1.8.2016   

BG

Официален вестник на Европейския съюз

L 207/1

(1)

В Директива 95/46/ЕО се определят правилата за предаването на лични данни от държавите членки към трети държави, доколкото това предаване попада в приложното поле на директивата.

(2)

С член 1 от Директива 95/46/ЕО и съображения 2 и 10 от нейния преамбюл се цели да се осигури не само ефективна и пълна защита на основните права и свободи на физическите лица, по-специално на основното право на зачитане на личния живот при обработването на лични данни, но и висока степен на защита на тези основни права и свободи (3).

(3)

Значимостта на основното право на зачитане на личния живот, гарантирано от член 7 от Хартата на основните права на Европейския съюз, както и значимостта на основното право на защита на личните данни, гарантирано от член 8 от същия документ, се подчертава в практиката на Съда (4).

(4)

Съгласно член 25, параграф 1 от Директива 95/46/ЕО от държавите членки се изисква да следят предаването на лични данни към трета държава да се осъществява само ако съответната трета държава гарантира адекватно ниво на защита и ако законите на държавата членка, с които се привеждат в изпълнение други разпоредби от директивата, са спазени преди предаването. Комисията може да установи, че дадена трета държава гарантира такова адекватно ниво на защита чрез националното си законодателство или международните ангажименти, които е поела с цел защита на правата на физическите лица. В такъв случай и без да се засяга спазването на националните разпоредби, приети в съответствие с други разпоредби от директивата, личните данни могат да бъдат предавани от държавите членки, без да са необходими допълнителни гаранции.

(5)

Съгласно член 25, параграф 2 от Директива 95/46/ЕО нивото на защита на данните, осигурявано от трета държава, следва да се преценява като се вземат под внимание всички обстоятелства, свързани с операцията по предаването на данни или с набора от операции по предаване на данни, включително общите и секторните законови разпоредби, които са в сила във въпросната трета държава.

(6)

В Решение 520/2000/ЕО на Комисията (5) беше прието, че по смисъла на член 25, параграф 2 от Директива 95/46/ЕО принципите за „сфера на неприкосновеност на личния живот“, прилагани в съответствие с насоките, предоставени с т.нар. „често задавани въпроси“, публикувани от Министерството на търговията на САЩ, осигуряват адекватно ниво на защита на личните данни, предавани от Съюза към организации, установени в Съединените американски щати.

(7)

В своите съобщения COM(2013) 846 final (6) и COM(2013) 847 final от 27 ноември 2013 г. (7) Комисията счете, че основите на схемата за сфера на неприкосновеност на личния живот трябва да бъдат преразгледани и укрепени в контекста на редица фактори, сред които са значителното увеличаване на потоците от данни и изключителното значение на тези потоци за трансатлантическата икономика, бързото нарастване на броя на дружествата в САЩ, които се присъединяват към схемата за сфера на неприкосновеност на личния живот, и новата информация за мащабите и обхвата на някои разузнавателни програми на САЩ, която повдигна въпроси относно нивото на защита, което може да се гарантира. Наред с това, Комисията установи някои недостатъци и пропуски в схемата за сферата на неприкосновеност на личния живот.

(8)

На основата на данните, събрани от Комисията, включително информация, получена в резултат от работата на Контактната група ЕС—САЩ по въпросите на защитата на личния живот (8), и информацията относно разузнавателните програми на САЩ, получена в Работната група ad hoc ЕС—САЩ (9), Комисията формулира 13 препоръки за преразглеждане на схемата за сфера на неприкосновеност на личния живот. Тези препоръки са съсредоточени върху укрепване на основните принципи за защита на личния живот, повишаване на прозрачността на политиките за неприкосновеност на личния живот, възприети от самосертифицираните дружества в САЩ, подобряване на осъществявания от органите на САЩ надзор и мониторинг за спазването на тези принципи и на налагането на тяхното спазване, наличието на механизми за разрешаване на спорове на достъпна цена и необходимостта да се гарантира, че изключението, свързано с националната сигурност, предвидено в Решение 2000/520/ЕО, ще бъде използвано само доколкото това е строго необходимо и пропорционално.

(9)

В решението си от 6 октомври 2015 г. по дело C-362/14, Maximillian Schrems с/у Data Protection Commissioner  (10), Съдът на Европейския съюз обяви Решение 2000/520/ЕО за невалидно. Без да анализира съдържанието на принципите за сфера на неприкосновеност на личния живот, Съдът счете, че в посоченото решение Комисията не е отбелязала, че Съединените американски щати ефективно „гарантират“ достатъчна степен на защита по силата на националното си законодателство или на международните си ангажименти (11).

(10)

В тази връзка Съдът поясни, че въпреки че съдържащият се в член 25, параграф 6 от Директива 95/46/ЕО термин „достатъчна степен на защита“ не означава степен на защита, която е идентична на гарантираната в правния ред на ЕС, той трябва да се разбира в смисъл, че от третата държава се изисква да гарантира степен на защита на основните права и свободи, която „по същество е равностойна“ на гарантираната в Съюза по силата на Директива 95/46/ЕО, разглеждана във връзка с Хартата на основните права. Макар да е възможно средствата, до които третата държава прибягва в тази връзка, да са различни от прилаганите вътре в Съюза, все пак е необходимо на практика тези средства да се окажат ефективни (12).

(11)

Съдът отправи критика относно липсата на достатъчно констатации в Решение 520/2000/ЕО относно наличието в Съединените американски щати на приети федерални правила за ограничаване на евентуалната намеса, засягаща основните права на лицата, чиито данни се прехвърлят от Съюза към САЩ, която намеса държавните структури на тази страна имат право да извършват, ако преследват законосъобразни цели, като например осигуряването на националната сигурност; той отправи също така критика относно липсата на достатъчно констатации относно наличието на ефективна правна защита срещу този вид намеса (13).

(12)

През 2014 г. Комисията започна разговори с органите на САЩ с цел да бъде обсъдено укрепването на схемата за сферата на неприкосновеност на личния живот в съответствие с 13-те препоръки, съдържащи се в Съобщение COM(2013) 847 final. След постановяване на решението на Съда на Европейския съюз по делото Schrems тези преговори станаха по-интензивни, с цел да бъде намерено ново решение за адекватността, което да изпълнява изискванията на член 25 от Директива 95/46/ЕО според тълкуванието, дадено от Съда. Резултат от тези дискусии са документите, които са включени като приложения към настоящото решение и също така ще бъдат публикувани във Федералния регистър на САЩ. Принципите на неприкосновеност на личния живот (приложение II), заедно с официалните писмени изявления и поети ангажименти на различни органи на САЩ, съдържащи се в документите в приложение I и приложения III до VII, съставляват Щита за личните данни в отношенията между ЕС и САЩ.

(13)

Комисията направи внимателен анализ на американското законодателство и практиката на американските власти, включително на посочените официални писмени изявления и ангажименти. Въз основа на констатациите, развити в съображения 136—140, Комисията стигна до заключението, че Съединените американски щати гарантират адекватна степен на защита на личните данни, които се предават съгласно Щита за личните данни в отношенията между ЕС и САЩ от Съюза към самосертифицирани организации в САЩ.

(14)

Щитът за личните данни в отношенията между ЕС и САЩ се базира на система за самосертифициране, чрез която организациите в САЩ се ангажират да спазват един набор от принципи за неприкосновеност на личния живот — рамковите принципи на Щита за личните данни в отношенията между ЕС и САЩ, включително допълнителните принципи (наричани по-долу общо „Принципите“), — публикувани от Министерството на търговията на САЩ и посочени в приложение II към настоящото решение. Той се прилага за администраторите, както и за обработващите данни (представители), с особеността, че обработващите лични данни трябва да бъдат договорно обвързани да извършват действия само въз основа на указания от администратора от ЕС и да го подпомагат в изготвянето на отговори на лицата, упражняващи своите права по силата на Принципите (14).

(15)

Без да се засяга спазването на националните разпоредби, приети съгласно Директива 95/46/ЕО, настоящото решение води до това, че са позволени предаванията от страна на администратор или на обработващ данни в Съюза към организации в САЩ, които са се самосертифицирали, че спазват Принципите пред Министерството на търговия и са поели ангажимент да се съобразяват с тях. Принципите се прилагат единствено за обработката на лични данни от организацията в САЩ, доколкото обработването от тези организации не попада в приложното поле на законодателството на Съюза (15). Щитът за личните данни не засяга прилагането на законодателството на ЕС, уреждащо обработването на лични данни в държавите членки (16).

(16)

Защитата на личните данни, осигурявана от Щита на личните данни, се прилага за всеки субект на данни от ЕС (17), чиито лични данни се предават от Съюза на организации в САЩ, които са се самосертифицирали, че спазват Принципите пред Министерството на търговия

(17)

Принципите се прилагат незабавно след сертифицирането. Едно изключение е свързано с принципа на отчетност за последващо предаване в случаите, в които организация, самосертифицираща се към Щита за личните данни, вече има предварително съществуващи търговски отношения с трети страни. Като се има предвид, че може да е необходимо време, за да се приведат тези търговски отношения в съответствие с приложимите правила съгласно Принципа на отчетност за последващо предаване, организацията ще бъде задължена да направи това във възможно най-кратък срок и във всеки случай не по-късно от девет месеца след самосертифицирането (при условие че то се осъществи в първите два месеца след деня, в който влиза в сила Щита за личните данни). По време на този преходен период организацията трябва да прилага принципа на уведомяването и на избора (като по този начин на субекта на данни се дава възможност за неучастие „opt out“), а в случаите, когато лични данни се предават на трета страна, изпълняваща функциите на представител, трябва да се гарантира, че последният осигурява поне същото ниво на защита, каквото се изисква от Принципите (18). Този преходен период осигурява разумен и подходящ баланс между зачитането на основното право на защита на данните и законната необходимост на предприятията да разполагат с достатъчно време, за да се приспособят към новата рамка, в която са зависими и от търговските си отношения с трети страни.

(18)

Управлението и мониторингът на тази система ще се осъществяват от Министерството на търговията въз основа на ангажиментите, посочени в писмените изявления на министъра на търговията на САЩ (приложение I към настоящото решение). По отношение на принудителното изпълнение на Принципите на неприкосновеност на личния живот, Федералната търговска комисия (ФТК) и Министерството на транспорта са направили писмени изявления, включени съответно в приложения IV и V към настоящото решение.

(19)

Като част от самосертифицирането им съгласно Щита за личните данни в отношенията между ЕС и САЩ, организациите трябва да се ангажират да спазват Принципите на неприкосновеност на личния живот (19).

(20)

Съгласно принципа „Уведомяване“ организациите са задължени да предоставят информация на субектите на данните относно редица ключови елементи във връзка с обработването на техните лични данни (напр. вида на събираните данни, целта на обработването, правата на достъп и избор, условията за последващо предаване и отговорност за причинени вреди). Прилагат се и допълнителни защитни мерки, по-специално изискването организациите да оповестяват публично своите политики в областта на неприкосновеността на личния живот (отразяващи Принципите) и да предоставят електронни препратки към уебсайта на Министерството на търговията (с допълнителна информация относно самосертифицирането, правата на субектите на данните и наличните механизми за защита), списъка към Щита за личните данни (разгледан в съображение 30) и към уебсайта на подходяща организация за алтернативно разрешаване на спорове.

(21)

Съгласно принципа „Пълнота на данните и ограничаване в рамките на целта“ личните данни трябва да бъдат ограничени до необходимото за целите, за които се обработват, да са надеждни за предвиденото им използване, точни, пълни и актуални. Никоя организация не може да обработва лични данни по начин несъвместим с целите, за които те са били събрани първоначално или за които по-късно е получено разрешение от субекта на данните. Организациите трябва да се гарантира, че личните данни са надеждни за предвиденото им използване, точни, пълни и актуални.

(22)

Когато нова (променена) цел се различава съществено от — но е все още съвместима със — първоначалната цел, принципът „Избор“ предоставя на субектите на данни правото на възражение (клауза за неучастие „opt out“). Принципът „Избор“ не замества изричната забрана за несъвместимо обработване (20). Специалните правила, които по принцип дават възможност за неучастие „по всяко време“ от използването на личните данни, се прилагат за целите на прекия маркетинг (21). Когато става дума за чувствителни данни, организациите трябва по принцип да получат утвърдителното изрично съгласие („opt in“) на субекта на данните.

(23)

Все още съгласно принципа Цялост на данните и ограничаване в рамките на целта личната информация може да се съхранява под форма, която идентифицира или позволява идентифицирането на физическите лица (и по този начин — под формата на лични данни), само доколкото това служи на целта(ите), за която(които) е била събрана първоначално или за която(които) по-късно е дадено разрешение от физическото лице. Това задължение не възпрепятства организациите — участници в Щита за личните данни, да продължат да обработват лична информация за по-дълги периоди, но само в рамките на срок и доколкото тази обработка служи за една от следните конкретни цели: архивиране от обществен интерес, журналистика, литература и изкуства, научни и исторически проучвания или статистически анализ. По-продължителното съхраняване на лични данни за една от тези цели ще подлежи на гаранциите, които се осигуряват от Принципите.

(24)

Съгласно принципа „Сигурност“ организациите, които създават, поддържат, използват или разпространяват лични данни, трябва да вземат „разумни и подходящи“ предпазни мерки като отчитат рисковете, свързани с обработването, както и характера на данните. Когато обработването се извършва от подизпълнител, организациите трябва да сключат договор с него, който да гарантира същото ниво на защита, което се осигурява от Принципите, и да предприемат мерки да гарантират, че договорът се изпълнява правилно.

(25)

Съгласно принципа „Достъп“ (22) субектите на данните имат правото без да е необходимо обосноваване и срещу такса, която не е прекомерна, да получат от дадена организация потвърждение дали тя обработва лични данни, свързани с тях, и съответните данни да им бъдат съобщени в рамките на разумен срок. Това право може да бъде ограничавано само при изключителни обстоятелства; всеки отказ или всяко ограничаване на правото на достъп трябва да бъдат необходими и надлежно обосновани, като организацията носи тежестта на доказване, че тези изисквания са спазени. Субектите на данни трябва да могат да коригират, изменят или заличават лична информация, когато тя е неточна или се обработва в нарушение на Принципите. В правото на САЩ са предвидени специални средства за защита срещу неблагоприятни решения (23) в областите, в които е най-вероятно дружествата да прибягват до автоматизирано обработване на личните данни с цел вземане на решения, засягащи физическите лица (напр. при предоставяне на заеми, оферти за ипотечни кредити, в сферата на заетостта). В тези актове обикновено се предвижда правото на физическите лица да бъдат информирани за конкретните причини в основата на дадено решение (напр. при отказ на кредит), да оспорват непълна или неточна информация (както и използването на неправомерни фактори), както и да потърсят правна защита. Тези правила предлагат защита в по-скоро ограничения брой на случаите, в които автоматизираните решения ще се вземат от самата организация — участник в Щита за личните данни (24). Въпреки това предвид нарастващото използване в съвременната цифрова икономика на автоматизирано обработване (включително профилиране) като основа за вземане на решения, засягащи физическите лица, това е една област, която трябва да се следи внимателно. С цел да се улесни този мониторинг, с органите на САЩ беше договорено, че в първия годишен преглед, както и в последващите прегледи, ако е необходимо, ще бъде включен диалог относно автоматизираното вземане на решения, включително обмен на сходства и различия в подхода на ЕС и на САЩ в това отношение.

(26)

Съгласно принципа „Защита, прилагане и отговорност за причинени вреди“ (25) участващите организации трябва да предвидят солидни механизми да гарантират спазването на останалите Принципи на неприкосновеност на личния живот, както и право на защита за субектите на данни от ЕС, чиито лични данни се обработват в нарушение на тези принципи, включително и ефективни средства за правна защита. След като една организация е решила доброволно да се самосертифицира (26) съгласно Щита за личните данни в отношенията между ЕС и САЩ, ефективното спазване на Принципите на неприкосновеност на личния живот е задължително за нея. За да ѝ бъде позволено да продължи да се ползва от Щита за личните данни за получаване на лични данни от Съюза, тази организация трябва ежегодно да пресертифицира своето участие в очертаната рамка. Организациите трябва също така да предприемат мерки за извършване на проверка (27) дали публикуваните от тях политики в областта на неприкосновеността на личния живот съответстват на Принципите на неприкосновеност на личния живот и дали се спазват реално. Това може да става или посредством система за самооценка, която трябва да включва вътрешни процедури, чрез които да се гарантира, че служителите получават подготовка за прилагането на политиките на организацията в областта на неприкосновеността на личния живот и че периодично се извършва обективен преглед на спазването, или посредством външни проверки за спазването, сред чиито методи може да се включат методите на одитиране или случайни проверки. Освен това организацията трябва да създаде ефективен механизъм за защита, чрез който да се разглеждат жалбите (в тази връзка вж. също съображение 43), и да подлежи на правомощията по разследване и прилагане на ФТК, Министерството на транспорта или друг законовоустановен орган, който гарантира за ефективното спазване на Принципите.

(27)

За така наречените „последващи предавания“, т.е. предавания на лични данни от организация към трета страна администратор или обработващ данни, независимо дали те се намират в Съединените американски щати или в трета държава извън Съединените американски щати (и Съюза), се прилагат специални правила. Целта на тези правила е осигурят, че няма да бъде подкопана защитата на личните данни на субектите на данни от ЕС и че тя не може да бъде заобиколена чрез прехвърлянето им на трети страни. Това е от особено значение при по-сложните процеси на обработване, които са характерни за съвременната цифрова икономика.

(28)

Съгласно принципа Отчетност за последващото предаване  (28) последващо предаване може да се осъществи само i) с ограничена и конкретна цел, ii) въз основа на договор (или подобно споразумение в рамките на дадена корпоративна група (29)) и iii) само ако в този договор се предвижда същото ниво на защита като тази, гарантирана от Принципите, включващи изискването, че тяхното прилагане може да бъде ограничено само до необходимата степен с оглед на спазване на изискванията за националната сигурност, правоприлагането и други цели от обществен интерес (30). Това следва да се разглежда във връзка с принципа Уведомяване, а в случай на последващо предаване на администратор на трета страна (31) — с принципа Избор, според който субектите на данни трябва да бъдат информирани (наред с другото) относно вида/идентичността на всеки получател на трета страна, относно целта на последващото предаване, относно предлагания избор, както и да имат право на възражение (клауза за неучастие „opt out“) или в случай на чувствителни данни да трябва да дадат утвърждаващо изрично съгласие („opt in“) за последващите предавания. С оглед на принципа Цялост на данните и ограничаване в рамките на целта задължението да се осигурява същата степен на защита, която се гарантира от Принципите, предполага, че третата страна може да обработва предадената ѝ лична информация само за цели, които не са несъвместими с целите, за които е била събрана първоначално или за които по-късно е дадено разрешение от физическото лице.

(29)

Задължението да се осигурява същата степен на защита, която се изисква от Принципите, се прилага за всяка една и за всички трети страни, участващи в обработката на данните, прехвърляни независимо от тяхното местоположение (в САЩ или в друга трета държава), както и в случая, когато първоначалният получател на третата страна предава тези данни на друг получател на третата страна, например за целите на обработване от подизпълнител. Във всички случаи в договора с получателя на третата страна трябва да се предвижда последният да уведоми организацията — участник в Щита за личните данни, ако организацията констатира, че вече не е в състояние да изпълнява посоченото задължение. Когато тази констатация е направена, третата страна администратор ще прекрати обработката и ще трябва да се предприемат други обосновани и съответни мерки за справяне с положението (32). При възникване на проблеми със спазването на този принцип по веригата на обработване или при обработване от подизпълнител, организацията — участник в Щита за личните данни, изпълняваща функциите на администратор на личните данни, ще трябва да докаже, че не носи отговорност за събитието, породило вредата, като в противен случай носи отговорност за причинените вреди, както е посочено в принципа „Защита, прилагане и отговорност за причинени вреди“. В случай на последващо предаване към трета страна посредник (33) се прилага допълнителна защита.

(30)

В Щита за личните данни в отношенията между ЕС и САЩ се предвиждат механизми за надзор и за прилагане, за да се проверява и гарантира, че самосертифицираните организации в САЩ спазват Принципите и че се отстранява всяко неспазване. Тези механизми са посочени в Принципите (приложение II) и в ангажиментите, поети от Министерството на търговията (приложение I), ФТК (приложение IV) и Министерството на транспорта (приложение V).

(31)

За да се гарантира правилното прилагане на Щита за личните данни в отношенията между ЕС и САЩ, заинтересованите страни, като например субектите на данни, износителите на данни и националните органи по защита на данните (ОЗД), трябва да бъдат в състояние да идентифицират организациите, които се придържат към Принципите. За тази цел Министерството на търговията е поело задължението да поддържа и предостави за публичен достъп списък на организациите, които са се самосертифицирали, че спазват Принципите, и които са от компетентността на поне един от правоприлагащите органи, включени в приложения I и II към настоящото решение („списък към Щита за личните данни“) (34). Министерството на търговията ще актуализира списъка въз основа на ежегодно подаваните заявления за пресертифициране и при всяко оттегляне или заличаване на дадена организация от Щита за личните данни в отношенията между ЕС и САЩ. Освен това той ще поддържа и предоставя за публичен достъп официален списък на организациите, които са били заличени от списъка, с посочване на причините за заличаването за всеки отделен случай. И накрая, Министерството на търговията ще предостави електронна връзка към списъка на казусите, свързани с Щита за личните данни, с които е сезирана Федералната търговска комисия, който списък се поддържа на уебсайта на ФТК.

(32)

Министерството на търговията ще предостави за публичен достъп списъка към Щита за личните данни и подадената от организациите информация за самосертифициране на създаден за тази цел уебсайт. Самосертифицираните организации на свой ред трябва да предоставят интернет адреса на министерството за списъка към Щита за личните данни. Освен това, когато политиката на една организация в областта на неприкосновеността на личния живот е на разположение онлайн, в нея трябва да се предостави хипервръзка към уебсайта на Щита за личните данни, както и хипервръзка към уебсайта или към формуляра за подаване на жалба на независимия механизъм за защита, който е на разположение за разглеждане на нерешени жалби. Министерството на търговията системно ще проверява, в контекста на сертифицирането и пресертифицирането на дадена организация към очертаната рамка, дали нейните политики в областта на неприкосновеността на личния живот са съобразени с Принципите.

(33)

Организации, които трайно не се съобразяват с Принципите, се заличават от списъка към Щита за личните данни и трябва да върнат или заличат личните данни, които са получили в рамките на Щита за личните данни в отношенията между ЕС и САЩ. В други случаи на заличаване от списъка, като например доброволно оттегляне от участие или неподаване на заявление за пресетифициране, организациите могат да запазят тези данни, ако ежегодно уверяват Министерството на търговията в ангажираността си да продължат да прилагат Принципите или предоставят адекватна защита на личните данни посредством други разрешени средства (напр. като използват договор, в който изцяло са отразени изискванията на съответните одобрени от Комисията стандартни договорни клаузи). В този случай организацията посочва лице за връзка с нея по всички въпроси от областта на Щита за личните данни.

(34)

Освен това Министерството на търговията ще наблюдава организациите, които вече не участват в Щита за личните данни в отношенията между ЕС и САЩ поради доброволно оттегляне или изтичане на сертифицирането, за да провери дали те ще върнат, заличат или задържат (35) личните данни, които са получили преди това съгласно прилагането на рамката. Ако те задържат посочените данни, организациите са задължени да продължат да прилагат Принципите спрямо тях. В случаите, когато Министерството на търговията отстрани организации от рамката поради трайно неспазване на Принципите, то ще гарантира, че тези организации задължително ще върнат или заличат личните данни, които са получили съгласно нейното прилагане.

(35)

Когато по някаква причина една организация напусне Щита за личните данни в отношенията между ЕС и САЩ, тя трябва да оттегли всички свои публични изявления, предполагащи, че тя продължава да участва в Щита за личните данни в отношенията между ЕС и САЩ или че се ползва от предимствата на такова участие, по-специално всички упоменавания на Щита за личните данни в отношенията между ЕС и САЩ в публикуваната от нея политика в областта на неприкосновеността на личния живот. Министерството на търговията ще търси неправомерни твърдения за участие в рамката, включително на бивши членове, и ще намира решения (36). Всяко погрешно представяне пред широката общественост относно придържането на организацията към Принципите може да подлежи на санкциониране от ФТК, Министерство на транспорта или друг съответен правоприлагащ орган в САЩ; въвеждането в заблуждение на Министерството на търговията подлежи на санкциониране по Закона за неверните твърдения (False Statements Act) (18 U.S.C. § 1001) (37).

(36)

Министерството на търговията ще осъществява служебно наблюдение за евентуални неверни твърдения за участие в Щита за личните данни или за неправомерно използване на сертификационния знак на Щита за личните данни, като ОЗД могат да насочват организациите за проверка към определеното лице за контакт в министерството. Когато една организация се оттегли от Щита за личните данни в отношенията между ЕС и САЩ, не подаде заявление за пресертифициране или бъде заличена от списъка към Щита за личните данни, Министерството на търговията ще проверява периодично дали тя е изтрила от публикациите относно политиката ѝ в областта на неприкосновеността на личния живот всички упоменавания на Щита за личните данни, които може да водят до заключението, че тя продължава да участва в него, и ако тя продължава да прави неверни твърдения, ще отнася въпроса за разглеждане от ФТК, Министерството на транспорта или друг компетентен орган, който да предприеме евентуални действия по санкциониране. Освен това Министерството на търговията ще изпраща въпросници до организациите, чието самосертифициране изтича или които доброволно са се оттеглили от Щита за личните данни в отношенията между ЕС и САЩ, за да провери дали организацията ще започне отново да участва, или ще се отпише или ще продължи да прилага Принципите на неприкосновеност на личния живот за личните данни, които е получила докато е участвала, и ако възнамерява да задържи личните данни, да провери кой в рамките на организацията ще служи за лице за постоянен контакт по въпросите на Щита за личните данни.

(37)

Министерството на търговията текущо ще извършва служебни прегледи (38) за спазването от страна на самосертифицираните организации, включително чрез изпращане на подробни въпросници. Също така той системно ще извършва проверки, когато е получил конкретна жалба (със сериозен характер), когато дадена организация не предоставя задоволителни отговори на запитванията от негова страна или когато има достоверни доказателства, че може да се предполага, че дадена организация не спазва Принципите. Когато е целесъобразно, Министерство на търговията ще се консултира и с ОЗД за такива прегледи на спазването.

(38)

В принципа „Защита, прилагане и отговорност за причинени вреди“ на Щита за личните данни в отношенията между ЕС и САЩ се съдържа изискването организациите да осигуряват защита за физическите лица, които са засегнати от неспазване, и по този начин се дава възможност на субектите на данни от ЕС да подават жалби относно неспазване от страна на самосертифицираните дружества в САЩ и тези жалби да бъдат разрешени, ако е необходимо чрез решение за предоставяне на ефективна правна защита.

(39)

Като част от своята декларация за самосертифициране, организациите трябва да отговарят на изискванията на принципа „Защита, прилагане и отговорност за причинени вреди“, като предоставят ефективни и леснодостъпни независими механизми за подаване на жалби, чрез които жалбите и споровете на лицето могат да се разследват и разрешават бързо без разходи за лицето.

(40)

Организациите могат да изберат независими механизми за защита в Съюза или в Съединените американски щати. Това включва възможността доброволно да се ангажират да си сътрудничат с ОЗД в ЕС. Този избор обаче не е налице, когато обработват данни относно човешките ресурси, тъй като сътрудничеството с ОЗД е задължително. Другите алтернативи включват независимото Извънсъдебно разрешаване на спорове (ИРС) и разработените за сектора програми на неприкосновеност на личния живот за личните данни, в чиито правила са залегнали Принципите на неприкосновеност на личния живот. Последните трябва да включват ефективни механизми за прилагането им в съответствие с изискванията на принципа „Защита, прилагане и отговорност за причинени вреди“. Организациите са задължени да отстраняват проблеми, свързани с неспазване. Те трябва също така да посочат, че те са предмет на правомощията за разследване и правоприлагане на ФТК, Министерство на транспорта на САЩ или други оправомощени законоустановени орган.

(41)

Следователно рамката на Щита за личните данни на неприкосновеността на личния живот предвижда редица възможности за субектите на данните гаранция да упражняват правата си, да подават жалби относно неспазване от страна на самосертифицираните дружества в САЩ и техните жалби да се разрешават, ако е необходимо, чрез решение за предоставяне на ефективна правна защита. Физическите лица могат да предявят жалба директно пред организация, независим орган за решаване на спорове, посочен от организацията, националните ОЗД или ФТК.

(42)

В случаите, когато техните жалби не са били разрешени чрез нито един от тези механизми за защита и правоприлагане, физическите лица имат също така право да поискат въпросът да бъде решен чрез правно обвързващ арбитраж съгласно панела на ОЗД (Приложение 1 към приложение II към настоящото решение). С изключение на арбитражния панел, при който има изискването някои средства за правна защита да бъдат изчерпани, преди да бъде използван, физическите лица имат право да упражняват някои или всички механизми за правна защита по свой избор и не са задължени да избират определен механизъм или да спазват определена последователност. Съществува обаче определен логически ред, който е препоръчително да се следва, както е посочено по-долу.

(43)

На първо място субектите на данни от ЕС могат да преследват нарушения на спазването на Принципите чрез преки контакти със самосертифицираното дружество в САЩ. За да се улесни решаването на споровете, организацията трябва да създаде ефективен механизъм за защита, чрез който да се разглеждат жалбите. Това означава в политиката ѝ в областта на неприкосновеността на личния живот да се предоставя ясна информация на физическите лица за звеното за връзка, независимо дали в рамките на организацията или извън нея, което отговаря за разглеждането на жалбите (включително съответна организация в Съюза, която може да отговаря на запитвания или оплаквания), както и за независимите механизми за разглеждане на жалби.

(44)

При получаване на жалба от физическо лице — директно от лицето или чрез Министерството на търговията след сезиране от ОЗД, организацията трябва да предостави отговор на субекта на данните от ЕС в срок 45 дни. В този отговор трябва да се прави преценка по същество на жалбата и да се предоставя информация как организацията ще разреши проблема. Освен това от организациите се изисква да реагират своевременно на запитвания и други искания за информация от (39) Министерството на търговията или от орган за защита на данните (когато организацията е ангажирана да си сътрудничи с органа за защита на личните данни) във връзка с придържането им към принципите. Организациите трябва да съхраняват документацията си за прилагане на техните политики за защита на личните данни и да ги предоставят при поискване на независим механизъм за защита или ФТК (или друг орган на САЩ, компетентен да разследва нелоялните и измамни практики) в рамките на дадено разследване или жалба за неспазване.

(45)

На второ място организациите трябва да определят независим орган за разрешаване на спорове (в Съединените американски щати или в Съюза), който да разследва и разрешава отделните жалби (освен ако те са очевидно необосновани или нямат сериозен характер) и да предоставя безплатно подходяща защита за физическите лица. Санкциите и средствата за правна защита, налагани от този орган, трябва да са достатъчно строги, за да гарантират спазването от организациите на Принципите и да осигуряват отстраняване или поправка от страна на организацията на последиците от неспазването на Принципите, а в зависимост от обстоятелствата — и преустановяване на последващото обработване на въпросните лични данни и/или тяхното заличаване, както и публично оповестяване на констатациите за неспазването. От определените от организацията независими органи за разрешаване на спорове ще бъде изисквано да включват на своите публични уебсайтове съответна информация относно Щита за личните данни в отношенията между ЕС и САЩ и услугите, които извършват съгласно него. Те трябва да публикуват ежегодно годишен доклад с обобщена статистическа информация относно тези услуги (40).

(46)

Министерството на търговията ще проверява също и дали самосертифицираните дружества в САЩ действително са регистрирани към независимите механизми за защита, към които са заявили, че са регистрирани. От организациите и от отговорните независими механизми за защита се изисква да отговарят в кратки срокове на запитвания и искания за информация от страна на Министерството на търговията във връзка с Щита за личните данни.

(47)

В случай, че организацията не спази решението на орган по разрешаване на спорове или на саморегулиращ се орган, последният трябва да уведоми за това Министерството на търговията и ФТК (или друг орган на САЩ, компетентен да разследва нелоялни и измамни практики) или компетентния съд (41). Ако дадена организация отказва да изпълнява окончателното решение на саморегулираща се организация в областта на неприкосновеността на личния живот, или независим орган по решаване на спорове или на държавен орган, или когато даден орган констатира, че организация често нарушава Принципите, това ще се счита за трайно неспазване. Вследствие на това, след като първо е изпратило на организацията нарушител тридесет дневно предизвестие и е дало възможност за отговор, Министерството на търговията ще заличи организацията от списъка (42). Ако след заличаването от списъка организацията продължава да твърди, че е сертифицирана съгласно Щита за личните данни, министерството ще отнесе въпроса пред ФТК или друга правоприлагаща агенция (43).

(48)

Трето, физическите лица могат да отнесат жалбите си до национален орган за защита на данните. Организациите са длъжни да сътрудничат при разследването и разрешаването на жалба от ОЗД или когато става въпрос за обработването на данни за човешките ресурси, събрани в рамките на трудово правоотношение, или когато съответната организация доброволно се е подложила на надзор от страна на органите за защита на данните. По-специално организациите трябва да отговарят на запитвания, да спазват препоръките на ОЗД, включително за корективни или компенсаторни мерки, и да предоставят на ОЗД писмено потвърждение, че са взети такива мерки.

(49)

Препоръките на ОЗД ще се предоставят чрез неформален панел на ОЗД, създаден на европейско равнище (44), който ще спомага също така за осигуряването на хармонизиран и съгласуван подход. Препоръки ще се дават след като и двете страни по спора са имали подходяща възможност да представят своите забележки и евентуално своите доказателства. Съответният панел на ОЗД ще предоставя препоръките си в най-кратки срокове, доколкото го позволява изискването за справедлив процес, и по принцип най-късно в срок от 60 дни считано от получаването на жалбата. Ако някоя организация не изпълни препоръката в срок от 25 дни след предоставянето ѝ, без да посочи убедително обяснение за закъснението, групата на ОЗД ще оповести намерението си да отнесе въпроса пред ФТК (или друг орган на САЩ, компетентен да предприема действия за принудително изпълнение) или да заключи, че е допуснато сериозно нарушение на ангажимента за сътрудничество. При първия вариант това може да доведе до предприемане на действие по принудително изпълнение съгласно раздел 5 от Закона за Федералната търговска комисия (или други сходни закони). При втория вариант групата ще информира Министерството на търговията, което ще счете отказа на организацията за трайно неспазване на Принципите, в резултат на което тази организация ще бъде заличена от списъка към Щита за личните данни.

(50)

Във всички разгледани случаи, ако ОЗД, до който е адресирана жалбата, не предприеме никакви действия или действията са недостатъчни за разрешаване на жалбата, жалбоподателят има възможността да заведе иск срещу това (без)действие в националните съдилища на съответната държава членка.

(51)

Освен това физическите лица могат да подават жалби до ОЗД, дори когато за решаване на спорове не е бил определен панел на ОЗД. В тези случаи органът за защита на данните може да отнася такива жалби пред Министерството на търговията или ФТК. За да улесни съвместната работа, Министерството на търговията ще създаде специализирано звено за контакт, което да служи за връзка и да съдейства при запитвания от ОЗД относно спазването от страна на дадена организация на Принципите на неприкосновеност на личния живот (45). По същия начин ФТК се е ангажирала да създаде специализирано звено за контакт (46) и оказва на ОЗД съдействие чрез разследвания по реда на Закона за безопасен интернет на САЩ (U.S. SAFE WEB Act) (47).

(52)

Четвърто, Министерството на търговията се е ангажирало да получава и разглежда жалби относно неспазването на Принципите от дадена организация, както и да полага всички възможни усилия да ги разрешава. За тази цел Министерството на търговията предвижда специални процедури за отнасянето на жалбите от страна на ОЗД до определеното звено за връзка и за проследяването им, както и последващи действия съвместно с дружествата за улесняване на разрешаването. За да се ускори обработването на отделните жалби, звеното за връзка ще си сътрудничи директно със съответния ОЗД по въпросите относно спазването на Принципите, и по специално ще го уведомява за етапа на разглеждане на жалбите в срок до 90 дни след сезирането му. Това позволява на субектите на данни да подават жалби относно неспазването на Принципите от самосертифицираните дружества в САЩ директно до своя национален ОЗД, след което тези жалби ще бъдат насочвани към Министерството на търговията, като органът в САЩ, управляващ Щита за личните данни в отношенията между ЕС и САЩ. Също така Министерството на търговията се ангажира да предоставя при годишния преглед на функционирането на Щита за личните данни в отношенията между ЕС и САЩ доклад, в който да бъдат анализирани в обобщен вид жалбите, получени от него всяка година (48).

(53)

Когато въз основа на служебните си проверки, жалби или друга информация, Министерството на търговията стигне до заключението, че дадена организация трайно не спазва Принципите на неприкосновеност на личния живот, то я заличава от списъка към Щита за личните данни. Отказът да се съобрази с окончателно решение на който и да е саморегулиращ се орган, независима инстанция за разрешаване на спорове или правителствен орган, с компетентност в областта на неприкосновеността на личния живот, включително ОЗД, ще бъде считан за трайно неспазване на Принципите.

(54)

На пето място, организацията — участник в Щита за личните данни, трябва да бъде предмет на правомощията за разследване и прилагане от органите на САЩ, и по-специално Федералната комисия за търговия  (49), които ефективно ще гарантират спазването на Принципите. На четвърто място Федералната търговска комисия ще разглежда с предимство случаи на неспазване на Принципите на неприкосновеност на личния живот, за които е била сезирана от независими инстанции за разрешаване на спорове или от саморегулиращи се органи, от Министерството на търговията и ОЗД (по тяхна собствена инициатива или след получени жалби), за да определи дали са нарушени изискванията на раздел 5 от Закона за Федералната търговска комисия (FTC Act) относно забраната за нелоялни или измамни практики (50). ФТК се е ангажирала да създаде стандартен процес на сезиране, да определи звено за връзка в нея за сезиранията от страна на ОЗД и да обменя информация относно случаите, за които е била сезирана. В допълнение тя ще приема жалби директно от физически лица и ще предприема разследвания във връзка с Щита за личните данни по своя собствена инициатива, по-специално като част от по-мащабни нейни разследвания по въпроси относно неприкосновеността на личния живот.

(55)

ФТК може да налага спазването на Принципите посредством административни заповеди („заповеди за съгласие“) и ще провежда системен мониторинг за изпълнението на такива заповеди. Когато организациите не ги изпълняват, ФТК може да сезира компетентен съд, с цел налагането на граждански санкции и други средства за правна защита, включително за причинени вреди в резултат на неправомерно поведение. Като алтернативна мярка ФТК може да иска налагане на временна или постоянна съдебна възбрана или други средства за правна защита от федерален съд. Всяка заповед за съгласие с адресат организация — участник в Щита за личните данни, ще включва разпоредби за доброволно докладване (51), а от организациите ще се изисква да обявяват публично всички релевантни и свързани с Щита за личните данни части от евентуален доклад или оценка за спазването, представени на ФТК. И накрая, ФТК ще поддържа онлайн списък на дружествата, по отношение на които са били издадени заповеди от ФТК или съдебни разпореждания по казуси, свързани с Щита за личните данни.

(56)

На шесто място, като механизъм за защита, който е последна възможност, в случай че жалбата на лицето не е получила удовлетворително решение посредством останалите налични средства за правна защита, субектът на данни от ЕС може да поиска въпросът да бъде решен чрез правно обвързващ арбитраж от „Специалната група по Щита за личните данни“ (Privacy Shield Panel). Организациите трябва да информират физическите лица за възможността им при определени условия да използват правно обвързващ арбитраж, както и са длъжни да реагират, след като дадено физическо лице е използвало тази възможност, като е изпратило уведомление на съответната организация (52).

(57)

Групата включва резерв от най-малко 20 арбитри, определени от Министерството на търговията и от Комисията въз основа на тяхната независимост, почтеност и опита им със законодателството на САЩ в областта на неприкосновеността на личния живот и законодателството на ЕС в областта на защитата на данните. За всеки индивидуален спор страните ще избират от тази група състав от един или трима (53) арбитри. Производството ще се ръководи от стандартни правила за арбитраж, които предстои да бъдат договорени между Министерството на търговията и Комисията. Тези правила ще допълнят вече приключената рамка, която съдържа няколко характеристики, подсилващи достъпността на този механизъм за субектите на данни в ЕС: i) при подготвянето на иск пред панела субектът на данни може да получи съдействие от своя национален ОЗД; ii) Тъй като арбитражът ще се провежда в Съединените американски щати, субектите на данни от ЕС могат да изберат да участват чрез видео- или телефонна конферентна връзка, която ще се осигурява безплатно за лицата. iii) въпреки, че езикът, използван в хода на арбитража, е по правило английски, устният превод в хода на арбитражното изслушване обикновено (54) ще бъде осигурен въз основа на мотивирано искане от страна на субекта на данните без разходи; iv) И накрая, докато всяка от страните трябва да поеме за своя сметка разходите за хонорара на своя адвокат, ако се представлява от такъв пред арбитражния състав, Министерството на търговията ще създаде фонд, който ще се захранва от годишни вноски на организациите — участници в Щита за личните данни, от който ще бъдат покривани допустимите разходи по арбитражната процедура до един максимален размер, който ще бъде определен от органите на САЩ в консултация с Комисията.

(58)

Специалната група по Щита за личните данни ще има правомощия да предписва „специфични за конкретния случай непарични безпристрастни мерки“ (55), необходими като корективно действие срещу неспазването на Принципите. Въпреки че при постановяване на решението си специалната група ще взема предвид другите средства за правна защита, получени в рамките на механизмите съгласно Щита за личните данни, физическите лица все пак могат да използват арбитраж, ако счетат тези средства за недостатъчни. Това ще позволи на субектите на данни от ЕС да инициират арбитражно дело във всички случаи, когато в резултат от действие или бездействие от страна на компетентните органи на САЩ (например ФТК) не са получили удовлетворително решение по жалбата. Не може да се инициира арбитражно дело, ако ОЗД разполага със законови правомощия да разреши въпросната жалба срещу самосертифицирано дружество в САЩ, по-специално когато организацията е задължена да съдейства и да спазва препоръките на ОЗД във връзка с обработването на данни за човешки ресурси, събрани в контекста на трудово правоотношение, или доброволно се е ангажирала да направи това.

(59)

Седмо, когато една организация не спазва ангажимента си да съблюдава Принципите и обявената от нея политика в областта на неприкосновеността на личния живот, по силата на законодателството на отделните щати в САЩ може да има допълнителни възможности за съдебна защита, които осигуряват средства за правна защита при причинени вреди и в случаи на въвеждане в заблуда с цел измама, нелоялни или измамни действия или практики, или нарушаване на договор.

(60)

Освен това, когато при получаване на искане от субект на данни на ЕС ОЗР счете, че прехвърлянето на лични данни на физическо лице към организация в САЩ се извършва в нарушение на законодателството на ЕС за защита на данните, включително когато установеният в ЕС износител на данни има причини да смята, че организацията не се съобразява с Принципите, той може също така да упражнява правомощията си по отношение на износителя на данни и, ако е необходимо, да разпореди спиране на прехвърлянето на данни.

(61)

Предвид информацията в настоящия раздел Комисията счита, че Принципите, публикувани от Министерството на търговията на САЩ, като цяло осигуряват степен на защита на личните данни, която е равностойна по същество на гарантираното от основните принципи, установени в Директива 95/46/ЕО.

(62)

В допълнение към това ефективното прилагане на Принципите на неприкосновеност на личния живот е гарантирано от задълженията за прозрачност и управлението на Щита за личните данни от страна на Министерството на търговията.

(63)

Освен това Комисията счита, че взети заедно механизмите за надзор и защита, предвидени съгласно Щита за личните данни, позволяват нарушенията на Принципите на неприкосновеност на личния живот от организациите — участници в Щита за личните данни, да бъдат установявани и наказвани на практика и осигуряват средства за правна защита на субектите на данни, с възможност за достъп до свързаните с тях лични данни и евентуалното коригиране или заличаване на тези данни.

(64)

Съгласно приложение II, точка I.5, спазването на Принципите се ограничава до степента, в която това е необходимо, за да бъдат спазени изискванията в областта на националната сигурност, обществения интерес или правоприлагането.

(65)

Комисията направи оценка на ограниченията и гаранциите, които са предвидени в правото на САЩ във връзка с достъпа и използването на лични данни, предавани съгласно Щита за личните данни в отношенията между ЕС и САЩ, от публичните органи на САЩ за целите на националната сигурност, правоприлагането и за други цели от обществен интерес. Освен това правителството на САЩ, чрез Службата на директора на Националното разузнаване (Office of the Director of National Intelligence (ODNI) (56), предостави на Комисията подробни писмени изявления и ангажименти, които са поместени в приложение VI към настоящото решение. С писмо, подписано от Държавния секретар и приложено като приложение III към настоящото решение, правителството на САЩ се ангажира също така да създаде нов механизъм за надзор относно намесата за целите на националната сигурност — омбудсман към Щита за личните данни, който е независим от разузнавателните структури. И накрая, в писмено изявление на Министерството на правосъдието на САЩ, поместено в приложение VII към настоящото решение, са разгледани ограниченията и гаранциите, които се прилагат спрямо достъпа и използването на данни от страна на публичните органи за целите на правоприлагането и за други цели от обществен интерес. За да се повиши прозрачността и да се отрази правният характер на тези ангажименти, всеки от посочените и приложени към настоящото решение документи ще бъде публикуван във Федералния регистър на САЩ.

(66)

По-долу са разгледани по-подробно констатациите на Комисията относно ограниченията спрямо достъпа и използването от страна на публичните органи на САЩ на лични данни, предадени от Европейския съюз към Съединените американски щати, и наличието на ефективна правна защита.

(67)

Анализът на Комисията показва, че в правото на САЩ се съдържат редица ограничения спрямо достъпа и използването за целите на националната сигурност на лични данни, които се предават съгласно Щита за личните данни в отношенията между ЕС и САЩ, както и механизми за надзор и правна защита, които осигуряват достатъчно гаранции за ефективната защита на тези данни срещу незаконна намеса и рискове от злоупотреби (57). От 2013 г. насам, когато Комисията публикува своите две съобщения (вж. съображение 7), тази правна рамка е била значително подсилена, както е описано по-долу.

(68)

Съгласно конституцията на САЩ гарантирането на националната сигурност е в правомощията на Президента, в качеството му на върховен главнокомандващ, върховен изпълнителен орган, а по отношение на външното разузнаване — и ръководител на външната политика на САЩ (58). Докато Конгресът има правомощията да налага ограничения и е правил това по различни въпроси, в обхвата на така наложените граници Президентът може да направлява дейността на разузнавателните структури на САЩ, по-специално чрез издаване на изпълнителни декрети и президентски директиви. Това се прилага, разбира се, също и за онези области, в които не се осъществява ръководство от Конгреса. Понастоящем двата главни правни инструмента в тази връзка са Изпълнителен декрет 12333 (59) и Президентска изпълнителна директива 28.

(69)

Президентска изпълнителна директива 28 (ПИД-28), издадена на 17 януари 2014 г., налага редица ограничения за операциите по „радиоелектронно разузнаване“ (60). Президентските директиви имат задължителна сила за разузнавателните органи на САЩ (61) и остават в сила и след промени в администрацията на САЩ (62). ПИД-28 е особено важна за лицата, които не са американски граждани, включително за субектите на данни от ЕС. Наред с останалото, в нея се предвижда, че:

(70)

В ПИД-28 е указано, че радиоелектронна разузнавателна информация може да се събира единствено с цел разузнаването или контраразузнаването да спомага за изпълнението на задания, изпълнявани от национални и министерски органи, но не и с някаква друга цел (напр. за осигуряване на конкурентно предимство на американски дружества). Съгласно тези писмени изявления разузнавателните структури „следва да изискват събирането да бъде съсредоточено върху конкретни разузнавателни обекти или теми, доколкото това е практически възможно, като за целта се използват разграничителни критерии (напр. конкретни технически средства, условия за подбор и идентификатори).“ (63) Освен това в писмените изявления на ODNI се дават уверения, че вземането на решенията относно „практическата осъществимост“ не се оставя на отделни служители на разузнаването, а е предмет на политики и процедури, които различните разузнавателни структури (агенции) на САЩ трябва да въведат в изпълнение на ПИД-28 (64). Също така търсенето и определянето на подходящи критерии за подбор се осъществяват в обхвата на цялостната Рамка на приоритетите в националното разузнаване (National Intelligence Priorities Framework) (NIPF), с която се гарантира, че приоритетите в разузнаването се определят от отговорни за политическите решения лица на високо равнище и редовно се преразглеждат, с цел да може да се реагира на реалните заплахи за националната сигурност, като се отчитат възможните рискове, включително рисковете за неприкосновеността на личния живот (65). На тази основа служителите в агенциите търсят и определят конкретни условия за подбор, с които се очаква да бъде събирана разузнавателна информация, отговаряща на приоритетите (66). Критериите за подбор трябва редовно да бъдат преразглеждани, за да се проверява дали чрез тях все още се осигурява ценна разузнавателна информация в съответствие с приоритетите (67).

(71)

Освен това предвидените в ПИБ-28 изисквания събирането на разузнавателна информация винаги (68) да бъде „съобразено с конкретния случай, доколкото това е практически възможно“ и разузнавателните структури да дават предимство на наличието на друга информация и подходящи и осъществими алтернативи, отразяват общото правило (69) за определяне на приоритетите на целевото събиране на масиви от данни пред масовото събиране на масиви от данни. В съответствие с гаранциите, предоставени от ODNI, те гарантират по-специално, че събирането на масиви от данни не е нито „масово“, нито „безогледно“, и че изключението не отменя правилото (70).

(72)

Въпреки че в ПИД-28 се пояснява, че при определени обстоятелства понякога се налага разузнавателните структури да извършват събиране на масиви от данни при радиоелектронното разузнаване, например за да бъдат идентифицирани нови или възникващи заплахи, в директивата се дават указания на тези структури да отдават приоритет на алтернативни възможности, които биха позволили провеждането на целево радиоелектронно разузнаване (71). От това следва, че събирането на масиви от данни ще се осъществява само когато целенасоченото събиране чрез използване на разграничителни критерии — т.е. идентификатор, свързан с конкретния обект на разузнаване (като например негов електронен адрес или телефонен номер) — не е възможно „по технически или оперативни съображения“ (72). Това се прилага както за начина, по който се събира радиоелектронна разузнавателна информация, така и за това, което реално се събира (72).

(73)

Съгласно писмените изявления на ODNI, дори когато разузнавателните структури не могат да използват конкретни идентификатори за целево събиране, те ще се стремят към ограничаване на събирането „във възможно най-голяма степен“. За да се гарантира това, че тя „прилагат филтри и други технически средства за съсредоточаване на събирането до онези съоръжения, за които има вероятност да съдържат комуникации със стойност за външното разузнаване“ (и следователно ще отговарят на изискванията, формулирани от създателите на политики на САЩ съгласно процеса, обяснен в по-горе в съображение 70). Вследствие на това към събирането на масиви от данни ще се подходи по поне два начина: Първо, то винаги ще се отнася до конкретни цели на външното разузнаване (напр. за придобиване на радиоелектронна разузнавателна информация относно дейностите на терористична група, която действа в даден регион) и ще бъде съсредоточено върху съобщения, които имат такава връзка. Съгласно гаранцията, осигурена от ODNI, това е отразено във факта, че „радиоелектронните разузнавателни дейности на Съединените американски щати САЩ обхващат само много малка част от комуникациите, преминаващи по интернет“ (73). Второ, в писмените изявления на ODNI е обяснено, че филтрите и другите технически средства ще бъдат проектирани така, че събирането да е концентрирано „възможно най-точно“, за да се гарантира, че ще се сведе до минимум количеството на събираната „нерелевантна информация“.

(74)

И накрая, дори когато Съединените американски щати счетат за необходимо да събират обща радиоелектронна разузнавателна информация при условията, посочени в съображения 70—73, ПИД-28 ограничава използването на такава информация до един конкретен списък с шест цели на националната сигурност, за да бъдат защитени неприкосновеността на личния живот и гражданските свободи на всички лица, независимо от тяхното гражданство и местопребиваване (74). Тези разрешени цели включват мерки за откриване и противодействие на заплахи, произтичащи от шпионска дейност, тероризъм, оръжия за масово унищожение, заплахи за киберсигурността, отправени към въоръжените сили или военни служители, както и заплахи от презгранична престъпна дейност, свързана с другите пет цели, като поне веднъж годишно се извършва преглед на тези цели. Съгласно писмените изявления на правителството на САЩ разузнавателните структури са укрепили своите аналитични практики и стандарти за първичен анализ на непотвърдена радиоелектронна разузнавателна информация с цел да отговорят на тези изисквания; използването на целеви първични анализи „е гаранция, че за задълбочено проучване от анализаторите се предава само тази информация, за която може да се счита, че има потенциална разузнавателна стойност“ (75).

(75)

Тези ограничения са особено релевантни за предаването на лични данни съгласно Щита за личните данни в отношенията между ЕС и САЩ, по-специално когато събирането на лични данни се осъществява извън територията на Съединените американски щати, включително по време на преноса им по трансатлантическите кабелопроводи от Съюза до САЩ. Както беше потвърдено от органите на САЩ в писмените изявления на ODNI, посочените в тях ограничения и гаранции, включително по силата на ПИД-28, се прилагат за този вид събиране (76).

(76)

Въпреки че не са формулирани със същата правна терминология, тези принципи отразяват същността на принципите на необходимост и пропорционалност. Отдава се ясен приоритет на целевото събиране, докато събирането на масиви от данни е ограничено до (изключителни) случаи, когато целевото не е възможно по технически или оперативни причини. Дори когато не може да се избегне събиране на масиви от данни, последващото „използване“ на такива данни чрез достъп е строго ограничено до конкретни правомерни цели на националната сигурност (77).

(77)

В качеството на директива издадена от Президента като главен изпълнителен орган, тези изисквания са обвързващи за всички разузнавателни структури и са въведени с допълнителни правила и процедури на агенциите, с които общите принципи са транспонирани в конкретни указания за всекидневната работа. Освен това Конгресът, за който указ ПИД-28 няма обвързваща сила, също е предприел стъпки за гарантиране, че събирането и достъпът до лични данни в Съединените американски щати стават целенасочено, а не се извършват на „общо основание“.

(78)

От наличната информация, включително писмените изявления, получени от правителството на САЩ, следва че след като данните са предадени на организации, установени в Съединените щати и самосертифицирани съгласно Щита за личните данни в отношенията между ЕС и САЩ, разузнавателните агенции на САЩ могат да поискат лични данни само (78) когато техните искания са съобразени със Закона за упражняване на надзор върху външното разузнаване (ЗУНВР) (Foreign Intelligence Surveillance Act (FISA)) или са отправени от Федералното бюро за разследвания (ФБР) въз основа на т.нар. писмо във връзка с националната сигурност (ПНС) (National Security Letter (NSL) (79). Съгласно ЗУНВР има няколко правни основания, които могат да бъдат използвани за събиране (и последващо обработване) на лични данни на субекти на данни от ЕС, предадени съгласно Щита за личните данни в отношенията между ЕС и САЩ. Освен раздел 402 от ЗУНВР (80), отнасящ се за традиционното индивидуализирано електронно наблюдение, и раздел 402 от ЗУНВР (81), отнасящ се за инсталирането на електронни устройства за регистриране или проследяване, двата главни инструмента са раздел 501 от ЗУНВР (предишен раздел 215 от Закона за обединяване и укрепване на САЩ (U.S. PATRIOT ACT) и раздел 702 от ЗУНВР (82).

(79)

В тази връзка със Закона за свободата в САЩ (USA FREEDOM Act), който влезе с сила на 2 юни 2015 г., се забранява общо събиране на данни на основание раздел 402 от ЗНЧРС (електронни устройства за регистриране или проследяване), раздел 501 от ЗНЧРС (предишен: раздел 215 от Закона за обединяване и укрепване на САЩ (U.S. PATRIOT ACT)) (83) и с използване на писма във връзка с националната сигурност (ПНС), а вместо това се определя изискване за използване на конкретни „критерии за избор“ (84).

(80)

Въпреки че в Закона за упражняване на надзор върху външното разузнаване (ЗУНВР) се съдържат допълнителни правни основания за разрешаване на провеждането на дейности на националното разузнаване, включително на радиоелектронното разузнаване, оценката на Комисията показва, че доколкото се отнася за лични данни, предавани съгласно Щита за личните данни в отношенията между ЕС и САЩ, тези правни основания също така и ограничават намесата на органите на публична власт в целенасоченото събиране и достъп.

(81)

Това е ясно що се отнася до традиционното индивидуализирано електронно наблюдение съгласно раздел 104 от ЗУНВР (85). Доколкото се отнася до раздел 702 от ЗУНВР, в който са предвидени основанията за две важни разузнавателни програми, по които работят разузнавателните агенции на САЩ (PRISM и UPSTREAM), търсенията се извършват целево чрез използване на индивидуални критерии за подбор, които служат за идентифициране на конкретни технически средства за връзка, като например адрес на електронна поща или телефонен номер на целта, но не и ключови думи, нито дори имена на лицата, към които е насочено търсенето (86). Следователно, както отбелязва Надзорният съвет по въпросите на неприкосновеността на личния живот и гражданските свободи (Privacy and Civil Liberties Oversight Board (PCLOB), наблюденията по раздел 702 „се изразяват изцяло в целенасочено разследване на конкретни лица [които не са американски граждани], за които е направено индивидуализирано определяне“ (87). Поради клаузата за изтичане на срока на действие, през 2017 г. ще трябва да се направи преглед на раздел 702 от ЗУНВР, като по същото време Комисията ще трябва отново да направи преценка относно гаранциите, които са налице за субектите на данни от ЕС.

(82)

Освен това в своите писмени изявления правителството на САЩ даде на Европейската комисия изрични уверения, че разузнавателните структури на САЩ „не извършват безразборно наблюдение на който и да било, включително на обикновени европейски граждани“ (88). По отношение на личните данни, събирани на територията на Съединените щати, това изявление е придружено с емпирични доказателства, които показват, че исканията за достъп чрез писма във връзка с националната сигурност (ПНС) и по силата на ЗУНВР, поотделно и взети заедно, се отнасят само за относително малък брой цели, в сравнение с целия поток от информация по интернет (89).

(83)

По отношение на достъпа до събраните данни и сигурността на данните в ПИД-28 е установено изискване достъпът да „бъде ограничен само до упълномощения персонал, за който е необходимо да разполага с информацията, за да осъществи мисията си“ и личната информация „да се обработва и съхранява при условия, осигуряващи адекватна защита и възпрепятстващи достъпа на неоправомощени лица, които са съвместими с гаранциите, приложими за чувствителната информация“. Разузнавателният персонал преминава през съответно подходящо обучение относно установените в ПИД-28 принципи (90).

(84)

И накрая, по отношение на съхранението и последващото разпространение на лични данни на субекти на данни от ЕС, събрани от разузнавателните органи на САЩ, в ПИД-28 се посочва, че всички лица (включително лицата, които не са граждани на САЩ) следва да бъдат третирани по достоен начин и с уважение, че всички лица имат легитимни интереси за неприкосновеност на личния живот при обработването на тяхна лична информация, и че следователно разузнавателните структури трябва да възприемат политики, осигуряващи подходящи гаранции за такива данни, „които са разумно проектирани да свеждат до минимум [тяхното] разпространение[то] и запазване[то]“ (91).

(85)

Правителството на САЩ поясни, че това изискване за разумност означава, че не е необходимо разузнавателните структури да предприемат „всички теоретично възможни мерки“, а трябва да „установяват баланс между усилията си за защита на легитимните интереси, касаещи неприкосновеността на личния живот и гражданските свободи, и практическите потребности при дейностите на радиоелектронното разузнаване“ (92). В това отношение физическите лица, които не са граждани на САЩ, ще бъдат третирани по същия начин както американските граждани, въз основа на процедури, одобрени от министъра на правосъдието (93).

(86)

Съгласно тези правила запазването обикновено е ограничено до максимален срок от пет години, освен ако в закон се посочва конкретно, че удължаването на срока на запазване е в интерес на националната сигурност или когато директорът на националното разузнаване е приел изрично решение в същия смисъл след внимателна преценка на съображенията за неприкосновеността на личния живот и след отчитане на становищата на служителя по защита на гражданските свободи към ODNI и на служителите на агенцията, отговарящи за неприкосновеността на личния живот и гражданските свободи (94). Разпространението се ограничава до случаите, когато информацията е релевантна за основната цел, за която е събрана, и поради това отговаря на условие за извършване на разрешено разузнаване или правоприлагане (95).

(87)

Съгласно уверенията, дадени от правителството на САЩ, личната информация не може да бъде разпространявана просто защото съответното лице не е гражданин на САЩ и „радиоелектронните разузнавателни данни относно рутинни дейности на чуждестранно лице не могат да се считат за разузнавателни данни, които могат да се разпространяват или запазват трайно само по силата на този факт, освен ако по друг начин отговарят на изискване за разрешено разузнаване“ (96).

(88)

Поради това Комисията стига до заключението, че в Съединените американски щати има установени правила, предназначени да ограничат всяка намеса за целите на националната сигурност в основните права на физическите лица, чиито лични данни се предават от Съюза към Съединените американски щати съгласно Щита за личните данни в отношенията между ЕС и САЩ, като тази намеса се ограничава до строго необходимото за постигането на посочената легитимна цел.

(89)

Както е видно от горепосочения анализ показа, законодателството на САЩ гарантира, че мерки за наблюдение ще се използват само за получаване на външноразузнавателна информация — което представлява легитимна цел на политиката (97), като бъдат съобразени във възможно най-голяма степен. По-конкретно, събиране на масиви от данни ще се разрешава само по изключение, когато не е осъществимо целенасочено събиране, и то ще бъде придружено от допълнителни гаранции за свеждане до минимум на количеството на събираните данни и последващия достъп (които трябва да бъдат целеви и да бъдат разрешени само за конкретни цели).

(90)

Според оценката на Комисията това е в съответствие със стандарта, определен от Съда в решението по делото Schrems — в законодателство, при което има намеса спрямо основните права, гарантирани от членове 7 и 8 от Хартата, задължително се налагат „минимални защити“ (98) и „не се ограничава до строго необходимото правна уредба, която общо разрешава съхраняването на всички лични данни на всички лица, чиито данни са били прехвърлени от Съюза към Съединените щати, без да въвежда никакво разграничаване, ограничаване или изключение с оглед на преследваната цел и без да предвижда обективен критерий, позволяващ да се ограничи достъпът на публичните органи до данните и тяхното последващо използване за конкретни цели, които са строго ограничени и могат да обосноват намесата, каквато съдържат достъпът и използването на тези данни.“ (99). Няма да има също така неограничено събиране и съхранение на данни за всички лица без ограничение, нито неограничен достъп. Освен това предоставените на Комисията писмени изявления, включително уверението, че радиоелектронните разузнавателни дейности на Съединените американски щати обхващат само много малка част от комуникациите, преминаващи по интернет, изключват вероятността, че ще има „общ“ достъп до съдържанието на електронните съобщения (100).

(91)

Комисията направи оценка на съществуващите механизми за надзор в Съединените американски щати по отношение на евентуална намеса на разузнавателните органи на САЩ в личните данни, които се предават на Съединените американски щати, и на наличните възможности за субектите на данни от ЕС да търсят индивидуална правна защита.

(92)

Разузнавателните структури на САЩ подлежат на различни механизми за преглед и надзор, които попадат в три държавни подразделения. Това включва вътрешни и външни органи в рамките на изпълнителната власт, редица комисии на Конгреса, както и съдебен надзор, по-специално във връзка с дейности по Закона за упражняване на надзор върху външното разузнаване.

(93)

На първо място разузнавателните дейности на органите на САЩ са под строгия надзор на изпълнителната власт.

(94)

Съгласно ПИД-28, раздел 4, буква а), подточка iv), политиките и процедурите на разузнавателните структури „следва да включват подходящи мерки за улесняване на надзора върху прилагането на гаранциите, предвидени за защита на личната информация“; за тези мерки трябва да е предвидено периодично одитиране (101).

(95)

За тази цел са установени множество нива на надзор, включително служители по въпросите на гражданските свободи или неприкосновеността на личния живот, главни инспектори, Службата за гражданските свободи и неприкосновеността на личния живот към ODNI, Надзорният съвет по въпросите на неприкосновеността на личния живот и гражданските свободи (PCLOB) и Надзорният съвет по въпросите на разузнаването към Президента. Тези надзорни органи се подпомагат от служители, отговарящи за спазването на нормативната уредба, във всички служби (102).

(96)

Както беше пояснено от правителството на САЩ (103), служители по въпросите на гражданските свободи или неприкосновеността на личния живот с надзорни функции работят в различни министерства с отговорности в областта на разузнаването и в разузнавателните агенции (104). Въпреки че конкретните правомощия на тези служители може да се различават в известна степен в зависимост от законното основание за оправомощаването им, обикновено в тях се включва надзорът на процедурите с цел да се гарантира, че съответното министерство/агенция спазва по адекватен начин изискванията за неприкосновеност на личния живот и гражданските свободи и е въвело подходящи процедури за разглеждане на жалби от лица, които са счели, че неприкосновеността на личния им живот или гражданските им свободи са били нарушени (а в някои случаи, като например ODNI, могат да имат правомощия сами да провеждат разследвания по жалби (105)). От своя страна ръководителят на министерството/агенцията трябва да осигури възможност служителят да получава цялата информация и да има осигурен достъп до всички материали, необходими за изпълнението на функциите му. Служителите по въпросите на гражданските свободи и неприкосновеността на личния живот периодично докладват пред Конгреса и Надзорния съвет по въпросите на неприкосновеността на личния живот и гражданските свободи, включително за броя и характера на получените в министерството/агенцията жалби и обобщение на разпорежданията по тези жалби, проведените проверки и разследвания и последиците от дейностите, извършени от служителя (106). Според оценката от страна на националните органи за защита на данните, вътрешният надзор, упражняван от граждански свободи или служителите, отговарящи за личните данни, могат да се считат за „достатъчно надеждни“, въпреки че според тях те не отговарят на необходимото ниво на независимост (107).

(97)

В допълнение към това всяка разузнавателна структура има свой главен инспектор, в чиито отговорности се включва наред с останалото и упражняването на надзор върху разузнавателните дейности (108). В рамките на ODNI това е Службата на главния инспектор, която разполага с всеобхватна компетентност, обхващаща всички разузнавателни структури, и с правомощия да провежда разследвания въз основа на жалби или на информация относно обвинения в незаконни действия или злоупотреба с власт във връзка с програми и дейности на ODNI и/или на разузнавателните структури (109). По закон главните инспектори са структури с независим (110) статут, които отговарят за провеждането на одити и разследвания във връзка с програмите и операциите, изпълнявани от съответната агенция за целите на националното разузнаване, включително за злоупотреби или закононарушения (111). Те имат правомощия за достъп до всички записи, доклади, одити, прегледи, документи, писмени материали, препоръки или други съответни материали, ако е необходимо чрез призоваване, и могат да събират показания (112). Докато главните инспектори могат да издават само препоръки за корективни мерки с необвързващ характер, техните доклади, включително относно последващите действия (или липсата на такива), се оповестяват публично и освен това се изпращат на Конгреса, който на тази основа може да упражни надзорните си функции (113).

(98)

Освен това на Надзорния съвет по въпросите на неприкосновеността на личния живот и гражданските свободи (НСВНЛЖГС), който е независима агенция (114) в рамките на изпълнителната власт, в чийто състав влизат членове, назначени от Президента с одобрението на Сената (115), са поверени отговорности в сферата на политиките в областта на противодействието срещу тероризма и тяхното прилагане, с цел защита на неприкосновеността на личния живот и гражданските свободи. За тези цели той има достъп до всички съответни записи, доклади, одити, прегледи, документи, писмени материали и препоръки на агенциите, включително до класифицирана информация, може да провежда изслушвания и да събира устни свидетелски показания. Той получава докладите на служителите по въпросите на гражданските свободи и неприкосновеността на личния живот в няколко федерални министерства/агенции (116), може да издава препоръки за тях и докладва редовно пред комисиите в Конгреса и пред президента (117). PCLOB е натоварен също със задачата да изготвя в рамките на мандата си доклад за оценка на изпълнението на ПИД-28.

(99)

И накрая, разгледаните по-горе надзорни механизми се допълват от Надзорния съвет по въпросите на разузнаването (Intelligence Oversight Board), създаден в рамките на Консултативния съвет по въпросите на разузнаването към Президента (President's Intelligence Advisory Board), който следи за спазването на конституцията и всички приложими правила от страна на органите на САЩ, работещи в областта на разузнаването.

(100)

За улеснение на надзора разузнавателните структури се насърчават да проектират информационни системи, които да позволяват наблюдение, запис и преглед на запитванията или другите видове търсене на лична информация (118). Надзорните органи и органите по спазването на нормативната уредба извършват периодични проверки на практиките на разузнавателните структури в областта на защитата на личната информация, съдържаща се в радиоелектронните разузнавателни данни, и за спазването на процедурите (119).

(101)

В допълнение тези надзорни функции са подсилени от изискванията за изготвяне на подробни доклади при случаи на неспазване на задълженията. По-специално процедурите на агенциите трябва да гарантират, че при възникване на значим проблем със спазването във връзка със събрана чрез радиоелектронно разузнаване лична информация на някое физическо лице, независимо от неговото гражданство, този проблем ще бъде своевременно докладван на ръководителя на разузнавателната структура, който от своя страна ще уведоми за това директора на Националното разузнаване, който съгласно ПИД-28 определя дали са необходими корективни мерки (120). Освен това съгласно Изпълнителен декрет 12333 е определено изискване всички разузнавателни структури да докладват на Надзорния съвет по въпросите на разузнаването относно случаите на неспазване (121). С тези механизми се гарантира, че проблемите ще бъдат решавани на най-високо равнище в разузнавателните структури. Когато се касае за лице, което не е американски гражданин, директорът на националното разузнаване, в консултация с държавния секретар и с ръководителя на министерството, департамента или агенцията, които са уведомили за случая, определя дали трябва да бъдат предприети стъпки за уведомяване на съответното чуждо правителство, като се спазват изискванията относно защитата на източниците и методите и защитата на служителите на САЩ (122).

(102)

На второ място, в допълнение към тези надзорни механизми в рамките на изпълнителната власт, Конгресът на САЩ, и по-специално комисията по въпросите на разузнаването и правната комисия към Камарата на представителите и Сената (House and Senate Intelligence and Judiciary Committees), имат надзорни отговорности по отношение на всички дейности на САЩ в областта на разузнаването, включително радиоелектронното разузнаване на САЩ. Съгласно Закона за националната сигурност (National Security Act) „Президентът осигурява комисиите по въпросите на разузнаването в Конгреса да бъдат напълно и текущо информирани относно разузнавателните дейности на Съединените американски щати, включително за предвиждани значими разузнавателни дейности, както това се изисква съгласно настоящата подглава.“ (123). Също така „Президентът осигурява на комисиите по въпросите на разузнаването в Конгреса да бъде докладвано незабавно за всяка незаконна разузнавателна дейност, както и за всички корективни мерки, които са били взети или се планират във връзка с такава незаконна дейност.“ (124). Членовете на тези комисии имат достъп до класифицирана информация, както и до разузнавателните методи и програми (125).

(103)

В по-новите закони се разширяват и прецизират изискванията за докладване към разузнавателните структури, съответните главни инспектори и Министъра на правосъдието. Например в ЗУНВР се съдържа изискване към Министъра на правосъдието да „информира в пълна степен“ комисията по въпросите на разузнаването и правната комисия към Сената и Камарата на представителите относно дейностите на правителството съгласно определени раздели от ЗУНВР (126). Също така от правителството се изисква да предоставя на комисиите в Конгреса копия на „всички решения, разпореждания или становища на Съда по надзора върху външното разузнаване или документи, които включват значими конструкции или тълкувания“ на разпоредбите на ЗУНВР. По-специално във връзка с наблюдението съгласно раздел 702 от ЗУНВР надзорът се осъществява посредством изисквани по закон доклади до комисията по въпросите на разузнаването и правната комисия, както и чести брифиниги и изслушвания. Към тях се включват шестмесечният доклад на Министъра на правосъдието, в който описва как е бил използван раздел 702 от ЗУНВР, с придружаващите го документи, включително по-специално докладите на Министерството на правосъдието и на ODNI за спазването на нормативната уредба, с описание на евентуални случаи на неспазване (127), както и отделна шестмесечна оценка от Министъра на правосъдието и директора на Националното разузнаване, в която се описва спазването на процедурите за целево събиране и свеждане до минимум, включително спазването на процедурите, с които се цели да се гарантира, че събирането се извършва със законосъобразна разузнавателна цел (128). Също така в Конгреса се получават докладите от главните инспектори, които имат правомощия да извършват оценка на спазването от страна на агенциите на процедурите за целево събиране и свеждане до минимум и на насоките на Министъра на правосъдието.

(104)

Съгласно Закона за свободата в САЩ (USA FREEDOM Act) от 2015 г. правителството е задължено всяка година да оповестява пред Конгреса (и обществеността) наред с останалото и броя на поисканите и получените разпореждания и указания съгласно ЗНЧРС, както и изчисления за броя на лицата — граждани на САЩ, и лицата, които не са американски граждани, които са били цел на наблюдение (129). Също така в закона се предвижда изискване за допълнително докладване пред обществеността относно броя на издадените писма във връзка с националната сигурност (ПНС), отново по отношение на лица — граждани на САЩ, и лица, които не са американски граждани (като същевременно се предвижда получателите на разпореждания и сертифицирания съгласно ЗНЧРС, както и на искания за ПНС, да публикуват доклади за прозрачност при определени условия) (130).

(105)

На трето място за разузнавателните дейности на публичните органи на САЩ на основание ЗНЧРС се предвижда разглеждане, а в някои случаи предварително разрешение на мерките от Съда за наблюдение на чуждите разузнавателни служби (СНЧРС)  (131), от независим правораздавателен орган (132). чиито решения подлежат на обжалване пред Апелативния съд за наблюдение на чуждите разузнавателни служби (АСНЧРС) (133). и накрая от Върховния съд на Съединените щати (134). За целите на предварителното разрешение органите, които отправят искането (ФБР, АНС, ЦРУ и др.), трябва да представят проектно заявление пред юристите на Департамента по национална сигурност към Министерството на правосъдието, които го разглеждат подробно и ако е необходимо, изискват допълнителна информация (135). След като заявлението бъде финализирано, то трябва да бъде одобрено от Министъра на правосъдието, Заместник министъра на правосъдието или Заместник министъра на правосъдието по въпросите на националната сигурност (136). След това Министерството на правосъдието подава заявлението в Съда за наблюдение на чуждите разузнавателни служби, който го разглежда и се произнася с предварително определение относно това как да се процедира (137). Когато се провежда изслушване, Съдът за наблюдение на чуждите разузнавателни служби има правомощия да взема показания, което може да включва и експертно мнение (138).

(106)

Дейността на Съда за наблюдение на чуждите разузнавателни служби и на Апелативния съд за наблюдение на чуждите разузнавателни служби се подпомага от постоянна работна група от пет лица с експертни знания и опит в областта на националната сигурност и в областта на гражданските свободи (139). От тази група съдът определя едно лице, което изпълнява функциите на amicus curiae и съдейства за разглеждането на всички заявления за разпореждане или разглеждане, които според становището на съда представляват ново или съществено тълкувание на закон, освен ако съдът счете, че е уместно да не определя такова лице (140). По-специално с това се гарантира, че съображенията за неприкосновеността на личния живот се отразяват по подходящ начин при преценката на съда. Също така съдът може да определи функциите на amicus curiae да изпълнява лице или организация, включително като предоставя техническа експертиза, когато бъде счетено за необходимо, или по предложение, да даде разрешение на дадено лице или организация да подаде подготвени от приятел на съда заключения (amicus curiae) (141).

(107)

По отношение на двете правни основания за осъществяване на наблюдение съгласно ЗУНВР, които са най-важни за предаването на данни съгласно Щита за личните данни в отношенията между ЕС и САЩ, надзорът, упражняван от Съда по надзора върху външното разузнаване, е по-различен.

(108)

Съгласно раздел 501 от ЗУНВР (142), с който се разрешава събиране на „всякакви материални вещи (вкл. книги, записи, хартиени носители, документи и други вещи)“, молбата до Съда по надзора върху външното разузнаване трябва да включва изложение на фактите, от което да личи, че са налице разумни основания да се счита, че материалните вещи, за които се иска разрешението, са релевантни за разрешено разследване (различно от оценката на заплаха), провеждано с цел да бъде получена външноразузнавателна информация, която не се отнася за лице—гражданин на САЩ, или с цел защита срещу международния тероризъм или секретни разузнавателни дейности. Също така в молбата трябва да бъдат изброени процедурите за свеждане до минимум, предвидени от Министъра на правосъдието за запазването и разпространението на събраните разузнавателни данни (143).

(109)

И обратно, съгласно раздел 702 от ЗУНВР (144) Съдът по надзора върху външното разузнаване не дава разрешение за отделни мерки за наблюдение, а за програми за наблюдение (като PRISM, UPSTREAM) въз основа на годишни сертифицирания, изготвени от Министъра на правосъдието и от директора на Националното разузнаване. Раздел 702 от ЗУНВР позволява за обект на разследване да се определят лица, за които има разумни основания да се счита, че се намират извън територията на Съединените американски щати, с цел събиране на външноразузнавателна информация (145). Определянето на такива обекти се извършва от АНС на два етапа: първо анализаторите на АНС идентифицират лица, които не са граждани на САЩ и се намират извън територията на САЩ, и чието наблюдаване по преценка на анализаторите ще осигури съответните разузнавателни данни, посочени при сертифицирането. Второ, след като са идентифицирани тези отделни лица и определянето им като цели бъде одобрено чрез механизъм за подробно разглеждане в рамките на АНС (146), се възлага задача за определянето на критерии за подбор (т.е. тяхното разработване и прилагане), чрез които да се набележат съобщителните средства (напр. адреси на ел. поща), използвани от обектите на разследването (147). Както е посочено, в сертифициранията, подлежащи на одобрение от Съда по надзора върху външното разузнаване, не се съдържа информация относно отделните лица, които ще бъдат обект на разследване, а се посочват категориите външноразузнавателна информация (148). Съдът по надзора върху външното разузнаване не прави преценка дали — по определена вероятна причина или според някакво друго изискване — лицата са определени правилно за обект на разследване с цел придобиване на разузнавателни данни (149), а неговите контролни функции се простират до проверка на условието, че„значима цел на придобиването е получаването на външноразузнавателна информация“ (150). На практика, съгласно раздел 702 от ЗУНВР АНС може да събира информация за съобщенията на лица, които не са граждани на САЩ и се намират извън територията на САЩ, само ако има разумни основания да се счита, че дадено съобщително средство се използва за предаване на данни, представляващи разузнавателен интерес (напр. свързани с международния тероризъм, с разпространението на ядрени оръжия или вражески кибернетични дейности). При определянето за тези цели се упражнява съдебен контрол (151). При сертифициранията е необходимо също така да се предвидят процедури за определяне на обекта на разузнаване и за свеждане до минимум (152). Министърът на правосъдието и директорът на Националното разузнаване проверяват дали разрешението се спазва и агенциите имат задължението да докладват за всички случаи на неспазване пред Съда по надзора върху външното разузнаване (153) (както и пред Конгреса и Надзорния съвет по въпросите на разузнаването към Президента), който може на това основание да промени разрешението (154).

(110)

Освен това, с цел да се повиши ефективността на надзора от страна на Съда по надзора върху външното разузнаване, администрацията на САЩ се съгласи да изпълни препоръка на Надзорния съвет по въпросите на неприкосновеността на личния живот и гражданските свободи за предоставяне на Съда на документацията за решенията за определяне на обекта по раздел 702, включително случайна извадка от листовете за определяне на задачата, за да се предостави възможност на съда да направи преценка как на практика се спазва изискването за целта на разузнаването (155). Същевременно администрацията на САЩ прие идеята и взе мерки за преразглеждане на процедурите на АНС за определяне на обектите на разследване, с цел по-добро документиране на основанията на разузнавателните служби при вземането на решение за определяне на обект (156).

(111)

В законодателството на САЩ са предвидени редица възможности, от които могат да се ползват субектите на данни от ЕС, когато са обезпокоени дали техни лични данни се обработват (събират се, предоставя се достъп до тях и др.) от разузнавателните структури на САЩ, и когато това е така — дали са спазени ограниченията, приложими съгласно правото на САЩ. Те се отнасят основно до три области: намеса съгласно ЗУНВР; незаконен, умишлен достъп до лични данни от страна на правителствени длъжностни лица; и достъп до информация съгласно Закона за свобода на информацията (Freedom of Information Act (FOIA) (157).

(112)

Първо, в Закона за упражняване на надзор върху външното разузнаване са предвидени редица средства за правна защита, с които разполагат също и лицата, които не са граждани на САЩ, за оспорване на неправомерно електронно наблюдение (158). Това включва възможността физическите лица да предявят срещу Съединените американски щати граждански иск за обезщетяване на финансови вреди, когато информацията за тях е била неправомерно и умишлено използвана или разкрита (159); да заведат дело срещу длъжностни лица от правителството на САЩ в лично качество („престъпление при изпълнение на служебните задължения“ — under colour of law) за финансови вреди (160)); и да оспорват законността на наблюдението (и да искат заличаване на събраната информация), в случай че правителството на САЩ възнамерява да използва или разкрива информация, получена или производна от електронно наблюдение срещу лицето, в съдебни или административни производства в Съединените американски щати (161).

(113)

Второ, правителството на САЩ насочи вниманието на Комисията към редица допълнителни възможности, които субектите на данни от ЕС могат да използват, за да търсят правна защита срещу длъжностни лица при неправомерен достъп или използване на лични данни от страна на правителството, включително за възнамеряваните цели на националната сигурност (т.е. Закона за компютърните измами и злоупотреби (162) (Computer Fraud Abuse Act); Закона за неприкосновеност на електронните съобщения (163) (Electronic Communications Privacy Act); и Закона за правото на неприкосновеност на личните финанси (164) (Right to Financial Privacy Act). Всички тези основания за подаване на иск се отнасят за конкретни данни, цели и/или видове достъп (напр. достъп от разстояние до един компютър чрез интернет) и могат да се ползват при определени условия (напр. преднамерено/умишлено поведение, поведение, излизащо извън служебните задължения, наличие на претърпени вреди) (165). В Закона за административното производство (U.S.C.5 § 702) се дава възможност за по-обща правна защита — „всяко лице, което е претърпяло правно нарушение поради действие на агенцията или е неблагоприятно засегнато или ощетено от действия на агенцията“, има право да поиска съдебен контрол. Това включва възможността да се поиска от Съда да „обяви за незаконно и да отмени действие, констатации и заключения на агенцията, за които е установено, че представляват […] произвол, каприз, злоупотреба с правото на преценка, или по друг начин не са в съответствие със закона“ (166).

(114)

И накрая, правителството на САЩ посочи Закона за свобода на информацията като средство, чрез което лица, които не са граждани на САЩ могат да поискат достъп до съществуващи записи на федерални агенции, включително когато в тях се съдържат лични данни на лицето (167). Предвид насочеността му, този закон не осигурява възможност за индивидуална правна защита срещу намесата в лични данни като такава, въпреки че по принцип би могъл да позволява на физически лица да получат достъп до съответна информация, с която разполагат агенциите на националното разузнаване. Дори в това отношение възможностите изглеждат ограничени, тъй като агенциите могат да откажат достъп до информация, която попада в обхвата на определени изброени изключения, включително достъп до класифицирана информация в областта на националната сигурност и информация относно разследвания в областта на правоприлагането (168). Предвид казаното, използването на посочените изключения от агенциите на националното разузнаване може да бъде оспорено от лицата, както по административен, така и по съдебен ред.

(115)

Макар от това да следва, че лицата, включително субектите на данни от ЕС, имат редица възможности за правна защита, когато са станали обект на неправомерно (електронно) наблюдение за целите на националната сигурност, също така е ясно, че не са обхванати най-малкото някои от правните основания, които могат да се използват от разузнавателните органи на САЩ (напр. Изпълнителен декрет 12333). Освен това, дори когато по принцип са налице възможности за съдебна правна защита за лицата, които не са граждани на САЩ, например при наблюдение съгласно ЗУНВР, възможните начини на действие са ограничени (169) и предявените от лицата (включително граждани на САЩ) искове ще бъдат обявени за недопустими, ако не може да се докаже тяхната „основателност“ (170), а това ограничава достъпа до обикновените съдилища (171).

(116)

С цел да осигури за всички субекти на данни от ЕС достъп до допълнителни възможности, правителството на САЩ реши да създаде нов механизъм, омбудсмана към Щита за личните данни, както това е изложено в писмото на държавния секретар на САЩ до Комисията, съдържащо се в приложение III към настоящото решение. Механизмът е изграден, като се изхожда от определянето съгласно ПИД-28 на старши координатор (на ниво заместник-министър) в Държавния департамент за лице за контакт, пред което чуждите правителства могат да изразяват загриженост във връзка с дейности на радиоелектронното разузнаване на САЩ, но далеч надхвърля тази първоначална идея.

(117)

По-специално, съгласно обвързващите ангажименти на правителството на САЩ омбудсманът към Щита за личните данни ще гарантира, че ще бъдат проведени разследвания по отделните жалби и лицата ще получат потвърждение от независима инстанция, че законодателството на САЩ е спазено или, когато това законодателство е нарушено, че нарушението е отстранено (172). Механизмът включва „омбудсман към Щита за личните данни“, т.е. заместник-секретар и допълнителен персонал, както и други надзорни органи, компетентни за надзора на различните елементи на разузнавателните структури, на чието сътрудничество ще разчита омбудсманът към Щита за личните данни в хода на работата си с жалбите. По-специално, когато искането на дадено лице се отнася до съвместимостта на надзора със законодателството на САЩ омбудсманът към Щита за личните данни ще може да разчита на независими надзорни органи с правомощия за разследване (като например главни инспектори или PCLOB). Във всеки случай държавният секретар гарантира, че омбудсманът ще разполага с необходимите средства, за да се гарантира, че неговият отговор на индивидуални молби се основава на цялата необходима информация.

(118)

Посредством тази „композитна структура“ механизмът на омбудсмана гарантира независим надзор и индивидуална защита. Освен това сътрудничеството с други надзорни органи осигурява достъп до необходимите експертни познания. Накрая, с налагането на задължение спрямо омбудсмана към Щита за личните данни да потвърждава спазването или отстраняването на несъответствие механизмът отразява ангажимента на правителството на САЩ като цяло за разглеждане и разрешаване на жалби от граждани на ЕС.

(119)

На първо място за разлика от механизъма, в който участват само правителствени инстанции, омбудсманът към Щита за личните данни ще получава и ще отговаря на индивидуални жалби. Подобни жалби могат да се подават на надзорните органи в държавите членки, които са компетентни за надзора на националните служби за сигурност и/или обработката на лични данни от страна на публични органи, които ще ги представят на централизиран орган на ЕС, от който те ще бъдат пренасочени към омбудсмана към Щита за личните данни (173). Това всъщност ще бъде от полза за субектите на данни от ЕС, които ще могат да се обръщат към национален (както и към европейски) орган „близо до дома“ и на собствения си език. Задачата на този орган ще бъде да оказва подкрепа на лицата при изготвянето на искане до омбудсмана към Щита за личните данни, в което се съдържа основната информация и по този начин може да бъде считано за „пълно“. Лицето не се налага да доказва, че е осъществен фактически достъп до личните му/ѝ данни от правителството на САЩ чрез дейности на радиоелектронното разузнаване.

(120)

На второ място, правителството на САЩ се ангажира да гарантира, че при изпълнението на функциите си, омбудсманът към Щита за личните данни ще може да разчита на надзора и сътрудничеството на други съществуващи механизми за разглеждане на спазването на законите на САЩ. В някои случаи това ще изисква участието на националните разузнавателни служби, по-специално когато искането следва да се тълкува като искане за достъп до документи съгласно Закона за свобода на информацията. В други случаи, когато исканията се отнасят до съвместимостта на надзора със законодателството на САЩ, това сътрудничество ще включва независими надзорни органи (напр. главни инспектори) с отговорност и правомощия да провеждат задълбочено разследване (по-специално чрез достъп до всички съответни документи и правомощие да изискват информация и отчети) и да разрешат несъответствието (174). Също така омбудсманът към Щита за личните данни ще може да отнася казусите за разглеждане от Надзорния съвет по въпросите на неприкосновеността на личния живот и гражданските свободи (175). Когато някой от тези надзорни органи установи несъответствие, съответната разузнавателна структура (напр. разузнавателна агенция) ще трябва да отстрани несъответствието, тъй като само въз основа на това омбудсманът ще може да даде „положителен“ отговор на физическото лице (т.е. че установеното нарушение е отстранено), за което правителството на САЩ е поело ангажимент. Също така в рамките на сътрудничеството омбудсманът към Щита за личните данни ще бъде информиран за резултата от разследването и ще разполага с необходимите средства, за да се получи цялата необходима информация, за да подготви отговора си.

(121)

И накрая, омбудсманът към Щита за личните данни ще бъде независим и по този начин няма да получава указания от разузнавателните структури на САЩ (176). Това е от съществено значение, като се има предвид, че омбудсманът ще трябва да „потвърди“, че е проведено необходимото разследване по жалбата и че правото на САЩ, включително ограниченията и гаранциите, разгледани в писмените изявления на ODNI, са спазени, а в случай на неспазване, че нарушението е отстранено. За да бъдат в състояние да осигуряват тази защита на неприкосновеността на личния живот, независимо потвърждение омбудсманът към Щита за личните данни ще трябва да получи информацията, необходима за разследването, за да оцени точността на отговор на жалбата. Освен това държавният секретар се е ангажирала да гарантира, че помощник-държавен секретар ще изпълнява функцията на неприкосновеността на екран омбудсманът към Щита за личните данни обективен и независим от всякакво неправомерно влияние, което би могло да има отражение върху отговорите, които следва да се предоставят.

(122)

Като цяло този механизъм гарантира, че индивидуалните жалби бъде щателно разследван и разрешен, и че поне в областта на наблюдението, това ще включва независими надзорни органи с необходимите експертни знания и правомощия за разследване и омбудсман, които ще могат да изпълняват функциите си свободно от неправилно, по-специално от политическо влияние. Освен това физическите лица ще могат да отнасят жалби, без да е необходимо да доказват (или само да дадат индикации) че са били обект на наблюдение (177). С оглед на тези характеристики Комисията е удовлетворена, че съществуват адекватни и достатъчни гаранции срещу злоупотреби.

(123)

Въз основа на всичко посочено по-горе Комисията стига до заключението, че Съединените американски щати осигуряват ефективна правна защита срещу намеса на разузнавателните им органи в основните права на физическите лица, чиито данни се предават от Съюза към Съединените американски щати съгласно Щита за личните данни в отношенията между ЕС и САЩ.

(124)

В тази връзка Комисията отбелязва решението на Съда по делото Schrems, според което „правна уредба, в която не се предвижда никаква възможност правният субект да използва правни средства за защита, за да получи достъп до засягащи го лични данни или да поправи или заличи такива данни, не зачита същественото съдържание на основното право на ефективна съдебна защита, признато в член 47 от Хартата.“ (178). Оценката на Комисията потвърди, че в САЩ е предвидена такава правна защита, в това число чрез въвеждането на механизма на омбудсмана. Механизмът на омбудсмана осигурява независим надзор с правомощия за провеждане на разследвания. Ефективността на този механизъм ще бъде подложена на повторна оценка в рамките на извършваното от Комисията непрекъснато наблюдение на Щита за личните данни, включително чрез годишния съвместен преглед, който също включва омбудсмана.

(125)

По отношение на намесата в личните данни, които се предават съгласно Щита за личните данни в отношенията между ЕС и САЩ за целите на правоприлагането, правителството на САЩ (чрез Министерството на правосъдието) даде уверения относно приложимите ограничения и гаранции, които по преценка на Комисията доказват адекватната степен на защита.

(126)

Според тази информация, съгласно четвъртата поправка в Конституцията на САЩ (179) за претърсвания и изземвания от правоприлагащите органи по принцип (180) се изисква съдебна заповед, издадена след като бъде демонстрирано наличието на „вероятна причина“. В малкото изрично установени и изключителни случаи, когато не се прилага (181) изискването за съдебна заповед, при правоприлагането се извършва тест за „основателност“ (182). Дали едно претърсване или изземване е основателно се „определя чрез преценка, от една страна за степента, в която се извършва намеса в неприкосновеността на личния живот на лицето, и от друга за степента, в която това е необходимо за законни правителствени интереси“ (183). В по-общ аспект с четвъртата поправка се гарантират неприкосновеността на личния живот и достойнството и се осигурява защита срещу произволни действия и действия на вмешателство от страна на държавни длъжностни лица (184). Тези концепции отразяват идеята за необходимост и пропорционалност в правото на Съюза. След като вещите, иззети като доказателства вече не са необходими в рамките на правоприлагането, те следва да бъдат върнати (185).

(127)

Въпреки че правата съгласно четвъртата поправка не се прилагат за лица, които не са американски граждани и не пребивават в САЩ, те все пак се ползват непряко от тази защита, като се има предвид, че личните данни се пазят от дружества в САЩ, т.е. правоприлагащите органи при всички случаи трябва да поискат разрешение от съдебен орган (или най-малкото да спазват изискването за разумно основание) (186). Допълнителна защита се осигурява и от специални законови разпоредби, както и от насоките на Министерството на правосъдието, с които достъпът на правоприлагащите органи до данни се ограничава чрез изискване за основания, които са еквивалентни на принципите на необходимост и пропорционалност (напр. като се поставя изискване към ФБР да използва методи на разследване, които са с най-ниската практически възможна степен на вмешателство, отчитайки последствията за неприкосновеността на личния живот и гражданските свободи) (187). Съгласно писмените изявления на правителството на САЩ, за разследванията за целите на правоприлагането на държавно равнище (по отношение на разследванията, които се извършват в съответствие с федералните закони) се прилага същата или по-висока степен на защита (188).

(128)

Въпреки че не във всички случаи (189) се изисква предварително съдебно разрешение от съда или от „голямото жури“ (grand jury) (разследващо поделение на съда, което се конституира от съдия или магистрат), административните разпореждания се ограничават до отделни случаи и подлежат на независим съдебен контрол, най-малкото когато правителството иска от съда налагане на мерки по принудително изпълнение (190).

(129)

Същото се прилага и при използването на административни разпореждания за цели от обществен интерес. Освен това, съгласно писмените изявления на правителството на САЩ в тези случаи се прилагат сходни по същество ограничения, тъй като агенциите могат да искат достъп само до данни, които са релевантни по въпроси, попадащи в обхвата на правомощията им и трябва да спазват изискването за основателност.

(130)

Освен това в законодателството на САЩ са предвидени редица възможности за съдебна защита на физическите лица срещу публичен орган или негово длъжностно лице, когато тези органи обработват лични данни. Тези възможности, които включват по-специално Закона за административното производство (APA), Закона за свобода на информацията (FOIA) и Закона за неприкосновеността на електронните съобщения (Electronic Communications Privacy Act (ECPA) са достъпни за всички лица, независимо от тяхната националност, при спазване на всички приложими условия.

(131)

Като цяло съгласно разпоредбите за съдебния контрол на Закона за административното производство (191), „всяко лице, което е претърпяло правно нарушение поради действие на агенцията или е неблагоприятно засегнато или ощетено от действия на агенцията“, има право да поиска съдебен контрол. (192) Това включва възможността да се поиска от Съда да „обяви за незаконно и да отмени действие, констатации и заключения на агенцията, за които е установено, че представляват […] произвол, каприз, злоупотреба с правото на преценка, или по друг начин не са в съответствие със закона“ (193).

(132)

По-конкретно, в дял II на Закона за неприкосновеността на електронните съобщения (Electronic Communications Privacy Act) се предвижда система на законоустановените права на (194) неприкосновеност на личния живот и по този начин се урежда достъпът за целите на правоприлагането до съдържанието на кабелни, устни или електронни съобщения, съхранявани от доставчици на услуги от трети страни (195). Със закона достъпът до такива съобщения се обявява за незаконен (т.е. без разрешение от съда или допустим другояче) и се дава възможност засегнатото физическо лице да предяви граждански иск в американски федерален съд за действителни и наказателни щети, както и за компенсация или установително решение срещу държавен служител, който произволно е извършил такива незаконни действия, или срещу Съединените американски щати.

(133)

Също така съгласно Закона за свобода на информацията (FOIA, 5 U.S.C., § 552) всяко лице има право да поиска достъп до документите на федерални агенции и след изчерпване на административните средства за защита да предяви това право по съдебен ред, освен доколкото тези данни са защитени от публично оповестяване по силата на освобождаване или специално изключение във връзка с правоприлагането. (196)

(134)

Освен това няколко други закона дават на физическите лица право да заведат дело срещу публичен орган или длъжностно лице в САЩ във връзка с обработката на личните им данни, като например Закона за телефонното подслушване (Wiretap Act) (197), Закона за компютърните измами и злоупотреби (Computer Fraud and Abuse Act) (198), the Federal Torts Claim Act (199), Закона за правото на неприкосновеност на личните финанси (Right to Financial Privacy Act) (200), и Закон за оповестяване на информация за кредити (Fair Credit Reporting Act) (201).

(135)

Поради това Комисията стига до заключението, че в Съединените американски щати са установени правила, предвидени да бъде ограничена всяка намеса за целите на правоприлагането (202) или за други цели от обществен интерес в основните права на физическите лица, чиито лични данни се предават от Съюза към Съединените американски щати съгласно Щита за личните данни в отношенията между ЕС и САЩ, като тази намеса се ограничава до строго необходимото за постигането на въпросната легитимна цел като посочените правила гарантират ефективна правна защита срещу подобна намеса.

(136)

С оглед на тези констатации Комисията счита, че Съединените американски щати гарантират адекватна степен на защита за личните данни, които се предават от Съюза към самосертифицирани дружества в Съединените американски щати съгласно Щита за личните данни в отношенията между ЕС и САЩ.

(137)

По-специално Комисията счита, че Принципите, публикувани от Министерството на търговията на САЩ, като цяло осигуряват ниво на защита на личните данни, което по същество е равностойно на гарантираното от основните принципи, установени в Директива 95/46/ЕО.

(138)

В допълнение към това ефективното прилагане на Принципите е гарантирано от задълженията за прозрачност и управлението на Щита за личните данни от страна на Министерството на търговията.

(139)

Освен това Комисията счита, че взети заедно механизмите за надзор и защита, предвидени съгласно Щита за личните данни, позволяват нарушенията на Принципите от организациите — участници в Щита за личните данни, да бъдат установявани и наказвани на практика и осигуряват средства за правна защита на субектите на данни, с възможност за достъп до свързаните с тях лични данни и евентуалното коригиране или заличаване на тези данни.

(140)

И накрая, въз основа на наличната информация за правния ред на САЩ, включително съгласно писмените изявления и ангажименти на правителството на САЩ, Комисията счита, че всяка намеса на публичните органи на Съединените американски щати за целите на националната сигурност, правоприлагането или за други цели от обществен интерес в основните права на физическите лица, чиито данни се предават от Съюза към Съединените щати съгласно Щита за личните данни, и произтичащите от това ограничения, налагани на самосертифицираните организации във връзка със спазването от тяхна страна на Принципите, ще бъде ограничена до строго необходимото за постигането на набелязаната легитимна цел, и че е налице ефективна правна защита срещу подобна намеса.

(141)

Комисията стига до заключението, че това съответства на изискванията, установени в член 25 от Директива 95/46/ЕО, тълкувани в светлината на Хартата на основните права на Европейския съюз, както това е разяснено от Съда, по-специално в решението по делото Schrems.

(142)

В решението по делото Schrems Съдът поясни, че Комисията няма компетенции да ограничава правомощията на ОЗД, които произтичат от член 28 от Директива 95/46/ЕО (включително правомощието да спрат предаването на данните), когато едно лице, предявило иск в съответствие с тази разпоредба, постави под въпрос съвместимостта на решение за адекватност на Комисията със защитата на основното право на неприкосновеност на личния живот и защитата на личните данни (203).

(143)

За целите на ефективния мониторинг на функционирането на Щита за личните данни Комисията трябва да бъде информирана от държавите членки относно съответно предприетите действия от ОЗД.

(144)

Освен това Съдът прие, че в съответствие с член 25, параграф 6, втора алинея от Директива 95/46/ЕО държавите членки и техните органи трябва да предприемат необходимите мерки за спазването на актовете на институциите на Съюза, тъй като последните по принцип се ползват с презумпция за законосъобразност и съответно произвеждат правно действие, докато не бъдат оттеглени, отменени в производство по жалба за отмяна или обявени за невалидни вследствие на преюдициално запитване или възражение за незаконосъобразност. Следователно решение за адекватност на Комисията, прието съгласно член 25, параграф 6 от Директива 95/46/ЕО, е обвързващо за всички органи на държавите членки адресати, включително за независимите им надзорни органи (204). Ако такъв орган получи жалба, в която се поставя под въпрос спазването от страна на решението за адекватност на Комисията на защитата на основното право на неприкосновеност на личния живот и защитата на личните данни, и този орган счете за основателни изложените твърдения, националното законодателство трябва да предвижда правни способи, позволяващи на съответния орган да изложи твърденията за нарушения пред национален съд, и ако последният споделя съмненията, той трябва да спре производството и да сезира Съда на ЕС с преюдициално запитване (205).

(145)

Предвид фактът, че степента на защита, осигурявана от правния ред на САЩ, може да претърпи промени, след приемането на настоящото решение Комисията ще извършва периодични проверки дали констатациите във връзка с адекватността на степента на защита, гарантирана от Щита за личните данни в отношенията между ЕС и САЩ остават фактически и правно обосновани. Такава проверка е наложителна във всички случаи, когато Комисията получи някаква информация, която поражда основателни съмнения в това отношение (206).

(146)

Следователно Комисията ще извършва постоянно наблюдение над цялостната рамка за предаването на лични данни, създадена с Щита за личните данни в отношенията между ЕС и САЩ, както и над спазването от страна на органите на САЩ на писмените изявления и ангажиментите, съдържащи се в документите от приложенията към настоящото решение. За да се улесни този процес, САЩ се ангажира да информира Комисията за съществени промени в правото на САЩ, когато е целесъобразно, в областта на защитата на данните и на приложимите ограничения и гаранции по отношение на достъпа до лични данни от страна на публичните органи. Освен това настоящото решение подлежи на годишен съвместен преглед, който ще обхваща всички аспекти на функционирането на Щита за личните данни в отношенията между ЕС и САЩ, включително действието на изключенията от Принципите за целите на националната сигурност и правоприлагането. Освен това, тъй като констатацията за адекватността може да бъде повлияна и от развитието на правото в законодателството на Съюза, Комисията ще оцени степента на защита, предоставена от Щита за защита на личните данни, след влизането в сила на ОРЗД.

(147)

За извършването на годишния съвместен преглед, както това е разгледано в приложения I, II и VI, Комисията ще се срещне с представители на Министерството на търговията и Федералната търговска комисия, ако е необходимо придружени от представители на други министерства и агенции, участващи в прилагането на договореностите съгласно Щита за личните данни, а по въпроси от областта на националната сигурност — и с представители на ODNI, на други разузнавателни структури и с омбудсмана. Срещата е отворена за участие на ОЗД от ЕС и представители на работната група по член 29.

(148)

В рамките на годишния съвместен преглед Комисията ще изиска от Министерството на търговията да предостави изчерпателна информация относно всички съответни аспекти на функционирането на Щита за личните данни в отношенията между ЕС и САЩ, включително случаите, по които Министерството на търговията е било сезирано от ОЗД, и резултатите от служебни проверки за спазването. Също така Комисията ще се стреми да намери обяснение по евентуални въпроси или теми във връзка с Щита за личните данни в отношенията между ЕС и САЩ и неговото функциониране, които възникнат от налична информация, включително от докладите за прозрачност, предвидени съгласно Закона за свободата в САЩ (USA FREEDOM Act), публични доклади на националните разузнавателни органи на САЩ, на ОЗД, групи по въпросите на неприкосновеността на личния живот, медийна информация или други възможни източници. Освен това, за улеснение на работата на Комисията в тази връзка, държавите членки следва да уведомяват Комисията за случаи, когато действия на органите в Съединените американски щати, отговорни за гарантиране спазването на Принципите, не са успели да осигурят спазването и когато са налице признаци, че действията на публичните органи в САЩ, които отговарят за националната сигурност или за предотвратяването, разследването, разкриването или наказателното преследване на престъпления, не гарантират изискваното ниво на защита.

(149)

Въз основа на годишния съвместен преглед Комисията ще изготви публичен доклад, който ще представи на Европейския парламент и на Съвета.

(150)

Когато въз основа на проверки или друга налична информация Комисията направи заключение, че са налице явни признаци, че ефективното спазване на Принципите на неприкосновеност на личния живот в Съединените щати вероятно повече не е гарантирано, или че действията на публичните органи в САЩ, които отговарят за националната сигурност или за предотвратяването, разследването, разкриването или наказателното преследване на престъпления, не гарантират изискваното ниво на защита, тя ще уведоми за това Министерството на търговията и ще изиска да бъдат предприети подходящи мерки, за да бъде бързо отстранена всяка потенциална възможност за неспазване на Принципите в рамките на определен в разумни граници срок. Ако след изтичането на определения срок органите на САЩ не докажат в задоволителна степен, че Щитът за личните данни в отношенията между ЕС и САЩ продължава да гарантира ефективното спазване и адекватна степен на защита, Комисията ще инициира процедурата, в резултат на която настоящото решение ще бъде частично или изцяло суспендирано или отменено (207). Алтернативна възможност е Комисията да направи предложение за изменение на настоящото решение, например като се ограничи обхватът на констатациите за адекватността само до предаване на данни при спазване на допълнителни изисквания.

(151)

По-специално Комисията ще инициира процедурата за суспендиране или отмяна в случай на:

(152)

Също така Комисията ще обмисли инициирането на процедура за изменение, суспендиране или отмяна на настоящото решение, ако в контекста на годишния съвместен преглед на функционирането на Щита за личните данни в отношенията между ЕС и САЩ или по друг начин Министерството на търговията или други министерства или агенции, участващи в прилагането на Щита за личните данни, а по въпроси от сферата на националната сигурност — представителите на разузнавателните структури на САЩ или омбудсманът, не предоставят информацията или разясненията, необходими за преценката за спазването на Принципите, за ефективността на процедурите за разглеждане на жалбите или за всяко понижаване на изискваната степен на защита вследствие от действия на националните разузнавателни органи на САЩ, и по-специално вследствие на събиране и/или достъп до лични данни, което не е било ограничено до строго необходимото и не е пропорционално. В тази връзка Комисията ще взема предвид степента, в която съответната информация може да бъде набавена от други източници, включително доклади на самосертифицирани дружества в САЩ, както това е предвидено в Закона за свободата в САЩ (USA FREEDOM Act).

(153)

Работната група за защита на физическите лица по отношение на обработването на личните данни, създадена по силата на член 29 от Директива 95/46/ЕО, публикува своето становище за степента на защита, предоставяна от Щита за личните данни в отношенията между ЕС и САЩ (208), което е взето предвид при изготвянето на настоящото решение.

(154)

Европейският парламент прие резолюция относно трансатлантическите потоци от данни (209).

(155)

Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден съгласно член 31, параграф 1 от Директива 95/46/ЕО,

—

че публичните органи на САЩ не спазват писмените изявления и ангажиментите, съдържащи се в документите от приложенията към настоящото решение, включително по отношение на условията и ограниченията за достъпа от страна на публичните органи на САЩ за целите на правоприлагането, националната сигурност или други цели от обществен интерес, до лични данни, предавани съгласно Щита за личните данни в отношенията между ЕС и САЩ;

—

за системно неефективно намиране на решение по жалби на субекти на данни от ЕС; или

—

за системно непредоставяне от страна на омбудсмана към Щита за личните данни на навременни и подходящи отговори на искания на субекти на данни от ЕС съгласно изискването в раздел 4, буква д) от приложение III.