СЪОБЩЕНИЕ НА КОМИСИЯТА ДО ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И СЪВЕТА

относно функционирането на „сферата на неприкосновеност на личния живот“ („Safe Harbour“) от гледна точка на  гражданите на ЕС и дружествата, установени в ЕС

1. Въведение

Директива 95/46/ЕО от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (по-нататък наричана „Директива за защита на данните“) определя правилата за предаване на лични данни от държавите — членки на ЕС, на други държави извън ЕС[1], доколкото такива предавания попадат в обхвата на този инструмент[2].

Съгласно Директивата Комисията може да установи, че дадена трета държава осигурява адекватно ниво на защита по силата на националното си законодателство или на международните задължения, които е поела, с цел да се защитят правата на лицата. В такъв случай не се прилагат специалните ограничения относно предаването на данни към такава държава. Тези решения се наричат с общото наименование „решения във връзка с адекватността на защитата“.

На 26 юли 2000 г. Комисията прие Решение 520/2000/ЕО[3] (наричано по-долу „Решението за „сфера на неприкосновеност на личния живот“), признаващо принципите за сфера на неприкосновеност на личния живот и свързаните с това често задавани въпроси (съответно „принципите“ и „често задаваните въпроси“), публикувани от Департамента по търговия на САЩ, като осигуряващи адекватна защита за целите на предаването на лични данни от ЕС. Решението за „сфера на неприкосновеност на личния живот“ бе прието след като държавите членки приеха с квалифицирано мнозинство становища в рамките на Работната група по член 29 и Комитета по член 31. В съответствие с Решение 1999/468 на Съвета Решението за „сфера на неприкосновеност на личния живот“ бе предмет на предварителен контрол от Европейския парламент.

В резултат на това настоящото Решение за „сфера на неприкосновеност на личния живот“ позволява свободно предаване[4] на лични данни от държавите членки на ЕС[5] към предприятия от САЩ, които са приели принципите, при условия, при които предаването иначе не отговаря на стандартите на ЕС за адекватно ниво на защита на данните предвид съществените различия в областта на режима, уреждащ неприкосновеността на личния живот от двете страни на Атлантическия океан.

Функционирането на настоящите договорености за сфера на неприкосновеност се основава на самосертифицирането и поемането на ангажимент за изпълнение от дружествата, решили да се присъединят към тези договорености. Подписването на тези договорености е доброволно, но правилата, които се съдържат в тях, са задължителни за тези, които са ги подписали. Основните принципи на една такава договореност са:

а)   прозрачност на политиките за защита на личния живот на присъединилите се дружества,

б)   включване на принципите за сфера на неприкосновеност на личния живот в политиката за защита на личния живот на дружествата и

в)   прилагане, включително от страна на публичните органи.

Тези основи на сферата на неприкосновеност на личния живот трябва да бъдат преразгледани в новия контекст на:

а)   значителното увеличаване на потока от данни, които доскоро бяха от периферно, но сега са от централно значение за бързия растеж на цифровата икономика, както и фундаменталните промени в събирането, обработката и използването на данни,

б)   изключителното значение на обмена на данни, особено за трансатлантическата икономика,[6]

в)   бързото нарастване на броя на дружествата в САЩ, които се присъединяват към схемата за сфера на неприкосновеност (осемкратно нарастване от 2004 г. насам — 400 дружества през 2004 г., 3 246 през 2013 г.),

г)   наскоро изнесената информация за американските програми за наблюдение, която повдига нови въпроси относно нивото на защита на правото на личен живот, което договореностите за сфера на неприкосновеност би трябвало да гарантират.

В този контекст настоящото съобщение прави преглед на функционирането на схемата за сфера на неприкосновеност. То се основава на данни, събрани от Комисията, на работата на Контактната група ЕС —САЩ по въпросите на защитата на личния живот през 2009 г., на проучване, изготвено от независим изпълнител през 2008 г.[7], и на информация, получена в Работната група ad hoc ЕС —САЩ („Работната група“), създадена след разкритията във връзка с програмите на САЩ за наблюдение  (вж. паралелно изготвения документ). Настоящото съобщение следва двата доклада на Комисията от 2002 г.[8] и 2004 г.[9] за оценка на началния период на функциониране на договореностите за сфера на неприкосновеност.

2.           Структура и функциониране на сферата на неприкосновеност на личния живот

2.1.        Структура на сферата на неприкосновеност на личния живот

Американско дружество, което желае да се присъедини към договореностите за сфера на неприкосновеност трябва: а) да посочи в обществено достъпната си политика в областта на защитата на личния живот, че се задължава да следва и че реално спазва принципите, както и б) да се самосертифицира, т.е. да декларира пред Департамента по търговия на САЩ, че спазва въпросните принципи. Самосертифицирането трябва да се извършва отново всяка година. Принципите за сфера на неприкосновеност, изложени в приложение I към Решението за „сфера на неприкосновеност на личния живот“, включват както изисквания относно материалната защита на личните данни (принципите за пълнота на данните, сигурност, избор и последващо предаване), така и относно процесуалните права на субектите на данни (принципите за нотификация, достъп и прилагане).

Две институции играят основна роля по отношение на прилагането на схемата за сфера на неприкосновеност в САЩ: Департаментът по търговия и Федералната търговска комисия.

Департаментът по търговия разглежда всяко самосертифициране по схемата и всяко годишно подаване на заявка за пресертифициране от дружествата, за да гарантира, че в тях се съдържат всички изискуеми елементи за участието на дружествата в схемата[10]. Департаментът поддържа и актуализира списък с дружествата, които са подали заявки за самосертифициране, и го публикува заедно със заявките на своята интернет страница. Освен това той контролира как схемата функционира и заличава от списъка дружествата, които не спазват принципите.

Федералната търговска комисия, в рамките на своите правомощия в областта на защитата на потребителите, се намесва срещу некоректните или измамните практики, в съответствие с раздел 5 от Закона за Федералната търговска комисия. Действията по правоприлагане на Федералната търговска комисия включват проверки на неверни твърдения за придържане към сферата на неприкосновеност на личния живот и неспазването на принципите, свързани с нея, от дружествата, които участват в схемата. В специфичните случаи на прилагане на принципите на сферата на неприкосновеност срещу въздушни превозвачи, компетентният орган е Департамента по транспорта на САЩ[11].

Настоящото Решение за „сферата на неприкосновеност на личния живот“ е част от законодателството на ЕС, което трябва да се прилага от органите на държавите членки. Съгласно Решението в определени случаи националните органи на държавите членки за защита на данните (ОЗД) имат правото да спрат предаването на данни на дружества, сертифицирани по схемата за сферата на неприкосновеност на личния живот[12]. На Комисията не е представена информация за такива случаи от създаването на схемата за сферата на неприкосновеност през 2000 г. Независимо от правомощията, които са им предоставени по силата на Решението за „сферата на неприкосновеност на личния живот“, националните органи за защита на данните в ЕС са компетентни да се намесват, включително в случаи на международно предаване на данни, с цел да гарантират спазването на общите принципи за защита на данните, предвидени в Директивата на ЕС за защита на данните от 1995 г.

Както се припомня от настоящото Решение за „сферата на неприкосновеност на личния живот“, Комисията е компетентна, в съответствие с процедурата за разглеждане, предвидена в Регламент 182/2011, да адаптира решението, да спре временно прилагането му или да ограничи обхвата му по всяко време в светлината на натрупания опит от неговото прилагане. Това по-конкретно се предвижда при системно неизпълнение от американска страна, например в случаите, когато даден орган, отговорен за осигуряване на спазването на принципите за сфера на неприкосновеност в САЩ, не изпълнява ефективно ролята си или ако нивото на защита, предоставено съгласно принципите, не може да бъде гарантирано по силата на изискванията на законодателството на САЩ. Както всяко друго решение на Комисията, то може също да бъде изменено по други причини или дори отменено.

2.2.        Функциониране на сферата на неприкосновеност на личния живот

3246-те[13] сертифицирани дружества включват както малки, така и големи дружества[14]. Въпреки че финансовите услуги и телекомуникациите са извън изпълнителните правомощия на Федералната търговска комисия и следователно са изключени от сферата на неприкосновеност, много сектори на промишлеността и услугите са представени сред сертифицираните дружества, включително добре известни интернет компании и отрасли, вариращи от информационни и компютърни услуги до фармацевтични продукти, услуги за туризъм и пътувания, здравеопазване или кредитни карти[15]. Това са предимно американски дружества, които предоставят услуги на вътрешния пазар на ЕС. Има и дъщерни дружества на някои европейски фирми, като Nokia или Bayer. 51 % от сертифицираните дружества са фирми, които обработват данни на служители в Европа, предавани на САЩ за цели, свързани с човешките ресурси[16].

Наблюдава се нарастваща загриженост сред някои органи за защита на данните в ЕС относно предаването на данни в рамките на настоящата схема за сфера на неприкосновеност. Някои органи за защита на данните в ЕС отправиха критики по отношение на прекалено общата формулировка на принципите и прекаленото разчитане на самосертифициране и саморегулиране. Подобни опасения бяха изразени от промишлеността във връзка с  нарушаване на конкуренцията, причинено от липсата на достатъчен контрол за спазването на принципите.

Настоящите договорености за сфера на неприкосновеност се основават на доброволното им спазване от дружествата, на самосертифицирането от страна на тези присъединяващи се дружества и на контрола от страна на публичните органи за изпълнение на ангажиментите, поети със самосертифицирането. В този контекст всяка липса на прозрачност и евентуални недостатъци при изпълнението подкопават основите, на които се гради схемата за сфера на неприкосновеност.

Всяка липса на прозрачност или недобро прилагане от страна на САЩ води до изместване на отговорността към европейските органи за защита на данните и към дружествата, които използват схемата. На 29 април 2010 г. органите за защита на данните в Германия издадоха решение, което изисква от дружествата, предаващи данни от Европа към САЩ, да проверяват активно дали дружествата в САЩ, внасящи данни, действително спазват принципите за сфера на неприкосновеност и препоръчва на „дружеството износител поне да установи дали сертификатът за „сфера на неприкосновеност на личния живот“ на вносителя е все още валиден“[17].

На 24 юли 2013 г., вследствие на разкритията за американските програми за наблюдение, немските ОЗД изразиха още по-сериозна загриженост, че „съществува значителна вероятност принципите в решенията на Комисията да са нарушени“[18]. Съществуват случаи, в които някои ОЗД (например ОЗД на Бремен) са поискали от дружеството, предаващо лични данни на американски доставчици, да го информират дали и как въпросните доставчици предотвратяват достъп до данните на Националната агенция за сигурност. Ирландският ОЗД съобщи, че след разкритията, засягащи програмите на американските разузнавателните агенции,  наскоро е получил две жалби, в които става въпрос за програмата за „сфера на неприкосновеност на личния живот“, но е отказал да ги разследва тъй като предаването на лични данни към третата държава е отговаряло на изискванията на ирландското законодателство за защита на данните. След подобна жалба, люксембургският ОЗД установи, че Microsoft и Skype са спазили люксембургския Закон за защита на данните при предаването на данни на САЩ[19]. Въпреки това оттогава насам ирландският High Court допусна иск за съдебен контрол, по който ще разгледа бездействието на ирландския комисар за защита на личните данни във връзка с американските програми за наблюдение. Една от двете жалби бе подадена от студентска група Europe v Facebook (EvF), която също подаде друга подобна жалба срещу Yahoo в Германия, която се разглежда от съответните органи за защита на личните данни.

Тези различаващи се отговори на органите за защита на личните данни по отношение на разкритията, свързани с американската програма за наблюдение, показаха реалния риск от разпокъсване на схемата за и повдигат въпроси, свързани с степента, до която тя се привежда в изпълнение.

3.           Прозрачност на политиките за защита на личния живот на присъединилите се дружества

По силата на често задаван въпрос 6, приложен към Решението за „сфера на неприкосновеност на личния живот“ (приложение II), дружествата, заинтересовани от сертифицикация по схемата, трябва да предоставят своята политика за защита на личните данни на Департамента по търговия и да я направят обществено достъпна. В нея трябва да се съдържа ангажимент за придържане към принципите за сфера на неприкосновеност. Изискването да се оповестяват политиките за защита на личния живот на самосертифицираните дружества, както и декларацията им да се придържат към принципите за сфера на неприкосновеност са от решаващо значение за функционирането на схемата.

Недостатъчната достъпност на политиките за защита на личния живот на такива дружества е в ущърб на лицата, чиито лични данни се събират и обработват, и може да представлява нарушение на принципа на нотификация. В такива случаи лицата, чиито данни се предават от ЕС, може да не са запознати с правата си, както и със задълженията, с които трябва да се съобразява самосертифицираното дружество.

Освен това ангажиментът на дружествата да се съобразяват с принципите за сфера на неприкосновеност дава основание на Федералната търговска комисия да упражни правомощията си да осигури спазване на принципите по принудителен ред в случай на тяхното неспазване от дружествата под формата на некоректна или измамна практика. Липсата на прозрачност от страна на дружествата в САЩ затруднява надзора на Федералната търговска комисия и подкопава ефективността на правоприлагането.

През годините значителен брой самосертифицирани дружества не са оповестили публично своите политики за защита на личния живот и/или не са направили публично изявление за придържане към принципите за сфера на неприкосновеност. Докладът на Комисията от 2004 г. за оценка на функционирането на схемата изтъкна необходимостта Департаментът по търговия да бъде по-активен в проверките си за съобразяване с това изискване.

От 2004 г. насам Департаментът по търговия разработи нови информационни инструменти, насочени към подпомагане на дружествата в изпълнението им на задължението за прозрачност. Съответната информация за схемата е достъпна на уебсайта на Департамента по търговия, посветен на сферата на неприкосновеност на личния живот[20]. Същият уебсайт също така позволява на дружествата да качват в него своите политики за защита на личния живот. Департаментът по търговия съобщи, че дружествата са се възползвали от тази възможност и са публикували политиките си за защита на личния живот на уебсайта на Департамента при подаването на заявление за присъединяване към схемата за сфера на неприкосновеност на личния живот[21]. Освен това в периода 2009 — 2013 г. Департаментът публикува серия от насоки за дружествата, желаещи да се присъединят към схемата, като „Наръчник за самосертифициране“ и „Полезни съвети за спазване на ангажиментите, поети със самосертифицирането“[22].

Различните дружества се съобразяват в различна степен със задълженията за прозрачност. Някои дружества се ограничават до изпращането на Департамента по търговия на описание на политиките си за защита на личния живот в рамките на процеса на самосертифициране, докато повечето дружества публикуват тези политики на своите уебсайтове, в допълнение към качването им на уебсайта на Департамента по търговия. Тези политики обаче не винаги са представени в ориентирана към потребителите и лесна за прочитане форма. Електронните препратки към политиките за защита на личния живот не винаги функционират и водят до правилната уебстраница.

От Решението и приложенията към него следва, че изискването дружествата да оповестяват публично своите политики за защита на личния живот надхвърля нотификацията за самосертифициране до Департамента по търговия. Изискванията за сертифициране, както са изложени в често задаваните въпроси, включват освен описание на политиката за защита на личния живот и прозрачна информация относно това къде обществеността може да се запознае с тази политика[23]. Политиките за защита на личния живот  трябва да бъдат ясни и лесно достъпни за обществеността. Те трябва да включват електронна препратка към уебсайта на Департамента по търговия, посветен на сферата на неприкосновеност на личния живот , на който има списък с всички „актуални“ членове на схемата и препратка към органа за алтернативно разрешаване на спорове. Определен брой участващи в схемата дружества обаче не спазиха тези изисквания в периода 2000 — 2013 г. По време на работните контакти с Комисията през февруари 2013 г. Департаментът по търговия отчете, че до 10 % от сертифицираните дружества може да не са публикували на публичните си уебсайтове своята политика за защита на личния живот, в която се съдържа декларацията за придържане към принципите за сфера на неприкосновеност на личния живот.

Последните статистически данни показват също постоянен проблем, свързан с неверни твърдения за присъединяване към схемата за сфера на неприкосновеност на личния живот. Около 10 % от дружествата, които твърдят, че са част от схемата, не са посочени в списъка на Департамента по търговия като „актуални“ членове[24].  Тези неверни твърдения се поддържат както от дружества, които никога не са били участници в схемата, така и от дружества, които са се включили в нея, но след това не са подавали всяка следваща година своята декларация за самосертифициране пред Департамента по търговия. В такъв случай те продължават да фигурират на уебсайта за сферата на неприкосновеност на личния живот, но статусът им е „неактуален“, което означава, че дружеството е било член на схемата и съответно е задължено да продължава да предоставят закрила на вече обработени данни.  Федералната търговска комисия е компетентна да се намесва в случаи на измамни практики и неспазване на принципите за сфера на неприкосновеност на личния живот (вж. раздел 5.1). Неяснотата, породена от подобни неверни твърдения, влияе негативно надеждността на схемата.

Европейската комисия сигнализира в редовните с контакти с Департамента по търговия през 2012 и 2013 г., че не е достатъчно дадено дружество да предостави на Департамента само описание на политиката си за защита на личния живот, за да се съобрази с изискванията за прозрачност. Политиките за защита на личния живот трябва да бъдат оповестени публично. Департаментът по търговия също така бе помолен да засили своя периодичен контрол върху уебсайтовете на дружествата след проверката, извършена при първото самосертифициране или годишното му подновяване, и да предприеме действия срещу онези дружества, които не изпълняват изискванията за прозрачност.

Като първа стъпка в отговор на изразените от ЕС опасения, от март 2013 г. Департаментът по търговия задължава дружествата, участващи в схемата за сфера на неприкосновеност и притежаващи публичен уебсайт, да публикуват там своята политика за защита на личния живот при обработване на данни на клиенти/потребители. В същото време, Департаментът по търговия започна да уведомява всички дружества, чиято политика за защита на личния живот все още не включва препратка към уебсайта на Департамента, посветен на сферата на неприкосновеност на личния живот, да добавят такава, като по този начин направят пряко достъпни за потребителите, които посещават уеб страницата на дружеството, уебсайта на Департамента и официалния списък на самосертифицираните дружества. Това ще позволи на европейските субекти на данни да проверяват незабавно, без допълнително търсене в интернет, какви са ангажиментите на дружеството, поети пред Департамента по търговия. Освен това Департаментът по търговия започна да уведомява дружествата, че в публикуваната им политика за защита на личния живот трябва да фигурира информация за връзка с техния независим орган за разрешаване на спорове[25].

Този процес следва да се ускори, за да се гарантира, че не по-късно от март 2014 г. всички сертифицирани дружества отговарят напълно на изискванията на сферата на неприкосновеност на личния живот (т.е. до изтичане на срока за годишното пресертифициране на дружествата, считано от въвеждането на новите изисквания през март 2013 г.)

Въпреки това продължават да съществуват опасения по отношение на това дали всички самосертифицирани дружества отговарят изцяло на изискванията за прозрачност. Спазването на задълженията, поети при първоначалното самосертифициране и годишното подновяване, следва да бъде подложено на по-строго наблюдение и проверки от Департамента по търговия.

4.           Включване на принципите за сфера на неприкосновеност в политиките за защита на личния живот на дружествата

Самосертифицираните дружества трябва да спазват принципите за сфера на неприкосновеност, определени в приложение I към Решението, за да получат и запазят ползите, които им носи участието в схемата.

В доклада си от 2004 г. Комисията посочи, че значителен брой дружества не са включили правилно принципите в политиките си за обработка на данни. Например лицата не винаги са получавали ясна и прозрачна информация за целите, за които техните данни са били обработени, или не им е била предоставена възможността да изберат ("opt out") дали личната информация за тях може да бъде разкрита на трета страна или да бъде използвана за цел, несъвместима с тази, за която тези данни са били първоначално събрани. В доклада си от 2004 г. Комисията счете, че Департаментът по търговия „следва да бъде по-активен по отношение на достъпа до сферата на неприкосновеност на личния живот и към осведомеността относно принципите“[26].

В това отношение бе постигнат ограничен напредък. От 1 януари 2009 г. политиката на всяко дружество за защита на личния живот, което иска да поднови своя сертификационен статус (който подлежи на годишно подновяване), се оценява от Департамента по търговия преди подновяването. Оценката обаче е ограничена по обхват. Не се извършва цялостна оценка на действителната практика в самосертифицираните дружества, което значително би увеличило доверието в процеса на самосертифициране.

В отговор на исканията на Комисията за по-стриктен и систематичен надзор на самосертифицираните дружества от Департамента по търговия, в момента се обръща повече внимание на новите заявки за участие в схемата. Броят на новите заявки, които не са били приети и са били изпратени обратно на дружествата за въвеждане на подобрения в политиката за защита на личния живот, се увеличи значително между 2010 и 2013 г.: той се удвои за дружествата, търсещи пресертифициране, и се утрои за новите участници в схемата.[27]. Департаментът по търговия увери Комисията, че всяко сертифициране или пресертифициране ще бъде одобрявано само ако политиката на дружеството за неприкосновеност на личния живот отговаря на всички изисквания, а именно включва ангажимент за придържане към съответния набор от принципи за сфера на неприкосновеност и политиката му за защита на личния живот е общодостъпна. Дружеството трябва да посочи в своето досие по схемата къде точно е публикувана съответната политика. От него също така се изисква да определи ясно на своя уебсайт органа за алтернативно разрешаване на спорове и да включи препратка към рубриката на уебсайта на Департамента по търговия, посветена на самосертифицирането и сферата на неприкосновеност на личния живот. При все това има данни, че повече от 30 % от членовете по схемата не предоставят информация за органа за алтернативно разрешаване на спорове в политиките си за защита на личния живот, публикувани на техните уебсайтове[28].

По-голямата част от дружествата, които Департаментът по търговия извади от списъка за сфера на неприкосновеност на личния живот, бяха отстранени по тяхно изрично искане (например дружества, които са се слели или са били придобити, такива, които са променили своята област на дейност или са прекратили дейността си). По-малък брой регистрации на неактуални дружества са били заличени, когато се е установило, че уебсайтовете, посочени в регистрациите, не функционират и статусът на тези дружества е бил „неактуален“ в продължение на няколко години[29]. Важно е да се отбележи, че нито едно от тези заличавания не е било направено вследствие на проверка на Департамента по търговия, довела до установяването на проблеми по отношение на спазването на схемата.

Вписването в Списъка за сфера на неприкосновеност на личния живот служи за публично уведомление и удостоверение за поетите от дружеството ангажименти за защита на личния живот. Ангажиментът да се спазват принципите за сфера на неприкосновеност на личния живот не е ограничен във времето по отношение на данните, получени през периода, в който дружеството се е ползвало от статута на участник по схемата, и то трябва да продължи да прилага принципите по отношение на тези данни докато ги съхранява, използва или разпространява, дори ако вече не участва в схемата по каквато и да е причина.

Броят на подалите заявка за включване в схемата, чиито заявки са били отхвърлени при административното разглеждане от Департамента по търговия и следователно не са били добавени към списъка за сфера на неприкосновеност на личния живот, е следният: през 2010 г. едва 6 % (33) от 513-те подаващи за първи път заявка дружества не са били включени в списъка, защото не са отговаряли на стандартите на Департамента по търговия за самосертифициране. През 2013 г. едва 12 % (75) от 605-те подаващи за първи път заявка дружества не са били включени в списъка, защото не са отговаряли на стандартите на Департамента по търговия за самосертифициране.

Като минимално изискване за увеличаване на прозрачността на контрола, който извършва, Департаментът по търговия следва да изброи на своя уебсайт всички дружества, които са били извадени от схемата за сфера на неприкосновеност на личния живот, и да посочи причините поради които сертификатите им не са били подновени. Статусът „неактуален“ в списъка на Департамента следва да има не само информативна цел, а да бъде придружен от ясно предупреждение — както вербално, така и графично — че дружеството понастоящем не спазва изискванията за сфера на неприкосновеност на личния живот.  

Освен това някои дружества все още не са включили в своите политики всички принципи за сфера на неприкосновеност на личния живот. Като оставим настрана въпроса за прозрачността, разгледан в раздел 3 по-горе, политиките за защита на личния живот на самосертифицираните дружества са често пъти неясни по отношение на целите, за които се събират данните, както и правото на избор дали данните могат да бъдат разкривани пред трети страни. По този начин се повдигат въпроси относно спазването на принципите за „нотификация“ и „избор“. Нотификацията и изборът са от решаващо значение, за да могат субектите на данни да упражняват контрол върху това, което се случва с техните лични данни. 

Основната първа стъпка в процеса на привеждане в съответствие, а именно включването на принципите за сфера на неприкосновеност в политиките за защита на личния живот на дружествата, не е гарантирана в достатъчна степен. Департаментът по търговия следва да разгледа с приоритет този въпрос, като разработи методология за постигане на съответствие в оперативната практика на дружествата и техните взаимоотношения с клиентите. Департаментът по търговия трябва да осигури активно проследяване на това доколко дружествата реално са интегрирали принципите за сфера на неприкосновеност в своите политики за защита на личния живот, вместо да оставя действията за привеждане в съответствие да се задействат само от жалби на физически лица.

5.           Прилагане от страна на публичните органи

На разположение са редица механизми, за да се гарантира ефективното прилагане на схемата за сфера на неприкосновеност на личния живот и да се предоставят средства за защита на лицата в случаите, когато защитата на техните лични данни е засегната от неспазването на принципите на личната неприкосновеност.

В съответствие с принципа за прилагане, политиките на самосертифицираните организации за защита на личния живот трябва да включват ефективни механизми, които да гарантират спазването на принципите на личната неприкосновеност. В съответствие с принципа за прилагане и разясненията, дадени в често задавани въпроси 11, 5 и 6, това изискване може да бъде спазено с присъединяването към независими механизми за подаване на жалби,  които публично са обявили своята компетентност за разглеждане на жалби при неспазване на принципите за личната неприкосновеност. Като алтернатива, това може да бъде постигнато чрез ангажимент на организацията да си сътрудничи с Групата на ЕС за защита на данните[30]. Освен това самосертифицираните дружества са под юрисдикцията на Федералната търговска комисия съгласно раздел 5 от Закона за Федералната търговска комисия, който забранява некоректните или измамни действия и практики във или засягащи търговията[31].

В Доклада от 2004 г. са изразени опасения по отношение на прилагането на схемата за сфера за неприкосновеност на личния живот, и по-специално с оглед на това, че Федералната комисия за търговия следва да бъде по-активна при започването на разследвания и повишаването на осведомеността на гражданите за техните права.  Друга област, предмет на загриженост, бе липсата на яснота по отношение на компетентността на Федералната търговска комисия да предприема действия за привеждането в изпълнение на принципите, когато става въпрос за данни, свързани с човешките ресурси.

Органът за разглеждане на жалби по отношение на данни, свързани с човешките ресурси – Групата на ЕС за защита на данните на ЕС – е получил една такава жалба[32]. При все това, липсата на жалби не позволява да се правят заключения по отношение на пълноценното функциониране на схемата.  Следва да се въведат служебни проверки на дружествата, за да се провери действителното изпълнение на ангажиментите за защита на личните данни. Органите за защита на данните в ЕС следва също да предприемат действия за повишаване на осведомеността по отношение на съществуването на Групата.

Бяха установени проблеми  във връзка с начина, по който алтернативните механизми за разглеждане на жалби функционират като органи по правоприлагане. Редица от тези органи не разполагат с подходящи средства, за да предприемат коригиращи действия в случаи на неспазване на принципите. Този недостатък трябва да бъде преодолян.

5.1.        Федералната търговска комисия

Федералната търговска комисия може да предприеме мерки по правоприлагане в случай на нарушения на ангажиментите, които дружествата са поели в областта на неприкосновеността на личния живот. Когато схемата за сфера на неприкосновеност на личния живот бе създадена, Федералната комисия за търговия пое ангажимент да разглежда приоритетно всички случаи, отнесени към нея от компетентните органи на държавите членки на ЕС[33]. Тъй като за първите десет години на споразумението не бяха получени оплаквания, Федералната търговска комисия реши да следи за евентуално нарушаване на принципите за неприкосновеност по схемата във всяко разследване, свързано с неприкосновеността на личния живот и сигурността на данните, което извършва. От 2009 г. насам Федералната търговска комисия е предприела 10 действия по правоприлагане срещу дружества поради нарушения на сферата на неприкосновеност на личния живот. Тези действия доведоха по-специално до  нареждания за споразумения, при условие за заплащане на значителни глоби, забраняващи заблуждаващо представяне на политиките за защита на личния живот, включително и по отношение на договореностите за сфера на неприкосновеност на личния живот, и налагащи на дружествата цялостни програми и одити в областта на защитата на личния живот за 20 години. Дружествата трябва да приемат извършването на независими оценки на програмите си за неприкосновеност на личния живот по искане на Федералната търговска комисия. Тези оценки се докладват редовно на Федералната търговска комисия. Нарежданията на Федералната търговска комисия също забраняват на тези дружества да подават невярна информация относно практиките си в областта на неприкосновеността на личния живот и участието си с схемата за сфера на неприкосновеност или други подобни схеми. Такъв бе случаят например на разследванията на Федералната търговска комисия срещу Google, Facebook и MySpace[34]. През 2012 г. Google се съгласи да плати глоба на стойност 22,5 млн. долара за уреждане със споразумение на спор относно твърдяно нарушение на  нареждане, за чието издаване е дал съгласие.  Във всички свои разследвания в областта на неприкосновеността на личния живот Федералната търговска комисия проверява служебно дали е налице нарушение на схемата за сфера на неприкосновеност.

Федералната търговска комисия потвърди наскоро своя ангажимент да разглежда приоритетно всички сигнали, получени от самосертифициращи се дружества и държави членки на ЕС, които са свързани с предполагаемо нарушение на принципите за неприкосновеност на личния живот[35].  Федералната търговска комисия е получила само няколко сигнала от европейските органи за защита на данните през последните три години.

Трансатлантическото сътрудничество между органите за защита на данните започна да се развива в последните месеци. Например на 26 юни 2013 г. Федералната търговска комисия и Службата на ирландския комисар за защита на данните подписаха меморандум за разбирателство относно оказването на взаимопомощ при прилагането на законодателството за закрила на личната информация в частния сектор. Меморандумът създава рамка за по-интензивно, оптимизирано и ефикасно сътрудничество при прилагането на законодателството в областта на неприкосновеността на личния живот[36]. 

През 2013 г. Федералната търговска комисия обяви допълнително увеличаване на проверките на дружества, които контролират големи бази данни с лична информация. Комисията също така създаде портал, където потребителите могат да подават жалби, свързани с нарушение на неприкосновеността на личния живот от американско дружество[37].

Федералната търговска комисия следва също така да увеличи усилията си за разследването на неверни твърдения за принадлежност към схемата за неприкосновеност. Дружество, което твърди на своя уебсайт, че се съобразява с изискванията на схемата за неприкосновеност, но не е в списъка с актуални членове, поддържан от Департамента по търговия, подвежда потребителите и злоупотребява с тяхното доверие. Подобни неверни твърдения отслабват доверието в системата като цяло и затова трябва да се отстраняват незабавно от уебсайтовете на дружествата. Дружествата следва да са правно обвързани със задължение да не заблуждават потребителите. Федералната търговска комисия следва да продължи да следи за откриването на неверни твърдения като това по случая Karnani, в който Комисия закри базиран в Калифорния уебсайт за фалшива регистрация по схемата за сфера на неприкосновеност на личния живот и измамни онлайн търговски практики, насочени към европейски потребители[38].

На 29 октомври 2013 г. Федералната търговска комисия обяви, че през последните месеци е започнала „много разследвания, свързани със спазването на договореностите за сфера на неприкосновеност на личния живот“ и че „през следващите месеци“ могат да се очакват повече действия по правоприлагане в това отношение. Федералната търговска комисия потвърди също, че е „ангажирана да търси начини да подобри своята ефикасност“ и че „ще продължава да приема всички сериозни сигнали, като например жалбата, получена през миналия месец от европейски орган за защита на потребителите, в която се твърди, че има голям брой нарушения на договореностите за неприкосновеност на личния живот“[39]. Комисията се ангажира също „систематично да следи за спазването на нарежданията, постановени по договореностите за неприкосновеност на личния живот, каквато е практиката с всички наши нареждания“.[40].

На 12 ноември 2013 г. Федералната търговска комисия информира Европейската комисия, че „ако политиката на дадено дружество за защита на личния живот  обещава защита по схемата на сфера на неприкосновеност на личния живот, нерегистрирането или неподдържането на регистрация от това дружество само по себе си не е достатъчно, за да избегне действия от страна на Комисията за осигуряване на спазване на тези ангажименти за защита на личния живот“[41].

През ноември 2013 г. Департаментът по търговията информира Европейската комисия, че „за да се гарантира, че дружествата не дават неверни твърдения за участие в схемата за сфера на неприкосновеност на личния живот, Департаментът ще започне да се свързва с членовете по схемата месец преди датата, на която трябва да подновят своя сертификат, за да им опише стъпките, които трябва да предприемат, ако решат да не се пресертифицират“. Департаментът по търговия „ще предупреди дружествата в тази категория да отстранят от политиките си защита на личния живот и уебсайтовете си всички позовавания на участието си в схемата, включително използването на сертификационния знак на Департамента за схемата, и ще ги уведоми недвусмислено, че при неспазване на това изискване подлежат на  действия по правоприлагане от страна на Федералната търговска комисия“[42].

За да се противодейства на подобни фалшиви твърдения за участие в схемата, уебсайтовете и политиките на самосертифицираните дружества за защита на личния живот следва винаги да включват препратка към уебсайта на Департамента по търговия, където са изброени всички „актуални“ членове на схемата. Това ще позволи на европейските субекти на данни да проверяват незабавно, без допълнително търсене в интернет, дали дадено дружеството е понастоящем член на схемата. Департаментът по търговия започна поставя това изискване към дружествата през март 2013 г., но процесът следва да се ускори.

Непрекъснатият контрол и последващото прилагане на договореностите от страна на Федералната търговска комисия по отношение на реалното спазване на принципите за сфера на неприкосновеност на личния живот – в допълнение към мерките, предприети от Департамента по търговия, посочени по-горе– остават ключови приоритети за гарантиране на правилното и ефективно функциониране на схемата. Необходимо е по-специално да се увеличи броят на служебните проверки и разследванията относно спазването на принципите от страна на дружествата.  Следва също да бъде допълнително улеснено подаването на жалби пред Федералната търговска комисия, свързани с констатирани нарушения.

5.2.        Група на ЕС за защита на данните

Групата на ЕС за защита на данните е орган, създаден по силата на Решението за „сфера на неприкосновеност на личния живот“. Той е компетентен да разглежда жалбите, подадени от физически лица, отнасящи се до лични данни, събрани в рамките на трудовоправните отношения, както и случаи, отнасящи се до сертифицирани дружества, които са избрали този вариант за разрешаване на спорове по силата на схемата (53 % от всички дружества). Състои се от представители на различни органи за защита на данните в ЕС.

Към момента Групата е получила четири жалби (две през 2010 г. и две през 2013 г.). Двете жалби от 2010 г. бяха препратени към националните органи за защита на данните (на Обединеното кралство и на Швейцария). Третата и четвъртата жалба са в процес на разглеждане. Ниският брой на жалбите може да се обясни с факта, че правомощията на Групата са основно ограничени до определени видове данни, както се споменава по-горе.

Ограниченият брой на случаите, с които се занимава Групата, може отчасти също да се обясни с липсата на осведоменост за съществуването ѝ. От 2004 г. насам Комисията осигури по-видно място за информацията относно Групата на своя уебсайт[43].

За да се извлече по-голяма полза от функционирането на Групата, дружествата в САЩ, които са избрали да си сътрудничат с нея и да се съобразяват с решенията ѝ, за някои или всички категории лични данни, обхванати от съответните им сертификати, следва ясно и видно да посочат това в ангажиментите си за защита на личния живот, за да се даде възможност на Департамента по търговия да контролира този аспект. На уебсайтовете на всички органи за защита на данните в ЕС следва да бъде създадена специална страница, посветена на договореностите за сфера на неприкосновеност на личния живот с цел повишаване на осведомеността на европейските дружества и субектите на данни относно схемата.

5.3.Подобряване на правоприлагането

Установените слабости по отношение на прозрачността и правоприлагането, посочени по-горе, доведоха до загриженост сред европейските дружества по отношение на отрицателното въздействие на схемата върху конкурентоспособността им. Когато европейско дружество се конкурира с американско дружество, опериращо в рамките на схемата, но което на практика не прилага принципите ѝ, европейското дружество е в конкурентно неизгодно положение по отношение на това американско дружество.

Освен това компетентността на Федералната търговска комисия обхваща също некоректните или измамните действия и практики „във или засягащи търговията“. Раздел 5 от Закона за Федералната търговска комисия предвижда изключения в компетентността на Комисията по отношение на некоректните или измамните действия и практики по отношение, наред с другото, на телекомуникациите. Тъй като са извън правомощията по правоприлагане на Федералната търговска комисия, телекомуникационните дружества не могат да се присъединяват към схемата за сфера на неприкосновеност на личния живот. Въпреки това, като се има предвид нарастващото сближаване на технологиите и услугите, много от техните преки конкуренти в американския ИКТ сектор са членове на схемата. Изключването на телекомуникационните дружества от обмена на данни по схемата е повод за тревога за някои европейски телекомуникационни оператори. Според Асоциацията на европейските оператори на телекомуникационни мрежи (ETNO) „това е в явно противоречие с най-важното искане на телекомуникационните оператори във връзка с необходимостта от равнопоставени условия на конкуренция“[44].

6.           Укрепване на принципите за сфера на неприкосновеност на личния живот

6.1.        Алтернативно разрешаване на спорове

Принципът за прилагане изисква наличието на  „системи за подаване на жалби, леснодостъпни и на разумна цена, които да позволят да се разгледа и реши всяка жалба или спор на физически лица “. За тази цел схемата установява система за алтернативно разрешаване на спорове (АРС) от независима трета страна[45], за да предостави на лицата възможност за бързо решение. Трите най-използвани организации, които функционират като механизми за разглеждане на жалби, са Групата на ЕС за защита на данните, BBB (Better Business Bureaus) и TRUSTe.

Използването на АРС се увеличи от 2004 г. насам и Департаментът по търговия увеличи мониторинга на американските доставчици на услуги за АРС, за да се гарантира, че информацията, която те предлагат за процедурата за обжалване е ясна, достъпна и разбираема. Въпреки това, ефективността на тази система все още не е доказана, поради ограничения брой на разгледаните досега случаи[46]. 

Въпреки че Департаментът по търговия успя да намали таксите, събирани от организациите, предоставящи АРС, две от седемте основни организации, предоставящи АРС, продължават да събира такси от лица, които подават жалба[47]. Това са организациите, предоставящи АРС, използвани от около 20 % от участниците по схемата. Тези дружества са избрали организация, предоставяща АРС, която събира такси от потребителите за подаване на жалби. Такива практики не отговарят на принципа за прилагане по схемата, който дава на право на физическите лица на достъп до „лесно достъпни и финансово изгодни независими механизми за обжалване“. В Европейския съюз достъпът до независим механизъм за разрешаване на спорове, предоставен от Групата на ЕС за защита на личните данни, е безплатен за всички субекти на данни.

На 12 ноември 2013 г. Департаментът по търговия потвърди, че „ще продължи да отстоява неприкосновеността на личния живот в името на европейските граждани и ще работи с предоставящите АРС организации, за да определи дали техните такси могат да бъдат понижени още“.

По отношение на санкциите не всички от предоставящите АРС организации притежават необходимите инструменти, за да коригират неспазване на принципите за защита на личния живот. Впрочем публикуването на случаите на неспазване изглежда не е предвидено в диапазона от санкции и мерки на всички организации, предоставящи АРС.

От предоставящите АРС организации се изисква също да отнасят до Федералната търговска комисия случаите, в които дружеството не се съобрази с резултата от процеса за АРС или отхвърли решението, така че Федералната търговска комисия да може да прегледа и разследва и, ако е необходимо, да предприеме  мерки по правоприлагане. До този момент обаче не е имало случаи на сезиране Федералната търговска комисия от организации, предоставящи АРС за неспазване на решения[48].

Предоставящите АРС организации поддържат на своите уебсайтове списъци на дружествата (участници в АРС), които използват техните услуги. Това позволява на потребителите лесно да проверят дали – в случай на спор с определено дружество – могат да подадат жалба до определена предоставяща АРС организация. Така например BBB изброява всички дружества, които са под неговата компетентност за разрешаване на спорове. Съществуват обаче много дружества, които твърдят, че участват в дадена система за разрешаване на спорове, но не са в списъците на участниците в схемата за АРС на съответната организация[49].

Механизмите за алтернативно разрешаване на спорове следва да са лесно достъпни, независими и финансово приемливи за лицата. Субектът на данни следва да може да подаде жалба без прекомерни препятствия. Всички организации за АРС следва да публикуват на интернет страниците си статистически данни относно обработените от тях жалби, както и конкретна информация за резултата от тях. Накрая, организациите за АРС следва да бъдат по-стриктно наблюдавани, за да се гарантира, че информацията, която предоставят относно процедурата и подаването на жалба е ясна и разбираема, така че разрешаването на спорове да се превърне в ефективен и надежден механизъм, даващ резултати. Следва също да се подчертае, че публикуването на случаите на неспазване следва да бъде включено в обхвата на задължителните санкции на организациите за алтернативно разрешаване на спорове.

6.2.        Последващо предаване

С експоненциалното нарастване на потоците данни е необходимо да се гарантира непрекъснатата защита на личните данни на всички етапи на тяхната обработка, по-специално когато данните се предават от дружество, което е член на схемата за неприкосновеност на личния живот, на трета страна, обработваща данните. Следователно необходимостта от по-доброто прилагане на схемата не засяга само членовете ѝ, но и подизпълнителите.

Схемата позволява последващо предаване на трета страна, която действа като представител, когато дружеството – член на схемата, „удостовери, че третата страна спазва принципите за „сфера на неприкосновеност на личния живот“ или е предмет на разпоредбите на директивата или всеки друг механизъм, удостоверяващ адекватното ниво на защита, или ако дружеството сключи писмено споразумение с третата страна, в което последната поеме задължението да гарантира поне същото ниво на защита, каквото се изисква от съответните принципи“[50]. Например Департаментът по търговия изисква от доставчик на услуги в облак да сключи договор, дори ако спазва принципите за сфера на неприкосновеност на личния живот и получава лични данни за обработка[51]. Въпреки това тази разпоредба не е ясна в приложение II към Решението за „сфера на неприкосновеност на личния живот“.

Тъй като използването на подизпълнители се увеличи значително през последните години, особено в контекста на изчисленията в облак, когато сключва договор за подизпълнение, дружеството по схемата за неприкосновеност следва да нотифицира Департамента по търговия и е длъжно да оповести гаранциите, които се предоставят за защита на личния живот[52]. 

Трябва допълнително да се пояснят посочените по-горе три въпроса: механизмът за алтернативно разрешаване на спорове, засиленият контрол и последващото предаване на данни.        

7.           Достъп до данни, предавани в рамките на схемата за неприкосновеност на личния живот

През 2013 г. информацията за мащаба и обхвата на програмите за наблюдение  на САЩ породи опасения за това дали личните данни, предавани законно на САЩ в рамките на схемата за неприкосновеност на личния живот, продължават да са защитени. Например всички дружества, участващи в програмата PRISM, които предоставят достъп на органите на САЩ до данни, съхранявани и обработвани в САЩ, изглеждат  сертифицирани по схемата за сфера на неприкосновеност. Това превърна схемата в един от каналите, посредством които се предоставя достъп на американските разузнавателни служби за събиране на лични данни, първоначално обработени в ЕС.

Решението за „сфера на неприкосновеност на личния живот“ предвижда в приложение 1, че спазването на принципите за защита на личните данни може да бъде ограничено, ако това е оправдано от съображения, свързани с националната сигурност, обществения интерес или изисквания на правоприлагането или със закон, правителствено регулиране или съдебна практика. С оглед на това ограниченията върху упражняването на основните права да бъдат валидни, те трябва да бъдат тясно тълкувани; те трябва да бъдат изложени в общодостъпен закон, да бъдат необходими и пропорционални в едно демократично общество. По-специално в Решението за „сфера на неприкосновеност на личния живот“ се посочва, че тези ограничения са разрешени само „до необходимата степен“ с оглед спазване изискванията за националната сигурност, обществения интерес или изискванията на правоприлагането[53].  Докато в рамките на схемата за неприкосновеност на личния живот е предвидена обработката в изключителни случаи на данни за целите на националната сигурност, обществения интерес или правоприлагането, широкомащабният достъп на разузнавателните служби до данни, предадени на САЩ в контекста на търговски трансакции, не бе предвидим по време на приемането на схемата.

Освен това, от съображения за прозрачност и правна сигурност, Европейската комисия следва да бъде нотифицирана от Департамента по търговия за всички законови или подзаконови нормативни актове, които могат да засегнат спазването на принципите за сфера на неприкосновеност на личния живот[54]. Използването на изключения следва да бъде внимателно наблюдавано и те не трябва да се използват по начин, който застрашава защитата, осигурена от принципите[55]. По-конкретно, широкомащабният достъп от американските власти до данни, обработвани от самосертифицирани дружества по схемата за неприкосновеност на личния живот, заплашва да подкопае поверителния характер на електронните комуникации.

7.1.        Пропорционалност и необходимост

От констатациите на Работната група ad hoc ЕС —САЩ по въпросите на защитата на личните данни става ясно, че определен брой правни основания по американското право позволяват широкомащабно събиране и обработка на лични данни, които са съхранявани или по друг начин обработвани от дружества със седалище в САЩ. Това може да включва данни, които са били предадени от ЕС на САЩ в рамките на схемата за сфера на неприкосновеност, и повдига въпроса за спазването на нейните принципи. Широкомащабният характер на тези програми може да доведе до достъп и допълнителна обработка на данни, предадени по схемата за сфера на неприкосновеност, от страна на американските власти извън пределите на строго необходимото и пропорционалното за защита на националната сигурност, както е предвидено в изключението в Решението за сфера на неприкосновеност на личния живот. 

7.2.        Ограничения и възможности за правна защита

От констатациите на Работната група ad hoc ЕС —САЩ по въпросите на защитата на личните данни става ясно, че гаранциите, предоставени по американското право са предимно на разположение на гражданите на САЩ или на законно пребиваващите лица там. Освен това не са предвидени възможности за субектите на данни от ЕС или САЩ да получат достъп, поправка или заличаване на данни, или административна или съдебна защита по отношение на събирането и по-нататъшното обработване на личните им данни, които се провеждат в рамките на американските програми за наблюдение. 

7.3.        Прозрачност

Дружествата не отразяват систематично в политиките си за защита на личния живот в кои случаи прилагат изключения от принципите. Ето защо лицата и дружествата не са наясно какво се прави с техните данни. Това е от особено значение във връзка с функционирането на въпросните програми за наблюдение на САЩ. В резултат на това европейските граждани, чиито данни се предават на американско дружество в рамките на схемата за сфера на неприкосновеност, може да не бъдат уведомени от американска страна, че до личните им данни може да бъде предоставен достъп[56]. Това повдига въпроса за съответствието с принципите на сфера на неприкосновеност  по отношение на прозрачността. Прозрачността следва да се гарантира във възможно най-голяма степен, без да се застрашава националната сигурност. В допълнение към съществуващите изисквания дружествата да посочват в своите политики за защита на личния живот случаите, когато принципите могат да бъдат ограничени със закон, правителствено регулиране или съдебна практика, дружествата следва също да бъдат насърчавани да посочват в кои случаи прилагат изключения от принципите с оглед спазване на изискванията за националната сигурност, обществения интерес или правоприлагането.

8.           Заключения и препоръки

От приемането си през 2000 г., схемата за сфера на неприкосновеност на личния живот се превърна в инструмент за обмена на потоци лични данни между ЕС и САЩ. Значението на ефикасната защита в случай на предаване на лични данни се увеличи поради същественото нарастване на потоците от данни, които са от централно значение за бързия растеж на цифровата икономика, както и фундаменталните промени в събирането, обработката и използването на данни. Интернет компании като Google, Facebook, Microsoft, Apple, Yahoo имат стотици милиони клиенти в Европа и предават лични данни за обработка в САЩ в мащаб, надвишаващ всичко, което е могло да се предвиди през 2000 г., когато бе създадена схемата за сфера на неприкосновеност на личния живот. 

Поради пропуски в прозрачността и прилагането на споразумението, продължават да съществуват специфични проблеми и трябва да се предприемат мерки относно:

а)   прозрачността на политиките на членовете на схемата за защита на личния живот ,

б)   ефективното прилагане на принципите за неприкосновеност на личния живот от дружества в САЩ, и

в)   ефикасността на прилагането.

Освен това широкомащабният достъп на разузнавателните служби до данни, предавани на САЩ от дружества, сертифицирани по схемата за сфера на неприкосновеност, повдига допълнителни сериозни въпроси относно това доколко правото на защита на личните данни на европейците продължава да бъде гарантирано, когато данните им се предават на САЩ.

Въз основа на посоченото по-горе, Комисията отправя следните препоръки:

Прозрачност

1. Самосертифицираните дружества следва да оповестяват публично своите политики за защита на личния живот. Не е достатъчно дружествата да предоставят на Департамента по търговия само описание на политиката си за защита на личния живот. Тези политики следва да бъдат достъпни за обществеността на уебсайтовете на дружествата и да са на ясен и разбираем език.

2. Политиките за защита на личния живот на самосертифицираните дружества следва винаги да включват препратка към уебсайта на Департамента по търговия, където са изброени всички „актуални“ членове на схемата. Това ще позволи на европейските субекти на данни да проверяват незабавно, без допълнително търсене в интернет, дали дадено дружеството е понастоящем член на схемата. Това ще помогне за увеличаване на доверието в схемата чрез намаляване на възможностите да се правят неверни твърдения за членство в нея. Департаментът по търговия започна да налага спазването на това  изискване от дружествата през март 2013 г., но процесът следва да се ускори.

3. Самосертифицираните дружества следва да публикуват условията за защита на личния живот, фигуриращи във всички договори, които сключват с подизпълнители, като например с доставчици на услуги в облак. Схемата позволява последващо предаване на данни от самосертифицирани дружества към трети страни, които действат като представители например към доставчици на услуги в облак. Според нашето разбиране, в такива случаи Департаментът по търговията изисква от самосертифицираните дружества да сключват договор. При все това, когато сключва такъв договор, дружеството по схемата за неприкосновеност следва също да нотифицира Департамента по търговия и да е задължено да оповести гаранциите, които се предоставят за защита на личния живот.

4. Ясно да се обозначат на уебсайта на Департамента по търговия всички дружества, които не са актуални членове на схемата. Статусът „неактуален“ в списъка на Департамента за членове на схемата следва да бъде придружен от ясно предупреждение, че дружеството понастоящем не спазва изискванията за сфера на неприкосновеност на личния живот. Освен това при „неактуален“ статус дружество е задължено да продължи да прилага изискванията за сфера на неприкосновеност на личния живот по отношение на данните, получени през периода, в който дружеството се е ползвало от статута на участник по схемата.  

Правна защита

5. Политиките за защита на личния живот на уебсайтовете на дружествата следва да включват препратка към механизма за алтернативно разрешаване на спорове (АРС) и/или Групата на ЕС.  Това ще позволи на европейските субекти на данни да се свържат незабавно с предоставяща АРС организация или Групата на ЕС в случай на проблеми. Департаментът по търговия започна да налага спазването на това изискване от дружествата през март 2013 г., но процесът следва да се ускори.

6. АРС следва да е лесно достъпно и на приемлива цена. Някои организации за АРС по схемата продължават да събират такси от физически лица за разглеждане на жалбата, които могат да бъдат твърде високи за отделен потребител (200-250 $). За разлика от това в Европа разглеждането на жалби по схемата от Групата за защита на данните е безплатно.

7. Департаментът по търговия следва да наблюдава по-систематично организациите, предоставящи АРС, по отношение на прозрачността и достъпността на предоставяната от тях информация за процедурата, която ползват, и последващите действия, които предприемат по отношение на жалбите. Това прави разрешаването на спорове ефективен и надежден механизъм, даващ резултати. Следва също да се подчертае, че публикуването на случаите на неспазване следва да бъде включено в обхвата на задължителните санкции на организациите за алтернативно разрешаване на спорове.

Прилагане

8. След сертифицирането или пресертифицирането на дружества — членове на схемата, определен процент от тях следва да бъде обект на служебни проверки, които да установят дали политиките на тези дружества за защита на личния живот се спазват на практика (тези проверки следва да надхвърлят контрола на съответствието с формалните изисквания).

9. Когато е имало установено нарушение, въз основа на подадена жалба или на разследване, на дружеството следва да бъде направена специална последваща проверка след 1 година.

10. В случай на съмнения относно спазването на изискванията от страна на дружеството или на висящи жалби, Департаментът по търговия следва да информира компетентния орган за защита на данните на ЕС.

11. Неверни твърдения за членство по схемата следва да продължат да бъдат разследвани. Дружество, което на своя уебсайт твърди, че се съобразява с изискванията на схемата за неприкосновеност, но не е в списъка с актуални членове, поддържан от Департамента по търговия, подвежда потребителите и злоупотребява с тяхното доверие. Подобни неверни твърдения отслабват доверието в системата като цяло и затова трябва да се отстраняват незабавно от уебсайтовете на дружествата.

Достъп на американските органи

12. Политиките на самосертифицираните дружества за защита на личния живот  следва да включват информация за това до каква степен законодателството на САЩ разрешава на публичните органи да събират и обработват данни, предадени по схемата за неприкосновеност на личния живот. По-специално, дружествата трябва да бъдат насърчавани да посочват в политиките си за защита на личния живот дали прилагат изключения от принципите, с оглед спазване изискванията за националната сигурност, обществения интерес или изискванията на правоприлагането.

13. Важно е изключението, свързано с националната сигурност, предвидено в Решението за „сфера на неприкосновеност на личния живот“, да се използва само в степен, която е строго необходима или пропорционална.

[1]               Членове 25 и 26 от Директивата за защита на данните установяват правната рамка за предаване на лични данни от ЕС към трети държави извън ЕИП.

[2]               Допълнителни правила са определени в член 13 от Рамково решение 2008/977/ПВР на Съвета от 27 ноември 2008 г. относно защитата на личните данни, обработвани в рамките на полицейското и съдебното сътрудничество по наказателноправни въпроси, доколкото такова предаване засяга лични данни, които се предават или предоставят от една държава членка на друга държава членка, която впоследствие възнамерява да предаде тези данни на трета държава или международен орган за целите на предотвратяването, разследването, откриването или наказателното преследване на престъпления или за изпълнението на наказания.

[3]               Решение 520/2000/ЕО на Комисията от 26 юли 2000 г. съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата, гарантирана от принципите за „сфера на неприкосновеност на личния живот“ и свързаните с това често задавани въпроси, публикувани от Департамента по търговия на САЩ (ОВ L 215, 25.8.2000 г., стр. 7).

[4]               Това не изключва възможността към обработката на данни да се прилагат други изисквания, които могат да съществуват в националното законодателство в приложение на Директивата на ЕС за защита на данните.

[5]               Предаването на данни от трите държави, участващи в ЕИП, също е обхванато, след като с Решение 83/1999 от 25 юни 1999 г. (ОВ L 296/41, 23.11.2000 г.) Директива 95/46/ЕО започна да се прилага за държавите, страни по Споразумението за ЕИП.

[6]               Според някои проучвания, ако услугите и трансграничните потоци от данни се нарушат вследствие на спиране на прилагането на задължителните фирмени правила, типовите договорни клаузи и договореностите за сфера на неприкосновеност на личния живот , отрицателното въздействие върху БВП на ЕС би могло да достигне от -0,8 % до -1,3 %, а износът на услуги от ЕС за САЩ ще спадне с -6,7 %, поради загубата на конкурентоспособност. Виж: „Важността от икономическа гледна точка на намирането на добро решение на проблема за защита на данните“, (The Economic Importance of Getting Data Protection Right) — проучване, проведено от Европейския център за международна политическа икономика (European Centre for International Political Economy) за Американската търговска камара, март 2013 г.

[7]               Проучване за оценка на въздействието, изготвено за Европейската комисия през 2008 г. от Centre de Recherche Informatique et Droit (CRID) към Намюрския университет.

[8]               Работен документ на службите на Комисията „Прилагане на Решение 520/2000/ЕО на Комисията от 26 юли 2000 г. съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата, гарантирана от принципите за „сфера на неприкосновеност на личния живот“ и свързаните с това често задавани въпроси, публикувани от Департамента по търговия на САЩ (SEC (2002) 196, 13.12.2002 г.).

[9]               Работен документ на службите на Комисията „Прилагане на Решение 520/2000/ЕО на Комисията от 26 юли 2000 г. съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата, гарантирана от принципите за „сфера на неприкосновеност на личния живот“ и свързаните с това често задавани въпроси, публикувани от Департамента по търговия на САЩ (SEC (2004) 1323, 13.12.2002 г.).

[10]             Ако сертифицирането или пресертифицирането на дадено дружество не отговаря на изискванията за „сферата на неприкосновеност на личния живот“, Департаментът по търговия уведомява дружеството за стъпките, които е необходимо да бъдат предприети (например даване на пояснения, промени в описанието на политиката за защита на личния живот) преди сертифицирането на дружеството да може да бъде приключено.

[11]             Съгласно глава 49, раздел 41712 от Кодекса на САЩ.

[12]             По-конкретно, спирането на предаването може да се наложи в две ситуации, при които:

а) държавният орган в САЩ е установил, че дружеството нарушава принципите за сфера на неприкосновеност; или

б) има значителна вероятност за това принципите за сфера на неприкосновеност да са нарушени; когато всичко сочи, че съответната инстанция за прилагане не взима или няма да вземе в необходимите срокове мерките, които се налагат с цел решаване на въпросното дело; когато продължаването на предаване на данни представлява неминуем риск от сериозни вреди за съответните лица; и когато компетентните органи на държавите членки са направили достатъчно последователни усилия, в зависимост от обстоятелствата, за да уведомят дружеството и да му дадат възможност да отговори.

[13]             На 26 септември 2013 г. броят на организациите, регистрирани по схемата за сфера на неприкосновеност със статус „актуални“ в списъка, бе 3246, а този на организациите със статус „неактуални“ — 935.

[14]             Организации, регистрирани по схемата за сфера на неприкосновеност, с 250 или по-малко служители: 60% (1925 от 3246). Организации, регистрирани по схемата, с 251 или повече служители: 40% (1295 от 3246).

[15]             Например MasterCard работи с хиляди банки и е красноречив пример, при който схемата не може да бъде заменена от други правни инструменти по отношение на предаването на лични данни, като например задължителни фирмени правила или договорни отношения.

[16]             Организации, регистрирани по схемата, които обработват  данни относно човешките ресурси съгласно техния сертификат по схемата (и съответно са приели да си сътрудничат  с органите за защита на данните в ЕС  и да се съобразяват с техните решения на ): 51 % (1671 от 3246).

[17]             Вж. Решение Düsseldorfer Kreis от 28-29 април 2010 г. Виж: Beschluss der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich am 28./29. April 2010 in Hannover: http://www.bfdi.bund.de/SharedDocs/Publikationen/Entschliessungssammlung/DuesseldorferKreis/290410_SafeHarbor.pdf?__blob=publicationFile При все това по време на разследването на Комисията за граждански свободи, правосъдие и вътрешни работи (LIBE) на 7 октомври 2013 г. Европейският надзорен орган по защита на данните (ЕНОЗД), Peter Hustinx изрази мнението, че “е постигнат значителен напредък и че повечето проблеми са понастоящем разрешени“ по отношение на схемата за „сфера на неприкосновеност на личния живот“: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Speeches/2013/13-10-07_Speech_LIBE_PH_EN.pdf

[18]             Вж. резолюция на германската конференция на комисарите за защита на личните данни, в която се подчертава, че разузнавателните служби представляват огромна заплаха за трафика на данни между Германия и държавите извън Европа: http://www.bfdi.bund.de/EN/Home/homepage_Kurzmeldungen/PMDSK_SafeHarbor.html?nn=408870

[19]             Вж. съобщението за пресата на люксембургския ОЗД от 18 ноември 2013 г.

[20]             http://www.export.gov/SafeHarbour/

[21]             https://SafeHarbour.export.gov/list.aspx

[22]             Наръчникът може да бъде намерен на уебсайта на програмата: http://export.gov/SafeHarbour/ Полезни съвети: http://export.gov/SafeHarbour/eu/eg_main_018495.asp

[23]             На 12 ноември 2013 г. Департаментът по търговия потвърди, че „днес дружествата, които имат публични уебсайтове и чиято дейност обхваща боравенето с данни на потребители/клиенти/посетители, трябва да включат политика за защита на личния живот, съобразена с принципите за сфера на неприкосновеност на личния живот, на съответните си уебсайтове“ (документ: „Сътрудничество между ЕС и САЩ в прилагането на рамката за сфера на неприкосновеност на личния живот“, 12 ноември 2013 г.).

[24]             През септември 2013 г. австралийската консултантска фирма Galexia направи сравнение на неверните подадени твърдения по схемата през 2008 г. и 2013 г. Основният резултат е, че успоредно с увеличаването на участниците в схемата между 2008 и 2013 г. (от 1 109 до 3 246 дружества), броят на неверните твърдения е нараснал от 206 на 427. http://www.galexia.com/public/about/news/about_news-id225.html

[25]       Между март и септември 2013 г. Департаментът по търговия уведоми:

• 101-то дружества, които вече са качили своята политика  в съответствие с с принципите  за защита на личния живот на уебсайта на Департамента, че трябва също да я публикуват на собствените си корпоративни уебсайтове;

• 154-те дружества, които все още не са го направили, че следва да включат в политиката си за защита на личния живот препратка към уебсайта на Департамента, посветен на сферата на неприкосновеност на личния живот;

• повече от 600 дружества, че следва да включат информация за връзка с техния независим орган за разрешаване на спорове в политиката си за защита на личния живот.

[26]             Вж. стр. 8 от Доклада от 2004 г. (SEC (2004) 1323).

[27]             Според статистиката, изнесена през септември 2013 г. от Департамента по търговия, през 2010 г. той е уведомил 18 % (93 дружества) от 512-те нови участници в схемата и 16 % (231 дружества) от 1 417-те пресертифициращи дружества за нуждата от въвеждане на подобрения в политиките им за защита на личния живот и/или в заявките им за участие в схемата. При все това в отговор на исканията на Комисията за по-стриктен, последователен и систематичен надзор на всички заявки, до средата на септември 2013 г. Департаментът е уведомил 56 % (340 дружества) от 602-те нови участници в схемата и 27 % (493 дружества) от 1 809-те дружества, които са подновили своята сертификат, за нуждата от въвеждане на подобрения в политиките им за защита на личния живот.

[28]             Презентация на Chris Connolly (Galexia)  пред Комисията за граждански свободи, правосъдие и вътрешни работи (LIBE) на Европейския парламент  на 7 октомври 2013 г..

[29]             До декември 2011 г. Департаментът по търговия е отстранил 323 дружества от списъка за сфера на неприкосновеност на личния живот: 94 дружества са били заличени, тъй като вече не са упражнявали стопанска дейност; 88 дружества поради това, че са били придобити или са се слели, 95 дружества — по искане на дружеството майка. 41 дружества — поради няколкократен пропуск да се пресертифицират и 5 дружества по други причини.

[30]             Групата на ЕС за защита на данните е орган, който разполага с правомощия за разследване и разглеждане на жалби на лица по евентуални нарушения на принципите за неприкосновеност на личния живот от американски дружества, участващи в схемата за сфера на неприкосновеност на личния живот. Дружества, които удостоверяват, че спазват принципите, трябва да изберат независим механизъм за подаване на жалби или да си сътрудничат с Групата на ЕС за защита на данните с оглед решаването на проблемите, произтичащи от неспазването на въпросните принципи. Сътрудничеството с Групата на ЕС за защита на данните е при все това задължително, когато американското дружество обработва лични данни, свързани с човешките ресурси, предадени от ЕС в контекста на трудово правоотношение. Ако дружеството се ангажира да сътрудничи на Групата на ЕС, то трябва също така да се ангажира да се съобрази с евентуално становище на Групата, в което се изразява виждането, че дружеството трябва да предприеме конкретни действия за спазването на принципите за неприкосновеност на личния живот, включително да предприеме коригиращи или компенсаторни мерки.

[31]             Департаментът по транспорт упражнява сходни правомощия спрямо въздушните превозвачи по глава 49, раздел 41712 от Кодекса на САЩ.

[32]             Жалбата бе получена от гражданин на Швейцария и бе съответно отнесена от Групата на ЕС за защита на данните до швейцарския орган за защита на данните (САЩ има отделно споразумение за сфера на неприкосновеност на личния живот с Швейцария).

[33]             Вж. приложение V към Решение 2000/520/EО на Комисията от 26 юли 2000 г.

[34]            За периода 2009—2012 Федералната търговска комисия приключи 10 действия по правоприлагане срещу дружества поради нарушения на ангажименти относно сферата на неприкосновеност на личния живот: FTC срещу Javian Karnani, and Balls of Kryptonite, LLC (2009 г.), World Innovators, Inc. (2009 г.), Expat Edge Partners, LLC (2009 г.), Onyx Graphics, Inc. (2009 г.), Directors Desk LLC (2009 г.), Progressive Gaitways LLC (2009 г.), Collectify LLC (2009 г.), Google Inc. (2011 г.), Facebook, Inc. (2011 г.), Myspace LLC (2012 г.). Вж.: “Federal Trade Commission of Safe Harbour Commitments”: http://export.gov/build/groups/public/@eg_main/@SafeHarbour/documents/webcontent/eg_main_052211.pdf  Вж. също: “Case Highlights”: http://business.ftc.gov/us-eu-Safe-Harbour-framework. В повечето от тези случаи проблемът се изразяваше в това, че дружества, присъединили се към схемата, продължават да се представят като членове по нея, без да са подновили годишния си сертификат.

[35]             Този ангажимент бе потвърден на среща на комисаря на Федералната търговска комисия Джули Брил с органите за защита на данните в ЕС (Работната група по член 29) в Брюксел на 17 април 2013 г.

[36]             http://www.dataprotection.ie/viewdoc.asp?Docid=1317&Catid=66&StartDate=1+January+2013&m=n

[37]             Потребителите могат да подават своите жалби на следния уебсайт на Федералната търговска комисия (https://www.ftccomplaintassistant.gov/), а международните потребители — посредством уебсайта econsumer.gov (http://www.econsumer.gov).

[38]             http://www.ftc.gov/os/caselist/0923081/090806karnanicmpt.pdf

[39]             http://www.ftc.gov/speeches/brill/131029europeaninstituteremarks.pdf  и http://www.ftc.gov/speeches/ramirez/131029tacdremarks.pdf

[40]             Писмо на председателя на Федералната търговска комисия Едит Рамирез до заместник-председателя на Комисията Вивиан Рединг.

[41]             Писмо на председателя на Федералната търговска комисия Едит Рамирез до заместник-председателя на Комисията Вивиан Рединг.

[42]             „Сътрудничество между ЕС и САЩ в прилагането на рамката за сфера на неприкосновеност на личния живот“, 12 ноември 2013 г.

[43]             В резултат на доклада от 2004 г. на уебсайта на Комисията (ГД „Правосъдие“) бе публикувано информационно известие под формата на въпроси и отговори относно Групата на ЕС за защита на данните, с цел да се повиши осведомеността на лицата и да им се окаже помощ при подаването на жалба, ако счетат, че личните им данни са били обработени в нарушение на договореностите за сфера на неприкосновеност на личния живот : http://ec.europa.eu/justice/policies/privacy/docs/adequacy/information_Safe_harbour_en.pdf

                Стандартният формуляр за подаване на жалба е на разположение в интернет на адрес: http://ec.europa.eu/justice/policies/privacy/docs/adequacy/ complaint_form_en.pdf

[44]             „Съображенията на ETNO“, получени от Комисията на 4 октомври 2013 г., разглеждат също 1) определението на понятието „лични данни“ в схемата, 2) липсата на контрол върху схемата 3) и факта, че „дружества от САЩ могат да предават данни при много по-малко ограничения от своите европейски партньори“, което „представлява явна дискриминация на европейски дружества и се отразява на конкурентоспособността им“.  В рамките на правилата за сфера за неприкосновеност на личния живот, за да разкрият информация на трета страна, организациите трябва да прилагат принципите на нотификацията и избора. Когато дадена организация желае да предаде информация на трета страна, която действа като представител, тя може да го направи, ако удостовери предварително, че третата страна  е възприела принципите за „сфера на неприкосновеност на личния живот“ или е предмет на разпоредбите на директивата или всеки друг механизъм, удостоверяващ адекватното ниво на защита, или ако организацията сключи писмено споразумение с третата страна, в което последната поеме задължението да гарантира поне същото ниво на защита, каквото се изисква от съответните принципи.

[45]             Директива 2013/11/ЕС на ЕС за АРС за потребители подчертава колко е важно процедурите за алтернативно решаване на спорове да са независими, безпристрастни, прозрачни, ефективни, бързи и справедливи.

[46]             Например една от основните организации за АРС (TRUSTe) докладва, че през 2010 г. е получила 881 жалби, но че е счела за допустими и основателни само три от тях, довели до решение съответното дружество да промени политиката си за защита на личния живот и своя уебсайт. През 2011 г. са били получени 879 жалби и в един случай от дружеството е поискано да промени политиката си за защита на личния живот. Според Департамента по търговия, основната част от жалбитев рамките на AРС, са искания на потребители, например потребители, които са забравили паролата си и не са били в състояние да я получат от доставчика на интернет услугата. След искане в този смисъл от Европейска комисия Департаментът по търговия разработи нови критерии за докладване на статистически данни, които трябва да се използват от всички АРС. С тях се прави разлика между обикновени искания и жалби и се предоставя допълнително разяснение на видовете получени жалби. Тези нови критерии обаче следва да бъдат допълнително обсъдени, за да се гарантира, че статистиката през 2014 г. обхваща всички организации, предоставящи АРС, че данните са сравними и предоставят необходимата информация, за да бъде извършена оценка на ефикасността на механизма за подаване на жалби.  

[47]             Международния център за разрешаване на спорове/Американската асоциация за арбитраж (International Centre for Dispute Resolution / American Arbitration Association (ICDR/AAA) събира „такса за завеждане на иск“ от 200 $, а JAMS — 250 $. Департаментът по търговия информира Комисията, че е разработил с AAA — организацията, предоставяща АРС за физическите лица на най-висока цена, специална програма за сферата на неприкосновеност на личния живот, която намалява разходите за потребителите от няколко хиляди долара на фиксирана такса от 200 $.

[48]             Вж. често задаван въпрос 11.

[49]             Например: Amazon е информирала Департамента по търговия, че BBB е нейната организация за разрешаване на спорове. Amazon обаче не е в списъка с участници в системата на BBB. Обратно, Arsalon Technologies (www.arsalon.net), доставчик на услуги в облак, фигурира в списъка на BBB за АРС в сферата на неприкосновеност на личния живот , но дружеството понастоящем не е член на схемата (към 1 октомври 2013 г.). BBB, TRUSTe и други организации, предоставящи АРС следва да отстранят или поправят тези твърдения за сертифициране. Те следва да се правно обвързани с изискване да сертифицират единствено дружества, които са членове на схемата за неприкосновеност на личния живот. 

[50]             Вж. Решение 2000/520/ЕО на Комисията, стр. 7 (последващо предаване).

[51]             Виж: “Clarifications Regarding the U.S.-EU Safe Harbor Framework and Cloud Computing” (Пояснения относно рамката на ЕС и САЩ за сфера на неприкосновеност на личния живот и изчисления в облак): http://export.gov/static/Safe%20Harbor%20and%20Cloud%20Computing%20Clarification_April%2012%202013_Latest_eg_main_060351.pdf 

[52]             Тези забележки се отнасят до доставчиците на услуги в облак, които не участват в схемата за неприкосновеност на личния живот. Според консултантската фирма Galexia, „нивото на участие в схемата за сфера на неприкосновеност  (и спазването ѝ) сред доставчици на услуги за изчисления в облак е доста високо. Доставчиците на услуги за изчисления в облак обикновено има повече от едно ниво на защита на неприкосновеността на личния живот, като често комбинират преки договори с клиентите и широкообхватни политики за защита на личните данни. С едно или две важни изключения доставчиците на услуги за изчисления в облак, участващи в схемата за неприкосновеност на личния живот, спазват основните разпоредби, свързани с решаването на спорове и прилагането. За момента в списъка с неверни твърдения за членство не фигурират основни доставчици на услуги за изчисления в облак.“ (извадка от презентацията на Chris Connolly, Galexia, пред Комисията за граждански свободи, правосъдие и вътрешни работи (LIBE) на Европейския парламент по повод провежданото от нея разследване „Масово електронно наблюдение, извършвано върху гражданите на ЕС“).

[53]             Вж. приложнеие 1 от Решението за „сфера на неприкосновеност на личния живот“: Придържането към принципите може да бъде ограничено: а) до необходимата степен, с оглед спазване изискванията за националната сигурност, обществения интерес или изискванията на правоприлагането; б) със закон, правителствено регулиране или съдебна практика, които пораждат взаимнопротиворечиви задължения или предвиждат изрични разрешителни, при положение че дадена организация, която е поискала подобно разрешително, може да докаже, че неспазването на принципите е ограничено до необходимата степен за гарантиране на първостепенните законово предвидени интереси, за които е поискано разрешителното; или в) изключенията или дерогациите, допуснати в директивата според законодателството на държавата-членка, при условие че тези изключения или дерогации се прилагат в сравними контексти. Съгласно целта за по-голяма защита на личния живот, организациите трябва да се стремят да прилагат тези принципи изцяло и прозрачно, като посочват включително в техните политики за защита на личния живот — в кои области изключенията по отношение на принципите, предвидени в буква б) по-горе, ще се прилагат редовно. По същата причина, когато принципите и/или законодателството на САЩ позволяват на организациите да направят избор, от тези организации се изисква да изберат, в рамките на възможното, ниво с по-висока защита.“

[54]             Становище 4/2000 относно нивото на защита, предоставяна от принципите за неприкосновеност на личния живот, прието от Работната група по член 29 на 16 май 2000 г.

[55]             Становище 4/2000 относно нивото на защита, предоставяна от принципите за неприкосновеност на личния живот, прието от Работната група по член 29 на 16 май 2000 г.

[56]             Някои европейски дружества по схемата предоставят относително прозрачна информация в това отношение. Например Nokia, която развива дейност в САЩ и участва в схемата за сфера на неприкосновеност , прави следната забележка в политиката си за защита на личния живот: „Може да бъдем задължени по закон да разкрием личните ви данни на определени органи или други трети страни, като например правоприлагащи агенции, в държавите, където ние развиваме дейност или трети страни, действащи от наше име.“