BILAGA I

7 juli 2016

Bästa kommissionär Jourová,

På Förenta staternas vägnar har jag nöjet att härmed översända ett paket med material om skölden för skydd av privatlivet i EU och Förenta staterna, som är resultatet av två års givande diskussioner mellan våra lag. Detta paket, tillsammans med annat material som kommissionen har tillgång till via offentliga källor, ger en mycket stark grund för ett nytt konstaterande om adekvat skyddsnivå från kommissionen (1).

Båda parter bör vara stolta över förbättringarna av ramen. Skölden för skydd av privatlivet bygger på principer som har starkt stöd från båda sidor av Atlanten, och vi har stärkt principernas funktion. Tack vare vårt gemensamma arbete har vi en verklig möjlighet att förbättra skyddet av privatlivet runtom i världen.

Skölden för skydd av privatlivet omfattar principerna om skölden om skydd för privatlivet samt en skrivelse, bifogad som bilaga 1, från International Trade Administration (ITA) (Internationella handelsförvaltningen), som förvaltar programmet, med en beskrivning av de åtaganden som vårt ministerium har gjort för att säkerställa att skölden för skydd av privatlivet fungerar effektivt. I paketet ingår även bilaga 2, som innehåller andra åtaganden från handelsministeriet om den nya skiljedomsmodell som finns tillgänglig inom ramen för skölden för skydd av privatlivet.

Jag har gett anvisningar åt min personal om att ägna alla nödvändiga resurser för att genomföra skölden för skydd av privatlivet ändamålsenligt och fullständigt och säkerställa att åtagandena i bilagorna 1 och 2 uppfylls i tid.

Skölden för skydd av privatlivet innehåller också andra dokument från andra myndigheter i Förenta staterna, nämligen

Ni kan vara säker på att Förenta staterna tar dessa åtaganden på allvar.

Inom 30 dagar från det slutliga godkännandet av fastställandet av adekvat skyddsnivå kommer den fullständiga skölden för skydd av privatlivet att översändas till det federala registret för offentliggörande.

Vi ser fram emot att samarbeta med er om genomförandet av skölden för skydd av privatlivet när vi nu inleder nästa fas i denna process tillsammans.

(1)  Under förutsättning att kommissionens beslut om huruvida ett adekvat skydd säkerställs genom skölden för skydd av privatlivet i EU och Förenta staterna gäller för Island, Liechtenstein och Norge kommer skölden för skydd av privatlivet att omfatta både EU och dessa tre länder.

BILAGA II

ÖVERGRIPANDE PRINCIPER FÖR SKÖLDEN FÖR SKYDD AV PRIVATLIVET I EU OCH FÖRENTA STATERNA UTFÄRDADE AV FÖRENTA STATERNAS HANDELSMINISTERIUM

I.   ÖVERSIKT

II.   PRINCIPER

1.   Påpekande

2.   Valmöjlighet

3.   Ansvar för vidareöverföring

4.   Säkerhet

5.   Dataintegritet och ändamålsbegränsning

6.   Tillgång

7.   Rättsmedel, genomförande och ansvar

III.   KOMPLETTERANDE PRINCIPER

1.   Känsliga uppgifter

2.   Journalistiska undantag

3.   Sekundärt ansvar

4.   Utförande av företagsbesiktningar och revisioner

5.   Dataskyddsmyndigheternas roll

6.   Självcertifiering

7.   Kontroll

8.   Tillgång

a.   Principen om tillgång i praktiken

b.   Börda eller kostnad för att ge tillgång till personuppgifter

c.   Konfidentiella uppgifter om affärsverksamhet

d.   Organisation av databaser

e.   Begränsad tillgång

f.   Rätt att få bekräftelse samt uttag av avgifter för att täcka kostnaderna för att erbjuda tillgång

g.   Ständigt återkommande förfrågningar eller okynnesförfrågningar

En organisation kan fastställa rimliga begränsningar vad gäller antalet förfrågningar från en viss person vilka behöver besvaras under en viss period. När dessa begränsningar fastställs ska man ta hänsyn till hur ofta uppgifterna uppdateras, i vilket syfte de används och vilka slags uppgifter det rör sig om.

h.   Bedrägliga förfrågningar om tillgång

En organisation är inte skyldig att ge tillgång till uppgifter om den inte erhåller tillräcklig information för att bekräfta identiteten på den person som ansöker om att få tillgång till uppgifterna.

i.   Tidsgräns för svar

Organisationerna ska besvara förfrågningar om tillgång inom en rimlig tidsperiod, på ett rimligt sätt och i en form som lätt kan förstås av den enskilde. En organisation som tillhandahåller uppgifter om registrerade vid regelbundna tillfällen kan besvara individuella förfrågningar om tillgång inom ramen för det regelbundna tillhandahållandet av uppgifter om detta inte medför en orimlig försening.

9.   Personaluppgifter

a.   Sköldens omfattning

b.   Tillämpning av principerna om meddelande och valmöjlighet

c.   Tillämpning av principen om tillgång

Den kompletterande principen om tillgång ger vägledning om vilka orsaker som kan berättiga att en organisation avvisar eller efter en begäran endast ger begränsad tillgång till personaluppgifter. Givetvis måste arbetsgivare i EU handla i enlighet med lokala bestämmelser och se till att anställda inom EU får tillgång till sådana uppgifter som är en lagstadgad rättighet i deras hemländer, oavsett var dessa uppgifter behandlas eller lagras. Enligt skölden ska en organisation som behandlar sådana uppgifter i Förenta staterna samarbeta för att ge tillgång till uppgifterna antingen direkt eller genom arbetsgivaren i EU.

d.   Verkställighet

e.   Tillämpning av principen om ansvar för vidare överföring

Om en organisation som deltar i skölden för skydd av privatlivet har tillfälliga anställningsbehov och med avseende på personuppgifter som överförs inom ramen för skölden, såsom flyg- och hotellbokningar eller försäkringstäckning, kan överföringar av personuppgifter för ett fåtal anställda till den personuppgiftsansvarige ske utan att principen om tillgång behöver tillämpas och utan att det är nödvändigt att ingå ett avtal med tredje partens personuppgiftsansvarige, vilket annars krävs enligt principen om ansvar för vidare överföring, på villkor att organisationen uppfyller principerna om meddelande och valmöjlighet.

10.   Obligatoriska avtal om vidare överföring

a.   Behandlingsavtal

b.   Överföringar inom en kontrollerad grupp av företag eller enheter

Enligt principen om ansvar för vidare överföring krävs inte alltid avtal när personuppgifter överförs mellan två personuppgiftsansvariga inom en kontrollerad grupp av företag eller enheter. Personuppgiftsansvariga inom en kontrollerad grupp av företag eller enheter kan basera sådana överföringar på andra instrument, t.ex. bindande företagsregler på EU-nivå eller andra koncerninterna instrument (t.ex. efterlevnads- och kontrollprogram) och på så vis se till att skyddet av personuppgifter fortsätter att gälla enligt principerna. Vid sådana överföringar förblir organisationer som deltar i skölden ansvariga för efterlevnaden av principerna.

c.   Överföringar mellan personuppgiftsansvariga

För överföringar mellan personuppgiftsansvariga måste den mottagande personuppgiftsansvarige inte vara en organisation som deltar i skölden för skydd av personuppgifter och måste inte ha utsett en oberoende instans för handläggning av klagomål. En organisation som deltar i skölden måste ingå ett avtal med den mottagande tredje partens personuppgiftsansvarige som ger samma skyddsnivå som enligt skölden. Kravet att den mottagande personuppgiftsansvarige ska vara en organisation som deltar i skölden för skydd av personuppgifter och att den ska utse en oberoende instans för handläggning av klagomål gäller dock inte, på villkor att tredje parten tillhandahåller en motsvarande instans.

11.   Tvistlösning och genomförande

a.   Kraven för genomförandet av skölden för skydd av privatlivet fastställs i principerna om rättsmedel, genomförande och ansvar. Hur kraven som uppställs i principens punkt a.ii ska uppfyllas framgår av den kompletterande principen om kontroll. Denna kompletterande princip omfattar punkterna a.i och a.iii, som båda innehåller krav på oberoende instanser för handläggning av klagomål. Dessa instanser kan ha olika former men de måste uppfylla kraven enligt principen om rättsmedel, genomförande och ansvar. Organisationerna kan uppfylla kraven på något av följande sätt: i) Den kan följa ett program för integritetsskydd som utarbetats inom den privata sektorn och i vilket sköldens principer inlemmats. I programmet ska det ingå effektiva metoder för kontroll av efterlevnaden av det slag som beskrivs i principen om rättsmedel, genomförande och ansvar. ii) Den kan förbinda sig att rätta sig efter lagstadgade tillsynsmyndigheter eller andra offentliga tillsynsorgan som handlägger individuella klagomål och tillhandahåller tvistlösning. iii) Den kan förbinda sig att samarbeta med dataskyddsmyndigheter inom Europeiska unionen eller deras bemyndigade ombud.

b.   Denna förteckning är inte ämnad att vara uttömmande utan snarare belysande. Den privata sektorn kan utarbeta andra metoder för genomförande, förutsatt att de uppfyller kraven enligt principen om rättsmedel, genomförande och ansvar samt de kompletterande principerna. Observera att de villkor som anges i principen om rättsmedel, genomförande och ansvar gäller utöver kravet om att tvistlösningsmodeller ska tillhandahålla lösningar som kan verkställas enligt avsnitt 5 i Federal Trade Commission Act, som förbjuder illojala och bedrägliga handlingar, eller liknande regelverk som förbjuder sådana handlingar.

c.   För att säkerställa överensstämmelse med sina åtaganden gentemot skölden för skydd av privatlivet och för att stödja förvaltningen av programmet måste organisationerna och deras oberoende instanser för handläggning av klagomål lämna information om skölden på ministeriets begäran. Organisationerna måste dessutom på lämpligt sätt via informationsavdelningen besvara klagomål rörande överensstämmelse med principerna som hänskjuts av dataskyddsmyndigheterna via ministeriet. I svaret bör organisationerna ange om klagomålet är berättigat och om så är fallet, hur organisationen kommer att rätta till problemet. Ministeriet kommer att skydda sekretessen för den information det mottar i enlighet med amerikansk lag.

d.   Instanser för handläggning av klagomål

e.   Gottgörelse och påföljder

Gottgörelse som ett organ för tvistlösning beslutat om ska leda till att de negativa effekter som blivit följden av att reglerna inte efterlevts i möjligaste mån rättas till av den ansvariga organisationen och att all behandling av personuppgifter i framtiden sker i överensstämmelse med principerna samt, i tillämpliga fall, att all behandling av personuppgifter om den person som inlämnat klagomålet kommer att upphöra. Påföljderna måste vara tillräckligt kännbara för att borga för att organisationen kommer att följa principerna i framtiden. Ett flertal olika sanktionsmöjligheter av varierande svårighetsgrad kommer att göra det möjligt för organet för tvistlösning att välja en rimlig påföljd beroende på hur allvarligt fallet är. Det kan röra sig om offentliggörande av konstateranden om att organisationen inte följt principerna och om kravet att radera berörda uppgifter (6). Andra tänkbara påföljder är upphävande av organisationens status som ansluten till principerna, skadestånd för personer som drabbats av att reglerna inte efterlevts eller förbudsförelägganden. Privata organ för tvistlösning eller självreglering ska anmäla fall där en organisation som är ansluten till skölden underlåter att rätta sig efter deras beslut till domstol eller i förekommande fall de statliga myndigheter som är behöriga att fatta beslut i ärendet samt att även informera ministeriet.

f.   Åtgärder från FTC:s sida

FTC har förbundit sig att göra en förhandsprövning av mottagna klagomål rörande bristande efterlevnad av principerna enligt i) organ för självreglering på integritetskyddets område och andra oberoende tvistlösningsorgan, ii) EU-medlemsstater, och iii) ministeriet, för att fastlägga om avsnitt 5 i FTC-lagen, som förbjuder illojala och bedrägliga handlingar eller metoder, har överträtts. Om FTC har skäl att anta att det har skett en överträdelse av avdelning 5, kan myndigheten utverka ett förvaltningsbeslut som förbjuder de handlingar som klagomålet avser eller inge ett klagomål till den federala underrätten, som kan resultera i ett federalt domstolsbeslut. Detta omfattar falska påståenden om anslutning till sköldens principer eller deltagande i skölden som framförs av organisationer som antingen inte längre är upptagna på förteckningen över organisationer som anslutit sig till skölden eller aldrig har lämnat in en självcertifiering till ministeriet. Konkurrensmyndigheten kan utverka böter för överträdelse av ett förvaltningsbeslut eller inleda civilrättsliga eller straffrättsliga förhandlingar om överträdelse av ett federalt domstolsbeslut. Konkurrensmyndigheten underrättar ministeriet om varje sådan åtgärd. Ministeriet anmodar andra statliga myndigheter att meddela ministeriet det slutliga avgörandet i varje sådant hänskjutet ärende liksom andra beslut och domar som gäller efterlevnad av sköldens principer.

g.   Upprepad överträdelse av principerna

12.   Valmöjlighet – Tidsfrister när man undanber sig direktmarknadsföring

13.   Reseinformation

14.   Farmaceutiska och medicinska produkter

a.   Tillämpning av EU-medlemsstaternas lagstiftning eller sköldens principer

EU-medlemsstaternas lagstiftning tillämpas vid insamling av personuppgifter och vid all den bearbetning, som äger rum före överförandet till Förenta staterna. Sköldens principer tillämpas på uppgifterna först sedan de överförts till Förenta staterna. Uppgifter som används för läkemedelsforskning eller för andra ändamål ska när så befinns lämpligt avidentifieras.

b.   Kommande vetenskaplig forskning

c.   Tillbakadragande från ett kliniskt försök

Deltagare får när som helst besluta sig för eller uppmanas att dra sig ur ett kliniskt försök. Alla personuppgifter som samlats in före utträdet får emellertid fortsätta att bearbetas tillsammans med de övriga uppgifter som insamlats för användning i det kliniska försöket, om detta klargjordes för deltagaren i meddelandet då han/hon samtyckte till att delta.

d.   Överföringar för kontroll- och övervakningsändamål

Läkemedels- och sjukvårdsutrustningsföretag har tillstånd att lämna personuppgifter från kliniska försök som genomförts i EU till tillsynsmyndigheter i Förenta staterna för kontroll- och övervakningsändamål. Liknande överföringar till andra intresserade än tillsynsmyndigheter, såsom produktionsanläggningar och övriga forskare, är tillåten enligt principerna om meddelande och valmöjlighet.

e.   Blindtest

f.   Produktsäkerhet och effektivitetskontroll

Läkemedels- eller sjukvårdsutrustningsföretag måste inte tillämpa sköldens principer när det gäller principerna om meddelande, ansvar för vidare överföring och tillgång i sin strävan efter produktsäkerhet och effektivitetskontroll, inklusive rapporter om negativa effekter och spårande av patienter/försökspersoner som använder vissa mediciner eller viss medicinsk utrustning, om anslutningen till principerna inverkar på efterlevnaden av lagstadgade krav. Detta gäller både rapporter från t.ex. sjukvårdsproducenter till läkemedels- och sjukvårdsutrustningsföretag och rapporter från läkemedels- och sjukvårdsutrustningsföretag till regeringsorgan som Food and Drug Administration.

g.   Kodade uppgifter

Forskningsrön kodas alltid inledningsvis av ansvarig forskningsledare för att enskilda försökspersoners identitet inte ska avslöjas. De läkemedelsföretag som sponsrar sådan forskning får inte tillgång till kodnyckeln. Den enda kodnyckeln finns endast hos forskaren, för att han eller hon under vissa omständigheter ska kunna identifiera försökspersonen (t.ex. om medicinsk uppföljning erfordras). En överföring från EU till Förenta staterna av uppgifter som kodats på detta sätt utgör inte en överföring av personuppgifter som omfattas av sköldens principer.

15.   Offentliga register och allmänt tillgängliga uppgifter

16.   Ansökningar om åtkomst från offentliga myndigheter

(1)  Under förutsättning att kommissionens beslut om huruvida ett adekvat skydd säkerställs genom skölden för skydd av privatlivet i EU och Förenta staterna gäller för Island, Liechtenstein och Norge kommer skölden för skydd av privatlivet att omfatta både EU och dessa tre länder. Därför kommer hänvisningarna till EU och dess medlemsstater tolkas som att de även inbegriper Island, Liechtenstein och Norge.

(2)  Exempel på förenliga ändamål för behandling kan, beroende på omständigheterna, inbegripa sådana som skäligen kan gynna kundrelationerna, efterlevnad och rättsliga aspekter, revision, säkerhet och bedrägeribekämpning, bevarande eller försvar av organisationens juridiska rättigheter, eller andra ändamål som överensstämmer med en omdömesgill persons förväntningar mot bakgrund av insamlingens sammanhang.

(3)  Om en enskild person i detta sammanhang rimligen kan identifieras av organisationen, eller en tredje part om den skulle ha tillgång till uppgifterna, är den enskilde, med tanke på de metoder för identifiering som rimligen kan komma att användas (med beaktande av bland annat kostnaderna och tidsåtgången för identifiering och den tillgängliga tekniken vid tidpunkten för behandlingen) och i vilken form uppgifterna lagras, att betraktas som ”identifierbar”.

(4)  Organisationen bör besvara frågor från enskilda om ändamålen med behandlingen, de berörda personuppgiftskategorierna och mottagarna eller mottagarkategorierna till vilka personuppgifterna utlämnas.

(5)  Avsnitt I.5 av principerna

(6)  Organen för tvistlösning kan själva välja de påföljder de anser rimliga. De berörda uppgifternas känslighet är ett kriterium som bör beaktas vid bedömningen av om uppgifterna behöver raderas. Ett annat kriterium är om en organisation har samlat in, använt eller publicerat information på ett sätt som uppenbart strider mot sköldens principer.

BILAGA III

7 juli 2016

Bästa kommissionsledamot Jourová,

Det gläder mig att vi har nått en överenskommelse om skölden för skydd av privatlivet i Europeiska unionen och Förenta staterna. Den kommer att omfatta en ombudsman, genom vilken myndigheter i EU kan lämna in förfrågningar från enskilda personer i EU beträffande Förenta staterna:s signalspaningsmetoder.

Den 17 januari 2014 tillkännagav president Obama viktiga reformer av den amerikanska underrättelseverksamheten som fastställdes i Presidential Policy Directive 28 (nedan kallat PPD-28). Enligt PPD-28 har jag utsett statssekreterare Catherine A. Novelli, chefssamordnare för internationell it-diplomati, som vår kontaktpunkt för utländska regeringar som vill ta upp frågor angående Förenta staterna:s signalspaningsverksamhet. Utifrån detta har jag inrättat en ombudsmannapost i enlighet med de villkor som anges i bilaga A, som har uppdaterats sedan min senaste skrivelse av den 22 februari 2016. Jag har beslutat att undersekreterare Novelli ska inneha denna funktion. Undersekreterare Novelli är oberoende gentemot den amerikanska Förenta staterna:s underrättelsegemenskapen och rapporterar direkt till mig.

Jag har gett anvisningar åt min personal om att ägna nödvändiga resurser åt ombudsmannaposten, och jag är övertygad om att ombudsmannen kommer att bli en effektiv kanal för att behandla frågor från enskilda personer i EU.

BILAGA IV

7 juli 2016

VIA E-POST

Bästa kommissionär Jourová,

Förenta staterna:s federala konkurrensmyndighet (FTC) uppskattar detta tillfälle ett beskriva hur den genomför den nya skölden för skydd av privatlivet i EU och Förenta staterna (nedan kallad skölden för skydd av privatlivet eller ramen). Vi anser att skölden för skydd av privatlivet kommer att spela en avgörande roll för att underlätta integritetsskyddade affärsmässiga transaktioner i en alltmer sammankopplad värld. Tack vare skölden kommer företag att kunna bedriva omfattande verksamhet i den globala ekonomin, samtidigt som man säkerställer att EU-konsumenternas integritetsskydd förblir starkt. FTC har länge arbetat för integritetsskydd över gränserna och genomförandet av den nya ramen kommer att vara en viktig prioritering. Nedan följer en redogörelse för konkurrensmyndighetens starka åtagande för integritetsskydd i allmänhet, inklusive vårt genomförande av det ursprungliga safe harbor-programmet, samt ministeriets genomförandestrategi för den nya ramen.

Konkurrensmyndigheten gjorde ett offentligt åtagande om att genomföra safe harbor-programmet för första gången 2000. Vid den tidpunkten skickade myndighetens ordförande Robert Pitofsky en skrivelse till Europeiska kommissionen med en redogörelse för ministeriets åtagande att noggrant genomföra safe harbor-principerna. Konkurrensmyndigheten har fullgjort detta åtagande genom nästan 40 verkställighetsåtgärder, ett stort antal ytterligare utredningar och samarbete med enskilda dataskyddsmyndigheter i EU om frågor av ömsesidigt intresse.

Efter det att Europeiska kommissionen i november 2013 uttryckte farhågor om förvaltningen och genomförandet av safe harbor-programmet inledde konkurrensministeriet och handelsministeriet samråd med tjänstemän från Europeiska kommissionen för att undersöka möjliga sätt att förstärka genomförandet. Medan samråden pågick utfärdade EU-domstolen den 6 oktober 2015 ett beslut i Schrems-målet, som bland annat ogiltigförklarade Europeiska kommissionens beslut om adekvat skyddsnivå för safe harbor-programmet. Efter beslutet fortsatte vi att arbeta nära med handelsministeriet och Europeiska kommissionen i en ansträngning för att stärka integritetsskyddet för enskilda personer i EU. Skölden för skydd av privatlivet är resultatet av dessa pågående förhandlingar. Såsom var fallet med safe harbor-programmet åtar sig FTC härmed att noggrant genomföra den nya ramen. Denna skrivelse formaliserar detta åtagande.

Vi bekräftar särskilt våra åtaganden inom följande fyra centrala områden: 1) Prioritera hänskjutanden och utredningar, 2) hantera falska och bedrägliga påståenden om medlemskap i skölden, 3) fortsatt ordningsövervakning. och 4) ökat engagemang och tillsynssamarbete med EU:s dataskyddsmyndigheter. Nedan följer en närmare beskrivning av dessa åtaganden och relevant bakgrundsinformation om FTC: s roll för att skydda konsumenternas integritet och genomföra safe harbor samt en allmän beskrivning av hur integritetsskyddet fungerar i Förenta staterna (1).

I.   BAKGRUND

A.   FTC:s GENOMFÖRANDE AV INTEGRITETSSKYDDET OCH DESS POLITISKA ARBETE

FTC har en omfattande civilrättslig behörighet att främja konsumentskydd och konkurrens på det kommersiella området. Som en del av sitt uppdrag på konsumentskyddsområdet upprätthåller FTC en rad olika lagar för att skydda konsumentuppgifters integritet. Enligt FTC-lagen, den primärlagstiftning som upprätthålls av FTC, förbjuds ”illojala” och ”bedrägliga” handlingar eller metoder i eller som påverkar handeln (2). Bedrägligt är en handling, ett utelämnande eller en metod som på ett konkret sätt antas kunna vilseleda förnuftiga konsumenter (3). En metod är illojal om den framkallar, eller kan antas framkalla, väsentlig skada för konsumenter och skadan varken går att undvika på ett rimligt sätt eller uppvägs av fördelar för konsumenterna eller för konkurrensen (4). FTC genomför också särskilda lagar om skydd av information beträffande hälsa, krediter och andra finansiella frågor samt information om barn på nätet, och har utfärdat genomförandeföreskrifter för varje lag.

FTC: s behörighet enligt FTC-lagen gäller frågor ”i eller som påverkar handeln”. FTC är inte behörigt för verkställighetsåtgärder på det straffrättsliga området eller för nationella säkerhetsfrågor. Ministeriet är inte heller behörigt för de flesta andra regeringsåtgärder. Dessutom finns det undantag från FTC behörighet för affärsverksamhet, bland annat beträffande banker, flygbolag, försäkringsbranschen och gemensamma transportverksamheter som bedrivs av telekomleverantörer. FTC är inte heller behörigt för de flesta ideella organisationer, men däremot för falsk välgörenhet eller andra organisationer som faktiskt bedriver sin verksamhet i vinstsyfte. FTC är också behörigt för ideella organisationer som drivs i vinstsyfte för deras vinstdrivande medlemmar, bland annat genom att ge betydande ekonomiska fördelar till dessa medlemmar (5). I vissa fall har FTC parallell behörighet med andra brottsbekämpande organ.

Vi har utvecklat starka arbetsrelationer med federala och statliga myndigheter och har ett nära samarbete med dem för att samordna utredningar eller hänskjuta ärenden om så är nödvändigt.

Verkställighet utgör grunden för FTC:s strategi för integritetsskydd. Hittills har FTC tagit upp över 500 ärenden rörande integritetsskydd för konsumentinformation. Ärendena omfattar både offline- och onlineinformation och FTC har bland annat vidtagit verkställighetsåtgärder mot både och stora företag till följd av påståenden om att de inte hanterat känslig konsumentinformation på lämpligt sätt, inte har skyddat konsumenters personuppgifter, att de har spårat konsumenter online på ett bedrägligt sätt, skickat skräppost till konsumenter, installerat spionprogram eller andra sabotageprogram på konsumenters datorer, överträtt regeln om att inte ringa kunder som spärrat sina telefonnummer mot oönskade telefonsamtal och andra telekomregler samt på ett olämpligt sätt samlat in och utbytt konsumentinformation på mobila anordningar. FTC:s brottsbekämpande åtgärder – både i den fysiska och den digitala världen – utgör ett viktigt budskap till företagen om behovet av att skydda konsumenternas integritet.

FTC har också genomfört flera politiska initiativ för att öka konsumenternas integritetsskydd och informera om sitt arbete med att genomdriva reglerna. FTC har stått värd för seminarier och har utfärdat rapporter med rekommendationer om bästa praxis för att främja integritetsskyddet i det mobila ekosystemet, öka insynen i uppgiftsförmedlingsbranschen, maximera fördelarna med stordata och samtidigt begränsa riskerna, särskilt för konsumenter med låg inkomst och missgynnade konsumenter, samt genom att lyfta fram integritets- och säkerhetsföljderna av bland annat ansiktsigenkänning och sakernas internet.

FTC engagerar sig även i upplysningskampanjer som riktas mot konsumenter och företag för att öka effekterna av sitt arbete och politiska initiativ. FTC har använt olika verktyg – publikationer, onlineresurser, seminarier och sociala medier – för att tillhandahålla utbildningsmaterial om många olika frågor, bland annat mobilappar, skydd av barns integritet och datasäkerhet. Nyligen lanserade FTC sitt initiativ ”Start With Security”, med ny vägledning för företag som bygger på tidigare erfarenheter av myndighetens datasäkerhetsärenden samt en rad seminarier landet runt. FTC har dessutom länge varit ledande i konsumentutbildning om grundläggande datorsäkerhet. Förra året hade vår webbplats OnGuard Online och dess spanska motsvarighet, Alerta en Línea, mer än 5 miljoner sidvisningar.

B.   Förenta staterna:s rättsliga skyddsmekanismer till förmån för konsumenter i EU

Skölden kommer att ingå i Förenta staterna:s allmänna integritetsskyddsram, som skyddar EU-konsumenter på en rad olika sätt.

FTC-lagens förbud mot illojala och bedrägliga handlingar eller metoder begränsas inte till att skydda amerikanska konsumenter från amerikanska företag, eftersom den omfattar metoder som 1) orsakar eller sannolikt kan orsaka förutsebar skada i Förenta staterna, eller 2) omfattar faktiskt bedrägligt beteende i Förenta staterna. FTC kan dessutom använda alla tillgängliga rättsmedel, inklusive upprättelse, för skydd av inhemska konsumenter när de skyddar utländska konsumenter.

FTC:s brottsbekämpande arbete gynnar både amerikanska och utländska konsumenter avsevärt. FTC:s ärenden om verkställande av avsnitt 5 i FTC-lagen har skyddat både inhemska och utländska konsumenters integritet. I ett ärende mot informationsförmedlaren Accusearch hävdade FTC att företagets försäljning av konfidentiella telefonregister till tredje parter utan konsumenternas vetskap eller samtycke utgjorde en illojal affärsmetod som strider mot avsnitt 5 i FTC-lagen. Accusearch sålde information om både amerikanska och utländska konsumenter (6). Domstolen beviljade föreläggande mot Accusearch, bland annat med ett förbud mot att marknadsföra eller sälja konsumenters personuppgifter utan skriftligt samtycke om inte uppgifterna lagligen erhållits från allmänt tillgänglig information, och beslutade om återbetalning på nästan 200 000 US-dollar (7).

FTC:s uppgörelse med TRUSTe är ett annat exempel. Den säkerställer att konsumenter, även i EU, kan förlita sig på utfästelser som en global självreglerande organisation gör om sin granskning och certifiering av inhemska och utländska onlinetjänster (8). Våra åtgärder mot TRUSTe stärker dessutom det självreglerande systemet för integritetsskydd mer allmänt, genom att säkerställa att enheter som spelar en viktig roll i självreglerande system, inklusive gränsöverskridande ramar, blir ansvarsskyldiga.

FTC upprätthåller även andra riktade lagar som skyddar konsumenter utanför Förenta staterna, t.ex. lagen om integritetsskydd för barn online (nedan kallad COPP-lagen). Enligt denna lag krävs bland annat att operatörer av webbplatser och onlinetjänster som vänder sig till barn eller webbplatser med allmän publik som vet att de inhämtar personuppgifter från barn under 13 års ålder ska innehålla meddelanden till föräldrar och att föräldrarnas kontrollerbara samtycke ska inhämtas. Förenta staterna-baserade webbplatser och tjänster som omfattas av COPP-lagen och samlar in personuppgifter om utländska barn är skyldiga att följa lagen. Utrikesbaserade webbplatser och onlinetjänster måste också uppfylla lagen om de riktas till barn i Förenta staterna eller om de vet att de inhämtar personuppgifter från barn i Förenta staterna. Förutom de amerikanska federala lagar som upprätthålls av FTC kan vissa andra federala och statliga konsument- och integritetsskyddslagar ge ytterligare fördelar för konsumenter i EU.

C.   Genomförandet av safe harbor

Som en del av sitt integritets- och skyddsprogram har FTC även strävat efter att skydda EU-konsumenter genom att vidta verkställighetsåtgärder vid överträdelser av safe harbor-principerna. FTC har vidtagit 39 verkställighetsåtgärder: 36 falska certifieringspåståenden, och tre ärenden – mot Google, Facebook och Myspace – som rör påstådda brott mot safe harbor-principerna om integritetsskydd (9). Dessa ärenden visar verkställbarheten av certifieringar och återverkningar vid bristande efterlevnad. Beslut om att man måste vara 20 år för att kunna lämna sitt samtycke kräver att Google, Facebook och Myspace genomför omfattande integritetsskyddsprogram som måste vara rimligt utformade för att hantera risker för integritetsskyddet i samband med utveckling och drift av nya och befintliga produkter och tjänster och för att skydda integriteten och sekretessen för personuppgifter. De omfattande integritetsskyddsprogram som krävs enligt dessa avgöranden innehåller bestämmelser om att företagen måste identifiera förutsebara materiella risker och genomföra kontroller för att hantera sådana risker. Företagen måste också göra fortlöpande oberoende bedömningar av sina integritetsskyddsprogram, som ska lämnas in till FTC. Enligt avgörandena är företagen dessutom förbjudna att ge en missvisande bild av sina integritetsskyddsmetoder och sitt eventuella deltagande i integritets- eller säkerhetsprogram. Detta förbud skulle även gälla företagens handlingar och metoder enligt den nya skölden för skydd av privatlivet. FTC kan verkställa dessa avgöranden genom att yrka på civilrättsliga påföljder. Faktum är att Google betalade ett rekordhögt vite på 22,5 miljoner US-dollar 2012 för att frigöra sig från påståenden om att företaget hade brutit mot dess avgörande. Dessa FTC-avgöranden bidrar således till att skydda över en miljard konsumenter i hela världen, varav hundratals miljoner bor i Europa.

De ärenden som FTC har drivit har även inriktats på falska, bedrägliga eller missvisande påståenden om deltagande i safe harbor. FTC tar sådana påståenden på allvar. I målet FTC mot Karnani väckte FTC t.ex. talan 2011 mot en internetmarknadsförare i Förenta staterna för att personen och dennes företag lurade brittiska konsumenter att tro att företaget var baserat i Storbritannien, bland annat genom att använda domännamn med.uk och hänvisa till den brittiska valutan och det brittiska postsystemet (10). När konsumenterna fick produkterna upptäckte de dock att de måste betala oväntade importtullar, att garantierna inte var giltiga i Storbritannien och att de måste betala avgifter för att få ersättning. FTC hävdade också att de svarande vilseledde konsumenterna när det gällde företagets deltagande i safe harbor-programmet. Alla konsumenter som föll offer för detta företag fanns i Storbritannien.

Många av våra andra verkställighetsärenden i fråga om safe harbor omfattade organisationer som hade anslutit sig till safe harbor men inte förnyade sin certifiering, samtidigt som de utgav sig för att vara medlemmar. Såsom diskuteras närmare nedan åtar sig FTC även att behandla falska påståenden om deltagande i skölden för skydd av privatlivet. Dessa strategiska verkställighetsåtgärder kommer att komplettera handelsministeriets utökade åtgärder för att kontrollera efterlevnaden av programmets krav på certifiering och återcertifiering, dess övervakning av att reglerna efterlevs på ett effektivt sätt, bland annat genom frågeformulär till organisationer som deltar i skölden, och ministeriets ökade insatser för att identifiera falska påståenden om medlemskap och missbruk av eventuell certifieringsmärkning (11).

II.   PRIORITERINGAR AVSEENDE HÄNSKJUTANDEN OCH UTREDNINGAR

Precis som med safe harbor-programmet åtar sig FTC att prioritera hänskjutanden avseende skölden för skydd av privatlivet från EU-medlemsstater. Vi kommer även att prioritera hänskjutanden om bristande efterlevnad av självreglerande riktlinjer rörande skölden för skydd av privatlivet från organ för självreglering på integritetskyddets område och andra oberoende tvistlösningsorgan.

För att underlätta hänskjutanden från EU-medlemsstater enligt ramen arbetar FTC med att ta fram ett standardiserat förfarande för hänskjutanden och kommer också att ge vägledning till EU-medlemsstaterna om den typ av information som bäst hjälper FTC att utreda ett hänskjutande. Som ett led i detta arbete kommer FTC att utse en kontaktpunkt hos myndigheten som kommer att ansvara för hänskjutanden från EU-medlemsstaterna. Det är till mycket stor hjälp om den hänskjutande myndigheten har gjort en preliminär utredning av den påstådda överträdelsen och kan samarbeta med FTC i utredningen.

När ett hänskjutande mottas från en EU-medlemsstat eller en självreglerande organisation kan FTC vidta en rad olika åtgärder för att utreda de frågor som tas upp. FTC kan t.ex. granska det berörda företagets integritetsskyddspolicy, inhämta ytterligare information direkt från företaget eller från tredje parter, följa upp ärendet med den hänskjutande myndigheten, bedöma om det finns ett mönster av överträdelser eller om ett betydande antal konsumenter påverkas, fastställa om hänskjutandet berör frågor som omfattas av handelsministeriets behörighetsområde, i förekommande fall bedöma om upplysningskampanjer riktade till konsumenter och företag skulle vara användbara samt inleda verkställighetsförfaranden.

FTC förbinder sig också att utbyta information om hänskjutanden med hänskjutande myndigheter, bland annat om status för hänskjutanden, enligt lagar och begränsningar om sekretess. I den utsträckning det är möjligt med tanke det antal och de typer av hänskjutanden som mottas kommer den information som lämnas att inbegripa en utvärdering av de hänskjutna frågorna, bland annat en beskrivning av viktiga punkter och eventuella åtgärder som vidtagits för att hantera lagöverträdelser som faller inom FTC:s behörighetsområde. FTC kommer också att ge återkoppling till den hänskjutande myndigheten om de typer av hänskjutanden som mottas. Syftet är att öka effektiviteten i de åtgärder som vidtas för att hantera olagligt beteende. Om en hänskjutande myndighet söker information om statusen för ett visst hänskjutande för att själv inleda ett verkställighetsförfarande kommer FTC att besvara sådana förfrågningar, dock med hänsyn till antalet hänskjutanden under behandling och sekretesskrav och andra lagstadgade krav.

FTC kommer också att föra ett nära samarbete med dataskyddsmyndigheter i EU för att hjälpa till med deras verkställighetsåtgärder. I lämpliga fall skulle detta kunna omfatta informationsutbyte och hjälp med utredningar som genomförs enligt U.S. Safe WEB Act, enligt vilken FTC får bistå utländska brottsbekämpande myndigheter om den utländska myndigheten verkställer lagar som förbjuder metoder som väsentligen liknar de förfaranden som är förbjudna enligt de lagar som FTC verkställer (12). Som ett led i detta stöd kan FTC utbyta information som erhållits i samband en FTC-utredning, utfärda beslut om obligatoriska vittnesmål för en EU-dataskyddsmyndighets räkning som genomför sin egen utredning och inhämta muntliga vittnesmål från vittnen eller svarande i samband med dataskyddsmyndighetens verkställighetsförfaranden enligt kraven i U.S. Safe WEB Act. FTC utövar regelbundet denna befogenhet för att hjälpa andra myndigheter i världen med integritets- och konsumentskyddsmål (13).

Förutom att prioritera hänskjutanden i fråga om skölden från EU-medlemsstater och organ för självreglering på integritetskyddets område (14), förbinder FTC sig att i förekommande fall utreda eventuella överträdelser av ramen på eget initiativ med hjälp av ett antal olika verktyg.

FTC har haft ett effektivt program för utredning av integritetsskydds- och säkerhetsfrågor i samband med kommersiella organisationer i över ett årtionde. Som en del av dessa utredningar har FTC rutinmässigt undersökt om organisationen i fråga gjorde utfästelser om deltagande i safe harbor. Om organisationen gjorde sådana utfästelser och utredningen avslöjade uppenbara överträdelser av safe harbor-principerna inbegrep FTC i sådana fall överträdelser av safe harbor i sina verkställighetsåtgärder. Vi kommer att fortsätta att tillämpa denna proaktiva strategi enligt den nya ramen. FTC genomför dessutom många utredningar som inte leder till offentliga verkställighetsåtgärder. Många FTC-utredningar avslutas eftersom personalen inte kan påvisa en uppenbar lagöverträdelse. Eftersom FTC:s utredningar inte är offentliga och dessutom är sekretessbelagda händer det ofta att avslutandet av en utredning inte offentliggörs.

De nästan 40 verkställighetsåtgärder i fråga om safe harbor-programmet som inleddes av FTC är ett uttryck för myndighetens åtagande att proaktivt verkställa gränsöverskridande integritetsskyddsprogram. FTC kommer att kontrollera eventuella överträdelser av skölden som ett led i sina regelbundna integritets- och säkerhetsutredningar.

III.   HANTERA FALSKA ELLER BEDRÄGLIGA PÅSTÅENDEN OM MEDLEMSKAP I SKÖLDEN FÖR SKYDD AV PRIVATLIVET

Såsom anges ovan kommer FTC att vidta åtgärder mot organisationer som ger missvisande information om sitt deltagande i skölden. FTC kommer att prioritera hänskjutanden från handelsministeriet som rör fall där ministeriet har konstaterat att organisationer påstår att de är medlemmar i skölden eller använder sköldens certifieringsmärkning utan tillstånd.

FTC konstaterar dessutom att om en organisation i sin integritetsskyddspolicy utlovar att den följer sköldens principer och inte registrerar sig eller omregistrerar sig hos handelsministeriet kommer detta sannolikt inte i sig själv att undanta organisationen från verkställighetsåtgärder från FTC:s sida för att genomdriva åtagandena enligt skölden.

IV.   ÖVERVAKNING AV BESLUT

FTC bekräftar även sitt åtagande att övervaka verkställighetsbeslut för att säkerställa efterlevnad av skölden för skydd av privatlivet.

FTC kommer att kräva att skölden efterlevs genom en rad lämpliga förbudsbestämmelser i framtida rambeslut från FTC. Detta omfattar förbud mot oriktiga utfästelser angående skölden och andra integritetsskyddsprogram, när dessa ligger till grund för FTC-åtgärden i fråga.

FTC:s ärenden rörande det ursprungliga safe harbor-programmet är vägledande. I de 36 ärendena om falska eller bedrägliga påståenden om deltagande i safe harbor-certifieringen förbjuder varje beslut svaranden att göra missvisande utfästelser om deltagande i safe harbor eller något annat integritetsskydds- eller säkerhetsprogram och kräver att företaget lämnar efterlevnadsrapporter till FTC. I ärenden som omfattade överträdelser av safe harbor-principerna har företagen beordrats att genomföra omfattande integritetsskyddsprogram och inhämta oberoende bedömningar från en tredje part om dessa program vartannat år under en tjugoårsperiod, som de måste lämna till FTC.

Överträdelser av FTC:s administrativa beslut kan leda till vite på upp till 16 000 US-dollar per överträdelse eller 16 000 US-dollar per dag för upprepade överträdelser (15). I fall där metoderna påverkar många konsumenter kan beloppet uppgå till miljontals dollar. Varje förordnande omfattar även rapporterings- och efterlevnadskrav. Organisationer som omfattas av ett förordnande måste bevara dokument som visar deras efterlevnad under ett angivet antal år. Förordnandena måste också spridas till anställda som ansvarar för att säkerställa att de efterlevs.

Precis som alla förordnanden övervakar FTC systematiskt efterlevnaden av safe harbor-förordnanden. FTC tar verkställandet av sina förordnanden om integritetsskydd och uppgiftssäkerhet på allvar, och vidtar åtgärder för att verkställa dem om så behövs. Såsom anges ovan betalade t.ex. Google ett vite på 22,5 miljoner US-dollar för att frigöra sig från påståenden om att företaget hade brutit mot sitt FTC-förordnande. FTC kommer genom sina förordnanden att fortsätta att skydda alla konsumenter i världen som samverkar med ett företag, inte bara konsumenter som inger klagomål.

Slutligen kommer FTC att föra en onlineförteckning över företag som omfattas av förordnanden i samband med genomförandet av både safe harbor-programmet och den nya skölden för skydd av privatlivet (16). När ett företag blir föremål för ett rättsligt avgörande från FTC eller en domstol på grundval av bristande efterlevnad av principerna ska det, enligt principerna för skölden för skydd av privatlivet, nu dessutom offentliggöra alla avsnitt i efterlevnads- eller bedömningsrapporter som berör skölden som har lämnats in till FTC, i den utsträckning detta är förenligt med lagar och regler om sekretess.

V.   SAMARBETE MED DATASKYDDSMYNDIGHETER I EU OCH OM VERKSTÄLLIGHETSÅTGÄRDER

FTC bekräftar den viktiga roll som dataskyddsmyndigheter i EU spelar för efterlevnaden av skölden för skydd av privatlivet, och uppmuntrar till ökat samarbete när det gäller samråd och genomförande. Förutom eventuella samråd med hänskjutande dataskyddsmyndigheter om ärendespecifika frågor förbinder sig FTC att delta i regelbundna möten med de utsedda företrädarna för artikel 29-arbetsgruppen för att diskutera hur det brottsbekämpande samarbetet inom ramen för skölden kan förbättras i allmänhet. FTC kommer också, tillsammans med handelsministeriet, Europeiska kommissionen och företrädarna för artikel 29-arbetsgruppen, att delta i den årliga översynen av skölden för att diskutera dess genomförande.

FTC uppmuntrar även framtagandet av verktyg för att förbättra samarbetet om genomförandet av skölden med dataskyddsmyndigheter i EU samt andra myndigheter med ansvar för integritetsskydd i världen. Tillsammans med berörda verkställande myndigheter i EU och i världen lanserade FTC förra året ett system för tidig varning inom ramen för Global Privacy Enforcement Network (nedan kallat GPEN), i syfte att utbyta information om utredningar och främja samordning av brottsbekämpande åtgärder. GPEN-systemet för tidig varning kan vara särskilt användbart inom ramen för skölden för skydd av privatlivet. FTC och EU:s dataskyddsmyndigheter kan använda systemet för att samordna utredningar inom ramen för skölden och andra utredningar rörande integritetsskydd, och använda det som en utgångspunkt för informationsutbyte för att skapa ett samordnat och mer effektivt integritetsskydd för konsumenterna. Vi ser fram emot att fortsätta samarbetet med de deltagande EU-myndigheterna för att genomföra GPEN-systemet för tidig varning mer allmänt och utforma andra verktyg för att förbättra det brottsbekämpande samarbetet när det gäller integritetsskyddsärenden, även ärenden som rör skölden för skydd av privatlivet.

FTC bekräftar härmed sitt åtagande att genomföra den nya skölden för skydd av privatlivet. Vi ser också fram emot att fortsätta samarbetet med våra EU-kolleger när vi tillsammans arbetar för att skydda konsumenternas integritet på båda sidor av Atlanten.

(1)  Ytterligare information om Förenta staterna:s federala och delstatliga integritetslagar ges i bilaga A. Dessutom finns en sammanfattning av våra senaste integritets- och säkerhetsåtgärder på FTC:s webbplats: https://www.ftc.gov/reports/privacy-data-security-update-2015.

(2)  15 U.S.C. § 45(a).

(3)  Se FTC:s policyförklaring om bedrägeri, bifogad till Cliffdale Assocs., Inc., 103 F.T.C. 110, 174 (1984), se https://www.ftc.gov/public-statements/1983/10/ftc-policy-statement-deception.

(4)  Se 15 U.S.C § 45(n); FTC policyförklaring om illojala metoder, bifogad till Int'l Harvester Co., 104 F.T.C. 949, 1070 (1984), se https://www.ftc.gov/public-statements/1980/12/ftc-policy-statement-unfairness.

(5)  Se California Dental Ass'n v. FTC, 526 U.S. 756 (1999).

(6)  Se Den kanadensiska dataskyddsombudsmannens kontor, klagomål enligt Pipeda mot Accusearch, Inc., verksamt som Abika.com, https://www.priv.gc.ca/cf-dc/2009/2009_009_0731_e.asp. Den kanadensiska dataskyddsombudsmannens kontor ingav en amicus curiae i överklagandet mot FTC:s åtgärd och genomförde en egen utredning, som visade att Accusearchs metoder även kränkte kanadensisk lag.

(7)  Se FTC mot Accusearch, Inc., nr 06CV015D (D. Wyo. 20 december 2007), aff'd 570 F.3d 1187 (10 Cir. (2009).

(8)  Se In the Matter of True Ultimate Standards Everywhere, Inc., nr C-4512 (F.T.C. 12 mars 2015) (beslut och avgörande), se https://www ftc.gov/system/files/documents/cases/150318trust-edo.pdf.

(9)  Se In the Matter of Google, Inc., nr C-4336 (F.T.C. 13 oktober 2011) (beslut och avgörande), se https://www.ftc.gov/news-events/press-releases/2011/03/ftc-charges-deceptive-privacy-practices-googles-rollout-its-buzz; målet Facebook, Inc., nr C-4365 (F.T.C. 27 juli 2012) (beslut och avgörande), se https://www.ftc.gov/news-events/press-releases/2012/08/ftc-approves-final-settlement-facebook; målet Myspace LLC., nr C-4369 (F.T.C. 30 augusti 2012) (beslut och avgörande), se https://www.ftc.gov/news- events/press-releases/2012/09/ftc-finalizes-privacy-settlement-myspace.

(10)  Se FTC mot Karnani, nr 2:09-cv-05276 (C.D. Cal. 20 maj 2011) (yrkat slutligt avgörande), se https://www ftc.gov/sites/default/files/documents/cases/2011/06/110609karnanistip.pdf;se även Lesley Fair, FTC Business Center Blog, Around the World in Shady Ways, http://www.business.ftc.gov/blog/2011/06/around-world-shady-ways (9 juni 2011).

(11)  Skrivelse från Ken Hyatt, tillförordnad statssekreterare för internationell handel, International Trade Administration, till Věra Jourová, kommissionsledamot med ansvar för rättsliga frågor, konsumentfrågor och jämställdhet.

(12)  När FTC beslutar om huruvida det ska utöva sin befogenhet enligt U.S. Safe WEB Act överväger det bland annat följande aspekter: ”A) Om den hänskjutande myndigheten har samtyckt till eller kommer att tillhandahålla ömsesidig hjälp till FTC, B) huruvida ett verkställande av begäran skulle skada Förenta staternas allmänintresse, och C) huruvida den hänskjutande myndighetens utredning eller verkställighetsförfarande rör handlingar eller metoder som orsakar eller sannolikt kan orsaka skada för ett betydande antal personer.” 15 U.S.C. § 46(j)(3). Denna befogenhet är inte tillämplig på upprätthållandet av konkurrenslagstiftningen.

(13)  Under budgetåren 2012–2015 utövade FTC t.ex. sin befogenhet enligt U.S. Safe WEB Act för att dela information till svar på nästan 60 förfrågningar från utländska myndigheter och utfärdade nästan 60 civilrättsliga krav på utredning (motsvarande administrativa förelägganden) för att bistå i 25 utländska utredningar.

(14)  Även om FTC inte löser eller medlar i individuella konsumentklagomål bekräftar FTC att hänskjutanden rörande skölden för skydd av privatlivet från dataskyddsmyndigheter i EU kommer att prioriteras. Dessutom använder FTC klagomål i sin konsumentkontrolldatabas, som många andra brottsbekämpande myndigheter har tillgång till, för att identifiera trender, fastställa verkställighetsprioriteringar och identifiera eventuella luckor i utredningsprioriteringarna. Enskilda i EU kan använda samma klagomålssystem som finns tillgängliga för amerikanska medborgare för att inge klagomål till FTC på http://www.ftc.gov/complaint. När det gäller individuella klagomål rörande skölden bör enskilda i EU dock inge klagomål till dataskyddsmyndigheten i sin medlemsstat eller till ett alternativt tvistlösningsorgan.

(15)  15 U.S.C. § 45(m); 16 C.F.R. § 1.98.

(16)  Se FTC, Business Center, Legal Resources, https://www.ftc.gov/tips-advice/business-center/legal-resources?type=case&field-consumer-protection-topics-tid=251.

BILAGA V

19 februari 2016

Ärende: Skölden för skydd av privatlivet i EU och Förenta staterna

Bästa kommissionär Jourová,

Förenta staternas transportministerium (Department of Transportation, nedan kallat ministeriet eller DOT) uppskattar denna möjlighet att beskriva sin roll i genomförandet av skölden för skydd av privatlivet i EU och Förenta staterna. Skölden spelar en avgörande roll för skyddet av personuppgifter som lämnas inom ramen för affärstransaktioner i en alltmer sammankopplad värld. Tack vare skölden kan företag bedriva omfattande verksamhet i den globala ekonomin, samtidigt som man säkerställer att EU-konsumenternas integritetsskydd förblir starkt.

Ministeriet gjorde ett offentligt åtagande om att genomföra safe harbor-programmet för första gången i en skrivelse till Europeiska kommissionen för över 15 år sedan. I den skrivelsen lovade ministeriet att noggrant genomföra safe harbor-principerna. Ministeriet håller fast vid detta åtagande och denna skrivelse formaliserar det åtagandet.

Ministeriet förnyar särskilt sitt åtagande inom följande centrala områden: 1) Prioritera utredningar av påstådda överträdelser av skölden om skydd för privatlivet, 2) vidta lämpliga verkställighetsåtgärder mot organisationer som gör falska eller bedrägliga utfästelser om att de är certifierade enligt skölden, och 3) övervaka och offentliggöra verkställighetsbeslut om överträdelser av skölden. Vi lämnar information om dessa åtaganden och lämpliga bakgrundsfakta om ministeriets roll i skyddet av konsumenternas integritet och genomförandet av skölden.

I.   BAKGRUND

A.   Transportministeriets behörighet på integritetsskyddets område

Ministeriet har ett starkt engagemang när det gäller att säkerställa integritetsskyddet för den information som konsumenter lämnar till flygbolag och biljettförsäljningskontor. Transportministeriets behörighet att vidta åtgärder på området stöds av artikel 49 i United States Code 41712, vilken förbjuder flygbolag och biljettförsäljningskontor att tillämpa illojala metoder eller bedrägligt beteende eller illojal konkurrens vid försäljning av lufttransporttjänster som skadar eller kan skada en konsument. Avsnitt 41 712 är utformat efter avsnitt 5 i Federal Trade Commission Act (15 U.S.C. 45). Vi tolkar denna lags bestämmelser om illojala eller bedrägliga metoder som att flygbolag eller biljettförsäljningskontor är förbjudna att 1) bryta mot villkoren i sin integritetsskyddspolicy, eller 2) att samla in eller lämna ut personuppgifter på ett sätt som strider mot allmän ordning, är omoraliskt eller orsakar konsumenten väsentlig skada som inte uppvägs av fördelar som konsumenten kan erhålla. Vi tolkar också avsnitt 41712 som ett förbud för flygbolag och biljettförsäljningskontor 1) att bryta mot regler som utfärdats av ministeriet som innebär att vissa förfaranden för integritetsskydd är illojala eller bedrägliga, eller 2) strider mot lagen om integritetsskydd för barn online (nedan kallad COPP-lagen) eller FTC:s regler som genomför COPP-lagen. Enligt federal lag har ministeriet exklusiv behörighet att reglera flygbolagens förfaranden för integritetsskydd, och den har delad behörighet med FTC när det gäller biljettförsäljningskontors förfaranden för integritetsskydd vid försäljning av flygbiljetter.

När ett flygbolag eller en försäljare av flygbiljetter offentligt förbinder sig att följa principerna för integritetsskydd enligt skölden för skydd av privatlivet har ministeriet därför rätt att använda sina lagstadgade befogenheter enligt avsnitt 41712 för att säkerställa överensstämmelse med dessa principer. Detta innebär i sin tur att när en passagerare lämnar information till ett flygbolag eller ett biljettförsäljningskontor som har förbundit sig att följa sköldens integritetsskyddsprinciper utgör bristande efterlevnad av detta åtagande från flygbolagets eller biljettförsäljningskontorets sida en överträdelse av avsnitt 41712.

B.   Metoder för verkställande

Ministeriets tillsynsenhet för luftfart (Aviation Enforcement and Proceeding) utreder och väcker åtal i ärenden enligt 49 U.S.C. 4171 2. Tillsynsenheten verkställer det lagstadgade förbudet i avsnitt 41712 mot illojala och bedrägliga metoder, vilket främst sker via förhandlingar, förbereder förbud mot fortsatt verksamhet och utarbetar beslut om bedömningar av vite. Ministeriet får främst kännedom om eventuella överträdelser via klagomål som mottas från enskilda personer, resebyråer, flygbolag samt amerikanska och utländska myndigheter. Konsumenterna kan inge klagomål om integritetsskydd mot flygbolag och biljettförsäljningskontor via ministeriets webbplats (1).

Om en rimlig och lämplig lösning inte nås i ett ärende har tillsynsenheten för luftfart befogenhet att inleda verkställighetsförfaranden med en utfrågning för att samla in bevis inför en av ministeriets förvaltningsdomare. Domaren är behörig att utfärda förbud mot fortsatt verksamhet och vite. Överträdelser av avsnitt 41712 kan innebära ett förvaltningsbeslut som förbjuder dessa handlingar och vite på upp till 27 500 US-dollar för varje överträdelse av avsnitt 41 712.

Ministeriet har inte befogenhet att besluta om skadestånd eller ersättningsbelopp till enskilda klagande. Det har dock befogenhet att godkänna uppgörelser till följd av utredningar som genomförts av tillsynsenheten för luftfart som direkt gynnar konsumenterna (t.ex. kontanter, rabattkuponger) som en kvittning av böter som annars skulle betalats till den amerikanska regeringen. Ministeriet har gjort så tidigare och kommer att kunna göra så i samband med sköldens principer när det är befogat. Upprepade överträdelser av avsnitt 41 712 som något flygbolag begår kommer också att ifrågasätta flygbolagets ”compliance disposition” som i flagranta fall kan resultera i att flygbolaget inte längre kan anses ägnat att driva flygverksamhet och kunna förlora sitt tillstånd (economic operating authority).

Hittills har ministeriet dock mottagit relativt få klagomål om påstådda överträdelser av integritetsskyddet om begåtts av biljettförsäljningskontor eller flygbolag. Om sådana klagomål inkommer utreds de enligt de principer som anges ovan.

C.   Transportministeriets rättsliga skyddsmekanismer till förmån för konsumenter i EU

Enligt avsnitt 41712 är förbudet mot illojala eller bedrägliga metoder vid lufttransport eller försäljning av flygbiljetter tillämpligt på både amerikanska och utländska flygbolag och biljettförsäljningskontor. Ministeriet vidtar ofta åtgärder mot amerikanska och utländska flygbolag med anledning av metoder som påverkar både utländska och amerikanska konsumenter om flygbolaget tillämpade metoden i fråga inom ramen för tillhandahållande av lufttransport till eller från Förenta staterna. Transportministeriet använder alla tillgängliga rättsmedel för att skydda både utländska och amerikanska konsumenter mot illojala eller bedrägliga metoder inom luftfarten som begås av reglerade enheter, och kommer så även att göra i framtiden.

När det gäller flygbolag upprätthåller ministeriet dessutom även andra riktade lagar som skyddar konsumenter utanför Förenta staterna, t.ex. COPP-lagen. Enligt denna lag krävs bland annat att operatörer av webbplatser och onlinetjänster som vänder sig till barn eller webbplatser med allmän publik som vet att de inhämtar personuppgifter från barn under 13 ska innehålla meddelanden till föräldrar och att föräldrarnas kontrollerbara samtycke ska inhämtas. Förenta staterna-baserade webbplatser och tjänster som omfattas av COPP-lagen och samlar in personuppgifter om utländska barn är skyldiga att följa lagen. Utrikesbaserade webbplatser och onlinetjänster måste också uppfylla lagen om de riktas till barn i Förenta staterna eller om de vet att de inhämtar personuppgifter från barn i Förenta staterna. Om amerikanska eller utländska flygbolag som bedriver verksamhet i Förenta staterna överträder COPP-lagen är ministeriet behörigt att vidta verkställighetsåtgärder.

II.   GENOMFÖRANDET AV SKÖLDEN FÖR SKYDD AV PRIVATLIVET

Om ministeriet mottar klagomål om påstådda överträdelser rörande flygbolag eller biljettförsäljningskontor som har valt att delta i skölden kommer det att vidta följande åtgärder för att noggrant genomföra sköldens bestämmelser:

A.   Prioritera utredningar av påstådda överträdelser

Tillsynsenheten för luftfart kommer att utreda varje klagomål om påstådda överträdelser av skölden (inklusive klagomål som mottas från dataskyddsmyndigheter i EU) och vidta verkställighetsåtgärder om det finns bevis för överträdelser. Tillsynsenheten kommer dessutom att samarbeta med FTC och handelsministeriet och prioritera utredningar av påståenden om att reglerade enheter inte följer de åtaganden om integritetsskydd som de gjort inom ramen för skölden.

När ministeriets tillsynsenhet mottar klagomål med påståenden om överträdelser av skölden kan den vidta en rad olika åtgärder inom ramen för sin utredning. Tillsynsenheten kan t.ex. granska biljettförsäljningskontorets eller flygbolagets policy för integritetsskydd, inhämta information från dem eller från tredje parter, följa upp ärendet med den hänskjutande myndigheten och bedöma om det finns ett mönster av överträdelser eller om ett avsevärt antal konsumenter påverkas. Dessutom kommer den att fastställa om ärendet rör frågor som hör till handelsministeriets eller FTC:s behörighetsområden, bedöma om upplysningskampanjer riktade till konsumenter och företag skulle vara användbara samt i förekommande fall inleda verkställighetsförfaranden.

Om ministeriet får kännedom om eventuella överträdelser av skölden som begås av biljettförsäljningskontor kommer det att samordna sina åtgärder i ärendet med FTC. Vi kommer också informera FTC och handelsministeriet om resultatet av eventuella verkställighetsåtgärder i fråga om skölden.

B.   Hantera falska eller bedrägliga påståenden om medlemskap i skölden för skydd av privatlivet

Ministeriet vidhåller sitt åtagande att utreda överträdelser av sköldens bestämmelser, inklusive falska eller bedrägliga påståenden om medlemskap i programmet. Vi kommer att prioritera hänskjutanden från handelsministeriet som rör fall där ministeriet har konstaterat att organisationer påstår att de är medlemmar i skölden eller använder sköldens certifieringsmärkning utan tillstånd.

Vi konstaterar dessutom att om en organisation i sin integritetsskyddspolicy utlovar att den följer sköldens väsentliga principer och inte registrerar sig eller omregistrerar sig hos handelsministeriet kommer detta sannolikt inte i sig själv att undanta organisationen från verkställighetsåtgärder från transportministeriets sida för att genomdriva dessa åtaganden.

C.   Övervakning samt offentliggörande av verkställighetsbeslut angående överträdelser av bestämmelserna för skölden för skydd av privatlivet

Ministeriets tillsynsenhet för luftfart vidhåller även sitt åtagande att vid behov övervaka verkställighetsbeslut för att säkerställa efterlevnad av skölden för skydd av privatlivet. Om tillsynsenheten utfärdar ett beslut om att ett flygbolag eller biljettförsäljningskontor i framtiden ska upphöra med och avstå från överträdelser av skölden för skydd av privatlivet samt av avsnitt 41712, kommer den att övervaka enhetens efterlevnad av bestämmelsen om upphörande och avstående i beslutet. Tillsynsenheten kommer dessutom att se till att beslut i ärenden som rör skölden finns tillgängliga på dess webbplats.

Vi ser fram emot ett fortsatt samarbete med våra federala partner och EU-aktörer i frågor som rör skölden för skydd av privatlivet.

Jag hoppas denna information är till nytta för er. Har ni frågor eller behöver ytterligare information står jag till ert förfogande.

(1)  http://www.transportation.gov/airconsumer/privacy-complaints.

BILAGA VI

22 februari 2016

Bäste herr Antonipillai och herr Dean,

Under de senaste två och ett halvt åren har Förenta staterna inom ramen för förhandlingarna om skölden för skydd av privatlivet i EU och Förenta staterna lämnat utförlig information om hur den amerikanska underrättelsegemenskapens signalspaningsverksamhet fungerar. Informationen rör bland annat gällande regelverk, tillsyn på flera nivåer av signalspaningsverksamheten, den omfattande insynen i dessa verksamheter och det övergripande skyddet av integriteten och de medborgerliga fri- och rättigheterna, och syftet är att hjälpa Europeiska kommissionen att avgöra om dessa skyddsmekanismer är adekvata, eftersom de rör undantaget för nationell säkerhet i sköldens principer. Detta dokument utgör en sammanfattning av den information som har lämnats.

I.   PPD-28 OCH GENOMFÖRANDET AV DEN AMERIKANSKA SIGNALSPANINGSVERKSAMHETEN

Den amerikanska underrättelsegemenskapen samlar in utländska underrättelseuppgifter på ett noggrant kontrollerat sätt och i strikt efterlevnad av amerikanska lagar. Verksamheten är föremål för tillsyn på flera nivåer, som inriktas på viktiga utländska och nationella säkerhetsprioriteringar. Den amerikanska underrättelsetjänstens insamling av underrättelseuppgifter styrs av en mosaik av lagar och politiska direktiv, inklusive den amerikanska konstitutionen, lagen om underrättelseverksamhet och övervakning utomlands (50 U.S.C. § 1801 och följande artiklar) (Foreign Intelligence Surveillance Act, nedan kallad FISA), dekret 12333 och dess genomförandeförfaranden, presidentdirektiv och ett stort antal förfaranden och riktlinjer som godkänts av FISA-domstolen och justitieministern, och som fastställer ytterligare regler som begränsar insamling, lagring, användning och spridning av utländska underrättelseuppgifter (1).

a.   Översikt av PPD 28

I januari 2014 höll president Barack Obama ett tal där han beskrev ett antal reformer av Förenta staterna:s signalspaningsverksamhet. Presidenten utfärdade också Presidential Policy Directive 28 (nedan kallat PPD-28) rörande dessa verksamheter (2). Presidenten betonade att den amerikanska signalspaningsverksamheten inte bara bidrar till att skydda vårt land och våra friheter, utan även andra länders säkerhet och friheter, även EU-medlemsstaterna, som använder information som inhämtas av de amerikanska underrättelsetjänsterna för att skydda sina egna medborgare.

I PPD-28 anges en uppsättning principer och krav som gäller för all amerikansk signalspaningsverksamhet och för alla personer, oavsett nationalitet eller plats. Lagen innehåller i synnerhet vissa krav på förfaranden förinsamling, lagring och spridning av personuppgifter om personer som inte är amerikanska medborgare och som inhämtats inom ramen för Förenta staterna:s signalspaningsverksamhet. Dessa krav anges närmare nedan, men i en sammanfattning.

Det står klar att de förfaranden och skyddsmekanismer som anges i detta dokument är tillämpliga på skölden för skydd av privatlivet. När uppgifter överförs till företag i Förenta staterna enligt skölden, i själva verket på alla sätt, kan de amerikanska underrättelsetjänsterna endast ansöka om att få tillgång till dessa uppgifter om begäran uppfyller FISA eller görs enligt en av de lagstadgade bestämmelserna i National Security Letter, som diskuteras nedan (3). Utan att varken bekräfta eller förneka medierapporter om påståenden om att den amerikanska underrättelsegemenskapen samlar in uppgifter från transatlantiska kabelanslutningar medan uppgifterna överförs till Förenta staterna vill vi förklara följande: om den amerikanska underrättelsegemenskapen skulle samla in uppgifter från transatlantiska kabelanslutningar skulle den göra detta enligt de begränsningar och garantier som anges häri, inklusive kraven i PPD-28.

b.   Begränsningar av insamlingen

I PPD-28 fastställs ett antal viktiga allmänna principer som reglerar insamlingen av uppgifter via signalspaning:

Kravet att signalspaningsverksamheten ska ”anpassas till ändamålet” rör metoderna för att samla in signalspaningsuppgifter samt vilka uppgifter som faktiskt samlas in. När underrättelsegemenskapen avgör om signalspaningsuppgifter bör samlas in måste den t.ex. överväga om andra informationskällor finns tillgängliga, inklusive diplomatiska eller offentliga källor, och prioritera insamling via dessa kanaler, när så är lämpligt och möjligt. Underrättelsegemenskapens policyer bör dessutom kräva att insamlingen när så är möjligt bör inriktas på specifika utländska underrättelsemål eller frågor genom användning av urvalsfaktorer (t.ex. specifika anläggningar, urvalstermer och identifierare).

Det är viktigt att se den information som lämnas till kommissionen i ett helhetsperspektiv. Besluten om vad som är ”möjligt” eller ”genomförbart” lämnas inte till enskilda personers godtycke, utan är föremål för de policyer som underrättelsetjänsterna har utfärdat enligt PPD-28 – som har offentliggjorts – och de andra processer som beskrivs där (4). Såsom anges i PPD-28 utgör uppgiftsinsamling via signalspaning insamling som ”på grund av tekniska eller operativa överväganden” sker utan användning av urvalsfaktorer (t.ex. särskilda identifierare, urvalstermer osv.) I detta avseende bekräftas i PPD-28 att underrättelsegemenskapens organisationer måste samla in signalspaningsuppgifter i bulk under vissa omständigheter för att identifiera nya eller framväxande hot och annan mycket viktig säkerhetsinformation som ofta är dold i det stora och komplexa globala kommunikationssystemet. Lagen bekräftar även att insamling av uppgifter via signalspaning i bulk väcker farhågor rörande integritetsskydd och medborgerliga friheter. Enligt PPD-28 ska därför underrättelsegemenskapen prioritera alternativ som möjliggör riktad signalspaning i stället för insamling av uppgifter i bulk. Underrättelsegemenskapens organisationer bör därför genomföra riktad signalspaningsverksamhet i stället för att samla in uppgifter i bulk när så är möjligt (5). Dessa principer garanterar att undantaget för insamling i bulk inte får företräde framför den allmänna regeln.

När det gäller begreppet ”skälighet” är det en grundsten i amerikansk lagstiftning. Det innebär att underrättelsegemenskapens organisationer inte ska vidta teoretiskt möjliga åtgärder, utan i stället ska balansera insatserna när det gäller att skydda legitima intressen rörande integritetsskydd och medborgerliga friheter med signalspaningsverksamhetens praktiska behov. Även här har byråernas policyer offentliggjorts och visar att begreppet ”skäligt utformad för att minimera spridning och lagring av personuppgifter” inte undergräver den allmänna regeln.

PPD-28 föreskriver även att signalspaningsuppgifter som samlas in i bulk får användas för sex särskilda ändamål: upptäcka och motverka vissa utländska makters aktiviteter, terrorismbekämpning, åtgärder för att motverka masspridning, it-säkerhet, upptäcka och motverka hot mot Förenta staterna:s eller allierade makters arméer och bekämpa transnationella kriminella hot, inklusive kringgående av sanktioner. Presidentens nationella säkerhetsrådgivare kommer i samarbete med direktören för den nationella underrättelseverksamheten (Director for National Intelligence) att se över dessa tillåtna användningsområden för signalspaningsuppgifter som samlas in i bulk för att se om de behöver ändras. DNI kommer att göra denna förteckning allmänt tillgänglig i största möjliga utsträckning med tanke på den nationella säkerheten. Detta utgör en viktig och öppen begränsning av möjligheten att samla in signalspaningsuppgifter i bulk.

De organisationer inom underrättelsegemenskapen som genomför PPD-28 har dessutom förstärkt befintliga analysmetoder och normer för att granska signalspaning som inte tidigare utvärderats (6). Analytikerna måste omstrukturera sina frågor eller använda andra söktermer eller söktekniker för att säkerställa att de är lämpliga för att identifiera underrättelseinformation som är relevant för en tillåten utländsk underrättelseverksamhet eller brottsbekämpande verksamhet. I detta syfte måste underrättelsegemenskapens organisationer inrikta sina personundersökningar på de kategorier av signalspaningsinformation som motsvarar lagkrav i fråga om utländska underrättelseuppgifter eller brottsbekämpande verksamheter, för att undvika att personuppgifter används för andra verksamhetstyper än de tillåtna verksamheterna.

Det är viktigt att betona att all insamling i bulk av internetkommunikation som den amerikanska underrättelsegemenskapen utför genom signalspaning bedrivs inom en liten del av internet. Genom att använda riktade frågor enligt beskrivningen ovan säkerställer man dessutom att endast de uppgifter som anses ha ett eventuellt värde som underrättelseuppgifter undersöks av analytikerna. Syftet med dessa begränsningar är att skydda alla personers integritet och medborgerliga friheter, oavsett nationalitet och bostadsort.

Förenta staterna har detaljerade förfaranden för att se till att signalspaningsverksamhet endast används för att främja den nationella säkerheten. Varje år fastställer presidenten nationens främsta prioriteringar för insamling av utländska underrättelseuppgifter på grundval av ett omfattande formellt förfarande mellan berörda myndigheter. DNI ansvarar för att omsätta dessa prioriteringar för underrättelseverksamheten i ”prioriteringsramen för nationell underrättelseverksamhet (National Intelligence Priorities Framework), eller NIPF. Detta förfarande mellan berörda ministerier har förstärkts genom PPD-28 för att säkerställa att alla underrättelseprioriteringar som underrättelsegemenskapen har ställt upp granskas och godkänns av politiska beslutsfattare på hög nivå. Underrättelsegemenskapens direktiv 204 (nedan kallat ICD) ger ytterligare vägledning om NIPF och uppdaterades i januari 2015 för att inbegripa kraven i PPD-28 (7). Även om NIPF är sekretessbelagd offentliggörs information om specifika amerikanska prioriteringar för utländska underrättelseuppgifter varje år i DNI:s offentliga Worldwide Threat Assessment, som även finns tillgänglig på ODNI:s webbplats.

NIPF:s prioriteringar är relativt allmänt hållna. De omfattar frågor som kontroll av utländska motståndares kärntekniska och ballistiska robotkapacitet, effekter av korruption inom ramen för drogkarteller och människorättsliga överträdelser i vissa länder. De gäller inte bara för signalspaning, utan för all underrättelseverksamhet. Den organisation som ansvarar för att omsätta NIPF:s prioriteringar i insamling av signalspaningsuppgifter i praktiken benämns National Signals Intelligence Committee, eller SIGCOM. SIGCOM arbetar under ledning av direktören för NSA, som genom dekret 12333 utses som ”funktionell chef för signalspaning”, med ansvar för att övervaka och samordna underrättelsegemenskapens signalspaningsverksamhet, och står i sin tur under översyn av både försvarsministern och DNI. SIGCOM består av företrädare för alla tjänster inom underrättelsegemenskapen. När Förenta staterna fullständigt genomför PPD-28 kommer även andra ministerier och myndigheter med politiskt intresse av signalspaning vara fullständigt representerade i SIGCOM.

Alla amerikanska ministerier och myndigheter som använder utländska underrättelseuppgifter kan lämna förfrågningar om insamling till SIGCOM. SIGCOM granskar dessa förfrågningar, kontrollerar att de är förenliga med NIPF och tilldelar dem en prioritetsnivå med hjälp av t.ex. följande kriterier:

De amerikanska signalspaningsbestämmelserna kräver även uttryckligt övervägande av andra faktorer, nämligen följande:

I slutet av processen använder utbildad NSA-personal de prioriteringar som godkänts av SIGCOM för att undersöka och fastställa särskilda urvalstermer, t.ex. telefonnummer eller e-postadresser, som förväntas bidra till att samla in utländska underrättelseuppgifter som tillgodoser dessa prioriteringar. Alla urvalstermer måste granskas och godkännas innan de förs in i NSA:s insamlingssystem. Om och när insamlingen genomförs beror även delvis på ytterligare överväganden, såsom tillgång till tillräckliga insamlingsresurser. Denna process säkerställer att målen för den amerikanska signalspaningsinsamlingen avspeglar giltiga och viktiga behov av utländska underrättelseuppgifter. När insamlingen väl sker enligt FISA, NSA och andra myndigheter gäller dessutom ytterligare begränsningar som godkänts av domstolen för övervakning av utländsk underrättelseinformation (Foreign Intelligence Surveillance Court). Kort sagt kan varken NSA eller någon annan amerikansk underrättelsetjänst på egen hand bestämma vilka uppgifter de ska samla in.

Sammantaget säkerställer denna process att alla amerikanska underrättelseprioriteringar fastställs av höga beslutsfattare som är bäst lämpade att fastställa Förenta staterna:s behov av utländska underrättelseuppgifter, och att beslutsfattarna inte bara beaktar det eventuella värdet av insamlingen, utan även de risker som är förknippade med denna, inklusive risker för integritetsskyddet, nationella ekonomiska intressen och utländska förbindelser.

När det gäller uppgifter som överförs till Förenta staterna enligt skölden för skydd av privatlivet, och trots att Förenta staterna varken kan bekräfta eller förneka användningen av särskilda underrättelsemetoder eller operationer, gäller kraven i PPD-28 för all signalspaningsverksamhet som utförs av Förenta staterna, oavsett typ av insamlade uppgifter eller vilken källa de kommer från. De begränsningar och garantier som gäller för insamling av uppgifter genom signalspaning gäller dessutom för signalspaningsuppgifter som samlas in för alla godkända ändamål, vilket omfattar både utländska förbindelser och nationella säkerhetssyften.

De förfaranden som beskrivs ovan visar ett tydligt åtagande att förhindra godtycklig och slumpartad insamling av signalspaningsuppgifter och att genomföra principen om skälighet – från högsta regeringsnivå. Genomförandeförfarandena enligt PPD-28 och ministeriets förfaranden klargör nya och befintliga begränsningar av och beskriver mer detaljerat för vilka ändamål Förenta staterna samlar in och använder signalspaningsuppgifter. Syftet med dessa förfaranden är att garantera att signalspaningsverksamheten även i fortsättningen endast kommer att genomföras för att främja legitima mål för insamling av utländska underrättelseuppgifter.

c.   Begränsningar av lagring och spridning av uppgifter

Enligt avsnitt 4 i PPD-28 ska uttryckliga begränsningar gälla för alla tjänster inom underrättelsegemenskapen när det gäller lagring och spridning av personuppgifter för personer som inte är amerikanska medborgare och som samlas in genom signalspaning. Begränsningarna är jämförbara med de som gäller för amerikanska medborgare. Dessa regler har inbegripits i varje underrättelsetjänsts förfaranden. De offentliggjordes i februari 2015 och finns allmänt tillgängliga. För att kunna lagra och sprida personuppgifter i form av utländska underrättelseuppgifter måste informationen röra ett godkänt underrättelsekrav, vilket fastställs i den NIPF-process som beskrivs ovan, skäligen kunna anses utgöra bevis på ett brott, eller uppfylla någon av de andra reglerna för lagring av amerikanska personuppgifter enligt avsnitt 2.3 i dekret 12333.

Information som inte omfattas av sådana krav får lagras i högst fem år, om inte DNI uttryckligen fastställer att fortsatt lagring är i Förenta staterna:s nationella säkerhetsintresse. Underrättelsegemenskapens organisationer måste således radera personuppgifter för personer som inte är amerikanska medborgare och som har samlats in genom signalspaning fem år efter insamlingen om inte informationen t.ex. bedöms vara relevant för ett godkänt krav rörande utländska underrättelseuppgifter eller om DNI, efter att ha övervägt vad ODNI:s Civil Liberties Protection Officer och andra myndigheters tjänstemän med ansvar för integritetsskydd och medborgerliga friheter anser, fastställer att fortsatt lagring är ett nationellt säkerhetsintresse.

Dessutom innehåller nu alla myndigheters policyer för genomförandet av PPD-28 ett uttryckligt krav om att information om en person inte får spridas bara för att personen inte är amerikansk medborgare, och ODNI har utfärdat ett direktiv till alla organisationer i underrättelsegemenskapen (8) om detta krav. Underrättelsegemenskapens personal är uttryckligen skyldiga att överväga integritetsintressen för personer som inte är EU-medborgare när de utarbetar och förmedlar underrättelserapporter. Signalspaning som riktas mot en utländsk persons rutinmässiga aktiviteter anses inte utgöra utländska underrättelseuppgifter som kan spridas eller lagras permanent endast på grundval av detta faktum, om spaningen inte på annat sätt motsvarar ett godkänt krav rörande utländska underrättelseuppgifter. Detta innebär en viktig begränsning till svar på Europeiska kommissionens farhågor om den breda definitionen av utländska underrättelseuppgifter i dekret 12333.

d.   Efterlevnad och tillsyn

Det amerikanska systemet för övervakning av utländska underrättelseuppgifter omfattas av ett strikt tillsynssystem med flera nivåer för att säkerställa efterlevnad av tillämpliga lagar och förfaranden, bland annat för insamling, lagring och spridning av personuppgifter för personer som inte är amerikanska medborgare och som samlats in genom signalspaning enligt PPD-28. Följande aspekter är relevanta i detta sammanhang:

Förutom dessa formella tillsynsmekanismer har underrättelsegemenskapen infört ett antal mekanismer för att säkerställa att den uppfyller begränsningarna av insamling enligt ovan. Detta gäller t.ex. följande:

Såsom framgår av denna omfattande översikt beslutar inte underrättelsegemenskapen på egen hand om vilka samtal den ska lyssna till, försöker inte samla in allt och arbetar inte utan kontroll. Verksamheten inriktas på prioriteringar som fastställs av beslutsfattare genom en process som regeringen är delaktig i, och kontrolleras av NSA och ODNI, justitieministeriet och försvarsministeriet.

PPD-28 innehåller också många andra bestämmelser för att säkerställa att personuppgifter som samlas in genom signalspaning skyddas, oavsett nationalitet. PPD-28 föreskriver t.ex. datasäkerhet, tillgång och kvalitetssäkringsförfaranden för att skydda personuppgifter som samlas in genom signalspaning samt obligatorisk utbildning för att se till att personalen förstår sitt ansvar att skydda personuppgifter, oavsett nationalitet. Lagen föreskriver dessutom ytterligare tillsyns- och efterlevnadsmekanismer. Det handlar bland annat om regelbundna revisioner och granskningar av metoderna för att skydda personuppgifter som ingår i signalspaningsuppgifter, som utförs av tjänstemän med ansvar för tillsyns- och efterlevnadsfrågor. Dessutom granskas myndigheternas efterlevnad av förfarandena för att skydda sådan information.

PPD-28 föreskriver dessutom att viktiga efterlevnadsfrågor som berör personer som inte är amerikanska medborgare behandlas på hög regeringsnivå. Om ett allvarligt efterlevnadsproblem uppstår som omfattar personuppgifter som samlats in genom signalspaning måste detta problem, förutom eventuella ytterligare rapporteringskrav, omedelbart rapporteras till DNI. Om det rör sig om personuppgifter för en person som inte är amerikansk medborgare kommer DNI i samråd med utrikesministern och chefen för den relevanta organisationen inom underrättelsegemenskapen att avgöra om det är nödvändigt att vidta åtgärder för att meddela den berörda utländska regeringen i enlighet med källskyddet samt skyddet av metoder och amerikansk personal. Enligt PPD-28 har utrikesministern dessutom utsett en högt uppsatt tjänsteman, statssekreterare Catherine Novelli, som kontaktperson för utländska regeringar som har frågor om Förenta staterna:s signalspaningsverksamhet. Detta engagemang på hög nivå är ett exempel på den amerikanska regeringens ansträngningar under de senaste åren för att skapa förtroende för de olika överlappande bestämmelserna om integritetsskydd som finns både för amerikanska och utländska medborgare.

e.   Sammanfattning

Förenta staterna:s förfaranden för att samla in, lagra och sprida utländska underrättelseuppgifter omfattas av ett starkt integritetsskydd för alla personuppgifter, oavsett personens nationalitet. Dessa processer säkerställer särskilt att vår underrättelsegemenskap inriktar sig på sitt nationella säkerhetsuppdrag enligt tillämpliga lagar, dekret och presidentdirektiv och skyddar information från otillåten åtkomst,användning och utlämnande. Verksamheten är föremål för granskning och tillsyn på flera nivåer, bland annat av kongressens tillsynskommittéer. PPD-28 och dess genomförandeförfaranden representerar våra ansträngningar för att utvidga vissa minimeringsprinciper och andra viktiga dataskyddsprinciper till att omfatta alla personuppgifter, oavsett personens nationalitet. Personuppgifter somsamlas in genom Förenta staterna:s signalspaning omfattas av principerna och kraven i den amerikanska lagstiftningen och presidentdekret, inbegripet de skyddsmekanismer som anges i PPD-28. Dessa principer och krav säkerställer att alla människor behandlas med värdighet och respekt, oavsett nationalitet och bostadsort, och erkänner att alla personer har legitima integritetsintressen när det gäller behandlingen av deras personuppgifter.

II.   LAGEN OM UNDERRÄTTELSEVERKSAMHET OCH ÖVERVAKNING UTOMLANDS – AVSNITT 702

Insamling enligt avsnitt 702 i lagen om underrättelseverksamhet och övervakning utomlands (11) är inte ”slumpartad massinsamling”, utan är snävt inriktad på insamling av utländska underrättelseuppgifter om individuellt identifierade legitima mål, är uttryckligen godkänd av lagstadgade myndigheter och är föremål för både oberoende rättslig tillsyn och noggrann granskning och tillsyn inom den verkställande makten och kongressen. Insamling enligt avsnitt 702 anses utgöra signalspaning som omfattas av kraven i PPD-28 (12).

Insamling enligt avsnitt 702 är en av de mest värdefulla underrättelsekällorna, och skyddar både Förenta staterna och våra europeiska partner. Omfattande information om genomförandet och tillsynen av avsnitt 702 finns allmänt tillgänglig. Sekretessen för många rättsliga yrkanden, domstolsbeslut och tillsynsrapporter rörande programmet har hävts och lagts ut på ODNI:s webbplats för offentliggörande, www.icontherecord.tumblr.com. Avsnitt 702 har dessutom analyserats grundligt av styrelsen för tillsyn av personlig integritet och medborgerliga fri- och rättigheter (PCLOB) i en rapport som finns på https://www.pclob.gov/library/702-Report.pdf (13).

Avsnitt 702 antogs som en del av FISA-ändringsakten från 2008 (14), efter en bred offentlig debatt i kongressen. Enligt avsnitt 702 godkänns inhämtande av utländska underrättelseuppgifter genom målsökning av personer som inte är amerikanska medborgare och som befinner sig utanför Förenta staterna, med obligatorisk assistans från amerikanska telekomtjänstleverantörer. Avsnitt 702 bemyndigar även justitieministern och DNI – två regeringstjänstemän som utses av presidenten och bekräftas av senaten – att utfärda årliga certifieringar till FISA-domstolen (15). I dessa certifieringar anges specifika kategorier av utländska underrättelseuppgifter som ska samlas in, t.ex. uppgifter i samband med terrorismbekämpning eller massförstörelsevapen, som måste falla inom de kategorier av utländska underrättelseuppgifter som fastställs i FISA-lagen (16). Styrelsen för tillsyn av personlig integritet och medborgerliga friheter har fastställt att ”sådana begränsningar tillåter inte obegränsad insamling av information om utlänningar” (17).

Certifieringarna ska också innehålla förfaranden för ”målinriktning” och ”minimering”, som ska granskas och godkännas av FISA-domstolen (18). Förfarandena för målinriktning är utformade för att se till att insamling endast sker på de sätt som är godkända enligt lag och att de faller inom certifieringens tillämpningsområde. Minimeringsförfarandena är avsedda att begränsa inhämtande, spridning och lagring av information om amerikanska medborgare, men innehåller även bestämmelser som ger ett väsentligt skydd av information som tillhör icke-amerikanska medborgare, vilket beskrivs nedan. Såsom beskrivs ovan föreskriver presidenten i PPD-28 att underrättelsegemenskapen ska tillhandahålla ytterligare skyddsmekanismer för personuppgifter om utländska medborgare, och dessa skyddsmekanismer gäller för information som samlas in enligt avsnitt 702.

När domstolen har godkänt förfarandena för målinriktning och minimering enligt avsnitt 702 anses insamlingen inte ske i bulk eller vara slumpartad, utan”inriktas enbart på specifika personer som det har fattats ett individuellt beslut om”, enligt vad styrelsen för tillsyn av personlig integritet och medborgerliga friheter har förklarat (19). Insamlingen riktas genom användning av individuella urvalsfaktorer, såsom e-postadresser eller telefonnummer, som enligt den amerikanska underrättelsepersonalens bedömning sannolikt används för att kommunicera utländska underrättelseuppgifter av den typ som omfattas av den certifiering som har lämnats in till domstolen (20). Underlaget för valet av mål måste dokumenteras och dokumentationen för varje urvalsfaktor granskas därefter av justitieministeriet (21). Den amerikanska regeringen har offentliggjort information som visar att omkring 90 000 enskilda personer omfattades av målinriktning enligt avsnitt 702 under 2014, vilket är en minimal del av världens över tre miljarder internetanvändare (22).

Information som samlas in enligt avsnitt 702 är föremål för de domstolsgodkända minimeringsförfarandena, som både skyddar utländska och amerikanska medborgare. De har offentliggjorts (23). Kommunikation som har inhämtats enligt avsnitt 702, vare sig den rör utländska eller amerikanska medborgare, lagras t.ex. i databaser med strikt åtkomstkontroll. De kan endast granskas av underrättelsetjänstpersonal som har utbildats i minimeringsförfaranden för integritetsskydd och har fått ett uttryckligt tillstånd om åtkomst för att utföra sina godkända uppgifter (24). Användningen av uppgifterna begränsas till identifiering av utländsk underrättelseinformation eller bevis för brott (25). Enligt PPD-28 får denna information spridas endast om det finns ett giltigt ändamål som rör utländska underrättelseuppgifter eller brottsbekämpning; enbart det faktum att en av parterna i kommunikationen inte är amerikansk medborgare räcker inte (26). Minimeringsförfarandena och PPD-28 föreskriver dessutom begränsningar av hur data med långtidsvärde som inhämtats enligt avsnitt 702 får lagras (27).

Tillsynen enligt avsnitt 702 är omfattande och utförs av samtliga tre grenar av vår regering. De myndigheter som genomför lagen har inrättat interna granskningsförfaranden i flera skikt, bland annat genom oberoende generalinspektörer och tekniska kontroller av åtkomst till uppgifterna. Justitieministeriet och ODNI granskar och undersöker noggrant tillämpningen av avsnitt 702 för att kontrollera att lagens bestämmelser efterlevs. Myndigheterna har också en oberoende skyldighet att rapportera eventuella fall av bristande efterlevnad. Sådana rapporter utreds och alla fall av bristande efterlevnad rapporteras till domstolen för övervakning av utländsk underrättelseinformation, presidentens styrelse för tillsyn av underrättelseverksamheten och kongressen, och åtgärdas på lämpligt sätt (28). Hittills har inga fall av medvetna försök att bryta mot lagen eller kringgå lagkrav förekommit (29).

FISA domstolen spelar en viktig roll i genomförandet av avsnitt 702. Den består av oberoende federala domare som tjänstgör vid FISA-domstolen under en sjuårsperiod. Precis som alla federala domare är de dock domare på livstid. Såsom anges ovan måste domstolen granska de årliga certifieringarna och förfarandena för målinriktning och minimering för att kontrollera att de är förenliga med lagstiftningen. Såsom även nämns ovan är regeringen dessutom skyldig att omedelbart rapportera fall av bristande efterlevnad till domstolen (30). Sekretessen för flera domstolsyttranden har hävts, vilket visar på domstolens mycket höga nivå av rättslig kontroll och oberoende när den granskar sådana ärenden.

Domstolens noggranna förfaranden har beskrivits av dess före detta ordförande i ett brev till kongressen, som har offentliggjorts (31). Till följd av Förenta staterna Freedom Act, som beskrivs nedan, är nu domstolen uttryckligen bemyndigad att utse en extern jurist som oberoende advokat för integritetsskydd i ärenden med nya eller viktiga juridiska frågor (32). Denna grad av deltagande av ett lands oberoende rättsväsende i utländska underrättelseverksamheter som riktas mot personer som varken är medborgare i landet eller bor inom dess gränser är ovanligt, om inte unikt, och bidrar till att säkerställa att insamling enligt avsnitt 702 sker inom lagliga gränser.

Kongressen utövar tillsyn genom lagstadgade rapporter till kommittéerna för underrättelseverksamhet och rättsväsendet samt genom regelbundna genomgångar och utfrågningar. Det handlar bland annat om en halvårsrapport från justitieministern om tillämpningen av avsnitt 702 och eventuella fall av bristande efterlevnad (33) en separat halvårsbedömning av justitieministern och DNI om efterlevnaden av förfarandena för målinriktning och minimering samt efterlevnaden av de förfaranden som har tagits fram för att se till att insamlingen sker för ett godkänt ändamål i fråga om utländska underrättelseuppgifter (34) och en årsrapport från underrättelsetjänsternas chefer, för att säkerställa att insamlingen enligt avsnitt 702 fortsätter att ge utländska underrättelseuppgifter (35).

Sammanfattningsvis är insamling enligt avsnitt 702 godkänd enligt lag och är föremål för tillsyn på flera nivåer samt rättslig övervakning och tillsyn. Enligt ett tidigare sekretessbelagt yttrande från FISA-domstolen ”sker insamlingen inte i bulk eller på ett slumpartat sätt utan genom […] enligt noggrant övervägda beslut om målinriktning av individuell [kommunikation]” (36).

III.   FÖRENTA STATERNA FREEDOM ACT

Genom Förenta staterna Freedom Act, som undertecknades i juni 2015, genomfördes väsentliga förändringar av den amerikanska underrättelsetjänsten och andra myndigheter med ansvar för nationell säkerhet. Dessutom ökades allmänhetens insyn i dessa myndigheter och FISA-domstolens beslut, vilket beskrivs nedan (37). Lagen säkerställer att våra anställda inom underrättelsetjänsten och de brottsbekämpande myndigheterna har de befogenheter som krävs för att skydda nationen, samtidigt som enskilda personers integritet skyddas på lämpligt sätt i utövandet av dessa befogenheter. Lagen stärker integritetsskyddet och de medborgerliga fri- och rättigheterna och ökar insynen.

Lagen förbjuder bulkinsamling av register, både beträffande amerikanska och utländska medborgare, enligt flera bestämmelser i FISA eller via nationella säkerhetsskrivelser (National Security Letters), en form av lagstadgade administrativa förelägganden) (38). Förbudet gäller särskilt telefonmetadata rörande samtal mellan personer i och personer utanför Förenta staterna, och skulle även omfatta dessa myndigheters insamling av information inom ramen för skölden för skydd av privatlivet. Enligt lagen ska regeringen basera eventuella ansökningar om tillgång till register inom ramen för dessa befogenheter på ”specifika urvalstermer”, dvs. termer som specifikt identifierar en person, kontonummer, adresser eller personliga anordningar, på ett sätt som begränsar omfattningen av den information som söks i största möjliga utsträckning (39). Detta innebär en ytterligare garanti för att information för underrättelsesyften är exakt fokuserad och riktad.

Genom lagen genomfördes dessutom betydande ändringar av förfarandena vid FISA-domstolen, för att både öka insynen och ge ytterligare garantier för integritetsskydd. Såsom anges ovan inrättas en ständig arbetsgrupp av säkerhetsgodkända advokater genom lagen. Advokaterna har sakkunskap om integritetsskydd och medborgerliga friheter, insamling av underrättelseuppgifter, kommunikationsteknik eller andra relevanta områden, och kan kallas till domstolen i egenskap av sakkunniga i mål som omfattar viktiga eller nya lagtolkningar. Advokaterna har befogenheter att framföra juridiska argument för att öka skyddet av enskilda personers integritet och medborgerliga friheter, och har tillgång till all information, inklusive sekretessbelagd information, som domstolen anser att de behöver för att fullgöra sina uppgifter (40).

Lagen bygger även på den unika insyn som den amerikanska regeringen ger i underrättelseverksamheten genom att kräva att DNI, i samråd med justitieministern, antingen ska häva sekretessen för eller offentliggöra en öppen sammanfattning av varje beslut, föreläggande eller yttrande som utfärdas av FISA-domstolen eller revisionsdomstolen för utländsk underrättelseinformation (Foreign Intelligence Surveillance Court of Review), och som innehåller en viktig redogörelse för eller tolkning av lagbestämmelser.

Lagen föreskriver dessutom att omfattande information ska offentliggöras om FISA-insamling och förfrågningar enligt nationella säkerhetsskrivelser. Förenta staterna måste varje år till kongressen och allmänheten lämna ut information om antalet FISA-förelägganden och certifieringar som har sökts och beviljats, uppskattningar av antalet utländska medborgare och amerikanska medborgare som är föremål för och påverkas av övervakning och antalet utnämningar av advokater i egenskap av sakkunniga (41). Enligt lagen ska regeringen dessutom rapportera till allmänheten om antalet nationella säkerhetsskrivelser med förfrågningar om både utländska och amerikanska medborgare (42).

När det gäller insyn i företag föreskriver lagen en rad olika alternativ för företagens rapportering till allmänheten om det sammanlagda antalet FISA-förelägganden eller nationella säkerhetsskrivelser som de mottar från regeringen samt om antalet kundkonton som omfattas av dessa förelägganden (43). Flera företag har redan lämnat ut sådana uppgifter, vilka visar att antalet ansökningar om tillgång till kunders register är begränsat.

Dessa företags insynsrapporter visar att den amerikanska underrättelsetjänstens förfrågningar endast omfattar en minimal del av uppgifterna. Ett stort företags senaste insynsrapport visar t.ex. att de förfrågningar om uppgifter för nationella säkerhetssyften som det mottog (enligt FISA eller nationella säkerhetsskrivelser) berörde färre än 20 000 av företagets konton, vid en tidpunkt då företaget hade minst 400 miljoner abonnenter. Med andra ord berörde samtliga förfrågningar om uppgifter för nationella säkerhetssyften mindre än 0,005 procent av företagets abonnenter. Även om samtliga förfrågningar skulle ha gällt safe harbor-uppgifter, vilket naturligtvis inte är fallet, är det uppenbart att förfrågningarna är riktade och lämpliga till omfattningen, och att de varken utgör bulkinsamling eller är slumpartade.

I de fall bestämmelserna om utfärdande av nationella säkerhetsskrivelser redan begränsade de omständigheter under vilka skrivelsens mottagare kunde vara förhindrad att lämna ut informationen föreskriver lagen dessutom att sådana sekretesskrav måste ses över regelbundet. Mottagarna av nationella säkerhetsskrivelser ska meddelas när fakta inte längre stöder ett sekretesskrav och förfaranden för hur mottagarna kan bestrida sekretesskrav införs (44).

Sammanfattningsvis är de viktiga förändringar av de amerikanska underrättelsemyndigheterna som införs genom Förenta staterna Freedom Act ett tydligt bevis de stora ansträngningar som Förenta staterna har gjort för att prioritera skyddet av personuppgifter, integritetsskydd, medborgerliga friheter och insyn i alla amerikanska underrättelsemetoder.

IV.   INSYN OCH ÖPPENHET

Förutom den insyn som föreskrivs i Förenta staterna Freedom Act tillhandahåller den amerikanska underrättelsegemenskapen en stor mängd ytterligare information till allmänheten, och föregår därigenom med gott exempel när det gäller insyn i dess underrättelseverksamheter. Underrättelsegemenskapen har offentliggjort många av sina policyer, förfaranden, beslut från domstolen för övervakning av utländsk underrättelseinformation och annat material för vilket sekretessen har hävts, vilket ger mycket stor insyn i verksamheten. Dessutom lämnar underrättelsegemenskapen ut betydligt mer statistik om hur regeringen tillämpas sina befogenheter för uppgiftsinsamling av nationella säkerhetsskäl. Den 22 april 2015 utfärdade underrättelsegemenskapen sin andra årsrapport med statistik över hur ofta regeringen tillämpar dessa viktiga befogenheter. ODNI också har offentliggjort en uppsättning konkreta insynsprinciper (45) på sin webbplats och på IC On the Record samt en genomförandeplan där principerna omsätts i konkreta och mätbara initiativ (46). I oktober 2015 beslutade Director of National Intelligence att varje underrättelsetjänst ska utse en tjänstemän med ansvar för insyn i underrättelseverksamheten inom sitt behörighetsområde, med uppgift att främja insyn och leda insynsinitiativ (47). Dessa tjänstemän kommer att föra ett nära samarbete med varje underrättelsetjänsts tjänsteman med ansvar för insyn och medborgerliga friheter för att se till att insyn, integritetsskydd och medborgerliga friheter fortsätter att prioriteras högt.

Ett exempel på dessa ansträngningar är att NSA:s Chief Privacy and Civil Liberties Officer har hävt sekretessen för och lämnat ut flera rapporter under de senaste åren, bland annat rapporter om verksamheter enligt avsnitt 702 i dekret 12333 och Förenta staterna Freedom Act  (48). Underrättelsegemenskapen samarbetar dessutom med styrelsen för tillsyn av personlig integritet och medborgerliga fri- och rättigheter, kongressen och amerikanska intresseorganisationer på integritetsskyddets område för att ge ytterligare insyn i Förenta staterna:s underrättelseverksamhet, när så är möjligt och förenligt med skyddet av känsliga underrättelsekällor och metoder. Sammantaget är Förenta staterna:s underrättelseverksamhet lika öppen som eller öppnare än andra nationers underrättelseverksamheter, och medger så stor insyn som möjligt med tanke på behovet av att skydda känsliga källor och metoder.

Sammanfattning av den omfattande insynen i Förenta staterna:s underrättelseverksamhet:

Denna omfattande insyn kommer att upprätthållas i framtiden. All information som har offentliggjorts kommer naturligtvis även att finnas tillgänglig för handelsministeriet och Europeiska kommissionen. Den årliga översyn som genomförs av handelsministeriet och Europeiska kommissionen om genomförandet av skölden för skydd av privatlivet kommer att ge kommissionen möjlighet att diskutera eventuella frågor som uppstår om ny offentliggjord information och andra frågor i samband med skölden och dess genomförande, och ministeriet kan efter eget gottfinnande be företrädare för andra myndigheter, inklusive underrättelsegemenskapen, att delta i översynen. Detta är naturligtvis utöver den mekanism som PPD-28 föreskriver för att EU-medlemsstaterna ska kunna ta upp övervakningsrelaterade frågor med en utsedd tjänsteman från utrikesdepartementet.

V.   RÄTTSMEDEL

Amerikansk lagstiftning föreskriver en rad olika rättsmedel för enskilda personer som har varit föremål för olaglig elektronisk övervakning för nationella säkerhetssyften. Enligt FISA begränsas inte rätten att söka upprättelse i amerikanska domstolar till amerikanska medborgare. En enskild person som har grunder för att väcka talan har rättsmedel till sitt förfogande för att bestrida olaglig elektronisk övervakning enligt FISA. Enligt FISA kan t.ex. personer som har varit föremål för olaglig elektronisk övervakning stämma tjänstemän vid den amerikanska regeringen personligen och begära skadestånd och advokatarvoden. Se 50 U.S.C. § 1810. Enskilda personer som har grunder för att väcka talan kan även åberopa civilrättsliga grunder för skadestånd mot Förenta staterna, inklusive rättegångskostnader, om uppgifter om dem som har erhållits genom elektronisk övervakning enligt FISA har använts eller lämnats ut på ett olagligt och medvetet sätt. Se 18 U.S.C. § 2712. Om regeringen har för avsikt att använda eller lämna ut information som har erhållits eller härletts från elektronisk övervakning av en förfördelad person enligt FISA mot den personen i rättsliga eller administrativa förfaranden i Förenta staterna, måste den informera domstolen och den berörda personen om sin avsikt på förhand. Den berörda personen kan därefter bestrida övervakningens laglighet och kräva att informationen sekretessbeläggs. Se 50 U.S.C. § 1806. Slutligen föreskriver FISA även straffrättsliga påföljder för enskilda personer som avsiktligen deltar i olaglig elektronisk övervakning under falska lagliga förespeglingar, eller som avsiktligen använder eller lämnar ut information som erhållits från olaglig övervakning. Se 50 U.S.C. § 1809.

EU-medborgare har även andra sätt att väcka talan mot amerikanska regeringstjänstemän för olaglig användning av eller åtkomst till uppgifter från regeringens sida, även mot regeringstjänstemän som bryter mot lagen i samband med olaglig åtkomst till eller användning av information för att främja nationella säkerhetssyften. Enligt lagen om datorbedrägeri (Computer Fraud and Abuse Act) förbjuds avsiktlig otillåten åtkomst (eller överskridande av tillåten åtkomst) för att inhämta information från finansinstitut, den amerikanska regeringens datorsystem eller datoråtkomst via internet samt hot om att skada skyddade datorer för utpressning eller bedrägeri. Se 18 U.S.C. § 1030. Alla personer, oavsett nationalitet, som lider skada eller förlust till följd av överträdelser av denna lag kan stämma lagöverträdaren (inklusive regeringstjänstemän) för att få skadestånd och begära förelägganden eller andra motsvarande rättsmedel enligt avsnitt 1030(g) oavsett om straffrättsligt åtalande har väckts, på villkor att agerandet åtminstone omfattar en av de olika omständigheter som anges i lagen. Lagen om elektronisk brevhemlighet (Electronic Communications Privacy Act – ECPA) reglerar regeringens åtkomst till lagrade elektroniska meddelanden samt transnationella register och abonnentuppgifter som innehas av utomstående kommunikationsleverantörer.Se 18 U.S.C. §§ 2701–2712. Enligt ECPA kan förfördelade personer stämma regeringstjänstemän för oavsiktlig och olaglig åtkomst till lagrade uppgifter. ECPA gäller alla personer, oavsett medborgarskap, och förfördelade personer kan beviljas skadestånd och få advokatkostnader betalda. Lagen om integritetsskydd för finansiella uppgifter (Right to Financial Privacy Act – RFPA) begränsar den amerikanska regeringens åtkomst till bankers och mäklarföretags register över enskilda kunder. Se 12 U.S.C. §§ 3401–3422. Enligt FRPA kan en bank eller ett mäklarföretag stämma den amerikanska regeringen för att få lagstadgat skadestånd för olaglig åtkomst till kundregister, och om sådan olaglig åtkomst befinns vara avsiktlig inleds automatiskt en utredning om eventuella disciplinära åtgärder mot berörda regeringsanställda. Se 12 U.S.C. § 3417.

Slutligen föreskriver lagen om informationsfrihet (Freedom of Information Act – FOIA) att alla personer kan ansöka om åtkomst till federala myndighetsregister rörande vilken fråga som helst, med undantag för vissa kategorier av uppgifter. Se 5 U.S.C. § 552(b). Undantagen omfattar begränsningar av tillgång till sekretessbelagd nationell säkerhetsinformation, personuppgifter för andra enskilda personer och information om brottsutredningar, och är jämförbara med de begränsningar som nationerna har infört i sina egna lagar om tillgång till information. Dessa begränsningar gäller både amerikaner och utländska medborgare. Tvister om utlämnande av registeruppgifter enligt FOI-lagen kan överklagas i förvaltningsrätten och därefter i federala domstolar. Domstolen är skyldig att göra en ny bedömning om registren förs på lämpligt sätt enligt 5 U.S.C. § 552(a)(4)(B), och kan beordra regeringen att ge tillgång till register. I vissa fall har domstolarna ändrat regeringens beslut om att information bör förbli sekretessbelagd (49). Skadestånd kan inte utdömas, men domstolarna kan besluta om betalning av advokatarvoden.

VI.   SLUTSATSER

Förenta staterna bekräftar att landet i sin signalspaning och andra underrättelseverksamheter måste beakta att alla människor ska behandlas med värdighet och respekt, oavsett nationalitet och bostadsort, och erkänner att alla personer har legitima integritetsintressen när det gäller behandlingen av deras personuppgifter. Förenta staterna använder endast signalspaning för att främja sina nationella säkerhets- och utrikespolitiska intressen och för att skydda sina medborgare och sina allierades medborgare från skada. Underrättelsegemenskapen bedriver kort sagt ingen godtycklig övervakning av någon, inte heller av vanliga EU-medborgare. Insamling av uppgifter genom signalspaning sker endast enligt vederbörligt godkännande och i strikt efterlevnad av dessa begränsningar, efter övervägande av eventuella alternativa källor, även diplomatiska och politiska källor, och på ett sätt som prioriterar lämpliga och genomförbara alternativ. Om så är praktiskt möjligt sker signalspaning endast genom insamling som inriktas på specifika utländska underrättelsemål och genom användning av urvalsfaktorer.

Förenta staterna: s politik i detta avseende bekräftas i PPD-28. Inom denna ram har de amerikanska underrättelsetjänsterna inte rättsliga befogenheter, resurser, teknisk kapacitet eller någon önskan om att fånga upp hela världens kommunikationer. Underrättelsetjänsterna läser inte alla människors e-post i Förenta staterna eller i världen. I enlighet med PPD-28 tillhandahåller Förenta staterna ett starkt skydd för utländska medborgares personuppgifter som samlas in genom signalspaning. I största möjliga överensstämmelse med den nationella säkerheten omfattar detta policyer och förfaranden för att minimera lagring och spridning av utländska medborgares personuppgifter, jämförbart med det skydd som amerikanska medborgare åtnjuter. Såsom diskuteras ovan saknar det omfattande tillsynssystemet enligt avsnitt 702 i FISA motstycke i världen. Avslutningsvis bidrar de omfattande ändringarna av Förenta staterna:s lagstiftning om underrättelseverksamhet som anges i Förenta staterna Freedom Act och de ODNI-ledda initiativen för att främja insyn i underrättelseverksamheten stort till att förbättra integritetsskyddet och de medborgerliga fri- och rättigheterna för alla enskilda personer, oavsett nationalitet.

den 21 juni 2016

Bäste herr Antonipillai och herr Dean,

Jag skriver för att ge ytterligare information om hur Förenta staterna genomför bulkinsamling av signalunderrättelser. Som förklaras i fotnot 5 i Presidential Policy Directive 28 (PPD-28) avser ”bulkinsamling” inhämtning av en relativt stor mängd signalunderrättelser under omständigheter där underrättelsegemenskapen inte kan använda en identifierare som är förknippad med ett specifikt mål (till exempel e-postadress eller telefonnummer) för att rikta insamlingen. Det innebär dock inte att denna typ av insamling är någon ”slumpartad massinsamling”. Enligt PPD-28 ska också signalspaningen i så stor utsträckning som möjligt anpassas till ändamålet. För att underlätta denna uppgift vidtar underrättelsegemenskapen åtgärder för att säkerställa att de uppgifter som ska samlas in, även om vi inte kan använda målspecifika identifierare, sannolikt innehåller utländska underrättelser som motsvarar de krav som amerikanska beslutsfattare har fastställt i enlighet med det förfarande jag redogjort för i min tidigare skrivelse, och minimerar mängden insamlad information som inte är relevant.

Underrättelsegemenskapen kan t.ex. bli ombedd att inhämta signalunderrättelser om verksamheten inom en terroristgrupp i en region i ett land i Mellanöstern som tros planera attacker mot västeuropeiska länder, men kanske inte känner till namn, telefonnummer, e-postadresser eller andra specifika identifierare hos de personer som är förknippade med denna terroristgrupp. Vi kan välja att rikta in oss på denna grupp genom insamling av meddelanden till och från denna region för ytterligare kontroll och analys i syfte att identifiera den kommunikation som rör gruppen. Därvid skulle underrättelsegemenskapen sträva efter att avgränsa insamlingen så mycket som möjligt. Detta skulle betraktas som ”bulkinsamling” eftersom användningen av urvalsfaktorer inte är möjlig, men det är ingen ”slumpartad massinsamling”; den är snarare riktad så precist som möjligt.

Även när målinriktning genom användning av särskilda urvalsfaktorer inte är möjlig samlar Förenta staterna alltså inte in alla meddelanden från alla kommunikationsanläggningar överallt i världen, utan använder filter och andra tekniska hjälpmedel för att inrikta sin insamling på de anläggningar som sannolikt innehåller meddelanden av värde som utländska underrättelseuppgifter. Därvid berör Förenta staternas signalspaningsverksamhet endast en bråkdel av den kommunikation som sker över internet.

Eftersom ”bulkinsamling” medför en större risk för att irrelevanta meddelanden samlas in, som anges i min tidigare skrivelse, begränsar PPD-28 underrättelsegemenskapens användning av signalunderrättelser som samlats in på detta sätt till sex bestämda ändamål. PPD-28, och myndigheternas policyer för genomförande av PPD-28, begränsar också lagringen och spridningen av personuppgifter som erhållits genom signalspaning, oberoende av om uppgifterna har samlats in genom bulkinsamling eller målinriktad insamling, och oberoende av den enskilde personens nationalitet.

Underrättelsegemenskapens ”bulkinsamling” är således inte någon ”slumpartad massinsamling”, utan innebär att metoder och verktyg används för att filtrera insamlingen i syfte att rikta den mot material som uppfyller beslutsfattarnas krav för utländska underrättelseuppgifter och samtidigt minimera insamlingen av irrelevant information, och innefattar stränga regler för att skydda den irrelevanta information som eventuellt inhämtas. De policyer och förfaranden som beskrivs i denna skrivelse gäller för all bulkinsamling av signalspaningsuppgifter, inklusive bulkinsamling av meddelanden till och från Europa, utan att bekräfta eller förneka huruvida sådan insamling sker.

Ni har också begärt mer information avseende styrelsen för tillsyn av personlig integritet och medborgerliga fri- och rättigheter (Privacy and Civil Liberties Oversight Board – PCLOB) samt om generalinspektörer, och deras befogenheter. PCLOB är en oberoende myndighet inom den verkställande makten. Medlemmarna i styrelsen, som består av fem ledamöter från båda partierna, utses av presidenten och godkänns av senaten (50). Varje styrelseledamot har en mandatperiod på sex år. Styrelsens ledamöter och personal har säkerhetsgodkännande för att till fullo kunna utöva sina lagstadgade skyldigheter och ansvar (51).

PCLOB:s uppgift är att se till att den federala regeringens insatser för att förhindra terrorism vägs mot behovet att skydda den personliga integriteten och de medborgerliga fri- och rättigheterna. Styrelsen har två grundläggande ansvarsområden – tillsyn och rådgivning. PCLOB fastställer sin egen dagordning och bestämmer vilka insatser för tillsyn eller rådgivning som den önskar vidta.

I sin tillsynsroll granskar och analyserar PCLOB den verkställande maktens åtgärder för att skydda landet mot terrorism, och ser till att behovet av sådana åtgärder vägs mot behovet av att skydda den personliga integriteten och de medborgerliga fri- och rättigheterna (52). PCLOB:s senaste tillsyn omfattade övervakningsprogram som genomförts i enlighet med avsnitt 702 i FISA (53). För närvarande gör PCLOB en översyn av den underrättelseverksamhet som bedrivs i enlighet med dekret 12333 (54).

I sin rådgivande funktion säkerställer PCLOB att frihetsaspekterna beaktas på rätt sätt vid utarbetandet och genomförandet av lagar, regler och politik som rör insatser för att skydda landet mot terrorism (55).

För att styrelsen ska kunna utföra sitt uppdrag har den lagstadgad tillgång till alla relevanta myndighetsregister, rapporter, revisioner, inspektioner, handlingar, skrivelser och rekommendationer samt till annat relevant material, inklusive sekretessbelagd information enligt lag (56). Dessutom får styrelsen intervjua, ta emot uttalanden från eller ta upp offentliga vittnesmål från tjänstemän eller anställda inom den verkställande makten (57). Styrelsen kan dessutom skriftligen begära att justitieministern på styrelsens vägnar utfärdar förelägganden för att tvinga parter utanför den verkställande makten att tillhandahålla relevant information (58).

Slutligen har PCLOB lagstadgade krav på offentlig insyn. Detta inbegriper att hålla allmänheten underrättad om sin verksamhet genom offentliga utfrågningar och genom att göra sina rapporter allmänt tillgängliga, i möjligaste mån på ett sätt som är förenligt med skyddet av sekretessbelagd information (59). PCLOB har dessutom skyldighet att rapportera när ett organ under den verkställande makten underlåter att följa dess rekommendationer.

Generalinspektörer inom underrättelsegemenskapen genomför revisioner, inspektioner och översyner av program och aktiviteter inom underrättelsegemenskapen för att identifiera och åtgärda systemrisker, svagheter och brister. Dessutom utreder generalinspektörerna klagomål eller information om påstådda överträdelser av lagar, regler eller föreskrifter, eller dålig förvaltning, slöseri med resurser, maktmissbruk, eller om underrättelsegemenskapens program och verksamhet innebär betydande och konkret fara för folkhälsan och säkerheten. Generalinspektörernas oberoende ställning är en viktig komponent för att säkerställa objektivitet och integritet i rapporter, resultat och rekommendationer som de ligger bakom. Några av de viktigaste komponenterna för att säkerställa generalinspektörernas oberoende omfattar förfarandet för utnämning och entledigande av dem, separata myndigheter för de operativa delarna, för budget och för personal, och krav om dubbel rapportering till cheferna inom den verkställande maktens organ och till kongressen.

Kongressen inrättade ett oberoende generalinspektörskontor hos varje organ under den verkställande makten, inklusive varje organisation inom underrättelsegemenskapen (60). Till följd av att Intelligence Authorization Act for Fiscal Year 2015 antogs utses nästan alla generalinspektörer med tillsyn över en organisation inom underrättelsegemenskapen av presidenten och godkänns av senaten, bl.a. justitiedepartementet, Central Intelligence Agency, nationella säkerhetsmyndigheten och underrättelsegemenskapen (61). Dessa generalinspektörer är dessutom fast anställda tjänstemän, utan partianknytning, som bara kan entledigas av presidenten. Även om Förenta staterna:s konstitution föreskriver att presidenten ska ha befogenhet att entlediga generalinspektörer har den sällan utnyttjats, och kräver dessutom att presidenten lämnar en skriftlig motivering till detta till kongressen 30 dagar i förväg (62). Detta förfarande för utnämning av generalinspektörer garanterar att det inte förekommer någon otillbörlig påverkan från den verkställande maktens tjänstemän vid urval, utnämning eller entledigande av en generalinspektör.

För det andra har generalinspektörerna omfattande lagstadgade befogenheter att genomföra revisioner, utredningar och granskningar av den verkställande maktens program och insatser. Utöver den tillsyn av utredningar och granskningar som krävs enligt lag har generalinspektörerna stort utrymme att tillämpa tillsynsbefogenheten för att själva välja program och verksamhet för granskning (63). Vid utövandet av denna befogenhet garanterar lagen att generalinspektörerna har oberoende resurser för att utföra sina uppgifter, inbegripet befogenhet att anställa sin egen personal och separat dokumentera sina budgetförslag till kongressen (64). Lagen säkerställer att generalinspektörerna har tillgång till den information de behöver för att utföra sina uppgifter. Detta omfattar befogenheten att ha direkt tillgång till myndighetens alla register och information om myndighetens program och verksamhet oavsett klassificering, befogenheten att förelägga om information och handlingar, och befogenheten att ta upp ed (65). I begränsade fall får en chef för ett organ under den verkställande makten förbjuda en generalinspektörs verksamhet, till exempel om en generalinspektörs revision eller undersökning avsevärt skulle strida mot Förenta staterna:s nationella säkerhetsintressen. Att denna behörighet utövas är extremt ovanligt och kräver att organets chef underrättar kongressen inom 30 dagar om skälen för utövandet av den (66). Director of National Intelligence har aldrig utnyttjat denna behörighet till begränsning för någon generalinspektörsverksamhet.

För det tredje ansvarar generalinspektörerna för att hålla båda cheferna för verkställande maktens organ och kongressen fullt informerade genom rapporter om bedrägerier och andra allvarliga problem, missbruk och brister i fråga om dessa organs program och verksamhet (67). Dubbel rapportering stärker generalinspektörernas oberoende genom att ge insyn i förfarandena för generalinspektörernas tillsyn och ge cheferna för organen möjlighet att genomföra rekommendationer avseende generalinspektörerna innan kongressen kan vidta lagstiftande åtgärder. Generalinspektörerna är till exempel enligt lag skyldiga att utarbeta halvårsvisa rapporter som beskriver sådana problem och vilka korrigerande åtgärder som hittills vidtagits (68). Organ under den verkställande makten tar generalinspektörernas konstateranden och rekommendationer på allvar och generalinspektörerna kan ofta återspegla organens godtagande och genomförande av generalinspektörernas rekommendationer i dessa och andra rapporter till kongressen, och i vissa fall till allmänheten (69). Utöver denna struktur med dubbla generalinspektörsrapporter är generalinspektörerna också ansvariga för att ledsaga visselblåsare inom den verkställande makten till lämplig tillsynskommitté i kongressen för att avslöja påstådda bedrägerier, slöseri eller missbruk inom den verkställande maktens program och verksamhet. Identiteten på dem som trätt fram är skyddad från den verkställande makten, som skyddar visselblåsare mot eventuella förbjudna personalåtgärder eller åtgärder för säkerhetsgodkännande som vidtagits som vedergällning för rapportering till generalinspektörerna (70). Eftersom visselblåsare ofta är källorna bakom generalinspektörernas utredningar blir generalinspektörernas tillsyn effektivare i och med möjligheten att rapportera till kongressen utan påverkan från den verkställande makten. På grund av detta oberoende kan generalinspektörerna främja ekonomi, effektivitet och ansvarsskyldighet inom den verkställande maktens organ med objektivitet och integritet.

Avslutningsvis har kongressen inrättatCouncil of Inspectors General on Integrity and Efficiency. Detta råd utvecklar bland annat generalinspektörernas standarder för revisioner, undersökningar och utvärderingar, främjar fortbildning, och har rätt att pröva påståenden om tjänstefel bland generalinspektörerna, vilket fungerar som ett kritiskt öga på generalinspektörerna, som anförtrotts övervakningen av alla andra (71).

Jag hoppas att denna information kan vara till nytta.

(1)  Ytterligare information om Förenta staterna:s utländska underrättelseverksamhet har lagts ut på nätet och finns tillgänglig för allmänheten via ODNI:s offentliga webbplats IC On the Record (www.icontherecord.tumblr.com) som syftar till att främja ökad insyn för allmänheten i regeringens underrättelseverksamhet.

(2)  Se https://www.whitehouse.gov/the-press-office/2014/01/17/presidential-policy-directive-signals-intelligence-activities.

(3)  Brottsbekämpande myndigheter eller tillsynsmyndigheter kan begära information från företag för utredningsändamål i Förenta staterna enligt bestämmelser som gäller för andra straff- och civilrättsliga myndigheter och tillsynsmyndigheter som inte omfattas av denna skrivelse, som begränsas till myndigheter med ansvar för den nationella säkerheten.

(4)  Se www.icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties#ppd-28. Genom dessa förfaranden genomförs de koncept för målinriktning och anpassning som diskuteras i denna skrivelse på ett särskilt sätt för varje organisation inom underrättelsegemenskapen.

(5)  För att nämna ett exempel anges i NSA:s genomförandeförfaranden för PPD-28 att ”när så är möjligt ska insamling ske genom ett eller flera urvalstermer så att den inriktas på specifika utländska underrättelsemål (t.ex. en viss känd internationell terrorist eller terroristgrupp) eller specifika utländska underrättelsefrågor (t.ex. spridning av massförstörelsevapen av en utländsk makt eller dess ombud).”

(6)  Se http://www.dni.gov/files/documents/1017/PPD-28_Status_Report_Oct_2014.pdf.

(7)  Se http://www.dni.gov/files/documents/ICD/ICD%20204%20National%20Intelligence%20Priorities%20Framework.pdf.

(8)  Intelligence Community Directive (ICD) 203, se http://www.dni.gov/files/documents/ICD/ICD%20203%20Analytic%20Standards.pdf.

(9)  Se t.ex. rapporten från justitieministeriets generalinspektör A Review of the Federal Bureau of Investigation's Activities Under Section 702 of the Foreign Intelligence Surveillance Act of 2008 (september 2012),https://oig.justice.gov/reports/2016/o1601a.pdf.

(10)  Se www.dni.gov/clpo.

(11)  50 U.S.C. § 1881a.

(12)  Förenta staterna kan också inhämta domstolsbeslut enligt andra bestämmelser i FISA för framtagande av uppgifter, inklusive uppgifter som överförts enligt skölden för skydd av privatlivet. Se 50 U.S.C. § 1801 och följande artiklar. Avdelningarna I och III i FISA. Enligt dessa bestämmelser krävs domstolsbeslut för elektronisk övervakning respektive fysiska kontroller (förutom i nödsituationer) och det ska alltid finnas en trolig orsak till att anse att målet är en utländsk makt eller ett ombud för en utländsk makt. Enligt avdelning IV i FISA kan användningen av ”pen register”och ”trap and trace”-anordningar tillåtas enligt domstolsbeslut (förutom i nödsituationer) i godkända undersökningar av utländsk underrättelseverksamhet, kontraspionage eller terrorismbekämpning. Enligt avdelning V i FISA får FBI, enligt domstolsbeslut (förutom i nödsituationer) inhämta företagsregister som är relevanta för godkända undersökningar av utländsk underrättelseverksamhet, kontraspionage eller terrorismbekämpning. Såsom diskuteras nedan innehåller Förenta staterna Freedom Act ett uttryckligt förbud mot att beslut som godkänner användning av ”pen register” enligt FISA eller företagsregister används för bulkinsamling. Ett krav på ”specifika urvalstermer” har också införts för att se till att dessa befogenheter tillämpas på ett riktat sätt.

(13)  Styrelsen för tillsyn av personlig integritet och medborgerliga fri- och rättigheter, Report on the Surveillance Program Operated Pursuant to Section 702 of the Foreign Intelligence Surveillance Act (2 juli 2014) (nedan kallad PCLOB-rapporten).

(14)  Se Pub. L. nr 110–261, 122 Stat. 2436 (2008).

(15)  Se 50 U.S.C. § 1881a(a) och (b).

(16)  Idem, § 1801(e).

(17)  Se PCLOB-rapporten, 99.

(18)  Se 50 U.S.C. § 1881a(d) och (e).

(19)  Se PCLOB-rapporten, 111.

(20)  Idem.

(21)  Idem 8. 50 U.S.C. § 1881a(l); se även rapporten från NSA Director of Civil Liberties and Privacy, NSA's Implementation of Foreign Intelligence Surveillance Act Section 702 (nedan kallad NSA-rapporten) s. 4, http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(22)  Director of National Intelligence 2014 Transparency Report, se http://icontherecord.tumblr.com/transparency/odni_transparencyreport_cy2014.

(23)  Minimeringsförfarandena finns tillgängliga på http://www.dni.gov/files/documents/ppd-28/2014%20NSA%20702%20Minimization%20Procedures.pdf (”NSA Minimization Procedures”); http://www.dni.gov/files/documents/ppd-28/2014%20FBI%20702%20Minimization%20Procedures.pdf; och http://www.dni.gov/files/documents/ppd-28/2014%20CIA%20702%20Minimization%20Procedures.pdf.

(24)  Se NSA rapporten, s. 4.

(25)  Se t.ex. NSA:s minimeringsförfaranden, s. 6.

(26)  Underrättelsetjänsternas PPD-28-förfaranden,se http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(27)  Se NSA:s minimeringsförfaranden, avsnitt 4 i PPD-28.

(28)  Se 50 U.S.C. § 1881(l), se även PCLOB-rapporten, s. 66–76.

(29)  Se dokumentet Semiannual Assessment of Compliance with Procedures and Guidelines Issues Pursuant to Section 702 of the Foreign Intelligence Surveillance Act, inlämnad av justitieministern och Director of National Intelligence, s. 2–3, http://www.dni.gov/files/documents/Semiannual%20Assessment%20of%20Compliance%20with%20procedures%20and%20guidelines%20issued%20pursuant%20to%20Sect%20702%20of%20FISA.pdf.

(30)  Regel 13 i arbetsordningen för domstolen för övervakning av utländsk underrättelseinformation, se http://www.fisc.uscourts.gov/sites/default/files/FISC%20Rules%20of%20Procedure.pdf.

(31)  Skrivelse från Reggie B. Walton till Patrick J. Leahy av den 29 juli 2013, se http://fas.org/irp/news/2013/07/fisc-leahy.pdf.

(32)  Se avsnitt 401 i Förenta staterna Freedom Act, P.L. s. 114–123.

(33)  Se 50 U.S.C. § 1881f.

(34)  Se idem § 1881a(l)(1).

(35)  Se idem § 1881a(l)(3). En del av dessa rapporter är sekretessbelagda.

(36)  Mem. Yttrande och beslut, 26 (FISC 2014), se http://www.dni.gov/files/documents/0928/FISC%20Memorandum%20Opinion%20and%20Order%2026%20August%202014.pdf.

(37)  Se Förenta staterna Freedom Act of 2015, Pub. L. nr 114–23, § 401, 129 Stat. 268.

(38)  Se idem §§ 103, 201, 501. Nationella säkerhetsskrivelser godkänns enligt en rad olika lagar och ger FBI tillåtelse att inhämta information i kreditrapporter, finansiella register samt elektroniska abonnent- samt transaktionsregister från vissa typer av företag, i de enda syftet att skydda nationen mot internationell terrorism eller hemlig underrättelseverksamhet. Se 12 U.S.C. § 3414, 15 U.S.C. §§ 1681u-1681v, 18 U.S.C. § 2709. FBI använder vanligen nationella säkerhetsskrivelser för att samla in viktig ”innehållslös” information i de tidiga faserna av terrorismbekämpning och kontraspionage, t.ex. identiteten för en abonnent av ett konto som kan ha kommunicerat med agenter för en utländsk terroristgrupp som Islamiska staten. Personer som omfattas av nationella säkerhetsskrivelser har rätt att bestrida detta i domstol. Se 18 U.S.C. § 3511.

(39)  Se idem.

(40)  Se idem § 401.

(41)  Se idem § 602.

(42)  Se idem.

(43)  Se idem § 603.

(44)  Se idem §§ 502 (f)–503.

(45)  Se http://www.dni.gov/index.php/intelligence-community/intelligence-transparency-principles.

(46)  Se http://www.dni.gov/files/documents/Newsroom/Reports%20and%20Pubs/Principles%20of%20Intelligence%20Transparency%20Implementation%20Plan.pdf.

(47)  Se idem.

(48)  Se https://www.nsa.gov/civil_liberties/_files/nsa_report_on_section_702_program.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf.

(49)  Se t.ex. New York Times mot Department of Justice, 756 F.3d 100 (2d Cir. 2014), American Civil Liberties Union mot CIA, 710 F.3d 422 (D.C. Cir. 2014).

(50)  42 U.S.C. 2000ee(a), (h).

(51)  42 U.S.C. 2000ee(k).

(52)  42 U.S.C. 2000ee(d)(2).

(53)  Se https://www.pclob.gov/library.html#oversightreports.

(54)  Se https://www.pclob.gov/events/2015/may13.html.

(55)  42 U.S.C. 2000ee(d)(1); se även PCLOB:s Advisory Function Policy and Procedure, Policy 2015–004, https://www.pclob.gov/library/Policy-Advisory_Function_Policy_Procedure.pdf.

(56)  42 U.S.C. 2000ee(g)(1)(A).

(57)  42 U.S.C. 2000ee(g)(1)(B).

(58)  42 U.S.C. 2000ee(g)(1)(D).

(59)  42 U.S.C. 2000eee(f).

(60)  Avsnitten 2 och 4 i Inspector General Act från 1978, i dess ändrade lydelse (nedan kallad lagen om generalinspektörer); avsnitt 103H(b) och (e) i National Security Act från 1947, i dess ändrade lydelse (nedan kallad lagen om nationell säkerhet); avsnitt 17(a) i Central Intelligence Act (nedan kallad CIA-lagen).

(61)  Se Pub. L. nr 113–293, 128 Stat. 3990, (19 december 2014). Endast generalinspektörer för Försvarets underrättelsetjänst (Defense Intelligence Agency) och nationella byrån för geospatiala underrättelser utses inte av presidenten; generalinspektörerna inom DOD och underrättelsegemenskapen har emellertid konkurrerande behörighet för dessa organ.

(62)  Avsnitt 3 i lagen om generalinspektörer från 1978, i dess ändrade lydelse, avsnitt 103H(c) i lagen om nationell säkerhet, och avsnitt 17(b) i CIA-lagen.

(63)  Se avsnitt 4(a) och 6(a)(2) i lagen om generalinspektörer från 1947, avsnitt 103H(e) och (g)(2)(A) i lagen om nationell säkerhet, avsnitt 17(a) och (c) i CIA-lagen.

(64)  Avsnitt 3(d), 6(a)(7) och 6(f) i lagen om generalinspektörer, avsnitt 103H(d), (i), (j) och (m) i lagen om nationell säkerhet, avsnitt 17(e)(7) och (f) i CIA-lagen.

(65)  Avsnitt 6(a)(1), (3), (4), (5), och (6) i lagen om generalinspektörer, avsnitt 103H(g)(2) i lagen om nationell säkerhet, avsnitt 17(e)(1), (2), (4), och (5) i CIA-lagen.

(66)  Se t.ex. avsnitt 8(b) och 8E(a) i lagen om generalinspektörer, avsnitt 103H(f) i lagen om nationell säkerhet, avsnitt 17(b) i CIA-lagen.

(67)  Avsnitt 4(a)(5) i lagen om generalinspektörer, avsnitt 103H(a)(b)(3) och (4) i lagen om nationell säkerhet, avsnitt 17(a)(2) och (4) i CIA-lagen.

(68)  Avsnitt 2(3), 4(a) och 5 i lagen om generalinspektörer, avsnitt 103H(k) i lagen om nationell säkerhet, avsnitt 17(d) i CIA-lagen. Generalinspektören vid justitiedepartementet gör sina offentliggjorda rapporter tillgängliga på följande internetadress: http://oig.justice.gov/reports/all.htm. Likaså gör generalinspektören för underrättelsegemenskapen sina halvårsvisa rapporter allmänt tillgängliga på https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(69)  Avsnitt 2(3), 4(a) och 5 i lagen om generalinspektörer, avsnitt 103H(k) i lagen om nationell säkerhet, avsnitt 17(d) i CIA-lagen. Generalinspektören vid justitiedepartementet gör sina offentliggjorda rapporter tillgängliga på följande internetadress: http://oig.justice.gov/reports/all.htm. Likaså gör generalinspektören för underrättelsegemenskapen sina halvårsvisa rapporter allmänt tillgängliga på https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(70)  Avsnitt 7 i lagen om generalinspektörer, avsnitt 103H(g)(3) i lagen om nationell säkerhet, avsnitt 17(e)(3) i CIA-lagen.

(71)  Avsnitt 11 i lagen om generalinspektörer.

BILAGA VII

19 februari 2016

Bäste herr Antonipillai och herr Dean,

Denna skrivelse ger en kortfattad översikt av de främsta utredningsverktyg som används för att erhålla affärsuppgifter och annan information i register från företag i Förenta staterna för ändamål som rör brottsbekämpning och allmänintresset (civilt och lagstadgat), inbegripet de åtkomstbegränsningar som anges av dessa myndigheter (1). Dessa rättsprocesser är icke-diskriminerande eftersom de används för att erhålla information från företag i Förenta staterna, även från företag som självcertifierar sig via skölden för skydd av privatlivet i EU och Förenta staterna, oavsett den registrerades nationalitet. Företag som är föremål för rättsprocesser i Förenta staterna kan dessutom bestrida detta i domstol enligt vad som diskuteras nedan (2).

Det fjärde tillägget till Förenta staterna:s konstitution är särskilt relevant för offentliga myndigheters beslagtagande av uppgifter. Där anges följande: ”Folkets rätt att vara säkra i sina personer, hus, dokument och ägodelar mot oskälig husrannsakan och gripande ska ej överträdas och inga rannsaknings- eller arresteringsorder ska utgå, utom på skälig grund, understödd av ed eller försäkran, och med en noggrann beskrivning av den plats som ska rannsakas och de personer som ska gripas eller föremål som ska beslagtas.” Förenta staterna:s konstitution, tillägg IV. Såsom Förenta staterna:s högsta domstol förklarade i målet Berger mot State of New York, ”är det grundläggande syftet med detta tillägg, vilket domstolen har bekräftat i oräkneliga beslut, att skydda enskilda personers integritet och säkerhet mot godtyckliga kränkningar från regeringstjänstemäns sida”. 388 U.S. 41, 53 (1967) (citat från målet Camara mot Mun. Court of San Francisco, 387 U.S. 523, 528 (1967)). Enligt det fjärde tillägget är tjänstemän vid brottsbekämpande myndigheter i regel skyldiga att inhämta en husrannsakningsorder från en domare innan de gör en husrannsakan inom ramen för nationella brottsutredningar. Se Katz mot United States, 389 U.S. 347, 357 (1967). När kravet på husrannsakningsorder inte gäller är statliga åtgärder enligt det fjärde tillägget föremål för ett ”skälighetstest”. Det garanteras alltså i konstitutionen att den amerikanska regeringen inte har gränslösa eller godtyckliga befogenheter att beslagta privatuppgifter.

Brottsbekämpande myndigheter på det straffrättsliga området:

Federala åklagare, som är tjänstemän vid justitieministeriet, och federala utredare, inklusive tjänstemän från Federal Bureau of Investigation (FBI), en brottsbekämpande myndighet inom justitieministeriet, får tvinga företag i Förenta staterna att lämna ut handlingar och annan registerinformation för brottsutredningar via olika typer av obligatoriska rättsprocesser, inklusive förelägganden från åtalsjuryn, administrativa förelägganden och husrannsakningsorder, och kan inhämta andra meddelanden genom federal avlyssning i brottsbekämpande syfte samt befogenheter att utföra ”pen register”.

Förelägganden från åtalsjury eller rättegångsförelägganden: Straffrättsliga förelägganden används till stöd för riktade brottbekämpningsutredningar. Ett föreläggande från en åtalsjury är en officiell begäran som utfärdas av en åtalsjury (vanligen på begäran av en federal åklagare) för att stödja åtalsjuryns utredning av en misstänkt överträdelse av straffrätten. Åtalsjuryer är domstolens utredande gren och utses av en domare eller en fredsdomare. Ett föreläggande kan innehålla krav på att en viss person ska vittna under en rättegång eller ta fram eller tillhandahålla företagsregister, elektroniskt lagrad information eller andra materiella ting. Informationen måste vara relevant för utredningen och föreläggandet får inte vara orimligt på grund av att det är för allmänt utformat eller betungande. Mottagaren kan bestrida föreläggandet enligt dessa grunder. Se Fed. R. Crim. s. 17. Under begränsade omständigheter får rättegångsförelägganden rörande handlingar användas efter det att målet har avgjorts av juryn.

Befogenheter avseende administrativa förelägganden: Befogenheter avseende administrativa förelägganden får utövas i straff- eller civilrättsliga utredningar. Inom brottsbekämpningen är användningen av administrativa förelägganden för att ta fram eller tillhandahålla företagsregister, elektroniskt lagrad information eller andra materiella ting tillåten enligt flera federala lagar i utredningar som rör bedrägerier inom hälsovården, övergrepp mot barn, skydd av säkerhetstjänsterna, ärenden rörande kontrollerade ämnen och generalinspektörens utredningar som omfattar regeringsmyndigheter. Om regeringen vill verkställa ett administrativt föreläggande i domstol kan mottagare av ett administrativt föreläggande, precis som mottagare av ett föreläggande från en åtalsjury, hävda att föreläggandet är orimligt på grund av att det är för allmänt utformat eller betungande.

Domstolsbeslut om ”pen register”och ”trap and trace”-anordningar: Enligt straffrättens bestämmelser om ”pen register”och ”trap and trace”-anordningar kan brottsbekämpande myndigheter ansöka om domstolsbeslut för att inhämta innehållslös information i realtid om uppringda telefonnummer, koppling av telefonsamtal, adresser och signaler rörande ett telefonnummer eller en e-postadress om det säkerställs att den information som lämnas är relevant för en pågående brottsutredning. Se 18 U.S.C. §§ 3121–3127. Olaglig användning eller installation av en sådan anordning utgör ett federalt brott.

Lagen om elektronisk brevhemlighet, 1986 ( Electronic Communications Privacy Act – ECPA): Regeringens tillgång till abonnentuppgifter, trafikdata och lagrat innehåll i meddelanden som innehas av internet- och telefonföretag och andra utomstående tjänsteleverantörer regleras av ytterligare bestämmelser i avdelning II i lagen om elektronisk brevhemlighet, som även kallas lagen om lagrade meddelanden (Stored Communications Act – SCA), 18 U.S.C. §§ 2701–2712. I lagen om lagrade meddelanden fastställs ett system för obligatoriska rättigheter avseende integritetsskydd som begränsar brottsbekämpande myndigheters tillgång till uppgifter utöver vad som krävs enligt konstitutionell rätt från kunder och abonnenter till internetleverantörer. Lagen föreskriver ett ökat integritetsskydd beroende på hur inkräktande insamlingen är. För abonnentregisterinformation måste de brottsbekämpande myndigheterna inhämta ett föreläggande för att få tillgång till IP-adresser och deras tidsmarkeringar samt faktureringsinformation. För de flesta andra typer av lagrad innehållslös information, såsom e-postrubriker utan ämnesrad, måste brottsbekämpande myndigheter anföra särskilda fakta inför domstol som visar att den begärda informationen är relevant och väsentlig för en pågående brottsutredning. För att få tillgång till lagrat innehåll i elektroniska meddelanden måste de brottsbekämpande myndigheterna i allmänhet inhämta en rannsakningsorder från en domare som grundas på en rimlig orsak att anse att kontot i fråga innehåller bevis på brott. Lagen om lagrade meddelanden föreskriver även skadestånd och straffrättsliga påföljder.

Domstolsbeslut om övervakning enligt den federala avlyssningslagen: Brottsbekämpande myndigheter kan dessutom fånga upp trådmeddelanden, muntliga meddelanden eller elektroniska meddelanden i realtid för brottsutredningssyften enligt den federala avlyssningslagen. Se 18 U.S.C. §§ 2510–2522. Denna befogenhet får endast utövas enligt ett domstolsbeslut där en domare bland annat finner att det finns en rimlig orsak att anse att avlyssning eller elektronisk övervakning kommer att ge bevis för ett federalt brott eller uppgift om var en person som är på flykt från åtal uppehåller sig. Lagen föreskriver skadestånd och straffrättsliga påföljder för överträdelser av avlyssningsbestämmelserna.

Husrannsakan – regel 41: Brottsbekämpande åtgärder kan fysiskt genomsöka platser i Förenta staterna om de får tillstånd från en domare. Den brottsbekämpande myndigheten måste visa för domaren att det finns en ”rimlig grund” för att ett brott har begåtts eller står i begrepp att begås och att föremål som har samband med brottet sannolikt finns på den plats som anges i husrannsakan. Denna befogenhet används ofta när polisen måste göra en fysisk genomsökning av en plats på grund av risken för att bevis kan förstöras om ett föreläggande eller en annat beslut om att producera bevis delges företaget. Se Förenta staterna:s konstitution, tillägg IV (diskuteras närmare ovan), Fed. R. Crim. s. 41. Föremålet för en husrannsakan kan vidta åtgärder för att häva ordern om den är för allmänt hållen, trakasserande eller har erhållits på olämpligt sätt. En förfördelad person som har giltiga skäl kan vidta åtgärder för att upphäva eventuella bevis som påträffats till följd av en olaglig husrannsakan. Se Mapp mot Ohio, 367 U.S. 643 (1961).

Amerikanska justitieministeriets riktlinjer och policyer: Förutom dessa konstitutionella, lagstadgade och regelbaserade begränsningar av regeringens tillgång till uppgifter har justitieministern utfärdat riktlinjer med ytterligare begränsningar av brottsbekämpande myndigheters tillgång till uppgifter, som även föreskriver integritetsskydd och skydd av de medborgerliga fri- och rättigheterna. T.ex. justitieministerns riktlinjer för FBI:s verksamhet (september 2008) (nedan kallade justitieministerns FBI-riktlinjer), se http://www.justice.gov/archive/opa/docs/guidelines.pdf, begränsar användningen av undersökningsmetoder för sökning av information förknippad med utredningar som omfattar federala brott. Enligt riktlinjerna ska FBI använda utredningsmetoder som inkräktar så lite som möjligt, med tanke på följderna för integritetsskyddet och de medborgerliga fri- och rättigheterna samt eventuellt skadat förtroende. I riktlinjerna påpekas dessutom att ”det är självklart att FBI måste genomföra sina utredningar och andra verksamheter på ett lagligt och rimligt sätt som respekterar friheten och integritetsskyddet och bidrar till att undvika onödigt inkräktande i laglydiga människors liv”. Se justitieministerns FBI-riktlinjer, s. 5. FBI har genomfört dessa riktlinjer genom vägledningen FBI Domestic Investigations and Operations Guide (DIOG), se https://vault.fbi.gov/FBI%20Domestic%20Investigations%20and%20Operations%20Guide%20(DIOG), en omfattande handbok med detaljerade begränsningar av användningen av utredningsverktyg samt vägledning för att säkerställa att de medborgerliga fri- och rättigheterna och integritetsskyddet respekteras i alla utredningar. Ytterligare regler och förfaranden som föreskriver begränsningar av federala åklagares utredningar anges i United States Attorneys' Manual (USAM), finns även på nätet: http://www.justice.gov/usam/united-states-attorneys-manual.

Civila myndigheter och tillsynsmyndigheter (allmänhetens intresse):

Det finns även avsevärda begränsningar av civila myndigheters och tillsynsmyndigheters (dvs. ”allmänintresset”) tillgång till uppgifter som innehas av företag i Förenta staterna. Myndigheter med samhälls- och tillsynsansvar kan utfärda förelägganden till företag för att inhämta företagsregister, elektroniskt lagrad information eller andra konkreta föremål. Dessa myndigheter omfattas av begränsningar i utövandet av sin administrativa eller civila befogenhet att utfärda förelägganden, inte bara av sina egna regler, utan även genom oberoende rättslig granskning av förelägganden innan ett eventuellt rättsligt verkställande. Se t.ex. Fed. R. Civ. s. 45. Myndigheter kan endast begära åtkomst till uppgifter som är relevanta för frågor som omfattas av deras tillsynsbefogenhet. En person som mottar ett administrativt föreläggande kan dessutom bestrida verkställandet av detta i domstol genom att lägga fram bevis för att myndigheten inte har agerat enligt grundläggande skälighetsnormer, vilket har diskuterats tidigare.

Det finns andra rättsliga grunder för företag att bestrida administrativa myndigheters förfrågningar om åtkomst till uppgifter som grundas på den bransch som företaget är verksamt i och vilka typer av uppgifter som de innehar. Finansinstitut kan t.ex. bestrida administrativa förelägganden om tillgång till vissa typer av information genom att hävda att de strider mot lagen om banksekretess och dess genomförandeföreskrifter. Se 31 U.S.C. § 5318, 31 C.F.R. del X. Andra företag kan hänvisa till lagen om rättvis kreditrapportering, se 15 U.S.C. § 1681b eller en samling andra branschspecifika lagar. Om en myndighet missbrukar sin befogenhet att utfärda förelägganden kan myndigheten eller dess tjänstemän bli skadeståndsskyldiga. Se t.ex. Right to Financial Privacy Act, 12 U.S.C. §§ 3401–3422. Domstolar i Förenta staterna är därför väktare mot olämpliga lagstadgade förfrågningar och utövar oberoende tillsyn av federala myndigheters verksamhet.

Avslutningsvis måste administrativa myndigheters eventuella lagstadgade befogenheter att fysiskt beslagta register som tillhör företag i Förenta staterna inom ramen för en administrativ genomsökning uppfylla kraven i fjärde tillägget. Se See mot City of Seattle, 387 U.S. 541 (1967).

Slutsats

All brottsbekämpande verksamhet och tillsynsverksamhet i Förenta staterna måste uppfylla tillämplig lagstiftning, inklusive Förenta staterna:s konstitution, lagar, regler och föreskrifter. Sådana verksamheter måste också överensstämma med tillämpliga riktlinjer, bland annat justitieministerns riktlinjer för federal brottsbekämpningsverksamhet. Den rättsliga ram som beskrivs ovan begränsar amerikanska brottsbekämpnings- och tillsynsmyndigheters möjligheter att erhålla information från företag i Förenta staterna, vare sig informationen rör amerikanska eller utländska medborgare, och föreskriver dessutom rättslig granskning av eventuella regeringsförfrågningar om uppgifter enligt dessa befogenheter.

(1)  Denna översikt omfattar inte de utredningsverktyg inom ramen för den nationella säkerheten som används av de brottsbekämpande myndigheterna i utredningar om terrorism och andra utredningar som rör den nationella säkerheten, inklusive nationella säkerhetsskrivelser (National Security Letters) för viss registerinformation i kreditrapporter, finansiella register och elektroniska abonnent- och transaktionsregister, se 12 U.S.C. § 3414, 15 U.S.C. § 1681u, 15 U.S.C. § 1681v, 18 U.S.C. § 2709, och för elektronisk övervakning, husrannsakningsorder, företagsregister och annan insamling av kommunikation i enlighet med lagen om underrättelseverksamhet och övervakning utomlands, se 50 U.S.C. § 1801 och följande.

(2)  I denna skrivelse diskuteras federal brottsbekämpande verksamhet och federala tillsynsmyndigheter. Lagöverträdelser utreds av staterna och behandlas i deras domstolar. Statliga brottsbekämpande myndigheter använder generellt beslut och förelägganden som utfärdas enligt statlig lag på samma sätt som beskrivs här, men statliga rättsprocesser kan skyddas genom staternas konstitutioner, som har företräde framför den amerikanska konstitutionen. Det lagstadgade statliga skyddet måste åtminstone motsvara det skydd som den amerikanska konstitutionen ger, inklusive men inte begränsat till det fjärde tillägget.