiskovalnih sredstev pri iskanju informacij v zvezi s preiskavami zveznih zločinov. Te smernice določajo, da mora FBI uporabiti najmanj vsiljive preiskovalne metode, ki so izvedljive, ob upoštevanju vpliva na zasebnost in državljanske svoboščine ter potencialne škode ugledu. Poleg tega opozarjajo, da „je jasno, da mora FBI opraviti preiskave in druge dejavnosti na zakonit in razumen način, ki spoštuje svoboščine in zasebnost ter se izogiba nepotrebnim vdorom v življenja ljudi, ki spoštujejo zakon.“Glej smernice AG FBI na strani 5. FBI izvaja te smernice z navodili FBI za domače preiskave in operacije (FBI Domestic Investigations and Operations Guide ali DIOG), na voljo na https://vault.fbi.gov/FBI%20Domestic%20Investigations%20and%20Operations%20Guide%20(DIOG), celovitim priročnikom, ki vsebuje podrobne omejitve uporabe preiskovalnih orodij ter navodila, ki zagotavljajo, da so državljanske svoboščine in zasebnost zaščitene v vsaki preiskavi. Dodatna pravila in politike, ki predpisujejo omejitve preiskovalnih dejavnosti zveznih tožilcev, so določene v priročniku za ameriške odvetnike (United States Attorneys' Manual ali USAM), prav tako na voljo na http://www.justice.gov/usam/united-states-attorneys-manual.

Civilni in regulativni organi (javni interes):

Pomembne omejitve so postavljene tudi za dostop do podatkov, ki jih hranijo korporacije v Združenih državah, v civilne in regulativne namene (tj. javni interes). Agencije s civilno in regulativno odgovornostjo lahko korporacijam izdajo pozive za poslovne evidence, elektronsko shranjene informacije ali druge oprijemljive predmete. Te agencije pri izvajanju sodnih ali civilnih pozivov omejujejo ne le njihovi organizacijski zakoni, temveč tudi neodvisni sodni pregled pozivov pred morebitno sodno izvršitvijo. Glej, na primer, Fed. R. Civ. P. 45. Agencije lahko zahtevajo dostop samo do podatkov, ki so pomembni v zadevah v okviru njihovih pooblastil za urejanje. Poleg tega lahko prejemnik sodnega poziva izpodbija izvršitev tega poziva na sodišču tako, da predloži dokaze, da agencija ni delovala v skladu z osnovnimi standardi razumnosti, kakor je obravnavano zgoraj.

Tu so tudi druge pravne podlage za podjetja, s katerimi lahko izpodbijajo zahteve za podatke upravnih organov na podlagi njihove posebne panoge in vrst podatkov, ki jim imajo v lasti. Na primer, finančne ustanove lahko izpodbijajo sodne pozive, v katerih so zahtevane določene vrste informacij, kot kršitve zakona o bančni tajnosti (Bank Secrecy Act) in njegovih izvedbenih predpisov. Glej člen 5318 naslova 31 zakonodajne zbirke ZDA, 31 C.F.R. Part X. Druga podjetja se lahko oprejo na zakon o poštenem kreditnem poročanju (Fair Credit Reporting Act, glej člen 1681b naslova 15 zakonodajne zbirke ZDA) ali na gostitelja drugih zakonov, značilnih za sektorje. Zloraba pooblastila agencije za poziv lahko privede do odškodninske odgovornosti agencije ali osebne odgovornosti uradnikov agencije. Glej, na primer, zakon o pravici do finančne zasebnosti (Right to Financial Privacy Act, členi 3401–3422 naslova 12 zakonodajne zbirke ZDA). Sodišča v Združenih državah tako delujejo kot varuhi pred neprimernimi zakonskimi zahtevami in zagotavljajo neodvisen nadzor nad ukrepi zveznih agencij.

Nazadnje mora kakršno koli zakonsko pooblastilo, da morajo upravni organi fizično zaseči evidence podjetja v Združenih državah v skladu z upravno preiskavo, izpolnjevati zahteve četrtega amandmaja. Glej See proti City of Seattle, 387 U.S. 541 (1967).

Sklep

Vse dejavnosti kazenskega pregona in regulativne dejavnosti v Združenih državah morajo biti skladne z veljavno zakonodajo, vključno z Ustavo ZDA, zakoni, pravili in predpisi. Takšne dejavnosti morajo biti skladne tudi z veljavnimi politikami, vključno z morebitnimi smernicami državnega tožilca, ki urejajo zvezne dejavnosti kazenskega pregona. Pravni okvir, opisan zgoraj, omejuje zmožnost ameriških organov kazenskega pregona in nadzora za pridobivanje informacij od korporacij v Združenih državah – ne glede na to, ali so informacije v zvezi z državljani ZDA ali državljani tujih držav – poleg tega pa dovoljuje sodni pregled katere koli vladne zahteve za podatke v skladu s temi pooblastili.

---

(1)  Ta pregled ne opisuje preiskovalnih orodij za nacionalno varnost, ki jih uporabljajo organi kazenskega pregona pri terorističnih in drugih preiskavah v zvezi z nacionalno varnostjo, vključno s sodnimi pozivi v zvezi z nacionalno varnostjo (NSL) za določene informacije v poročilih o kreditni sposobnosti, finančnih podatkih in elektronskih podatkih o naročnikih in poslih, glej člen 3414 naslova 12 zakonodajne zbirke ZDA; člen 1681u naslova 15 zakonodajne zbirke ZDA; člen 1681v naslova 15 zakonodajne zbirke ZDA; člen 2709 naslova 18 zakonodajne zbirke ZDA, in za elektronski nadzor, naloge za preiskavo, poslovne knjige in drugo zbiranje komunikacij v skladu z zakonom o nadzoru tujih obveščevalnih podatkov, glej člen 1801 et seq naslova 50 zakonodajne zbirke ZDA.

(2)  Ta dokument obravnava zvezne organe kazenskega pregona in nadzorne organe; kršitve državnih zakonov preiščejo države in se jim sodi na državnih sodiščih. Državni organi kazenskega pregona uporabljajo naloge in pozive, izdane v okviru državnega zakona, na pravzaprav enak način, kot je opisan tukaj, vendar z možnostjo, da za državne sodne postopke velja varstvo, ki ga zagotavljajo ustave držav in ki presega določbe v Ustavi ZDA. Varstvo državnih zakonov mora biti vsaj enakovredno varstvu Ustave ZDA, med drugim tudi četrtemu amandmaju.