ПРИЛОЖЕНИЕ I

7 юли 2016 г.

Г-жа Вера Йоурова

Комисар по въпросите на правосъдието, потребителите и равнопоставеността между половете

Европейска комисия

Rue de la Loi/Westraat 200

1049 Брюксел

Белгия

Уважаема комисар Йоурова,

От името на Съединените щати за мен е удоволствие да предам с настоящото писмо пакет от материали към Щита за личните данни в отношенията между ЕС и САЩ, резултат от двугодишните ползотворни обсъждания между нашите екипи. Наред с другите материали, които са на разположение на Комисията от публични източници, този пакет осигурява много здрава основа за нови констатации на Европейската комисия относно адекватността (1).

Ние заедно трябва да се гордеем с подобренията на рамката. Щитът за личните данни се основава на принципи, за които има силна консенсусна подкрепа от двете страни на Атлантика, и ние подсилихме тяхното действие. Чрез съвместната си работа имаме реалната възможност да подобрим защитата на неприкосновеността на личния живот в целия свят.

Пакетът към Щита за личните данни съдържа Принципите на Щита за личните данни заедно с включеното като приложение 1 писмо, в което Администрацията по международната търговия (АМТ) към управляващото програмата Министерство на търговията разглежда ангажиментите, поети от нашето министерство, за да гарантира ефективното функциониране на Щита за личните данни. Също така пакетът включва приложение 2, в което са разгледани други ангажименти на Министерството на търговията във връзка с новия арбитражен модел, който съществува съгласно Щита за личните данни.

Разпоредих на моите служители да бъдат вложени всички ресурси, необходими за експедитивното и цялостно прилагане на рамката на Щита за личните, както и за да се гарантира своевременното спазване на ангажиментите, посочени в приложения 1 и 2.

Пакетът към Щита за личните данни включва също така и други документи от други органи на Съединените щати, а именно:

—	писмо от Федералната търговска комисия (ФТК), в което се разглеждат действията от нейна страна по прилагането на Щита за личните данни;

—	писмо от Министерството на транспорта, в което се разглеждат действията от негова страна по прилагането на Щита за личните данни;

—	две писма, изготвени от Службата на директора на Националното разузнаване (СДНР), относно гаранциите и ограниченията, които се прилагат за органите на националната сигурност на САЩ;

—	писмо от Държавния департамент и съпътстващ го меморандум, в които се описва ангажиментът на Държавния департамент да създаде нов омбудсман към Щита за личните данни за отправяне на запитвания относно практиките в радиоелектронното разузнаване на Съединените щати; и

—	писмо, изготвено от Министерството на правосъдието относно гаранциите и ограниченията по отношение на достъпа от страна на правителството на САЩ за целите на правоприлагането и за цели от обществен интерес.

Можете да бъдете уверена, че Съединените щати гледат сериозно на тези ангажименти.

В срок от 30 дни след окончателното одобрение на решението относно адекватността пълният пакет към Щита за личните данни ще бъде предоставен за публикуване във Федералния регистър.

Очакваме с нетърпение да работим с Вас в хода на прилагането на Щита за личните данни и заедно да се заемем със следващия етап от този процес.

---

(1)  Предвид това че решението на Комисията относно адекватността на защитата, осигурена от Щита за личните данни в отношенията между ЕС и САЩ, се прилага в Исландия, Лихтенщайн и Норвегия, пакетът към Щита за личните данни ще обхване както Европейския съюз, така и тези три държави.

ПРИЛОЖЕНИЕ II

ПРИНЦИПИ НА РАМКАТА НА ЩИТА ЗА ЛИЧНИТЕ ДАННИ В ОТНОШЕНИЯТА МЕЖДУ ЕС И САЩ, ПУБЛИКУВАНИ ОТ МИНИСТЕРСТВОТО НА ТЪРГОВИЯТА НА САЩ

I.   ОБЩ ПРЕГЛЕД

1.

При все че Съединените щати и Европейският съюз споделят целта за повишаване на защитата на неприкосновеността на личния живот, подходът на Съединените щати към неприкосновеността на личния живот е различен от този на Европейския съюз. Съединените щати прилагат секторен подход, който се основава на законови и подзаконови разпоредби, както и кодекси за саморегулиране. Предвид тези различия и с цел да бъде предоставен на организациите в Съединените щати надежден механизъм за предаване на лични данни към САЩ от Европейския съюз, като същевременно се гарантира, че субектите на данни от ЕС ще продължат да се ползват с ефективни гаранции и защита, както това се изисква съгласно европейското законодателство по отношение на обработването на личните им данни, когато те се предават на държави извън ЕС, Министерството на търговията публикува тези Принципи на Щита за личните данни, включително допълнителните принципи (наричани общо „Принципите“), в съответствие със законоустановените си правомощия да засилва, насърчава и развива международната търговия (15 U.S.C. § 1512). Принципите бяха разработени в консултация с Европейската комисия и с представители на промишлеността и други заинтересовани страни с цел насърчаване на търговията между Съединените щати и Европейския съюз. Те са предназначени единствено за организациите в Съединените щати, които получават лични данни от Европейския съюз, с цел тези организации да изпълнят условията съгласно Щита за личните данни и по този начин да се ползват от решението за адекватност на Европейската комисия. (1) Принципите не засягат прилагането на националните разпоредби за прилагане на Директива 95/46/ЕО („Директивата“), които се прилагат за обработването на личните данни в държавите членки. По същия начин Принципите не ограничават задълженията по отношение на неприкосновеността на личния живот, които по принцип се прилагат съгласно правото на САЩ.

2.

За да се основава на Щита за личните данни при извършването на предавания на лични данни с произход от ЕС, една организация трябва да се самосертифицира, че ще спазва Принципите пред Министерството на търговията (или определено от него орган) („министерството“). Независимо че решенията на организациите да се присъединят по този начин към Щита за личните данни са напълно доброволни, ефективното спазване на Принципите е задължително: организациите, които са се самосертифицирали пред министерството и са обявили публично своя ангажимент да спазват Принципите, трябва да ги спазват в пълна степен. За да се присъедини към Щита за личните данни, една организация трябва: а) да подлежи на правомощията по разследване и прилагане на Федералната търговска комисия („ФТК“), Министерството на транспорта или друг законовоустановен орган, който гарантира за ефективното спазване на Принципите (в бъдеще могат да бъдат добавени в приложение и други законовоустановени органи на САЩ, признати от ЕС); б) да обяви публично ангажимента си да спазва Принципите; в) да предостави за публичен достъп политиките си в областта на неприкосновеността на личния живот в съответствие с тези Принципи; и г) да ги прилага в пълна степен. Организация, която не спазва Принципите, подлежи на принудително изпълнение съгласно раздел 5 от Закона за Федералната търговска комисия, който забранява нелоялните и измамни практики в търговията или засягащи търговията, (15 U.S.C. § 45(a)) или съгласно друг законов или подзаконов акт, с който се забраняват тези практики.

3.

Министерството на търговията ще поддържа и предоставя за публичен достъп официален списък на организациите в САЩ, които са се самосертифицирали пред министерството и са декларирали ангажимента си да спазват Принципите („Списък към Щита за личните данни“). Организацията се ползва с предимствата на Щита за личните данни, считано от датата, на която министерството включи организацията в Списъка към Щита за личните данни. Министерството ще заличи от Списъка към Щита за личните данни организацията, която се е оттеглила доброволно от Щита за личните данни или не е изпълнила изискването за ежегодно пресертифициране пред министерството. Заличаването на една организация от Списъка към Щита за личните данни означава, че тя повече не се ползва с предимствата на решението за адекватност на Европейската комисия при получаването на лична информация от ЕС. Организацията трябва да продължи да прилага Принципите по отношение на личната информация, която е получила, докато е участвала в Щита за личните данни, и ежегодно да потвърждава пред министерството ангажимента си за това, докато продължава да съхранява тази информация; в противен случай организацията трябва да върне или заличи информацията или да осигури „адекватна“ защита чрез други разрешени средства. Също така министерството ще заличава от Списъка към Щита за личните данни организациите, които трайно не спазват Принципите; тези организации не отговарят на условията да се ползват с предимствата на Щита за личните данни и трябва да върнат или заличат личната информация, която са получили съгласно Щита за личните данни.

4.

Също така министерството ще поддържа и предоставя за публичен достъп официален регистър на организациите в САЩ, които по-рано са били самосертифицирани в министерството, но са заличени от Списъка към Щита за личните данни. Министерството ще отправя ясно предупреждение, че тези организации не участват в Щита за личните данни; че заличаването от Списъка към Щита за личните данни означава, че тези организации не могат да твърдят, че спазват изискванията съгласно Щита за личните данни и трябва да избягват да правят всякакви изявления или подвеждащи действия, които водят до заключението, че участват в Щита за личните данни; и че тези организации повече не се ползват с предимствата на решението за адекватност на Европейската комисия, което би им позволило да получават лична информация от ЕС. Спрямо организация, която продължава да твърди, че участва в Щита за личните данни, или по друг начин прави погрешно представяне на информация във връзка с Щита за личните данни, след като е била заличена от Списъка към Щита за личните данни, могат да бъдат предприети действия по правоприлагане от страна на ФТК, Министерството на транспорта или други правоприлагащи органи.

5.

Придържането към тези Принципи може да бъде ограничено: а) до необходимата степен, с оглед спазване изискванията за националната сигурност, обществения интерес или изискванията на правоприлагането; б) със закон, правителствено регулиране или съдебна практика, които пораждат взаимнопротиворечиви задължения или предвиждат изрични разрешителни, при положение че дадена организация, която е поискала подобно разрешително, може да докаже, че неспазването на принципите е ограничено до необходимата степен за гарантиране на първостепенните законово предвидени интереси, за които е поискано разрешителното; или в) ако действието на Директивата или на законодателството на държавата членка предвижда изключения или дерогации, при условие че тези изключения или дерогации се прилагат в сравними контексти. Съгласно целта за по-голяма защита на неприкосновеността на личния живот, организациите трябва да се стремят да прилагат тези принципи изцяло и прозрачно, включително като посочват в своите политики за защита на неприкосновеността на личния живот — в кои области изключенията по отношение на принципите, предвидени в буква б) по-горе, ще се прилагат редовно. По същата причина, когато Принципите и/или законодателството на САЩ позволяват на организациите да направят избор, от тях се изисква да изберат, когато е възможно, по-високата степен на защита.

6.

Организациите са задължени да прилагат Принципите за всички лични данни, предавани съгласно Щита за личните данни, след като се присъединят към Щита за личните данни. Организация, която е избрала да се ползва от предимствата на Щита за личните данни за лична информация за човешки ресурси, която се предава от ЕС, за да бъде използвана в контекста на трудови правоотношения, трябва да посочи това, когато се самосертифицира пред министерството, и трябва да спази изискванията, изложени в допълнителния принцип за самосертифицирането.

7.

За въпроси, свързани с тълкуването и спазването на Принципите и на съответните политики в областта на неприкосновеността на личния живот от организациите — участници в Щита за личните данни, се прилага правото на САЩ, с изключение на случаите, когато тези организации са поели ангажимент да си сътрудничат с европейските органи по защита на данните („ОЗД“). Освен ако е посочено друго, всички разпоредби на Принципите се прилагат, когато са релевантни.

8.

Определения: а) „Лични данни“ и „лична информация“ означават данни относно идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано, които са в обхвата на Директивата, предадени са от Европейския съюз на организация в Съединените щати и са записани под каквато и да е форма. б) „Обработване“ на лични данни означава всяка операция или съвкупност от операции, извършвана с лични данни чрез автоматични или други средства, като събиране, записване, организиране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване или разпространяване и изтриване или унищожаване. в) „Администратор“ означава физическо лице или организация, която сама или съвместно с други определя целите и средствата за обработването на лични данни.

9.

Датата, от която Принципите ще се прилагат ефективно, е датата на окончателното одобрение на решението за адекватност на Европейската комисия.

II.   ПРИНЦИПИ

1.   Уведомяване

а)

Всяка организация трябва да уведомява физическите лица за: i. участието си в Щита за личните данни и да предоставя електронна връзка към Списъка към Щита за личните данни или адреса на уебстраницата, ii. видовете лични данни, които се събират, и правните субекти или дъщерните дружества на организацията, които също се придържат към Принципите, когато това е приложимо, iii. ангажимента си да прилага Принципите за всички лични данни, които получава от ЕС съгласно Щита за личните данни, iv. целите, с които събира и използва лична информация за тях, v. как да се свържат с организацията, ако имат запитвания или оплаквания, включително съответни организации в ЕС, които могат да отговорят на тези запитвания или оплаквания, vi. видовете или самоличността на трети страни, на които личната информация ще бъде разкрита и целите, с които се извършва това, vii. правото на физическите лица на достъп до личните им данни, viii. възможностите за избор и средствата, които предлага организацията на физическите лица с оглед ограничаване използването и разкриването на личните им данни, ix. определения независим орган за разрешаване на спорове, към който да се адресират жалби и който следва да предоставя подходящи средства за правна защита, безплатно за физическото лице, и дали това е: 1) панелът, създаден от ОЗД, 2) организация за алтернативно разрешаване на спорове, установена в ЕС, или 3) организация за алтернативно разрешаване на спорове, установена в Съединените щати, x. това, че за нея се прилагат правомощията за разследване и правоприлагане на ФТК, Министерството на транспорта или друг оправомощен законовоустановен орган на САЩ, xi. възможността при определени условия физическото лице да използва правно обвързващ арбитраж, xii. изискването да бъде разкривана лична информация в отговор на законни искания на публични органи, включително в отговор на изисквания на националната сигурност или правоприлагането, и xiii. отговорността на организацията в случаите на последващи предавания към трети страни.

б)

Уведомяването трябва да бъде направено на ясен и разбираем език, когато физическите лица бъдат поканени за първи път да предоставят личната информация на организацията или веднага след като стане възможно, но във всеки случай преди тези данни да бъдат използвани от организацията за цел, различна от тази, за която са били първоначално събрани или обработени от организацията, която извършва предаването или разкриването им за първи път на трета страна.

2.   Избор

а)

Всяка организация трябва да предлага на физическите лица възможността да изберат (клауза за неучастие — „opt out“) дали личната информация за тях: а) може да бъде разкрита на трета страна, или б) може да бъде използвана за несъвместими по същество цели с предназначението или предназначенията, за които е била първоначално събрана или за които по-късно е дадено разрешение от физическите лица. Физическите лица трябва да разполагат с ясни, разбираеми и леснодостъпни механизми, за да направят своя избор.

б)

Чрез дерогация от предходната буква, не е необходимо да се предоставя избор, когато разкриването се извършва пред трета страна, която изпълнява функциите на представител за изпълнение на задача(и) от името и под указанията на организацията. Организацията обаче трябва винаги да сключва договор с представителя.

в)

Що се отнася до чувствителна информация (например лична информация, свързана с медицинското или здравословното състояние, с произход — раса или етнически произход, политически възгледи, вероизповедание или философски убеждения, членство в синдикат или сексуални предпочитания), организациите трябва да получат от лицата утвърждаващо изрично съгласие („opt in“), при условие че информацията трябва да бъде: i) разкрита на трета страна или ii) използвана с цел, различна от тази, за която е била първоначално събрана или за която по-късно е дадено разрешение от физическите лица посредством упражняването на правото им на изрично съгласие. Освен това организацията следва да разглежда всяка лична информация, получена от трета страна, като чувствителна информация, ако последната определя и третира тази информация като такава.

3.   Отчетност за последващото предаване

а)

За да предават лична информация на трета страна, която изпълнява функциите на администратор, организациите трябва да спазват принципите на уведомяването и на избора. Организациите трябва също така да сключат договор с третата страна администратор, в който да бъде предвидено, че тези данни могат да бъдат обработвани само с ограничена и конкретна цел в съответствие с даденото съгласие от физическото лице, както и че получателят ще осигури същата степен на защита, която се осигурява от Принципите, и ще уведоми организацията, ако констатира, че вече не е в състояние да изпълнява това задължение. Договорът предвижда, че когато тази констатация е направена, третата страна администратор прекратява обработката или предприема други за отстраняване на последиците.

б)

За да предават лични данни на трета страна, която изпълнява функциите на представител, организациите трябва: i) да предават тези данни само с ограничена и конкретна цел; ii) да определят, че представителят е задължен да осигури най-малко същата степен на защита на неприкосновеността на личния живот, която се изисква съгласно Принципите; iii) да предприемат обосновани и съответни мерки, за да гарантират, че представителят ефективно обработва предадената лична информация по начин, който съответства на задълженията на организацията съгласно Принципите; iv) да изискват от представителя да уведоми организацията, ако констатира, че вече не е в състояние да изпълнява своето задължение да осигурява същата степен на защита на неприкосновеността на личния живот, която се изисква съгласно Принципите;; v) при уведомяване, включително съгласно подточка iv), да предприемат обосновани и съответни мерки да преустановят и отстранят последиците от неразрешено обработване; и vi) при поискване да предоставят на министерството обобщение или представително копие на съответните разпоредби във връзка с неприкосновеността на личния живот от договора с представителя.

4.   Сигурност

а)

Организациите, които създават, поддържат, използват или разпространяват лична информация, трябва да вземат обосновани и подходящи мерки, за да предотвратят загубата, злоупотребата, непозволения достъп, разкриването, изменението и унищожаването на тези данни, като надлежно вземат под внимание рисковете, свързани с обработването и характера на личните данни.

5.   Цялост на данните и ограничаване в рамките на целта

а)

Съгласно Принципите личната информация трябва да бъде ограничена до необходимата за целите на обработването (2). Никоя организация не може да обработва лична информация по начин, несъвместим с целите, за които тя е била събрана или за които по-късно е дадено разрешение от физическото лице. Доколкото е необходимо за тези цели, всяка организация трябва да вземе подходящи мерки, за да гарантира надеждността на личните данните по отношение на предвиденото им използване, както и тяхната точност, пълнота и актуалност. Организацията трябва да се придържа към Принципите през цялото време, докато запазва тази информация.

б)

Информация може да бъде запазвана във форма, която идентифицира или позволява да се идентифицира (3) физическото лице, само за толкова дълго, колкото служи за целта на обработването по смисъла на точка 5, буква а). Това задължение не възпира организациите да обработват лични данни за по-дълги периоди, т.е. докогато и дотолкова, колкото това обработване е от определена полза за целите на архивирането в интерес на обществото, журналистиката, литературата и изкуството, научни или исторически изследвания и статистически анализ. В тези случаи обработването е подчинена на другите принципи и разпоредби на рамката. Организациите следва да предприемат разумни и подходящи мерки за спазване на тази разпоредба.

6.   Достъп

а)

Физическите лица трябва да имат достъп до личната информация за тях, с която разполага дадена организация, и да имат възможността да я коригират, променят или заличават, когато е неточна или се обработва в нарушение на Принципите, освен когато затрудненията или разходите по предоставяне на достъп биха били несъразмерни спрямо рисковете за неприкосновеността на личния живот на физическото лице във въпросния случай или когато биха били нарушени правата на лица, различни от заинтересованото.

7.   Защита, прилагане и отговорност за причинени вреди

а)

Ефективната защита на неприкосновеността на личния живот трябва да включва сигурни механизми, които да гарантират спазването на Принципите, право на защита за физическите лица, засегнати от неспазването на принципите, както и санкциониране на организациите, когато не спазват принципите. Тези механизми трябва да включват най-малкото: i. леснодостъпни независими механизми за защита, които да позволят експедитивно да се разгледат и решат жалбите или споровете на всяко физическо лице, безплатно за лицето и при позоваване на Принципите, както и предоставяне на обезщетения, когато приложимото законодателство или инициативите в частния сектор предвиждат това; ii. процедури за последващ контрол, за да се провери дали уверенията и твърденията, предоставени от организациите за техните практики в областта на неприкосновеността на личния живот, са верни и дали тези практики се прилагат действително, както се твърди, и по-специално по отношение на случаите на неспазване на Принципите; и iii. задължения за решаване на проблемите, произтичащи от неспазването на Принципите от организациите, обявяващи своето придържане към тях, и последствия за тези организации. Санкциите трябва да са достатъчно строги, за да гарантират спазването на Принципите от организациите.

б)

Организациите и избраните от тях независими механизми за защита отговарят в кратки срокове на запитвания и искания за информация от страна на министерството във връзка с Щита за личните данни. Всички организации трябва да отговарят експедитивно на жалби във връзка със спазването на Принципите, насочени към тях от органи на държавите — членки на ЕС, чрез министерството. Организациите, които са избрали да си сътрудничат с ОЗД, включително обработващите данни за човешки ресурси, трябва да отговарят директно на тези органи във връзка с разследването и разрешаването на жалби.

в)

Организациите са задължени да участват в арбитраж по отношение на жалбите и да спазват условията, посочени в приложение I, при условие че дадено физическо лице е отнесло въпроса за решаване чрез правно обвързващ арбитраж, като е уведомило въпросната организация и е спазило процедурите и условията, посочени в приложение I.

г)

В контекста на последващото предаване всяка организация — участник в Щита за личните данни, носи отговорност за обработването на личната информация, която получава съгласно Щита за личните данни и впоследствие предава на трета страна, която изпълнява функциите на представител от нейно име. Организацията — участник в Щита за личните данни, продължава да носи отговорност съгласно Принципите, ако нейният представител обработва тази лична информация по начин, който не съответства на Принципите, освен ако организацията докаже, че не носи отговорност за събитието, породило вредата.

д)

Когато по отношение на организацията е издадена заповед от ФТК или съдебно разпореждане във връзка с неспазване, организацията обявява публично всички съответно свързани с Щита за личните данни части от евентуален доклад за спазването или оценка, представени на ФТК, доколкото позволяват изискванията за поверителност. Министерството създаде специализирано звено за контакт с ОЗД относно проблеми на спазването от организации — участници в Щита за личните данни. ФТК ще разглежда случаите на неспазване на Принципите, за които е сезирана от министерството и органите на държавите — членки на ЕС, и ще обменя информация относно случаи, за които е сезирана с органите на съответната държава своевременно, при условията на съществуващите ограничения за поверителност.

III.   ДОПЪЛНИТЕЛНИ ПРИНЦИПИ

1.   Чувствителни данни

а)

От организациите не се изисква да получат утвърдително изрично съгласие („opt in“) по отношение на чувствителни данни, когато обработването: i. е от жизнено важен интерес за субекта на данните или за друго лице; ii. е необходимо, за да се установи право на иск или право на защита; iii. е необходимо, за да се окажат медицински грижи или за определяне на диагноза; iv. се извършва в хода на законни дейности от фондация, асоциация или друга организация с нестопанска цел и с политическа, философска, религиозна или профсъюзна цел, както и при условие че обработването се отнася единствено до членовете на организацията или до лицата, които поддържат с нея редовни контакти във връзка с предназначението ѝ, и че тези данни не се разкриват на трета страна без съгласието на субектите на данните; v. е необходимо, за да бъдат изпълнени задълженията на организацията по отношение на трудовото право; или vi. е свързано с данни, които ясно са били оповестени публично от физическото лице.

2.   Изключения за журналистически цели

а)

С оглед предвидените съгласно Конституцията на САЩ защити за свободата на пресата и изключенията за журналистически материали съгласно Директивата, когато правата на свободната преса, заложени в първата поправка на Конституцията на САЩ, са несъвместими със защитата на неприкосновеността на личния живот, първата поправка се прилага с предимство за дейностите, които имат за предмет американски лица или организации.

б)

Личната информация, събрана с цел публикуване, разпространение или други форми на обществена комуникация под формата на журналистически материали, независимо дали ще се използва, или не, както и информацията, която е била публикувана преди това, след което е била архивирана, не е предмет на изискванията съгласно Принципите на Щита за личните данни.

3.   Вторична отговорност

а)

Доставчиците на Интернет, далекосъобщителните дружества и другите организации не носят отговорност съгласно Принципите на Щита за личните данни, когато само предават, направляват, заместват или кешират информация от името на друга организация. Нито самата Директива, нито Щитът за личните данни могат да породят вторична отговорност. Не може да се търси отговорност на дадена организация, когато тя служи само за носител на данни, предавани от трети страни, и не определя нито целите, нито средствата за обработване на тези лични данни.

4.   Извършване на комплексни проверки и провеждане на одити

а)	В дейностите на одиторите и на инвестиционните банки може да се наложи обработване на лични данни без съгласието или без знанието на заинтересованото лице. Това се допуска съгласно принципите на уведомяването, на избора и на достъпа при описаните по-нататък обстоятелства.

б)

Публичните акционерни дружества и предприятията с ограничен брой акционери, включително организациите — участници в Щита за личните данни, подлежат на редовно одитиране. Ако информацията за такива одити бъде разкрита преждевременно, това може да застраши целта им, особено когато се отнася до потенциални нарушения. По същия начин за организациите — участници в Щита за личните данни, които се включват в планирани сливания или поглъщания, е необходимо да се проведе или те подлежат на комплексна проверка. Това често налага събиране и обработване на лични данни, като например информация за служители на висши ръководни постове и други важни длъжности. Ако информацията бъде разкрита преждевременно, това може да попречи на сделката или дори да бъде в нарушение на приложимата правна уредба за ценните книжа. Инвестиционните банкери и адвокатите, работещи по комплексната проверка, или одиторите, когато провеждат одита, могат да обработват информация без знанието на физическото лице само в необходимите рамки и период от време за целите на спазването на законовите изисквания или изискванията от публичен интерес, както и в други обстоятелства, където прилагането на тези Принципи би засегнало легитимните интереси на организацията. Сред тези легитимни интереси са контролът на спазването от страна на организациите на техните законови задължения и законни счетоводни дейности, както и необходимостта от поверителност, свързана с евентуални поглъщания, сливания, съвместни предприятия или други сделки със сходен характер, извършвани от инвестиционните банкери или одиторите.

5.   Ролята на органите по защита на данните

а)

Организациите ще изпълняват ангажимента си да си сътрудничат с органите по защита на данните (ОЗД) в Европейския съюз, както е описано по-нататък. Съгласно Щита за личните данни организациите в САЩ, които получават лични данни от ЕС, трябва да поемат ангажимента да използват ефективни механизми, за да гарантират спазването на Принципите на Щита за личните данни. По-специално, както е определено в принципа за защита, прилагане и отговорност за причинени вреди, организациите участници трябва да предвидят: a) (i) средства за правна защита за физическите лица, за които се отнасят данните; a) (ii) процедури за последващ контрол, за да се провери дали уверенията и твърденията, предоставени от организациите за техните практики в областта на неприкосновеността на личния живот, са верни; и a) (iii) задължения за решаване на проблемите, произтичащи от неспазването на Принципите, и последствия за тези организации. Организация, която е поела задължението да си сътрудничи с ОЗД, предвидено в настоящата точка, може да изпълнява условията по буква а), подточки i) и iii) от принципа за защита, прилагане и отговорност за причинени вреди.

б)

Всяка организация може да поеме ангажимент да си сътрудничи с ОЗД, като декларира при самосертифицирането си съгласно Щита за личните данни пред Министерството на търговията (вж. допълнителния принцип относно самосертифицирането), че: i. избира да спазва изискванията по буква а), подточки i) и iii) от принципа за защита, прилагане и отговорност за причинени вреди съгласно Щита за личните данни, като поема ангажимента да сътрудничи с ОЗД; ii. ще сътрудничи с ОЗД във връзка с разглеждането и решаването на депозираните жалби съгласно Щита за личните данни; и iii. ще се съобрази с всяка препоръка, дадена от ОЗД, според която организацията трябва да вземе специални мерки, за да спази Принципите на Щита за личните данни, включително всякакви мерки, свързани със средства за правна защита или обезщетение в полза на физически лица, които са засегнати от неспазването на Принципите, и ще уведоми писмено ОЗД за взетите мерки по този повод.

в)

Функциониране на панелите на ОЗД i. Сътрудничеството на ОЗД ще се изразява в предоставяне на информация и препоръки, както следва: 1. Препоръките на ОЗД ще бъдат предоставяни чрез неформален панел на ОЗД, създаден на равнището на Европейския съюз, който ще помогне, наред с останалото, и за осигуряването на хармонизиран и съгласуван подход. 2. Панелът ще дава препоръки на съответните организации в САЩ по повод на жалби от физически лица, по които няма приети решения и които се отнасят до обработването на лична информация, която е била предадена от ЕС съгласно Щита за личните данни. Препоръките ще предвиждат гарантирането на правилното прилагане на Принципите на Щита за личните данни и ще включват средствата за правна защита за съответното/ите физическо/и лице/а, които ОЗД считат за подходящи. 3. Панелът ще дава тези препоръки в отговор на сезиране от заинтересованите организации и/или на жалби, получени директно от физически лица срещу организации, които са поели ангажимента да си сътрудничат с ОЗД с оглед спазването на Щита за личните данни, като ще насърчава и, при необходимост, подпомага тези физически лица да използват първо вътрешните механизми за разглеждане на жалбите, с които организацията разполага. 4. Препоръките ще се дават едва след като двете страни по спора са имали възможността да представят своите забележки и евентуално своите доказателства. Панелът ще се стреми да предостави препоръките си в най-кратки срокове, като спазва принципите на справедливия процес. По принцип панелът ще се произнася най-късно в срок от 60 дни, считано от получаването на жалбата или сезирането. 5. Ако сметне за необходимо, панелът ще направи публично достояние резултатите от разглеждането на жалбите, по които е бил сезиран. 6. Препоръката, предоставена от панела, няма да ангажира нито панела, нито ОЗД, които го съставляват. ii. Както беше отбелязано по-рано, организациите, които изберат този начин за решаване на споровете, трябва да поемат задължението да спазват и прилагат препоръките, дадени от ОЗД. Ако някоя организация не изпълни препоръката в срок от двадесет и пет дни от получаването ѝ, без да посочи убедително обяснение за закъснението, панелът ще оповести намерението си да отнесе въпроса до Федералната търговска комисия, Министерството на транспорта или друг федерален или държавен орган на САЩ, който има законови правомощия да предприема действия по правоприлагане в случаи на измама или погрешно представяне, или да заключи, че е допуснато сериозно нарушение по отношение на споразумението за сътрудничество, което в такъв случай ще се счита за недействително. В последния случай панелът ще информира Министерството на търговията, за да може Списъкът към Щита за личните данни да бъде надлежно изменен. Всяко неспазване на задължението за сътрудничество с ОЗД, както и всяко неспазване на Принципите на Щита за личните данни, подлежи на санкциониране като измамна практика съгласно раздел 5 от закона за Федералната търговска комисия или на други сравними закони.

г)

Всяка организация, която желае да се ползва с предимствата на Щита за личните данни за данните относно човешки ресурси, предавани от ЕС в контекста на трудовите правоотношения, трябва задължително да поеме ангажимента за тази цел да сътрудничи с ОЗД (вж. допълнителния принцип за данни относно човешки ресурси).

д)

Организациите, които са избрали този вариант, ще плащат годишна такса за покриване на текущите разходите за панела и може допълнително да бъде поискано да поемат евентуално налагащи се разходи за превод, произтичащи от разглеждането от страна на панела на случаите на сезиране или жалбите срещу тях. Годишната такса не може да превишава 500 USD и ще бъде намалена за малките дружества.

6.   Самосертифициране

а)	Предимствата на участието в Щита за личните данни се ползват от датата, на която министерството включи самосертифицираната организация в Списъка към Щита за личните данни, след като преди това е преценил, че подадената информация за самосертифицирането е пълна.

б)

За да се самосертифицира за участие в Щита за личните данни, една организация трябва да подаде в министерството заявление, подписано от корпоративен служител от името на организацията, която се присъединява към Щита за личните данни, което съдържа най-малко следната информация: i. името на организацията, пощенския адрес, адрес на електронна поща, телефонен номер и номер на факс; ii. описание на дейностите на организацията по отношение на личната информация, получавана от ЕС; и iii. описание на политиката на организацията в областта на неприкосновеността на личния живот по отношение на тази лична информация, включително: 1. ако организацията има публичен уебсайт, тя трябва да предостави съответната хипервръзка към адреса, където е предоставила на разположение политиката си в областта на неприкосновеността на личния живот, а ако организацията няма публичен уебсайт, тя трябва да посочи къде е предоставила на разположение за публичен достъп политиката си в областта на неприкосновеността на личния живот; 2. датата, от която тази политика се прилага ефективно; 3. службата, която разглежда жалби, искания за достъп и други въпроси, произтичащи съгласно Щита за личните данни; 4. конкретния законовоустановен орган, който е компетентен да разглежда жалби срещу организацията във връзка с евентуални нелоялни или измамни практики и нарушения на законите или разпоредбите, уреждащи неприкосновеността на личния живот (и който е посочен в Принципите или в бъдещо приложение към Принципите); 5. наименованието на всяка програма относно неприкосновеността на личния живот, в която членува организацията; 6. метода за проверка (напр. вътрешна, от трета страна) (вж. допълнителния принцип „проверка“; и 7. независимия механизъм за защита, който е на разположение за разследване на жалби, по които няма решение.

в)

Когато организацията иска да се ползва от Щита за личните данни по отношение на информацията за човешки ресурси, която се предава от ЕС, за да бъде използвана в контекста на трудовите правоотношения, тя може да направи това, когато съществува законовоустановен орган, компетентен да разглежда жалби срещу организацията, произтичащи от обработването на информация за човешки ресурси, и посочен в Принципите или в бъдещо приложение към Принципите. В допълнение организацията трябва да посочи това при самосертифицирането си и да заяви ангажимента си да си сътрудничи със съответния орган или органи на ЕС съгласно допълнителните принципи за данни относно човешки ресурси и за ролята на органите по защита на данните, според случая, както и че ще се съобразява с препоръките, давани от тези органи. Също така организацията трябва да предостави на министерството копие от политиката си в областта на неприкосновеността на личния живот относно човешките ресурси и да посочи къде е предоставила на разположение на засегнатите служители тази политика, за да могат да я разгледат.

г)

Министерството ще поддържа Списъка към Щита за личните данни с организациите, които са подали пълна информация за самосертифициране, като по този начин ще гарантира те да се ползват с предимствата на Щита за личните данни и ще актуализира този списък въз основа на пресамосертифицирането им и уведомленията, получавани всяка година съгласно допълнителния принцип за разрешаване на спорове и принудително изпълнение. Тази информация за самосертифициране трябва да се подава ежегодно; в противен случай организацията ще бъде заличена от Списъка към Щита за личните данни и няма да продължи да се ползва с предимствата, които той осигурява. Списъкът към Щита за личните данни и подадената от организациите информация за самосертифициране ще бъдат предоставени за публичен достъп. Всички организации, които са включени в Списъка към Щита за личните данни от министерството, трябва също така да заявят в съответните си публични декларации относно политиката си в областта на неприкосновеността на личния живот, че спазват Принципите на Щита за личните данни. Когато политиката на една организация в областта на неприкосновеността на личния живот е на разположение онлайн, в нея трябва да се предостави хипервръзка към страницата на Щита за личните данни на уебсайта на министерството, както и хипервръзка към уебсайт или към формуляр за подаване на жалба на независимия механизъм за защита, който е на разположение за разглеждане на нерешени жалби.

д)

Принципите на неприкосновеност на личния живот се прилагат незабавно след сертифицирането. Предвид факта, че Принципите ще окажат влияние върху търговските взаимоотношения с трети страни, организациите, които се сертифицират съгласно рамката на Щита за личните данни през първите два месеца след датата, от която рамката се прилага ефективно, следва да приведат съществуващите си търговски взаимоотношения с трети страни в съответствие с принципа за отчетност за последващото предаване във възможно най-кратък срок и във всички случаи не по-късно от девет месеца, след като са се сертифицирали съгласно Щита за личните данни. Когато организациите предават данни на трета страна в този междинен период, те трябва: i) да прилагат принципите на уведомяването и на избора и ii) когато личните данни се предават на трета страна, която изпълнява функцията на представител, да определят, че представителят е задължен да осигури най-малко същата степен на защита, която се изисква съгласно Принципите.

е)

Всяка организация трябва да прилага Принципите на неприкосновеност на личния живот за всички лични данни, които получава от ЕС съгласно Щита за личните данни. Задължението за спазване на Принципите на Щита за личните данни не е ограничено във времето по отношение на личните данни, получени през периода, когато организацията се ползва от предимствата на Щита за личните данни. Това задължение означава, че организацията ще продължи да прилага Принципите за тези данни, докато ги съхранява, използва или разкрива, дори ако по някаква причина впоследствие се напусне Щита за личните данни. Организация, която се оттегли от Щита за личните данни, но желае да запази тези данни, трябва ежегодно да потвърждава пред министерството ангажимента си, че ще продължи да прилага Принципите или ще осигури „адекватна“ защита за информацията чрез други разрешени средства (например като използва договор, в който изцяло са включени изискванията по съответните одобрени от Европейската комисия стандартни договорни клаузи); в противен случай организацията трябва да върне или заличи информацията. Организация, която се оттегли от Щита за личните данни, трябва да премахне от съответната си политиката в областта на неприкосновеността на личния живот всички упоменавания на Щита за личните данни, които могат да водят до заключението, че продължава да участва активно и се ползва с предимствата от участието си в Щита за личните данни.

ж)

Организация, която престане да съществува като самостоятелно юридическо лице поради сливане или придобиване от друга организация, трябва предварително да уведоми за това министерството. В уведомлението трябва също така да бъде посочено дали организацията, която я е придобила или която се образува след сливането: i) ще продължи да бъде обвързана от Принципите на Щита за личните данни при действието на правото, уреждащо сливането или придобиването, или ii) ще избере да се самосертифицира за спазването на Принципите на Щита за личните данни или ще предвиди други гаранции, като писмено споразумение, гарантиращо спазването на тези принципи. Ако не е приложимо нито i), нито ii), всички лични данни, придобити съгласно Щита за личните данни, трябва да бъдат незабавно заличени.

з)

Когато по някаква причина организация напусне Щита за личните данни, тя трябва да премахне всички твърдения, които могат да водят до заключението, че продължава да участва или се ползва с предимствата от участието си в Щита за личните данни. Също така трябва да премахне и сертификационния знак на Щита за личните данни в отношенията между ЕС и САЩ, ако го използва. Всяко погрешно представяне пред широката общественост относно придържането на организацията към Принципите на Щита за личните данни може да подлежи на санкциониране от ФТК или друг съответен държавен орган. Погрешно представяне пред министерството може да бъде санкционирано по силата на Закона за неверните твърдения (False Statements Act) (18 U.S.C. § 1001).

7.   Проверка

а)

Организациите трябва да предвидят процедури за последващ контрол, за да се провери дали уверенията и твърденията им относно техните практики в областта на неприкосновеността на личния живот съгласно Щита за личните данни са верни и дали тези практики се прилагат както са представени и съгласно Принципите на Щита за личните данни.

б)	За да се отговори на изискванията за проверка съгласно принципа за защита, прилагане и отговорност за причинени вреди, организацията трябва да удостовери верността на тези уверения и твърдения чрез самооценка или външни прегледи на спазването.

в)

Съгласно подхода за самооценка проверката трябва да установи, че обявената публично политика на организацията в областта на неприкосновеността на личния живот относно личната информация, получавана от ЕС, е точна, пълна, поставена на видно място, прилага се изцяло и е достъпна. Също така тя трябва да покаже, че политиката на тази организация в областта на неприкосновеността на личния живот съответства на Принципите на Щита за личните данни; че физическите лица са информирани за съществуването на вътрешни процедури за разглеждане на жалбите и независими механизми, до които те могат да отнесат жалбите си; че има процедури за подготовка на служителите за прилагането на тази политика и за дисциплинарна отговорност при неспазване; и че има вътрешни процедури с цел периодичното провеждане на обективен преглед на спазването на горното. Поне веднъж годишно корпоративен служител или друг упълномощен представител на организацията трябва да подписва декларация за заверка на самооценката и тя трябва да бъде предоставяна на физическите лица при поискване или в рамките на дадено разследване или жалба за неспазване.

г)

Ако организацията е избрала външен преглед на спазването, последният трябва да докаже, че политиката на организацията в областта на неприкосновеността на личния живот относно личната информация, получавана от ЕС, съответства на Принципите на Щита за личните данни, че тази политика се спазва и че физическите лица са информирани за механизмите, които им позволяват да подават жалби. Методите за преглед могат да включват без ограничение одит, случайни проверки, използването на разобличаващи средства или на подходящи технологични инструменти. Поне веднъж годишно от контролиращото лице, от корпоративен служител или от друг упълномощен представител на организацията трябва да бъде подписвана декларация, потвърждаваща, че е успешно извършен външен преглед на спазването и той трябва да бъде предоставен на физическите лица при поискване или в рамките на дадено разследване или жалба за неспазване.

д)

Организациите трябва да съхраняват документацията си за прилагането на техните практики в областта на неприкосновеността на личния живот съгласно Щита за личните данни и да представят тази документация при поискване, в рамките на разследване или жалба за неспазване, на независимия орган, отговорен за разглеждане на жалбите, или на институцията, която е компетентна в областта на нелоялните и измамни практики. Организациите трябва също така да предоставят своевременно отговори на запитвания и други искания за информация на министерството във връзка със спазването от тяхна страна на Принципите.

8.   Достъп

а)   Принципът на достъпа на практика

i.

Съгласно Принципите на Щита за личните данни правото на достъп е основен елемент от защитата на неприкосновеността на личния живот. По-конкретно то позволява на физическите лица да проверяват точността на наличната информация относно тях. Принципът на достъпа означава, че физическите лица имат право: 1. да получат от дадена организация потвърждение дали тя обработва лични данни, свързани с тях (4); 2. да им бъдат съобщени тези данни, за да могат да проверят дали са точни и дали обработването се извършва законосъобразно; и 3. да бъдат коригирани, изменени или заличени данните, когато са неточни или се обработват в нарушение на Принципите.

ii.

От физическите лица не се изисква да обосновават исканията си за достъп до личните си данни. Когато отговарят на искания за достъп от страна на физическите лица, организациите следва да се ръководят преди всичко от мотивите на лицата. Например, ако искането за достъп е неясно или много общо по съдържание, организацията може да обсъди това с физическото лице, за да разбере по-точно мотивите му във връзка с искането и да потърси подходящата информация. Организацията може да поиска да разбере с коя(и) служба(и) физическото лице е имало контакти или какво е естеството или употребата на информацията, която е предмет на искането за достъп.

iii.

В съответствие с фундаменталния характер на правото на достъп организациите следва винаги да полагат усилия, за да предоставят достъп. Например, ако трябва да се защити някаква информация и тя може лесно да бъде отделена от останалата лична информация, която е предмет на искането за достъп, организацията следва да отдели защитената информация, като направи достъпна останалата. Ако организацията реши да ограничи достъпа в конкретен случай, тя следва да предостави на физическото лице, изискващо достъп, обяснение за това свое решение и да посочи лице за контакт за повече информация.

б)   Затруднения или разходи по предоставянето на достъп

i.

Правото на достъп до лични данни може да бъде ограничавано при изключителни обстоятелства, когато биха били нарушени законните права на лица, различни от заинтересованото, или когато затрудненията или разходите по предоставяне на достъп биха били несъразмерни спрямо рисковете за неприкосновеността на личния живот на физическото лице във въпросния случай. Разходите и необходимите усилия са важни фактори и следва да бъдат взети предвид, но те не са решаващи при определяне основателността на предоставянето на достъп.

ii.

Така например, ако личната информация се използва, за да се вземат решения, които ще имат сериозни последици за физическото лице (например отказ или предоставяне на важни предимства, като застраховка, ипотека или работа), организацията е длъжна съобразно останалите разпоредби на тези допълнителни принципи да разкрие тази информация, дори ако това се окаже относително трудно или скъпо. Ако исканата лична информация не е с чувствителен характер и не се използва, за да се вземат решения, които ще имат сериозни последици за физическото лице, а е лесно достъпна и разходите за предоставянето ѝ не са високи, организацията трябва да предостави достъп до нея.

в)   Поверителната търговска информация

i.

Поверителната търговска информация е информация, която организацията полага усилия да пази от разкриване, защото нейното разкриване би улеснило конкуренти на пазара. Организациите могат да откажат или да ограничат достъпа, доколкото предоставянето на пълен достъп би разкрило тяхна собствена поверителна търговска информация, като например маркетингови концепции или класификации, изготвени от тази организация, или поверителна търговска информация, принадлежаща на други организации, когато тази информация е предмет на договорни задължения за поверителност.

ii.	Ако поверителната търговска информация може лесно да се отдели от другата лична информация, която е предмет на искането за достъп, организацията следва да отдели поверителната търговска информация и да предостави неповерителната информация.

г)   Организиране на бази данни

i.	Достъпът може да се предостави като разкриване на съответната лична информация от организацията на физическото лице, без да се налага достъп от страна на физическото лице до базата данни на организацията.

ii.	Достъпът се осигурява само в рамките на личната информация, която организацията съхранява. Принципът на достъпа сам по себе си не поражда никакво задължение за запазване, поддържане, реорганизация или преструктуриране на файловете с лична информация.

д)   Кога достъпът може да бъде ограничаван

i.

Тъй като организациите трябва винаги да полагат усилия, за да предоставят достъп на физическите лица до техните лични данни, обстоятелствата, при които те могат да ограничават този достъп, са ограничени и всички мотиви за това трябва да бъдат конкретни. Както това е установено в Директивата, организацията може да ограничава достъпа до информация, доколкото нейното разкриване има вероятност да засегне опазването на важни обществени интереси като националната сигурност, отбраната или обществената сигурност. Достъпът може също така да бъде отказан, когато личната информация се обработва единствено за целите на изследвания или статистически цели. Други мотиви за отказ или ограничаване на достъпа са: 1. накърняване на изпълнението или прилагането на законодателството или на частно-правен иск, включително предотвратяването, разследването или разкриването на престъпления или упражняване правото на справедлив съдебен процес; 2. разкриване, което би нарушило законните права или важни интереси на други лица; 3. нарушаване на правно или друго професионално задължение или привилегия; 4. нарушаване на разследвания на служители по отношение на сигурността или относно оплаквания, или във връзка с планиране на нови назначения и реорганизации на дружествата; или 5. нарушаване на поверителността, необходима при извършване на мониторинг, инспекции или изпълнение на регулаторни функции във връзка с доброто управление, или при бъдещи или текущи преговори, в които организацията участва.

ii.	Задължение на организацията е, когато се позовава на изключение, да докаже неговата наложителност, както и да представи на физическите лица мотивите си за ограничаване на достъпа и да посочи лице за контакт за повече информация.

е)   Право на получаване на потвърждение и определяне на такса за покриване на разходите по предоставяне на достъп

i.	Всяко физическо лице има право да получи потвърждение дали дадена организация разполага с лични данни, свързани с него. Също така всяко физическо лице има право да му бъдат съобщени личните данни, свързани с него. Организацията може да определи такса, която не е прекалено висока.

ii.	Определянето на такса може да е основателно, когато например исканията за достъп са явно прекомерни, и по-специално поради техния повтарящ се характер.

iii.	Достъпът не може да бъде отказан по финансови причини, ако физическото лице предложи да поеме разноските.

ж)   Искания за достъп с повтарящ се или злонамерен характер

Всяка организация може да определи допустимо ограничение на броя на исканията за достъп, подавани от конкретно физическо лице за определен период. Когато определя тези ограничения, организацията следва да отчита фактори като честота на актуализиране на информацията, целта, с която се използват данните, и естеството на информацията.

з)   Искания за достъп с измамен характер

Организацията не е длъжна да предоставя достъп, ако не получи необходимата информация за потвърждаване на самоличността на лицето, отправило искането.

и)   Срок за отговор

Организациите следва да отговарят на искания за достъп в рамките на разумни срокове, по допустим начин и във форма, която е лесноразбираема за физическото лице. Организация, която предоставя информация на субектите на данни през редовни интервали от време, може да отговори на искане за достъп от физическо лице с редовното предоставяне на информация, ако това няма да доведе до прекомерно забавяне.

9.   Данни за човешки ресурси

а)   Обхват на Щита за личните данни

i.

Когато лична информация относно наети лица (настоящи или бивши), събирана в рамките на трудовите правоотношения, се предава от организация в ЕС на участващо в Щита за личните данни предприятие майка, дъщерно предприятие или доставчик на услуги, който не е свързано дружество, в Съединените щати, това предаване се ползва от предимствата на Щита за личните данни. В този случай събирането на информацията, както и обработването ѝ преди предаването ще се уреждат от националното законодателство на държавата от ЕС, където е било извършено събирането, и ще трябва да се спазват всички условия или ограничения по предаването ѝ в съответствие с това законодателство.

ii.

Принципите на Щита за личните данни са релевантни само в случай на предаване или на достъп до конкретна информация за отделни лица. Статистическата информация, основаваща се на общи данни за заетостта, без да съдържа лични данни, или използването на анонимизирни данни, не поражда загриженост за неприкосновеността на личния живот.

б)   Прилагане на принципите на уведомяването и на избора

i.

Организация в САЩ, която е получила от ЕС информация за наети лица съгласно Щита за личните данни, може да я разкрива на трети страни или да я използва за други цели само ако са спазени принципите на уведомяването и на избора. Например, ако организация в САЩ възнамерява да използва личната информация, събрана в рамките на трудови правоотношения, за цели, които не са свързани с трудовите правоотношения — например маркетингови съобщения — тя трябва преди това да даде възможност за избор на засегнатите физически лица, освен ако последните не са дали вече своето разрешение информацията да бъде използвана за тази цел. Това използване не трябва да бъде несъвместимо с целите, за които личната информация е била събрана или впоследствие е дадено разрешение от физическото лице. От друга страна, такъв избор не трябва да бъде използван, за да бъдат ограничавани възможностите, произтичащи от трудовите правоотношения, или за предприемане на наказателни действия срещу тези наети лица

ii.	Следва да се отбележи, че някои общоприложими условия за предаването на данни от страна на някои държави — членки на ЕС, може да изключват други употреби на такава информация, дори след предаването ѝ извън територията на ЕС, и такива условия трябва да бъдат спазени.

iii.

В допълнение към това работодателите следва да се стремят да вземат предвид предпочитанията на наетите лица в областта на неприкосновеността на личния живот. Това може да включва например ограничаване на достъпа до личните данни, анонимизиране на някои данни или кодиране, или псевдонимизиране, когато за целите на управлението не се изисква използване на истинските имена.

iv.

В рамките на необходимото и за срока, необходим, за да се избегне накърняването на законните права на организацията да извършва повишаване в длъжност, назначения или вземането на други подобни решения в областта на трудовите правоотношения, не е необходимо организацията да спазва принципите на уведомяването и на избора.

в)   Прилагане на принципа на достъпа

В допълнителния принцип на достъпа се предоставят насоки относно причините, на които може да се основава отказът или ограничаването на поискан достъп в контекста на човешките ресурси. В Европейския съюз, разбира се, работодателите трябва да спазват правните разпоредби, приложими в тяхната държава, и да гарантират, че наетите лица в Европейския съюз имат достъп до информацията съгласно законодателствата на техните държави, независимо от мястото, където се извършва обработването и съхраняването на данните. Съгласно Щита за личните данни организация, която обработва такива данни в Съединените щати, трябва да сътрудничи при предоставянето на такъв достъп или пряко, или чрез работодателя от ЕС.

г)   Прилагане

i.

Доколкото личната информация се използва само в рамките на трудовите правоотношения, основната отговорност за данните по отношение на наетото лице носи организацията в ЕС. От това следва, че ако европейски наети лица възразят срещу нарушаване на правата им за защита на данните и не са удовлетворени от резултатите от вътрешните процедури за преглед, разглеждане на жалбите и обжалване (или от всяка друга вътрешна процедура, приложима по силата на сключен договор с профсъюз), те следва да бъдат насочвани към щатския или националния орган по защита на данните или към орган трудово-правни отношения, в чийто района на компетентност работи наетото лице. Тук се включват и случаите, когато за твърдяното нарушение на правата при обработването на лична информация е отговорна организацията в САЩ, която е получила информацията от работодателя, и следователно е налице твърдяно нарушение на Принципите на Щита за личните данни. Това ще бъде най-ефикасният начин за разрешаване на проблемите, които се проявяват често между застъпващите се права и задължения, определени от националните законодателства в областта на трудовото право и от колективните трудови договори, както и от законодателството в областта на защитата на данните.

ii.

Следователно организация в САЩ — участник в Щита за личните данни, която използва данни от ЕС относно човешки ресурси, предадени от Европейския съюз в рамките на трудовите правоотношения, и която желае това предаване да бъде обхванато от Щита за личните данни, трябва да поеме ангажимента за тази цел да сътрудничи при разследвания от страна на компетентните органи на ЕС и да спазва препоръките им.

д)   Прилагане на принципа на отчетност за последващото предаване

За свързани с трудово-правните отношения оперативни нужди със случаен характер на организация — участник в Щита за личните данни, които касаят лични данни, предавани съгласно Щита за личните данни, като например резервация на полет, стая в хотел или застраховка, предаванията на лични данни на малко на брой наети лица към администратори може да се извършват, без да се прилага принципът на достъпа или да се сключва договор с третата страна администратор, както иначе се изисква по силата на принципа на отчетност за последващото предаване, при условие че организацията — участник в Щита за личните данни, е спазила принципите на уведомяването и на избора.

10.   Задължителни договори за последващите предавания

а)   Договори за обработване на данни

i.	Когато предаването на лични данни от ЕС към Съединените щати се извършва само за целите на обработването, се изисква договор независимо дали обработващият е организация — участник в Щита за личните данни.

ii.

От администраторите на данни в Европейския съюз се изисква винаги да подписват договор, когато се извършва предаване за целите само на обработване на данните, независимо дали това обработване се извършва във или извън ЕС и дали обработващият е организация — участник в Щита за личните данни. Предназначението на договора е да се осигури, че обработващият данните: 1. действа единствено по указания на администратора; 2. осигурява подходящи технически и организационни мерки за защита на личните данни от случайно или неправомерно унищожаване, случайна загуба, промяна, неразрешено разкриване или достъп, и е наясно дали е разрешено последващото предаване; и 3. като взема предвид естеството на обработването, подпомага администратора да отговори на искания на физически лица за упражняване на предвидените в Принципите права.

iii.

Имайки предвид, че организациите — участници в Щита за личните данни, гарантират адекватна защита, договорите само за целите на обработването, сключени с такива участници, не изискват предварително разрешение (или такова разрешение се дава автоматично от държавите — членки на ЕС), за разлика от договорите с получателите на данни, които не са участници в Щита за личните данни или които не гарантират адекватна защита.

б)   Предавания в рамките на група дружества или група субекти под общ контрол

Когато личната информация се предава между двама администратори в рамките на група дружества или група субекти под общ контрол, невинаги се изисква договор в съответствие с принципа на отчетност за последващото предаване. Администраторите на данни в рамките на група дружества или група субекти под общ контрол могат да се основават при тези предавания на данни на други инструменти, като например задължителни фирмени правила на ЕС или други вътрешно-групови инструменти (напр. програми за спазване и контрол), които гарантират непрекъснатост на защитата на личната информация съгласно Принципите на Щита за личните данни. В случаи на такива предавания организацията — участник в Щита за личните данни, остава отговорна за спазването на Принципите на Щита за личните данни.

в)   Предавания на данни между администратори

При предавания на данни между администратори не е необходимо получателят да бъде организация — участник в Щита за личните данни, или да разполага с независим механизъм за защита. Организацията — участник в Щита за личните данни, трябва да сключи договор с администратора — получател на третата страна, в който да се предвижда същата степен на защита, която осигурява Щитът за личните данни, без да се включва изискването към администратора на третата страна да е организация — участник в Щита за личните данни, или да разполага с независим механизъм за защита, при условие че той осигурява еквивалентен механизъм.

11.   Разрешаване на спорове и прилагане

а)   В принципа на защита, прилагане и отговорност за причинени вреди се определят изискванията за прилагане съгласно Щита за личните данни. В допълнителния принцип на проверка е определен начинът да се удовлетворят изискванията, формулирани в буква а), подточка ii) от принципа. В посочения допълнителен принцип се определят решения съгласно формулираните условия в буквa a), подточки i) и iii), в които се поставя изискване за независим механизъм за защита. Тези механизми могат да имат различна форма, но трябва да отговарят на изискванията на принципа на защита, прилагане и отговорност за причинени вреди. Организациите отговарят на изискванията чрез следното: i) като се съобразяват с разработени от частния сектор програми за неприкосновеността на личния живот, в чиито правила са залегнали Принципите на Щита за личните данни и в които са предвидени ефективни механизми за прилагане от същото естество като описаните в принципа на защита, прилагане и отговорност за причинени вреди; ii) като се съобразяват с указанията на законовоустановените или регулаторните органи за надзор, които осигуряват разглеждането на жалби на физическите лица и решаването на споровете; или iii) като се ангажират да сътрудничат с органите по защита на данните в рамките на Европейския съюз или с техните упълномощени представители.

б)   Настоящият списък е примерен и не е ограничаващ. Частният сектор може да предвиди други механизми за прилагане, при условие че отговарят на изискванията на принципа на защита, прилагане и отговорност за причинени вреди и на допълнителните принципи. Моля, имайте предвид, че изискванията съгласно принципа на защита, прилагане и отговорност за причинени вреди допълват изискването, че мерките за саморегулиране трябва да подлежат на принудително изпълнение съгласно раздел 5 от Закона за Федералната търговска комисия, който забранява нелоялните и измамни практики, или съгласно друг законов или подзаконов акт, с който се забраняват тези практики.

в)   С цел да спомогнат за гарантиране спазването на ангажиментите си съгласно Щита за личните данни и да подпомагат управлението на програмата, организациите и техните независими механизми за защита трябва да предоставят информация във връзка с Щита за личните данни при поискване от министерството. Допълнително организациите трябва да отговарят експедитивно на жалби във връзка със спазването от тяхна страна на Принципите, за които са сезирани от ОЗД чрез министерството. В отговора трябва да се дава преценка по същество на жалбата и информация как организацията ще разреши проблема, ако случаят е такъв. Министерството ще осигури защита на поверителността на информацията, която получава, в съответствие с изискванията на правото на САЩ.

г)   Механизъм за защита

i.

Потребителите следва да бъдат насърчавани да подават жалбите, които евентуално биха повдигнали, до съответната организация, преди да се обърнат към независими механизми за защита. Организациите трябва да отговорят на потребителя в срок от 45 дни, считано от получаването на жалбата. Независимостта на механизма за защита се преценява на фактическа основа, като се доказва чрез критерии като безпристрастност, прозрачност по отношение на неговия състав и на неговото финансиране и доказан професионален опит. Както се предвижда съгласно принципа на защита, прилагане и отговорност за причинени вреди, подаването на жалби, което е право на физическите лица, трябва да е лесно осъществимо и безплатно за тях. Органите за разрешаване на спорове следва да разглеждат всички получени жалби от физическите лица, освен в случаите, когато са явно необосновани или нямат сериозен характер. Това условие не възпрепятства установяването от страна на организацията, която разглежда жалбите в рамките на механизма за защита, на критерии за допустимост, но те трябва да бъдат прозрачни и обосновани (примерно да се изключват жалби, които не са в обхвата на програмата или които са от компетенциите на други инстанции) и не би следвало да засягат ангажимента да се разглеждат законосъобразните жалби. Освен това механизмите за защита следва да дават на физическите лица пълна и лесно достъпна информация за функционирането на процедурата по разрешаване на спорове, когато подават жалба. Тази информация следва да включва уведомяване относно практиките на механизма в областта на неприкосновеността на личния живот съгласно Принципите на Щита за личните данни. Също така механизмите следва да си сътрудничат за разработването на инструменти за улесняване на процеса по разрешаване на споровете, като например стандартни формуляри за жалби.

ii.

Независимите механизми за защита трябва да включват на своите публични уебсайтове информация относно Принципите на Щита за личните данни и услугите, които извършват съгласно Щита за личните данни. Тази информация трябва да включва: 1) информация или електронна връзка към изискванията относно независимите механизми за защита съгласно Принципите на Щита за личните данни; 2) електронна връзка към страницата на Щита за личните данни на уебсайта на министерството; 3) пояснение, че техните услуги по разрешаване на споровете съгласно Щита за личните данни са безплатни за физическите лица; 4) описание на това как може да бъде подадена жалба във връзка с Щита за личните данни; 5) сроковете, в които се разглеждат жалбите във връзка с Щита за личните данни; и 6) описание на набора от възможни средства за правна защита.

iii.

Независимите механизми за защита трябва да публикуват годишен доклад с обобщена статистическа информация относно своите услуги по разрешаване на спорове. В годишния доклад трябва да бъдат включени: 1) общият брой на получените през отчетната година жалби във връзка с Щита за личните данни в отношенията между ЕС и САЩ; 2) видът на получените жалби; 3) качествени показатели за решаването на спора, напр. времето за обработването на жалбите; и 4) резултатите от получените жалби, а именно броят и видовете средства за правна защита или санкции, които са били наложени.

iv.

Както е разгледано в приложение I, на разположение на физическите лица е възможност за арбитраж за неразрешените жалби, чрез която може да се определи дали организация — участник в Щита за личните данни, е нарушила задълженията си съгласно Принципите по отношение на това физическо лице и дали това нарушение е останало изцяло и частично неотстранено. Тази възможност е предвидена само за тези цели. Например по отношение на изключенията от Принципите (5) или на твърдения относно адекватността на Щита за личните данни не се предвижда такава възможност. Съгласно тази процедура за арбитраж специалната група по Щита за личните данни (в чийто състав влизат един или трима арбитри по споразумение между страните) е компетентна да предписва специфични за конкретния случай непарични безпристрастни мерки (например предоставяне на достъп, коригиране, заличаване или връщане на въпросните данни на физическото лице), необходими като корективно действие срещу нарушаването на Принципите единствено по отношение на физическото лице. Физическите лица и организациите — участници в Щита за личните данни, могат да отнасят арбитражните решения за съдебен контрол и принудително изпълнение по силата на правото на САЩ съгласно Федералния арбитражен закон (Federal Arbitration Act).

д)   Средства за правна защита и санкции

Средствата за правна защита, предоставени от органа, който решава споровете, би следвало да доведат до анулиране или коригиране от страна на организацията, в рамките на възможното, на последиците от неспазването на Принципите и до спазване на Принципите при по-нататъшното обработване на личните данни от същата организация или, когато случаят е такъв, до преустановяване на обработването на личните данни на физическото лице, подало жалбата. Санкциите трябва да са достатъчно строги, за да гарантират спазването на Принципите от страна на организацията. Набор от санкции с различна степен на строгост ще позволи на органите по разрешаване на споровете да предприемат подходящи ответни мерки спрямо различните степени на неспазване. Санкциите следва да включват даване на публичност в случаите на установяване на неспазване и изискване да се заличат данните при определени обстоятелства (6). Други санкции биха могли да включват спиране и отнемане на разрешителното, обезщетение за физическите лица за загубите, претърпени в резултат на неспазването, и разпореждания за прекратяване. Органите по разрешаване на споровете и саморегулиращите се организации от частния сектор трябва да уведомят съдилищата или държавните органи със съответна юрисдикция, според случая, относно организациите — участници в Щита за личните данни, които не спазват техните решения, и да уведомят министерството.

е)   Действия на ФТК

ФТК се ангажира да разглежда с предимство случаи на неспазване на Принципите, за които е била сезирана от: i) саморегулиращи се организации в областта на неприкосновеността на личния живот и други независими инстанции за разрешаване на спорове; ii) държавите — членки на ЕС; и iii) министерството, за да определи дали са нарушени изискванията на раздел 5 от закона за Федералната търговска комисия за забраната на нелоялни или измамни действия или практики в търговията. Ако ФТК заключи, че има основание да счете, че раздел 5 е бил нарушен, тя може да реши въпроса, като изиска административна заповед за преустановяване и прекратяване, забраняваща оспорваните практики, или като внесе жалба пред федерален областен съд, който, ако признае жалбата, може да се произнесе с разпореждане със същото действие. Тук се включват и неверни твърдения за спазване на Принципите на Щита за личните данни или за участие в Щита за личните данни от страна на организации, които повече не са в Списъка към Щита за личните данни или никога не са се самосертифицирали пред министерството. ФТК може да поиска граждански санкции при неизпълнение на административна заповед за преустановяване и прекратяване и да преследва нарушителя за незачитане на съда — по реда на гражданското или наказателното право — ако не изпълни разпореждането на федералния съд. ФТК уведомява министерството за всички такива действия, които предприема. Министерството насърчава другите държавни органи да го уведомяват за изхода на всички подобни случаи на сезиране или други решения, определящи спазването на Принципите на Щита за личните данни.

ж)   Трайно неспазване

i.

Ако дадена организация трайно не се съобразява с Принципите, тя повече няма право да се ползва от предимствата на Щита за личните данни. Организации, които трайно не се съобразяват с Принципите, се заличават от Списъка към Щита за личните данни от министерството и трябва да върнат или заличат личната информация, която са получили съгласно Щита за личните данни.

ii.

Трайно неспазване е налице, когато организацията, която се е самосертифицирала пред министерството, отказва да изпълнява окончателното решение на саморегулираща се организация в областта на неприкосновеността на личния живот, на независим орган по решаване на спорове или на държавен орган, или когато даден орган констатира, че организация често нарушава Принципите, дотолкова че нейното твърдение за спазване вече не е достоверно. В такива случаи организацията трябва незабавно да уведоми за това министерството. В противен случай тя може да бъде санкционирана по силата на Закона за неверните твърдения (False Statements Act) (18 U.S.C. § 1001). Оттеглянето на дадена организация от програма на частния сектор за саморегулиране в областта на неприкосновеността на личния живот или от независим механизъм за разрешаване на спорове не я освобождава от задължението да спазва Принципите и може да се счита за трайно неспазване.

iii.

Министерството ще заличава организации от Списъка към Щита за личните данни в отговор на постъпило уведомление за трайно неспазване, независимо дали то е получено от самата организация, от саморегулираща се организация в областта на неприкосновеността на личния живот, от друг независим орган за разрешаване на спорове или от държавен орган, но едва след като е изпратило на организацията нарушител тридесет дневно предизвестие и е дало възможност за отговор. В Списъка към Щита за личните данни, поддържан от министерството, съответно ще се посочва кои организации се ползват от предимствата на Щита за личните данни и кои вече не могат да се ползват от тях.

iv.	Всяка организация, която заяви, че иска да участва в саморегулираща се организация, за да може отново да изпълни изискванията съгласно Щита за личните данни, трябва да предостави на тази организация пълна информация относно предишното си участие в Щита за личните данни.

12.   Избор — момент на прилагане на клаузата за неучастие („opt out“)

а)

Като цяло принципът на избора има за цел да гарантира, че личната информация се използва и разкрива съгласно очакванията и избора на физическото лице. Следователно, когато лична информация се използва в рамките на директния маркетинг, всяко физическо лице трябва да има възможност да упражни правото си на неучастие („opt out“) във всеки един момент и в определени допустими граници, установени от организацията, като например в срок, в който да може организацията да направи неучастието ефективно. Организацията може също така да изиска достатъчно информация, за да потвърди самоличността на физическото лице, което иска упражняването на „opt out“. В Съединените щати това право може да се упражнява от физическите лица чрез централна „opt out“ програма като Mail preference service на Direct Marketing Association. Организациите, които участват в Mail preference service на Direct Marketing Association, следва да насърчават предоставянето на тази програма на разположение на потребителите, които не искат да получават търговска информация. Във всеки случай за упражняването на тази възможност физическото лице следва да разполага с лесно достъпен механизъм на приемлива цена.

б)

По същия начин организацията може да използва информацията за някои цели на директния маркетинг, когато условията не позволяват да се осигури възможност на физическото лице за „opt out“ преди използването на данните, при условие че след това в кратки срокове (и във всеки един момент при поискване) осигури такава възможност на лицето да откаже да получава други съобщения на директния маркетинг, без разноски за него, и уважи желанието на физическото лице.

13.   Информация, свързана с пътуване

а)

Резервационни данни на пътниците във въздушния транспорт и друга информация, свързана с пътуване, например информация за редовни клиенти или за резервации за хотел, както и за специфични нужди, като например предпочитания за храната в зависимост от изискванията на религията или необходимостта от физическа помощ при пътуването, може да се предава на организации извън ЕС при няколко различни обстоятелства. Съгласно член 26 от Директивата личните данни могат да се предават на „трета страна(, която) не осигурява достатъчна степен на защита по смисъла на (член 25,) параграф 2“, при условие че: i) е необходимо за предоставяне на исканите от потребителя услуги или за изпълнение на условията на даден договор, например споразумение за „редовни пътници“; или ii) потребителят е дал категоричното си съгласие. Организациите в САЩ, които участват в Щита за личните данни, осигуряват адекватна защита на личните данни и следователно могат да получават такива данни, предавани от EС, без да отговарят на тези условия или на другите условия, установени в член 26 от Директивата. След като в Щита за личните данни се съдържат специфични правила относно чувствителната информация, такава информация (която може да е необходимо да бъде събирана например във връзка с нуждата на клиенти от физическа помощ) може да бъде включена в данните, предавани на организациите — участници в Щита за личните данни. Във всички случаи обаче организацията, която предава информацията, трябва да спазва законодателството на държавата — членка на ЕС, в която осъществява дейността си, като в това законодателство може, наред с останалото, да са определени и специални условия за обработването на чувствителни данни.

14.   Фармацевтични и медицински продукти

а)   Прилагане на правото на държавите — членки на ЕС, или на Принципите на Щита за личните данни

Законодателството на държавите — членки на ЕС, се прилага за събирането на личните данни и за всяко обработване, което се извършва преди предаването в Съединените щати. Принципите на Щита за личните данни се прилагат за данните, след като те са били предадени в Съединените щати. За да бъдат използвани за фармацевтични изследвания и други цели, данните трябва да бъдат анонимизрани, когато това е уместно.

б)   Бъдещи научни изследвания

i.

Личните данни, събрани при конкретни медицински или фармацевтични изследвания, често имат важна роля за бъдещите научни изследвания. Когато личните данни, събрани за едно изследване, се предават на организация в САЩ съгласно Щита за личните данни, тази организация може да ги използва за нови научни изследвания, ако преди това съответно е уведомила за това и е предоставила възможност за избор. С това уведомяване трябва да се предостави информация за всяка бъдеща специфична употреба на данните, като например за периодичен последващ контрол, свързани изследвания или търговски цели.

ii.

Разбираемо е, че не могат да бъдат уточнени всички бъдещи употреби на данните, тъй като ново приложение за целите на научните изследвания може да е налице и когато се прави нов анализ на първоначалните данни, нови медицински открития и разработки, както и при развитието в областта на общественото здраве и нормативната уредба. Следователно уведомяването трябва да включва по целесъобразност и пояснение, че личните данни могат да бъдат използвани в бъдещи медицински и фармацевтични изследвания, които не е възможно да бъдат предвидени. Ако тази употреба не е съвместима с общите изследователски цели, за които личните данни са били събрани първоначално или за които физическото лице е дало одобрението си впоследствие, трябва да бъде получено ново съгласие.

в)   Оттегляне от клинично изпитание

Участниците в клинично изпитание могат във всеки един момент да решат да се оттеглят от него или да бъдат помолени за това. Всички лични данни, събрани преди оттеглянето, могат да бъдат обработвани заедно с другите данни, събрани в рамките на клиничното изпитание, но при условие че това е било ясно посочено на участника при уведомяването в момента, когато той е дал съгласието си за участие.

г)   Предавания на данни за регулаторни и надзорни цели

На дружествата за фармацевтична и медицинска апаратура се позволява да предоставят личните данни, извлечени от клинични изпитания, осъществени в ЕС, на органи в Съединените щати за регулаторни и надзорни цели. По същия начин се позволява предаване на данни на други страни освен регулаторните органи, като например обекти на дружеството на друго място или други изследователи, съгласно принципите на уведомяването и на избора.

д)   „Кодирани“ изследвания

i.

За да се гарантира обективността, при много клинични изпитания достъпът до информацията, отнасяща се до лечението, проведено на всеки от участниците, е забранен за самите тях, а често пъти и за изследователите. Противното би поставило под въпрос валидността на изследването и на резултатите. За участниците в такива клинични изпитания (наричани „кодирани“ изследвания) не е необходимо да се осигурява достъп до информацията, отнасяща се до лечението им по време на изпитанието, ако това ограничение е било обяснено, когато е започнало изпитанието, и ако разкриването на тази информация може да навреди на почтеността на изследователската работа.

ii.

Съгласието да се участва в изпитанията при тези условия предполага и отказ от правото на достъп. След приключването на изпитанията и анализа на резултатите, на участниците трябва да се предостави достъп до техните данни, ако поискат това. Те следва да се обърнат първо към лекаря или другите медицински обслужващи кадри, които са провеждали лечението им по време на клиничните изпитания, или на второ място — към организацията възложител.

е)   Контрол на безопасността и ефикасността на продуктите

Не е необходимо дружествата за фармацевтична или медицинска апаратура да прилагат за своите дейности по контрол на безопасността и ефикасността на продуктите Принципите на Щита за личните данни по отношение на принципите на уведомяването, избора, отчетността за последващите предавания и достъпа, включително за докладите за неблагоприятни събития и за проследяването на пациенти/субекти, използващи определени лекарствени продукти или медицински изделия, доколкото придържането към Принципите е в противоречие със спазването на нормативните изисквания. Това се отнася както за докладите, изготвени например от лица, предоставящи здравни услуги, за фармацевтичните дружества и дружествата за медицински изделия, така и за докладите на фармацевтичните дружества и дружествата за медицински изделия, изготвяни за държавни институции, като например Администрацията по храните и лекарствата (Food and Drug Administration).

ж)   Данни, кодирани с ключ

Данните в изследването обикновено са кодирани с уникален ключ още в мястото им на произход от главния изследовател, за да не бъде разкрита самоличността на отделните субекти на данните. Фармацевтичните дружества, които възлагат подобни изследвания, не получават ключа на кода. Единствено изследователят съхранява уникалния ключ на кода, за да може да идентифицира субекта на изследването при извънредни обстоятелства (например, ако след това се налага медицинска помощ). Предаването от ЕС към Съединените щати на данни, които са били кодирани по този начин, не би представлявало предаване на лични данни, което се извършва съгласно Принципите на Щита за личните данни.

15.   Публични регистри и информация, достъпна за широката общественост

а)

Всяка организация трябва да прилага Принципите на Щита за личните данни за сигурността, цялостта на данните и ограничаване в рамките на целта, както и за защитата, прилагането и отговорността за причинени вреди спрямо личните данни от източници с публичен достъп. Тези Принципи трябва да се прилагат и за всички лични данни, събрани от публични регистри, т.е. от регистрите, водени от държавните агенции или организации на всяко равнище, които са на разположение на широката общественост за справки.

б)

Не е необходимо принципите на уведомяването, на избора или на отчетността за последващото предаване да се прилагат за информацията в публичните регистри, ако тя не е съчетана с непублична информация от регистъра и ако са спазени всички условия за ползването ѝ за справки, установени от компетентните органи. Също така обикновено не е необходимо да се прилагат принципите на уведомяването, на избора или на отчетността за последващото предаване за информацията, предоставена за публичен достъп, освен когато предаващата организация от ЕС е указала, че тази информация подлежи на ограничения, които налагат организацията получател да прилага тези принципи при използването ѝ по предназначение. Организациите не носят отговорност обаче за това как се използва тази информация от лица, които са я придобили от публикувани материали.

в)	Ако се окаже, че дадена организация умишлено е публикувала лична информация в нарушение на принципите, по такъв начин, че тя или други лица да могат да се ползват от тези изключения, тогава тя ще бъде изключена от участие в Щита за личните данни.

г)

Не е необходимо принципът на достъпа да се прилага за информация в публичните регистри, ако тя не е съчетана с друга лична информация (освен малко количество данни, използвани за индексиране или организиране на информацията в публичните регистри), но трябва да се спазят всички условия за ползването ѝ за справки, установени от компетентните органи. За разлика от това, когато информацията в публичните регистри е съчетана с друга информация от непублични регистри (с изключение на случая, изрично посочен по-горе), организацията е длъжна да предостави достъп до цялата такава информация, при положение че за нея не се прилагат други разрешени изключения.

д)

Както при информацията от публичните регистри, не е необходимо да се предоставя достъп до информация, която вече е предоставена на разположение на широката общественост, освен ако тази информация не е съчетана с такава, която не е за публичен достъп. Организациите, които участват в дейности по продажба на достъпна за обществеността информация, могат да удовлетворяват исканията за достъп срещу заплащане на обичайната такса, която са определили за това. По избор физическите лица могат да поискат достъп до информацията, която ги засяга, като се обръщат направо към организацията, която първоначално е събрала данните.

16.   Искания за достъп от публични органи

а)

За да се осигури прозрачност във връзка със законни искания на публични органи за достъп до лична информация, организациите — участници в Щита за личните данни, могат при желание да издават периодични доклади за прозрачност с броя на исканията за лична информация, които са получили от публични органи за целите на правоприлагането или националната сигурност, доколкото това разкриване е разрешено съгласно приложимото право.

б)

Предоставената информация в тези доклади от организациите — участници в Щита за личните данни, наред с публикуваната информация от разузнавателната общност и друга информация, може да се използва за целите на годишния съвместен преглед на функционирането на Щита за личните данни, както това е предвидено в Принципите.

в)	Ако не е направено уведомяване съгласно изискванията на буква а), подточка xii) от принципа на уведомяването, това не пречи и не намалява възможността за организацията да отговаря на всички законни искания.

---

(1)  Предвид това че решението на Комисията относно адекватността на защитата, осигурена от Щита за личните данни в отношенията между ЕС и САЩ, се прилага в Исландия, Лихтенщайн и Норвегия, пакетът към Щита за личните данни ще обхване както Европейския съюз, така и тези три държави. Следователно позоваването на Договора за ЕС и неговите държави членки да се чете като включващо Исландия, Лихтенщайн и Норвегия.

(2)  В зависимост от обстоятелствата примерите за съвместими цели на обработването може да включват тези, които са от определена полза по отношение на връзките с клиенти, съображения относно спазването и правни съображения, одит, сигурност и предотвратяване на измами, опазване или защита на законните права на организацията или други цели, съответстващи на разумни очаквания в контекста на събирането на данни.

(3)  В този контекст, ако предвид средствата за идентификация, които е определено вероятно да бъдат използвани (като се имат предвид, наред с останалото, разходите и количеството време, необходими за идентифицирането, както и наличните технологии към момента на обработването), и формата, в който данните се запазват, физическо лице би могло да бъде идентифицирано от организацията или от трета страна, при условие че има достъп до данните, тогава лицето е „лице, което може да бъде идентифицирано“.

(4)  Организацията следва да отговаря на искания на физическите лица относно целите на обработването, категориите лични данни, за които се отнася, и получателите или категориите получатели, на които се разкриват личните данни.

(5)  Раздел I.5 от Принципите.

(6)  Органите по разрешаване на споровете решават по собствено усмотрение относно обстоятелствата, при които да прилагат тези санкции. Един от факторите, които трябва да се отчитат, когато се взема решение дали ще се наложи данните да бъдат заличени, е дали това са чувствителни данни, както и дали организацията е събрала, използвала или разкрила информацията при явно неспазване на Принципите на Щита за личните данни.

ПРИЛОЖЕНИЕ III

7 юли 2016 г.

Уважаема комисар Йоурова,

Радвам се, че постигнахме разбиране относно Щита за личните данни в отношенията между Европейския съюз и Съединените щати с включен Механизъм на омбудсмана, чрез който органите в ЕС ще могат да подават искания от името на физически лица от ЕС във връзка с практиките в радиоелектронното разузнаване на САЩ.

На 17 януари 2014 г. президентът Барак Обама обяви важни реформи в областта на разузнаването, включени в Президентски изпълнителен указ 28 (ПИУ-28). Съгласно ПИУ-28 определих заместник-държавния секретар Catherine A. Novelli, която също така изпълнява функциите на старши координатор на международната дипломация в областта на информационните технологии, да бъде нашето лице за връзка с чуждите правителства, които желаят да изразят безпокойство във връзка с дейностите на радиоелектронното разузнаване на САЩ. Въз основата на тази функция създадох Механизъм на омбудсмана към Щита за личните данни съобразно с условията, разгледани в приложение A, което бе актуализирано след моето писмо от 22 февруари 2016 г. Определих заместник-държавния секретар NovelliI да изпълнява тази функция. Заместник-държавният секретар NovelliI е независима от разузнавателните структури на САЩ и е пряко подчинена на мен.

Разпоредих на моите служители да бъдат вложени всички необходими ресурси за прилагането на този нов механизъм на омбудсмана и съм уверен, че той ще бъде ефективно средство за решаване на проблемните въпроси на физическите лица от ЕС.

ПРИЛОЖЕНИЕ IV

7 юли 2016 г.

По елекронна поща

Вера Йоурова

Комисар по въпросите на правосъдието, потребителите и равнопоставеността между половете

Европейска комисия

Rue de la Loi/Wetstraat 200

1049 Брюксел

Белгия

Уважаема комисар Йоурова,

Федералната търговска комисия на Съединените американски щати (ФТК) (United States Federal Trade Commission) благодари за възможността да даде описание на своите действия по прилагане на новата Рамка на Щита за личните данни в отношенията между ЕС и САЩ („Рамка на Щита за личните данни“ или „Рамката“). Считаме, че Рамката ще има решаваща роля за улесняване осигуряването на защита за неприкосновеността на личния живот при търговските сделки в един все по-взаимообвързан свят. Тя ще позволи на дружествата да осъществяват важни операции в глобалната икономика, като същевременно ще гарантира, че потребителите от ЕС ще продължат да се ползват от съществена защита на неприкосновеността на личния живот. ФТК е поела траен ангажимент за защитата на неприкосновеността на личния живот през граници и ще отдаде приоритетно място на прилагането на новата рамка. По-долу описваме опита на ФТК за решително прилагане на договореностите в областта на неприкосновеността на личния живот като цяло, включително на първоначалната програма за сфера на неприкосновеност на личния живот, както и подхода на ФТК за прилагането на новата рамка.

За първи път ФТК пое публично ангажимент да прилага програмата за сфера на неприкосновеност на личния живот през 2000 г. Тогавашният председател на ФТК Robert Pitofsky изпрати на Европейската комисия писмо, в което беше очертан ангажиментът на ФТК да прилага активно принципите от схемата за сфера на неприкосновеност на личния живот. ФТК продължи да спазва този ангажимент чрез предприемането на близо 40 действия за правоприлагане и множество допълнителни разследвания и чрез сътрудничеството си с отделните органи по защита на данните от ЕС (ОЗД от ЕС) по въпроси от взаимен интерес.

След като през ноември 2013 г. Европейската комисия изрази загриженост относно управлението и прилагането на програмата за сфера на неприкосновеност на личния живот, заедно с Министерството на търговията на САЩ започнахме консултации със служители на Европейската комисия, за да проучим възможностите за укрепване на програмата. Докато тези консултации бяха в ход, на 6 октомври 2015 г. Съдът на Европейския съюз се произнесе с решение по делото Schrems, в което наред с останалото беше обявено за невалидно решението на Европейската комисия относно адекватността на програмата за сфера на неприкосновеност на личния живот. След това решение продължихме да работим в тясно взаимодействие с Министерството на търговията и Европейската комисия в стремеж да подсилим защитата за неприкосновеността на личния живот, която се осигурява за физическите лица от ЕС. Рамката на Щита за личните данни е резултат от тези текущи консултации. Както и по отношение на програмата за сфера на неприкосновеност на личния живот, с настоящето ФТК се ангажира да прилага активно новата рамка. Настоящото писмо ознаменува този ангажимент.

По-специално потвърждаваме своя ангажимент в четири основни направления: 1) отдаване на приоритет на сезирания и разследване; 2) предприемане на действия по неправомерни или измамни твърдения за участие в Щита за личните данни; 3) непрекъснат контрол по заповедите; и 4) засилена съвместна работа и сътрудничество по правоприлагане с ОЗД от ЕС. По-нататък представяме подробна информация за всеки от тези ангажименти и съответния минал опит на ФТК, както и ролята ѝ за защита на неприкосновеността на личния живот на потребителите и при прилагането на програмата за сфера на неприкосновеност на личния живот, а така също и по-общия контекст във връзка с неприкосновеността на личния живот в Съединените щати. (1)

I.   КОНТЕКСТ

A.   Работата на ФТК за изпълнение на изискванията за неприкосновеност на личния живот и съответната политика

ФТК разполага с широки правомощия за правоприлагане с гражданскоправни средства за повишаване на защитата на потребителите и насърчаване на конкуренцията в сферата на търговията. Като част от мандата ѝ в областта на защитата на потребителите ФТК осигурява прилагането на широка гама от закони за защита на неприкосновеността на личния живот и сигурността на данните на потребителите. Основният закон, който ФТК прилага — Законът за ФТК — забранява „нелоялни“ и „измамни“ действия или практики в търговията или засягащи търговията (2). Под „измамни“ действия или практики се разбира представяне, пропуск или практика, които са съществени и са в състояние да заблудят потребители, които действат по разумен начин в дадените обстоятелства (3). Под „нелоялни“ действия или практики се разбират действия или практики, които нанасят или са в състояние да нанесат на потребителите сериозни вреди, които при нормални обстоятелства не могат да бъдат избегнати или които не са компенсирани с предимства за потребителите или конкуренцията (4). Също така ФТК прилага специални закони за защита на информация относно здравословното състояние, заеми и други финансови въпроси, както и онлайн информация за деца, и издава разпоредби за прилагането на всеки един от тези закони.

Съгласно Закона за ФТК правомощията на ФТК обхващат въпроси „в търговията или засягащи търговията“. ФТК не е компетентна по отношение на прилагането на наказателното право или по въпроси на националната сигурност и няма правомощия по повечето от останалите действия на правителството. Освен това има изключения от компетентността на ФТК за търговските дейности, включително по отношение на банките, въздушните превозвачи, застрахователната дейност и дейностите на доставчиците на далекосъобщителни услуги в качеството им на общи преносители. Също така ФТК не е компетентна по отношение на повечето нестопански организации, но е компетентна за привидните благотворителни организации и за нестопански организации, които реално работят за печалба. Компетентността на ФТК обхваща и нестопански организации, които работят за печалба в полза на свои стопански членове, включително като им осигуряват значителни икономически ползи. (5) В някои случаи компетентността на ФТК съвпада с тази на други правоприлагащи агенции.

Изградили сме здрави работни взаимоотношения с федералните и щатските органи и работим в тясно взаимодействие с тях за координиране на разследванията или за сезиране, когато е необходимо.

Правоприлагането е ключов елемент на подхода на ФТК към защитата на неприкосновеността на личния живот. Към днешна дата ФТК е образувала над 500 дела за защита на неприкосновеността на личния живот и сигурността на информацията за потребителите. В този обем от дела се обхваща онлайн и офлайн информация и се включват действия по правоприлагане срещу малки и големи дружества по обвинения, че не са обработвали по подходящ начин чувствителни данни на потребители, не са осигурили защита на лична информация на потребители, проследявали са по измамен начин потребители онлайн, изпращали са нежелани съобщения, инсталирали са шпионски или друг злонамерен софтуер на компютрите на потребители, нарушили са правила на телемаркетинга като например правилото за необаждане („Do Not Call“) и други, и неправомерно са събирали и споделяли информация за потребители от мобилни устройства. Действията на ФТК по принудително изпълнение — както във физическия, така и в цифровия свят — са важно послание към дружествата относно необходимостта да бъде защитена неприкосновеността на личния живот на потребителите.

Също така ФТК предприе множество политически инициативи, насочени към повишаване на защитата на неприкосновеността на личния живот на потребителите, които формират работата ѝ по правоприлагане. ФТК беше домакин на работни срещи и изготви доклади с препоръки за добри практики, насочени към подобряване на защитата на неприкосновеността на личния живот в екосистемата на мобилните услуги; за повишаване на прозрачността в сектора на търговията с данни; за максимално увеличаване на ползите от големите данни при същевременно смекчаване на рисковете, които те носят, особено за потребители с ниски доходи и в райони с недостатъчно обслужване; и за изтъкване на значението на неприкосновеността на личния живот и последиците за сигурността при лицевото разпознаване и „интернет на нещата“, наред с другите области.

Също така ФТК се включва в обучения за потребителите и дружествата, за да увеличи ефекта от своята работа по правоприлагане и инициативите си за разработване на политики. ФТК използва различни средства — публикации, онлайн ресурси, работни срещи и социалните медии, за да осигурява учебни материали по широк диапазон от теми, включително мобилните приложения, неприкосновеността на личния живот на децата и сигурността на данните. Съвсем наскоро комисията стартира своята инициатива „Започни от сигурността“, с която се дават нови насоки на дружествата въз основа на опита от работата на агенцията по дела във връзка със сигурността на данните, както и поредица от работни срещи из цялата страна. Освен това ФТК е с дългогодишна водеща роля в ограмотяването на потребителите в областта на основите на компютърната сигурност. Миналата година нашият уебсайт OnGuardOnline и неговият испански езиков вариант Alerta en Línea имаха над 5 милиона посетители.

Б.   Правни инструменти за защита в САЩ, от които могат да се ползват потребителите от ЕС

Рамката ще функционира в общия контекст на инструменти в САЩ в областта на неприкосновеността на личния живот, които осигуряват защита за потребителите от ЕС по редица начини.

Забраната за нелоялни и измамни действия или практики в Закона за ФТК не се ограничава до защитата на потребителите в САЩ срещу дружества от САЩ, тъй като се отнася за практики, които 1) нанасят или са в състояние да нанесат разумно предвидими вреди в Съединените щати, или 2) се отнасят за действия по същество, извършвани в Съединените щати. Освен това, когато защитава чуждестранни потребители ФТК може да използва всички средства за правна защита, включително възстановяване, с които разполага за защита на националните потребители.

Действително работата на ФТК по правоприлагане е от съществена полза за потребителите, както в САЩ, така и за тези от чужди държави. Например в нашите дела във връзка с прилагането на раздел 5 от Закона за ФТК бе защитена по еднакъв начин неприкосновеността на личния живот за потребителите в САЩ и за тези от чужди държави. В дело срещу търговец на информация, Accusearch, ФТК поддържаше становището, че продажбата от страна на дружеството на конфиденциални записи на телефонни разговори на трети страни без знанието или съгласието на потребителите е нелоялна практика в нарушение на раздел 5 от Закона за ФТК. Accusearch бяха продали информация във връзка с потребители от САЩ и от други държави (6). Съдът издаде разпореждане за прекратяване срещу Accusearch, с което наред с другото се забранява предлагането на пазара или продажбата на лична информация на потребители без писменото им съгласие, освен когато тя е законосъобразно придобита от публично достъпна информация, и определи обезщетение в размер на близо 200 000 щатски долара (7).

Друг пример е споразумението на ФТК с TRUSTe. В него се гарантира, че потребителите, включително тези от Европейския съюз, могат да имат доверие на представянията, които една световна саморегулираща се организация прави на своите проверки и сертификации на вътрешни и чуждестранни онлайн услуги (8). Освен това нашите действия срещу TRUSTe укрепват системата на саморегулиране в областта на неприкосновеността на личния живот в по-общ план, като осигуряват отчетността на субектите, които имат важна роля в схемите за саморегулиране, включително трансграничните рамки в областта на неприкосновеността на личния живот.

ФТК прилага и други специални закони, в които защитата се прилага и за потребители извън САЩ, като например Закона за защита на неприкосновеността на личния живот на децата онлайн. Наред с останалото в този закон се поставя изискване към операторите на уебсайтове и онлайн услуги, предназначени за деца, или общодостъпни сайтове, които съзнателно събират лична информация от деца на възраст под 13 години, да уведомяват за това родителите и да изискват родителско съгласие, което може да се провери. Уебсайтовете и услугите, базирани в САЩ, за които се прилага Законът за защита на неприкосновеността на личния живот на децата онлайн и които събират лична информация от деца извън САЩ, са задължени да спазват този закон. Чуждестранните уебсайтове и онлайн услуги също са задължени да спазват този закон, ако дейностите им са насочени към деца в Съединените щати или съзнателно събират лична информация от деца в Съединените щати. Освен федералните закони, които прилага ФТК, допълнителни ползи за потребителите от ЕС могат да предоставят и някои други федерални и щатски закони в областта на защитата на неприкосновеността на личния живот.

В.   Прилагане на схемата за сфера на неприкосновеност на личния живот

Като част от своята програма по правоприлагане в областта на неприкосновеността на личния живот и сигурността, ФТК прие стъпки за защита на потребителите от ЕС и чрез предприемането на действия по правоприлагане във връзка с нарушения на схемата за сфера на неприкосновеност на личния живот. ФТК предприе 39 действия по принудително изпълнение във връзка с тази схема: 36 по обвинение за неправомерни твърдения за сертифициране и три дела — срещу Google, Facebook, и Myspace — по обвинения за нарушаване на принципите на сферата на неприкосновеност на личния живот (9). Тези случаи доказват изпълняемостта на сертифицирането и последиците от неспазването на принципите. Заповедите за съгласие с валидност 20 години задължават Google, Facebook и Myspace да прилагат всеобхватни програми за защита на неприкосновеността на личния живот, които да са подходящо проектирани, така че да се премахнат рисковете за неприкосновеността на личния живот при разработването и управлението на нови и съществуващи продукти и услуги и да се защити неприкосновеността на личния живот и поверителността на личната информация. Чрез всеобхватните програми в областта на неприкосновеността на личния живот, които се налагат като задължение съгласно тези заповеди, трябва да се идентифицират предвидими материални рискове и да се предвидят средства за контрол за отстраняването на тези рискове. Също така дружествата трябва да приемат текущи независими оценки на своите програми в областта на неприкосновеността на личния живот, които трябва да бъдат предоставяни на ФТК. Със заповедите се забранява на тези дружества също и да представят подвеждащо практиките си в областта на неприкосновеността на личния живот и евентуалното си участие в програма за неприкосновеността на личния живот или за сигурността. Тази забрана ще се прилага също и за действия и практики на дружествата съгласно новата рамка на Щита за личните данни. ФТК може да предприема принудително изпълнение по тези заповеди, като налага гражданскоправни санкции. През 2012 г. Google платиха гражданска санкция в рекордния размер от 22,5 милиона щатски долара по обвинения за нарушаване на адресирана към дружеството заповед. По този начин тези заповеди на ФТК спомагат за защитата на над един милиард потребители по целия свят, стотици милиони от които живеят в Европа.

Делата на ФТК са насочени също и към неправомерни, измамни или подвеждащи твърдения за участие в рамката за сфера на неприкосновеност на личния живот. ФТК се отнася сериозно към тези твърдения. Например по делото ФТК с/у Karnani през 2011 г. ФТК предприе действия срещу лице, извършващо търговия по интернет в Съединените щати, по обвинения, че то и дружеството му са подвели британски потребители, като са ги накарали да смятат, че дружеството е базирано в Обединеното кралство, включително като са използвали разширение.uk на уебсайта и са посочвали цени в британски лири и пощенски услуги на Обединеното кралство (10). Когато потребителите получили продуктите обаче, те установили неочаквано за тях, че са наложени вносни мита, че гаранциите не са валидни за Обединеното кралство и че трябва да заплатят такса, за да им бъде възстановена платената сума. ФТК също отсъди, че ответниците са измамили потребителите във връзка с участието си в програмата за сфера на неприкосновеност на личния живот. Всички потребители, станали жертва на измамата, са били от Обединеното кралство.

Много от другите ни случаи на принудително изпълнение на рамката за сфера на неприкосновеност на личния живот бяха свързани с организации, които след първоначалното си присъединяване към тази програма не бяха подновили ежегодното си сертифициране, а продължаваха да се представят като настоящи участници. Както е разгледано по-нататък, ФТК се ангажира също така и с дейности срещу неправомерни твърдения за участие в Рамката на Щита за личните данни. Тази стратегическа дейност по правоприлагане ще допълва засилените мерки от страна на Министерството на търговията за проверка на спазването на изискванията на програмата за сертифициране и пресертифициране, неговия контрол върху ефективното спазване, включително с използване на въпросници към участниците в Рамката, както и увеличените усилия за идентифициране на неправомерни твърдения за членство и неправомерно използване на сертификационния знак за Рамката (11).

II.   ОТДАВАНЕ НА ПРИОРИТЕТ НА СЕЗИРАНИЯ И РАЗСЛЕДВАНЕ

Както и по програмата за сфера на неприкосновеност на личния живот, ФТК се ангажира да разглежда с предимство случаите, по които е сезирана от държавите — членки на ЕС, съгласно Щита за личните данни. ФТК ще отдава предимство и на сезирания за неспазване на саморегулаторните насоки във връзка с Рамката на Щита за личните данни, изпратени от саморегулиращи се организации в областта на неприкосновеността на личния живот и други независими органи за решаване на спорове.

За улесняване на сезиранията съгласно Рамката от държавите — членки на ЕС, ФТК създава стандартизиран процес за сезиране и дава насоки на тези държави относно вида на информацията, която би подпомогнала най-много ФТК при събирането на доказателства по случая. Като част от тези усилия ФТК ще определи лице за връзка с институцията относно сезирания от държавите — членки на ЕС. Особено полезно е, когато сезиращият орган е събрал доказателства по твърдението за нарушение и може да сътрудничи на ФТК при разследването.

След като бъде сезирана от държава — членка на ЕС, или от саморегулираща се организация, ФТК може да предприеме редица действия за разглеждане на поставените проблеми. Например можем да направим преглед на политиките на дружеството в областта на неприкосновеността на личния живот, да получим допълнителна информация директно от дружеството или от трети страни, да осъществим последващ контрол съвместно със сезиращия субект, да направим оценка дали има модел на извършване на нарушенията или са засегнати значителен брой потребители, да определим дали сезирането засяга въпроси, които са от компетентността на Министерството на търговията, да направим преценка дали ще е от полза да се проведе обучение на потребителите и на дружествата, и ако е необходимо, да инициираме производство по принудително изпълнение.

Също така ФТК се ангажира с обмен на информация по случаите, за които е била сезирана, със сезиращите правоприлагащи органи, включително относно етапа на разглеждане на случаите, при спазване на законите и ограниченията относно поверителността. Доколкото позволяват условията и предвид броя и вида на случаите на сезиране, предоставената информация ще включва оценка на въпросите, повдигнати в сезирането, включително описание на значимите проблеми, които са повдигнати, и на евентуално предприетите действия за отстраняване на нарушенията на законите в рамките на компетентността на ФТК. Освен това ФТК ще предоставя информация на сезиращия орган относно вида на получените сезирания, за да бъде повишена ефективността на усилията за справяне с неправомерните действия. Когато сезиращ правоприлагащ орган търси информация относно етапа на разглеждане на конкретен случай на сезиране за целите на собственото си производство по принудително изпълнение, ФТК ще предоставя отговор, като взема предвид броя на сезиранията, които са в процес на разглеждане, както и изискванията за поверителност и други законови условия.

ФТК ще работи в тясно взаимодействие и с ОЗД от ЕС, за да предоставя съдействие при правоприлагането. В случаите, когато е уместно, това може да се изразява във взаимен обмен на информация и съдействие при разследвания в съответствие със Закона за безопасен интернет на САЩ, с който се разрешава на ФТК да оказва съдействие на чужди правоприлагащи институции, когато предприемат действия по прилагането на закони, забраняващи практики, които по същество са еднакви с тези, които се забраняват със законите, които ФТК прилага (12). Като част от това съдействие ФТК може да споделя информация, получена във връзка с разследване на ФТК, да инициира задължителен процес от името на ОЗД от ЕС, провеждащ собствено разследване, да взема устни показания от свидетели или ответници във връзка с производството по принудително изпълнение на ОЗД, ако това съответства на изискванията на Закона за безопасен интернет на САЩ. ФТК редовно използва правомощията си да съдейства на други органи по света по случаи в областта на неприкосновеността на личния живот и защитата на потребителите (13).

Освен разглеждането с предимство на случаите, по които е сезирана съгласно Щита за личните данни от страна на държавите — членки на ЕС, и саморегулиращи се организации в областта на неприкосновеността на личния живот (14), ФТК се ангажира да провежда разследвания по собствена инициатива по предполагаеми нарушения на Рамката, когато това е необходимо и като използва набор от средства.

Вече над десетилетие ФТК поддържа стабилна програма за разследвания по въпроси от областта на неприкосновеността на личния живот и сигурността, свързани с търговски организации. Като част от тези разследвания ФТК редовно проверява дали въпросният субект прави изявления във връзка с рамката за сфера на неприкосновеност на личния живот. Когато това е така и разследването разкрие явни нарушения на принципите за сфера на неприкосновеност на личния живот, ФТК включва обвинението за нарушаване на тези принципи в своите действия по принудително изпълнение. Ще продължим да прилагаме този проактивен подход и съгласно новата рамка. Важно е да се отбележи, че ФТК провежда много по-голям брой разследвания от тези, които в крайна сметка водят до действия по публично правоприлагане. Много от разследванията на ФТК се приключват, защото служителите не констатират явно нарушение на законодателството. Тъй като разследванията на ФТК не са публични и са поверителни, приключването им често не се оповестява публично.

Близо 40-те действия по принудително изпълнение, които ФТК е предприела съгласно програмата за сфера на неприкосновеност на личния живот, са доказателство за ангажираността на агенцията с проактивното прилагане на трансгранични програми в областта на неприкосновеността на личния живот. ФТК ще следи редовно за евентуални нарушения на новата рамка като част от разследванията, които предприема в областта на неприкосновеността на личния живот и сигурността.

III.   ПРЕДПРИЕМАНЕ НА ДЕЙСТВИЯ ПО НЕПРАВОМЕРНИ ИЛИ ИЗМАМНИ ТВЪРДЕНИЯ ЗА УЧАСТИЕ В ЩИТА ЗА ЛИЧНИТЕ ДАННИ

Както беше разгледано по-горе, ФТК ще предприема действия срещу субекти, които представят погрешно своето участие в Рамката. ФТК ще разглежда с предимство случаите, по които е сезирана от Министерството на търговията във връзка с организации, за които е определила, че погрешно твърдят, че участват понастоящем в Рамката, или използват сертификационен знак за Рамката без разрешение.

Освен това трябва да отбележим, че ако в политиката в областта на неприкосновеността на личния живот на една организация се твърди, че тя спазва принципите на Щита за личните данни и тя не се регистрира или не поддържа регистрацията си в Министерството на търговията, това само по себе си вероятно няма да е причина ФТК да не предприеме действия по принудителното изпълнение на тези ангажименти по Рамката по отношение на тази организация.

IV.   КОНТРОЛ ПО ЗАПОВЕДИТЕ

ФТК потвърждава също ангажимента си да упражнява контрол по заповедите за принудително изпълнение, за да гарантира спазването на Рамката на Щита за личните данни.

Ние ще изискваме Рамката да бъде спазвана посредством различни подходящи разпореждания за прекратяване, предвидени в бъдещите заповеди на ФТК съгласно Рамката. Тук се включва забраната за подвеждащо представяне във връзка с участието в Рамката и други програми в областта на неприкосновеността на личния живот, когато това е основанието за действията на ФТК.

Случаите на правоприлагане от страна на ФТК във връзка с първоначалната програмата за сфера на неприкосновеност на личния живот са показателни. Всяка от заповедите по 36-те дела за неправомерни или измамни твърдения за сертифициране съгласно сферата на неприкосновеност на личния живот забранява на ответника да представя подвеждащо участието си в тази или друга програма в областта на неприкосновеността на личния живот или сигурността и задължава дружествата да представят пред ФТК доклади за изпълнението на заповедта. В случаите на нарушаване на принципите на сферата на неприкосновеност на личния живот дружествата бяха задължавани да прилагат всеобхватни програми в областта на неприкосновеността на личния живот и на всеки две години в продължение на двадесет години да получават независима оценка от трета страна за тези програми, която да представят на ФТК.

Неизпълнението на административна заповед на ФТК може да води до налагане на гражданскоправни санкции в размер до 16 000 щатски долара за всяко нарушение или 16 000 щатски долара на ден за продължаващо нарушаване (15), като санкцията може да достигне милиони долари при практики, засягащи голям брой потребители. Всяка заповед за съгласие съдържа също разпоредби за докладване и спазване. Субектите, по отношение на които е издадена заповед, трябва да пазят документацията, доказваща изпълнението, за срок от определен брой години. Заповедите трябва също така да бъдат сведени до знанието на служителите, които отговарят за гарантиране на изпълнението им.

ФТК провежда системен контрол на изпълнението на заповедите съгласно сферата на неприкосновеност на личния живот, така както и за всички останали свои заповеди. ФТК се отнася сериозно към изпълнението на нейните заповеди в областта на неприкосновеността на личния живот и сигурността на данните и когато е необходимо, предприема действия по принудителното им изпълнение. Например, както беше отбелязано по-горе, Google платиха 22,5 милиона щатски долара гражданскоправни санкции по решение за обвинение в неспазване на заповед на ФТК. Важно е да се отбележи, че заповедите на ФТК ще продължат да осигуряват защита за всички потребители от целия свят, които имат взаимоотношения с дружества, не само за тези, които подават жалби.

В заключение, ФТК ще продължи да поддържа онлайн списък на дружествата, по отношение на които са издадени заповеди във връзка с прилагането на програмата за сфера на неприкосновеност на личния живот и на новата рамка на Щита за личните данни. (16) Освен това съгласно принципите на Щита за личните данни сега се изисква от дружествата, по отношение на които е издадена заповед на ФТК или съдебно разпореждане поради неспазване на принципите, да оповестяват публично всички съответни части от докладите си за спазването или за оценка, представени пред ФТК, доколкото това е съобразено със законите и правилата за поверителност.

V.   СЪВМЕСТНА РАБОТА С ОЗД ОТ ЕС И СЪТРУДНИЧЕСТВО ПРИ ПРАВОПРИЛАГАНЕТО

ФТК признава важната роля на ОЗД от ЕС за спазването на Рамката и насърчава засилването на консултациите и сътрудничеството при правоприлагането. Освен с евентуалните консултации със сезиращите ОЗД по специфични за всеки случай въпроси, ФТК се ангажира да участва в периодични срещи с определени представители на Работната група по член 29 за обсъждане на възможности за подобряване на сътрудничеството по прилагане на Рамката като цяло. ФТК ще участва също, заедно с Министерството на търговията, Европейската комисия и представители на Работната група по член 29, в годишния преглед на Рамката за обсъждане на нейното прилагане.

ФТК насърчава също така и разработването на инструменти, чрез които да се подобри сътрудничеството при правоприлагането с ОЗД от ЕС, както и с други правоприлагащи органи в областта на неприкосновеността на личния живот от целия свят. По-специално ФТК, съвместно с партньорите по правоприлагането в Европейския съюз и от целия свят, стартира миналата година система за предупреждение в рамките на Световната мрежа по прилагане на изискванията за неприкосновеността на личния живот (Global Privacy Enforcement Network (GPEN)) с цел обмен на информация по разследвания и повишаване на координацията при правоприлагането. Този инструмент за предупреждение може да бъде особено полезен в контекста на рамката на Щита за личните данни. ФТК и ОЗД от ЕС могат да го използват в координацията във връзка с разследванията съгласно рамката и други разследвания в областта на неприкосновеността на личния живот, включително и като начална точка за обмен на информация, за да бъде осигурена координирана и по-ефективна защита на неприкосновеността на личния живот за потребителите. Очакваме с нетърпение да продължим да работим с органите — участници от ЕС, за намиране на по-широко приложение на системата за предупреждение в GPEN и за разработване на други инструменти за подобряване на сътрудничеството при правоприлагането по случаи в областта на неприкосновеността на личния живот, включително съгласно Рамката.

ФТК с удоволствие потвърждава ангажимента си за прилагането на новата рамка на Щита за личните данни. Също така очакваме с нетърпение да продължим съвместната ни работа с колегите от ЕС по защитата на неприкосновеността на личния живот на потребителите от двете страни на Атлантическия океан.

---

(1)  В приложение А сме предоставили допълнителна информация относно федералните и щатските закони в областта на неприкосновеността на личния живот в САЩ. Освен това на уебсайта на ФТК е представено обобщение на неотдавнашните ни действия по прилагане на изискванията за неприкосновеност на личния живот и сигурността: https://www.ftc.gov/reports/privacy-data-security-update-2015.

(2)  15 U.S.C. § 45(a).

(3)  Вж. Политическа декларация на ФТК относно измамите, допълнение към Cliffdale Assocs., Inc., 103 F.T.C. 110, 174 (1984), на адрес: https://www.ftc.gov/public-statements/1983/10/ftc-policy-statement-deception.

(4)  Вж. 15 U.S.C § 45(n); Политическа декларация на ФТК относно нелоялността, допълнение към Int'l Harvester Co., 104 F.T.C. 949, 1070 (1984), на адрес: https://www.ftc.gov/public-statements/1980/12/ftc-policy-statement-unfairness.

(5)  Вж. California Dental Ass'n с/у ФТК, 526 U.S. 756 (1999).

(6)  Вж. Служба на комисаря на Канада по неприкосновеността на личния живот, жалба съгласно PIPEDA срещу Accusearch, Inc., осъществяващо дейност под името Abika.com, https://www.priv.gc.ca/cf-dc/2009/2009_009_0731_e.asp. Службата на комисаря на Канада по неприкосновеността на личния живот подаде кратко изложение в качеството на amicus curiae при обжалването на действието на ФТК и проведе собствено разследване, като констатира, че практиките на Accusearch са в нарушение и на правото на Канада.

(7)  Вж. ФТК с/у Accusearch, Inc., № 06CV015D (D. Wyo. Dec. 20, 2007), aff'd 570 F.3d 1187 (10th Cir. 2009).

(8)  Вж. Относно True Ultimate Standards Everywhere, Inc., No. C-4512 (F.T.C. Mar. 12, 2015) (решение и заповед), на адрес https://www ftc.gov/system/files/documents/cases/150318trust-edo.pdf.

(9)  Вж. Относно Google, Inc., No. C-4336 (F.T.C. Oct. 13 2011) (решение и заповед), на адрес: https://www.ftc.gov/news-events/press-releases/2011/03/ftc-charges-deceptive-privacy-practices-googles-rollout-its-buzz; Относно Facebook, Inc., No. C-4365 (F.T.C. July 27, 2012) (решение и заповед), на адрес https://www.ftc.gov/news-events/press-releases/2012/08/ftc-approves-final-settlement-facebook; Относно Myspace LLC, No. C-4369 (F.T.C. Aug. 30, 2012) (решение и заповед), на адрес: https://www.ftc.gov/news-events/press-releases/2012/09/ftc-finalizes-privacy-settlement-myspace.

(10)  Вж. ФТК с/у Karnani, № 2:09-cv-05276 (C.D. Cal. May 20, 2011) (посоченото окончателно разпореждане), на адрес https://www ftc.gov/sites/default/files/documents/cases/2011/06/110609karnanistip.pdf; вж. също Lesley Fair, FTC Business Center Blog, Around the World in Shady Ways, https://www.ftc.gov/blog/2011/06/around-world-shady-ways (June 9, 2011).

(11)  Писмо от Ken Hyatt, изпълняващ длъжността Заместник министър на търговията, отговарящ за международната търговия, Администрация по международната търговия, до Вера Йоурова, Комисар по въпросите на правосъдието, потребителите и равнопоставеността между половете.

(12)  Когато определя дали да упражни правомощията си по силата на Закона за безопасен интернет на САЩ, ФТК взема предвид наред с останалото и следното: „A) дали отправилата искането институция се е съгласила да предостави или ще предостави реципрочно съдействие на комисията; Б) дали удовлетворяването на искането би засегнало обществен интерес на Съединените щати; и В) дали разследването или производството по принудително изпълнение на отправилата искането институция засяга действия или практики, които нанасят или са в състояние да нанесат вреда на значителен брой лица.“ 15 U.S.C. § 46(j)(3). Това правомощие не се прилага по отношение на правоприлагането на законите в областта на конкуренцията.

(13)  Например през финансовите години 2012—2015 ФТК използва правомощията си по силата на Закона за безопасен интернет на САЩ за обмен на информация в отговор на близо 60 искания от чуждестранни институции и издаде почти 60 призовки по граждански разследвания (еквивалент на административните разпореждания), за да съдейства на 25 чуждестранни разследвания.

(14)  Въпреки че ФТК не издава решения и не е медиатор по индивидуални жалби на потребители, комисията потвърждава ангажимента си да разглежда с предимство случаите, за които е сезирана от ОЗД на ЕС съгласно Щита за личните данни. Освен това ФТК използва жалбите, въведени в нейната база данни за потребители (до която имат достъп много други правоприлагащи агенции), за да определя тенденциите, приоритетите при прилагането и потенциалните обекти за разследване. Физическите лица от ЕС могат да използват същата система, с която разполагат гражданите на САЩ за подаването на жалби до ФТК, на адрес: www.ftc.gov/complaint. Въпреки това за предпочитане е физическите лица от ЕС да подават индивидуалните си жалби по Щита за личните данни до ОЗД в своята държава членка или до инстанция за алтернативно решаване на спорове.

(15)  15 U.S.C. § 45(m); 16 C.F.R. § 1.98.

(16)  Вж. FTC, Business Center, Legal Resources, https://www.ftc.gov/tips-advice/business-center/legal-resources?type=case&field-consumer-protection-topics-tid=251.

ПРИЛОЖЕНИЕ V

19 февруари 2016 г.

Комисар Вера Йоурова

Европейска комисия

Rue de la Loi/Wetstraat 200

1 049 l 049 Брюксел

Белгия

Относно: Рамка на Щита за личните данни в отношенията между ЕС и САЩ

Уважаема комисар Йоурова,

Министерството на транспорта на Съединените щати („министерството“ или „МТ“) благодари за възможността да опише своята роля при прилагането на Рамката на Щита за личните данни в отношенията между ЕС и САЩ. Тази рамка има решаваща роля за защитата на личните данни, които се предоставят при извършването на търговски сделки в един все по-взаимосвързан свят. Тя позволява на дружествата да осъществяват важни операции в глобалната икономика, като същевременно ще гарантира, че потребителите от ЕС ще продължат да се ползват от съществена защита на неприкосновеността на личния живот.

Преди повече от 15 години МТ за първи път пое публично ангажимент да прилага Рамката за сфера на неприкосновеност на личния живот в писмо, изпратено до Европейската комисия. В това писмо МТ се ангажира да прилага активно принципите от схемата за сфера на неприкосновеност на личния живот. МТ поддържа този свой ангажимент и настоящото писмо ознаменува това.

По-специално МТ отново се ангажира да работи в следните основни области: 1) приоритетно разследване на обвинения за нарушаване на Щита за личните данни; 2) подходящи действия по принудително изпълнение срещу субекти, които правят неправомерни или измамни твърдения за сертифицирането си съгласно Щита за личните данни; и 3) контрол по изпълнението и публично оповестяване на заповеди по принудително изпълнение във връзка с нарушения на Щита за личните данни. Предоставяме информация относно всеки от тези ангажименти и в необходимия контекст — съответния минал опит във връзка с ролята на МТ за защита на неприкосновеността на личния живот на потребителите и прилагането на Рамката на Щита за личните данни.

I.   КОНТЕКСТ

A.   Правомощия на МТ в областта на неприкосновеността на личния живот

Министерството е силно ангажирано с гарантирането на неприкосновеността на личния живот при предоставянето на информация от потребителите на въздушните превозвачи и билетните агенции. МТ е упълномощено да предприема действия в тази област по силата на глава 49, раздел 41712 от U.S.C., който забранява на превозвач или билетна агенция „всяка некоректна или измамна практика или всеки акт на нелоялна конкуренция“ при продажбата на въздушни транспортни услуги, която води или би могла да доведе до вреда за потребителя. Раздел 41712 е изработен по модела на раздел 5 от Закона за Федералната търговска комисия (ФТК) (15 U.S.C. 45). Тълкуването, което даваме на законовото изискване по отношение на некоректна или измамна практика е, че се забранява на превозвачи или билетни агенции: 1) да нарушават условията на тяхната политика в областта на неприкосновеността на личния живот, или 2) да събират или разкриват лична информация по начин, който е в нарушение на обществения ред, е неморален или предизвиква за потребителите сериозни вреди, които не са компенсирани с евентуални предимства. Също така, според нашето тълкуване на раздел 41712, се забранява на превозвачи и билетни агенции: l) да нарушават някой от изпълнителните актове, издадени от министерството, с което конкретни практики в областта на неприкосновеността на личния живот се определят като некоректни или измамни; или 2) да нарушават Закона за защита на неприкосновеността на личния живот на децата онлайн (Children's Online Privacy Protection Act (COPPA)) или актовете на ФТК за изпълнение на този закон. Съгласно федералното право МТ има изключителни правомощия да регулира практиките на въздушните превозвачи в областта на неприкосновеността на личния живот и споделени правомощия с ФТК във връзка с практиките на билетните агенции в областта на неприкосновеността на личния живот при продажбата на въздушни транспортни услуги.

В тази си функция министерството може да използва законоустановените правомощия съгласно раздел 41712, за да гарантира спазването на принципите на неприкосновеност на личния живот съгласно рамката на Щита за личните данни, когато превозвач или продавач на въздушни транспортни услуги публично се е ангажирал да спазва тези принципи. Следователно, когато даден пътник съобщи информация на превозвач или билетна агенция, които са поели задължението да спазват принципите на неприкосновеност на личния живот съгласно рамката на Щита за личните данни, всяко едно нарушаване на това задължение от страна на превозвача или билетната агенция ще бъде нарушение на раздел 41712.

Б.   Практики по принудително изпълнение

Службата по принудително изпълнение и производства в областта на авиацията към Министерството на транспорта (Службата по принудително изпълнение в авиацията) разглежда делата и придвижва производствата в случаи по силата на глава 49, раздел 41712 на U.S.C. Тя предприема принудително изпълнение по законовата забрана съгласно раздел 41712 срещу некоректни и измамни практики, предимно чрез преговори и изготвяне на заповеди за прекратяване и за оценка на размера на гражданскоправни санкции. Службата получава информация за предполагаеми нарушения главно от жалби, подадени от физически лица, пътнически агенции, въздушни превозвачи и американски и чуждестранни правителствени органи. Потребителите могат да използват уебсайта на МТ да подават жалби във връзка с неприкосновеността на личния живот срещу въздушни превозвачи и билетни агенции (1).

Ако по дадено дело не бъде постигнато разумно и подходящо решение, Службата по принудително изпълнение в авиацията има правомощия да започне производство по принудително изпълнение с изслушване за събиране на доказателства пред съдия по административно право на министерството. Този съдия има правомощия да издава заповеди за прекратяване и за налагане на гражданскоправни санкции. Неспазването на разпоредбите на раздел 41712 може да доведе до издаването на заповеди за прекратяване и налагането на гражданскоправни санкции в размер до 27 500 щатски долара за всяко нарушаване на разпоредбите на раздел 41712.

Министерството не е компетентно да отпуска обезщетения или парични репарации на физическите лица жалбоподатели. То обаче има правомощието да одобрява споразумения, постигнати в резултат на разследвания, проведени от Службата по принудително изпълнение в авиацията, които предвиждат предоставянето директно на обезщетения на потребителите (напр. средства в брой, ваучери) като компенсация вместо парична санкция, платима на правителството на САЩ. Има примери на такова уреждане в миналото, като то може да се използва и в контекста на принципите на неприкосновеност на личния живот съгласно рамката на Щита за личните данни, когато обстоятелствата го налагат. Повтарянето на нарушенията по раздел 41712 от страна на въздушен превозвач поставя под съмнение добрата воля на този превозвач по отношение на спазването на поетото задължение. В крайни случаи може да се реши, че той повече не отговаря на условията да извършва дейност и следователно, да загуби лиценза си за упражняване на икономическа дейност.

Към днешна дата министерството е получило сравнително малко на брой жалби по обвинения за нарушаване от страна на билетни агенции или въздушни превозвачи на принципите на неприкосновеност на личния живот. Когато се получат такива, те се разглеждат съгласно изложените по-горе принципи.

В.   Правни инструменти за защита, осигурявани от МТ, от които могат да се ползват потребителите от ЕС

Забраната срещу некоректни или измамни практики при предоставянето или продажбата на въздушни транспортни услуги, предвидена съгласно раздел 41712, се прилага едновременно за американски и за чуждестранни въздушни превозвачи и билетни агенция. МТ често предприема действия срещу въздушни превозвачи от САЩ и от други държави за практики, които засягат едновременно чуждестранни и американски потребители, на основание на това, че практиките на този превозвач са се осъществили в процеса на предоставянето на въздушни транспортни услуги до или от Съединените щати. МТ прилага и ще продължи да прилага всички средства за правна защита, с които разполага, за да защитава едновременно чуждестранни и американски потребители от некоректни или измамни практики във въздушните транспортни услуги от страна на субектите, които подлежат на регулиране.

МТ прилага по отношение на въздушните превозвачи и други закони, които предвиждат защита за потребители извън САЩ, като например Закона за защита на неприкосновеността на личния живот на децата онлайн. Наред с останалото в този закон се поставя изискване към операторите на уебсайтове и онлайн услуги, предназначени за деца, или общодостъпни сайтове, които съзнателно събират лична информация от деца на възраст под 13 години, да уведомяват за това родителите и да изискват родителско съгласие, което може да се провери. Уебсайтовете и услугите, базирани в САЩ, за които се прилага Законът за защита на неприкосновеността на личния живот на децата онлайн и които събират лична информация от деца извън САЩ, са задължени да спазват този закон. Чуждестранните уебсайтове и онлайн услуги също са задължени да спазват този закон, ако дейностите им са насочени към деца в Съединените щати или съзнателно събират лична информация от деца в Съединените щати. МТ е компетентно да предприема действия по принудително изпълнение за нарушаване на Закона за защита на неприкосновеността на личния живот на децата онлайн от страна на американски и чужди въздушни превозвачи, доколкото те осъществяват дейността си в Съединените щати.

II.   ПРАВОПРИЛАГАНЕ ВЪВ ВРЪЗКА С ЩИТА ЗА ЛИЧНИТЕ ДАННИ

Ако даден въздушен превозвач или билетна агенция са избрали да участват в рамката на Щита за личните данни и в министерството бъде получена жалба срещу такъв субект по обвинение за нейното нарушаване, министерството ще предприеме следните действия за стриктното прилагане на рамката.

A.   Отдаване на приоритет на разследвания на обвинения за нарушаване

Службата по принудително изпълнение в авиацията ще разглежда всяка жалба по обвинение за нарушаване на Щита за личните данни (включително жалби, получени от органите по защита на данните от ЕС) и ще предприема действия по принудително изпълнение, когато са налице доказателства за нарушение. Освен това тя ще си сътрудничи с ФТК и с Министерството на търговията и ще разследва с предимство обвинения срещу подлежащите на регулиране субекти в неспазване на ангажиментите за защита на неприкосновеността на личния живот, които те са поели като част от рамката на Щита за личните данни.

Когато получи твърдения за нарушаване на рамката на Щита за личните данни, Службата по принудително изпълнение в авиацията може да предприеме редица действия като част от своето разследване. Например тя може да направи преглед на политиките в областта на неприкосновеността на личния живот на билетната агенция или въздушния превозвач, да получи допълнителна информация от тях или от трети страни, да осъществи последващ контрол съвместно със сезиращия субект и да направи оценка дали има модел на извършване на нарушенията или са засегнати значителен брой потребители. Освен това службата може да определи дали случаят засяга въпроси, които са от компетентността на Министерството на търговията или ФТК, да направи преценка дали ще е от полза да се проведе обучение на потребителите и на дружествата, и ако е необходимо, да инициира производство по принудително изпълнение.

Ако министерството получи информация за евентуални нарушения на Щита за личните данни от страна на билетни агенции, то ще работи по случая в координация с ФТК. Също така ще информира ФТК и Министерството на търговията за резултатите от действията по принудително прилагане съгласно Щита за личните данни.

Б.   Предприемане на действия по неправомерни или измамни твърдения за участие в Щита за личните данни

Министерството остава ангажирано да провежда разследвания за нарушения на Щита за личните данни, включително за неправомерни или измамни твърдения за участие в тази програма. Ние ще разглеждаме с предимство случаите, по които сме сезирани от Министерството на търговията във връзка с организации, за които е определено, че погрешно твърдят, че участват понастоящем в Щита за личните данни, или използват сертификационен знак за рамката без разрешение.

Освен това трябва да отбележим, че ако в политиката в областта на неприкосновеността на личния живот на една организация се твърди, че тя спазва основните принципи на Щита за личните данни и тя не се регистрира или не поддържа регистрацията си в Министерството на търговията, това само по себе си вероятно няма да е причина Министерството на транспорта да не предприеме действия по принудителното изпълнение на тези ангажименти по отношение на тази организация.

В.   Контрол по изпълнението и публично оповестяване на заповеди по принудително изпълнение във връзка с нарушения на Щита за личните данни

Службата по принудително изпълнение в авиацията към МТ ще продължава да спазва също и ангажимента за контрол по заповедите за принудително изпълнение, според необходимостта, за да гарантира спазването на програмата на Щита за личните данни. По-специално, когато службата издаде заповед, с която указва на въздушен превозвач или билетна агенция да прекрати и да се въздържа от бъдещи нарушения на Щита за личните данни и на раздел 41712, тя ще упражнява контрол върху спазването от страна на субекта на разпоредбите за прекратяване и въздържане от нарушения, включени в заповедта. Освен това службата ще следи за публикуването на своя уебсайт на заповедите, издадени по дела във връзка с Щита за личните данни.

Очакваме с нетърпение да продължим да работим съвместно с нашите федерални партньори и заинтересованите страни от ЕС по въпроси във връзка с Щита за личните данни.

Надявам се тази информация да е полезна. Ако имате въпроси или се нуждаете от допълнителна информация, моля не се колебайте да се свържете с мен.

---

(1)  http://www.transportation.gov/airconsumer/privacy-complaints.

ПРИЛОЖЕНИЕ VI

22 февруари 2016 г.

Г-н Justin S. Antonipillai

Съветник

Министерство на търговията на САЩ

1401 Constitution Ave., NW

Вашингтон, DC 20230

Г-н Ted Dean

Заместник помощник-секретар

Администрация по международната търговия

1401 Constitution Ave., NW

Вашингтон, DC 20230

Уважаеми г-н Antonipillai и г-н Dean,

През изминалите две и половина години Съединените щати предоставиха в контекста на преговорите за Щита за личните данни в отношенията между ЕС и САЩ значителен обем информация относно дейностите по събиране на данни в радиоелектронното разузнаване, извършвани от разузнавателните структури на САЩ. Това включва информация за уреждащата правна рамка, многостепенния надзор и разширената прозрачност относно тези дейности, както и за защитата като цяло на неприкосновеността на личния живот и гражданските свободи, за да съдействаме на Европейската комисия за вземането на решение за адекватността на тази защита, що се отнася до изключението за целите на националната сигурност от принципите на Щита за личните данни. В настоящия документ е обобщена информацията, която беше предоставена.

I.   ПИД-28 И ОСЪЩЕСТВЯВАНЕ НА ДЕЙНОСТИ ЗА РАДИОЕЛЕКТРОННО РАЗУЗНАВАНЕ НА САЩ

Разузнавателните структури на САЩ събират външноразузнавателни данни по внимателно контролиран начин, при строго спазване на законите на САЩ и в условията на множество нива на надзор, като се съсредоточават върху важни приоритети във връзка с външното разузнаване и националната сигурност. Събирането от страна на САЩ на радиоелектронни разузнавателни данни е уредено в редица закони и политики, включително Конституцията на САЩ, Закона за надзор върху външното разузнаване (Foreign Intelligence Surveillance Act (FISA)) (50 U.S.C. § 1801 et seq.), Изпълнителен декрет 12333 и процедурите за прилагането му, насоки на Президента и множество процедури и насоки, одобрени от Съда за надзор върху външното разузнаване и Министъра на правосъдието, с които се определят допълнителни правила за ограничаване на събирането, запазването, използването и разпространението на външноразузнавателна информация (1).

а)   Общ преглед на ПИД 28

През януари 2014 г. Президентът Обама произнесе реч, в която очерта различни реформи в дейностите за радиоелектронно разузнаване на САЩ и издаде Президентска изпълнителна директива 28 (ПИД-28) относно тези дейности (2). Президентът изтъкна, че дейностите за радиоелектронно разузнаване на САЩ спомагат за сигурността не само на нашата страна и на нашите свободи, но и за тези на другите страни, включително държавите — членки на ЕС, които използват информацията, събрана от разузнавателните агенции на САЩ за защитата на своите граждани.

В ПИД-28 се определят поредица от принципи и изисквания, които се прилагат за всички дейности за радиоелектронно разузнаване на САЩ и за всички лица, независимо от тяхното гражданство или местонахождение. По-специално в директивата се определят някои изисквания за процедурите относно събирането, запазването и разпространението на лична информация, събрана чрез радиоелектронно разузнаване на САЩ, за лица, които не са граждани на САЩ. Тези изисквания са разгледани подробно по-нататък, но в резюме те включват следното:

—	В ПИД-28 още веднъж се потвърждава, че Съединените щати събират радиоелектронни разузнавателни данни само съгласно правомощията, предоставени по закон, с изпълнителен декрет или друга президентска директива.

—	В ПИД-28 се установяват процедури, с които да се гарантира, че дейностите за радиоелектронно разузнаване се осъществяват единствено в преследване на законни и разрешени цели в областта на националната сигурност.

—

В ПИД-28 се поставят също така изисквания неприкосновеността на личния живот и гражданските свободи да бъдат неразделна част от съображенията при планирането на радиоелектронни разузнавателни дейности по събирането на информация. По-специално, Съединените щати не събират разузнавателна информация, за да потискат или затрудняват критиката или несъгласието; да поставят в неблагоприятно положение лица на основата на техния етнически или расов произход, пол, сексуална ориентация или религия; или да предоставят конкурентни търговски предимства за дружествата и икономическите сектори на САЩ.

—	С ПИД-28 се дават указания събирането на радиоелектронни разузнавателни данни да бъде съобразено с конкретния случай, доколкото това е практически възможно, и събирането на масиви от данни да се прилага само за специфични посочени цели.

—

В ПИД-28 са дадени указания към разузнавателните структури да приемат процедури, „които са разумно проектирани да свеждат до минимум разпространението и запазването на лична информация, събрана от дейностите за радиоелектронно разузнаване“, и по-специално се разширява обхватът на някои защити, осигурявани за личната информация на граждани на САЩ и за информацията на граждани на други държави.

—	Агенциите приеха процедури в изпълнение на изискванията на ПИД-28 и ги предоставиха за публичен достъп.

Приложимостта на разгледаните тук процедури и защити за целите на Щита за личните данни е ясна. Когато се извършва предаване на данни към дружества в Съединените щати съгласно Щита за личните данни или по всякакъв друг начин, разузнавателните агенции на САЩ могат да отправят искания към дружествата по отношение на такива данни само ако това става съобразно с FISA или по силата на една от разгледаните по-нататък законови разпоредби за писма във връзка с националната сигурност (3). Освен това, без да потвърждава или отрича твърденията в медиите, че разузнавателните структури на САЩ събират данни при предаването им към Съединените щати по трансатлантическите кабелни връзки, дори ако разузнавателните структури на САЩ събираха данни по този начин, това би ставало под условията на ограниченията и гаранциите, разгледани в настоящия документ, включително в съответствие с изискванията на ПИД-28.

б)   Ограничения за събирането

В ПИД-28 са определени редица важни общи принципи, от които се ръководи събирането на информация в радиоелектронното разузнаване:

—	Събирането на радиоелектронна разузнавателна информация трябва да се основава на законови разпоредби или разрешение от Президента и трябва да се осъществява съобразно с Конституцията и правото.

—	Неприкосновеността на личния живот и гражданските свободи следва да бъдат неразделна част от съображенията при планирането на дейностите за радиоелектронно разузнаване.

—	Събирането на радиоелектронна разузнавателна информация може да става единствено когато е налице валидна цел по отношение на външното разузнаване или контраразузнаването.

—	Съединените щати не събират радиоелектронна разузнавателна информация с цел да потискат или затрудняват критиката или несъгласието.

—	Съединените щати не събират радиоелектронна разузнавателна информация с цел да поставят в неблагоприятно положение лица на основата на техния етнически или расов произход, пол, сексуална ориентация или религия.

—	Съединените щати не събират радиоелектронна разузнавателна информация с цел да предоставят конкурентни търговски предимства за дружествата и икономическите сектори на САЩ.

—

Дейностите за радиоелектронно разузнаване на САЩ трябва винаги да бъдат съобразени с конкретния случай, доколкото това е практически възможно, като се взема предвид наличността на други източници на информация. Това означава, че наред с останалото и доколкото е практически възможно, дейностите по събиране на радиоелектронна разузнавателна информация трябва за предпочитане да се извършват целево, вместо под формата на събиране на масиви от данни.

Изискването радиоелектронната разузнавателна дейност да бъде „съобразена с конкретния случай, доколкото това е практически възможно“ се прилага едновременно за начина, по който се събира радиоелектронна разузнавателна информация, и за това, което реално се събира. Например, когато определят дали да събират радиоелектронна разузнавателна информация, разузнавателните структури трябва да вземат предвид наличието на друга информация, включително от дипломатически или публични източници, и да предпочетат събирането да става чрез такива средства, когато това е уместно и практически възможно. Освен това политиките на разузнавателните структури следва да изискват събирането да бъде съсредоточено върху конкретни обекти или теми на външното разузнаване, където това е практически възможно, като за целта се използват ограничителни параметри (напр. конкретни съоръжения, критерии за избор и идентификатори).

Важно е информацията, предоставена на Комисията, да се разглежда като цяло. Вземането на решенията относно това кое е „практически възможно“ не е оставено на отделни лица, а е предмет на политики, които агенциите са разработили съгласно ПИД-28 и са предоставили за публичен достъп, и също е съобразено с останалите процеси, описани в директивата (4). Както е предвидено в ПИД-28, събирането на масиви от радиоелектронна разузнавателна информация е събиране, което „по технически или оперативни съображения се извършва без да се използват разграничителни критерии, (напр. конкретни идентификатори, критерии за избор и др.)“. В този смисъл в ПИД-28 се признава, че се налага при определени обстоятелства разузнавателните структури да извършват събиране на масиви от радиоелектронни разузнавателни данни, за да бъдат идентифицирани нови или възникващи заплахи и друга информация, която е от критично значение за националната сигурност, които често остават скрити в голямата и сложна съобщителна система в съвременния свят. Също така се признава загрижеността, която поражда за неприкосновеността на личния живот и гражданските свободи събирането на масиви от радиоелектронни разузнавателни данни. Поради това в ПИД-28 се дават указания към разузнавателните структури да използват с предимство алтернативни възможности, които биха позволили провеждането на целево радиоелектронно разузнаване, вместо събиране на масиви от данни. Съответно разузнавателните структури следва да извършват дейности по целево събиране, вместо събиране на масиви от радиоелектронни разузнавателни данни, когато това е практически възможно (5). Тези принципи са гаранция, че изключението за събиране на масиви от данни няма да надделее над общото правило.

Относно понятието „разумност“ може да се каже, че е фундаментален принцип в законодателството на САЩ. То означава, че не е необходимо разузнавателните структури да предприемат всички теоретично възможни мерки, а да балансират усилията си с цел защита на законните интереси за неприкосновеност на личния живот и гражданските свободи с практическите потребности при дейностите за радиоелектронно разузнаване. Тук отново са предоставени на разположение политиките на агенциите и те дават сигурност, че концепцията „разумно проектирани да свеждат до минимум разпространението и запазването на лична информация“ няма да намали тежестта на общото правило.

В ПИД-28 е предвидено също, че събраните масиви от радиоелектронна разузнавателна информация могат да се използват само за шест конкретни цели: откриване и противодействие на конкретни дейности на чужди сили; противодействие на тероризма; неразпространение на оръжия; киберсигурност; откриване и противодействие на заплахи за въоръжените сили на САЩ или на съюзнически държави; и борба със заплахи, произтичащи от трансгранична престъпна дейност, включително заобикаляне на санкции. Съветникът на Президента по въпросите на националната сигурност, в консултация с директора на Националното разузнаване (ДНР) правят годишен преглед на тези допустими употреби на събраните масиви от радиоелектронна разузнавателна информация, за да преценят дали трябва да бъдат изменени. ДНР предоставя този списък за публичен достъп, доколкото това е максимално възможно съобразно с националната сигурност. Това е едно важно и прозрачно ограничение за използването на събраните масиви от радиоелектронна разузнавателна информация.

Освен това разузнавателните структури, които изпълняват ПИД-28, укрепиха съществуващите аналитични практики и стандарти за търсене в неанализирана радиоелектронна разузнавателна информация (6). Анализаторите трябва да структурират запитванията или другите условия и техники на търсене, за да гарантират че са подходящи за идентифицирането на разузнавателна информация, която е релевантна за валидна задача, свързана с външното разузнаване или правоприлагането. За тази цели разузнавателните структури трябва да фокусират търсенията за лица върху категориите разузнавателна информация, които съответстват на дадено изискване в областта на външното разузнаване или правоприлагането, за да предотвратят използването на лична информация, която няма отношение към изискванията в областта на външното разузнаване или правоприлагането.

Важно е да се подчертае, че всички дейности по събиране на масиви от данни по отношение на съобщения в интернет, които разузнавателните структури на САЩ извършват при радиоелектронното разузнаване, се осъществяват в малка част от интернет. Освен това използването на целеви запитвания, както това е разгледано по-горе, е гаранция, че за задълбочено проучване от анализаторите се предава само тази информация, за която може да се счита, че има потенциална разузнавателна стойност. Тези ограничения са предвидени да осигуряват защита за неприкосновеността на личния живот и гражданските свободи за всички лица, независимо от тяхното гражданство и местопребиваването им.

Съединените щати разполагат с добре разработени процеси за осигуряване, че дейностите за радиоелектронно разузнаване се осъществяват в изпълнение само на съответни цели в областта на националната сигурност. Ежегодно Президентът определя най-приоритетните задачи за събирането на външноразузнавателна информация, което е резултат от разширен и официален междуведомствен процес. ДНР е отговорен за превръщането на тези приоритети за разузнаването в Рамка на приоритетите в националното разузнаване (National Intelligence Priorities Framework (NIPF). С ПИД-28 междуведомственият процес беше укрепен и подобрен, за да гарантира проверка и одобрение на всички разузнавателни приоритети на разузнавателните структури на високо политическо ниво. В Директивата за разузнавателните структури (ДРС) 204 са дадени допълнителни насоки относно NIPF, като тя беше актуализирана през януари 2015 г., за да бъдат включени изискванията съгласно ПИД-28 (7). Въпреки че информацията в NIPF е класифицирана, частта, свързана с конкретни външноразузнавателни приоритети на САЩ намира отражение в ежегодната Оценка на световните заплахи, която се изготвя от ДНР и не е класифицирана информация и също така се предоставя на разположение на уебсайта на ODNI.

Приоритетите в NIPF са с доста общ характер. В тях се включват теми, като преследване на ядрени възможности и възможности за балистични ракети на конкретни чужди противници, на влиянието на корупцията в наркокартелите и на нарушаването на човешките права в конкретни държави. Те се прилагат не само за радиоелектронното разузнаване, но и за всички разузнавателни дейности. Организацията, която е отговорна за превръщането на приоритетите в NIPF в реални дейности по събиране на радиоелектронна разузнавателна информация, е Националният комитет по радиоелектронно разузнаване или SIGCOM. Той работи под егидата на директора на Агенцията за национална сигурност (NSA), който е определен съгласно Изпълнителен декрет 12333 за „финансов ръководител на радиоелектронното разузнаване“ и отговаря за надзора и координацията на радиоелектронното разузнаване във всички разузнавателни структури под надзора на Министъра на отбраната и на ДНР. В SIGCOM има представители на всички разузнавателни структури и когато Съединените щати приложат изцяло ПИД-28, ще има представители и на други департаменти и агенции с политически интерес в областта на радиоелектронното разузнаване.

Всички министерства и агенции на САЩ, които са потребители на външноразузнавателна информация, подават искания за събиране до SIGCOM. SIGCOM разглежда тези искания, осигурява те да са в съответствие с NIPF и определя приоритетен ред, като прилага критерии, като:

—	Може ли радиоелектронното разузнаване да предостави полезна информация в този случай или има по-добри или икономически по-ефективни източници на информация, за да се отговори на изискването, като обработка на изображения или открити източници?

—	Доколко е важна тази потребност от информация? Ако е от голям приоритет в NIPF, тогава най-вероятно ще е от голям приоритет и за радиоелектронното разузнаване.

—	Какъв вид радиоелектронно разузнаване може да се използва?

—	Събирането съобразено ли е с конкретния случай, доколкото е практически възможно? Трябва ли да има срок, или географски или други ограничения?

Процесът за определяне на изискванията към радиоелектронното разузнаване на САЩ налага също изрично съобразяване и с други фактори, а именно:

—	Дали обектът на събирането или методологията, която се използва за това, са особено чувствителни? Ако е така, ще се наложи да бъде направена проверка на високо политическо ниво.

—	Дали събирането ще представлява неоправдан риск за неприкосновеността на личния живот и гражданските свободи, независимо от гражданството?

—	Необходими ли са допълнителни гаранции за разпространението и запазването, за да бъде защитена неприкосновеността на личния живот или интересите на националната сигурност?

И накрая, в края на процеса обучени служители на NSA вземат приоритетите, които са потвърдени от SIGCOM, провеждат изследвания и определят конкретни критерии за избор, като например телефонни номера или адреси на електронна поща, с които се очаква да бъде събрана външноразузнавателна информация в съответствие с тези приоритети. Всеки критерий за избор трябва да бъде проверен и одобрен преди да се въведе в системите за събиране на информация на NSA. Дори тогава обаче това дали и кога ще се осъществи самото събиране ще зависи донякъде от допълнителни съображения, като например наличието на подходящи ресурси за събирането. Този процес гарантира, че обектите, за които САЩ събират радиоелектронна разузнавателна информация, отразяват валидни и важни потребности в областта на външното разузнаване. И разбира се, когато събирането се осъществява в съответствие с FISA, NSA и другите агенции трябва да спазват допълнителните ограничения, одобрени от Съда за надзор върху външното разузнаване. Накратко, нито NSA, нито друга разузнавателна агенция на САЩ вземат решения сами относно това каква информация да бъде събирана.

Като цяло този процес гарантира, че всички приоритети на САЩ в областта на разузнаването се определят от отговорни за политическите решения лица на високо ниво, които най-добре могат да определят изискванията във връзка с външноразузнавателните дейности на САЩ, и че тези лица вземат предвид не само потенциалната стойност на събраната разузнавателна информация, но и рисковете, свързани със събирането, за националните икономически интереси и външните отношения, включително рисковете за неприкосновеността на личния живот.

По отношение на данните, предавани на Съединените щати съгласно Щита за личните данни, въпреки че Съединените щати не могат да потвърдят, нито да отрекат, че се прилагат конкретни разузнавателни методи или операции, изискванията, предвидени в ПИД-28 се прилагат за всички операции за радиоелектронно разузнаване, които Съединените щати провеждат, независимо от вида или източника на събираните данни. Освен това ограниченията и гаранциите, които се прилагат за събирането на радиоелектронна разузнавателна информация, се прилагат и за събраната такава информация за всякакви разрешени цели, включително за целите на външните отношения и на националната сигурност.

Разгледаните по-горе процедури доказват ясния ангажимент да бъде предотвратено произволното и безразборно събиране на радиоелектронна разузнавателна информация и да бъде въведен принципът на разумността от най-високите нива на нашето правителство. В ПИД-28 и процедурите на агенциите за изпълнение на тази директива са пояснени новите и съществуващите ограничения и са описани по-конкретно целите, с които Съединените щати събират и използват радиоелектронна разузнавателна информация. Те трябва да дават увереност, че дейностите за радиоелектронно разузнаване са и ще продължат да бъдат осъществявани единствено в изпълнение на легитимни външноразузнавателни цели.

в)   Ограничение за запазването и разпространението

В раздел 4 от ПИД-28 се поставя изискване всички разузнавателни структури да разполагат с изрично посочени ограничения за запазването и разпространението на личната информация, събрана чрез радиоелектронно разузнаване, на лица, които не са граждани на САЩ, сравними с ограниченията за такава информация за американски граждани. Тези правила са залегнали в процедурите на всяка агенция от разузнавателните структури, които бяха публикувани през февруари 2015 г. и са предоставени за публичен достъп. За да отговаря на условията за запазване или разпространение като външноразузнавателна информация, личната информация трябва да е свързана с разрешено изискване в разузнаването, определено съгласно разгледания по-горе процес във връзка с NIPF; да може основателно да се счита за доказателство за престъпление; или да отговаря на едно от останалите изисквания за запазване на лична информация на граждани на САЩ, определени в Изпълнителен декрет 12333, раздел 2.3.

Информацията, за която не е налице такова определение, не може да бъде запазвана в продължение на повече от пет години, освен с изрично решение на ДНР, че удължаването на срока на запазването е в интерес на националната сигурност на Съединените щати. Следователно разузнавателните структури са задължени да изтриват информация, събрана чрез радиоелектронно разузнаване, за лица, които не са граждани на САЩ, след като изминат пет години от събирането, освен ако е определено например, че информацията е свързана с разрешено изискване за външното разузнаване, или ако ДНР определи, след като се съобрази със становищата на служителя по защита на гражданските свободи към ODNI и на служителите на агенцията, отговарящи за неприкосновеността на личния живот и гражданските свободи, че удължаването на срока на запазването е в интерес на националната сигурност.

Освен това в политиките на всички агенции в изпълнение на ПИД-28 сега е предвидено изрично изискване, че информация за дадено лице не може да бъде разпространявана единствено защото физическото лице не е гражданин на САЩ и ODNI е издала директива, адресирана към всички разузнавателни структури (8), за отразяването на това изискване. От служителите в разузнавателните структури специално се изисква да отчитат интересите за неприкосновеност на личния живот на лицата, които не са граждани на САЩ, когато изготвят и разпространяват разузнавателни доклади. По-специално, радиоелектронна разузнавателна информация по отношение на рутинни дейности на чуждестранно лице не може да се счита за външноразузнавателна информация, която може да се разпространява или запазва трайно само по силата на този факт, освен ако по друг начин отговаря на разрешено изискване във връзка с външното разузнаване. С това се признава едно важно ограничение и е в отговор на загрижеността на Европейската комисия относно широкия обхват на определението за външноразузнавателна информация, установено с Изпълнителен декрет 12333.

г)   Спазване и надзор

Системата на САЩ за надзор върху външното разузнаване осигурява строг контрол на няколко нива за гарантиране спазването на приложимите закони и процедури, включително на тези, които се отнасят за събирането, запазването и разпространението на информация за лица, които не са граждани на САЩ, придобита чрез радиоелектронно разузнаване, както това е посочено в ПИД-28. Това включва:

—

В разузнавателните структури работят стотици служители по надзора. Само в NSAима над 300 души, чиято работа е свързана със спазването на нормите, а други структури също имат служби по надзора. Освен това Министерството на правосъдието осъществява задълбочен надзор над разузнавателните дейности и Министерството на отбраната също извършва надзор.

—

Всяка от разузнавателните структури има своя служба на главния инспектор, в чиито отговорности се включва наред с останалите въпроси и упражняването на надзор върху дейностите за външно разузнаване. Главните инспектори са с независим статут, имат широки правомощия да провеждат разследвания, одити и проверки на програмите, включително за измами и злоупотреби или нарушаване на закона, и могат да правят препоръки за корективни мерки. Докато препоръките на главните инспектори са с необвързващ характер, техните доклади често се оповестяват публично и във всички случаи се изпращат на Конгреса; тук се включват и докладите относно последващи действия, когато препоръчаните в предходни доклади корективни мерки още не са изпълнени. По този начин Конгресът е информиран за всяко неспазване и може да упражни натиск за изпълнението на корективните действия, включително чрез бюджетни механизми. До редица доклади на главни инспектори във връзка с разузнавателни програми беше предоставен публичен достъп (9).

—

Службата за гражданските свободи и неприкосновеността на личния живот към ODNI (Civil Liberties and Privacy Office) (CLPO) има задължението да гарантира, че разузнавателните структури работят по начин, който повишава националната сигурност, като същевременно защитава гражданските свободи и правата на неприкосновеност на личния живот (10). Други разузнавателни структури имат свои служители по въпросите на неприкосновеността на личния живот.

—

Надзорният съвет по въпросите на неприкосновеността на личния живот и гражданските свободи (Privacy and Civil Liberties Oversight Board) (PCLOB) е независим орган, създаден със закон и натоварен със задачата да извършва анализ и преглед на програмите и политиките за противодействие на тероризма, включително използването на радиоелектронно разузнаване, с цел да гарантира, че се осигурява адекватна защита на неприкосновеността на личния живот и гражданските свободи. Той е публикувал няколко обществено достъпни доклада за дейността на разузнаването.

—

Както ще бъде разгледано по-подробно по-нататък, Съдът за надзор върху външното разузнаване е със състав от независими федерални съдии и отговаря за спазването на изискванията и надзора по отношение на всички дейности по събиране на радиоелектронна разузнавателна информация, извършвани съгласно FISA.

—	И накрая, Конгресът на САЩ, и по-специално комисията по въпросите на разузнаването и правната комисия към Камарата на представителите и Сената, имат важни надзорни отговорности по отношение на всички външноразузнавателни дейности на САЩ, включително радиоелектронното разузнаване.

Освен тези официални надзорни механизми, разузнавателните структури имат изградени множество механизми за осигуряване спазването от тяхна страна на ограниченията върху събирането на информация, разгледани по-горе. Например:

—	От високопоставените правителствени служители се изисква ежегодно да потвърждават валидността на своите изисквания във връзка с външното разузнаване.

—

NSAпроверява обектите на радиоелектронно разузнаване през целия процес на събиране на данни, за да определи дали наистина осигуряват ценна външноразузнавателна информация в съответствие с приоритетите, и преустановява събирането на данни във връзка с обекти, които не осигуряват такава информация. С допълнителни процедури се гарантира периодичното преразглеждане на критериите за избор.

—

Въз основа на препоръка от независима надзорна група, назначена от Президента Обама, ДНР създаде нов механизъм за контрол на събирането и разпространението на радиоелектронна разузнавателна информация, която е с особено чувствителен характер поради естеството на обекта или средствата за събирането, за да се гарантира, че това е съобразено с решенията на отговорните за политическите решения лица.

—

И накрая, ODNI прави ежегоден преглед на разпределението на ресурсите в разузнавателните структури според приоритетите в NIPF и разузнавателната мисия като цяло. Този преглед включва оценки на стойността на всички видове събрана разузнавателна информация, включително радиоелектронна, както и преценка за това, доколко разузнавателните структури са успели да постигнат целите си и от какво ще се нуждаят за в бъдеще. Това е гаранция, че ресурсите за радиоелектронно разузнаване се използват за най-значимите национални приоритети.

Както се вижда от този обстоен общ преглед, разузнавателните структури не решават сами кои разговори да подслушват, не се опитват да събират всякаква информация и не работят без надзор. Дейностите им са съсредоточени върху приоритетите, определени от създателите на политики чрез процес, в който участва цялото правителство и върху който се осъществява надзор, както в рамките на NSA, така и от ODNI, Министерството на правосъдието и Министерството на отбраната.

В ПИД-28 се съдържат също така и множество други разпоредби за гарантиране, че събраната в хода на радиоелектронно разузнаване лична информация е защитена, независимо от националността. Например в ПИД-28 са предвидени процедури за сигурността на данните, достъпа и качеството, за да бъде защитена събраната в хода на радиоелектронно разузнаване лична информация, както и задължително обучение за гарантиране, че служителите разбират отговорността за защита на личната информация, независимо от националността на лицата. Също така в ПИД-28 са предвидени допълнителни механизми за надзор и спазване. Към тях спадат периодичният одит и прегледи от страна на съответните длъжностни лица по спазването и надзора на практиките за защита на личната информация, съдържаща се в радиоелектронната разузнавателна информация. Прегледите трябва също така да направят оценка на спазването от страна на агенциите на процедурите за защита на тази информация.

Освен това в ПИД-28 е предвидено значими проблеми със спазването във връзка с лица, които не са граждани на САЩ, да бъдат решавани на по-високи нива в правителството. Когато възникне значим проблем със спазването, в който се засяга лична информация на което и да е лице, събрана в резултат от радиоелектронни разузнавателни дейности, въпросът задължително се докладва освен по реда на съществуващите изисквания за докладване, и своевременно на ДНР. Ако проблемът засяга лична информация на лице, което не е гражданин на САЩ, ДНР, в консултация с Държавния секретар и с ръководителя на съответната разузнавателна структура, определят дали трябва да бъдат предприети стъпки за уведомяване на съответното чуждо правителство, като се спазват изискванията относно защитата на източниците и методите и на служителите на САЩ. Освен това, както е указано в ПИД-28, Държавният секретар е определил висш правителствен служител, Заместник държавния секретар Catherine A. Novelli, да изпълнява функциите на лице за връзка с чуждите правителства, които желаят да изразят безпокойство във връзка с дейностите за радиоелектронно разузнаване на Съединените щати. Този ангажимент на високо ниво е пример за усилията, които правителството на САЩ прави през изминалите няколко години да вдъхне доверие към многобройните и припокриващи се защити за неприкосновеността на личния живот, които са изградени за личната информация на американските граждани и на лицата, които не са граждани на САЩ.

д)   Обобщение

Процесите в Съединените щати за събиране, запазване и разпространение на външноразузнавателна информация предвиждат важни защити за неприкосновеността на личния живот по отношение на личната информация на всички лица, независимо от тяхното гражданство. По-специално с тези процеси се гарантира, че нашите разузнавателни структури се съсредоточават върху своята мисия за национална сигурност, така както тя е определена в приложимите закони, изпълнителни декрети и президентските директиви; защитават информацията от неразрешен достъп, употреба и разкриване, и осъществяват дейността си под контрол и надзор на няколко равнища, включително на надзорните комисии в Конгреса. ПИД-28 и процедурите за нейното изпълнение са израз на нашите усилия да разширим свеждането до минимум и някои други съществени принципи на защитата на данни също и за личната информация на всички лица, независимо от тяхното гражданство. За личната информация, получена при осъществяваното от САЩ събиране на радиоелектронни разузнавателни данни, се прилагат принципите и изискванията съгласно правото на САЩ и президентските директиви, включително защитата, предвидена в ПИД-28. Тези принципи и изисквания са гаранция, че всички лица се третират по достоен начин и с уважение, независимо от тяхното гражданство или местопребиваването им, и са признание за това, че всички лица имат законни интереси за неприкосновеност на личния живот при обработването на тяхна лична информация.

II.   ЗАКОН ЗА НАДЗОР ВЪРХУ ВЪНШНОТО РАЗУЗНАВАНЕ — РАЗДЕЛ 702

Съгласно раздел 702 от Закона за надзор върху външното разузнаване (11) събирането не е „масово и безразборно“, а тясно съсредоточено върху събирането на външноразузнавателна информация от индивидуално идентифицирани съгласно закона обекти; то е разрешено по ясен начин в изрични законови разпоредби; и подлежи едновременно на независим съдебен контрол и на задълбочен преглед и надзор в рамките на изпълнителните органи и Конгреса. Събирането съгласно раздел 702 се счита за радиоелектронно разузнаване, при условие че отговаря на изискванията на ПИД-28 (12).

Събирането съгласно раздел 702 е един от най-ценните източници на разузнавателна информация за защитата както на Съединените щати, така и на европейските ни партньори. Подробна информация относно функционирането и надзора съгласно раздел 702 е предоставена за публичен достъп. Множество разсекретени съдебни дела, съдебни решения и надзорни доклади във връзка с програмата са публикувани и предоставени на разположение на уебсайта на ODNI за публичен достъп на адрес: www.icontherecord.tumblr.com. Освен това Надзорният съвет по въпросите на неприкосновеността на личния живот и гражданските свободи (PCLOB) направи обстоен анализ на прилагането на раздел 702 в доклад, който е на разположение на адрес: https://www.pclob.gov/library/702-Report.pdf (13).

Раздел 702 беше приет като част от Закона за изменение на FISA от 2008 г. (14), след задълбочени публични обсъждания в Конгреса. С него се разрешава придобиването на външноразузнавателна информация чрез целево събиране от лица, които не са граждани на САЩ и с местонахождение извън САЩ, при задължително съдействие от страна на доставчиците на електронни далекосъобщителни услуги в САЩ. С раздел 702 се упълномощават Министърът на правосъдието и ДНР — служители на министерско равнище, определени от Президента с одобрението на Сената — да подават ежегодно заявление за сертифициране до Съда за надзор върху външното разузнаване (15). С това сертифициране се определят конкретни категории външноразузнавателна информация, която да бъде събирана, като например разузнавателна информация, свързана с противодействие на тероризма или оръжия за масово унищожение, която трябва да отговаря на изискванията за категориите външноразузнавателна информация, така както те са определени в FISA (16). Както отбелязва PCLOB, „тези ограничения не разрешават неограниченото събиране на информация за чужденци“ (17).

Също така се изисква в сертифицирането да бъдат включени процедури за целево събиране и за свеждане до минимум, които трябва да бъдат проверени и одобрени от Съда за надзор върху външното разузнаване (18). Процедурите за целево събиране са предназначени да гарантират, че събирането ще се извършва само както това е разрешено по закон и в обхвата на сертифицирането; процедурите за свеждане до минимум са предназначени да се ограничи придобиването, разпространението и запазването на информация за американски граждани, но съдържат и разпоредби, с които се осигурява значителна степен на защита на информацията също и за лица, които не са американски граждани, както това е разгледано по-нататък. Освен това, както е разгледано по-горе, в ПИД-28 Президентът даде указания разузнавателните структури да предоставят допълнителна защита за личната информация на лица, които не са американски граждани, и тази защита се прилага за информацията, събрана съгласно раздел 702.

След като съдът одобри процедурите за целево събиране и за свеждане до минимум, събирането съгласно раздел 702 не е общо или безразборно, а „се състои изцяло от целенасочено разследване на конкретни лица, за които е направено индивидуализирано определяне“, както е посочено от PCLOB (19). Събирането е целево, като се използват конкретни критерии за избор, като например адреси на електронна поща или телефонни номера, за които служителите на разузнаването на САЩ са определили, че може да се счита, че се използват за предаване на външноразузнавателна информация от вида, определен при сертифицирането, за което е подадено заявление в съда (20). Основанието за избора на обект задължително се документира и впоследствие документите за всеки критерий за избор се проверяват от Министерството на правосъдието (21). Правителството на САЩ публикува в информация, че през 2014 г. се е осъществявало целево разследване съгласно раздел 702 на приблизително 90 000 физически лица, което е съвсем малка част от всичките над 3 милиарда потребители на интернет в света (22).

Събраната информация съгласно раздел 702 подлежи на одобрените от съда процедури за свеждане до минимум, с които се осигурява защита на информацията за лица, които не са американски граждани, така както и за американските граждани, и които са обявени публично (23). Например комуникационни данни, придобита съгласно раздел 702, независимо дали от американски граждани или от лица, които не са американски граждани, се съхранява в бази данни със строг контрол на достъпа. Такива данни могат да се разглеждат само от служителите на разузнаването, които са обучени за процедурите за свеждане до минимум с цел защита на неприкосновеността на личния живот и които са получили специално одобрение за този достъп, за да изпълняват функциите, за които са упълномощени (24). Използването на данните се ограничава до идентифицирането на външноразузнавателна информация или доказателство за престъпление (25). Съгласно ПИД-28 тази информация може да се разпространява само ако е налице валидна цел във връзка с външното разузнаване или правоприлагането; само фактът, че едната страна в комуникацията не е лице, гражданин на САЩ, не е достатъчен (26). С процедурите за свеждане до минимум, както и в ПИД-28, се определят също и ограничения за продължителността на запазване на данните, придобити съгласно раздел 702 (27).

Надзорът над изпълнението на раздел 702 е засилен и се осъществява от всяка от трите власти на нашето правителство. В агенциите, които прилагат закона, има няколко нива на вътрешен контрол, включително независими главни инспектори, както и технологичен контрол върху достъпа до данните. Министерството на правосъдието и ODNI строго следят и проверяват как се прилага раздел 702, за да контролират спазването на законовите правила; също така агенциите имат самостоятелното задължение да докладват за потенциални случаи на неспазване. Такива случаи се разследват и всички случаи на неспазване се докладват на Съда за надзор върху външното разузнаване, Надзорния съвет по въпросите на разузнаването към Президента и на Конгреса, като се вземат съответните мерки за отстраняване на нарушенията (28). Досега няма случаи на целенасочен опит за нарушаване на закона или за заобикаляне на законовите изисквания (29).

Съдът за надзор върху външното разузнаване има важна роля за прилагането на раздел 702. В състава му влизат независими федерални съдии със седемгодишен мандат в този съд, които обаче, както всички федерални съдии, са с пожизнено назначение като съдии. Както беше отбелязано, съдът задължително проверява дали са спазени законовите изисквания при годишните сертифицирания и процедурите за целево следене и за свеждане до минимум. Освен това, както също вече беше отбелязано, от правителството се изисква да уведомява съда незабавно при проблеми със спазването (30), а няколко решения на съда, които вече бяха разсекретени и обявени публично, показват изключително високия съдебен контрол и независимостта, която той упражнява при разглеждането на такива случаи.

Взискателните процеси на съда бяха описани от предишния съдия председател в писмо до Конгреса, което беше публикувано за широката общественост (31). А по силата на Закона за свободата в САЩ, разгледан по-нататък, сега съдът е изрично упълномощен да назначава външен юрист като независим защитник по въпроси на неприкосновеността на личния живот по дела, които представляват нови или значими юридически казуси (32). Тази степен на ангажираност от страна на независимата съдебна система на една държава с външноразузнавателни дейности, насочена към лица, които не са граждани на тази държава и са с местонахождение извън нея, е необичайна, и дори безпрецедентна и спомага за гарантирането, че събирането на информация съгласно раздел 702 се осъществява в рамките на съответните законови ограничения.

Конгресът осъществява надзор посредством изисквани по закон доклади до комисията по въпросите на разузнаването и правната комисия, както и чести брифинги и изслушвания. Тук се включва докладът за полугодието на Министъра на правосъдието за документиране прилагането на раздел 702 и евентуални случаи на неспазване (33); отделна шестмесечна оценка на Министъра на правосъдието и ДНР за документиране спазването на процедурите за целево събиране и свеждане до минимум, включително спазването на процедурите, предвидени за гарантиране, че събирането се извършва за валидна цел на външното разузнаване (34); и годишен доклад на ръководителите на разузнавателните структури, в който се включва удостоверяване, че събирането на информация съгласно раздел 702 все още осигурява външноразузнавателна информация (35).

Накратко, събирането на информация съгласно раздел 702 е разрешено по закон; подлежи на проверка, съдебен контрол и надзор на няколко нива; и, както постанови Съдът за надзор върху външното разузнаване в едно наскоро разсекретено решение, не „се извършва общо или безразборно“, а „чрез … отделни решения за целево определяне на индивидуални [комуникационни] съоръжения“ (36).

III.   ЗАКОН ЗА СВОБОДАТА В САЩ

Със Закона за свободата в САЩ, промулгиран през юни 2015 г., бяха внесени значителни промени в надзорните правомощия в САЩ и други правомощия в областта на националната сигурност, като беше повишена прозрачността за обществеността относно прилагането на тези правомощия и относно решенията на Съда за надзор върху външното разузнаване, както това е разгледано по-нататък (37). С този закон се гарантира, че нашите професионалисти в областта на разузнаването и правоприлагането ще разполагат с необходимите правомощия за защитата на нацията, като едновременно с това се гарантира подходяща защита за неприкосновеността на личния живот на физическите лица, когато се прилагат тези правомощия. С това се подобряват неприкосновеността на личния живот и гражданските свободи и се повишава прозрачността.

Със закона се забранява събиране на масиви от каквато и да било информация, включително за американски граждани и за лица, които не са граждани на САЩ, по силата на различни разпоредби на FISA или посредством писмо във връзка с националната сигурност, което е вид разрешено по закон административно разпореждане (38). Тази забрана включва по-специално метаданни за телефонни разговори, отнасящи се за обаждания между лица на територията на САЩ и лица извън САЩ, като тук се включва също събирането на информация съгласно Щита за личните данни по силата на тези законови правомощия. Със закона се поставя изискване към правителството да обосновава всяко заявление за информация съгласно тези правомощия чрез „специален критерий за избор“ — понятие, което определя по специфичен начин дадено лице, профил, адрес или персонално устройство, така че да бъде ограничен в максимално възможната разумна и допустима степен обхватът на исканата информация (39). С това освен това се гарантира, че събирането на информация за целите на разузнаването е прецизно насочено и целево.

Със закона бяха внесени също и съществени изменения в производствата пред Съда за надзор върху външното разузнаване, с които се повишава прозрачността и се дават допълнителни гаранции, че неприкосновеността на личния живот ще бъде защитена. Както беше отбелязано, с него беше разрешено създаването на постоянна група от юристи с разрешение за достъп до класифицирана информация, специализирали в областта на неприкосновеността на личния живот и гражданските свободи, събирането на разузнавателна информация, комуникационните технологии или други подходящи сфери, които могат да бъдат определени да се явят в съда в качеството на amicus curiae по дела, в които се дава ново или съществено тълкувание на закона. Тези юристи са с правомощия да привеждат правни аргументи в защита на неприкосновеността на личния живот и гражданските свободи и имат достъп до всякаква информация, за която съдът определи, че е необходима за изпълнение на задълженията им, включително класифицирана (40).

Също така със закона се доизгражда безпрецедентната прозрачност на действията на правителството на САЩ в областта на разузнавателните дейности, като се определя изискване към ДНР, в консултация с Министъра на правосъдието, да декласифицира или публикува обобщение, което не съдържа класифицирана информация, на всяко решение, разпореждане или становище, постановено от Съда за надзор върху външното разузнаване или апелативен съд за надзор на външното разузнаване, в което се съдържат значими конструкции или тълкувания на някоя законова разпоредба.

Освен това в закона се предвижда подробно разкриване на информация относно събиране на данни съгласно FISA и искания за писма във връзка с националната сигурност. Правителството на Съединените щати трябва да разкрива ежегодно пред Конгреса и обществеността броя на заповедите и поисканите и получени сертифицирания съгласно FISA, изчисления за броя на американските граждани и лицата, които не са граждани на САЩ, които са били обект и са били засегнати от наблюдение, както и броя на определените amici curiae, наред с други видове информация (41). Също така със закона се изисква от правителството допълнително да докладва пред обществеността относно броя на поисканите писма във връзка с националната сигурност по отношение на американски граждани и на лица, които не са граждани на САЩ (42).

По отношение на корпоративната прозрачност в закона се дават редица възможности на дружествата да докладват публично за общия брой заповеди и указания съгласно FISA или писма във връзка с националната сигурност, които са получили от правителството, както и броя на потребителските профили, които са били предмет на тези заповеди (43). Няколко дружества вече разкриха такава информация и тя показва, че броят на клиентите, чиято информация е била обект на търсене, е ограничен.

Тези доклади за корпоративната прозрачност доказват, че исканията за целите на разузнаването в САЩ засягат само малка част от информацията. Например един наскоро публикуван доклад за прозрачността на едно от големите дружества показва, че то е получило искания в областта на националната сигурност (съгласно FISA или писма във връзка с националната сигурност), с които са били засегнати по-малко от 20 000 от профилите в момент, когато дружеството е имало поне 400 милиона регистрирани абоната. С други думи всички искания във връзка с националната сигурност на САЩ, за които съобщава това дружество, са засегнали по-малко от 0,005 % от абонатите му. Дори ако всяко от тези искания засягаше данни съгласно Щита за личните данни, което разбира се не е така, очевидно е, че исканията са целеви и съобразени по мащаб, и не са нито за събиране на масиви от данни, нито за безразборно събиране.

И накрая, въпреки че със законовите разпоредби, с които се разрешава издаването на писма във връзка с националната сигурност, се ограничават обстоятелствата, при които се забранява на получател на такова писмо да го разкрива, в закона се предвижда допълнително тези изисквания за неразкриване да подлежат на задължителен периодичен преглед; получателите на писма във връзка с националната сигурност да бъдат уведомени кога фактите, на които се основава изискването за неразкриване повече не са налице; и се кодифицират процедурите за обжалване от получателите на изискването за неразкриване (44).

В обобщение, важните изменения в правомощията в областта на разузнаването в САЩ, внесени със Закона за свободата, са ясно доказателство за големите усилия, които полагат Съединените щати да поставят на преден план във всички практики в разузнаването на САЩ защитата на личната информация, неприкосновеността на личния живот, гражданските свободи и прозрачността.

IV.   ПРОЗРАЧНОСТ

В допълнение към прозрачността, която се изисква съгласно Закона за свободата в САЩ, разузнавателните структури предоставят на обществеността много допълнителна информация, с което дават много добър пример във връзка с прозрачността за разузнавателната си дейност. Разузнавателните структури публикуват много от своите политики, процедури, решения на Съда за надзор върху външното разузнаване и други материали, които не са класифицирана информация, като осигуряват изключително висока степен на прозрачност. Освен това значително се увеличи разкриването на статистическа информация за използването от страна на правителството на правомощията за събиране на информация за целите на националната сигурност. На 22 април 2015 г. разузнавателните структури публикуваха втория си годишен доклад със статистически данни за това колко често правителството използва тези важни правомощия. ODNI също публикува на уебсайта си и на специалния уебсайт IC On the Record набор от конкретни принципи за прозрачност (45) и план за изпълнение, в който тези принципи са заложени в конкретни измерими инициативи (46). През октомври 2015 г. директорът на Националното разузнаване даде указания към всяка разузнавателна агенция да определи служител по прозрачността на разузнаването в рамките на ръководството, който да съдейства за повишаване на прозрачността и да ръководи инициативите за прозрачност (47). Служителят по прозрачността ще работи в тясно взаимодействие със служителите на всяка разузнавателна агенция, отговарящи за неприкосновеността на личния живот и гражданските свободи, за гарантиране запазването на първостепенното значение на прозрачността, неприкосновеността на личния живот и гражданските свободи.

Като пример за тези усилия, през изминалите няколко години главният служител на NSAпо въпросите на неприкосновеността на личния живот и гражданските свободи публикува няколко доклада, които не съдържат класифицирана информация, включително докладите за дейностите съгласно раздел 702, Изпълнителен декрет 12333 и Закона за свободата в САЩ (48). Освен това разузнавателните структури работят в тясно взаимодействие с Надзорния съвет по въпросите на неприкосновеността на личния живот и гражданските свободи, Конгреса и защитниците на неприкосновеността на личния живот в САЩ, за да се осигури допълнителна прозрачност във връзка с разузнавателните дейности на САЩ, когато това е практически осъществимо и в съответствие с изискванията за защита на разузнавателните източници и методи с чувствителен характер. Като цяло прозрачността за разузнавателните дейности на САЩ е също толкова висока или по-висока от тази на всяка друга нация в света и в степента, която позволява да бъде съобразена с необходимостта за защита на източниците и методите с чувствителен характер.

В обобщение на високата прозрачност, която е налице за разузнавателните дейности на САЩ:

—

Разузнавателните структури са публикували и предоставили на разположение онлайн хиляди страници със становища на съда и процедури на агенциите, в които са очертани специфичните процедури и изисквания за нашите разузнавателни дейности. Също така сме публикувани доклади за спазването на приложимите ограничения от страна на разузнавателните агенции.

—	Висши служители в разузнаването редовно говорят пред обществеността за ролята и дейността на своите организации, включително с описание на режимите за спазване на изискванията и гаранциите, от които се ръководят в работата си.

—	Разузнавателните структури са публикували и множество допълнителни документи относно разузнавателните дейности съгласно Закона за свобода на информацията.

—	Президентът издаде ПИД-28, като определи пред обществеността допълнителни ограничения за нашите разузнавателни дейности, а ODNI е издала два доклада за публичен достъп относно изпълнението на тези ограничения.

—	Сега от разузнавателните структури се изисква по закон да оповестяват значими правни становища на Съда за надзор върху външното разузнаване или обобщения на тези становища.

—	От правителството се изисква да докладва ежегодно за степента, в която използва някои от своите правомощия в областта на националната сигурност и дружествата също имат такова право.

—	Надзорният съвет по въпросите на неприкосновеността на личния живот и гражданските свободи публикува няколко подробни доклада относно разузнавателните дейности и ще продължи да прави това.

—	Разузнавателните структури предоставят голям обем класифицирана информация на надзорните комисии в Конгреса.

—	ДНР издаде принципи за прозрачност, от които да се ръководят дейностите на разузнавателните структури.

Тази висока прозрачност ще продължи да се прилага и в бъдеще. Всяка информация, която се публикува за обществен достъп, ще бъде предоставена, разбира се, и на Министерството на търговията и Европейската комисия. Годишният преглед, който Министерството на търговията и Европейската комисия ще извършват относно изпълнението на Щита за личните данни, ще даде възможност на Европейската комисия да обсъди всички въпроси, възникнали във връзка с публикувана нова информация, както и други такива във връзка с Щита за личните данни и неговото функциониране, и разбираме, че по своя преценка министерството може да покани за участие в този преглед и представители на други агенции, включително на разузнавателните структури. Това, разбира се, е в допълнение към механизма, предвиден в ПИД-28, според който държавите — членки на ЕС, могат да изразят загриженост във връзка с дейностите по надзор пред определения висш служител на Държавния департамент.

V.   СРЕДСТВА ЗА ПРАВНА ЗАЩИТА

Правото на САЩ осигурява редица възможности за правна защита на физическите лица, когато са станали обект на неправомерно електронно наблюдение за целите на националната сигурност. Съгласно FISA правото да се търси решение по жалба в съда в САЩ не е ограничено само за американските граждани. Физическо лице, което може да обоснове иск да заведе дело се ползва със средства за правна защита срещу неправомерно електронно наблюдение съгласно FISA. Например в FISA се предвижда лицата, които са станали обект на неправомерно електронно наблюдение, да могат да заведат дело срещу длъжностни лица от правителството на САЩ, в качеството им на частни лица, за финансови щети, включително за наказателни обезщетения и компенсиране на разноските по адвокатски хонорари. Вж. 50 U.S.C. § 1810; Физическите лица, които имат основания да заведат дело, могат също така да предявят граждански иск за обезщетение за финансови щети срещу Съединените щати, включително за разходите, свързани с процеса, когато информацията за тях, придобита чрез електронно наблюдение съгласно FISA, е била неправомерно и умишлено използвана или разкрита. Вж. 18 U.S.C. § 2712; В случай, че правителството възнамерява да използва или разкрие информация, получена или производна от електронно наблюдение на засегнатото лице съгласно FISA, срещу това лице в съдебни или административни производства в Съединените щати, правителството трябва да уведоми предварително за това си намерение съда и лицето, което тогава може да предяви иск срещу законността на наблюдението и да иска забрана на информацията. Вж. 50 U.S.C. § 1806; И накрая, в FISA се предвиждат също така наказателни санкции за физическите лица, които умишлено извършват неправомерно електронно наблюдение под прикритието на закона или които умишлено използват или разкриват информация, получена от неправомерно наблюдение. Вж. 50 U.S.C. § 1809;

Гражданите на ЕС имат други възможности да търсят правна защита срещу длъжностни лица от правителството на САЩ за неправомерно използване или достъп от страна на правителството до данни, включително срещу длъжностни лица, които нарушават закона в хода на неправомерен достъп или използване на информация за претендирани цели на националната сигурност. Съгласно Закона за компютърните измами и злоупотреби (Computer Fraud and Abuse Act) се забранява умишленият неразрешен достъп (или превишаването на правомощията за достъп) с цел придобиване на информация от финансови институции, от компютърна система на правителството на САЩ или от компютър, до който има достъп през интернет, както и заплахите за увреждане на защитени компютри с цел изнудване или измама. Вж. 18 U.S.C. § 1030; Всяко лице, независимо от гражданството му, което понесе вреди или загуби поради нарушаване на този закон, може да заведе дело срещу нарушителя (включително срещу длъжностно лице от правителството) за обезщетение за вредите и за мерки за прекратяване или други равностойни мерки съгласно раздел 1030(g), независимо дали е предприето наказателно преследване, при условие че виновното действие е свързано с поне едно от няколко обстоятелства, определени в закона. Законът за неприкосновеност на електронните съобщения (Electronic Communications Privacy Act (ECPA)) урежда достъпът от страна на правителството до съхранени електронни съобщения и справки за трансакции, както и информация за абонатите, с които разполагат доставчици на електронни съобщителни услуги в качеството им на трета страна.Вж. 18 U.S.C. §§ 2701-2712. С този закон се дава право на засегнато физическо лице да заведе дело срещу длъжностно лице от правителството за умишлен неправомерен достъп до съхранени данни. Законът се прилага за всички лица, независимо от гражданството им, и засегнатите физически лица могат да получат обезщетение за вреди и за компенсиране на разноските за адвокатски хонорари. Законът за правото на неприкосновеност на личните финанси (Right to Financial Privacy Act (RFPA)) ограничава достъпа на правителството на САЩ до банкова и брокерско-дилърска информация за отделни клиенти. Вж. 12 U.S.C. §§ 3401-3422. Съгласно този закон клиент на банка, брокер или дилър, може да заведе дело срещу правителството на САЩ за законоустановени и наказателни обезщетения и за обезщетения за действително претърпени вреди поради виновно получаване на достъп до справки за клиента, а ако в съдебното решение се констатира, че това виновно поведение е било умишлено, автоматично се задейства разследване за налагане на евентуално дисциплинарно наказание на съответните правителствени служители. Вж. 12 U.S.C. § 3417;

И накрая, в Закона за свобода на информацията (FOIA) се предвиждат средства за всяко физическо лице да може да поиска достъп до налични регистри на федералните агенции по всякакви теми, освен ако не се прилагат някои категории изключения. Вж. 5 U.S.C. § 552(b). Към тях се включват ограниченията за достъпа до класифицирана информация относно националната сигурност, лична информация на други физически лица и информация със връзка с разследвания в правоприлагането, като тези ограничения са сравними с налаганите от държавите в техните закони за достъп до информацията. Те се прилагат еднакво за американски граждани и за лица, които не са граждани на САЩ. Споровете във връзка с предоставяне на регистри по искане съгласно FOIA могат да се обжалват по административен ред, след което и пред федерален съд. От съда се изисква да се произнесе отново с решение дали регистрите правомерно не са били предоставени, 5 U.S.C. § 552(a)(4)(B), и той може да задължи правителството да предостави достъп до регистрите. В някои случаи съдът е отхвърлил доводите на правителството, че информацията не трябва да се предоставя, тъй като е класифицирана (49). Въпреки че не се предоставят обезщетения за финансови вреди, съдът може да разпореди да бъдат изплатени разноските за адвокатски хонорари.

VI.   ЗАКЛЮЧЕНИЕ

Съединените щати признават факта, че нашите дейности за радиоелектронно разузнаване и другите ни разузнавателни дейности трябва да отчитат, че всички лица следва да се третират по достоен начин и с уважение, независимо от тяхното гражданство или местопребиваването им, и че всички лица имат законни интереси за неприкосновеност на личния живот при обработването на личната им информация. Съединените щати използват радиоелектронно разузнаване единствено с цел повишаване на националната сигурност и в интерес на външната си политика, както и за защита на своите граждани и гражданите на съюзниците и партньорите си. Накратко, разузнавателните структури не извършват безразборно наблюдение на който и да било, включително на обикновени европейски граждани. Събирането на радиоелектронна разузнавателна информация се извършва само когато това е разрешено по надлежния ред и при строго спазване на тези ограничения; само след като е взето предвид наличието на алтернативни източници, включително дипломатически и публично достъпни; и при отдаване на предпочитание на уместни и практически възможни алтернативни варианти. Също така, където това е практически възможно, радиоелектронното разузнаване се извършва само чрез събиране, съсредоточено върху конкретни обекти или теми на външното разузнаване, като се използват ограничителни параметри.

Политиката на САЩ в тази връзка бе затвърдена с ПИД-28. В тези рамки разузнавателните агенции на САЩ нямат правомощията, ресурсите, техническия капацитет, нито желание да прихващат съобщенията на целия свят. Тези агенции не четат електронната поща на всеки в Съединените щати или на всеки в света. В съответствие с ПИД-28 Съединените щати осигуряват сигурна защита на личната информация, събрана при дейностите за радиоелектронно разузнаване за лица, които не са граждани на САЩ. Доколкото това е максимално възможно съобразно с националната сигурност, тази защита включва политики и процедури за свеждане до минимум на запазването и разпространението на лична информация за лица, които не са американски граждани, и е сравнима със защитата, осигурявана за американски граждани. Освен това, както беше разгледано, всеобхватният надзорен режим по отношение на прилагането на съответните правомощия съгласно раздел 702 от FISA е безпрецедентен. И накрая, съществените изменения в законодателството на САЩ, уреждащо разузнаването, внесени със Закона за свободата в САЩ, както и инициативите под ръководството на ODNI за повишаване на прозрачността в разузнавателните структури, в голяма степен повишават защитата на неприкосновеността на личния живот и гражданските свободи на всички физически лица, независимо от тяхното гражданство.

 

21 юни 2016 г.

Г-н Justin S. Antonipillai

Съветник

Министерство на търговията на САЩ

1401 Constitution Avenue, N.W.

Вашингтон, DC 20230

Г-н Ted Dean

Заместник помощник-секретар

Администрация по международната търговия

1401 Constitution Avenue, N.W.

Вашингтон, DC 20230

Уважаеми г-н Antonipillai и г-н Dean,

С настоящото писмо искаме да предоставим допълнителна информация относно начина, по който Съединените американски щати извършват събирането на масиви от радиоелектронна разузнавателна информация. Както е обяснено в бележка под линия 5 от президентската изпълнителна директива 28 (ПИД-28), събирането на „масиви от данни“ се отнася по-скоро до придобиването на относително голям обем радиоелектронна разузнавателна информация или данни при обстоятелства, при които разузнавателните структури не могат да използват идентификатор, свързан с конкретния обект на разузнаване (като например негов електронен адрес или телефонен номер), за да концентрират събирането на данни. Това обаче не означава, че този вид събиране на данни е „масово“ или „неселективно“. ПИД-28 изисква „радиоелектронните разузнавателни дейности да бъдат възможно най-целенасочени“. В изпълнение на този мандат разузнавателните структури предприемат стъпки, за да гарантират, че дори когато не са в състояние да използват специфични идентификатори за целево събиране на информация, данните, които ще се събират, е вероятно да съдържат чужди разузнавателни сведения, които ще отговарят на изискванията, формулирани от създателите на политики на САЩ съгласно процеса, обяснен в предишното ми писмо, и така се свежда до минимум количеството на събираната нерелевантна информация.

Така например от разузнавателните структури може да бъде поискано да придобият радиоелектронна разузнавателна информация относно дейностите на терористична група, която действа в регион на държава от Близкия изток и за която се смята, че планира нападение срещу държави от Западна Европа, но те може да не разполагат с имената, телефонните номера, електронните адреси или други идентификатори на лицата, свързани с тази терористична група. Нашият избор за целенасочено събиране на данни за тази група би могъл да се изрази в събирането на данни за комуникациите от и към този регион за по-нататъшен преглед и анализ, за да се идентифицират онези комуникации, които се отнасят до групата. При такива действия разузнавателните структури се стремят да стеснят обхвата на събирането във възможно най-голяма степен. Този вид събиране се счита за събиране на масиви от данни, тъй като не е възможно използването на ограничителни параметри, но то не е нито масово, нито неселективно, а е по-скоро концентрирано възможно най-точно.

По този начин, дори когато не е възможно целенасочено събиране на данни чрез използването на избирателни критерии, Съединените щати не събират данни за всички комуникации от всички комуникационни съоръжения навсякъде по света, а прилагат филтри и други технически средства за съсредоточаване на събирането до онези съоръжения, за които има вероятност да съдържат комуникации със стойност за външното разузнаване. При тези действия радиоелектронните разузнавателни дейности на САЩ обхващат само много малка част от комуникациите, преминаващи по интернет.

Освен това, както е отбелязано в предишното ми писмо, тъй като събирането на масиви от данни води до повишен риск от събиране на нерелевантни комуникации, ПИД-28 ограничава целите, за които разузнавателните структури могат да използват събраните масиви от радиоелектронни разузнавателни данни, до шест конкретни цели. ПИД-28 и политиките на агенциите за изпълнение на ПИД-28 също така налагат ограничения по отношение на съхраняването и разпространението на лична информация, придобита чрез радиоелектронно разузнаване, независимо дали тази информация е събрана като част от събиране на масиви от данни или чрез целенасочено събиране и без оглед на гражданството на лицето.

По този начин събирането на масиви от данни от страна на разузнавателните структури не е нито масово, нито неселективно, а включва използването на методи и инструменти за филтриране на събирането, така че то да бъде концентрирано върху материал, който би могъл да отговаря на изискванията, формулирани от създателите на политики по отношение на външното разузнаване, като същевременно се свежда до минимум събирането на нерелевантна информация, и предвижда строги правила за защита на събраната нерелевантна информация. Политиките и процедурите, описани в настоящото писмо, се прилагат за всяко събиране на масиви от данни в радиоелектронното разузнаване, включително събиране на масиви от данни за комуникации към и от Европа, без това да представлява потвърждение или отричане на извършването на такова събиране.

От Ваша страна беше поискана допълнителна информация относно Надзорния съвет по въпросите на неприкосновеността на личния живот и гражданските свободи (PCLOB) и главните инспектори, както и относно техните правомощия. Надзорният съвет по въпросите на неприкосновеността на личния живот и гражданските свободи е независим орган в изпълнителната власт. В състава на този съвет влизат петима членове, представители и на двете партии, които се назначават от президента и се потвърждават от Сената (50). Всеки член е с мандат от шест години. Членовете и служителите на PCLOB разполагат с подходящи разрешения за достъп до класифицирана информация, за да могат да изпълняват в пълна степен своите законови задължения и отговорности (51).

Мисията на PCLOB е да гарантира, че се постига равновесие между усилията на федералното правителство за борба с тероризма и необходимостта от защита на неприкосновеността на личния живот и гражданските свободи. Надзорният съвет има две основни отговорности — да упражнява надзор и да предоставя съвети. Той сам определя своя дневен ред и дейностите по упражняване на надзор или предоставяне на съвети, които желае да осъществи.

В своята надзорна роля, PCLOB прави преглед и анализ на действията, които изпълнителната власт предприема за защита на нацията от тероризъм, като следи за това необходимостта от такива действия да бъде балансирана с необходимостта от защита на неприкосновеността на личния живот и гражданските свободи (52). Последният завършен преглед за надзор на PCLOB бе съсредоточен върху програмите за наблюдение по раздел 702 от Закона за надзор върху външното разузнаване (53). Понастоящем Надзорният съвет провежда преглед на разузнавателните дейности, извършвани съгласно Изпълнителен декрет 12333 (54).

В консултативната си роля PCLOB следи за това съображенията, свързани със свободата, да се разглеждат по подходящ начин при разработването и прилагането на законите, подзаконовите актове и политиките, свързани с усилията за защита на нацията от тероризъм (55).

За да изпълнява своята мисия, PCLOB има законоустановено право на достъп до всички архиви, доклади, одити, прегледи, документи, работни документи, препоръки и други подходящи материали на агенциите, в това число до класифицирана информация в съответствие със закона (56). Освен това Надзорният съвет може да провежда събеседвания, да снема показания или публично да изслушва като свидетел всяко длъжностно лице или служител на изпълнителната власт (57). Надзорният съвет може също така да отправя писмено искане до главния прокурор за издаването, от името на Надзорния съвет, на разпореждания, които задължават страни извън изпълнителната власт да предоставят съответната информация (58).

Накрая, по отношение на PCLOB има законоустановени изисквания за публична прозрачност. Те включват информиране на обществеността за дейностите на PCLOB чрез организиране на обществени изслушвания и предоставяне на обществеността на неговите доклади във възможно най-голяма степен, доколкото това е в съответствие със защитата на класифицираната информация (59). Освен това от PCLOB се изисква да докладва в случай че агенция на изпълнителната власт отказва да последва неговите съвети.

Главните инспектори в рамките на разузнавателните структури извършват одити, инспекции и прегледи на програмите и дейностите на тези структури, за да установят системни рискове, слабости и недостатъци и да предприемат действия за тяхното отстраняване. Главните инспектори разследват също така жалби или информация по твърдения за нарушения на законите и подзаконовите актове или за лошо управление, сериозно разхищение на средства, злоупотреба с власт, или съществена и специфична опасност за общественото здраве и безопасност в програми и дейности на разузнавателните структури. Независимостта на главните инспектори е изключително важен елемент за обективността и достоверността на всеки един от техните доклади, констатации и препоръки. Сред някои от най-важните компоненти за поддържане на независимостта на главните инспектори са процедурите за тяхното назначаване и освобождаване, отделните правомощия във връзка с оперативното управление, бюджета и персонала, и изискването за двойно докладване пред ръководителите на агенциите на изпълнителната власт и пред Конгреса.

Конгресът създаде независима служба на главния инспектор във всяка една от агенциите на изпълнителната власт, в това число във всяка от разузнавателните структури (60). С приемането на Закона за разрешаване на разузнавателни дейности за финансова година 2015 президентът назначи, а Сенатът потвърди назначаването на почти всички главни инспектори с надзорна функция в разузнавателна структура, включително в Министерството на правосъдието, Централното разузнавателно управление, Агенцията за национална сигурност и групата на разузнавателните структури (61). Освен това главните инспектори са постоянно назначени, независими служители, които могат да бъдат отстранени само от президента. Въпреки че в Конституцията на САЩ се изисква президентът да разполага с правомощието да отстранява главните инспектори, това правомощие е упражнявано рядко, като от президента се изисква, 30 дни преди да отстрани главен инспектор, да представи на Конгреса писмена обоснова за това (62). Тази процедура за назначаване на главните инспектори гарантира отсъствието на неправомерно влияние на служители на изпълнителната власт при подбора, назначаването или отстраняването на главните инспектори.

Второ, главните инспектори разполагат със значителни законоустановени правомощия да извършват одити, разследвания и прегледи на програмите и действията на изпълнителната власт. Освен разследванията и прегледите за надзор, изисквани по закон, главните инспектори имат свобода на действие да упражняват надзорните си правомощия, като правят прегледи на програми и действия по свой избор (63). При упражняването на това правомощие законът гарантира, че главните инспектори разполагат с независими ресурси, за да изпълняват своите задължения, включително с правомощието да наемат свои служители и да документират отделно бюджетните си искания към Конгреса (64). Законът гарантира, че главните инспектори разполагат с информацията, необходима за изпълнение на техните задължения. Това включва правомощието им да имат пряк достъп до цялата документация на агенцията и до подробна информация за нейните програми и операции, независимо от нивото на поверителност, правомощието да изискват информация и документи и да приемат клетвени декларации (65). В ограничен брой случаи ръководителят на агенция на изпълнителната власт може да забрани дейността на главния инспектор, например ако одит или разследване на главен инспектор може значително да засегне интересите на националната сигурност на САЩ. Упражняването на това правомощие обаче е изключително необичайно и изисква от ръководителя на агенцията да уведоми Конгреса в срок от 30 дни за причините за такова действие (66). На практика директорът на националното разузнаване никога не е използвал това правомощие за ограничение на дейностите на главните инспектори.

Трето, главните инспектори имат задължението да предоставят цялостна и редовна информация на ръководителите на агенциите от изпълнителната власт и Конгреса под формата на доклади относно измами и други сериозни проблеми, злоупотреби и пропуски, свързани с програмите и дейностите на изпълнителната власт (67). Това двойно докладване укрепва независимостта на главните инспектори, като осигурява прозрачност в техния процес за надзор и дава възможност на ръководителите на агенциите да приложат препоръките на главните инспектори преди Конгресът да приеме законодателно действие. Така например законът изисква от главните инспектори да представят шестмесечни доклади, в които се описват установените проблеми и приетите до момента корективни действия (68). Агенциите на изпълнителната власт подхождат сериозно към констатациите и препоръките на главните инспектори и често са в състояние да включат в тези и други доклади, представяни на Конгреса, а понякога и предоставяни на обществеността, своето съгласие с препоръките на главния инспектор и изпълнението на тези препоръки (69). В допълнение към тази двойна структура на докладва главните инспектори носят отговорност и да насочват служителите от изпълнителната власт, които подават сигнали за нарушения, към подходящите надзорни комисии в Конгреса, за да разкриват случаи на предполагаеми измами, разхищения или злоупотреби в рамките на програми или действия на изпълнителната власт. Самоличността на лицата, сигнализиращи за нередности, е защитена от разкриване пред изпълнителната власт, което ги предпазва от евентуални забранени кадрови действия или действия във връзка с разрешаването на достъп до класифицирана информация като репресивна мярка за това, че лицето е докладвало на главния инспектор (70). Тъй като често източник за разследванията на главните инспектори са именно лица, сигнализиращи за нередности, възможността да представят своите опасения пред Конгреса без влияние от страна на изпълнителната власт увеличава ефективността на надзора, упражняван от главните инспектори. Благодарение на тази независимост главните инспектори са в състояние да насърчават икономиите, ефективността и отчетността в агенциите на изпълнителната власт по обективен и етичен начин.

Накрая, Конгресът създаде Съвета на главните инспектори за етично поведение и ефикасност. Този съвет, наред с другото, разработва стандарти за одити, разследвания и прегледи, насърчава обучението и има правомощието да разглежда твърденията за неправомерни действия от страна на главните инспектори, като по този начин наблюдава дейността на главните инспектори, натоварени със задачата да наблюдават дейността на всички останали (71).

Надявам се тази информация да Ви бъде от полза.

---

(1)  Допълнителна информация относно външноразузнавателните дейности на САЩ е предоставена онлайн за обществен достъп на уебсайта на СДНР IC on the Record (www.icontherecord.tumblr.com), който е публичен и е предназначен да повишава обществената информираност за разузнавателните дейности на правителството.

(2)  На разположение на адрес: https://www.whitehouse.gov/the-press-office/2014/01/17/presidential-policy-directive-signals-intelligence-activities.

(3)  Правоприлагащите или регулаторните агенции могат да отправят искания за информация от дружества за целите на разследвания в Съединените щати по силата на други наказателноправни, гражданскоправни и регулаторни нормативни актове, които са извън обхвата на настоящия документ, който се ограничава само до тези за националната сигурност.

(4)  На разположение на адрес www.icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties#ppd-28. С тези процедури се прилага концепцията за целево и съобразено със случая събиране, която е разгледана в настоящото писмо, по специфичен начин за всяка отделна разузнавателна структура.

(5)  За да цитираме един пример, в процедурите на АНС за прилагане на ПИД-28 се посочва, че „когато е практически възможно, събирането става чрез използване на един или повече критерии за избор, за да бъде съсредоточено върху конкретни обекти на външното разузнаване (напр. конкретен и известен международен терорист или терористична група) или конкретни теми на външното разузнаване (напр. разпространение на оръжия за масово унищожение от чужда сила или нейни агенти).“

(6)  На адрес: http://www.dni.gov/files/documents/1017/PPD-28_Status_Report_Oct_2014.pdf.

(7)  На адрес: http://www.dni.gov/files/documents/ICD/ICD%20204%20National%20Intelligence%20Priorities%20Framework.pdf.

(8)  Директива за разузнавателните структури 203, на разположение на адрес: http://www.dni.gov/files/documents/ICD/ICD%20203%20Analytic%20Standards.pdf.

(9)  Вж. напр. доклада на главния инспектор на Министерството на правосъдието на САЩ „Преглед на дейността на Федералното бюро за разследвания съгласно раздел 702 от Закона за надзор върху външното разузнаване от 2008 г.“ (A Review of the Federal Bureau of Investigation's Activities Under Section 702 of the Foreign Intelligence Surveillance Act of 2008) от септември 2012 г., на разположение на адрес: https://oig.justice.gov/reports/2016/o1601a.pdf.

(10)  Вж. www.dni.gov/clpo.

(11)  50 U.S.C. § 1881a.

(12)  Също така в Съединените щати могат да бъдат издадени съдебни разпореждания съгласно други разпоредби на FISA за получаването на данни, включително лични данни, предавани съгласно Щита за личните данни. Вж. 50 U.S.C. § 1801 et seq. В дялове I и III от FISA, в които се разрешават съответно електронното наблюдение и физическото претърсване, се изисква съдебно разпореждане (освен при спешни обстоятелства) и винаги се изисква правдоподобна причина в уверение на това, че обектът на разузнаване е чужда сила или агент на чужда сила. В дял IV от FISA се разрешава използването на електронни устройства за регистриране и проследяване в разрешени външноразузнавателни дейности, контраразузнавателни дейности или разследвания за противодействие на тероризма, съгласно издадено съдебно разпореждане (освен при спешни обстоятелства). В дял V от FISA се разрешава на ФБР да получават търговски справки, отнасящи се за разрешени външноразузнавателни дейности, контраразузнавателни дейности или разследвания за противодействие на тероризма, съгласно издадено съдебно разпореждане (освен при спешни обстоятелства). Както ще бъде разгледано по-нататък, със Закона за свободата в САЩ (USA FREEDOM Act) конкретно се забранява използването на разпорежданията съгласно FISA за електронни устройства за регистриране или за търговски справки за целите на събиране на масиви от данни и се поставя изискване за „конкретен критерий за избор“, за да се гарантира, че тези правомощия се прилагат целенасочено.

(13)  Доклад относно програмата за наблюдение, функционираща съгласно раздел 702 от Закона за надзор върху външното разузнаване („Report on the Surveillance Program Operated Pursuant to Section 702 of the Foreign Intelligence Surveillance Act“) от 2 юли 2014 г., („доклад на PCLOB“).

(14)  Вж. Pub. L. № 110-261, 122 Stat. 2436 (2008).

(15)  Вж. 50 U.S.C. § 1881a(a) и (b).

(16)  Вж. пак там § 1801(e).

(17)  Вж. доклада на PCLOB, стр. 99.

(18)  Вж. 50 U.S.C. § 1881a(d) и (e).

(19)  Вж. доклада на PCLOB, стр. 111.

(20)  пак там

(21)  Пак там, стр. 8; 50 U.S.C. § 1881a(l); вж. също доклада на директора на Службата за гражданските свободи и неприкосновеността на личния живот към АНС: Изпълнение от страна на АНС на раздел 702 от Закона за надзор върху външното разузнаване (по-нататък наричан „доклад на АНС“) на стр. 4, на разположение на адрес: http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(22)  Директор на Националното разузнаване, Доклад за прозрачност за 2014, на разположение на адрес: http://icontherecord.tumblr.com/transparency/odni_transparencyreport_cy2014.

(23)  Процедурите за свеждане до минимум са на разположение на адрес: http://www.dni.gov/files/documents/ppd-28/2014%20NSA%20702%20Minimization%20Procedures.pdf („Процедури на АНС за свеждане до минимум“) (NSA Minimization Procedures); http://www.dni.gov/files/documents/ppd-28/2014%20FBI%20702%20Minimization%20Procedures.pdf; и http://www.dni.gov/files/documents/ppd-28/2014%20CIA%20702%20Minimization%20Procedures.pdf.

(24)  Вж.доклада на АНС на стр. 4.

(25)  Вж. например процедурите на АНС за свеждане до минимум, стр. 6.

(26)  Процедурите на разузнавателните агенции съгласно ПИД-28 са на разположение на адрес: http://icontherecord.tumblr.com/ppd-28/2015/privacy-civil-liberties.

(27)  Вж. процедурите на АНС за свеждане до минимум; раздел 4 от ПИД-28.

(28)  Вж. 50 U.S.C. § 1881(l); вж. също доклада на PCLOB на стр. 66—76.

(29)  Вж. Оценка за полугодието на въпросите във връзка със спазването на процедурите и насоките съгласно раздел 702 от Закона за надзор върху външното разузнаване, изготвена от Министъра на правосъдието и директора на Националното разузнаване, стр. 2—3, на разположение на адрес: http://www.dni.gov/files/documents/Semiannual%20Assessment%20of%20Compliance%20with%20procedures%20and%20guidelines%20issued%20pursuant%20to%20Sect%20702%20of%20FISA.pdf.

(30)  Правило 13 от процедурния правилник на Съда за надзор върху външното разузнаване, на разположение на адрес: http://www.fisc.uscourts.gov/sites/default/files/FISC%20Rules%20of%20Procedure.pdf.

(31)  29 юли 2013 г., Писмо от уважаемия Reggie B. Walton до уважаемия Patrick J. Leahy, на разположение на адрес: http://fas.org/irp/news/2013/07/fisc-leahy.pdf.

(32)  Вж. раздел 401 от Закона за свободата в САЩ, P.L. 114-23.

(33)  Вж. 50 U.S.C. § 1881f.

(34)  Вж. пак там § 1881a(l)(1).

(35)  Вж. пак там § 1881a(l)(3). Някои от тези доклади са класифицирана информация.

(36)  Запис на решението и разпореждането, стр. 26 (FISC 2014 г.), на разположение на адрес: http://www.dni.gov/files/documents/0928/FISC%20Memorandum%20Opinion%20and%20Order%2026%20August%202014.pdf.

(37)  Вж. Закон за свободата в САЩ от 2015 г., Pub. L. № 114-23, § 401, 129 Stat. 268.

(38)  Вж. пак там §§ 103, 201, 501. Писмата във връзка с националната сигурност са уредени в различни закони и позволяват на ФБР да събира информация, съдържаща се в справки за кредити, финансови справки и електронни регистри на абонати и на трансакции от определен вид дружества, единствено за защита срещу международния тероризъм или секретни разузнавателни дейности. Вж. 12 U.S.C. § 3414; 15 U.S.C. §§ 1681u-1681v; 18 U.S.C. § 2709. Писмата във връзка с националната сигурност обикновено се използват от ФБР за събиране на важна информация, която не се отнася за съдържание, на ранен етап от разследвания в сферата на противодействието на тероризма и контраразузнаването, например самоличност на абонат на профил, който може да е бил във връзка с членове на терористична група, като Даеш. Получателите на писма във връзка с националната сигурност имат право да ги обжалват в съда. Вж. 18 U.S.C. § 3511;

(39)  Вж. пак там,.

(40)  Вж. пак там § 401.

(41)  Вж. пак там § 602.

(42)  Вж. пак там.

(43)  Вж. пак там § 603.

(44)  Вж. пак там §§ 502(f)–503.

(45)  На разположение на адрес: http://www.dni.gov/index.php/intelligence-community/intelligence-transparency-principles.

(46)  На разположение на адрес: http://www.dni.gov/files/documents/Newsroom/Reports%20and%20Pubs/Principles%20of%20Intelligence%20Transparency%20Implementation%20Plan.pdf.

(47)  Вж. пак там.

(48)  На разположение на адрес: https://www.nsa.gov/civil_liberties/_files/nsa_report_on_section_702_program.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf; https://www.nsa.gov/civil_liberties/_files/UFA_Civil_Liberties_and_Privacy_Report.pdf.

(49)  Вж. напр. дело New York Times с/у Министерството на правосъдието, 756 F.3d 100 (2d Cir. 2014); Aмерикански съюз за граждански свободи с/у ЦРУ, 710 F.3d 422 (D.C. Cir. 2014).

(50)  42 U.S.C. 2000ee(a), (h).

(51)  42 U.S.C. 2000ee(k).

(52)  42 U.S.C. 2000ee(d)(2).

(53)  Вж. https://www.pclob.gov/library.html#oversightreports.

(54)  Вж. https://www.pclob.gov/events/2015/may13.html.

(55)  42 U.S.C. 2000ee(d)(1); вж. също Политика и процедура при консултативната роля на PCLOB, Политика 2015-004, на адрес https://www.pclob.gov/library/Policy-Advisory_Function_Policy_Procedure.pdf.

(56)  42 U.S.C. 2000ee(g)(1)(A).

(57)  42 U.S.C. 2000ee(g)(1)(B).

(58)  42 U.S.C. 2000ee(g)(1)(D).

(59)  42 U.S.C. 2000eee(f).

(60)  Раздели 2 и 4 от Закона за главния инспектор от 1978 г., с измененията (по-нататък „Законът за ГИ“); раздел 103H(b) и (e) от Закона за националната сигурност от 1947 г., с измененията (по-нататък „Законът за НС“); раздел 17(а) от Закона за Централното разузнавателно управление (по-нататък „Законът за ЦРУ“).

(61)  Вж. Pub. L. № 113-293, 128 Stat. 3990, (Dec. 19, 2014). Единствено главните инспектори на Агенцията за военно разузнаване и на Националната агенция за геокосмическо разузнаване не се назначават от президента, но главните инспектори на Министерството на отбраната и на Разузнавателната общност имат паралелна компетентност над тези агенции.

(62)  Раздел 3 от Закона за ГИ от 1978 г., с измененията; раздел 103H(c) от Закона за НС; раздел 17(b) от Закона за ЦРУ.

(63)  Вж. раздели 4(a) и 6(a)(2) от Закона за ГИ от 1947 г.; раздел 103H(e) и (g)(2)(A) от Закона за НС; раздел 17(a) и (c) от Закона за ЦРУ.

(64)  Раздели 3(d), 6(a)(7) и 6(f) от Закона за ГИ; раздели 103H(d), (i), (j) и (m) от Закона за НС; раздели 17(e)(7) и (f) от Закона за ЦРУ.

(65)  Раздели 6(a)(1), (3), (4), (5), и (6) Закона за ГИ; раздели 103H(g)(2) от Закона за НС; раздели 17(e)(1), (2), (4), и (5) от Закона за ЦРУ.

(66)  Вж. например раздели 8(b) и 8E(a) от Закона за ГИ; раздел 103H(f) от Закона за НС; раздел 17(b) от Закона за ЦРУ.

(67)  Раздел 4(a)(5) от Закона за ГИ; раздел 103H(a)(b)(3) и (4) от Закона за НС; раздел 17(a)(2) и (4)от Закона за ЦРУ.

(68)  Раздел 2(3), 4(a), и 5 от Закона за ГИ; раздел 103H(k) от Закона за НС; раздел 17(d) от Закона за ЦРУ. Главният инспектор на Министерството на правосъдието публикува своите доклади, които са достъпни за обществеността, на следния адрес: http://oig.justice.gov/reports/all.htm. По същия начин главният инспектор на Разузнавателната общност публикува своите шестмесечни доклади на адрес: https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(69)  Раздел 2(3), 4(a) и 5 от Закона за ГИ; раздел 103H(k) от Закона за НС; раздел 17(d) от Закона за ЦРУ. Главният инспектор на Министерството на правосъдието публикува своите доклади, които са достъпни за обществеността, на следния адрес: http://oig.justice.gov/reports/all.htm. По същия начин главният инспектор на Разузнавателната общност публикува своите шестмесечни доклади на адрес: https://www.dni.gov/index.php/intelligence-community/ic-policies-reports/records-requested-under-foia#icig.

(70)  Раздел 7 от Закона за ГИ; раздел 103H(g)(3) от Закона за НС; раздел 17(e)(3) от Закона за ЦРУ.

(71)  Раздел 11 от Закона за ГИ.

ПРИЛОЖЕНИЕ VII

19 февруари 2016 г.

Г-н Justin S. Antonipillai

Съветник

Министерство на търговията на САЩ

1401 Constitution Ave., NW

Вашингтон, DC 20230

Г-н Ted Dean

Заместник помощник-секретар

Администрация по международната търговия

1401 Constitution Ave., NW

Вашингтон, DC 20230

Уважаеми г-н Antonipillai и г-н Dean,

В настоящото писмо е направен кратък преглед на основните средства за разследване, използвани за получаването на търговска информация и други справочни данни от дружествата в Съединените щати за целите на правоприлагането в наказателната сфера или в сферата на обществените интереси (гражданскоправната и регулаторната сфера), включително ограниченията за достъпа, определени в тези законови разпоредби (1). Този процес на призоваване е недискриминационен, тъй като се прилага за получаване на информация от дружествата в Съединените щати, включително такива, които ще се самосертифицират съгласно рамката на Щита за личните данни в отношенията между ЕС и САЩ, независимо от гражданството на субекта на данните. Освен това дружествата, които са призовани по този начин в Съединените щати, могат да обжалват това в съда, както ще бъде разгледано по-нататък (2).

От специално значение за изземването на информация от страна на публичните органи е четвъртата поправка в Конституцията на Съединените щати, в която се предвижда, че „правото на хората на лична сигурност, сигурност на дома, документите и действията им, срещу извършване на неоснователни обиски и изземвания, не трябва да бъде нарушавано и не трябва да бъдат издавани заповеди за такива действия, освен когато е налице правдоподобна причина и издаването става под клетва или с официална декларация, с точно описание на мястото на обиска и лицата или вещите, които подлежат на изземване“, Конституция на САЩ, IVта поправка. Както постанови Върховният съд на Съединените щати по делото Berger с/у щата Ню Йорк, „основната цел на тази поправка, както това се признава в множество решения на този съд, е да бъдат защитени неприкосновеността на личния живот и сигурността на физическите лица срещу произволни посегателства на длъжностни лица на правителството“. 388 U.S. 41, 53 (1967) (цитирано в Camara с/у Районен съд на Сан Франциско, 387 U.S. 523, 528 (1967 г.)) За националните наказателни разследвания в четвъртата поправка се поставя общо изискване към длъжностните лица в правоприлагането да получат заповед по съдебно разпореждане преди да извършат обиск. Вж. Katz с/у Съединените щати, 389 U.S. 347, 357 (1967 г.). Когато това изискване за заповед не се прилага, за действията на правителството се прилага тест за „основателност“ съгласно четвъртата поправка. Следователно в самата Конституция е гарантирано, че правителството на САЩ няма неограничени или произволни права да изземва частна информация.

Правомощия в наказателното правоприлагане:

Федералните прокурори, които са служители на Министерството на правосъдието (МП), и федералните следователи, включително във Федералното бюро за разследвания (ФБР), което е правоприлагаща агенция в рамките на МП, могат да задължат дружества в Съединените щати да им предоставят документи и друга регистрирана информация за целите на наказателни разследвания чрез няколко вида процеси за задължително призоваване, включително призовки на „голямото жури“, административни разпореждания и заповеди за обиск, и могат да придобиват друг вид съобщителна информация съгласно правомощията си за подслушване и използване на устройства за регистриране за целите на федерални наказателни разследвания.

Призовки на „голямото жури“ или по конкретен съдебен процес: Призовките в наказателното правосъдие се използват за оказване на съдействие по конкретни разследвания в правоприлагането. Призовката на „голямото жури“ е официално искане, издадено от „голямото жури“ (обикновено по искане на федерален прокурор) за съдействие по разследване на „голямото жури“ по конкретно предполагаемо нарушение на наказателното право. „Голямото жури“ е разследващо поделение на съда, което се конституира от съдия или магистрат. С призовката може да се изиска от дадено лице да даде свидетелски показания по съдебен процес или да извлече или предостави на разположение търговска информация, данни, съхранени по електронен път, или други материали. Информацията трябва да е релевантна за целите на разследването и призовката не може да е неоснователна поради прекалено широко формулиране, или с репресивен или обременяващ характер. Получателят може да подаде предложение за оспорване в съда на призовка на тези основания. Вж. Федерален регистър наказ. дела 17. В ограничени случаи могат да бъдат издавани призовки за документи по конкретен процес, след като делото бъде указано от „голямото жури“.

Правомощия за административни разпореждания: Правомощията за издаване на административни разпореждания могат да бъдат упражнявани в наказателноправни или гражданскоправни разследвания. В контекста на наказателното правоприлагане няколко федерални закона дават правомощия за използването на административни разпореждания за извличане или предоставяне на разположение на търговска информация, данни, съхранявани в електронна форма, или други материали по разследвания за измами в здравеопазването, малтретиране на деца, защита на тайните служби, по дела за контролирани вещества и в разследвания на главни инспектори, в които са въвлечени правителствени институции. Ако правителството предприеме принудително изпълнение в съда на административно разпореждане, получателят на това разпореждане, както и получателят на призовка на „голямото жури“, може да оспори неговата основателност поради прекалено широко формулиране, или репресивен или обременяващ характер.

Съдебни разпореждания за устройства за регистриране или проследяване: Съгласно разпоредбите за устройствата за регистриране или проследяване в наказателни разследвания, правоприлагащите органи могат да получат съдебно разпореждане за придобиване в реално време на информация, която не се отнася за съдържание, във връзка с избиране, направление, адресиране и радиоелектронна информация относно даден телефонен номер или електронна поща, след като удостоверят, че предоставената информация е релевантна за провеждащо се наказателно разследване. Вж. 18 U.S.C. §§ 3121-3127. Неправомерното използване или монтиране на такива устройства е престъпление по федералните закони.

Закон за неприкосновеност на електронните съобщения (Еlectronic Communications Privacy Act) (ECPA) : Достъпът на правителството до информация за абонати, данни за трафика и съхранено съдържание на разговори и съобщения, с които разполагат телефонните дружества — доставчици на интернет услуги, и други доставчици, в качеството им на трети страни, се урежда от допълнителни правила съгласно дял II от ECPA, който се нарича също Закон за съхраняваните съобщения (Stored Communications Act — SCA), 18 U.S.C. §§ 2701–2712. С този закон се определя система от законоустановени права на неприкосновеност на личния живот, с което се ограничава достъпът за целите на правоприлагането до данни за клиенти и абонати на доставчици на интернет услуги, който надхвърля изискванията съгласно конституционното право. Със SCA се предвижда повишаване на нивото на защита на неприкосновеността на личния живот, в зависимост от степента на намеса при събирането на информацията. За целите на наказателното правоприлагане органите са задължени да получат разпореждане, за да се сдобият с информация за регистрация на потребители, IP адреси и съответните удостоверения за време, както и информация за разплащането. За повечето други видове съхранена информация, която не се отнася за съдържание, като например заглавен ред на електронни съобщения, без реда „Относно“, правораздавателните органи задължително трябва да представят пред съдия конкретни факти в доказателство, че исканата информация е релевантна и се отнася по същество за провеждащо се наказателно разследване. За да се сдобият със съхраненото съдържание на електронни съобщения, обикновено органите в наказателното правоприлагане получават разпореждане от съдия на основание правдоподобна причина, поради която се счита, че въпросният профил съдържа доказателства за извършено престъпление. В SCA се предвиждат също така и гражданскоправни и наказателни санкции.

Съдебни разпореждания за наблюдение съгласно федералния закон за подслушванията : В допълнение към това правоприлагащите органи могат да подслушват в реално време кабелни, устни или електронни съобщения за целите на наказателни разследвания съгласно федералния закон за подслушванията. Вж. 18 U.S.C. §§ 2510-2522. Това право се дава само със съдебно разпореждане, в което наред с останалото се съдържат констатации на съдия, че е налице правдоподобна причина да се счита, че подслушването или прихващането по електронен път ще дадат доказателства за престъпление срещу федералните закони или информация за местонахождението на лице, укриващо се с цел избягване на наказателна отговорност. Законът предвижда гражданскоправни и наказателни санкции за нарушения на разпоредбите за подслушване.

Заповед за обиск — правило 41: Правоприлагащите органи могат да извършват физическо претърсване на помещения в Съединените щати, когато им е дадено разрешение за това от съдия. Те трябва да докажат пред съдията въз основа на явна „правдоподобна причина“, че е било извършено или предстои да бъде извършено престъпление и че има вероятност на мястото, посочено в заповедта, да бъдат намерени вещи, свързани с престъплението. Това правомощие често се използва, когато е необходимо да се извърши физическо претърсване на помещения от полицията, поради опасност от унищожаване на доказателствата, ако на дружеството бъде връчена призовка или друго процесуално разпореждане. Вж. Конституция на САЩ, IVта поправка. (разгледано по-подробно по-горе), Федерален регистър на наказ. дела 41. Субект, по отношение на който е издадена заповед за претърсване, може да предприеме действия за отмяната ѝ на основание, че е прекалено широко формулирана, злонамерена или по друг начин е получена неправомерно, и засегнатите страни, които разполагат с аргументи, могат да предприемат действия за спиране разглеждането на доказателства, получени чрез неправомерен обиск. Вж. дело Mapp с/у Охайо, 367 U.S. 643 (1961 г.).

Насоки и политики на Министерството на правосъдието: В допълнение към тези базирани на Конституцията, законите и правилата ограничения за достъпа от страна на правителството до данни, Министърът на правосъдието издаде насоки, с които се определят допълнителни ограничения за достъпа до данни за целите на правоприлагането и в които се съдържат също и защити за неприкосновеността на личния живот и гражданските свободи. Например в насоките на Министъра на правосъдието за национални оперативни дейности на Федералното бюро за разследвания (ФБР) от септември 2008 г. (наричани по-нататък „насоки за ФБР от МП“), които са на разположение на адрес: http://www.justice.gov/archive/opa/docs/guidelines.pdf, се определят ограничения за използването на разузнавателни средства за набиране на информация във връзка с разследвания по престъпления срещу федералните закони. В тези насоки се поставя изискване към ФБР да използва методи на разследване, които са с най-ниската практически възможна степен на вмешателство, отчитайки последствията за неприкосновеността на личния живот и гражданските свободи и евентуалното накърняване на доброто име. Освен това в тях се отбелязва, че „е задължително ФБР да провежда разследванията и другите си дейности по законосъобразен и разумен начин, при уважаване на свободата и неприкосновеността на личния живот и избягване на ненужно вмешателство в живота на лица, които спазват законите“. Вж. насоките за ФБР от МП на стр. 5. ФБР е привело в изпълнение тези насоки чрез Ръководство за национални оперативни дейности и разследвания на ФБР (FBI Domestic Investigations and Operations Guide (DIOG)), което е на разположение на адрес: https://vault.fbi.gov/FBI%20Domestic%20Investigations%20and%20Operations%20Guide%20(DIOG), един изчерпателен наръчник, в който са включени подробно разгледани ограничения за използването на средства за разследване и насоки за гарантиране защитата на гражданските свободи и неприкосновеността на личния живот във всяко разследване. Допълнителни правила и политики, с които се предвиждат ограничения за разследващите дейности на федералните прокурори, са определени в Наръчника на прокурорите в Съединените щати, (United States Attorneys' Manual (USAM)), който също е на разположение онлайн на адрес: http://www.justice.gov/usam/united-states-attorneys-manual.

Гражданскоправни и регулаторни правомощия (обществен интерес):

Съществуват и значителни ограничения за достъпа до данни, с които разполагат дружествата в САЩ, за целите на гражданскоправното и регулаторното правоприлагане (т.е. правоприлагане в обществен интерес). Институциите, които имат гражданскоправни и регулаторни отговорности, могат да издават разпореждания за дружествата във връзка с търговска информация, данни, съхранени в електронна форма, или други материали. Тези институции са ограничени при упражняването на правомощията им за издаване на административни или гражданскоправни разпореждания, не само съгласно законите, с които се урежда статутът им, но и чрез независимия съдебен контрол на разпорежданията преди евентуалното принудително изпълнение по съдебен ред. Вж. напр. Федерален регистър гражд. дела 45. Институциите могат да искат достъп само до данни, които са релевантни за въпросите в обхвата на техните регулаторни правомощия. Освен това получател на административно разпореждане може да оспори изпълнението му в съда, като представи доказателства, че институцията не е действала съобразно с основните изисквания за основателност, както това беше разгледано по-горе.

Съществуват и други правни основания за оспорване от страна на дружествата на искания за информация от административни институции, според конкретната стопанска дейност и вида на данните, с които разполагат. Например финансовите институции могат да оспорят административни разпореждания, с които се изисква конкретен вид информация в нарушение на Закона за банковата тайна (Bank Secrecy Act) и подзаконовите разпоредби за прилагането му. Вж. 31 U.S.C. § 5318, 31 C.F.R. част X. Други стопански субекти могат да се основат на Закона за оповестяване на информация за кредити (Fair Credit Reporting Act), вж. 15 U.S.C. § 1681b, или множество други закони, специфични за конкретния сектор. Злоупотребата с правото за издаване на разпореждане от страна на дадена институция може да доведе до подвеждане под отговорност на институцията или на нейни служители за причинени вреди. Вж. напр. Закона за правото на неприкосновеност на личните финанси (Right to Financial Privacy Act), 12 U.S.C. §§ 3401–3422. По този начин съдилищата в Съединените щати са в ролята на защитник срещу неправомерни регулаторни искания и осигуряват независим надзор на действията на федералните институции.

И накрая, всяко законоустановено правомощие на административните органи да извършват „физически“ изземване на информация от дружество в Съединените щати по силата на административно разпореждане за обиск трябва да е съобразено с изискванията в четвъртата поправка. Вж. дело See с/у град Сиатъл, 387 U.S. 541 (1967 г.).

Заключение

Всички правоприлагащи и регулаторни дейности в Съединените щати трябва да са съобразени с приложимото законодателство, включително с Конституцията на САЩ, законите, подзаконовите разпоредби и правилата. Тези дейности трябва да са съобразени също и с приложимите политики, включително с насоките на Министъра на правосъдието, от които се ръководят дейностите във федералното правоприлагане. Разгледаната по-горе правна уредба ограничава възможността за правоприлагащите и регулаторните органи на САЩ да получават информация от дружества в Съединените щати, независимо дали тя се отнася за граждани на САЩ или на други държави, и в допълнение към това позволява да се осъществява съдебен контрол на всяко искане за данни от страна на правителството съгласно тези правомощия.

---

(1)  В този преглед не се разглеждат инструментите за разследвания в националната сигурност, които се използват при правоприлагането в областта на тероризма и други разследвания в националната сигурност, включително писмата във връзка с националната сигурност (ПНС) за някои видове справочна информация в справки за кредити, финансова информация и електронни регистри за абонати и трансакции, вж. 12 U.S.C. § 3414; 15 U.S.C. § 1681u; 15 U.S.C. § 1681v; 18 U.S.C. § 2709, и за електронно наблюдение, заповеди за обиск, търговски регистри и друг вид събиране на съобщителна информация съгласно Закона за надзор върху външното разузнаване, вж. 50 U.S.C. § 1801 et seq.

(2)  Настоящият документ се отнася за федералното правоприлагане и федералните регулаторни режими; нарушения на щатското право се разследват от щатите и делата по тях се водят в щатските съдилища. Щатските правоприлагащи органи използват заповеди и призовки, издадени съгласно щатското право, което по същество се извършва по същия ред, както това е разгледано в настоящия документ, но е възможно за процеса на призоваване в щатите да се прилагат защити, предвидени в щатските конституции, които са с по-висока степен от предвидените в Конституцията на САЩ. Защитите съгласно щатското право трябва да са най-малкото равни по степен на предвидените в Конституцията на САЩ, включително, но не само в четвъртата поправка.