Брюксел, 18.10.2017

COM(2017) 611 final

ДОКЛАД НА КОМИСИЯТА ДО ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И СЪВЕТА

по първия годишен преглед на функционирането на Щита за личните данни в отношенията между ЕС и САЩ

{SWD(2017) 344 final}


ДОКЛАД НА КОМИСИЯТА ДО ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И СЪВЕТА

по първия годишен преглед на функционирането на Щита за личните данни в отношенията между ЕС и САЩ

1.ПЪРВИЯТ ГОДИШЕН ПРЕГЛЕД — ЦЕЛ, ПОДГОТОВКА И ПРОЦЕС

В решението си от 12 юли 2016 г. 1 („решение за адекватността“) Комисията заключава, че „Щитът за личните данни в отношенията между ЕС и САЩ“ („Щитът за личните данни“) осигурява адекватно ниво на защита на личните данни, прехвърляни от Европейския съюз към организации в САЩ.

Щитът за личните данни отразява принципите и изискванията, определени от Съда на ЕС в решението му по делото Schrems 2 , с което старата рамка относно сферата на неприкосновеност на личния живот беше отменена. Чрез Щита за личните данни се предвиждат редица нови елементи в сравнение с рамката за сферата на неприкосновеност на личния живот, които засилват защитата на личните данни, предавани на Съединените щати. Това включва по-строги задължения за дружествата, сертифицирани по Щита за личните данни, например във връзка с ограниченията за срока, през който дадено дружество може да задържи личните данни (т.нар. принцип на „запазване на данните“), или с условията, при които данните могат да бъдат споделяни с трети страни извън рамката (т. нар. „принцип на отчетност за последващо предаване“). В Щита за личните данни също така се предвижда по-редовен и строг мониторинг от страна на Департамента по търговия на САЩ (ДТ) и значително се засилват възможностите за гражданите на ЕС да получават правна защита. Освен това Щитът за личните данни се гради на конкретни писмени изявления и уверения, предоставени от правителството на САЩ, че достъпът на публичните органи до лични данни, предавани съгласно Щита за личните данни за целите на националната сигурност, правоприлагането и за други цели от обществен интерес, подлежи на ясни ограничения и гаранции. За тази цел с Щита за личните данни се създава изцяло нов механизъм за правна защита — омбудсманът.

Комисията се ангажира да оценява констатацията си за адекватност на годишна основа и за тази цел извършва годишен преглед на функционирането на Щита за личните данни. Първият годишен преглед на функционирането на Щита за личните данни приключва с публикуването на настоящия доклад. Прегледът обхвана всички аспекти от Щита за личните данни, т.е. изпълнението, управлението, надзора и правоприлагането на Щита за личните данни от страна на компетентните власти и органи на САЩ, както и въпроси, свързани с достъпа на публичните органи на САЩ до лични данни, предавани съгласно Щита за личните данни, за цели от обществен интерес, по-специално националната сигурност. В прегледа бяха включени и диалог по конкретната тема за автоматизираното вземане на решения и оценка на промените в правната система на САЩ през последната година, които биха могли да окажат въздействие върху функционирането на Щита за личните данни.

Рамката на Щита за личните данни функционира от 1 август 2016 г. Като се има предвид, че това беше първата година от функционирането ѝ, годишният преглед на Комисията се съсредоточи върху проверката на това дали всички механизми и процедури, предвидени в рамката — много от които бяха новосъздадени — са изцяло въведени и функционират по начина, предвиден в решението за адекватността. Освен това Комисията с особено внимание провери дали и как различните органи на САЩ, участващи в изпълнението на рамката, са спазили своите писмени изявления и поети ангажименти, както по отношение на управлението и надзора на търговските аспекти от Щита за личните данни, така и по отношение на достъпа на правителството до лични данни. С промяната на държавната администрация на САЩ през януари 2017 г. това придоби особено значение.

При подготовката на годишния преглед Комисията събра сведения и обратна информация относно изпълнението и функционирането на рамката на Щита за личните данни от съответните заинтересовани страни, по-специално от дружествата, сертифицирани по Щита за личните данни, чрез техните съответни търговски сдружения, както и от неправителствени организации (НПО), работещи в областта на основните права и по-конкретно на цифровите права и неприкосновеността на личния живот. Тя също така поиска и получи писмена информация от органите на САЩ, които участват в изпълнението на рамката, включително съответни документи и материали.

Първият годишен съвместен преглед беше проведен на 18 и 19 септември 2017 г. във Вашингтон. Той бе открит от комисаря на ЕС по въпросите на правосъдието, потребителите и равнопоставеността между половете Вера Йоурова и министъра на търговията на САЩ Уилбър Рос. От страна на ЕС годишният преглед беше проведен от представители на Генерална дирекция „Правосъдие и потребители“ на Европейската комисия. Делегацията на ЕС включваше и осем представители, определени от Работната група по член 29 — консултативният орган, обединяващ националните органи за защита на данните в държавите членки (ОЗД) и Европейския надзорен орган по защита на данните.

От страна на САЩ в прегледа участваха представители на Департамента по търговия на САЩ (ДТ), Федералната търговска комисия (ФТК), Департамента по транспорта, Държавния департамент, Службата на директора на националното разузнаване и Департамента по правосъдие, както и изпълняващият длъжността омбудсман, един член на Надзорния съвет по въпросите на неприкосновеността на личния живот и гражданските свободи и представител на Службата на главния инспектор на разузнавателната общност. Освен това по време на годишния преглед бе предоставена информация от представители на организации, които предлагат независимо разрешаване на спорове съгласно Щита за личните данни, Американската асоциация за арбитраж в качеството на администратор на специалната група по арбитража на Щита за личните данни и някои дружества, сертифицирани по Щита за личните данни.

За годишния преглед бе използвана информация и от обществено достъпни материали, като съдебни решения, правила и процедури за прилагане, използвани от съответните органи на САЩ, доклади и проучвания на НПО, доклади за прозрачността, представени от дружества, сертифицирани по Щита за личните данни, статии в пресата и друга медийна информация.

2.КОНСТАТАЦИИ, ИЗВОДИ И ПРЕПОРЪКИ

Годишният преглед показа, че органите на САЩ са въвели необходимите структури и процедури, за да се осигури правилното функциониране на Щита за личните данни. Процесът на сертифициране е бил проведен като цяло по удовлетворителен начин и до момента са сертифицирани над 2400 дружества. Органите на САЩ са въвели механизмите за разглеждане на жалби и правоприлагане и процедурите за защита на личните права. Това включва и новите допълнителни възможности за правна защита за гражданите на ЕС, като например специалната група по арбитража и механизма на омбудсмана. Що се отнася до този механизъм — след смяната на администрацията през януари 2017 г. беше определен изпълняващ длъжността омбудсман, а назначаването на постоянен омбудсман все още предстои. Сътрудничеството с европейските органи за защита на данните беше засилено. По отношение на достъпа на публичните органи до лични данни за целите на националната сигурност, продължават да са в сила необходимите гаранции от страна на САЩ, а именно тези, които се основават на Президентска изпълнителна директива 28 от 2014 г., в която се определят ограниченията и гаранциите във връзка с използването от органите за национална сигурност на личните данни, независимо от националността на съответните лица. В този контекст следва да се отбележи също така, че срокът на действие на раздел 702 от Закона за упражняване на надзор върху външното разузнаване изтича на 31 декември 2017 г. и че в Конгреса на САЩ се обсъждат предложенията за реформа на този раздел.

Подробните фактически констатации относно функционирането на всички аспекти от Щита за личните данни след първата година на функциониране са представени в работния документ на службите на Комисията относно годишния преглед на функционирането на Щита за личните данни в отношенията между ЕС и САЩ (SWD(2017) 344 final), който придружава настоящия доклад.

Въз основа на констатациите, Комисията стигна до заключението, че Съединените американски щати продължават да гарантират адекватно ниво на защита на личните данни, които се предават съгласно Щита за личните данни от Съюза към организации в САЩ.

В същото време Комисията счита, че практическото прилагане на рамката на Щита за личните данни може да бъде допълнително подобрено, за да се гарантира, че предвидените в него гаранции и предпазни мерки продължават да функционират според предназначението си.

За тази цел Комисията отправя следните препоръки:

2.1.Предприятията не следва да могат да се позовават на сертифицирането си съгласно Щита за личните данни, преди сертифицирането да е финализирано от ДТ

По време на годишния преглед стана ясно, че предприятията, които са подали заявление за сертифициране съгласно Щита за личните данни, но чието сертифициране все още не е финализирано от ДТ, вече могат публично да се позовават на сертифицирането си съгласно Щита за личните данни. Следователно може да съществува несъответствие между публично достъпната информация и списъка към Щита за личните данни, поддържан от ДТ и в който дадено предприятие се включва само след като сертифицирането му е било финализирано. Това несъответствие поражда несигурност за гражданите на ЕС и предприятията в ЕС, които искат да предават данни в САЩ, увеличава риска от неверни твърдения за участие и подкопава доверието към цялата рамка

Поради това Комисията препоръчва на предприятията да не се разрешава да правят публични изявления относно сертифицирането си съгласно Щита за личните данни, преди ДТ да е финализирал сертифицирането и да е включил предприятието в списъка към Щита за личните данни. Информацията относно процеса на сертифициране, предоставена на предприятията от ДТ, включително на уебсайта на Щита за личните данни, следва да бъде изменена, за да се поясни, че предприятията не могат публично да посочват участието си в рамката, преди да бъдат включени в списъка към Щита за личните данни.

2.2.Проактивно и редовно търсене от ДТ за неверни твърдения

Комисията препоръчва ДТ да търси проактивно и редовно за неверни твърдения за участие в Щита за личните данни, не само в контекста на процеса на сертифициране, т.е. по отношение на предприятия, които са започнали, но не са приключили сертифицирането, а вече твърдят, че участват в рамката, но също и в по-общ план по отношение на предприятия, които никога не са кандидатствали за сертифициране, но в изявленията си се представят като съблюдаващи изискванията на рамката. За тази цел ДТ следва да предприеме допълнителни мерки, включително търсене в интернет. Както показа опитът на предшестващата структура на Щита за личните данни, а именно програмата за сфера на неприкосновеност на личния живот, заблуждаващите практики не са необичайни и могат да отслабят доверието в системата като цяло и нейната стабилност.

2.3.Текущо наблюдение на спазването на принципите на Щита за личните данни от ДТ

Комисията препоръчва ДТ да провежда редовно проверки за съответствие. Проверките за съответствие могат да бъдат например под формата на въпросници за преглед на съответствието, изпратени до представителна извадка от сертифицирани предприятия, по специфични „тематични“ въпроси (например последващо предаване, запазване на данните) или ДТ може систематично да иска да му бъдат предоставяни годишните доклади за съответствието (които могат да бъдат под формата на самооценка или на външен преглед на съответствието) на сертифицирани предприятия, които искат да бъдат пресертифицирани. ДТ може да използва годишните доклади за съответствието, за да установява възможни проблеми в тази област, които могат да налагат допълнителни последващи действия преди пресертифицирането на дадено предприятие, или да набелязва по-системни недостатъци във функционирането на рамката, които трябва да бъдат отстранени.

2.4.Повишаване на осведомеността

Комисията насърчава ДТ и ОЗД да продължат и да увеличат предприетите през изминалата година усилия за повишаване на осведомеността.

С цел да се гарантира по-ефективна защита за гражданите на ЕС, ОЗД в сътрудничество с Комисията биха могли да активизират усилията си за информиране на гражданите на ЕС за това как да упражняват правата си съгласно Щита за личните данни, по-специално относно начина за подаване на жалби.

2.5.    Подобряване на сътрудничеството между правоприлагащите органи

Комисията препоръчва ДТ и ОЗД да си сътрудничат, ако е целесъобразно също и с ФТК, за да разработят насоки за тълкуването на някои понятия, съдържащи се в Щита за личните данни и нуждаещи се от допълнително пояснение. Това би допринесло за по-добро сътрудничество между органите, които изпълняват и прилагат рамката от двете страни на Атлантическия океан, за постигането на сближаване в тълкуването на правилата на Щита за личните данни и за по-голяма правна сигурност за предприятията.

При първия годишен преглед принципът на отчетност за последващо предаване и определението за данни относно човешките ресурси се очертаха като примери на понятия, които биха могли да бъдат допълнително пояснени.

2.6. Проучване относно автоматизираното вземане на решения

За да се извлекат по-прецизни заключения по въпроса за автоматизираното вземане на решения, включително предвид следващия годишен преглед, Комисията ще възложи проучване с цел да се съберат фактически доказателства и допълнително да се оцени целесъобразността на автоматизираното вземане на решения за предавания, извършвани въз основа на Щита за личните данни.

2.7. Закрепване на защитата, предоставена чрез Президентска изпълнителна директива 28, в Закона за упражняване на надзор върху външното разузнаване

Предстоящият дебат относно повторното одобряване на раздел 702 от Закона за упражняване на надзор върху външното разузнаване (ЗУНВР) предоставя на администрацията и на Конгреса на САЩ уникална възможност да засилят защитата на неприкосновеността на личния живот, предвидена в ЗУНВР. В този контекст Комисията се надява, че Конгресът ще разгледа и одобри закрепването в ЗУНВР на защитата, осигурявана от Президентска изпълнителна директива 28 (ПИД-28) по отношение на лицата, които не са американски граждани, с цел да се гарантира стабилност и приемственост на тези мерки за защита. Всички по-нататъшни реформи по отношение на съществените ограничения и на процесуалните гаранции следва да се осъществяват в духа на ПИД-28 и да осигурят по този начин защита, независимо от гражданството или държавата на пребиваване на лицето.

2.8. Бързо назначаване на омбудсман към Щита за личните данни

Комисията призовава администрацията на САЩ да потвърди политическия си ангажимент по отношение на механизма на омбудсмана като важен елемент от рамката на Щита за личните данни като цяло, като във възможно най-кратък срок попълни длъжността на омбудсмана чрез постоянно назначение.

2.9. Бързо назначаване на членовете на Надзорния съвет по въпросите на неприкосновеността на личния живот и гражданските свободи (Privacy and Civil Liberties Oversight Board – PCLOB) и публикуване на доклада на PCLOB относно ПИД-28

Като независима агенция в рамките на изпълнителната власт, PCLOB има важна функция във връзка със защитата на неприкосновеността на личния живот и гражданските свободи в областта на политиките за борба с тероризма и тяхното изпълнение. Комисията препоръчва администрацията на САЩ бързо да назначи липсващите членове на PCLOB, така че PCLOB да може да изпълнява всички аспекти на тази функция.

Освен това, като се има предвид значението на ПИД-28 за ограниченията и гаранциите, приложими към достъпа на държавните органи до радиоелектронното разузнаване, и по този начин за периодичното преразглеждане от Комисията на оценката ѝ на адекватността, Комисията призовава администрацията на САЩ да оповести доклада на PCLOB относно изпълнението на ПИД-28.

2.10. По-своевременно и по-пълно отчитане от страна на органите на САЩ на релевантните промени

Комисията препоръчва органите на САЩ да изпълняват проактивно ангажимента си да предоставят на Комисията своевременна и изчерпателна информация за всички промени, които биха могли да бъдат от значение за Щита за личните данни, включително за промените, които могат да породят въпроси относно защитата, предоставяна съгласно рамката.

(1)

     Решение за изпълнение (ЕС) 2016/1250 на Комисията от 12 юли 2016 г. съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата, осигурявана от Щита за личните данни в отношенията между ЕС и САЩ (EU-U.S. Privacy Shield) (ОВ L 207, 1.8.2016 г., стр.1).

(2)

     Решение на Съда на Европейския съюз от 6 октомври 2015 г. по дело C-362/14, Maximilian Schrems срещу Data Protection Commissioner (решението „Schrems“).