ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ

Βρυξέλλες, 9.10.2024

COM(2024) 451 final

ΕΚΘΕΣΗ ΤΗΣ ΕΠΙΤΡΟΠΗΣ ΠΡΟΣ ΤΟ ΕΥΡΩΠΑΪΚΟ ΚΟΙΝΟΒΟΥΛΙΟ ΚΑΙ ΤΟ ΣΥΜΒΟΥΛΙΟ

σχετικά με την πρώτη περιοδική επανεξέταση της λειτουργίας της απόφασης επάρκειας για το πλαίσιο ΕΕ-ΗΠΑ για την προστασία των δεδομένων

1.Η ΠΡΩΤΗ ΠΕΡΙΟΔΙΚΗ ΕΠΑΝΕΞΕΤΑΣΗ — ΙΣΤΟΡΙΚΟ, ΠΡΟΕΤΟΙΜΑΣΙΑ ΚΑΙ ΔΙΑΔΙΚΑΣΙΑ

Στην απόφασή της της 10ης Ιουλίου 2023 (στο εξής: απόφαση επάρκειας), η Επιτροπή διαπίστωσε ότι το πλαίσιο ΕΕ-ΗΠΑ για την προστασία δεδομένων (ΠΠΔ) παρέχει επαρκές επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την Ευρωπαϊκή Ένωση σε οργανισμούς στις Ηνωμένες Πολιτείες της Αμερικής 1 . Η απόφαση επάρκειας απαιτεί από την Επιτροπή να διενεργεί περιοδικές επανεξετάσεις, η πρώτη από τις οποίες θα πρέπει να πραγματοποιηθεί μετά την παρέλευση 1 έτους από την ημερομηνία κοινοποίησης της απόφασης επάρκειας στα κράτη μέλη. Η παρούσα έκθεση ολοκληρώνει την πρώτη αυτή επανεξέταση.

Όπως απαιτείται από την αιτιολογική σκέψη 211 της απόφασης επάρκειας, αυτή η πρώτη επανεξέταση, η οποία πραγματοποιείται μετά το πρώτο έτος λειτουργίας του νέου πλαισίου, εστιάζει στην επαλήθευση αν όλα τα στοιχεία που προβλέπονται στο πλαίσιο έχουν εφαρμοστεί και λειτουργούν αποτελεσματικά. Η επανεξέταση κάλυψε όλες τις πτυχές της λειτουργίας του πλαισίου, μεταξύ άλλων υπό το πρίσμα των νομικών εξελίξεων που πραγματοποιήθηκαν μετά την έκδοση της απόφασης επάρκειας.

Στο πλαίσιο της προετοιμασίας για την επανεξέταση, η Επιτροπή συγκέντρωσε πληροφορίες από τα οικεία ενδιαφερόμενα μέρη, ιδίως από μη κυβερνητικές οργανώσεις (ΜΚΟ) με εμπειρογνωσία στον τομέα των ψηφιακών δικαιωμάτων και της ιδιωτικής ζωής 2 , οργανισμούς πιστοποιημένους βάσει του ΠΠΔ, μέσω των εμπορικών τους ενώσεων 3 , καθώς και από τις αρχές των ΗΠΑ που συμμετέχουν στην εφαρμογή του πλαισίου. Επιπλέον, η Επιτροπή συγκέντρωσε επίσης παρατηρήσεις από το ευρύ κοινό μέσω ειδικής πρόσκλησης υποβολής στοιχείων στη διαδικτυακή πύλη «Πείτε την άποψή σας» 4 .

Στις 18 και 19 Ιουλίου 2024 πραγματοποιήθηκε συνεδρίαση επανεξέτασης στην Ουάσινγκτον. Την έναρξη της συνεδρίασης κήρυξαν ο επίτροπος Δικαιοσύνης και Καταναλωτών της ΕΕ κ. Didier Reynders και η υπουργός Εμπορίου των ΗΠΑ κ. Gina Raimondo 5 .

Για την ΕΕ, η επανεξέταση διενεργήθηκε από εκπροσώπους της Γενικής Διεύθυνσης Δικαιοσύνης και Καταναλωτών της Ευρωπαϊκής Επιτροπής, από κοινού με πέντε εκπροσώπους που ορίστηκαν από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ) και προέρχονται από διαφορετικές εθνικές αρχές προστασίας δεδομένων (ΑΠΔ) και τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων 6 . Από την πλευρά των ΗΠΑ, συμμετείχαν εκπρόσωποι του Υπουργείου Εμπορίου (DoC), του Υπουργείου Εξωτερικών, της Ομοσπονδιακής Επιτροπής Εμπορίου (FTC), του Υπουργείου Μεταφορών (DoT), του Γραφείου του Διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών (ODNI), του Υπουργείου Δικαιοσύνης (DoJ), του γενικού επιθεωρητή της Κοινότητας των Υπηρεσιών Πληροφοριών, καθώς και μέλη της Επιτροπής Εποπτείας της Ιδιωτικής Ζωής και των Ατομικών Ελευθεριών (PCLOB). Επιπλέον, εκπρόσωποι οργανισμών που παρέχουν ανεξάρτητες υπηρεσίες επίλυσης διαφορών καθώς και η Αμερικανική Ένωση Διαιτησίας παρείχαν πληροφορίες κατά τη διάρκεια των σχετικών συνεδριάσεων επανεξέτασης. Επιπρόσθετα, η επανεξέταση τροφοδοτήθηκε από παρουσιάσεις οργανισμών πιστοποιημένων βάσει του ΠΠΔ σχετικά με τον τρόπο συμμόρφωσης των εταιρειών προς τις απαιτήσεις του πλαισίου.

Οι διαπιστώσεις της Επιτροπής τροφοδοτήθηκαν περαιτέρω από δημόσια διαθέσιμο υλικό, όπως δικαστικές αποφάσεις, εκτελεστικοί κανόνες και διαδικασίες των αρμόδιων αρχών των ΗΠΑ, εκθέσεις και μελέτες μη κυβερνητικών οργανώσεων, εκθέσεις διαφάνειας που εκδόθηκαν από εταιρείες πιστοποιημένες βάσει του ΠΠΔ, ετήσιες εκθέσεις ανεξάρτητων εποπτικών φορέων, καθώς και δημοσιεύματα στον Τύπο.

2.ΔΙΑΠΙΣΤΩΣΕΙΣ

2.1.Εμπορικές πτυχές

2.1.1.Η διαδικασία πιστοποίησης

Για να είναι σε θέση να λαμβάνει δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται από την ΕΕ βάσει του ΠΠΔ, μια εταιρεία των ΗΠΑ πρέπει να πιστοποιεί και, στη συνέχεια, να πιστοποιεί εκ νέου σε ετήσια βάση στο Υπουργείο Εμπορίου την τήρηση ειδικών απαιτήσεων προστασίας των δεδομένων (στο εξής: αρχές του ΠΠΔ). Η πιστοποίηση προϋποθέτει ότι η εταιρεία υπόκειται στις εξουσίες έρευνας και επιβολής της Ομοσπονδιακής Επιτροπής Εμπορίου ή του Υπουργείου Μεταφορών, δηλώνει δημοσίως τη δέσμευσή της να συμμορφώνεται με τις αρχές του ΠΠΔ και δημοσιοποιεί την πολιτική της για την προστασία της ιδιωτικής ζωής, και εφαρμόζει πλήρως τις εν λόγω απαιτήσεις 7 . Πριν από την ολοκλήρωση της πιστοποίησης, το Υπουργείο Εμπορίου επαληθεύει αν η εταιρεία πληροί όλες τις απαιτήσεις πιστοποίησης 8 .

Κατά τη συνεδρίαση επανεξέτασης, το Υπουργείο Εμπορίου εξήγησε ότι, κατά το πρώτο έτος του ΠΠΔ, δόθηκε έμφαση στην εφαρμογή της διαδικασίας πιστοποίησης, συμπεριλαμβανομένης της ανάπτυξης ειδικών εργαλείων ΤΠ, της επικαιροποίησης των διαδικασιών, της συνεργασίας με εταιρείες και της διεξαγωγής άλλων δραστηριοτήτων προβολής/ευαισθητοποίησης. Κατά την ημερομηνία της συνεδρίασης επανεξέτασης, περισσότερες από 2 800 εταιρείες έλαβαν πιστοποίηση βάσει του ΠΠΔ. Αυτό σημαίνει ότι περισσότερες εταιρείες έχουν λάβει πιστοποίηση βάσει του ΠΠΔ απ’ ό,τι βάσει του προηγούμενου πλαισίου, της ασπίδας προστασίας της ιδιωτικής ζωής, κατά το πρώτο έτος λειτουργίας του 9 . Σύμφωνα με τις πληροφορίες που παρείχε το Υπουργείο Εμπορίου, το 70 % των συμμετεχόντων είναι ΜΜΕ και ένας μεγάλος αριθμός εταιρειών του ΠΠΔ (47 %) δραστηριοποιείται στον τομέα των πληροφοριών, των επικοινωνιών και της τεχνολογίας (ΤΠΕ). Επιπλέον, το 60 % των εταιρειών είναι πιστοποιημένες αποκλειστικά για δεδομένα που δεν αφορούν το ανθρώπινο δυναμικό, το 2,5 % των εταιρειών είναι πιστοποιημένες αποκλειστικά για δεδομένα ανθρώπινου δυναμικού και το 37,5 % είναι πιστοποιημένες τόσο για δεδομένα που αφορούν το ανθρώπινο δυναμικό όσο και για δεδομένα που δεν αφορούν το ανθρώπινο δυναμικό.

Το Υπουργείο Εμπορίου έχει θεσπίσει τις αναγκαίες διαδικασίες για τη διεκπεραίωση των αιτήσεων των εταιρειών. Οι εταιρείες πρέπει να υποβάλουν τις αιτήσεις τους για πιστοποίηση στον ιστότοπο του Υπουργείου Εμπορίου που είναι αφιερωμένος στο ΠΠΔ ( https://www.dataprivacyframework.gov/ ). Περιέχει πληροφορίες σχετικά με τον τρόπο προσχώρησης στο ΠΠΔ 10 και τις υποχρεώσεις της εταιρείας βάσει του πλαισίου 11 . Μια ειδική ομάδα του Υπουργείου Εμπορίου, υπό την ευθύνη ειδικού διευθυντή για το πλαίσιο για την προστασία δεδομένων, είναι υπεύθυνη για όλες τις πτυχές που σχετίζονται με τη διαχείριση και τη διοίκηση του ΠΠΔ, συμπεριλαμβανομένης της διαδικασίας πιστοποίησης και της παρακολούθησης της συμμόρφωσης. Κάθε αίτηση ανατίθεται σε συγκεκριμένο μέλος του προσωπικού, το οποίο παραμένει υπεύθυνο για τη σχετική εταιρεία καθ’ όλη τη διάρκεια της διαδικασίας πιστοποίησης.

Για να λάβουν πιστοποίηση εντός του πλαισίου, οι εταιρείες υποβάλλουν την αίτησή τους, συμπεριλαμβανομένου σχεδίου πολιτικής για την προστασία της ιδιωτικής ζωής. Το Υπουργείο Εμπορίου ελέγχει αν το σχέδιο αυτό συμμορφώνεται με τις σχετικές απαιτήσεις του ΠΠΔ. Όταν οι οργανισμοί επιθυμούν να πιστοποιήσουν διαφορετικές οντότητες εντός ενός ομίλου εταιρειών (π.χ. διαφορετικές θυγατρικές), το Υπουργείο Εμπορίου ζητεί και εξετάζει είτε μία συνολική πολιτική προστασίας της ιδιωτικής ζωής στην οποία αναφέρονται σαφώς όλες οι οντότητες που πρόκειται να καλυφθούν είτε χωριστές πολιτικές για κάθε οντότητα. Το Υπουργείο Εμπορίου επαληθεύει επίσης με τον ανεξάρτητο μηχανισμό προσφυγής (ΑΜΠ) 12 που αναφέρεται στην αίτηση αν ο οργανισμός έχει πράγματι εγγραφεί σ’ αυτόν. Για τις εταιρείες που επιλέγουν τον φορέα αρχών προστασίας δεδομένων (π.χ. επειδή επεξεργάζονται δεδομένα ανθρώπινου δυναμικού), το Υπουργείο Εμπορίου ελέγχει αν η εταιρεία έχει καταβάλει τα απαιτούμενα τέλη για να χρησιμοποιήσει τον φορέα. Όπου απαιτείται, το Υπουργείο Εμπορίου ελέγχει επίσης αν ο αιτών εμπίπτει στη δικαιοδοσία της Ομοσπονδιακής Επιτροπής Εμπορίου ή του Υπουργείου Μεταφορών (και, ως εκ τούτου, είναι επιλέξιμος να προσχωρήσει στο ΠΠΔ).

Εάν πληρούνται όλες οι προϋποθέσεις, το Υπουργείο Εμπορίου ενημερώνει τον οργανισμό ότι μπορεί να αναρτήσει στον ιστότοπό του την πολιτική του για την προστασία της ιδιωτικής ζωής που αναφέρεται στο ΠΠΔ. Μόλις δημοσιοποιηθεί η πολιτική προστασίας της ιδιωτικής ζωής, το Υπουργείο Εμπορίου επιβεβαιώνει την πιστοποίηση και ενσωματώνει την εταιρεία στον κατάλογο του ΠΠΔ στον ιστότοπό του. Μπορεί να γίνει επίκληση του ΠΠΔ για τη λήψη δεδομένων προσωπικού χαρακτήρα από την ΕΕ από την ημερομηνία κατά την οποία το Υπουργείο Εμπορίου εγγράφει τον οργανισμό στον εν λόγω κατάλογο 13 .

Όπως εξηγήθηκε κατά τη διάρκεια της συνεδρίασης επανεξέτασης, οι έλεγχοι που διενεργήθηκαν από το Υπουργείο Εμπορίου μέχρι στιγμής είχαν ως αποτέλεσμα την απόρριψη 33 αιτήσεων, διότι δεν πληρούσαν τις απαιτήσεις του ΠΠΔ. Κατά κανόνα, το Υπουργείο Εμπορίου συνεργάζεται με την εταιρεία για την αντιμετώπιση τυχόν ελλείψεων. Όταν το Υπουργείο Εμπορίου εντοπίζει τυχόν ελλείψεις, ενημερώνει την εταιρεία ότι πρέπει να τις αντιμετωπίσει και ότι η μη ανταπόκριση εντός συγκεκριμένου χρονικού διαστήματος ή η μη ολοκλήρωση της αυτοπιστοποίησής της σύμφωνα με τις διαδικασίες του Υπουργείου Εμπορίου θα έχει ως αποτέλεσμα η αίτησή της να θεωρηθεί ότι έχει εγκαταλειφθεί. Εάν η αρχική πιστοποίηση δεν ολοκληρωθεί/τροποποιηθεί εντός 12 μηνών, το Υπουργείο Εμπορίου θεωρεί ότι έχει εγκαταλειφθεί.

Η καταληκτική ημερομηνία για την ετήσια επαναπιστοποίηση καθορίζεται στον κατάλογο ΠΠΔ για κάθε εταιρεία. Για να υπενθυμίσει στις εταιρείες την ανάγκη να υποβάλουν αίτηση επαναπιστοποίησης, το Υπουργείο Εμπορίου δημιούργησε ένα σύστημα με υπενθυμίσεις ότι η πιστοποίηση πρόκειται να λήξει. Οι οργανισμοί λαμβάνουν υπενθύμιση έναν μήνα πριν, στη συνέχεια δύο εβδομάδες πριν και, τέλος, μία ημέρα πριν από την καταληκτική ημερομηνία. Όσοι αφήσουν να παρέλθει η ημερομηνία λήξης της πιστοποίησής τους διαγράφονται από τον κατάλογο του ΠΠΔ. Όπως περιγράφεται στο παράρτημα III της απόφασης επάρκειας, το Υπουργείο Εμπορίου διαθέτει στον ιστότοπό του ειδική ενότητα στην οποία παρατίθενται οι οργανισμοί των ΗΠΑ που δεν είναι πλέον ενεργοί συμμετέχοντες και προσδιορίζονται οι αντίστοιχοι λόγοι για τους οποίους οι εν λόγω εταιρείες διαγράφηκαν από τον κατάλογο (π.χ. λήξη ή ανάκληση) («κατάλογος ανενεργών εταιρειών»). Όταν οι οργανισμοί διαγράφονται από τον κατάλογο του ΠΠΔ επειδή άφησαν να παρέλθει η ημερομηνία λήξης της πιστοποίησής τους, το Υπουργείο Εμπορίου επικοινωνεί μαζί τους ώστε να επιβεβαιώσουν αν επιθυμούν να αποσυρθούν ή, αντ’ αυτού, να προβούν σε επαναπιστοποίηση και, εάν ισχύει το δεύτερο, να επαληθεύσουν ότι, κατά τη διάρκεια της λήξης της πιστοποίησης, εφάρμοζαν τις αρχές του ΠΠΔ στα δεδομένα προσωπικού χαρακτήρα που λάμβαναν βάσει του ΠΠΔ και να διευκρινίσουν τα μέτρα που θα λάβουν για την αντιμετώπιση των εκκρεμών ζητημάτων που καθυστέρησαν την επαναπιστοποίησή τους. Όταν οι εταιρείες κοινοποιούν στο Υπουργείο Εμπορίου ότι επιθυμούν να αποσυρθούν από το ΠΠΔ, το Υπουργείο Εμπορίου απαιτεί από αυτές να επιβεβαιώσουν αν θα επιστρέψουν ή θα διαγράψουν τα δεδομένα που έλαβαν στο πλαίσιο του ΠΠΔ· αν θα τα διατηρήσουν και θα συνεχίσουν να εφαρμόζουν τις αρχές του ΠΠΔ στα εν λόγω δεδομένα (κάτι που πρέπει να επιβεβαιώνεται ετησίως)· ή αν θα τα διατηρήσουν και θα εφαρμόσουν άλλα μέσα προστασίας (όπως πρότυπες συμβατικές ρήτρες που εγκρίνονται από την Ευρωπαϊκή Επιτροπή).

Οι παρατηρήσεις που ελήφθησαν από εμπορικές ενώσεις και εταιρείες δείχνουν ότι οι εταιρείες που έχουν πιστοποιηθεί βάσει του ΠΠΔ έχουν λάβει ορισμένα μέτρα ώστε να διασφαλίσουν τη συμμόρφωση με τις αρχές του ΠΠΔ. Για παράδειγμα, για να συμμορφωθούν με την αρχή της προσφυγής, της επιβολής του νόμου και της ευθύνης, οι οργανισμοί διενήργησαν εσωτερικούς ελέγχους είτε μέσω αυτοαξιολόγησης είτε μέσω εξωτερικού ελέγχου της συμμόρφωσης. Οι δύο ΑΜΠ του ιδιωτικού τομέα που συμμετείχαν στη συνεδρίαση επανεξέτασης εξήγησαν ότι παρέχουν επίσης εξωτερικό έλεγχο της συμμόρφωσης μέσω της εξέτασης των πολιτικών προστασίας της ιδιωτικής ζωής, και ένας από τους ΑΜΠ του ιδιωτικού τομέα εξήγησε ότι παρέχει επίσης ελέγχους και δειγματοληπτικούς ελέγχους, εστιάζοντας, για παράδειγμα, στις αρχές της πρόσβασης, της επιλογής και της περαιτέρω διαβίβασης. Επιπλέον, οι πιστοποιημένες εταιρείες έχουν αναπτύξει εσωτερικά προγράμματα συμμόρφωσης και μηχανισμούς εποπτείας, έχουν εκπαιδεύσει υπαλλήλους, έχουν εφαρμόσει μηχανισμούς που παρέχουν τη δυνατότητα στα άτομα να ασκούν τα δικαιώματά τους, έχουν διενεργήσει εκτιμήσεις των επιπτώσεων όσον αφορά την προστασία της ιδιωτικής ζωής και έχουν εξετάσει υφιστάμενες συμβάσεις.

2.1.2.Παρακολούθηση της συμμόρφωσης, ψευδείς ισχυρισμοί συμμετοχής και επιβολή του νόμου

Σύμφωνα με το ΠΠΔ, το Υπουργείο Εμπορίου είναι υπεύθυνο για την παρακολούθηση της συμμόρφωσης με τις αρχές του ΠΠΔ μέσω της χρήσης διαφόρων εργαλείων, συμπεριλαμβανομένων αυτεπάγγελτων ελέγχων (με δική του πρωτοβουλία), ad hoc επιτόπιων ελέγχων και ερωτηματολογίων συμμόρφωσης. Αυτό περιλαμβάνει την αναζήτηση και την αντιμετώπιση ψευδών ισχυρισμών συμμετοχής στο πλαίσιο, για παράδειγμα μέσω αναζητήσεων στο διαδίκτυο 14 .

Για την παρακολούθηση της συμμόρφωσης των εταιρειών του ΠΠΔ με τις αρχές, το Υπουργείο Εμπορίου βασίστηκε κυρίως σε ad hoc αναζητήσεις στο διαδίκτυο και σε ελέγχους στα μέσα επικοινωνίας (κοινωνικής δικτύωσης) το προηγούμενο έτος. Το Υπουργείο Εμπορίου ανέφερε ότι δεν εντόπισε ζητήματα συμμόρφωσης με τις αρχές του ΠΠΔ κατά το εν λόγω πρώτο έτος και δεν παρέπεμψε καμία εταιρεία στην Ομοσπονδιακή Επιτροπή Εμπορίου ή στο Υπουργείο Μεταφορών για πιθανά μέτρα επιβολής του νόμου. Έχει επίσης δημιουργήσει ειδικό σημείο επαφής για τη διευκόλυνση της συνεργασίας με τις ΑΠΔ και τη λήψη καταγγελιών από φυσικά πρόσωπα και παραπομπών από άλλες αρχές (π.χ. ΑΠΔ ή Ομοσπονδιακή Επιτροπή Εμπορίου). Ωστόσο, κατά το προηγούμενο έτος δεν ελήφθησαν παραπομπές ή καταγγελίες. Ενώ το εν λόγω πρώτο έτος λειτουργίας του ΠΠΔ εστίασε στη θέσπιση του πλαισίου και της διαδικασίας πιστοποίησης, κατά τη συνεδρίαση επανεξέτασης το Υπουργείο Εμπορίου εξήγησε ότι σχεδιάζει να διενεργεί ελέγχους συμμόρφωσης με αυτοματοποιημένα μέσα προκειμένου να τους εκτελεί συστηματικότερα και, επί του παρόντος, αναπτύσσει τα απαραίτητα εργαλεία ΤΠ για τον σκοπό αυτόν.

Η Επιτροπή αναγνωρίζει ότι το Υπουργείο Εμπορίου έπρεπε να εστιάσει τις προσπάθειές του κατά το εν λόγω πρώτο έτος στη θέσπιση του πλαισίου και της διαδικασίας πιστοποίησης. Στο εξής, είναι σημαντικό το Υπουργείο Εμπορίου να εντείνει τις προσπάθειές του όσον αφορά την παρακολούθηση και τον έλεγχο της συμμόρφωσης με τις αρχές, κάτι που είναι αναγκαίο για να διασφαλιστεί η διατήρηση του υψηλού επιπέδου συμμόρφωσης με το πλαίσιο και ο εντοπισμός περιπτώσεων που απαιτούν περαιτέρω μέτρα επιβολής του νόμου, συμπεριλαμβανομένων πιθανών ψευδών ισχυρισμών συμμετοχής των εταιρειών. Στο πλαίσιο αυτό, η Επιτροπή εκφράζει την ικανοποίησή της για το γεγονός ότι το Υπουργείο Εμπορίου επιβεβαίωσε την πρόθεσή του να αναπτύξει και να χρησιμοποιήσει (αυτοματοποιημένα) εργαλεία για τον αποτελεσματικότερο και συστηματικότερο εντοπισμό ζητημάτων συμμόρφωσης και ψευδών ισχυρισμών και είναι της άποψης ότι αυτό θα πρέπει να αποτελέσει μέρος μιας ευρύτερης προσπάθειας για εκτενέστερη χρήση των διαφόρων εργαλείων που έχει στη διάθεσή του (π.χ. επιτόπιοι έλεγχοι, ερωτηματολόγια ελέγχου της συμμόρφωσης, αιτήσεις παροχής πληροφοριών κ.λπ.), μεταξύ άλλων για την επαλήθευση της συμμόρφωσης με ειδικές απαιτήσεις στο πλαίσιο του ΠΠΔ 15 .

Οι οργανισμοί του ΠΠΔ υπόκεινται στη δικαιοδοσία της Ομοσπονδιακής Επιτροπής Εμπορίου και του Υπουργείου Μεταφορών. Κατά τη συνεδρίαση επανεξέτασης, το Υπουργείο Μεταφορών επιβεβαίωσε ότι εφαρμόζει όλες τις διαδικασίες για τη λήψη κατάλληλων μέτρων επιβολής του νόμου. Εξήγησε επίσης ότι πολύ λίγες εταιρείες που υπάγονται στη δικαιοδοσία του έχουν προσχωρήσει στο ΠΠΔ (δηλαδή μερικοί τουριστικοί πράκτορες αλλά καμία αεροπορική εταιρεία). Η Ομοσπονδιακή Επιτροπή Εμπορίου επιβεβαίωσε ότι ελέγχει συστηματικά για παραβάσεις του ΠΠΔ σε καθεμία από τις έρευνές της για την προστασία της ιδιωτικής ζωής. Μέχρι στιγμής, η Ομοσπονδιακή Επιτροπή Εμπορίου δεν έχει λάβει παραπομπές από άλλες αρχές. Έχει λάβει ορισμένες καταγγελίες στις οποίες αναφέρεται το ΠΠΔ, παρότι δύο από αυτές αφορούσαν εταιρείες που περιλαμβάνονταν στον «κατάλογο ανενεργών εταιρειών», δύο αφορούσαν εταιρείες που δεν συμμετείχαν στο πλαίσιο και μία δεν αφορούσε δεδομένα προσωπικού χαρακτήρα που διαβιβάστηκαν από την ΕΕ. Κατά τον χρόνο σύνταξης της παρούσας έκθεσης, η Ομοσπονδιακή Επιτροπή Εμπορίου δεν είχε εκδώσει αποφάσεις για την επιβολή της συμμόρφωσης με το ΠΠΔ, μολονότι επιβεβαίωσε ότι αρκετές εταιρείες που είναι πιστοποιημένες βάσει του ΠΠΔ τελούν επί του παρόντος υπό έρευνα.

Η Επιτροπή εκφράζει την ικανοποίησή της για το γεγονός ότι η Ομοσπονδιακή Επιτροπή Εμπορίου ελέγχει συστηματικά τις παραβάσεις του ΠΠΔ σε όλες τις έρευνές της για την προστασία της ιδιωτικής ζωής. Δεδομένου ότι η συνεχής αποτελεσματικότητα του ΠΠΔ εξαρτάται από την αυστηρή επιβολή του, αναμένεται ότι η Ομοσπονδιακή Επιτροπή Εμπορίου θα ασκήσει περαιτέρω τις εξουσίες έρευνας που διαθέτει βάσει του πλαισίου, μεταξύ άλλων διεξάγοντας προορατικά δράσεις σαρωτικού ελέγχου που εστιάζουν στη συμμόρφωση με συγκεκριμένες απαιτήσεις του ΠΠΔ και/ή ορισμένους τομείς.

2.1.3.Χειρισμός καταγγελιών

Το ΠΠΔ παρέχει στα φυσικά πρόσωπα της ΕΕ διαφορετικές δυνατότητες προσφυγής για περιπτώσεις μη συμμόρφωσης με τις αρχές του ΠΠΔ από πιστοποιημένους οργανισμούς 16 . Αυτές οι δυνατότητες περιλαμβάνουν την επιδίωξη της επίλυσης του ζητήματος μέσω άμεσων επαφών με τον οργανισμό του ΠΠΔ, ο οποίος πρέπει να παρέχει απάντηση στο θιγόμενο φυσικό πρόσωπο εντός 45 ημερών. Τα φυσικά πρόσωπα μπορούν επίσης να υποβάλουν καταγγελία σε ΑΜΠ που έχει οριστεί από οργανισμό για τη διερεύνηση και την επίλυση καταγγελιών. Ανάλογα με τις περιστάσεις, τέτοιος μηχανισμός θα μπορούσε να είναι είτε φορέας εναλλακτικής επίλυσης διαφορών είτε ΑΠΔ 17 . Τέλος, σε περίπτωση που κανένα από τα άλλα διαθέσιμα μέσα έννομης προστασίας δεν έχει επιλύσει ικανοποιητικά την καταγγελία του υποκειμένου των δεδομένων, τα φυσικά πρόσωπα μπορούν να κινήσουν δεσμευτική διαιτησία ενώπιον της επιτροπής του ΠΠΔ ΕΕ-ΗΠΑ ως προσφυγή έσχατης λύσης.

2.1.3.1.Χειρισμός καταγγελιών από εταιρείες

Από τις απαντήσεις των εμπορικών ενώσεων και των εταιρειών σε ερωτηματολόγια που απέστειλε η Επιτροπή προκύπτει ότι οι εταιρείες που έχουν πιστοποιηθεί βάσει του ΠΠΔ έχουν λάβει πολύ λίγες —αν όχι ελάχιστες— καταγγελίες από φυσικά πρόσωπα σχετικά με τη μη συμμόρφωση με τις αρχές του ΠΠΔ. Ταυτόχρονα, οι εταιρείες έχουν θέσει σε εφαρμογή διάφορους μηχανισμούς και εργαλεία που παρέχουν τη δυνατότητα στα άτομα να ασκούν τα δικαιώματά τους και να υποβάλουν καταγγελίες, μεταξύ άλλων μέσω διαδικτυακών εντύπων, ηλεκτρονικού ταχυδρομείου και τηλεφώνου.

2.1.3.2.Ανεξάρτητοι μηχανισμοί προσφυγής (ΑΜΠ)

Οι παρατηρήσεις που ελήφθησαν κατά τη συνεδρίαση επανεξέτασης και οι πληροφορίες που παρείχαν οι εμπορικές ενώσεις δείχνουν ότι υπήρξε πολύ μικρός αριθμός καταγγελιών σε ανεξάρτητους μηχανισμούς επίλυσης. Οι ΑΜΠ που έχουν επιλεγεί από εταιρείες περιλαμβάνουν τους μηχανισμούς Εθνικά προγράμματα BBB, JAMS, TRUSTe και VeraSafe. Το ΠΠΔ απαιτεί οι ΑΜΠ να δημοσιεύουν ετήσια έκθεση με συγκεντρωτικά στατιστικά στοιχεία σχετικά με τη χρήση των υπηρεσιών επίλυσης διαφορών τους. Κατά τον χρόνο έγκρισης της παρούσας έκθεσης, όλοι οι ενδιαφερόμενοι ΑΜΠ είχαν δημοσιεύσει τις ετήσιες εκθέσεις τους 18 .

Επιπλέον, κατά τη συνεδρίαση επανεξέτασης, η BBB και η VeraSafe παρουσίασαν λεπτομερώς τις δραστηριότητές τους από το προηγούμενο έτος. Ανέφεραν αύξηση του αριθμού των συμμετεχόντων επιχειρήσεων που επέλεξαν τις υπηρεσίες τους σε σύγκριση με προηγούμενα πλαίσια και ανέφεραν ότι είχαν λάβει ορισμένες καταγγελίες, παρότι η συντριπτική πλειονότητα δεν πληρούσε τις προϋποθέσεις. Για παράδειγμα, η BBB έλαβε 87 καταγγελίες από φυσικά πρόσωπα της ΕΕ, από τις οποίες μόνο δύο πληρούσαν τις προϋποθέσεις για επίλυση. Μολονότι η BBB εξήγησε ότι οι καταγγελίες διεκπεραιώνονται σε 5 εργάσιμες ημέρες κατά μέσο όρο, οι δύο αυτές καταγγελίες τέθηκαν τελικά στο αρχείο λόγω έλλειψης απόκρισης εκ μέρους των φυσικών προσώπων. Η VeraSafe έλαβε 26 καταγγελίες, από τις οποίες έξι πληρούσαν τις προϋποθέσεις για επίλυση. Δύο από αυτές, οι οποίες αφορούσαν αιτήσεις πρόσβασης και διαγραφής, επιλύθηκαν, ενώ δύο εξακολουθούν να εκκρεμούν και δύο είτε αποσύρθηκαν είτε τέθηκαν στο αρχείο λόγω έλλειψης απόκρισης από το φυσικό πρόσωπο. Και οι δύο ΑΜΠ εξήγησαν ότι επιδιώκουν να απαντούν στις καταγγελίες στη γλώσσα του φυσικού προσώπου.

Οι εταιρείες ΠΠΔ που επεξεργάζονται δεδομένα ανθρώπινου δυναμικού τα οποία διαβιβάζονται από την ΕΕ πρέπει να επιλέγουν τις ΑΠΔ της ΕΕ ως ΑΜΠ για τα εν λόγω δεδομένα, ενώ μια εταιρεία ΠΠΔ μπορεί σε εθελοντική βάση να επιλέξει τις ΑΠΔ της ΕΕ ως ΑΜΠ για άλλα είδη δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται βάσει του ΠΠΔ. Στην πραγματικότητα, περισσότερες από τις μισές εταιρείες που είχαν πιστοποιηθεί βάσει του ΠΠΔ κατά τον χρόνο της επανεξέτασης επέλεξαν τη λύση αυτή 19 , κάτι που αποτελεί ευπρόσδεκτη εξέλιξη. Μετά την έκδοση της απόφασης επάρκειας, το ΕΣΠΔ ενέκρινε τον εσωτερικό κανονισμό για τον «ανεπίσημο φορέα των ΑΠΔ της ΕΕ». Ο φορέας είναι αρμόδιος για την παροχή δεσμευτικών συμβουλών στους οργανισμούς των ΗΠΑ ύστερα από ανεπίλυτες καταγγελίες που αφορούν το ΠΠΔ από φυσικά πρόσωπα σχετικά με τον χειρισμό δεδομένων προσωπικού χαρακτήρα που έχουν διαβιβαστεί από την ΕΕ στο πλαίσιο του ΠΠΔ. Σύμφωνα με τον εσωτερικό κανονισμό του, ο φορέας συγκροτείται από μία ΑΠΔ που ενεργεί ως επικεφαλής ΑΠΔ και από άλλες ΑΠΔ που έχουν οριστεί ως συν-ελεγκτές 20 . Παρέχει δεσμευτικές συμβουλές εντός 60 ημερών από την παραλαβή καταγγελίας που αφορά το ΠΠΔ. Το ΕΣΠΔ έχει επίσης δημοσιεύσει υπόδειγμα εντύπου καταγγελίας για την υποβολή καταγγελιών στις ΑΠΔ 21 , καθώς και συχνές ερωτήσεις για Ευρωπαίους ιδιώτες 22 και επιχειρήσεις 23 σχετικά με το ΠΠΔ. Ο φορέας δεν έλαβε καμία καταγγελία κατά τον χρόνο της επανεξέτασης.

2.1.3.3.Ο μηχανισμός δεσμευτικής διαιτησίας

Το Διεθνές Κέντρο Επίλυσης Διαφορών (ICDR), το οποίο είναι το διεθνές τμήμα της Αμερικανικής Ένωσης Διαιτησίας, επιλέχθηκε από το Υπουργείο Εμπορίου για τη διαχείριση του μηχανισμού δεσμευτικής διαιτησίας. Μετά την έκδοση της απόφασης επάρκειας, το Υπουργείο Εμπορίου, από κοινού με την Επιτροπή, επέλεξε 11 διαιτητές με πείρα στην προστασία της ιδιωτικής ζωής και από διάφορα υπόβαθρα, όπως διαιτησία, δικαστικό σώμα, ακαδημαϊκή κοινότητα και κοινωνία των πολιτών 24 . Επιπλέον, έχουν εγκριθεί κανόνες διαιτησίας 25 για την επιτροπή του ΠΠΔ και κώδικας δεοντολογίας για τους διαιτητές 26 και είναι όλα διαθέσιμα στον ιστότοπο του ICDR. Κατά τον χρόνο της επανεξέτασης, ο μηχανισμός διαιτησίας δεν είχε ακόμη ενεργοποιηθεί από κανένα φυσικό πρόσωπο στην ΕΕ.

2.1.4.Καθοδήγηση, συνεργασία και ευαισθητοποίηση

Από την έναρξη ισχύος του ΠΠΔ, το Υπουργείο Εμπορίου έχει πραγματοποιήσει διάφορες δραστηριότητες ευαισθητοποίησης με τη διοργάνωση ενημερωτικών περιοδειών, διαδικτυακών σεμιναρίων και συνεδρίων· απευθύνθηκε σε εμπορικές ενώσεις και επικοινώνησε απευθείας με περισσότερες από 3 000 εταιρείες για την παροχή πληροφοριών σχετικά με το ΠΠΔ. Έχει επίσης δημοσιεύσει κατευθυντήριες γραμμές, μεταξύ άλλων με τη μορφή συχνών ερωτήσεων που απευθύνονται σε φυσικά πρόσωπα, καθώς και σε επιχειρήσεις της ΕΕ και των ΗΠΑ 27 . Το ΕΣΠΔ με τη σειρά του έχει καταρτίσει έντυπα καταγγελίας και συχνές ερωτήσεις που απευθύνονται σε φυσικά πρόσωπα και επιχειρήσεις. Ομοίως, η Επιτροπή δημοσίευσε ερωτήσεις και απαντήσεις και ενημερωτικό φυλλάδιο σχετικά με το ΠΠΔ όταν εξέδωσε την απόφασή της περί επάρκειας 28 .

Ταυτόχρονα, από τη συνεδρίαση επανεξέτασης προέκυψε ότι απαιτούνται περισσότερες προσπάθειες για την ευαισθητοποίηση των φυσικών προσώπων και την παροχή καθοδήγησης στις επιχειρήσεις. Οι παρατηρήσεις που ελήφθησαν από εταιρείες και ΑΜΠ και ο πολύ μικρός αριθμός καταγγελιών υποδηλώνουν ότι τα φυσικά πρόσωπα ενδέχεται να μη γνωρίζουν πάντοτε τα δικαιώματά τους και/ή τον μηχανισμό άσκησής τους. Κατά τη συνεδρίαση επανεξέτασης, το Υπουργείο Εμπορίου εξέφρασε ενδιαφέρον για συνεργασία με τις ΑΠΔ της ΕΕ με σκοπό την ευαισθητοποίηση των πολιτών της ΕΕ σχετικά με το πλαίσιο. Η Επιτροπή ενθαρρύνει τέτοιες πρωτοβουλίες και λαμβάνει επίσης μέτρα για την καλύτερη ενημέρωση των φυσικών προσώπων, μεταξύ άλλων με την παροχή πρόσθετων πληροφοριών σχετικά με το ΠΠΔ στον ιστότοπό της, για παράδειγμα με την ενσωμάτωση συνδέσμων και παραπομπών σε σχετικά έγγραφα καθοδήγησης που έχουν εγκριθεί από το ΕΣΠΔ, το Υπουργείο Εμπορίου και άλλες αρχές των ΗΠΑ.

Όσον αφορά την καθοδήγηση σχετικά με τις αρχές του ΠΠΔ, οι εκπρόσωποι του ΕΣΠΔ συμφώνησαν κατά τη συνεδρίαση επανεξέτασης να συνεργαστούν κατά τους προσεχείς μήνες για την παροχή περαιτέρω διευκρινίσεων σχετικά με την έννοια των δεδομένων ανθρώπινου δυναμικού στο πλαίσιο του ΠΠΔ και τις ειδικές υποχρεώσεις που ισχύουν για την επεξεργασία των εν λόγω δεδομένων. Διερευνήθηκαν διάφορα στοιχεία που θα πρέπει να συμπεριληφθούν στην εν λόγω καθοδήγηση. Για παράδειγμα, η καθοδήγηση αυτή θα μπορούσε να εξετάζει ορισμένα πρακτικά σενάρια στα οποία τα δεδομένα των εργαζομένων υποβάλλονται σε επεξεργασία στο πλαίσιο του ΠΠΔ (π.χ. από πάροχο υπηρεσιών υπολογιστικού νέφους) και να εξηγεί ποιες θα ήταν οι σχετικές υποχρεώσεις στο πλαίσιο του ΠΠΔ σε αυτά τα σενάρια. Επιπλέον, θα μπορούσε να προτείνει στις εταιρείες που λαμβάνουν δεδομένα εργαζομένων τα οποία αφορούν φυσικά πρόσωπα στην ΕΕ (αλλά δεν χρησιμοποιούν κατ’ ανάγκη τα εν λόγω δεδομένα στο πλαίσιο σχέσης εργασίας) να επιλέξουν τον φορέα ΑΠΔ ως ΑΜΠ τους. Με τον τρόπο αυτόν θα διασφαλιζόταν ότι τα εν λόγω φυσικά πρόσωπα μπορούν να απευθύνονται σε αρχή που βρίσκεται «κοντά στο σπίτι τους» και, όπου απαιτείται, είναι πιο εξοικειωμένη με την εφαρμοστέα ως προς τα δεδομένα ανθρώπινου δυναμικού εθνική νομοθεσία.

Επίσης, μια συγκεκριμένη πτυχή στην οποία φαίνεται ότι θα ήταν χρήσιμη η παροχή περισσότερης καθοδήγησης (με βάση επίσης τις παρατηρήσεις που λαμβάνονται από τις εμπορικές ενώσεις) αφορά τις απαιτήσεις του ΠΠΔ για τις περαιτέρω διαβιβάσεις. Επιπρόσθετα, το Υπουργείο Εμπορίου ανέφερε ότι θα ήταν σκόπιμο να διερευνηθεί αν ορισμένοι τομείς μπορούν να επωφεληθούν από πρόσθετη καθοδήγηση σχετικά με την εφαρμογή των αρχών του ΠΠΔ στις δραστηριότητές τους, π.χ. στο πεδίο της έρευνας στον τομέα της υγείας και στον τομέα των χρηματοπιστωτικών υπηρεσιών.

Η Επιτροπή εκφράζει την ικανοποίησή της για την ετοιμότητα αμφότερων των πλευρών να αναπτύξουν καθοδήγηση και αναμένει ότι οι εργασίες για τα προαναφερθέντα θέματα θα ξεκινήσουν σύντομα.

Γενικότερα, έχουν δημιουργηθεί διάφοροι μηχανισμοί για τη διασφάλιση των ανταλλαγών και της συνεργασίας μεταξύ των αρχών των ΗΠΑ και των ΑΠΔ, μεταξύ άλλων μέσω του ορισμού ειδικών σημείων επαφής εντός της Ομοσπονδιακής Επιτροπής Εμπορίου και του Υπουργείου Εμπορίου για τη διεκπεραίωση ερευνών και παραπομπών από τις ΑΠΔ.

2.1.5.Σχετικές εξελίξεις στο νομικό σύστημα των ΗΠΑ

Μετά την έκδοση της απόφασης επάρκειας, έχουν σημειωθεί ορισμένες εξελίξεις στο νομικό πλαίσιο των ΗΠΑ στον τομέα της προστασίας της ιδιωτικής ζωής. Σ’ αυτές περιλαμβάνονται εξελίξεις σε νομοθετικό και κανονιστικό επίπεδο, καθώς και σε επίπεδο νομολογίας, οι οποίες σηματοδοτούν γενικά μια αυξημένη σύγκλιση μεταξύ των προσεγγίσεων της ΕΕ και των ΗΠΑ όσον αφορά ορισμένες προκλήσεις για την προστασία της ιδιωτικής ζωής, μεταξύ άλλων μέσω της χρήσης παρόμοιων νομικών εννοιών. Ορισμένες από τις εξελίξεις αυτές συνεχίζονται και πρέπει να υπάρξει περαιτέρω παρακολούθηση.

Σε ομοσπονδιακό επίπεδο, ο πρόεδρος των ΗΠΑ εξέδωσε διάφορα εκτελεστικά διατάγματα που αφορούν τη χρήση δεδομένων προσωπικού χαρακτήρα. Ειδικότερα, το εκτελεστικό διάταγμα EO 14117 της 28ης Φεβρουαρίου 2024 29 απαγορεύει ή περιορίζει τις συναλλαγές που αφορούν ορισμένες κατηγορίες ευαίσθητων δεδομένων προσωπικού χαρακτήρα (π.χ. δεδομένα υγείας, βιομετρικά αναγνωριστικά στοιχεία, ανθρώπινα γονιδιωματικά δεδομένα) με οντότητες σε ορισμένες «χώρες που αποτελούν πηγή ανησυχίας» 30 . Το εκδοθέν διάταγμα αναθέτει στον γενικό εισαγγελέα να προτείνει κανονισμούς —που δεν έχουν ακόμη εκδοθεί κατά τον χρόνο έκδοσης της παρούσας έκθεσης— για τον περαιτέρω προσδιορισμό της εφαρμογής του. Επιπλέον, το εκτελεστικό διάταγμα EO 14110, της 30ής Οκτωβρίου 2023, σχετικά με την τεχνητή νοημοσύνη 31 εστιάζει στην ανάπτυξη ασφαλούς, προστατευμένης και αξιόπιστης τεχνητής νοημοσύνης. Απαιτεί από διάφορες ομοσπονδιακές υπηρεσίες να αναπτύξουν πρότυπα και κατευθυντήριες γραμμές ασφάλειας που σχετίζονται με την ΤΝ, μεταξύ άλλων σχετικά με συγκεκριμένους κινδύνους της ΤΝ για την ιδιωτική ζωή και τεχνικές προστασίας της ιδιωτικής ζωής.

Όσον αφορά το νομοθετικό έργο, ενώ τα τελευταία χρόνια έχουν θεσπιστεί στο Κογκρέσο ομοσπονδιακά σχέδια νόμου για την προστασία της ιδιωτικής ζωής, 20 πολιτείες των ΗΠΑ έχουν θεσπίσει ολοκληρωμένους νόμους για την προστασία της ιδιωτικής ζωής από τον Ιούλιο του 2024, από τους οποίους οκτώ έχουν τεθεί σε εφαρμογή: Βιρτζίνια, Γιούτα, Καλιφόρνια, Κολοράντο, Κονέκτικατ, Όρεγκον, Τέξας και Φλόριντα. Επιπρόσθετα, 17 πολιτείες των ΗΠΑ έχουν θεσπίσει νομοθεσία που αφορά την αυτοματοποιημένη επεξεργασία (ή, τουλάχιστον, ορισμένες μορφές επεξεργασίας) και γενικά επιτρέπει τη δυνατότητα εξαίρεσης για ορισμένα είδη λήψης αποφάσεων με βάση την «κατάρτιση προφίλ» 32 .

Όσον αφορά τις εξελίξεις στη νομολογία, αρκετοί εκπρόσωποι της κοινωνίας των πολιτών επισήμαναν την πρόσφατη απόφαση του Ανώτατου Δικαστηρίου στην υπόθεση Loper Bright Enterprises κατά Raimondo (της 28ης Ιουνίου 2024). Η εν λόγω απόφαση ακυρώνει προηγούμενη νομολογία σχετικά με το δόγμα Chevron, σύμφωνα με το οποίο τα δικαστήρια εφαρμόζουν την αρχή της υπεράσπισης στην εύλογη ερμηνεία του δικαίου από κανονιστικό οργανισμό σε περίπτωση αμφισημίας σε νόμο που εφαρμόζεται από τον εν λόγω οργανισμό. Ειδικότερα, ορισμένες ΜΚΟ εξέφρασαν ανησυχίες σχετικά με τον αντίκτυπο της εν λόγω απόφασης του Ανώτατου Δικαστηρίου στην αρχή θέσπισης κανόνων της Ομοσπονδιακής Επιτροπής Εμπορίου στον τομέα της προστασίας της ιδιωτικής ζωής, ενώ αναγνώρισαν ότι ενδέχεται να υπάρχει μηδενικός ή περιορισμένος αντίκτυπος στις εξουσίες επιβολής της. Κατά τη συνεδρίαση επανεξέτασης, η Ομοσπονδιακή Επιτροπή Εμπορίου ενημέρωσε ότι είναι ακόμη νωρίς για να προσδιοριστούν οι ακριβείς επιπτώσεις της εν λόγω απόφασης. Ταυτόχρονα, εξήγησε ότι η θέσπιση κανόνων της Ομοσπονδιακής Επιτροπής Εμπορίου πραγματοποιείται στο πλαίσιο μιας εξουσίας που προβλέπεται στον νόμο της Ομοσπονδιακής Επιτροπής Εμπορίου, η οποία είναι διαφορετική από εκείνη που ισχύει για άλλους διοικητικούς οργανισμούς και για την οποία το δόγμα Chevron ήταν λιγότερο συναφές. Ως εκ τούτου, η πρόσφατη απόφαση μπορεί να έχει περιορισμένο αντίκτυπο στον τομέα αυτόν.

Επιπρόσθετα, η Ομοσπονδιακή Επιτροπή Εμπορίου ενημέρωσε σχετικά με τις πρόσφατες εξελίξεις στην προσέγγισή της όσον αφορά την αυτοματοποιημένη επεξεργασία και την τεχνητή νοημοσύνη. Σε αυτές περιλαμβάνονται η υιοθέτηση κοινής δήλωσης από κοινού με άλλες αρχές επιβολής του νόμου κατά των διακρίσεων και των προκαταλήψεων στα αυτοματοποιημένα συστήματα 33 , καθώς και διάφορες δράσεις επιβολής —στις οποίες η Ομοσπονδιακή Επιτροπή Εμπορίου εστιάζει, μεταξύ άλλων, στη διαφάνεια, στον δίκαιο χαρακτήρα της αυτοματοποιημένης επεξεργασίας και στην ικανότητα των φυσικών προσώπων να αμφισβητούν τα αποτελέσματα. Η πιο αξιοσημείωτη υπόθεση εν προκειμένω είναι η απόφαση της Ομοσπονδιακής Επιτροπής Εμπορίου κατά της Rite Aid τον Μάρτιο του 2024, η οποία επέβαλε 5ετή απαγόρευση στη χρήση τεχνολογίας αναγνώρισης προσώπου από την εν λόγω εταιρεία για σκοπούς ασφάλειας 34 . Ειδικότερα, η Ομοσπονδιακή Επιτροπή Εμπορίου διαπίστωσε ότι η Rite Aid δεν έλαβε εύλογα μέτρα για την αποτροπή εσφαλμένων αποτελεσμάτων και την ενημέρωση των καταναλωτών σχετικά με τη χρησιμοποιούμενη τεχνολογία. Γενικότερα, κατά τη συνεδρίαση επανεξέτασης, η Ομοσπονδιακή Επιτροπή Εμπορίου εξέτασε τις τρέχουσες προτεραιότητές της και ιδίως τους τομείς που θεωρεί ότι χρήζουν μιας πιο προορατικής προσέγγισης επιβολής του νόμου στο μέλλον. Σ’ αυτούς περιλαμβάνονται η προστασία των ευαίσθητων δεδομένων (π.χ. δεδομένα υγείας, βιομετρικά δεδομένα, γεωεντοπισμός) 35 , η προστασία των παιδιών 36 και των ανηλίκων στο διαδίκτυο και η ασφάλεια των δεδομένων 37 .

Η Επιτροπή θα συνεχίσει να παρακολουθεί στενά αυτές και άλλες εξελίξεις στις ΗΠΑ, ιδίως τυχόν περαιτέρω βήματα προς την κατεύθυνση ενός ολοκληρωμένου ομοσπονδιακού νόμου για την προστασία της ιδιωτικής ζωής και τον πιθανό αντίκτυπο της πρόσφατης νομολογίας του Ανώτατου Δικαστηρίου στον ρόλο της Ομοσπονδιακής Επιτροπής Εμπορίου στον τομέα της προστασίας της ιδιωτικής ζωής.

Η Επιτροπή εκφράζει την ικανοποίησή της για τις πληροφορίες που παρείχε η Ομοσπονδιακή Επιτροπή Εμπορίου σχετικά με τις πρόσφατες δραστηριότητές της ως προς την επιβολή του νόμου και με τις τρέχουσες προτεραιότητές της, που αντιστοιχούν σε μεγάλο βαθμό στις τάσεις και τις προτεραιότητες όσον αφορά την επιβολή της νομοθεσίας για την προστασία των δεδομένων στην Ευρώπη. Η Ομοσπονδιακή Επιτροπή Εμπορίου συμμετέχει επίσης ενεργά στο δίκτυο στο οποίο συμμετέχουν χώρες που επωφελούνται από απόφαση επάρκειας της ΕΕ, το οποίο δρομολόγησε η Επιτροπή τον Μάρτιο του 2024 38 . Αυτή η αυξημένη σύγκλιση αναμένεται να ενθαρρύνει και να διευκολύνει τη στενότερη συνεργασία μεταξύ των φορέων επιβολής της προστασίας της ιδιωτικής ζωής και στις δύο πλευρές του Ατλαντικού, ιδίως σε θέματα που σχετίζονται με τη λειτουργία του ΠΠΔ.

2.2.Πτυχές που σχετίζονται με την πρόσβαση και τη χρήση δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται βάσει του πλαισίου ΕΕ-ΗΠΑ για την προστασία των δεδομένων από τις δημόσιες αρχές των ΗΠΑ

Η απόφαση επάρκειας περιλαμβάνει λεπτομερή αξιολόγηση των κανόνων που διέπουν τη συλλογή και τη χρήση δεδομένων προσωπικού χαρακτήρα που διαβιβάζονται από την ΕΕ σε εταιρείες πιστοποιημένες βάσει του ΠΠΔ από δημόσιες αρχές των ΗΠΑ, ιδίως για τους σκοπούς της επιβολής του ποινικού δικαίου και της εθνικής ασφάλειας. Μετά την έκδοση της απόφασης επάρκειας, όπως επιβεβαιώθηκε από τις αρχές των ΗΠΑ κατά τη συνεδρίαση επανεξέτασης, δεν υπήρξαν σχετικές εξελίξεις όσον αφορά το νομικό πλαίσιο που ισχύει για την πρόσβαση σε δεδομένα για σκοπούς επιβολής του νόμου ή για κανονιστικούς σκοπούς κατά το πρώτο έτος του ΠΠΔ. Για τον λόγο αυτόν, οι κατωτέρω διαπιστώσεις αφορούν μόνο τις εξελίξεις στον τομέα της εθνικής ασφάλειας.

Τα συμπεράσματα στα οποία κατέληξε η απόφαση επάρκειας σχετικά με την πρόσβαση των υπηρεσιών πληροφοριών σε δεδομένα βασίζονται στην ανάλυση των όρων και των περιορισμών που ισχύουν για τις δραστηριότητες συλλογής πληροφοριών σημάτων στο πλαίσιο διαφόρων σχετικών νομικών αρχών —ιδίως του άρθρου 702 του νόμου για την παρακολούθηση των επικοινωνιών αλλοδαπών υπηρεσιών πληροφοριών (Foreign Intelligence Surveillance Act, στο εξής: FISA) και του εκτελεστικού διατάγματος EO 12333 39 — όπως συμπληρώθηκαν και ενισχύθηκαν με το εκτελεστικό διάταγμα EO 14086 σχετικά με την ενίσχυση των εγγυήσεων για τις πληροφορίες σημάτων των Ηνωμένων Πολιτειών (Enhancing Safeguards for United States Signals Intelligence) (EO 14086), το οποίο εγκρίθηκε από τον πρόεδρο των ΗΠΑ στις 7 Οκτωβρίου 2022. Οι εγγυήσεις που προβλέπονται στο εκτελεστικό διάταγμα EO 14086 ισχύουν για όλες τις δραστηριότητες συλλογής πληροφοριών σημάτων των ΗΠΑ, ανεξάρτητα από τη νομική αρχή στην οποία βασίζονται οι εν λόγω δραστηριότητες και από τον τόπο όπου πραγματοποιούνται, και προστατεύουν τα δεδομένα προσώπων που δεν είναι υπήκοοι των ΗΠΑ (συμπεριλαμβανομένων των Ευρωπαίων) 40 . Το εκτελεστικό διάταγμα EO 14086 θέσπισε επίσης έναν νέο μηχανισμό προσφυγής μέσω του οποίου φυσικά πρόσωπα στην ΕΕ μπορούν να επικαλούνται και να επιβάλουν αυτές τις δεσμευτικές εγγυήσεις.

Στις επόμενες ενότητες περιγράφονται τα μέτρα που έλαβαν οι αρχές των ΗΠΑ μετά την έκδοση της απόφασης επάρκειας για τη συμμόρφωση με το εκτελεστικό διάταγμα EO 14086, καθώς και οι σχετικές εξελίξεις σε σχέση με το προαναφερθέν νομικό πλαίσιο.

2.2.1.Σχετικές εξελίξεις όσον αφορά το νομικό πλαίσιο των ΗΠΑ

2.2.1.1.Εφαρμογή του εκτελεστικού διατάγματος EO 14086 από τις υπηρεσίες πληροφοριών

Οι περιορισμοί και οι εγγυήσεις που θεσπίζονται με το εκτελεστικό διάταγμα EO 14086 συμπληρώνουν τους περιορισμούς και τις εγγυήσεις που προβλέπονται στο άρθρο 702 του FISA και στο εκτελεστικό διάταγμα EO 12333. Είναι δεσμευτικά για όλες τις υπηρεσίες πληροφοριών και έχουν τεθεί περαιτέρω σε εφαρμογή μέσω πολιτικών και διαδικασιών που υιοθετούνται από κάθε υπηρεσία.

Στο πλαίσιο της πρώτης επανεξέτασης, οι αρχές των ΗΠΑ επιβεβαίωσαν ότι δεν υπήρξαν αλλαγές στο εκτελεστικό διάταγμα EO 14086 από τη δημοσίευσή του. Επιπλέον, διευκρινίστηκε ότι ο πρόεδρος των ΗΠΑ δεν έκανε χρήση της εξουσίας που προβλέπεται στο άρθρο 2 στοιχείο b) σημείο i) περίπτωση B) και στο άρθρο 2 στοιχείο b) σημείο ii) περίπτωση C) του εκτελεστικού διατάγματος EO 14086 για την επικαιροποίηση του καταλόγου των θεμιτών σκοπών για τους οποίους μπορεί να επιδιώκεται η συλλογή πληροφοριών σημάτων ή του καταλόγου των σκοπών για τους οποίους μπορούν να χρησιμοποιούνται δεδομένα που συλλέγονται μαζικά 41 . Για τον καθορισμό πιο συγκεκριμένων προτεραιοτήτων συλλογής πληροφοριών για τις οποίες μπορούν πράγματι να συλλέγονται πληροφορίες σημάτων, το εκτελεστικό διάταγμα EO 14086 έθεσε σε εφαρμογή ειδική διαδικασία. Ειδικότερα, πρέπει να ζητείται η γνώμη του υπευθύνου προστασίας ατομικών ελευθεριών (Civil Liberties Protection Officer, στο εξής: CLPO) του γραφείου του διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών (Office of the Director of National Intelligence, στο εξής: ODNI) προκειμένου να αξιολογείται για κάθε προτεραιότητα 1) αν προωθεί έναν ή περισσότερους θεμιτούς σκοπούς που απαριθμούνται στο εκτελεστικό διάταγμα· 2) αν η προτεραιότητα αυτή δεν σχεδιάστηκε ούτε αναμενόταν να οδηγήσει σε συλλογή πληροφοριών σημάτων για απαγορευμένο σκοπό που αναφέρεται στο εκτελεστικό διάταγμα και 3) αν καθορίστηκε αφού λήφθηκε υπόψη η προστασία της ιδιωτικής ζωής και των ατομικών ελευθεριών όλων των προσώπων 42 . Η CLPO του ODNI επιβεβαίωσε κατά τη διάρκεια της συνεδρίασης επανεξέτασης ότι εξέτασε τις προτεραιότητες που πρότεινε ο διευθυντής της εθνικής υπηρεσίας πληροφοριών στο πλαίσιο των εθνικών προτεραιοτήτων συλλογής πληροφοριών του 2023, κατέληξε στο συμπέρασμα ότι συμμορφώνονται με τις ανωτέρω απαιτήσεις και κοινοποίησε το συμπέρασμά της στον διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών (DNI), ο οποίος με τη σειρά του υπέβαλε τις προτεραιότητες προς επικύρωση στον πρόεδρο των ΗΠΑ. Η CLPO του ODNI παρείχε επίσης κατάρτιση σχετικά με τις απαιτήσεις του εκτελεστικού διατάγματος EO 14086 σε τμήματα της κοινότητας των υπηρεσιών πληροφοριών που συμμετέχουν στην ανάπτυξη προτεραιοτήτων συλλογής πληροφοριών.

Επιπλέον, οι αρχές των ΗΠΑ έλαβαν περαιτέρω πρακτικά μέτρα κατά το προηγούμενο έτος για την εφαρμογή του εκτελεστικού διατάγματος EO 14086 στις καθημερινές τους δραστηριότητες. Ιδίως, οι υπηρεσίες πληροφοριών έχουν θέσει σε εφαρμογή περαιτέρω εσωτερικές πολιτικές και κατευθυντήριες γραμμές σχετικά με την εφαρμογή του εκτελεστικού διατάγματος, για παράδειγμα εσωτερικές διαδικασίες (μέσω εσωτερικών απαιτήσεων αδειοδότησης, τεκμηριωμένων ελέγχων πρόσβασης, ώστε μόνο τα άτομα που έχουν λάβει κατάλληλη κατάρτιση και έχουν τις απαραίτητες απαιτήσεις αποστολής να έχουν πρόσβαση στις πληροφορίες κ.λπ.) ώστε να διασφαλίζεται η συμμόρφωση με τις απαιτήσεις αναγκαιότητας και αναλογικότητας στο πλαίσιο τόσο της στοχευμένης όσο και της μαζικής συλλογής 43 . Επιπλέον, έχει παρασχεθεί κατάρτιση σχετικά με το εκτελεστικό διάταγμα EO 14086 στο προσωπικό διαφόρων υπηρεσιών πληροφοριών (π.χ. NSA, CIA, FBI), συμπεριλαμβανομένων ετήσιων και ad hoc μαθημάτων κατάρτισης που διοργανώνονται από την CLPO του ODNI και υποχρεωτικών προγραμμάτων κατάρτισης για όλα τα νέα μέλη του προσωπικού που προσλαμβάνονται στο ODNI.

Η Επιτροπή εκφράζει την ικανοποίησή της για τα διάφορα μέτρα που έχουν ληφθεί για την εφαρμογή και τη διασφάλιση της συμμόρφωσης με το εκτελεστικό διάταγμα EO 14086. Δεδομένου ότι αποκτάται μεγαλύτερη πείρα από την πρακτική εφαρμογή των εγγυήσεων του εκτελεστικού διατάγματος, η Επιτροπή θα επιθυμούσε να συζητήσει συγκεκριμένα παραδείγματα του τρόπου εφαρμογής του εκτελεστικού διατάγματος στην πράξη (με παράλληλο σεβασμό των εφαρμοστέων παραμέτρων εμπιστευτικότητας) σε μελλοντικές επανεξετάσεις.

2.2.1.2.Εκ νέου έγκριση του άρθρου 702 του FISA

Το άρθρο 702 του FISA επιτρέπει τη στόχευση προσώπων που δεν υπήκοοι των ΗΠΑ για τα οποία εύλογα πιστεύεται ότι βρίσκονται εκτός των ΗΠΑ με σκοπό την απόκτηση πληροφοριών από την αλλοδαπή. Η απόκτηση πραγματοποιείται βάσει ετήσιων πιστοποιήσεων που υποβάλλονται και εγκρίνονται από το δικαστήριο για τον νόμο για την παρακολούθηση επικοινωνιών αλλοδαπών υπηρεσιών (Foreign Intelligence Surveillance Court, στο εξής: FISC). Οι εν λόγω πιστοποιήσεις προσδιορίζουν συγκεκριμένες κατηγορίες πληροφοριών από την αλλοδαπή που πρέπει να συλλέγονται. Στις 21 Ιουλίου 2023 το ODNI ανακοίνωσε ότι υπάρχουν τρεις εγκεκριμένες πιστοποιήσεις βάσει του άρθρου 702 του FISA, οι οποίες καλύπτουν τις ακόλουθες κατηγορίες συλλογής πληροφοριών από την αλλοδαπή: 1) αλλοδαπές κυβερνήσεις και συναφείς οντότητες, 2) καταπολέμηση της τρομοκρατίας και 3) καταπολέμηση της διάδοσης 44 . Οι πιστοποιήσεις πρέπει επίσης να περιλαμβάνουν διαδικασίες στόχευσης και ελαχιστοποίησης που εγκρίνονται από το FISC 45 . Ειδικότερα, η στόχευση πραγματοποιείται με την απαίτηση από τις εταιρείες των ΗΠΑ που πληρούν τον ορισμό του FISA για τον «πάροχο υπηρεσιών ηλεκτρονικών επικοινωνιών» να κοινολογούν δεδομένα ηλεκτρονικών επικοινωνιών για επικοινωνίες που αποστέλλονται προς ή από «κριτήρια επιλογής», τα οποία προσδιορίζουν συγκεκριμένο λογαριασμό επικοινωνίας, π.χ. αριθμό τηλεφώνου ή διεύθυνση ηλεκτρονικού ταχυδρομείου. Η κυβέρνηση των ΗΠΑ έχει δημοσιεύσει αρκετό υλικό σχετικά με το άρθρο 702 του FISA για την ενημέρωση του κοινού σχετικά με τη λειτουργία των προγραμμάτων παρακολούθησης, τις εφαρμοστέες απαιτήσεις και την προστασία της ιδιωτικής ζωής, καθώς και σχετικά με τον ρόλο του FISC 46 .

Λόγω ρήτρας λήξης ισχύος, το άρθρο 702 του FISA επρόκειτο να λήξει στο τέλος του 2023, εκτός εάν εγκρινόταν εκ νέου από το Κογκρέσο. Ύστερα από προσωρινή εκ νέου έγκριση χωρίς αλλαγές, στις 19 Απριλίου 2024 το Κογκρέσο ψήφισε τον νόμο για τη μεταρρύθμιση των υπηρεσιών πληροφοριών και τη διασφάλιση της Αμερικής (Reforming Intelligence and Securing America Act, στο εξής: RISAA), με τον οποίο εγκρίθηκε εκ νέου το άρθρο 702 του FISA για περίοδο 2 ετών και εισήχθησαν αρκετές αλλαγές. Οι αλλαγές αυτές διακρίνονται γενικά στις ακόλουθες: 1) αλλαγές στο πεδίο εφαρμογής των δραστηριοτήτων παρακολούθησης που επιτρέπονται βάσει του άρθρου 702 του FISA και 2) θεσμικές και διαδικαστικές αλλαγές.

Αλλαγές στο πεδίο εφαρμογής των δραστηριοτήτων παρακολούθησης που επιτρέπονται βάσει του άρθρου 702 του FISA

Ο RISAA εισήγαγε τρεις βασικές αλλαγές στο πεδίο εφαρμογής των δραστηριοτήτων παρακολούθησης που μπορούν να πραγματοποιούνται βάσει του άρθρου 702 του FISA.

Πρώτον, απαγορεύεται οριστικά η συλλογή «που αφορούν κριτήριο επιλογής» 47 . Πρόκειται για τη συλλογή επικοινωνιών στις οποίες το κριτήριο επιλογής του άρθρου 702 (όπως μια διεύθυνση ηλεκτρονικού ταχυδρομείου) δεν βρίσκεται στα στοιχεία του αποδέκτη («προς») ή του αποστολέα («από») των επικοινωνιών, αλλά η επικοινωνία περιέχει αναφορά στο εν λόγω κριτήριο επιλογής (π.χ. μηνύματα ηλεκτρονικού ταχυδρομείου που δεν αποστέλλονται προς ή από τη διεύθυνση ηλεκτρονικού ταχυδρομείου που αποτελεί κριτήριο επιλογής, αλλά περιλαμβάνουν τη διεύθυνση ηλεκτρονικού ταχυδρομείου που αποτελεί κριτήριο επιλογής στο κείμενο ή στο σώμα του μηνύματος ηλεκτρονικού ταχυδρομείου). Μολονότι η εν λόγω συλλογή είχε ήδη αποκλειστεί κατόπιν τροποποίησης του FISA το 2018, ο FISA εξακολουθούσε να προβλέπει τη δυνατότητα επανέναρξης της συλλογής πληροφοριών «που αφορούν κριτήριο επιλογής» στο μέλλον, κατόπιν ειδικής διαδικασίας εξουσιοδότησης στην οποία συμμετείχαν το FISC και το Κογκρέσο. Η τελευταία τροποποίηση που εισήγαγε ο RISAA αφαίρεσε αυτή τη δυνατότητα.

Δεύτερον, ο ορισμός της συλλογής πληροφοριών από την αλλοδαπή έχει διευρυνθεί ώστε να περιλαμβάνει και τις πληροφορίες που σχετίζονται με την καταπολέμηση των ναρκωτικών 48 . Κατά τη συνεδρίαση επανεξέτασης, οι αρχές των ΗΠΑ εξήγησαν ότι η τροποποίηση αυτή πραγματοποιήθηκε υπό το πρίσμα της τρέχουσας κρίσης της φαιντανύλης και της αυξανόμενης απειλής για την εθνική ασφάλεια από διεθνείς διακινητές και παρασκευαστές ναρκωτικών. Στο πλαίσιο αυτό, επιβεβαιώθηκε ότι η έννοια αυτή εμπίπτει σε αρκετούς από τους θεμιτούς σκοπούς που απαριθμούνται στο εκτελεστικό διάταγμα EO 14086, δηλαδή στην κατανόηση ή την αξιολόγηση των ικανοτήτων, των προθέσεων ή των δραστηριοτήτων αλλοδαπών οργανισμών που συνιστούν τρέχουσα ή δυνητική απειλή για την εθνική ασφάλεια των ΗΠΑ ή των συμμάχων τους· στην κατανόηση ή την αξιολόγηση διακρατικών απειλών που επηρεάζουν την παγκόσμια ασφάλεια, συμπεριλαμβανομένων των κινδύνων για τη δημόσια υγεία· και στην προστασία από διακρατικές εγκληματικές απειλές 49 .

Τρίτον, ο RISAA διεύρυνε τον ορισμό του «παρόχου υπηρεσιών ηλεκτρονικών επικοινωνιών» (ECSP), και συνεπώς διεύρυνε το πεδίο εφαρμογής των εταιρειών που μπορεί να υποχρεωθούν να παρέχουν πληροφορίες σύμφωνα με το άρθρο 702 του FISA 50 . Ο ορισμός περιλαμβάνει πλέον «άλλους παρόχους υπηρεσιών που έχουν “πρόσβαση σε εξοπλισμό που χρησιμοποιείται ή μπορεί να χρησιμοποιηθεί για τη διαβίβαση ή την αποθήκευση ενσύρματων ή ηλεκτρονικών επικοινωνιών”», ενώ αποκλείει ρητά τις εγκαταστάσεις δημόσιων καταλυμάτων, τις κατοικίες, τις κοινοτικές εγκαταστάσεις και τις εγκαταστάσεις παροχής υπηρεσιών εστίασης. Σε επιστολή προς το Κογκρέσο, το Υπουργείο Δικαιοσύνης αναφέρθηκε στην εν λόγω τροποποίηση ως τεχνική αλλαγή που αποσκοπεί να καλύψει έναν «εξαιρετικά μικρό» αριθμό εταιρειών τεχνολογίας οι οποίες, σύμφωνα με πρόσφατες αποφάσεις του FISC και του δευτεροβάθμιου δικαστηρίου για τον νόμο FISA (Foreign Intelligence Surveillance Court of Review, στο εξής: FISCR), δεν καλύπτονταν από τον προηγούμενο ορισμό του «παρόχου υπηρεσιών ηλεκτρονικών επικοινωνιών» 51 . Στην ίδια επιστολή, το Υπουργείο Δικαιοσύνης δεσμεύτηκε να περιορίσει το πεδίο εφαρμογής εφαρμόζοντας τον εν λόγω ορισμό αποκλειστικά για να καλύψει το είδος του παρόχου υπηρεσιών που αποτελεί το αντικείμενο της δικαστικής διαμάχης που οδήγησε στην έκδοση της απόφασης του FISC. Κατά συνέπεια, οι εταιρείες κατονομάζονται σε διαβαθμισμένο παράρτημα για το Κογκρέσο. Αρκετές ΜΚΟ, συμπεριλαμβανομένων εκείνων που υπέβαλαν παρατηρήσεις στο πλαίσιο της επανεξέτασης, εξέφρασαν ανησυχίες σχετικά μ’ αυτή τη διεύρυνση, υποστηρίζοντας ότι θα μπορούσε ενδεχομένως να καλύπτει πολλές επιχειρήσεις των ΗΠΑ (δεδομένου ότι πολλές από αυτές παρέχουν κάποιο είδος υπηρεσιών και έχουν πρόσβαση σε εξοπλισμό επικοινωνιών). Υπό το πρίσμα αυτών των ανησυχιών, προτάθηκε περαιτέρω τροποποίηση, με την υποστήριξη της Κοινότητας των Υπηρεσιών Πληροφοριών, σε σχέδιο νόμου για την εξουσιοδότηση των υπηρεσιών πληροφοριών για το οικονομικό έτος 2025, το οποίο βρίσκεται επί του παρόντος ενώπιον του Κογκρέσου. Η αλλαγή αυτή, εάν εγκριθεί από το Κογκρέσο, θα διασφαλίσει ότι οι πρόσθετες εταιρείες που καλύπτονται από τον ορισμό του «παρόχου υπηρεσιών ηλεκτρονικών επικοινωνιών» θα περιορίζονται μόνο σε εκείνες που αναφέρονται στις προαναφερθείσες αποφάσεις του FISC. Το σχέδιο νόμου προβλέπει επίσης ότι κάθε οδηγία που απευθύνεται σε μια τέτοια εταιρεία θα πρέπει να αναφέρεται στο FISC, ώστε να είναι σε θέση να ελέγχει αν η εταιρεία εμπίπτει πράγματι στο πεδίο εφαρμογής. Στην επιστολή του προς το Κογκρέσο, το Υπουργείο Δικαιοσύνης δεσμεύτηκε να υποβάλλει έκθεση στο Κογκρέσο κάθε έξι μήνες σχετικά με οποιαδήποτε εφαρμογή του επικαιροποιημένου ορισμού, ώστε να μπορεί το Κογκρέσο να ασκεί την κατάλληλη εποπτεία όσον αφορά τη στενή εφαρμογή του ορισμού.

Είναι σημαντικό ότι, κατά τη συνεδρίαση επανεξέτασης από τις αρχές των ΗΠΑ και την Επιτροπή Εποπτείας της Προστασίας της Ιδιωτικής Ζωής και των Ατομικών Ελευθεριών (Privacy and Civil Liberties Oversight Board, στο εξής: PCLOB), επιβεβαιώθηκε ότι όλες οι εγγυήσεις του εκτελεστικού διατάγματος EO 14086 εξακολουθούν να ισχύουν πλήρως για κάθε συλλογή και χρήση δεδομένων σύμφωνα με το άρθρο 702 του FISA, μεταξύ άλλων μετά τις εν λόγω τροποποιήσεις. Ως εκ τούτου, ενώ ο RISAA διευρύνει κάπως το πεδίο εφαρμογής των εταιρειών που ενδέχεται να λάβουν διαταγή, δεν περιορίζει την άσκηση των δικαιωμάτων. Ωστόσο, θα είναι σημαντικό να παρακολουθούνται οι περαιτέρω εξελίξεις (όσον αφορά τη νομοθεσία και την υποβολή εκθέσεων) και να λαμβάνονται πληροφορίες σχετικά με την εφαρμογή των νέων αυτών κανόνων στην πράξη. Στις εν λόγω εξελίξεις και πληροφορίες περιλαμβάνονται, για παράδειγμα, ο αντίκτυπος της διεύρυνσης των ορισμών των πληροφοριών από την αλλοδαπή και των παρόχων υπηρεσιών ηλεκτρονικών επικοινωνιών στον αριθμό των στόχων του άρθρου 702 του FISA (όπως κοινοποιούνται ετησίως από το ODNI, βλ. κατωτέρω σχετικά με τη διαφάνεια). Η μελλοντική έκθεση παρακολούθησης της πρόσφατης έκθεσης της PCLOB σχετικά με το άρθρο 702 του FISA (βλ. κατωτέρω) θα πρέπει να είναι ιδιαίτερα κατατοπιστική από την άποψη αυτή.

Θεσμικές και διαδικαστικές αλλαγές

Όσον αφορά τις θεσμικές και διαδικαστικές αλλαγές, ο RISAA κωδικοποίησε διάφορες διαδικασίες που ακολουθούνταν ήδη στην πράξη και εισήγαγε νέες εγγυήσεις. Ενώ ορισμένα από αυτά αφορούν μόνο υπηκόους των ΗΠΑ, αρκετές αλλαγές αυξάνουν την προστασία τόσο για υπηκόους των ΗΠΑ όσο και για μη υπηκόους των ΗΠΑ των οποίων τα δεδομένα ενδέχεται να συλλέγονται σύμφωνα με το άρθρο 702 του FISA 52 και, ως εκ τούτου, σχετίζονται με τη λειτουργία του ΠΠΔ.

Πρώτον, τέθηκαν σε εφαρμογή ορισμένες πρόσθετες απαιτήσεις λογοδοσίας, εποπτείας και υποβολής εκθέσεων. Ιδίως, το προσωπικό του FBI πρέπει πλέον να εκπαιδεύεται ετησίως σχετικά με τους κανόνες που ισχύουν για την αναζήτηση πληροφοριών που λαμβάνονται σύμφωνα με το άρθρο 702 του FISA 53 . Το FBI υποχρεούται επίσης να υποβάλει εκθέσεις στο Κογκρέσο σχετικά με τις δραστηριότητες αναζήτησης (π.χ. τον αριθμό των αναζητήσεων με τη χρήση «τεχνολογιών δέσμης εργασιών», δηλαδή τη χρήση πολλαπλών όρων αναζήτησης στο πλαίσιο ενός ενιαίου ερωτήματος) και σχετικά με τα μέτρα λογοδοσίας που εφαρμόζονται ώστε να διασφαλίζεται η συμμόρφωση με τις νομικές απαιτήσεις αναζήτησης (άρθρα 11-12 του RISAA). Επιπρόσθετα, ο γενικός επιθεωρητής του Υπουργείου Δικαιοσύνης έχει εντολή να συντάξει έκθεση σχετικά με τη συμμόρφωση του FBI με τις απαιτήσεις αναζήτησης (άρθρο 9 του RISAA). Γενικότερα, για να αυξηθεί η διαφάνεια των διαδικασιών ενώπιον του FISC, του ODNI και του γενικού εισαγγελέα απαιτείται πλέον να ολοκληρωθεί η επανεξέταση του αποχαρακτηρισμού των αποφάσεων του FISC εντός 180 ημερών (άρθρο 7 του RISAA). Επιπλέον, τα πρακτικά όλων των ακροάσεων ενώπιον του FISC και του δευτεροβάθμιου δικαστηρίου για τον νόμο FISA (FISCR, όπου οι αποφάσεις του FISC μπορούν να προσβληθούν) πρέπει να τηρούνται και να διαβιβάζονται στο Κογκρέσο (άρθρο 8 του RISAA).

Δεύτερον, ο RISAA εισήγαγε περαιτέρω περιορισμούς στη χρήση από το FBI των δεδομένων που συλλέγονται σύμφωνα με το άρθρο 702 του FISA. Το άρθρο 2 στοιχείο d) του RISAA προβλέπει ότι η αναζήτηση με τη χρήση «τεχνολογίας δέσμης εργασιών» μπορεί να πραγματοποιηθεί μόνο κατόπιν έγκρισης από δικηγόρο του FBI, εκτός εάν συντρέχουν εξαιρετικές περιστάσεις. Παράλληλα, απαγορεύεται πλέον το FBI να ελέγχει αυτόματα τις μη ελαχιστοποιημένες πληροφορίες που αποκτώνται βάσει του άρθρου 702 του FISA και, αντ’ αυτού, πρέπει να διασφαλίζει ότι οι αναλυτές πρέπει να επιλέγουν ενεργά να αναζητήσουν τις εν λόγω πληροφορίες. Ο RISAA απαγόρευσε επίσης στο FBI να διενεργεί έρευνες που έχουν σχεδιαστεί αποκλειστικά για την εξεύρεση και την εξαγωγή αποδεικτικών στοιχείων εγκληματικής δραστηριότητας (εκτός εάν υπάρχει εύλογη πεποίθηση ότι θα μπορούσαν να συμβάλουν στον μετριασμό ή την εξάλειψη απειλής κατά της ζωής ή σοβαρής σωματικής βλάβης ή, όταν είναι αναγκαίο, στη συμμόρφωση με τις υποχρεώσεις κοινολόγησης στο πλαίσιο δικαστικών διαφορών) 54 . Επιπλέον, απαγορεύεται το FBI να εισαγάγει μη ελαχιστοποιημένα δεδομένα σε αποθετήρια ανάλυσης, εκτός εάν το στοχευόμενο πρόσωπο έχει σχέση με υφιστάμενη έρευνα εθνικής ασφάλειας 55 .

Τρίτον, ορισμένες διατάξεις σχετικά με το καθεστώς και τον ρόλο των amici curiae πριν από την τροποποίηση του FISC έχουν τροποποιηθεί 56 . Οι amici ορίζονται ως εμπειρογνώμονες οι οποίοι επικουρούν το Δικαστήριο (και το FISCR) σε θέματα που σχετίζονται με την ιδιωτική ζωή και τις ατομικές ελευθερίες ή συμβάλλουν στην αποσαφήνιση τεχνολογικών ζητημάτων κατά την εξέταση αίτησης συγκεκριμένης κυβέρνησης. Ενώ ο FISA απαιτούσε προηγουμένως οι amici να διαθέτουν εμπειρογνωσία στον τομέα της προστασίας της ιδιωτικής ζωής και των ατομικών ελευθεριών, στη συλλογή πληροφοριών, στην τεχνολογία επικοινωνιών ή σε άλλους σχετικούς τομείς, απαιτεί πλέον, καταρχήν, εμπειρογνωσία στον τομέα της προστασίας της ιδιωτικής ζωής και στον τομέα των ατομικών ελευθεριών και της συλλογής πληροφοριών. Το Δικαστήριο είχε ήδη τη δυνατότητα να διορίσει έναν amicus σε κάθε περίπτωση που έκρινε σκόπιμο και όφειλε να το πράξει όταν εξέταζε μια νέα ή σημαντική ερμηνεία του νόμου. Μετά την εκ νέου έγκριση, το FISC υποχρεούται πλέον να διορίζει έναν amicus κάθε φορά που καλείται να εγκρίνει πιστοποιήσεις του άρθρου 702 του FISA και συνοδευτικές διαδικασίες (π.χ. διαδικασίες στόχευσης), εκτός εάν διαπιστώσει ότι αυτό δεν θα ήταν σκόπιμο ή θα οδηγούσε πιθανώς σε αδικαιολόγητη καθυστέρηση 57 . Επιπλέον, αντί να διορίσει μόνο έναν, το Δικαστήριο μπορεί να αποφασίσει τώρα να διορίσει έναν ή περισσότερους amici. Διευκρινίζεται επίσης ότι οι πληροφορίες που πρέπει να παρέχουν οι amici πρέπει να «περιορίζονται στην αντιμετώπιση των συγκεκριμένων ζητημάτων που προσδιορίζονται από το δικαστήριο», παρότι οι τομείς για τους οποίους μπορούν να υποβάλουν παρατηρήσεις παρέμειναν ευρείς (δηλαδή νομικά επιχειρήματα και πληροφορίες σχετικά με την προστασία της ιδιωτικής ζωής και των ατομικών ελευθεριών των προσώπων των Ηνωμένων Πολιτειών, τη συλλογή πληροφοριών και την τεχνολογία επικοινωνιών ή οποιονδήποτε άλλο σχετικό τομέα).

Τέλος, το άρθρο 18 του RISAA θεσπίζει μια «επιτροπή μεταρρύθμισης του FISA» —η οποία αποτελείται, μεταξύ άλλων, από μέλη του Κογκρέσου, την πρόεδρο της PCLOB, τον κύριο αναπληρωτή διευθυντή της Εθνικής Υπηρεσίας Πληροφοριών και τον αναπληρωτή γενικό εισαγγελέα, καθώς και πρόσθετα μέλη που διορίζονται από το Κογκρέσο 58 — με σκοπό να προτείνει πρόσθετες μεταρρυθμίσεις του FISA.

Η Επιτροπή θα παρακολουθεί στενά τις περαιτέρω εξελίξεις όσον αφορά το άρθρο 702 του FISA, μεταξύ άλλων στο πλαίσιο των δραστηριοτήτων εποπτείας της PCLOB (βλ. κατωτέρω), των εργασιών της επιτροπής μεταρρυθμίσεων και της επικείμενης επανεξέτασης του FISA ύστερα από 2 έτη.

2.2.1.3.Δραστηριότητες παρακολούθησης στην πράξη: αριθμητικά στοιχεία και τάσεις

Από την ετήσια έκθεση διαφάνειας των στατιστικών στοιχείων του ODNI σχετικά με τη χρήση των εθνικών αρχών εποπτείας της ασφάλειας από την κοινότητα των υπηρεσιών πληροφοριών για το ημερολογιακό έτος 2023 (δημοσιεύθηκε τον Απρίλιο του 2024) 59 προκύπτει ότι ο αριθμός των στόχων βάσει του άρθρου 702 του FISA αυξήθηκε από 245 073 το ημερολογιακό έτος 2022 σε 268 590 το ημερολογιακό έτος 2023. Η έκθεση εξηγεί ότι οι διακυμάνσεις στον αριθμό των στόχων μπορεί να συνδέονται με διάφορους λόγους, όπως αλλαγές στις επιχειρησιακές προτεραιότητες, παγκόσμια γεγονότα, τεχνικές ικανότητες, συμπεριφορά στόχου και αλλαγές στον τομέα των τηλεπικοινωνιών. Η έκθεση αναφέρει επίσης ότι κανένα πρόσωπο που δεν είναι υπήκοος των ΗΠΑ (σε σύγκριση με 1 πρόσωπο το 2021 και 0 το 2022) δεν αποτέλεσε στόχο στο πλαίσιο του άρθρου 402 του FISA (καταγραφή εισερχόμενων και εξερχόμενων επικοινωνιών), ενώ εκδόθηκαν έξι διαταγές (σε σύγκριση με 11 διαταγές τόσο το 2021 όσο και το 2022), για έξι στόχους (σε σύγκριση με 13 διαταγές το 2021 και 11 το 2022) βάσει του άρθρου 501 του FISA (πρόσβαση σε επιχειρηματικά αρχεία μεταφορέων, εγκαταστάσεων ενοικίασης οχημάτων ή φυσικών εγκαταστάσεων αποθήκευσης), που καλύπτουν 5 412 μοναδικούς αναγνωριστικούς κωδικούς (σε σύγκριση με 23 157 το 2021 και 55 431 το 2022) οι οποίοι χρησιμοποιήθηκαν για την κοινοποίηση πληροφοριών που συλλέχθηκαν σύμφωνα με τις εν λόγω διαταγές.

Η ετήσια έκθεση του Υπουργείου Δικαιοσύνης προς το Κογκρέσο για τον νόμο για την παρακολούθηση των επικοινωνιών αλλοδαπών υπηρεσιών πληροφοριών αναφέρει ότι, κατά τη διάρκεια του ημερολογιακού έτους 2023, υποβλήθηκαν στο FISC 327 αιτήσεις για τη διεξαγωγή ηλεκτρονικής παρακολούθησης και/ή φυσικών ερευνών για σκοπούς συλλογής πληροφοριών από την αλλοδαπή σύμφωνα με τα άρθρα 105 και 302 του FISA αντίστοιχα 60 . Ο συνολικός αριθμός των στοχευόμενων προσώπων ήταν μεταξύ 500 και 999. Όσον αφορά τις επιστολές εθνικής ασφάλειας (NSL), η έκθεση αναφέρει ότι εκδόθηκαν 10 115 αιτήσεις (εξαιρουμένων των αιτήσεων μόνο για πληροφορίες συνδρομητών) για πληροφορίες σχετικά με πρόσωπα που δεν είναι υπήκοοι των ΗΠΑ, με τις οποίες ζητήθηκαν πληροφορίες που αφορούσαν 3 033 διαφορετικά πρόσωπα που δεν ήταν υπήκοοι των ΗΠΑ 61 .

Διάφορες εταιρείες που έχουν πιστοποιηθεί βάσει του ΠΠΔ (π.χ. Google, Meta) κάνουν χρήση της δυνατότητας που παρέχει το δίκαιο των ΗΠΑ να δημοσιεύουν εκθέσεις διαφάνειας που ενημερώνουν σχετικά με τον αριθμό των αιτήσεων FISA και NSL που έχουν λάβει κατά τη διάρκεια μιας δεδομένης περιόδου αναφοράς. Κατά τον χρόνο σύνταξης της παρούσας έκθεσης, τα στατιστικά στοιχεία σχετικά με τις αιτήσεις FISA μετά τον Ιούλιο του 2023 δεν ήταν ακόμη διαθέσιμα. Για παράδειγμα, η Google ανέφερε ότι έλαβε 500 έως 999 αιτήσεις NSL, οι οποίες αφορούσαν 2 000 έως 2 499 λογαριασμούς, μεταξύ του Ιουλίου και του Δεκεμβρίου του 2023 62 . Η Meta ανέφερε ότι έλαβε 0 έως 499 αιτήσεις NSL, οι οποίες αφορούσαν 500 έως 999 λογαριασμούς, κατά την ίδια περίοδο αναφοράς 63 . Οι αριθμοί παρέμειναν σχετικά σταθεροί τα τελευταία έτη. Για την περαιτέρω ενίσχυση της διαφάνειας, ορισμένες εταιρείες (π.χ. Google) δημοσιεύουν προορατικά τις NSL που έχουν λάβει μόλις αρθούν οι περιορισμοί μη κοινολόγησης 64 .

2.2.1.4.Λοιπές εξελίξεις

Στο πλαίσιο της προετοιμασίας της επανεξέτασης, αρκετές ΜΚΟ έθεσαν ερωτήματα σχετικά με τις νέες μορφές απόκτησης δεδομένων από υπηρεσίες πληροφοριών των ΗΠΑ μέσω της αγοράς δεδομένων από εμπορικές οντότητες, ιδίως από μεσίτες δεδομένων. Εξήγησαν ότι, ενώ τα δεδομένα που συλλέγονται σ’ αυτή τη βάση πρέπει να εξακολουθήσουν να υποβάλλονται σε επεξεργασία σύμφωνα με άλλες απαιτήσεις, μεταξύ άλλων, για παράδειγμα, βάσει του εκτελεστικού διατάγματος EO 12333 65 , η εν λόγω απόκτηση πραγματοποιείται εκτός του πλαισίου του FISA και του εκτελεστικού διατάγματος EO 14086.

Στο πλαίσιο αυτό, θα πρέπει να υπενθυμιστεί ότι κάθε είδος εθελοντικής κοινοχρησίας δεδομένων με τρίτους υπόκειται σε πολλές λεπτομερείς προϋποθέσεις βάσει του ΠΠΔ. Πρώτον, ο πιστοποιημένος οργανισμός δεν μπορεί να ανταλλάσσει δεδομένα με τρίτο (που δεν ενεργεί ως αντιπρόσωπος/εκτελών την επεξεργασία) χωρίς να παρέχει ειδοποίηση και επιλογή στα οικεία πρόσωπα 66 . Δεύτερον, σύμφωνα με την αρχή της λογοδοσίας για περαιτέρω διαβιβάσεις, οι περαιτέρω διαβιβάσεις μπορούν να πραγματοποιούνται μόνο 1) για περιορισμένους και καθορισμένους σκοπούς, 2) βάσει σύμβασης μεταξύ του οργανισμού του ΠΠΔ ΕΕ-ΗΠΑ και του τρίτου και 3) μόνον εάν η εν λόγω σύμβαση απαιτεί από τον τρίτο να παρέχει το ίδιο επίπεδο προστασίας με εκείνο που εγγυώνται οι αρχές 67 .

Επιπλέον, όπως συζητήθηκε επίσης κατά τη συνεδρίαση επανεξέτασης, η Ομοσπονδιακή Επιτροπή Εμπορίου έλαβε μέτρα επιβολής κατά των μεσιτών δεδομένων που πωλούν ευαίσθητα δεδομένα καταναλωτών. Για παράδειγμα, σε υπόθεση κατά της X-Mode και της διαδόχου της Outlogic, η Ομοσπονδιακή Επιτροπή Εμπορίου εξέδωσε απόφαση στις 9 Ιανουαρίου 2024 με την οποία απαγόρευε στην εταιρεία να πωλεί δεδομένα γεωεντοπισμού σε τρίτους και να διαγράφει δεδομένα που είχε χρησιμοποιήσει και κοινοποιήσει παράνομα. Από την έρευνα της Ομοσπονδιακής Επιτροπής Εμπορίου διαπιστώθηκε, μεταξύ άλλων, ότι η εταιρεία δεν ενημέρωνε πλήρως τα άτομα σχετικά με τη χρήση και την πώληση των δεδομένων γεωεντοπισμού τους, δεν θέσπισε μέτρα που να επιτρέπουν στα άτομα να εξαιρεθούν από την παρακολούθηση, επέτρεψε τη χρήση των δεδομένων για δυνητικά μεροληπτικούς σκοπούς και δεν έθεσε όρια στη χρήση των εν λόγω πληροφοριών από τρίτους 68 . Η Επιτροπή αναμένει ότι η ίδια προσέγγιση θα υιοθετηθεί από την Ομοσπονδιακή Επιτροπή Εμπορίου εάν οι πιστοποιημένες εταιρείες βάσει του ΠΠΔ κοινοποιήσουν δεδομένα κατά παράβαση των προαναφερόμενων διατάξεων.

Τέλος, αξίζει να σημειωθεί ότι τον Μάιο του 2024 το ODNI εξέδωσε το πλαίσιο πολιτικής της κοινότητας των υπηρεσιών πληροφοριών για εμπορικά διαθέσιμες πληροφορίες 69 . Το εν λόγω πλαίσιο καθορίζει ορισμένες αρχές και απαιτήσεις που θα πρέπει να τηρούν οι υπηρεσίες πληροφοριών, μεταξύ άλλων για την ελαχιστοποίηση των κινδύνων για την ιδιωτική ζωή και τις ατομικές ελευθερίες κατά την απόκτηση και τη χρήση πληροφοριών στο πλαίσιο εμπορικής συναλλαγής.

2.2.2.Ανεξάρτητη εποπτεία

Οι δραστηριότητες των υπηρεσιών πληροφοριών των ΗΠΑ υπόκεινται σε εποπτεία από διάφορους φορείς, συμπεριλαμβανομένων των υπευθύνων προστασίας της ιδιωτικής ζωής και των ατομικών ελευθεριών, των γενικών επιθεωρητών, του Κογκρέσου και της PCLOB. Ειδικότερα, το εκτελεστικό διάταγμα ΕΟ 14086 απαιτεί από κάθε υπηρεσία πληροφοριών να διαθέτει υψηλόβαθμους λειτουργούς στους τομείς της νομοθεσίας, της εποπτείας και της συμμόρφωσης, ώστε να διασφαλίζεται η συμμόρφωση με το εφαρμοστέο δίκαιο των ΗΠΑ. Αυτά τα εποπτικά καθήκοντα επιτελούνται από υπαλλήλους με καθορισμένο ρόλο όσον αφορά τη συμμόρφωση, καθώς και από τους υπευθύνους προστασίας της ιδιωτικής ζωής και των ατομικών ελευθεριών και τους γενικούς επιθεωρητές 70 . Πρέπει να διενεργούν περιοδική εποπτεία των δραστηριοτήτων συλλογής πληροφοριών σημάτων και να διασφαλίζουν την αποκατάσταση οποιωνδήποτε περιπτώσεων μη συμμόρφωσης. Οι υπηρεσίες πληροφοριών πρέπει να παρέχουν στους εν λόγω λειτουργούς πρόσβαση σε όλες τις σχετικές πληροφορίες για την εκτέλεση των εποπτικών τους καθηκόντων και δεν μπορούν να λαμβάνουν μέτρα για να παρεμποδίζουν ή να επηρεάζουν αθέμιτα τις εποπτικές τους δραστηριότητες.

Στη συνεδρίαση επανεξέτασης συμμετείχε ο γενικός σύμβουλος του Γραφείου του Γενικού Επιθεωρητή της Κοινότητας Πληροφοριών (Intelligence Community Inspector General, στο εξής: ICIG) του ODNI, το οποίο έχει πλήρη δικαιοδοσία σε ολόκληρη την κοινότητα των υπηρεσιών πληροφοριών και είναι εξουσιοδοτημένο να διερευνά καταγγελίες ή πληροφορίες σχετικά με ισχυρισμούς για παράνομη συμπεριφορά ή κατάχρηση εξουσίας. Επιβεβαίωσε ότι ο ICIG ελέγχει συστηματικά τη συμμόρφωση με το εκτελεστικό διάταγμα EO 14086 στο πλαίσιο των δραστηριοτήτων εποπτείας του. Αναφέρθηκε επίσης στις πρόσφατες δραστηριότητες εποπτείας άλλων γενικών επιθεωρητών της κοινότητας των υπηρεσιών πληροφοριών, όπως περιγράφονται λεπτομερώς σε τακτικές εκθέσεις. Για παράδειγμα, στην εξαμηνιαία έκθεσή του προς το Κογκρέσο για την περίοδο Απριλίου-Σεπτεμβρίου 2023 71 , ο γενικός επιθεωρητής της Εθνικής Υπηρεσίας Ασφάλειας των ΗΠΑ (NSA) ενημέρωσε σχετικά με την αξιολόγηση ενός εσωτερικού πλαισίου ελέγχου της NSA για τις αποφάσεις και τις αιτήσεις στόχευσης. Κατέληξε στο συμπέρασμα ότι το εν λόγω πλαίσιο λειτουργεί σωστά ώστε να διασφαλίζεται η συμμόρφωση με τους νόμους, τις οδηγίες και τις πολιτικές που προστατεύουν τις ατομικές ελευθερίες και την ιδιωτική ζωή. Στην ίδια έκθεση αναφέρεται επίσης μια έρευνα που αποκάλυψε την κατάχρηση εργαλείου πληροφοριών σημάτων για μη εξουσιοδοτημένους σκοπούς από υπάλληλο της NSA.

Σύμφωνα με το εκτελεστικό διάταγμα EO 14086, η PCLOB 72 είναι επιφορτισμένη με ειδικά καθήκοντα εποπτείας 73 . Η πρόεδρος της PCLOB και τα τρία μέλη της συμμετείχαν στη συνεδρίαση επανεξέτασης και ενημέρωσαν ότι τον Απρίλιο του 2023 η PCLOB παρείχε συμβουλές στις υπηρεσίες πληροφοριών σχετικά με τα σχέδια πολιτικών και διαδικασιών τους για την εφαρμογή του εκτελεστικού διατάγματος EO 14086, και ζητήθηκε η γνώμη της σχετικά με τον διορισμό δικαστών και ειδικών συνηγόρων του Δικαστηρίου Ελέγχου της Προστασίας Δεδομένων (Data Protection Review Court, στο εξής: DPRC). Η PCLOB δρομολόγησε επίσης ένα σχέδιο εποπτείας για 1) τον έλεγχο της εφαρμογής των επικαιροποιημένων πολιτικών και διαδικασιών που υιοθετήθηκαν από τις υπηρεσίες πληροφοριών προκειμένου να διασφαλιστεί ότι συνάδουν με το εκτελεστικό διάταγμα και 2) τη διενέργεια ετήσιου ελέγχου της λειτουργίας του νέου μηχανισμού προσφυγής (βλ. κατωτέρω) 74 . Τα μέλη της PCLOB επιβεβαίωσαν ότι η επιτροπή σχεδιάζει να διενεργήσει και τους δύο ελέγχους στο εγγύς μέλλον. Όσον αφορά τα μέσα προσφυγής, εξήγησαν ότι, ελλείψει καταγγελιών, ο έλεγχος της PCLOB θα εστιάσει στις πολιτικές και τις διαδικασίες που έχουν θεσπιστεί για τη δημιουργία του μηχανισμού.

Όσον αφορά άλλες δραστηριότητες εποπτείας, η PCLOB εξέδωσε έκθεση σχετικά με το άρθρο 702 του FISA στις 28 Σεπτεμβρίου 2023 75 . Η εν λόγω έκθεση αποτελεί συνέχεια προηγούμενης έκθεσης του 2014 και περιέχει επικαιροποιημένα πραγματικά και νομικά στοιχεία σχετικά με τη λειτουργία των προγραμμάτων παρακολούθησης του άρθρου 702 του FISA. Η έκθεση περιέχει επίσης συστάσεις σχετικά με τη συμμόρφωση των υπηρεσιών πληροφοριών με τις εφαρμοστέες απαιτήσεις και προτάσεις προς το Κογκρέσο για την περαιτέρω ενίσχυση διαφόρων πτυχών του άρθρου 702 του FISA στο πλαίσιο της εκ νέου έγκρισής του (μεταξύ άλλων με την κωδικοποίηση των θεμιτών στόχων για τις δραστηριότητες παρακολούθησης που απαριθμούνται στο εκτελεστικό διάταγμα EO 14086) 76 . Κατά τη συνεδρίαση επανεξέτασης, η PCLOB ενημέρωσε ότι αναμένει να λάβει σύντομα απαντήσεις από τις υπηρεσίες πληροφοριών σχετικά με την εφαρμογή των συστάσεών της, οι οποίες θα τροφοδοτήσουν μελλοντική έκθεση παρακολούθησης. Άλλα υπό εξέλιξη σχέδια εποπτείας περιλαμβάνουν ένα σχέδιο για την καταπολέμηση της εγχώριας τρομοκρατίας και τον αντίκτυπό της στην ιδιωτική ζωή και τις ατομικές ελευθερίες, καθώς και τη συλλογή δεδομένων ανοικτού κώδικα ή εμπορικά διαθέσιμων δεδομένων από το FBI 77 .

Τέλος, οι ΜΚΟ των οποίων ζητήθηκε η γνώμη στο πλαίσιο της επανεξέτασης εξέφρασαν την ανησυχία ότι η θητεία αρκετών μελών της PCLOB πρόκειται να λήξει στο εγγύς μέλλον, γεγονός που θα μπορούσε δυνητικά να αφήσει την PCLOB χωρίς απαρτία. Ειδικότερα, η θητεία της προέδρου έχει λήξει και η περίοδος κατά την οποία μπορεί να υπηρετήσει με την ιδιότητα της απερχόμενης προέδρου λήγει τον Ιανουάριο του 2025, ενώ μια ακόμη θέση είναι κενή, ενώ μια τρίτη επίσης θα καταστεί κενή τον Ιανουάριο του επόμενου έτους. Κατά τη συνεδρίαση επανεξέτασης, τα μέλη εξηγούν ότι δεν αναμένουν ότι η PCLOB θα καταλήξει χωρίς απαρτία, δεδομένου ότι έχει ήδη εκδοθεί υποψηφιότητα για τη θέση που είναι επί του παρόντος κενή (και αναμένει την επιβεβαίωση της Γερουσίας) 78 . Υπογράμμισαν επίσης ότι, ακόμη και αν η επιτροπή απολέσει την απαρτία της, αυτό δεν θα επηρεάσει την ικανότητά της να συνεχίσει να εκτελεί σχέδια εποπτείας. Ωστόσο, δεδομένου του σημαντικού ρόλου της PCLOB στον έλεγχο της εφαρμογής του εκτελεστικού διατάγματος EO 14086, η Επιτροπή θα παρακολουθεί στενά την κατάσταση των μελλοντικών κενών θέσεων και των υποψηφιοτήτων/διορισμών.

2.2.3.Μέσα προσφυγής

Το εκτελεστικό διάταγμα EO 14086, το οποίο συμπληρώθηκε από κανονισμό του γενικού εισαγγελέα, θέσπισε νέο μηχανισμό προσφυγής για τον χειρισμό και την επίλυση των καταγγελιών που πληρούν τις προϋποθέσεις από φυσικά πρόσωπα σχετικά με τις δραστηριότητες συλλογής πληροφοριών σημάτων των ΗΠΑ 79 . Κάθε φυσικό πρόσωπο στην ΕΕ δικαιούται να υποβάλει καταγγελία στον μηχανισμό προσφυγής σχετικά με φερόμενη παράβαση του δικαίου των ΗΠΑ που διέπει τις δραστηριότητες συλλογής πληροφοριών σημάτων (π.χ. εκτελεστικό διάταγμα EO 14086, άρθρο 702 του FISA, εκτελεστικό διάταγμα EO 12333) σε σχέση με δεδομένα προσωπικού χαρακτήρα που διαβιβάζονται στις ΗΠΑ και επηρεάζουν δυσμενώς τα συμφέροντά του στην ιδιωτική ζωή και τις ατομικές ελευθερίες. Τα φυσικά πρόσωπα μπορούν να υποβάλουν καταγγελία σε ΑΠΔ σε κράτος μέλος της ΕΕ, η οποία διαβιβάζει, μέσω της γραμματείας του ΕΣΠΔ, την καταγγελία στον μηχανισμό προσφυγής. Ο μηχανισμός αποτελείται από δύο επίπεδα, με την αρχική διερεύνηση των καταγγελιών να διενεργείται από τον CLPO του ODNI και τη δυνατότητα των φυσικών προσώπων να προσφεύγουν κατά της απόφασης του CLPO ενώπιον ανεξάρτητου DPRC. Μόλις ολοκληρωθεί η εξέταση από τον CLPO του ODNI ή το DPRC, τα φυσικά πρόσωπα ενημερώνονται, μέσω της εθνικής αρχής, ότι «κατά την εξέταση είτε δεν εντοπίστηκαν καλυπτόμενες παραβάσεις είτε ο CLPO του ODNI / το DPRC εξέδωσε απόφαση με την οποία απαιτείται κατάλληλη αποκατάσταση». Οι αποφάσεις του CLPO του ODNI και του DPRC είναι δεσμευτικές για τις υπηρεσίες πληροφοριών.

Μετά την έκδοση της απόφασης επάρκειας, έχουν ληφθεί περαιτέρω μέτρα για να καταστεί ο μηχανισμός προσφυγής πλήρως λειτουργικός.

Όσον αφορά τη συγκρότηση του DPRC, στις 14 Νοεμβρίου 2023 διορίστηκαν στο δικαστήριο οκτώ δικαστές (ήτοι δύο δικαστές περισσότεροι από τον ελάχιστο αριθμό που απαιτείται βάσει του εκτελεστικού διατάγματος EO 14086, όπως συμπληρώθηκε με τις κανονιστικές ρυθμίσεις του γενικού εισαγγελέα στον τίτλο 28 C.F.R. άρθρο 201.3 στοιχείο a) του κώδικα ομοσπονδιακών κανονιστικών ρυθμίσεων 80 . Οι εν λόγω δικαστές διορίστηκαν βάσει των κριτηρίων που ορίζονται στο εκτελεστικό διάταγμα EO 14086 και σύμφωνα με τη διαδικασία που ορίζεται σ’ αυτό, μεταξύ άλλων ύστερα από διαβούλευση με την PCLOB 81 . Μεταξύ αυτών περιλαμβάνονται πρώην δικαστές των ομοσπονδιακών πρωτοδικείων (district court) και των εφετείων, ένας πρώην γενικός εισαγγελέας των ΗΠΑ και ένα πρώην μέλος της PCLOB. Όπως απαιτείται από το εκτελεστικό διάταγμα, τουλάχιστον οι μισοί από τους δικαστές διαθέτουν προηγούμενη δικαστική πείρα. Επιπρόσθετα, τον Απρίλιο του 2024 διορίστηκαν δύο ειδικοί συνήγοροι —επαγγελματίες του νομικού κλάδου με εμπειρογνωσία τόσο στον τομέα της ιδιωτικής ζωής όσο και στον τομέα της εθνικής ασφάλειας— για να εκπροσωπούν τα συμφέροντα των φυσικών προσώπων ενώπιον του DPRC. Κατά τη συνεδρίαση επανεξέτασης επιβεβαιώθηκε ότι όλοι οι δικαστές και οι ειδικοί συνήγοροι έχουν λάβει την υψηλότερη διαβάθμιση ασφαλείας και, ως εκ τούτου, μπορούν να έχουν πρόσβαση σε διαβαθμισμένο υλικό κατά την εκτέλεση των καθηκόντων τους για το DPRC. Το DPRC είχε επίσης δημοσιεύσει σειρά συχνών ερωτήσεων, οι οποίες παρέχουν περισσότερες πληροφορίες σχετικά με τον ρόλο, την ανεξαρτησία και τη λειτουργία του 82 .

Όσον αφορά τον χειρισμό των καταγγελιών, το ODNI εξέδωσε στις 6 Δεκεμβρίου 2022 την οδηγία 126 για την κοινότητα των υπηρεσιών πληροφοριών, η οποία ρυθμίζει λεπτομερώς (με τον καθορισμό προθεσμιών, τη δημιουργία ασφαλούς ηλεκτρονικού αποθετηρίου και διαύλων επικοινωνίας, την απαίτηση από τον CLPO και τους συμμετέχοντες στην κοινότητα των υπηρεσιών πληροφοριών να συνεργάζονται με την PCLOB στο πλαίσιο της ετήσιας επανεξέτασης του μηχανισμού προσφυγής κ.λπ.) διάφορες πτυχές της διαδικασίας για τη διερεύνηση και την εκδίκαση των καταγγελιών 83 . Η εν λόγω οδηγία εφαρμόζεται σε ολόκληρη την κοινότητα των υπηρεσιών πληροφοριών των ΗΠΑ και έχει συμπληρωθεί από περαιτέρω εσωτερικές διαδικασίες που θεσπίστηκαν από επιμέρους υπηρεσίες πληροφοριών σχετικά με τη συνεργασία τους με τον CLPO του ODNI στο πλαίσιο του χειρισμού μιας καταγγελίας (π.χ. ανάπτυξη ασφαλούς αποθετηρίου για την ανταλλαγή καταγγελιών και εγγράφων ανταπόκρισης· και ασφαλείς επικοινωνίες μεταξύ των αρμόδιων υπηρεσιών). Το DPRC θα εκδώσει επίσης κατά τους προσεχείς μήνες πιο λεπτομερείς κανόνες σχετικά με τον χειρισμό των καταγγελιών και άλλες διαδικαστικές πτυχές.

Ορισμένα πρόσθετα μέτρα ελήφθησαν στην Ευρωπαϊκή Ένωση και στις Ηνωμένες Πολιτείες για την ενημέρωση του ευρέος κοινού, καθώς και για τη διευκόλυνση της υποβολής και του χειρισμού των καταγγελιών. Σ’ αυτά περιλαμβάνεται η έκδοση από το ΕΣΠΔ ενός ενημερωτικού σημειώματος σχετικά με τον νέο μηχανισμό προσφυγής 84 , ενός υποδείγματος εντύπου καταγγελίας (το οποίο πρόκειται να μεταφραστεί και να δημοσιευθεί από όλες τις ΑΠΔ στις εθνικές γλώσσες τους) 85 και των διαδικαστικών κανόνων που διέπουν τη συνεργασία μεταξύ των εθνικών εποπτικών αρχών και της γραμματείας του ΕΣΠΔ 86 . Ομοίως, το ODNI δημοσίευσε συχνές ερωτήσεις και ενημερωτικό δελτίο σχετικά με τον νέο μηχανισμό προσφυγής και συμμετείχε σε δραστηριότητες ευαισθητοποίησης του κοινού 87 .

Επιπλέον, κατά το προηγούμενο έτος, το ΕΣΠΔ και οι αρμόδιες αρχές των ΗΠΑ συνεργάστηκαν στενά σε διάφορες επιχειρησιακές πτυχές. Ειδικότερα, όπως επιβεβαιώθηκε κατά τη συνεδρίαση επανεξέτασης, δημιούργησαν έναν κρυπτογραφημένο δίαυλο επικοινωνίας για τη διαβίβαση καταγγελιών από τις εθνικές αρχές στην ΕΕ στη γραμματεία του ΕΣΠΔ, από τη γραμματεία του ΕΣΠΔ στον CLPO του ODNI, καθώς και στο Γραφείο Προστασίας της Ιδιωτικής Ζωής και των Ατομικών Ελευθεριών του Υπουργείου Δικαιοσύνης (Office of Privacy and Civil Liberties, στο εξής: OPCL), και μεταξύ του CLPO του ODNI και άλλων αρχών από την πλευρά των ΗΠΑ (π.χ. DPRC). Επίσης, η CLPO του ODNI εξήγησε ότι έχουν θεσπιστεί περαιτέρω εσωτερικές διαδικασίες για τη συνεργασία επιμέρους υπηρεσιών πληροφοριών με αυτήν, όσον αφορά τον χειρισμό καταγγελιών.

Τέλος, το OPCL, το οποίο παρέχει διοικητική υποστήριξη στο DPRC, ενημέρωσε επίσης ότι το DPRC λειτουργεί στο πλαίσιο της δικής του ειδικής γραμμής του προϋπολογισμού και ότι του παρέχονται οι απαραίτητες διευκολύνσεις για την εκτέλεση των καθηκόντων του, συμπεριλαμβανομένων ασφαλών υπολογιστών και φορητών υπολογιστών, τηλεφώνων κ.λπ. Επιπρόσθετα, όπως απαιτείται από το εκτελεστικό διάταγμα EO 14086, το Υπουργείο Εμπορίου έχει λάβει τα απαραίτητα μέτρα, μεταξύ άλλων με τη δημιουργία ενός κρυπτογραφημένου διαύλου επικοινωνίας με τον CLPO του ODNI, για την τήρηση αρχείου όλων των καταγγελιών που λαμβάνονται. Το Υπουργείο Εμπορίου θα επικοινωνεί περιοδικά με τον CLPO του ODNI σχετικά με το αν οι πληροφορίες που αφορούν ατομική καταγγελία έχουν αποχαρακτηριστεί. Στην περίπτωση αυτή, το Υπουργείο Εμπορίου ενημερώνει σχετικά το οικείο πρόσωπο, ώστε να του επιτρέψει να αποκτήσει πρόσβαση στις εν λόγω πληροφορίες.

Κατά τον χρόνο της συνεδρίασης επανεξέτασης, δεν είχαν ληφθεί καταγγελίες από τις εποπτικές αρχές της ΕΕ και, ως εκ τούτου, ο νέος μηχανισμός προσφυγής δεν είχε ακόμη ενεργοποιηθεί.

3.ΣΥΜΠΕΡΑΣΜΑ

Με βάση τις πληροφορίες που συγκεντρώθηκαν κατά την παρούσα πρώτη επανεξέταση, η Επιτροπή καταλήγει στο συμπέρασμα ότι οι αρχές των ΗΠΑ έχουν θεσπίσει τις αναγκαίες δομές και διαδικασίες ώστε να διασφαλίσουν την αποτελεσματική λειτουργία του πλαισίου για την προστασία των δεδομένων. Στο πλαίσιο αυτό, η Επιτροπή εκτιμά ιδιαίτερα την πολύ καλή συνεργασία με τις αρχές των ΗΠΑ για τη διενέργεια της επανεξέτασης.

Μολονότι αυτή η πρώτη επανεξέταση εστίασε, όπως ήταν φυσικό, στην επαλήθευση του αν υπάρχουν όλα τα συστατικά στοιχεία του πλαισίου, η πείρα από την πρακτική εφαρμογή των εγγυήσεων που ισχύουν τόσο για την επεξεργασία δεδομένων από πιστοποιημένες εταιρείες όσο και για την πρόσβαση των δημόσιων αρχών σε δεδομένα είναι αναγκαστικά περιορισμένη έπειτα από μόλις ένα έτος λειτουργίας. Ως εκ τούτου, η Επιτροπή θα παρακολουθεί στενά τις σχετικές εξελίξεις κατά τους επόμενους μήνες και έτη, δίνοντας ιδιαίτερη προσοχή 1) στις επικείμενες εκθέσεις της PCLOB σχετικά με την εφαρμογή του εκτελεστικού διατάγματος EO 14086 και τη λειτουργία του μηχανισμού προσφυγής για τις πληροφορίες σημάτων, ιδίως του DPRC· 2) σε πιθανές περαιτέρω τροποποιήσεις του άρθρου 702 του FISA· και 3) στην υποψηφιότητα και τον διορισμό μελών της PCLOB για την πλήρωση επικείμενων κενών θέσεων.

Επιπλέον, για να διασφαλιστεί η συνεχής και αποτελεσματική λειτουργία, η Επιτροπή θεωρεί σημαντικό:

-να κάνει το Υπουργείο Εμπορίου μεγαλύτερη χρήση των διαφόρων εργαλείων που παρέχονται στο πλαίσιο του ΠΠΔ για την παρακολούθηση της συμμόρφωσης των εταιρειών με τις αρχές και τον εντοπισμό ψευδών ισχυρισμών συμμετοχής, όπως ανακοινώθηκε στη συνεδρίαση επανεξέτασης.

-να αναπτύξει η Ομοσπονδιακή Επιτροπή Εμπορίου περαιτέρω την προορατική προσέγγισή της όσον αφορά τη διερεύνηση και την επιβολή της συμμόρφωσης των πιστοποιημένων εταιρειών με τις αρχές του ΠΠΔ· και

-να αναπτύξουν το Υπουργείο Εμπορίου, η Ομοσπονδιακή Επιτροπή Εμπορίου και οι αρχές προστασίας δεδομένων της ΕΕ κοινά μέσα καθοδήγησης σχετικά με τις βασικές απαιτήσεις στο πλαίσιο των αρχών του ΠΠΔ, π.χ. σχετικά με τα δεδομένα ανθρώπινου δυναμικού και τις περαιτέρω διαβιβάσεις.

Με βάση αυτό το αποτέλεσμα της επανεξέτασης και όπως προβλέπεται στην αιτιολογική σκέψη 211 της απόφασης επάρκειας, η Ευρωπαϊκή Επιτροπή θεωρεί σκόπιμο να διενεργήσει την επόμενη περιοδική επανεξέταση ύστερα από τρία έτη. Η εν λόγω περίοδος θα δώσει τη δυνατότητα να αποκτηθεί μεγαλύτερη πείρα από την πρακτική εφαρμογή του ΠΠΔ και να ληφθούν υπόψη οι προαναφερθείσες επικείμενες εξελίξεις. Ως εκ τούτου, σύμφωνα με το άρθρο 3 παράγραφος 4 της απόφασης επάρκειας, η Επιτροπή θα διαβουλεύεται με το ΕΣΠΔ και την επιτροπή που έχει συσταθεί δυνάμει του άρθρου 93 παράγραφος 1 του γενικού κανονισμού για την προστασία δεδομένων σχετικά με την περιοδικότητα μελλοντικών επανεξετάσεων..

(1)

Εκτελεστική απόφαση (ΕΕ) 2023/1795 της Επιτροπής, της 10ης Ιουλίου 2023, σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, σχετικά με την επάρκεια του επιπέδου προστασίας των δεδομένων προσωπικού χαρακτήρα βάσει του πλαισίου ΕΕ-ΗΠΑ για την προστασία των δεδομένων.

(2)

Η Επιτροπή απέστειλε ερωτηματολόγιο σε εννέα ΜΚΟ (Human Rights Watch, American Civil Liberties Union, Consumer Federation of America, Center for Digital Democracy, New America Open Technology Institute, Access Now, Electronic Frontier Foundation, Electronic Privacy Information Center, Center for Democracy and Technology), εστιάζοντας στις σχετικές εξελίξεις στο νομικό πλαίσιο των ΗΠΑ, στους μηχανισμούς εποπτείας και επιβολής, καθώς και στη λειτουργία των μηχανισμών προσφυγής. Οι υπηρεσίες της Επιτροπής και οι εκπρόσωποι του Ευρωπαϊκού Συμβουλίου Προστασίας δεδομένων (ΕΣΠΔ) συναντήθηκαν επίσης διαδικτυακά μ’ αυτές τις ΜΚΟ στις 9 Ιουλίου 2024.

(3)

Η Επιτροπή απέστειλε ερωτηματολόγιο σε εννέα εμπορικές ενώσεις [Software & Information Industry Association (Ένωση Κλάδου Λογισμικού Πληροφορικής), U.S. Chamber of Commerce (Εμπορικό Επιμελητήριο των ΗΠΑ), Information Technology Industry Council (Συμβούλιο Κλάδου Τεχνολογίας των Πληροφοριών), Software Alliance (Συμμαχία Λογισμικού), Centre for Information Policy Leadership (Κέντρο για την ηγεσία της πολιτικής των πληροφοριών), Interactive Advertising Bureau (Γραφείο Διαδραστικής Διαφήμισης), United States Council for International Business (Συμβούλιο Διεθνών Επιχειρήσεων των Ηνωμένων Πολιτειών), Computer and Communications Industry Association (Σύνδεσμος Βιομηχανίας Υπολογιστών και Επικοινωνιών), Engine], το οποίο εστίαζε στην πείρα των εταιρειών που έχουν πιστοποιηθεί βάσει του ΠΠΔ, ιδίως στη διαδικασία πιστοποίησης, στα μέτρα που έχουν ληφθεί για τη συμμόρφωση με τις αρχές του ΠΠΔ, στους μηχανισμούς χειρισμού των αιτήσεων και των καταγγελιών από φυσικά πρόσωπα κ.λπ.

(4)

Οι παρατηρήσεις που ελήφθησαν διατίθενται στον ακόλουθο σύνδεσμο:  https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14379-EU-US-Data-Privacy-Framework-report-of-the-Commission-on-how-the-framework-is-functioning_el .

(5)

Η συνεδρίαση επανεξέτασης διοργανώθηκε ανά θέμα, με κάθε ειδικό σημείο της ημερήσιας διάταξης να εισάγεται με σύντομη παρουσίαση από την αρμόδια αρχή των ΗΠΑ, τον αρμόδιο εκπρόσωπο ή οργανισμό της ΕΕ και στη συνέχεια να ακολουθείται από λεπτομερή συνεδρία ερωτήσεων και απαντήσεων. Την πρώτη ημέρα καλύφθηκαν οι «εμπορικές πτυχές» του πλαισίου (ήτοι η εφαρμογή και η επιβολή των απαιτήσεων που ισχύουν για τις εταιρείες που έχουν πιστοποιηθεί βάσει του ΠΠΔ), ενώ κατά τη δεύτερη ημέρα συζητήθηκαν ζητήματα σχετικά με την πρόσβαση της κυβέρνησης σε δεδομένα προσωπικού χαρακτήρα.

(6)

Οι εκπρόσωποι της Επιτροπής και του ΕΣΠΔ συνεδρίασαν στις 12 Ιουνίου και στις 10 Ιουλίου 2024 με σκοπό να προετοιμαστούν για την επανεξέταση, να συζητήσουν τις παρατηρήσεις που ελήφθησαν και να προσδιορίσουν ποιες πτυχές απαιτούν τη συλλογή πρόσθετων πληροφοριών και διευκρινίσεις.

(7)

Ενότητα I.2 του παραρτήματος I της απόφασης επάρκειας.

(8)

Παράρτημα III της απόφασης επάρκειας.

(9)

Κατά την αντίστοιχη περίοδο 2 400 εταιρείες είχαν πιστοποιηθεί στο πλαίσιο της ασπίδας προστασίας της ιδιωτικής ζωής.

(10)

  https://www.dataprivacyframework.gov/program-articles/How-to-Join-the-Data-Privacy-Framework-(DPF)-Program-(part%E2%80%931) .  

(11)

  https://www.dataprivacyframework.gov/key-requirements . 

(12)

Μηχανισμοί επίλυσης διαφορών του ιδιωτικού τομέα με τους οποίους διερευνώνται και επιλύονται ταχέως οι καταγγελίες και οι διαφορές κάθε ατόμου χωρίς κόστος για το άτομο.

(13)

Ενότητα I σημείο 3 του παραρτήματος I της απόφασης επάρκειας.

(14)

Βλ. παράρτημα III της απόφασης επάρκειας. Ψευδείς ισχυρισμοί μπορεί να προκύψουν, για παράδειγμα, όταν μια εταιρεία ισχυρίζεται ότι συμμετέχει στο ΠΠΔ και είτε δεν ξεκίνησε ποτέ τη διαδικασία πιστοποίησης είτε την έχει ξεκινήσει, αλλά δεν την έχει ολοκληρώσει ή άφησε να λήξει η πιστοποίησή της.

(15)

Για παράδειγμα, όσον αφορά τις περαιτέρω διαβιβάσεις, με την αξιοποίηση της δυνατότητας βάσει της αρχής 3 στοιχείο β) του ΠΠΔ να ζητείται σύνοψη ή αντιπροσωπευτικό αντίγραφο των σχετικών διατάξεων περί προστασίας της ιδιωτικής ζωής των συμβάσεων για τις περαιτέρω διαβιβάσεις.

(16)

Βλ. ενότητα 2.4 της απόφασης επάρκειας.

(17)

Οι οργανισμοί του ΠΠΔ υποχρεούνται να συνεργάζονται κατά τη διερεύνηση και την επίλυση καταγγελίας από ΑΠΔ είτε όσον αφορά την επεξεργασία δεδομένων ανθρώπινου δυναμικού που συλλέγονται στο πλαίσιο εργασιακής σχέσης είτε όταν ο αντίστοιχος οργανισμός έχει υποβληθεί οικειοθελώς στην εποπτεία των ΑΠΔ.

(18)

ANA — https://www.ana.net/content/show/id/accountability-dpf-consumers ·  
Εθνικά προγράμματα BBB — https://assets.bbbprograms.org/docs/default-source/eu-privacy-shield/dpf_periodicalreport_072024.pdf · Διεθνές Κέντρο Επίλυσης Διαφορών (ICDR) — Αμερικανική Ένωση Διαιτησίας (AAA) — https://go.adr.org/rs/294-SFS-516/images/Data%20Privacy%20Framework%20IRM%20Program%20Report%202023-2024%20FINAL.pdf?version=0 ·  
Ένωση Insights — https://www.insightsassociation.org/Portals/INSIGHTS/Insights%20Association%20DPF%20Services%20Program%202024%20Annual%20Report_Final_1.pdf ·

JAMS — https://www.jamsadr.com/files/Uploads/Documents/2024-Annual-Report-DPF-Cases.pdf ·  
Υπηρεσίες βάσει της PrivacyTrust του ΠΠΔ — https://privacytrust.com/fserve/PrivacyTrust_Dispute_Resolution_Report_2023_2024.pdf ·  
Επίλυση διαφορών TRUSTe — https://trustarc.com/wp-content/uploads/2024/07/2024-Independent-Recourse-Mechanism-Annual-Report.pdf ·  
Verasafe — https://verasafe.com/wp-content/uploads/2020/06/VeraSafe-DPF-Dispute-Resolution-Program-Annual-Report-2024.pdf

(19)

Λίγο μετά την ημερομηνία της συνεδρίασης επανεξέτασης, ο ιστότοπος του ΠΠΔ ανέφερε ότι 1 511 από τους 2 892 συμμετέχοντες είχαν ως μηχανισμό προσφυγής την αρχή προστασίας δεδομένων της ΕΕ.

(20)

Στις 17 Απριλίου 2024 το ΕΣΠΔ ενέκρινε τον εσωτερικό κανονισμό για τον «ανεπίσημο φορέα των ΑΠΔ της ΕΕ» σύμφωνα με το πλαίσιο ΕΕ-ΗΠΑ για την προστασία των δεδομένων. Διατίθεται στη διεύθυνση: https://www.edpb.europa.eu/system/files/2024-04/dpf_rules-of-procedure_informal-panel-dpas_en.pdf .  

(21)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/eu-us-data-privacy-framework-template-complaint-form_el .  

(22)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/eu-us-data-privacy-framework-faq-european-individuals_el . 

(23)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/eu-us-data-privacy-framework-faq-european-individuals_el . 

(24)

  https://go.adr.org/DPF_Arbitrator_Bios.html .  

(25)

  https://go.adr.org/rs/294-SFS-516/images/IC.DR-AAA_EU-US_DPF_AnnexI_Arbitration_Rules.pdf .

(26)

https://go.adr.org/rs/294-SFS-516/images/Code_of_Conduct_for_Arbitrators_Appointed_to_EU-US_DPF_AnnexI_Arbitrations.pdf .  

(27)

Βλ., π.χ., https://www.dataprivacyframework.gov/US-Businesses .

(28)

  https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en .

(29)

  https://www.federalregister.gov/documents/2024/03/01/2024-04573/preventing-access-to-americans-bulk-sensitive-personal-data-and-united-states-government-related .

(30)

 Μεταξύ αυτών περιλαμβάνονται, όπως προτάθηκε από τον γενικό εισαγγελέα σε πρόσκληση συμμετοχής [των ενδιαφερομένων] στην κατάρτιση κανονιστικής ρύθμισης που εκδόθηκε στις 3 Μαΐου 2024, η Βενεζουέλα, η Βόρεια Κορέα, το Ιράν, η Κίνα, η Κούβα, το Χονγκ Κονγκ και το Μακάο. Βλ. https://www.federalregister.gov/documents/2024/03/05/2024-04594/national-security-division-provisions-regarding-access-to-americans-bulk-sensitive-personal-data-and . 

(31)

  https://www.federalregister.gov/documents/2023/11/01/2023-24283/safe-secure-and-trustworthy-development-and-use-of-artificial-intelligence .

(32)

Ενώ υπάρχουν διαφορές ως προς την έννοια της «κατάρτισης προφίλ» μεταξύ των διαφόρων κρατών, η κατάρτιση προφίλ ορίζεται γενικά ως κάθε μορφή αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα για την αξιολόγηση, την ανάλυση ή την πρόβλεψη προσωπικών πτυχών που σχετίζονται με την οικονομική κατάσταση, την υγεία, τις προσωπικές προτιμήσεις, τα ενδιαφέροντα, την αξιοπιστία, τη συμπεριφορά, την τοποθεσία ή τις μετακινήσεις ενός ταυτοποιημένου ή ταυτοποιήσιμου φυσικού προσώπου. Κατά κανόνα, οι καταναλωτές μπορούν να επιλέξουν να εξαιρεθούν από την κατάρτιση προφίλ. Οι ακόλουθες πολιτείες έχουν αναπτύξει νομοθεσία για την κατάρτιση προφίλ: Κολοράντο (Colo. Rev. Stat. Ann. § 6-1-1306), Κονέκτικατ [Conn. Gen. Stat. Ann. § 42-518, Ντέλαγουερ (Del. Code Ann. tit. 6, § 12D-104), Φλόριντα (Fla. Stat. Ann. § 501.705), Ιντιάνα (Ind. Code Ann. § 24-15-3-1), Κεντάκι (Ky. Rev. Stat. Ann. § 367.3615), Μέριλαντ [Maryland Online Data Privacy Act 2024 (νόμος για την προστασία των δεδομένων στο διαδίκτυο του 2024 του Μέριλαντ), ψηφίστηκε στις 9 Μαΐου 2024], Μινεσότα (Minn. Stat. Ann. § 325O.07), Μοντάνα (Mont. Code Ann. § 30-14-2808), Νεμπράσκα (Neb. Rev. Stat. Ann. § 87-1107), Νιου Χάμσαϊρ (N.H. Rev. Stat. Ann. § 507-H:4), Νιου Τζέρσεϊ (N.J. Stat. Ann. § 56: 8-166.8), Όρεγκον (Or. Rev. Stat. Ann. § 646A.574), Ρόουντ Άιλαντ [Rhode Island Data Transparency and Privacy Protection Act (νόμος για τη διαφάνεια και την προστασία της ιδιωτικής ζωής του Ρόουντ Άιλαντ), που εκδόθηκε στις 29 Ιουνίου 2024], Τενεσί (Tenn. Code Ann. § 47-18-3304), Τέξας (Tex. Bus. & Com. Code Ann. § 541.051) και Βιρτζίνια (Va. Code Ann. § 59.1-577).

(33)

  https://files.consumerfinance.gov/f/documents/cfpb_joint-statement-enforcement-against-discrimination-bias-automated-systems_2023-04.pdf .  

(34)

  https://www.ftc.gov/legal-library/browse/cases-proceedings/2023190-rite-aid-corporation-ftc-v .

(35)

Βλ., για παράδειγμα, το πρόσφατο διάταγμα της Ομοσπονδιακής Επιτροπής Εμπορίου κατά της X-Mode για την πώληση και την κοινοχρησία ευαίσθητων πληροφοριών τοποθεσίας ( https://www.ftc.gov/system/files/ftc_gov/pdf/X-ModeSocialDecisionandOrder.pdf ) και κατά της Monument σχετικά με την κοινολόγηση ευαίσθητων δεδομένων υγείας σε τρίτους για σκοπούς εμπορίας ( https://www.ftc.gov/system/files/ftc_gov/pdf/MonumentOrderFiled.pdf ).

(36)

Για παράδειγμα, η Ομοσπονδιακή Επιτροπή Εμπορίου ανακοίνωσε πρόσφατα έρευνα που οδήγησε σε αγωγή κατά της TikTok και της μητρικής της εταιρείας Bytedance, για φερόμενη παραβίαση της νομοθεσίας περί προστασίας της ιδιωτικής ζωής των παιδιών. Εικάζεται ότι και οι δύο εταιρείες δεν συμμορφώθηκαν με την απαίτηση κοινοποίησης και λήψης γονικής συγκατάθεσης πριν από τη συλλογή και τη χρήση προσωπικών πληροφοριών από παιδιά ηλικίας κάτω των 13 ετών ( https://www.ftc.gov/news-events/news/press-releases/2024/08/ftc-investigation-leads-lawsuit-against-tiktok-bytedance-flagrantly-violating-childrens-privacy-law ).

(37)

Βλ. επισκόπηση των πρόσφατων δραστηριοτήτων επιβολής του νόμου στο έγγραφο «The FTC 2023 Privacy and Data Security Update» (Ενημέρωση της Ομοσπονδιακής Επιτροπής Εμπορίου για την προστασία της ιδιωτικής ζωής και την ασφάλεια δεδομένων του 2023). https://ec.europa.eu/commission/presscorner/detail/el/mex_24_1307

(38)

 Βλ. https://ec.europa.eu/commission/presscorner/detail/el/mex_24_1307 . Ως αποτέλεσμα της συνεδρίασης του Μαρτίου του 2024, αποφασίστηκε η διεξαγωγή σειράς θεματικών συνεδριάσεων. Η πρώτη πραγματοποιήθηκε τον Ιούλιο του 2024 και εστίασε στην ανάπτυξη εργαλείων που μπορούν να στηρίξουν τις μικρές και μεσαίες επιχειρήσεις στη συμμόρφωση με τη νομοθεσία για την προστασία της ιδιωτικής ζωής.

(39)

Άλλα μέτρα που μπορούν να ληφθούν στο πλαίσιο του FISA όσον αφορά τα δεδομένα που διαβιβάζονται από την ΕΕ είναι η εξατομικευμένη ηλεκτρονική παρακολούθηση (άρθρο 105 του FISA), οι φυσικές έρευνες (άρθρο 302 του FISA), η χρήση συσκευών καταγραφής στοιχείων εισερχόμενων ή εξερχόμενων επικοινωνιών (άρθρο 402 του FISA) και η συλλογή επιχειρηματικών αρχείων από ορισμένες εταιρείες (κοινοί μεταφορείς, εγκαταστάσεις δημόσιων καταλυμάτων, εγκαταστάσεις ενοικίασης οχημάτων ή εγκαταστάσεις αποθήκευσης, άρθρο 501 του FISA). Αυτές οι διαφορετικές νομικές βάσεις αναλύονται λεπτομερώς στην απόφαση επάρκειας (αιτιολογικές σκέψεις 142-152).

(40)

Για περισσότερες πληροφορίες, βλ. ενότητα 3.2.1.2 της απόφασης επάρκειας.

(41)

Αυτοί οι θεμιτοί στόχοι/σκοποί περιλαμβάνουν, για παράδειγμα, την προστασία από κατασκοπεία, δολιοφθορά, δολοφονία ή άλλες δραστηριότητες συλλογής πληροφοριών που διεξάγονται από ή για λογαριασμό ή με τη συνδρομή αλλοδαπής κυβέρνησης, οργάνωσης ή προσώπου· την προστασία από την τρομοκρατία, την ομηρία και την αιχμαλωσία ατόμων από ή για λογαριασμό αλλοδαπής κυβέρνησης, οργάνωσης ή προσώπου.

(42)

Άρθρο 2 στοιχείο b) σημείο iii) του εκτελεστικού διατάγματος EO 14086.

(43)

Βλ. https://www.intel.gov/ic-on-the-record-database/results/oversight/1278-odni-releases-ic-procedures-implementing-new-safeguardsin-executive-order-14086 , δημοσιεύτηκε στις 3 Ιουλίου 2023.

(44)

  https://www.intelligence.gov/ic-on-the-record-database/results/1307-release-of-documents-related-to-the-2023-fisa-section-702-certifications .

(45)

Οι εν λόγω διαδικασίες περιορίζουν τη συλλογή δεδομένων σε σχέση με συγκεκριμένο σκοπό συλλογής πληροφοριών από την αλλοδαπή, περιορίζουν την πρόσβαση σε βάσεις δεδομένων στις οποίες αποθηκεύονται οι πληροφορίες που αποκτώνται σύμφωνα με το άρθρο 702 του FISA (μεταξύ άλλων μέσω ελέγχων πρόσβασης) και επιβάλλουν περιορισμούς στη χρήση, τη διατήρηση και τη διάδοση των εν λόγω πληροφοριών.

(46)

  https://www.intel.gov/foreign-intelligence-surveillance-act .

(47)

Άρθρο 22 του RISAA.

(48)

Άρθρο 23 του RISAA.

(49)

Άρθρο 2 στοιχείο b) σημείο ii) περίπτωση Α υποπεριπτώσεις 2, 3 και 10 του EO 14086.

(50)

Άρθρο 25 του RISAA.

(51)

  https://www.justice.gov/opa/media/1348621/dl?inline . Βλ. την απόφαση του FISC του 2022 ( https://www.intel.gov/assets/documents/702%20Documents/declassified/2022-FISC-ECSP-OPINION.pdf ) και την απόφαση του FISCR που επικυρώνει την εν λόγω απόφαση ( https://www.intel.gov/assets/documents/702%20Documents/declassified/2023_FISC-R_ECSP_Opinion.pdf ).

(52)

Επιπλέον, ο RISAA εισήγαγε ορισμένες αλλαγές όσον αφορά την παραδοσιακή εξατομικευμένη ηλεκτρονική παρακολούθηση σύμφωνα με το άρθρο 105 του FISA (βάσει εντάλματος του FISC που εκδίδεται εάν πληρούται κριτήριο πιθανής αιτίας). Για την υποβολή αίτησης από υπηρεσία πληροφοριών στον γενικό εισαγγελέα για την έκδοση διαταγής για τη διενέργεια εξατομικευμένης ηλεκτρονικής παρακολούθησης απαιτείται πλέον ένορκη δήλωση που να αιτιολογεί την πεποίθηση ότι πληρούνται οι προϋποθέσεις του άρθρου 105 του FISA [άρθρο 6 στοιχείο a) του RISAA]. Η πιθανή διάρκεια της ηλεκτρονικής παρακολούθησης όσον αφορά αλλοδαπές δυνάμεις ή πράκτορες αλλοδαπών δυνάμεων έχει επεκταθεί από 120 ημέρες σε 1 έτος [άρθρο 6 στοιχείο g) του RISAA].

(53)

Άρθρο 2 στοιχείο d) του RISAA.

(54)

Άρθρο 3 στοιχείο a) του RISAA.

(55)

Άρθρο 3 στοιχείο b) του RISAA. Όταν απαιτείται λόγω εξαιρετικών περιστάσεων, ο διευθυντής του FBI μπορεί να αποφασίσει την εξαίρεση από την εν λόγω διάταξη, η οποία πρέπει να κοινοποιηθεί στο Κογκρέσο.

(56)

Για λόγους σαφήνειας, οι τροποποιήσεις αυτές δεν επηρεάζουν το καθεστώς και τον ρόλο των ειδικών συνηγόρων ενώπιον του Δικαστηρίου Ελέγχου της Προστασίας Δεδομένων (Data Protection Review Court, στο εξής: DPRC), όπως επιβεβαιώθηκε από τις ΗΠΑ κατά τη συνεδρίαση επανεξέτασης.

(57)

Άρθρο 5 στοιχείο b) του RISAA.

(58)

Το άρθρο 18 απαιτεί ειδικά εκπροσώπηση εκτός του Κογκρέσου.

(59)

  https://www.dni.gov/files/CLPT/documents/2024_ASTR_for_CY2023.pdf .

(60)

  https://www.justice.gov/nsd/media/1350236/dl?inline .

(61)

Τα στοιχεία αυτά παρέμειναν σε μεγάλο βαθμό σταθερά σε σύγκριση με το προηγούμενο έτος αναφοράς (2022). Συγκριτικά, το 2022 υποβλήθηκαν 317 τελικές αιτήσεις στο FISC για τη διενέργεια ηλεκτρονικής παρακολούθησης και/ή φυσικών ερευνών για σκοπούς συλλογής πληροφοριών από την αλλοδαπή. Ο συνολικός αριθμός των προσώπων που αποτέλεσαν αντικείμενο διαταγών ηλεκτρονικής παρακολούθησης ήταν μεταξύ 0 και 499. Το 2022 το FBI υπέβαλε 9 103 αιτήσεις NSL για την παροχή πληροφοριών σχετικά με πρόσωπα που δεν ήταν υπήκοοι των ΗΠΑ (εξαιρουμένων των αιτήσεων μόνο για πληροφορίες συνδρομητών). Πηγή: https://irp.fas.org/agency/doj/fisa/2022rept.pdf . 

(62)

  https://transparencyreport.google.com/user-data/us-national-security .

(63)

  https://transparency.meta.com/reports/government-data-requests/country/US/ .

(64)

  https://transparencyreport.google.com/user-data/us-national-security  

(65)

Βλ. για παράδειγμα το άρθρο 2.4 του εκτελεστικού διατάγματος EO 12333 σχετικά με τις τεχνικές συλλογής.

(66)

Βλ. αιτιολογική σκέψη 40 της απόφασης επάρκειας.

(67)

Βλ. αιτιολογική σκέψη 38 της απόφασης επάρκειας.

(68)

https://www.ftc.gov/news-events/news/press-releases/2024/01/ftc-order-prohibits-data-broker-x-mode-social-outlogic-selling-sensitive-location-data.

(69)

  https://www.dni.gov/files/ODNI/documents/CAI/Commercially-Available-Information-Framework-May2024.pdf . Οι υπηρεσίες πληροφοριών υποχρεούνται να συμμορφώνονται με το πλαίσιο από τον Αύγουστο του 2024.

(70)

Κάθε υπηρεσία πληροφοριών διαθέτει γενικό επιθεωρητή ο οποίος είναι εκ του νόμου ανεξάρτητος και υπεύθυνος για τη διενέργεια ελέγχων και ερευνών σχετικά με τις δραστηριότητες που εκτελεί η αντίστοιχη υπηρεσία για σκοπούς εθνικής ασφάλειας. Έχουν πρόσβαση σε όλο το σχετικό (μεταξύ άλλων και στο διαβαθμισμένο) υλικό, αν χρειαστεί με κλήτευση, και μπορούν να λαμβάνουν καταθέσεις. Οι γενικοί επιθεωρητές παραπέμπουν τις υποθέσεις φερόμενων παραβάσεων της ποινικής νομοθεσίας για δίωξη και διατυπώνουν συστάσεις για διορθωτικές ενέργειες στους επικεφαλής των υπηρεσιών. Παρότι οι συστάσεις τους είναι μη δεσμευτικές, οι εκθέσεις τους, μεταξύ άλλων σχετικά με τις επακόλουθες ενέργειες (ή την έλλειψή τους) κατά κανόνα δημοσιοποιούνται και αποστέλλονται στο Κογκρέσο. Βλ. σχετικά υποσημείωση 136 της απόφασης επάρκειας σχετικά με τον ρόλο του γενικού επιθεωρητή.

(71)

  https://oig.nsa.gov/reports/Article/3609957/semiannual-report-to-congress-1-april-2023-to-30-september-2023/ .

(72)

Η PCLOB είναι ανεξάρτητος οργανισμός επιφορτισμένος με αρμοδιότητες στον τομέα των αντιτρομοκρατικών πολιτικών και της εφαρμογής τους, με σκοπό την προστασία της ιδιωτικής ζωής και των ατομικών ελευθεριών. Μπορεί να έχει πρόσβαση σε όλες τις σχετικές (μεταξύ άλλων και στις διαβαθμισμένες) πληροφορίες, να διεξάγει συνεντεύξεις και να λαμβάνει μαρτυρικές καταθέσεις. Μπορεί να εκδίδει συστάσεις προς τις αρχές επιβολής του νόμου και τις αρχές πληροφοριών και να υποβάλει τακτικά εκθέσεις στο Κογκρέσο και στον πρόεδρο των ΗΠΑ. Οι εκθέσεις της δημοσιοποιούνται στον μέγιστο δυνατό βαθμό.

(73)

  https://documents.pclob.gov/prod/Documents/EventsAndPress/834a1977-f420-4b2a-ae93-8a522b2c7c74/Trans-Atlantic%20Data%20Privacy%20Framework%20EO%20press%20release%20(FINAL)%20-%20Completed%20508%20-%2010202022.pdf .

(74)

  https://www.pclob.gov/OversightProjects/Details/1115 .

(75)

  https://documents.pclob.gov/prod/Documents/OversightReport/8ca320e5-01d3-4d6a-8106-3384aad6ff31/2023%20PCLOB%20702%20Report%20-%20Nov%2017%202023%20-%201446.pdf .

(76)

Η Επιτροπή επισημαίνει ότι ορισμένες από τις συστάσεις αυτές ενσωματώθηκαν στο πλαίσιο του RISAA, συμπεριλαμβανομένης της σύστασης σχετικά με τη συλλογή πληροφοριών «που αφορούν κριτήριο επιλογής» ή της σύστασης σχετικά με την ενίσχυση του ρόλου των εμπειρογνωμόνων FISC (amici).

(77)

  https://www.pclob.gov/OversightProjects .

(78)

  https://documents.pclob.gov/prod/Documents/EventsAndPress/deb9cd13-12af-4250-998e-a520a2419a6b/PCLOB%20nominee%20press%20release%206-13-24.pdf .

(79)

Αιτιολογικές σκέψεις 176-194 της απόφασης επάρκειας.

(80)

  https://www.justice.gov/opa/pr/attorney-general-merrick-b-garland-announces-judges-data-protection-review-court .

(81)

Άρθρο 3 στοιχείο d) περίπτωση A) του εκτελεστικού διατάγματος EO 14086.

(82)

  https://www.justice.gov/opcl/dprc-resources .

(83)

https://www.dni.gov/files/documents/ICD/ICD_126-Implementation-Procedures-for-SIGINT-Redress-Mechanism.pdf.

(84)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/information-note-data-protection-framework-redress_el .

(85)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/template-complaint-form-us-office-director-national_el .

(86)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/rules-procedure-data-protection-framework-redress_el .

(87)

  https://www.dni.gov/files/CLPT/documents/Fact_Sheets/The_Role_of_the_ODNI_CLPO_FAQs.pdf and https://www.dni.gov/files/CLPT/documents/Fact_Sheets/Data_Privacy_Framework.pdf .