IL-KUMMISSJONI EWROPEA

Brussell, 9.10.2024

COM(2024) 451 final

RAPPORT TAL-KUMMISSJONI LILL-PARLAMENT EWROPEW U LILL-KUNSILL

dwar l-ewwel rieżami perjodiku tal-funzjonament tad-deċiżjoni ta’ adegwatezza dwar il-Qafas tal-Privatezza tad-Data bejn l-UE u l-Istati Uniti

1.L-EWWEL RIEŻAMI PERJODIKU - KUNTEST, TĦEJJIJA U PROĊESS

Fid-deċiżjoni tagħha tal-10 ta’ Lulju 2023 (id-“deċiżjoni ta’ adegwatezza”), il-Kummissjoni sabet li l-Qafas tal-Privatezza tad-Data UE-Stati Uniti (DPF, Data Privacy Framework) jipprovdi livell adegwat ta’ protezzjoni għad-data personali ttrasferita mill-Unjoni Ewropea lil organizzazzjonijiet fl-Istati Uniti tal-Amerka 1 . Id-deċiżjoni ta’ adegwatezza tirrikjedi li l-Kummissjoni twettaq rieżamijiet perjodiċi, li l-ewwel wieħed minnhom għandu jsir wara sena mid-data tan-notifika tad-deċiżjoni ta’ adegwatezza lill-Istati Membri. Dan ir-rapport jikkonkludi dan l-ewwel rieżami.

Kif meħtieġ mill-Premessa 211 tad-deċiżjoni ta’ adegwatezza, dan l-ewwel rieżami, li sar wara l-ewwel sena ta’ operat tal-qafas il-ġdid, iffoka fuq il-verifika ta’ jekk l-elementi kollha previsti fil-qafas ġewx implimentati u jekk humiex qegħdin jiffunzjonaw b’mod effettiv. Ir-rieżami kopra l-aspetti kollha tal-funzjonament tal-qafas, inkluż fid-dawl tal-iżviluppi legali li seħħew minn meta ġiet adottata d-deċiżjoni ta’ adegwatezza.

Bi tħejjija għar-rieżami, il-Kummissjoni ġabret informazzjoni mill-partijiet ikkonċernati rilevanti, b’mod partikolari mill-organizzazzjonijiet mhux governattivi (NGOs, non-governmental organisations) b’għarfien espert fid-drittijiet diġitali u fil-privatezza 2 , mill-organizzazzjonijiet iċċertifikati mid-DPF, permezz tal-korpi kummerċjali tagħhom 3 , kif ukoll mill-awtoritajiet tal-Istati Uniti involuti fl-implimentazzjoni tal-qafas. Barra minn hekk, il-Kummissjoni ġabret ukoll feedback mill-pubbliku ġenerali permezz ta’ sejħa speċifika għall-evidenza fuq il-portal “Ħaffef il-Piż - Semma’ Leħnek!” 4 .

Fit-18 u fid-19 ta’ Lulju 2024, saret laqgħa ta’ rieżami f’Washington D.C. Din infetħet mill-Kummissarjugħall-Ġustizzja u l-Konsumaturi tal-UE Didier Reynders u mis-Segretarju tal-Kummerċ tal-Istati Uniti Gina Raimondo. 5  

Għall-UE, ir-rieżami sar minn rappreżentanti tad-Direttorat Ġenerali għall-Ġustizzja u l-Konsumaturi tal-Kummissjoni Ewropea, flimkien ma’ ħames rappreżentanti maħtura mill-Bord Ewropew għall-Protezzjoni tad-Data (EDPB, European Data Protection Board) u li ġejjin minn awtoritajiet nazzjonali differenti għall-protezzjoni tad-data (DPAs, data protection authorities) u mill-Kontrollur Ewropew għall-Protezzjoni tad-Data 6 . Min-naħa tal-Istati Uniti, ipparteċipaw rappreżentanti mid-Department of Commerce (DoC), mid-Department of State, mill-Federal Trade Commission (FTC), mid-Department of Transportation (DoT), mill-Office of the Director of National Intelligence (ODNI), mid-Department of Justice (DoJ), mill-Inspector General for the Intelligence Community, kif ukoll membri tal-Privacy and Civil Liberties Oversight Board (PCLOB). Barra minn hekk, ir-rappreżentanti minn organizzazzjonijiet li joffru servizzi indipendenti ta’ soluzzjoni tat-tilwim u l-American Arbitration Association ipprovdew informazzjoni matul is-sessjonijiet ta’ rieżami rilevanti. Barra minn hekk, ir-rieżami ġie influwenzat minn preżentazzjonijiet minn organizzazzjonijiet iċċertifikati mid-DPF dwar kif il-kumpaniji jikkonformaw mar-rekwiżiti tal-qafas.

Is-sejbiet tal-Kummissjoni kienu bbażati wkoll fuq informazzjoni minn materjal disponibbli pubblikament, bħal deċiżjonijiet tal-qorti, regoli u proċeduri ta’ implimentazzjoni tal-awtoritajiet rilevanti tal-Istati Uniti, rapporti u studji minn organizzazzjonijiet mhux governattivi, rapporti ta’ trasparenza maħruġa minn kumpaniji ċċertifikati mid-DPF, rapporti annwali minn korpi ta’ sorveljanza indipendenti, kif ukoll rapporti tal-media.

2.SEJBIET

2.1.Aspetti kummerċjali

2.1.1.Il-proċess ta’ ċertifikazzjoni

Sabiex tkun tista’ tirċievi data personali ttrasferita mill-UE abbażi tad-DPF, kumpanija tal-Istati Uniti jeħtiġilha tiċċertifika, u mbagħad tiċċertifika mill-ġdid fuq bażi annwali, mad-DoC il-konformità tagħha ma’ rekwiżiti speċifiċi tal-protezzjoni tad-data (il-“Prinċipji tad-DPF”). Iċ-ċertifikazzjoni tirrikjedi li kumpanija tkun soġġetta għas-setgħat investigattivi u ta’ infurzar tal-FTC jew tad-DoT, tiddikjara pubblikament l-impenn tagħha li tikkonforma mal-Prinċipji tad-DPF, u tiddivulga pubblikament l-istqarrija ta’ privatezza tagħha u timplimenta bis-sħiħ dawk ir-rekwiżiti 7 . Qabel ma tiġi ffinalizzata ċertifikazzjoni, id-DoC jivverifika jekk il-kumpanija tkunx issodisfat ir-rekwiżiti kollha taċ-ċertifikazzjoni 8 .

Fil-laqgħa ta’ rieżami, id-DoC spjega li, f’din l-ewwel sena tad-DPF, l-enfasi kienet fuq l-istabbiliment tal-proċess ta’ ċertifikazzjoni, inkluż l-iżvilupp ta’ għodod dedikati tal-IT, l-aġġornament tal-proċeduri, id-djalogu mal-kumpaniji, u t-twettiq ta’ attivitajiet oħrajn ta’ sensibilizzazzjoni. Sad-data tal-laqgħa ta’ rieżami, aktar minn 2 800 kumpanija saru ċċertifikati mid-DPF. Dan ifisser li aktar kumpaniji saru ċċertifikati mid-DPF milli taħt il-qafas preċedenti, it-Tarka tal-Privatezza, fl-ewwel sena tal-operat tiegħu 9 . Skont l-informazzjoni pprovduta mid-DoC, 70 % tal-parteċipanti huma SMEs u għadd kbir ta’ kumpaniji tad-DPF (47 %) jinsabu fis-settur tal-informazzjoni, il-komunikazzjonijiet u t-teknoloġija (ICT, information, communications and technology). Barra minn hekk, 60 % tal-kumpaniji huma ċċertifikati esklużivament għal data mhux dwar ir-riżorsi umani, 2,5 % tal-kumpaniji huma ċċertifikati esklużivament għal data dwar ir-riżorsi umani u 37,5 % huma ċċertifikati kemm għal data dwar ir-riżorsi umani kif ukoll għal dik mhux dwar ir-riżorsi umani.

Id-DoC adotta l-proċeduri meħtieġa biex jittratta l-applikazzjonijiet mill-kumpaniji. Il-kumpaniji jeħtiġilhom jissottomettu l-applikazzjonijiet tagħhom għaċ-ċertifikazzjoni fuq is-sit web tad-DPF tad-DoC ( https://www.dataprivacyframework.gov/ ). Dan fih informazzjoni dwar kif wieħed jista’ jissieħeb fid-DPF 10 u dwar l-obbligi tal-kumpanija taħt il-Qafas 11 . Tim speċifiku fid-DoC, taħt ir-responsabbiltà ta’ Direttur dedikat għall-Qafas tal-Privatezza tad-Data UE-Stati Uniti, huwa responsabbli mill-aspetti kollha relatati mal-ġestjoni u mal-amministrazzjoni tad-DPF, inkluż il-proċess ta’ ċertifikazzjoni u l-monitoraġġ tal-konformità. Kull applikazzjoni tiġi assenjata lil membru tal-persunal speċifiku li jibqa’ responsabbli għall-kumpanija rilevanti matul il-proċess ta’ ċertifikazzjoni.

Għaċ-ċertifikazzjoni taħt il-Qafas, il-kumpaniji jissottomettu l-applikazzjoni tagħhom, inkluż abbozz ta’ stqarrija ta’ privatezza. Id-DoC jivverifika jekk dan jikkonformax mar-rekwiżiti rilevanti tad-DPF. Meta l-organizzazzjonijiet ikunu jridu jiċċertifikaw entitajiet differenti fi ħdan grupp korporattiv (eż. sussidjarji differenti), id-DoC jitlob u jirrieżamina stqarrija komprensiva ta’ privatezza li tindika b’mod ċar l-entitajiet kollha li għandhom jiġu koperti, jew politiki separati għal kull entità. Id-DoC jivverifika wkoll mal-mekkaniżmu ta’ rikors indipendenti (IRM, independent recourse mechanism) 12 indikat fl-applikazzjoni jekk l-organizzazzjoni tkunx fil-fatt irreġistrat miegħu. Għall-kumpaniji li jagħżlu l-bord tal-awtorità għall-protezzjoni tad-data (eż. minħabba li jipproċessaw id-data dwar ir-riżorsi umani), id-DoC jivverifika jekk il-kumpanija tkunx ħallset it-tariffi meħtieġa biex tagħmel użu mill-bord. Meta jkun meħtieġ, id-DoC jivverifika wkoll jekk l-applikant jaqax taħt il-ġuriżdizzjoni tal-FTC jew tad-DoT (u għalhekk huwa eliġibbli li jissieħeb fid-DPF).

Jekk jiġu ssodisfati l-kundizzjonijiet kollha, id-DoC jinforma lill-organizzazzjoni li hija tista’ ttella’ l-istqarrija ta’ privatezza tagħha li tagħmel referenza għad-DPF fuq is-sit web tiegħu. Ladarba l-istqarrija ta’ privatezza tkun pubblika, id-DoC jikkonferma ċ-ċertifikazzjoni u jinkorpora l-kumpanija fil-lista tad-DPF fuq is-sit web tiegħu. Id-DPF jista’ jintuża bħala bażi biex tiġi rċevuta data personali mill-UE mid-data meta d-DoC iqiegħed lill-organizzazzjoni f’dik il-lista 13 .

Kif ġie spjegat matul il-laqgħa ta’ rieżami, il-kontrolli mwettqa mid-DoC s’issa rriżultaw f’rifjut ta’ 33 applikazzjoni, minħabba li ma ssodisfawx ir-rekwiżiti tad-DPF. B’mod ġenerali, id-DoC jaħdem mal-kumpanija biex jindirizza kwalunkwe nuqqas. Meta d-DoC jidentifika xi nuqqas, huwa jinforma lill-kumpanija li jeħtiġilha tindirizzahom u li n-nuqqas ta’ tweġiba f’perjodu ta’ żmien partikolari, jew nuqqas ieħor li tlesti l-awtoċertifikazzjoni tagħha f’konformità mal-proċeduri tad-DoC, iwassal biex l-applikazzjoni tagħha titqies bħala abbandunata. Jekk iċ-ċertifikazzjoni inizjali ma titlestiex/tiġix emendata fi żmien 12-il xahar, id-DoC iqis li ġiet abbandunata.

Id-data ta’ skadenza għaċ-ċertifikazzjoni mill-ġdid annwali hija speċifikata fil-lista tad-DPF għal kull kumpanija. Sabiex ifakkar lill-kumpaniji dwar il-ħtieġa li japplikaw għaċ-ċertifikazzjoni mill-ġdid, id-DoC ħoloq sistema bi tfakkiriet li ċ-ċertifikazzjoni waslet biex tiskadi. L-organizzazzjonijiet jirċievu tfakkira xahar qabel, imbagħad ġimagħtejn qabel u mbagħad jum qabel id-data tal-iskadenza. Dawk li jħallu ċ-ċertifikazzjoni tagħhom tiskadi, jitneħħew mil-lista tad-DPF. Kif deskritt fl-Anness III tad-deċiżjoni ta’ adegwatezza, id-DoC għandu taqsima speċifika fuq is-sit web tiegħu li telenka lill-organizzazzjonijiet tal-Istati Uniti li ma għadhomx parteċipanti attivi u li tidentifika r-raġunijiet rispettivi għaliex (eż. skadenza jew irtirar) il-kumpaniji kkonċernati tneħħew mil-lista (il-“lista tal-organizzazzjonijiet inattivi”). Meta l-organizzazzjonijiet jitneħħew mil-lista tad-DPF talli jkunu ħallew liċ-ċertifikazzjoni tagħhom tiskadi, il-kuntatti tad-DoC magħhom jikkonfermaw jekk ikunux jixtiequ jirtiraw jew inkella jkollhomx l-intenzjoni li jiċċertifikaw mill-ġdid, u, jekk tkun din tal-aħħar, li jivverifikaw li matul l-iskadenza jkunu applikaw il-Prinċipji tad-DPF għad-data personali li jkunu rċevew skont id-DPF u jiċċaraw liema passi se jieħdu biex jindirizzaw il-kwistjonijiet pendenti li wasslu għal dewmien fiċ-ċertifikazzjoni mill-ġdid tagħhom. Meta l-kumpaniji jinnotifikaw lid-DoC li jixtiequ jirtiraw mid-DPF, id-DoC jitlobhom jikkonfermaw jekk humiex se jirritornaw jew iħassru d-data riċevuta skont id-DPF; iżommuha u jkomplu japplikaw il-Prinċipji tad-DPF għal tali data (li trid tiġi kkonfermata kull sena); jew iżommuha u jistabbilixxu protezzjonijiet oħrajn (bħal klawżoli kuntrattwali standard adottati mill-Kummissjoni Ewropea).

Il-feedback riċevut mill-korpi kummerċjali u mill-kumpaniji jindika li l-kumpaniji ċċertifikati mid-DPF ħadu għadd ta’ passi biex jiżguraw il-konformità mal-Prinċipji tad-DPF. Pereżempju, biex jikkonformaw mal-prinċipju ta’ rikors, ta’ infurzar u ta’ responsabbiltà, l-organizzazzjonijiet wettqu kontrolli interni mwettqa jew permezz ta’ awtovalutazzjoni jew permezz ta’ rieżami estern tal-konformità. Iż-żewġ IRMs tas-settur privat li pparteċipaw fil-laqgħa ta’ rieżami spjegaw li jipprovdu wkoll rieżami estern tal-konformità billi jirrieżaminaw l-istqarrijiet ta’ privatezza, u wieħed mill-IRMs tas-settur privat spjega li jipprovdi wkoll awditi u verifiki għal għarrieda, filwaqt li jiffoka pereżempju fuq il-prinċipji ta’ aċċess, għażla u trasferiment ulterjuri. Barra minn hekk, il-kumpaniji ċċertifikati żviluppaw programmi ta’ konformità interna u mekkaniżmi ta’ sorveljanza, ħarrġu lill-impjegati, implimentaw mekkaniżmi li jippermettu lill-individwi jeżerċitaw id-drittijiet tagħhom, wettqu valutazzjonijiet tal-impatt fuq il-privatezza, u rrieżaminaw il-kuntratti eżistenti.

2.1.2.Monitoraġġ tal-konformità, asserzjonijiet foloz ta’ parteċipazzjoni u infurzar

Skont id-DPF, id-DoC huwa responsabbli għall-monitoraġġ tal-konformità mal-Prinċipji tad-DPF permezz tal-użu ta’ għodod differenti, inklużi kontrolli ex officio (fuq inizjattiva proprja), verifiki għal għarrieda ad hoc u kwestjonarji ta’ konformità. Dan jinkludi t-tiftix u l-indirizzar ta’ asserzjonijiet foloz ta’ parteċipazzjoni fil-qafas, pereżempju permezz ta’ tfittxijiet fuq l-internet 14 .

Sabiex jimmonitorja l-konformità mal-Prinċipji mill-kumpaniji tad-DPF, id-DoC prinċipalment ibbaża fuq tfittxijiet ad hoc fuq l-internet u kontrolli fuq il-media (soċjali) matul l-aħħar sena. Id-DoC irrapporta li ma sabx kwistjonijiet ta’ konformità mal-Prinċipji tad-DPF f’din l-ewwel sena u ma rrefera l-ebda kumpanija lill-FTC jew lid-DoT għal azzjoni possibbli ta’ infurzar. Huwa stabbilixxa wkoll punt ta’ kuntatt dedikat biex jiffaċilita l-kooperazzjoni mad-DPAs u jirċievi lmenti minn individwi u riferimenti minn awtoritajiet oħrajn (eż. id-DPAs jew l-FTC). Madankollu, ma wasal l-ebda riferiment jew ilment matul l-aħħar sena. Filwaqt li din l-ewwel sena ta’ operat tad-DPF kienet iffukata fuq l-istabbiliment tal-qafas u tal-proċess ta’ ċertifikazzjoni, fil-laqgħa ta’ rieżami d-DoC spjega li qiegħed jippjana li jwettaq kontrolli tal-konformità b’mezzi awtomatizzati sabiex jagħmilhom b’mod aktar sistematiku, u bħalissa qiegħed jiżviluppa l-għodod tal-IT meħtieġa biex jagħmel dan.

Il-Kummissjoni tirrikonoxxi li d-DoC, f’din l-ewwel sena, kellu bżonn jiffoka l-isforzi tiegħu fuq l-istabbiliment tal-Qafas u l-proċess ta’ ċertifikazzjoni. Fil-futur, huwa importanti li d-DoC iżid l-isforzi tiegħu biex jimmonitorja u jivverifika l-konformità mal-Prinċipji, li huwa meħtieġ biex jiġi żgurat livell għoli kontinwu ta’ konformità mal-qafas u jiġu identifikati l-każijiet li jirrikjedu azzjoni ta’ infurzar ulterjuri, inklużi dikjarazzjonijiet foloz possibbli ta’ parteċipazzjoni mill-kumpaniji. F’dan ir-rigward, il-Kummissjoni tilqa’ l-fatt li d-DoC ikkonferma l-intenzjoni tiegħu li jiżviluppa u juża għodod (awtomatizzati) biex jidentifika l-kwistjonijiet ta’ konformità u l-asserzjonijiet foloz b’mod aktar effettiv u sistematiku u hija tal-fehma li dan għandu jkun parti minn sforz usa’ biex jagħmel użu akbar mill-għodod differenti għad-dispożizzjoni tiegħu (eż. verifiki għal għarrieda, kwestjonarji tar-rieżami tal-konformità, talbiet għal informazzjoni eċċ.), inkluż biex tiġi vverifikata l-konformità ma’ rekwiżiti speċifiċi skont id-DPF 15 .

L-organizzazzjonijiet tad-DPF huma soġġetti għall-ġuriżdizzjoni tal-FTC u tad-DoT. Matul il-laqgħa ta’ rieżami, id-DoT ikkonferma li għandu l-proċessi kollha fis-seħħ biex jieħu azzjoni ta’ infurzar xierqa. Huwa spjega wkoll li ftit li xejn kumpaniji taħt il-ġuriżdizzjoni tiegħu ngħaqdu mad-DPF (jiġifieri xi ftit aġenti tal-biljetti iżda l-ebda linja tal-ajru). L-FTC ikkonfermat li hija tivverifika b’mod sistematiku jekk hemmx ksur tad-DPF f’kull waħda mill-investigazzjonijiet tagħha dwar il-privatezza. S’issa, l-FTC ma rċeviet l-ebda riferiment minn awtoritajiet oħrajn. Hija rċeviet ftit ilmenti li semmew id-DPF, għalkemm tnejn minnhom kienu jikkonċernaw kumpaniji fil-“lista tal-organizzazzjonijiet inattivi”, żewġ kumpaniji kkonċernati li ma kinux qegħdin jipparteċipaw fil-qafas u waħda ma kinitx tikkonċerna data personali ttrasferita mill-UE. Fiż-żmien ta’ dan ir-rapport, l-FTC ma kinitx ħarġet deċiżjonijiet biex tinforza l-konformità mad-DPF, għalkemm ikkonfermat li diversi kumpaniji li huma ċċertifikati mid-DPF bħalissa qegħdin jiġu investigati.

Il-Kummissjoni tilqa’ l-fatt li l-FTC tivverifika sistematikament jekk hemmx ksur tad-DPF fl-investigazzjonijiet kollha tagħha dwar il-privatezza. Peress li l-effettività kontinwa tad-DPF tiddependi mill-infurzar robust tiegħu, huwa mistenni li l-FTC se tkompli teżerċita s-setgħat investigattivi tagħha skont il-qafas, inkluż billi twettaq b’mod proattiv azzjonijiet ta’ investigazzjoni li jiffukaw fuq il-konformità ma’ rekwiżiti speċifiċi tad-DPF u/jew ma’ ċerti setturi.

2.1.3.Trattament tal-ilmenti

Id-DPF jipprovdi lill-individwi tal-UE possibbiltajiet differenti ta’ rikors għal każijiet ta’ nuqqas ta’ konformità mal-Prinċipji tad-DPF minn organizzazzjonijiet iċċertifikati 16 . Dan jinkludi, l-insegwiment ta’ soluzzjoni permezz ta’ kuntatti diretti ma’ organizzazzjoni tad-DPF, li jeħtiġilha tipprovdi rispons lill-individwu affettwat fi żmien 45 jum. L-individwi jistgħu jressqu lment ukoll lil IRM magħżul minn organizzazzjoni biex jinvestiga u jsolvi l-ilmenti. Skont iċ-ċirkostanzi, dan jista’ jkun korp għal soluzzjoni barra mill-qorti għat-tilwim jew DPA 17 . Fl-aħħar nett, f’każ li l-ebda wieħed mill-perkorsi l-oħrajn ta’ rimedju disponibbli ma tkun solviet b’mod sodisfaċenti l-ilment tas-suġġett tad-data, l-individwi jistgħu jagħtu jiskattaw arbitraġġ vinkolanti quddiem il-Bord tad-DPF UE-Stati Uniti bħala “l-aħħar rimedju”.

2.1.3.1.Trattament tal-ilmenti mill-kumpaniji

Ir-risponsi mill-korpi kummerċjali u mill-kumpaniji għall-kwestjonarji mibgħuta mill-Kummissjoni jindikaw li l-kumpaniji ċċertifikati mid-DPF irċevew ftit li xejn – jekk kien hemm – ilmenti minn individwi li jikkonċernaw nuqqas ta’ konformità mal-Prinċipji tad-DPF. Fl-istess ħin, il-kumpaniji stabbilew mekkaniżmi u għodod differenti biex jippermettu lill-individwi jeżerċitaw id-drittijiet tagħhom u jippreżentaw ilmenti, inkluż permezz ta’ formoli bbażati fuq l-internet, il-posta elettronika u t-telefown.

2.1.3.2.Mekkaniżmi ta’ Rikors Indipendenti (IRMs, Independent Recourse Mechanisms)

Il-feedback riċevut matul il-laqgħa ta’ rieżami u l-informazzjoni pprovduta mill-korpi kummerċjali jindikaw li kien hemm għadd baxx ħafna ta’ lmenti lil mekkaniżmi ta’ soluzzjoni indipendenti. L-IRMs li ntgħażlu mill-kumpaniji jinkludu BBB National Programs, JAMS, TRUSTe u VeraSafe. Id-DPF jirrikjedi li l-IRMs jippubblikaw rapport annwali bi statistika aggregata dwar l-użu tas-servizzi tagħhom ta’ soluzzjoni tat-tilwim. Fiż-żmien tal-adozzjoni ta’ dan ir-rapport, l-IRMs kollha kkonċernati kienu ppubblikaw ir-rapporti annwali tagħhom 18 .

Barra minn hekk, fil-laqgħa ta’ rieżami, BBB u VeraSafe għamlu preżentazzjonijiet dettaljati dwar l-attivitajiet tagħhom mill-aħħar sena. Huma rrapportaw żieda fl-għadd ta’ parteċipanti kummerċjali li għażlu s-servizzi tagħhom meta mqabbla mal-oqfsa preċedenti u semmew li kienu rċevew xi lmenti, għalkemm il-maġġoranza l-kbira ma kinux eliġibbli. Pereżempju, BBB irċieva 87 ilment minn individwi tal-UE, bi tnejn biss minnhom eliġibbli għal soluzzjoni. Għalkemm il-BBB spjega li l-ilmenti huma bħala medja pproċessati fi żmien 5 ijiem ta’ xogħol, dawk iż-żewġ ilmenti eventwalment ingħalqu minħabba nuqqas ta’ rispons mill-individwi. VeraSafe rċieva 26 ilment, li 6 minnhom kienu eliġibbli għal soluzzjoni. Tnejn minnhom kienu jikkonċernaw talbiet ta’ aċċess u tħassir ġew solvuti, filwaqt li tnejn għadhom pendenti, u tnejn jew ġew irtirati jew magħluqa minħabba nuqqas ta’ rispons mill-individwu. Iż-żewġ IRMs spjegaw li l-għan tagħhom huwa li jwieġbu l-ilmenti bil-lingwa tal-individwu.

Il-kumpaniji tad-DPF li jipproċessaw id-data dwar ir-riżorsi umani ttrasferita mill-UE jeħtiġilhom jagħżlu d-DPAs tal-UE bħala l-IRM tagħhom għal dik id-data, filwaqt li kumpanija tad-DPF tista’ fuq bażi volontarja tagħżel id-DPA tal-UE bħala l-IRM tagħha għal tipi oħrajn ta’ data personali ttrasferita abbażi tad-DPF. Fil-fatt, aktar minn nofs il-kumpaniji ċċertifikati skont id-DPF fiż-żmien tar-rieżami għażlu din is-soluzzjoni 19 , li hija żvilupp pożittiv. Minn meta ġiet adottata d-deċiżjoni ta’ adegwatezza, l-EDPB adotta r-regoli ta’ proċedura għall-“Bord Informali tad-DPAs tal-UE”. Il-Bord huwa kompetenti biex jipprovdi pariri vinkolanti lill-organizzazzjonijiet tal-Istati Uniti wara lmenti mhux solvuti tad-DPF minn individwi dwar it-trattament ta’ data personali li ġiet ittrasferita mill-UE skont id-DPF. Skont ir-regoli ta’ proċedura tiegħu, il-bord huwa ffurmat minn DPA waħda li taġixxi bħala d-DPA ewlenija u DPAs korieżaminaturi oħrajn maħtura 20 . Huwa jipprovdi parir vinkolanti fi żmien 60 jum minn meta jirċievi lment tad-DPF. L-EDPB ippubblika wkoll mudell ta’ formola ta’ lment għall-preżentazzjoni ta’ lmenti lid-DPAs, 21 kif ukoll FAQs għall-individwi u għan-negozji 22 Ewropej 23 dwar id-DPF. Il-Bord ma kien irċieva l-ebda lment fiż-żmien tar-rieżami.

2.1.3.3.Il-mekkaniżmu ta’ arbitraġġ vinkolanti

L-International Centre for Dispute Resolution (ICDR, International Centre for Dispute Resolution), li huwa d-diviżjoni internazzjonali tal-American Arbitration Association, intgħażel mid-DoC biex jamministra l-mekkaniżmu ta’ arbitraġġ vinkolanti. Wara l-adozzjoni tad-deċiżjoni ta’ adegwatezza, id-DoC, flimkien mal-Kummissjoni, għażlu 11-il imħallef b’esperjenza fil-privatezza u minn diversi sfondi, inkluż l-arbitraġġ, il-ġudikatura, l-akkademja u s-soċjetà ċivili 24 . Barra minn hekk, ġew adottati r-regoli ta’ arbitraġġ 25 għall-Bord tad-DPF u kodiċi ta’ kondotta għall-arbitri 26 , li huma kollha disponibbli fuq is-sit web tal-ICDR. Fiż-żmien tar-rieżami, il-mekkaniżmu ta’ arbitraġġ kien għadu ma ġiex attivat minn kwalunkwe individwu fl-UE.

2.1.4.Gwida, kooperazzjoni u sensibilizzazzjoni

Minn meta daħal fis-seħħ id-DPF, id-DoC wettaq diversi attivitajiet ta’ sensibilizzazzjoni billi organizza wirjiet, webinars u konferenzi; l-ilħuq tal-korpi kummerċjali u l-interazzjoni diretta ma’ aktar minn 3 000 kumpanija biex tiġi pprovduta informazzjoni dwar id-DPF. Huwa ppubblika wkoll gwida, inkluż fil-forma ta’ FAQs indirizzati lill-individwi, kif ukoll lin-negozji tal-UE u tal-Istati Uniti 27 . L-EDPB min-naħa tiegħu żviluppa formoli ta’ lment u FAQs indirizzati lill-individwi u lin-negozji. Bl-istess mod, il-Kummissjoni ppubblikat Q&A u skeda informattiva dwar id-DPF meta adottat id-deċiżjoni ta’ adegwatezza tagħha 28 .

Fl-istess ħin, mil-laqgħa ta’ rieżami ħareġ li hemm bżonn ta’ aktar ħidma biex titqajjem kuxjenza fost l-individwi u biex tingħata gwida lill-kumpaniji. Il-kontribut riċevut mill-kumpaniji u mill-IRMs, u l-għadd baxx ħafna ta’ lmenti jissuġġerixxu li l-individwi mhux dejjem jistgħu jkunu konxji tad-drittijiet tagħhom u/jew tal-mekkaniżmu biex jeżerċitawhom. Matul il-laqgħa ta’ rieżami, id-DoC esprima interess li jaħdem flimkien mad-DPAs tal-UE biex iżid is-sensibilizzazzjoni dwar il-Qafas fost l-individwi tal-UE. Il-Kummissjoni tħeġġeġ inizjattivi bħal dawn u qiegħda tieħu wkoll passi biex tinforma aħjar lill-individwi, inkluż billi tipprovdi informazzjoni addizzjonali dwar id-DPF fuq is-sit web tagħha, pereżempju billi tinkorpora links u referenzi għal dokumenti ta’ gwida rilevanti adottati mill-EDPB, mid-DoC u minn awtoritajiet oħrajn tal-Istati Uniti.

Fir-rigward tal-gwida dwar il-Prinċipji tad-DPF, ir-rappreżentanti tal-EDPB qablu matul il-laqgħa ta’ rieżami li jikkooperaw fix-xhur li ġejjin biex jipprovdu aktar kjarifiki dwar il-kunċett ta’ data dwar ir-riżorsi umani skont id-DPF u l-obbligi speċifiċi li japplikaw għall-ipproċessar ta’ tali data. Ġew esplorati elementi differenti li għandhom jiġu inklużi f’tali gwida. Pereżempju, din il-gwida tista’ tindirizza ċerti xenarji prattiċi fejn id-data dwar l-impjegati tiġi pproċessata taħt id-DPF (eż. minn fornitur tal-cloud) u tispjega għal tali xenarji liema obbligi tad-DPF ikunu rilevanti. Barra minn hekk, dan jista’ jissuġġerixxi li l-kumpaniji li jirċievu data dwar l-impjegati tal-individwi tal-UE (iżda mhux neċessarjament jużaw tali data fil-kuntest ta’ relazzjoni ta’ impjieg) jagħżlu l-bord tad-DPA bħala l-IRM tagħhom. Dan jiżgura li dawk l-individwi jistgħu jirrikorru għal awtorità li tkun “qrib id-dar” u, meta jkun meħtieġ, tkun aktar familjari mal-liġijiet nazzjonali applikabbli li japplikaw għad-data dwar ir-riżorsi umani.

Barra minn hekk, aspett speċifiku fejn jidher li tkun utli aktar gwida (ibbażata wkoll fuq il-kontribut riċevut mill-korpi kummerċjali) jikkonċerna r-rekwiżiti tad-DPF għal trasferimenti ulterjuri. Barra minn hekk, id-DoC indika li ta’ min wieħed jesplora jekk xi setturi jistgħux jibbenefikaw minn gwida addizzjonali dwar l-applikazzjoni tal-Prinċipji tad-DPF għall-attivitajiet tagħhom, eż. fil-qasam tar-riċerka dwar is-saħħa u s-servizzi finanzjarji.

Il-Kummissjoni tilqa’ r-rieda taż-żewġ naħat li jiżviluppaw gwida u tistenna li l-ħidma fuq is-suġġetti msemmija hawn fuq tibda dalwaqt.

B’mod aktar ġenerali, ġew stabbiliti diversi mekkaniżmi biex jiġu żgurati skambji u kooperazzjoni bejn l-awtoritajiet tal-Istati Uniti u d-DPAs, inkluż permezz tal-ħatra ta’ punti ta’ kuntatt dedikati fl-FTC u fid-DoC biex jittrattaw il-mistoqsijiet u r-riferimenti mid-DPAs.

2.1.5.Żviluppi rilevanti fis-sistema legali tal-Istati Uniti

Minn meta ġiet adottata d-deċiżjoni ta’ adegwatezza, kien hemm għadd ta’ żviluppi fil-qafas legali tal-Istati Uniti fil-qasam tal-privatezza. Dan jinkludi żviluppi leġiżlattivi, regolatorji u fil-ġurisprudenza. Dawn ġeneralment jindikaw konverġenza akbar bejn l-approċċi tal-UE u dawk tal-Istati Uniti għal ċerti sfidi għall-privatezza, inkluż permezz tal-użu ta’ kunċetti legali simili. Uħud minn dawn l-iżviluppi għadhom għaddejjin u se jirrikjedu aktar monitoraġġ.

Fil-livell federali, il-President ħareġ diversi Ordnijiet Eżekuttivi (EOs, Executive Orders) li huma rilevanti għall-użu ta’ data personali. B’mod partikolari, l-Ordni Eżekuttiva 14117 tat-28 ta’ Frar 2024 29 tipprojbixxi jew tillimita tranżazzjonijiet li jinvolvu ċerti kategoriji ta’ data personali sensittiva (eż. data dwar is-saħħa, identifikaturi bijometriċi, data ġenomika umana) ma’ entitajiet f’xi “pajjiżi ta’ tħassib” 30 . L-ordni adottata tagħti struzzjonijiet lill-Avukat Ġenerali biex jipproponi regolamenti – li għad iridu jinħarġu fiż-żmien meta jiġi adottat dan ir-rapport – biex tiġi speċifikata aktar l-implimentazzjoni tiegħu. Barra minn hekk, l-Ordni Eżekuttiva 14110 tat-30 ta’ Ottubru 2023 dwar l-intelliġenza artifiċjali 31 tiffoka fuq l-iżvilupp ta’ intelliġenza artifiċjali sikura, sigura u affidabbli. Din tirrikjedi li diversi aġenziji federali jiżviluppaw standards u linji gwida tas-sikurezza relatati mal-IA, inkluż dwar riskji speċifiċi għall-IA fejn tidħol il-privatezza u dwar tekniki li jippreżervaw il-privatezza.

F’termini ta’ ħidma leġiżlattiva, filwaqt li matul l-aħħar snin ġew introdotti abbozzi ta’ liġi federali dwar il-privatezza fil-Kungress, minn Lulju 2024, 20 Stat tal-Istati Uniti ppromulgaw liġijiet komprensivi dwar il-privatezza, li tmienja minnhom daħlu fis-seħħ: California, Colorado, Oregon, Virginia, Connecticut, Utah, Texas u Florida. Barra minn hekk, 17-il Stat tal-Istati Uniti adottaw leġiżlazzjoni li tindirizza l-ipproċessar awtomatizzat (jew, tal-anqas, xi forom tiegħu) u li ġeneralment tippermetti nonparteċipazzjonijiet għal ċerti tipi ta’ teħid ta’ deċiżjonijiet abbażi ta’ “tfassil tal-profili” 32 .

F’termini ta’ żviluppi tal-ġurisprudenza, diversi rappreżentanti tas-soċjetà ċivili indikaw is-sentenza reċenti tal-Qorti Suprema f’Loper Bright Enterprises vs Raimondo (tat-28 ta’ Ġunju 2024). Din is-sentenza tannulla l-ġurisprudenza preċedenti dwar id-duttrina ta’ Chevron, fejn il-qrati japplikaw il-prinċipju ta’ sottomissjoni għall-interpretazzjoni raġonevoli tal-liġi ta’ aġenzija regolatorja f’każ ta’ ambigwità f’liġi infurzata minn dik l-aġenzija. B’mod partikolari, xi NGOs esprimew tħassib dwar l-impatt ta’ din id-deċiżjoni tal-Qorti Suprema fuq l-awtorità tal-tfassil tar-regoli tal-FTC fil-qasam tal-privatezza, filwaqt li rrikonoxxew li jista’ ma jkun hemm l-ebda impatt jew ikun hemm impatt limitat fuq is-setgħat ta’ infurzar tagħha. Fil-laqgħa ta’ rieżami, l-FTC infurmat li għadu kmieni wisq biex wieħed ikun jaf l-implikazzjonijiet eżatti ta’ din is-sentenza. Fl-istess ħin, hija spjegat li t-tfassil tar-regoli tal-FTC isir taħt awtorità fl-Att tal-FTC differenti minn dawk għal aġenziji amministrattivi oħrajn u li għalihom id-duttrina ta’ Chevron kienet anqas rilevanti. Għalhekk, is-sentenza reċenti jista’ jkollha impatt limitat f’dan il-qasam.

Barra minn hekk, l-FTC infurmat dwar żviluppi reċenti fl-approċċ tagħha għall-ipproċessar awtomatizzat u għall-intelliġenza artifiċjali. Dan jinkludi l-adozzjoni ta’ dikjarazzjoni konġunta flimkien ma’ awtoritajiet oħrajn tal-infurzar kontra d-diskriminazzjoni u l-preġudizzju fis-sistemi awtomatizzati 33 , kif ukoll diversi azzjonijiet ta’ infurzar – li fihom l-FTC tiffoka fost affarijiet oħra fuq it-trasparenza, l-ekwità tal-ipproċessar awtomatizzat u l-kapaċità tal-individwi li jikkontestaw l-eżiti. L-aktar każ notevoli f’dan ir-rigward huwa d-deċiżjoni tal-FTC kontra Rite Aid f’Marzu 2024, li imponiet projbizzjoni ta’ 5 snin fuq l-użu tat-teknoloġija tar-rikonoxximent tal-wiċċ għal skopijiet ta’ sigurtà minn dik il-kumpanija 34 . B’mod partikolari, l-FTC sabet li Rite Aid naqset milli tieħu miżuri raġonevoli biex tipprevjeni riżultati żbaljati u milli tinforma lill-konsumaturi dwar it-teknoloġija użata. B’mod aktar ġenerali, fil-laqgħa ta’ rieżami, l-FTC indirizzat il-prijoritajiet kurrenti tagħha u b’mod partikolari l-oqsma li temmen li jistħoqqilhom approċċ ta’ infurzar aktar proattiv fil-futur. Dan jinkludi l-protezzjoni ta’ data sensittiva (eż. data dwar is-saħħa, data bijometrika, ġeolokalizzazzjoni) 35 , il-protezzjoni tat-tfal 36 u tal-minorenni online, u s-sigurtà tad-data. 37

Il-Kummissjoni se tkompli ssegwi mill-qrib dawn l-iżviluppi u oħrajn fl-Istati Uniti, b’mod partikolari kwalunkwe pass ieħor lejn liġi federali komprensiva dwar il-privatezza u l-impatt possibbli tal-ġurisprudenza reċenti tal-Qorti Suprema fuq ir-rwol tal-FTC fil-qasam tal-privatezza.

Il-Kummissjoni tilqa’ l-informazzjoni pprovduta mill-FTC dwar l-attivitajiet ta’ infurzar reċenti tagħha u l-prijoritajiet kurrenti li fil-biċċa l-kbira jikkorrispondu għal xejriet u prijoritajiet fl-infurzar tal-protezzjoni tad-data fl-Ewropa. L-FTC qiegħda tieħu wkoll sehem attiv fin-network li jiġbor flimkien lill-pajjiżi li jibbenefikaw minn deċiżjoni ta’ adegwatezza tal-UE, li l-Kummissjoni nediet f’Marzu 2024 38 . Din il-konverġenza akbar għandha tħeġġeġ u tiffaċilita kooperazzjoni aktar mill-qrib bejn l-awtoritajiet tal-infurzar tal-privatezza fuq iż-żewġ naħat tal-Atlantiku, b’mod partikolari dwar kwistjonijiet rilevanti għall-funzjonament tad-DPF.

2.2.Aspetti relatati mal-aċċess u mal-użu ta’ data personali ttrasferita skont il-Qafas tal-Privatezza tad-Data UE-Stati Uniti mill-awtoritajiet pubbliċi tal-Istati Uniti

Id-deċiżjoni ta’ adegwatezza fiha valutazzjoni dettaljata tar-regoli li jirregolaw il-ġbir u l-użu ta’ data personali ttrasferita mill-UE lil kumpaniji ċċertifikati mid-DPF mill-awtoritajiet pubbliċi tal-Istati Uniti, b’mod partikolari għal skopijiet ta’ infurzar tal-liġi kriminali u ta’ sigurtà nazzjonali. Sa mill-adozzjoni tad-deċiżjoni ta’ adegwatezza, kif ġie kkonfermat mill-awtoritajiet tal-Istati Uniti matul il-laqgħa ta’ rieżami, ma kien hemm l-ebda żvilupp rilevanti fir-rigward tal-qafas legali li japplika għall-aċċess għad-data minħabba skopijiet ta’ infurzar tal-liġi jew skopjiiet regolatorji fl-ewwel sena tad-DPF. Minħabba din ir-raġuni, is-sejbiet ta’ hawn taħt jikkonċernaw biss l-iżviluppi fil-qasam tas-sigurtà nazzjonali.

Il-konklużjonijiet milħuqa fid-deċiżjoni ta’ adegwatezza dwar l-aċċess għad-data mill-aġenziji tal-intelligence jibbażaw fuq l-analiżi tal-kundizzjonijiet u tal-limitazzjonijiet li japplikaw għal operazzjonijiet tal-intelligence ta’ sinjali taħt diversi awtoritajiet legali rilevanti – b’mod partikolari l-Artikolu 702 tal-Foreign Intelligence Surveillance Act (FISA) u l-Executive Order 12333 39 – kif ikkomplementata u msaħħa mill-Executive Order 14086 on Enhancing Safeguards for United States Signals Intelligence (EO 14086) adottata mill-President tal-Istati Uniti fis-7 ta’ Ottubru 2022. Is-salvagwardji stabbiliti fl-EO 14086 japplikaw għall-attivitajiet kollha tal-intelligence ta’ sinjali tal-Istati Uniti, irrispettivament mill-awtorità legali li fuqha jkunu bbażati tali attivitajiet u minn fejn iseħħu, u jipproteġu d-data ta’ persuni mhux ċittadini tal-Istati Uniti (inklużi l-Ewropej) 40 . L-EO 14086 stabbiliet ukoll mekkaniżmu ġdid ta’ rimedju li permezz tiegħu dawn is-salvagwardji vinkolanti jistgħu jiġu invokati u infurzati minn individwi fl-UE.

It-taqsimiet li jmiss jiddeskrivu l-passi meħuda mill-awtoritajiet tal-Istati Uniti sa mill-adozzjoni tad-deċiżjoni ta’ adegwatezza biex jikkonformaw mal-EO 14086, kif ukoll l-iżviluppi rilevanti fir-rigward tal-qafas legali msemmi hawn fuq.

2.2.1.Żviluppi rilevanti fir-rigward tal-qafas legali tal-Istati Uniti

2.2.1.1.L-implimentazzjoni tal-Executive Order 14086 mill-aġenziji tal-intelligence

Il-limitazzjonijiet u s-salvagwardji introdotti mill-EO 14086 jissupplimentaw dawk previsti mill-Artikolu 702 tal-FISA u mill-EO 12333. Dawn huma vinkolanti fuq l-aġenziji tal-intelligence kollha u ġew operazzjonalizzati ulterjorment permezz ta’ politiki u proċeduri adottati minn kull aġenzija.

Bħala parti mill-ewwel rieżami, l-awtoritajiet tal-Istati Uniti kkonfermaw li ma kien hemm l-ebda bidla fl-EO 14086 sa mill-adozzjoni tagħha. Barra minn hekk, ġie ċċarat li l-President tal-Istati Uniti ma għamilx użu mis-setgħa prevista fl-Artikoli 2(b)(i)(B) u 2(b)(ii)(C) tal-EO 14086 biex jaġġorna l-lista ta’ objettivi leġittimi li għalihom tista’ tiġi segwita l-intelligence ta’ sinjali jew il-lista ta’ skopijiet li għalihom tista’ tintuża d-data miġbura f’ammonti kbar 41 . Sabiex jiġu ddeterminati prijoritajiet ta’ intelligence aktar speċifiċi li għalihom tista’ fil-fatt tinġabar l-intelligence ta’ sinjali, l-EO 14086 stabbiliet proċedura speċifika. B’mod partikolari, l-ODNI Civil Liberties Protection Officer (ODNI CLPO) jeħtiġilha tiġi kkonsultata biex tivvaluta għal kull prijorità jekk (1) avvanzatx objettiv leġittimu wieħed jew aktar elenkati fl-EO; (2) kinitx imfassla jew antiċipata li tirriżulta fil-ġbir tal-intelliġenza ta’ sinjali għal objettiv ipprojbit elenkat fl-EO u (3) ġietx stabbilita wara kunsiderazzjoni xierqa għall-privatezza u għal-libertajiet ċivili tal-persuni kollha 42 . Matul il-laqgħa ta’ rieżami, l-ODNI CLPO kkonfermat li hija rrieżaminat il-prijoritajiet proposti mid-Director of National Intelligence fit-2023 National Intelligence Priorities Framework, ikkonkludiet li dawn kienu konformi mar-rekwiżiti ta’ hawn fuq, u kkondividiet il-konklużjoni tagħha mad-Director of National Intelligence (DNI), li min-naħa tagħha ppreżentat il-prijoritajiet għall-validazzjoni lill-President. L-ODNI CLPO pprovdiet ukoll taħriġ dwar ir-rekwiżiti tal-EO 14086 lil partijiet mill-komunità tal-intelligence involuti fl-iżvilupp tal-prijoritajiet tal-intelligence.

Barra minn hekk, is-sena li għaddiet l-awtoritajiet tal-Istati Uniti ħadu passi prattiċi ulterjuri biex jimplimentaw l-EO 14086 fl-operazzjonijiet ta’ kuljum tagħhom. B’mod partikolari, l-aġenziji tal-intelligence stabbilew politiki u linji gwida interni ulterjuri dwar l-applikazzjoni tal-EO, pereżempju proċessi interni (permezz ta’ rekwiżiti ta’ awtorizzazzjoni interna, kontrolli ta’ aċċess dokumentati sabiex dawk l-individwi li jkunu tħarrġu kif xieraq u li jkollhom ir-rekwiżiti ta’ missjoni meħtieġa biss ikollhom aċċess għall-informazzjoni, eċċ.) biex jiżguraw li r-rekwiżiti ta’ neċessità u proporzjonalità tagħha jiġu rrispettati fil-kuntest kemm tal-ġbir immirat kif ukoll tal-ġbir f’ammonti kbar 43 . Barra minn hekk, ingħata taħriġ dwar l-EO 14086 lill-persunal ta’ aġenziji tal-intelligence differenti (eż. l-NSA, is-CIA, l-FBI), inklużi sessjonijiet ta’ taħriġ annwali u ad hoc organizzati mill-ODNI CLPO u taħriġ obbligatorju għall-persunal il-ġdid kollu li jingħaqad mal-ODNI.

Il-Kummissjoni tilqa’ d-diversi miżuri stabbiliti għall-implimentazzjoni u għall-iżgurar tal-konformità mal-EO 14086. Peress li tinkiseb aktar esperjenza bl-applikazzjoni prattika tas-salvagwardji tal-EO, il-Kummissjoni tapprezza l-opportunità li tiddiskuti eżempji konkreti ta’ kif l-EO tiġi applikata fil-prattika (filwaqt li tirrispetta l-kunsiderazzjonijiet ta’ kunfidenzjalità applikabbli) f’rieżamijiet futuri.

2.2.1.2.Awtorizzazzjoni mill-ġdid tal-Artikolu 702 tal-FISA

L-Artikolu 702 tal-FISA jippermetti l-immirar ta’ persuni mhux ċittadini tal-Istati Uniti li jkun hemm konvinzjoni raġonevoli dwarhom li jinsabu barra mill-Istati Uniti biex jiksbu informazzjoni ta’ intelligence barranija. L-akkwiżizzjoni ssir abbażi ta’ ċertifikazzjonijiet annwali sottomessi lill-Foreign Intelligence Surveillance Court (FISC) u approvati minnha. Dawn iċ-ċertifikazzjonijiet jidentifikaw kategoriji speċifiċi ta’ intelligence barranija li għandhom jinġabru. Fil-21 ta’ Lulju 2023, l-ODNI ħabbar li hemm tliet ċertifikazzjonijiet approvati skont l-Artikolu 702 tal-FISA, li jkopru l-kategoriji li ġejjin ta’ intelligence barranija: (1) il-gvernijiet barranin u l-entitajiet relatati, (2) il-ġlieda kontra t-terroriżmu, u (3) il-ġlieda kontra l-proliferazzjoni 44 . Iċ-ċertifikazzjonijiet huma meħtieġa wkoll li jinkludu proċeduri mmirati u ta’ minimizzazzjoni li huma approvati mill-FISC 45 . B’mod partikolari, l-immirar jitwettaq billi jintalab li l-kumpaniji tal-Istati Uniti li jissodisfaw id-definizzjoni tal-FISA ta’ “fornitur ta’ servizzi ta’ komunikazzjoni elettronika” jiddivulgaw data ta’ komunikazzjoni elettronika għall-komunikazzjonijiet mibgħuta lil jew mingħand “seletturi”, li jidentifikaw kont ta’ komunikazzjoni speċifiku, eż. numru tat-telefown jew indirizz tal-posta elettronika. Il-Gvern tal-Istati Uniti ppubblika għadd ta’ materjali fl-Artikolu 702 tal-FISA biex jinforma lill-pubbliku dwar il-funzjonament tal-programmi ta’ sorveljanza, ir-rekwiżiti applikabbli u l-protezzjonijiet tal-privatezza kif ukoll ir-rwol tal-FISC 46 .

Minħabba klawżola ta’ estinzjoni, l-Artikolu 702 tal-FISA kellu jiskadi fl-aħħar tal-2023, sakemm il-Kungress ma jawtorizzahx mill-ġdid. Wara awtorizzazzjoni mill-ġdid temporanja mingħajr ebda tibdil, fid-19 ta’ April 2024, il-Kungress għadda r-Reforming Intelligence and Securing America Act (RISAA), li jawtorizza mill-ġdid l-Artikolu 702 tal-FISA għal perjodu ta’ sentejn u introduċa diversi bidliet. Dawn jistgħu jinqasmu b’mod wiesa’ f’żewġ kategoriji: (1) bidliet fl-ambitu tal-attivitajiet ta’ sorveljanza permessi skont l-Artikolu 702 tal-FISA u (2) bidliet istituzzjonali u proċedurali.

Bidliet fl-ambitu tal-attivitajiet ta’ sorveljanza permessi skont l-Artikolu 702 tal-FISA

L-RISAA introduċa tliet bidliet ewlenin fl-ambitu tal-attivitajiet ta’ sorveljanza li jistgħu jitwettqu skont l-Artikolu 702 tal-FISA.

L-ewwel nett, il-ġbir ta’ “abouts” ġie pprojbit b’mod definittiv 47 . Dan jirreferi għall-ġbir ta’ komunikazzjonijiet li fihom is-selettur tal-Artikolu 702 (bħal indirizz tal-posta elettronika) ma jkunx fil-kampi “to” jew “from” tal-komunikazzjonijiet, iżda minflok ikun fih referenza għal dan is-selettur fil-komunikazzjoni (eż. komunikazzjonijiet bil-posta elettronika li ma jintbagħtux lejn jew mill-indirizz tal-posta elettronika magħżul, iżda jinkludi l-indirizz tal-posta elettronika magħżul fit-test jew fil-korp). Filwaqt li tali ġbir kien diġà ġie eskluż wara emenda għall-FISA fl-2018, l-FISA xorta waħda pprovdiet il-possibbiltà li jerġa’ jibda l-ġbir ta’ “abouts” fil-futur, wara proċedura ta’ awtorizzazzjoni speċifika li tinvolvi lill-FISC u lill-Kungress. L-aħħar emenda introdotta mill-RISAA neħħiet din il-possibbiltà.

It-tieni, id-definizzjoni ta’ informazzjoni ta’ intelligence barranija ġiet estiża biex tinkludi informazzjoni relatata mal-ġlieda kontra d-droga 48 . Matul il-laqgħa ta’ rieżami, l-awtoritajiet tal-Istati Uniti spjegaw li din ġiet introdotta fid-dawl tal-kriżi kurrenti tal-fentanil u t-theddida dejjem akbar għas-sigurtà nazzjonali mit-traffikanti u mill-manifatturi internazzjonali tan-narkotiċi. F’dan l-isfond, ġie kkonfermat li dan il-kunċett jaqa’ taħt bosta mill-objettivi leġittimi elenkati fl-EO 14086, jiġifieri l-fehim jew il-valutazzjoni tal-kapaċitajiet, tal-intenzjonijiet, jew tal-attivitajiet ta’ organizzazzjonijiet barranin li jippreżentaw theddida kurrenti jew potenzjali għas-sigurtà nazzjonali tal-Istati Uniti jew tal-alleati tagħhom; il-fehim jew il-valutazzjoni tat-theddid tranżnazzjonali li jkollu impatt fuq is-sigurtà globali, inklużi r-riskji għas-saħħa pubblika; u l-protezzjoni kontra theddid kriminali tranżnazzjonali 49 .

It-tielet, l-RISAA espanda d-definizzjoni ta’ “fornitur ta’ servizzi ta’ komunikazzjoni elettronika” (ECSP, electronic communication service provider), u b’hekk espanda l-ambitu tal-kumpaniji li jistgħu jkunu mġiegħla jipprovdu informazzjoni skont l-Artikolu 702 tal-FISA 50 . Id-definizzjoni issa tinkludi “fornituri oħrajn ta’ servizzi li għandhom ‘aċċess għal tagħmir li qiegħed jintuża jew li jista’ jintuża biex jiġu trażmessi jew jinħażnu komunikazzjonijiet bil-fili jew elettroniċi’”, filwaqt li teskludi b’mod espliċitu l-faċilitajiet ta’ akkomodazzjoni pubblika, l-abitazzjonijiet, il-faċilitajiet komunitarji u l-istabbilimenti tas-servizzi tal-ikel. F’ittra lill-Kungress, id-DoJ irrefera għal din l-emenda bħala bidla teknika maħsuba biex tkopri għadd “estremament żgħir” ta’ kumpaniji tat-teknoloġija li, skont deċiżjonijiet reċenti tal-FISC u tal-Foreign Intelligence Surveillance Court (FISCR), ma kinux koperti mid-definizzjoni preċedenti tal-ECSP 51 . F’dik l-istess ittra, id-DoJ impenja ruħu li jċekken l-ambitu billi japplika din id-definizzjoni esklużivament biex tkopri t-tip ta’ fornitur tas-servizz inkwistjoni fil-litigazzjoni li twassal għad-deċiżjoni tal-FISC. B’konsegwenza ta’ dan, il-kumpaniji kkonċernati jissemmew f’anness klassifikat għall-Kungress. Diversi NGOs, inklużi dawk li pprovdew feedback bħala parti mir-rieżami, esprimew tħassib dwar din l-espansjoni, billi argumentaw li din tista’ potenzjalment tkopri ħafna negozji tal-Istati Uniti (peress li ħafna minnhom jipprovdu xi tip ta’ servizz u għandhom aċċess għal tagħmir tal-komunikazzjoni). Fid-dawl ta’ tħassib bħal dan, ġiet proposta emenda oħra bl-appoġġ tal-Intelligence Community f’abbozz tal-Intelligence Authorisation Act for Fiscal Year 2025, li bħalissa jinsab quddiem il-Kungress. Din il-bidla, jekk tiġi approvata mill-Kungress, tiżgura li l-kumpaniji addizzjonali koperti mid-definizzjoni tal-ECSP ikunu limitati biss għal dawk imsemmija fid-deċiżjonijiet tal-FISC li ssir referenza għalihom hawn fuq. L-abbozz ta’ liġi jipprevedi wkoll li kull direttiva indirizzata lil tali kumpanija jkollha tiġi rrapportata lill-FISC, biex din tal-aħħar tkun tista’ tirrieżamina jekk il-kumpanija fil-fatt taqax fl-ambitu. Fl-ittra tiegħu lill-Kungress, id-DoJ impenja ruħu li jirrapporta lill-Kungress kull 6 xhur rigward kwalunkwe applikazzjoni tad-definizzjoni aġġornata sabiex il-Kungress ikun jista’ jeżerċita s-sorveljanza xierqa fir-rigward tal-applikazzjoni limitata tad-definizzjoni.

Fuq kollox, fil-laqgħa ta’ rieżami mill-awtoritajiet tal-Istati Uniti u mill-PCLOB ġie kkonfermat li s-salvagwardji kollha tal-EO 14086 għadhom japplikaw bis-sħiħ għal kull ġbir u użu tad-data skont l-Artikolu 702 tal-FISA, inkluż wara dawn l-emendi. Għalhekk, filwaqt li l-RISAA wessa’ kemxejn l-ambitu tal-kumpaniji li jistgħu jiksbu ordni, dan ma llimitax l-eżerċizzju tad-drittijiet. Madankollu, se jkun importanti li jiġu mmonitorjati l-iżviluppi (leġiżlattivi u ta’ rapportar) ulterjuri u li tiġi riċevuta informazzjoni dwar l-applikazzjoni ta’ dawn ir-regoli l-ġodda fil-prattika. Dan jinkludi pereżempju l-impatt tat-twessigħ tad-definizzjonijiet ta’ intelligence barranija u ECSPs fuq l-għadd ta’ miri tal-Artikolu 702 tal-FISA (kif ikkomunikati kull sena mill-ODNI, ara hawn taħt dwar it-trasparenza). Ir-rapport ta’ segwitu futur għar-rapport reċenti tal-PCLOB dwar l-Artikolu 702 tal-FISA (ara hawn taħt) għandu jkun partikolarment informattiv f’dan ir-rigward.

Bidliet istituzzjonali u proċedurali

F’termini ta’ bidliet istituzzjonali u proċedurali, l-RISAA kkoodifika diversi proċeduri li diġà kienu ġew segwiti fil-prattika u introduċa salvagwardji ġodda. Filwaqt li xi wħud minn dawn jikkonċernaw biss lill-persuni ċittadini tal-Istati Uniti, diversi bidliet iżidu l-protezzjonijiet kemm għall-persuni ċittadini tal-Istati Uniti kif ukoll għal dawk mhux ċittadini tal-Istati Uniti li d-data tagħhom tista’ tinġabar skont l-Artikolu 702 tal-FISA 52 u għalhekk huma rilevanti għall-funzjonament tad-DPF.

L-ewwel nett, ġew stabbiliti għadd ta’ rekwiżiti addizzjonali ta’ responsabbiltà, sorveljanza u rapportar. B’mod partikolari, il-persunal tal-FBI issa jeħtieġlu jiġi mħarreġ kull sena dwar ir-regoli li japplikaw għat-tiftix tal-informazzjoni miksuba skont l-Artikolu 702 tal-FISA 53 . L-FBI huwa meħtieġ ukoll li jirrapporta lill-Kungress dwar l-attivitajiet ta’ tiftix tiegħu (eż. l-għadd ta’ tfittxijiet li jużaw “teknoloġiji ta’ xogħol bil-lott”, jiġifieri l-użu ta’ diversi termini ta’ tfittxija bħala parti minn tfittxija waħda) u dwar il-miżuri ta’ responsabbiltà stabbiliti biex tiġi żgurata l-konformità mar-rekwiżiti legali ta’ tiftix (l-Artikoli 11-12 tal-RISAA). Barra minn hekk, l-Ispettur Ġenerali tad-DOJ huwa inkarigat biex jipproduċi rapport dwar il-konformità tal-FBI mar-rekwiżiti ta’ tiftix (l-Artikolu 9 tal-RISAA). B’mod aktar ġenerali, biex tiżdied it-trasparenza tal-proċeduri quddiem l-FISC, l-ODNI u l-Avukat Ġenerali issa huma meħtieġa jlestu r-rieżami tad-deklassifikazzjoni tad-deċiżjonijiet tal-FISC fi żmien 180 jum (l-Artikolu 7 tal-RISAA). Barra minn hekk, iridu jinżammu u jiġu trażmessi lill-Kungress traskrizzjonijiet tas-seduti kollha quddiem l-FISC u l-Foreign Intelligence Court of Review (FISCR, fejn id-deċiżjonijiet tal-FISC jistgħu jiġu appellati) (l-Artikolu 8 tal-RISAA).

It-tieni, l-RISAA introduċa limitazzjonijiet ulterjuri fuq l-użu mill-FBI ta’ data miġbura skont l-Artikolu 702 tal-FISA. L-Artikolu 2(d) tal-RISAA jipprevedi li tfittxija bl-użu ta’ “teknoloġija tal-lott” tista’ ssir biss wara li tinkiseb l-approvazzjoni minn avukat fi ħdan l-FBI, sakemm ma jkunx hemm ċirkostanzi eżiġenti. Barra minn hekk, l-FBI issa huwa pprojbit milli jivverifika awtomatikament informazzjoni mhux imminimizzata miksuba skont l-Artikolu 702 tal-FISA u minflok irid jiżgura li l-analisti jkollhom jagħżlu b’mod affermattiv li jfittxu dwar tali informazzjoni. L-RISAA pprojbixxa wkoll lill-FBI milli jwettaq tfittxijiet li huma maħsuba biss biex isibu u jisiltu evidenza ta’ attività kriminali (sakemm ma jkunx hemm konvinzjoni raġonevoli li jistgħu jassistu fil-mitigazzjoni jew fl-eliminazzjoni ta’ theddida għall-ħajja jew offiża gravi fuq il-persuna, jew meta jkun meħtieġ biex tintlaħaq konformità mal-obbligi ta’ divulgazzjoni fil-litigazzjoni) 54 . Barra minn hekk, l-FBI huwa pprojbit milli jdaħħal data mhux imminimizzata f’repożitorji analitiċi sakemm il-persuna fil-mira ma tkunx rilevanti għal investigazzjoni nazzjonali eżistenti dwar is-sigurtà 55 .

It-tielet, ċerti dispożizzjonijiet relatati mal-istatus u mar-rwol amici curiae quddiem l-FISC inbidlu 56 . L-amici huma maħtura bħala esperti biex jassistu lill-Qorti (u lill-FISCR) dwar kwistjonijiet relatati mal-privatezza u mal-libertajiet ċivili jew biex jgħinu fil-kjarifika ta’ kwistjonijiet teknoloġiċi meta tiġi indirizzata applikazzjoni speċifika tal-gvern. Filwaqt li l-FISA qabel kienet tirrikjedi li l-amici jkollhom għarfien espert fil-privatezza u fil-libertajiet ċivili, fil-ġbir tal-intelligence, fit-teknoloġija tal-komunikazzjoni jew f’oqsma rilevanti oħrajn, issa, fil-prinċipju, tirrikjedi għarfien espert kemm fil-privatezza kif ukoll fil-libertajiet ċivili u fil-ġbir tal-intelligence. Il-Qorti diġà kellha l-possibbiltà li taħtar amicus fi kwalunkwe każ li qieset xieraq, u kienet meħtieġa tagħmel dan meta tittratta interpretazzjoni ġdida jew sinifikanti tal-liġi. Wara l-awtorizzazzjoni mill-ġdid, il-FISC issa hija meħtieġa wkoll taħtar amicus kull darba li tintalab tapprova ċertifikazzjonijiet u proċeduri ta’ akkumpanjament tal-Artikolu 702 tal-FISA (eż. proċeduri ta’ mmirar), sakemm ma ssibx li dan ma jkunx xieraq jew x’aktarx jirriżulta f’dewmien żejjed 57 . Barra minn hekk, minflok ma taħtar wieħed biss, il-Qorti issa tista’ tiddeċiedi li taħtar amicus wieħed jew aktar. Huwa ċċarat ukoll li l-informazzjoni li trid tiġi pprovduta permezz tal-amici trid tkun “limitata għall-indirizzar tal-kwistjonijiet speċifiċi identifikati mill-qorti”, għalkemm l-oqsma li l-amici jistgħu jikkummentaw dwarhom baqgħu wiesgħa (jiġifieri l-argumenti legali u l-informazzjoni relatati mal-protezzjoni tal-privatezza individwali u tal-libertajiet ċivili tal-persuni ċittadini tal-Istati Uniti, il-ġbir tal-intelligence u t-teknoloġija tal-komunikazzjoni jew kwalunkwe qasam rilevanti ieħor).

Fl-aħħar nett, l-Artikolu 18 tal-RISAA jistabbilixxi “FISA Reform Commission” – li tikkonsisti fost l-oħrajn mill-Membri tal-Kungress, mill-President tal-PCLOB, mill-Principal Deputy Director of National Intelligence, u mill-Viċi Avukat Ġenerali, u minn membri addizzjonali li għandhom jinħatru mill-Kungress 58 – biex tirrakkomanda riformi addizzjonali tal-FISA.

Il-Kummissjoni se timmonitorja mill-qrib l-iżviluppi ulterjuri fir-rigward tal-Artikolu 702 tal-FISA, inkluż fil-kuntest tal-attivitajiet ta’ sorveljanza tal-PCLOB (ara hawn taħt), il-ħidma tar-Reform Commission u r-rieżami li jmiss tal-FISA wara sentejn.

2.2.1.3.Attivitajiet ta’ sorveljanza fil-prattika: ċifri u xejriet

L-Annual Statistical Transparency Report Regarding the Intelligence Community’s Use of National Security Surveillance Authorities for Calendar Year 2023 tal-ODNI (ippubblikat f’April 2024) 59 juri li l-għadd ta’ miri skont l-Artikolu 702 tal-FISA żdied minn 245 073 fis-sena kalendarja 2022 għal 268 590 fis-sena kalendarja 2023. Ir-rapport jispjega li l-varjazzjonijiet fl-għadd ta’ miri jistgħu jkunu marbuta ma’ varjetà ta’ raġunijiet, inklużi bidliet fil-prijoritajiet operazzjonali, avvenimenti dinjin, kapaċitajiet tekniċi, imġiba fil-mira u bidliet fis-settur tat-telekomunikazzjoni. Ir-rapport jindika wkoll li l-ebda persuna mhux ċittadina tal-Istati Uniti (meta mqabbla ma’ 1 fl-2021 u 0 fl-2022) ma kienet fil-mira skont l-Artikolu 402 tal-FISA (reġistraturi tan-numri jew ta’ apparati ta’ identifikazzjoni u traċċar), filwaqt li nħarġu sitt ordnijiet (meta mqabbla ma’ 11-il ordni kemm fl-2021 kif ukoll fl-2022), għal sitt miri (meta mqabbla ma’ 13 fl-2021 u 11 fl-2022), skont l-Artikolu 501 tal-FISA (aċċess għar-rekords tan-negozju ta’ trasportaturi komuni, faċilitajiet ta’ kiri tal-vetturi jew faċilitajiet ta’ ħżin fiżiku), li jkopru 5412-il identifikatur uniku (meta mqabbel ma’ 23 157 fl-2021 u 55 431 fl-2022) użati biex jikkomunikaw informazzjoni miġbura skont ordnijiet bħal dawn.

Ir-rapport annwali tad-DoJ dwar il-Liġi ta’ Sorveljanza tal-Intelligence Esterna lill-Kungress jindika li, matul is-sena kalendarja 2023, ġew ippreżentati 327 applikazzjoni lill-FISC biex jitwettqu sorveljanza elettronika u/jew tfittxijiet fiżiċi għal skopijiet ta’ intelligence barranija skont l-Artikolu 105 u 302 tal-FISA rispettivament 60 . L-għadd totali ta’ persuni fil-mira kien bejn 500 u 999. Fir-rigward tal-ittri ta’ sigurtà nazzjonali (NSLs), ir-rapport jgħid li nħarġu 10 115-il talba (minbarra talbiet għal informazzjoni dwar l-abbonati biss) għal informazzjoni dwar persuni mhux ċittadini tal-Istati Uniti, li jfittxu informazzjoni relatata ma’ 3033 persuna differenti mhux ċittadini tal-Istati Uniti 61 .

Diversi kumpaniji ċċertifikati mid-DPF (eż. Google, Meta) jagħmlu użu mill-possibbiltà pprovduta mil-liġi tal-Istati Uniti li jiġu ppubblikati rapporti ta’ trasparenza li jinfurmaw dwar l-għadd ta’ talbiet skont il-FISA u b’NSLs li jkunu rċevew matul perjodu ta’ rapportar partikolari. Fiż-żmien tal-abbozzar ta’ dan ir-rapport, l-istatistika dwar it-talbiet skont il-FISA wara Lulju 2023 kienet għadha ma hijiex disponibbli. Pereżempju, Google rrapportat li, bejn Lulju u Diċembru 2023, irċeviet bejn 500 u 999 talba b’NSLs, li jaffettwaw bejn 2000 u 2499 kont 62 . Meta rrapportat li rċeviet bejn 0 u 499 talba b’NSLs, li jaffettwaw bejn 500 u 999 kont, fl-istess perjodu ta’ rapportar 63 . In-numri baqgħu pjuttost stabbli f’dawn l-aħħar snin. Biex tiżdied ulterjorment it-trasparenza, xi kumpaniji (eż. Google) jippubblikaw b’mod proattiv l-NSLs li jkunu rċevew ladarba jitneħħew ir-restrizzjonijiet dwar in-nondivulgazzjoni 64 .

2.2.1.4.Żviluppi oħrajn

Fil-kuntest tat-tħejjija tar-rieżami, diversi NGOs għamlu mistoqsijiet dwar forom ġodda ta’ akkwiżizzjoni tad-data mill-aġenziji tal-intelligence tal-Istati Uniti permezz tax-xiri ta’ data minn entitajiet kummerċjali, b’mod partikolari sensara tad-data. Huma spjegaw li filwaqt li d-data miġbura fuq din il-bażi xorta trid tiġi pproċessata f’konformità ma’ rekwiżiti oħrajn, inkluż pereżempju skont l-EO 12333 65 , tali akkwiżizzjoni sseħħ barra mill-qafas tal-FISA u tal-EO 14086.

F’dan ir-rigward, għandu jiġi mfakkar li kwalunkwe tip ta’ kondiviżjoni volontarja ta’ data ma’ partijiet terzi huwa soġġett għal diversi kundizzjonijiet dettaljati skont id-DPF. L-ewwel nett, l-organizzazzjoni ċċertifikata ma tistax tikkondividi d-data ma’ parti terza (li ma tkunx qiegħda taġixxi bħala aġent/proċessur) mingħajr ma tipprovdi avviż u għażla lill-individwi kkonċernati 66 . It-tieni, f’konformità mal-Prinċipju tar-Responsabbiltà għal Trasferimenti Ulterjuri, it-trasferimenti ulterjuri jistgħu jitwettqu biss (1) għal skopijiet limitati u speċifikati, (2) abbażi ta’ kuntratt bejn l-organizzazzjoni tad-DPF tal-UE u tal-Istati Uniti l-parti terza u (3) jekk dak il-kuntratt jirrikjedi li l-parti terza tipprovdi l-istess livell ta’ protezzjoni bħal dak li huwa ggarantit mill-Prinċipji 67 .

Barra minn hekk, kif ġie diskuss ukoll matul il-laqgħa ta’ rieżami, l-FTC ħadet azzjonijiet ta’ infurzar kontra sensara tad-data li jbigħu data sensittiva dwar il-konsumatur. Pereżempju, f’kawża kontra X-Mode u s-suċċessur tagħha Outlogic, l-FTC fid-9 ta’ Jannar 2024 adottat ordni li tipprojbixxi lill-kumpanija milli tbigħ data ta’ ġeolokalizzazzjoni lil partijiet terzi u tħassar data li kienet użat u kkondividiet b’mod illegali. L-investigazzjoni tal-FTC sabet fost affarijiet oħra li l-kumpanija ma infurmatx bis-sħiħ lill-individwi dwar l-użu u l-bejgħ tad-data ta’ ġeolokalizzazzjoni tagħhom, naqset milli tistabbilixxi miżuri li jippermettu lill-individwi li jagħżlu li ma jipparteċipawx fl-ittrekkjar, ippermettiet l-użu tad-data għal skopijiet potenzjalment diskriminatorji u naqset milli tistabbilixxi limiti għall-użu ta’ tali informazzjoni minn partijiet terzi 68 . Il-Kummissjoni tistenna li l-FTC tadotta l-istess approċċ jekk il-kumpaniji ċċertifikati mid-DPF jikkondividu d-data bi ksur tad-dispożizzjonijiet imsemmija hawn fuq.

Fl-aħħar nett, ta’ min isemmi li f’Mejju 2024, l-ODNI ħareġ l-Intelligence Community Policy Framework for Commercially Available Information 69 . Dan il-Qafas jistabbilixxi għadd ta’ prinċipji u rekwiżiti li l-aġenziji tal-intelligence għandhom isegwu, inkluż biex jimminimizzaw ir-riskji tal-privatezza u tal-libertajiet ċivili, meta jiksbu u jużaw informazzjoni fil-kuntest ta’ tranżazzjoni kummerċjali.

2.2.2.Sorveljanza indipendenti

L-attivitajiet tal-aġenziji tal-intelligence tal-Istati Uniti huma soġġetti għal superviżjoni minn korpi differenti, inklużi l-Uffiċjali tal-Privatezza u tal-Libertajiet Ċivili, l-Ispetturi Ġenerali, il-Kungress u l-PCLOB. B’mod partikolari, l-EO 14086 tirrikjedi li kull aġenzija tal-intelligence jkollha uffiċjali legali, tas-sorveljanza u tal-konformità ta’ livell għoli sabiex jiżguraw il-konformità mal-liġi applikabbli tal-Istati Uniti. Din il-funzjoni ta’ sorveljanza hija ssodisfata minn uffiċjali bi rwol ta’ konformità deżinjat, kif ukoll minn Uffiċjali tal-Privatezza u tal-Libertajiet Ċivili u minn Spetturi Ġenerali 70 . Dawn jeħtiġilhom iwettqu sorveljanza perjodika tal-attivitajiet tal-intelligence ta’ sinjali u jiżguraw li jiġi rrimedjat kwalunkwe nuqqas ta’ konformità. L-aġenziji tal-intelligence jeħtiġilhom jipprovdu lil tali uffiċjali aċċess għall-informazzjoni rilevanti kollha biex iwettqu l-funzjonijiet ta’ sorveljanza tagħhom u ma jistgħu jieħdu l-ebda azzjoni biex jimpedixxu jew jinfluwenzaw b’mod mhux xieraq l-attivitajiet ta’ sorveljanza tagħhom.

L-Avukat Ġenerali tal-Office of the Intelligence Community Inspector General (ICIG) fl-ODNI – li għandu ġuriżdizzjoni komprensiva fuq l-Intelligence Community kollha u huwa awtorizzat jinvestiga lmenti jew informazzjoni dwar allegazzjonijiet ta’ kondotta illegali, jew abbuż ta’ awtorità – ipparteċipa fil-laqgħa ta’ rieżami. Huwa kkonferma li l-ICIG jivverifika sistematikament il-konformità mal-EO 14086 bħala parti mill-attivitajiet ta’ sorveljanza tiegħu. Huwa rrefera wkoll għall-attivitajiet ta’ sorveljanza reċenti ta’ Spetturi Ġenerali oħrajn tal-komunità tal-intelligence, kif ġie spjegat f’rapporti regolari. Pereżempju, fir-rapport semiannwali tiegħu lill-Kungress għal April-Settembru 2023 71 , l-Ispettur Ġenerali tal-NSA informa dwar evalwazzjoni ta’ qafas ta’ kontroll intern tal-NSA għad-deċiżjonijiet u għat-talbiet ta’ mmirar. Huwa kkonkluda li dan il-qafas kien qiegħed jiffunzjona kif suppost biex jiżgura l-konformità mal-liġijiet, mad-direttivi u mal-politiki li jipproteġu l-libertajiet ċivili u l-privatezza. L-istess rapport jagħmel ukoll referenza għal investigazzjoni li żvelat l-użu ħażin ta’ għodda ta’ intelligence ta’ sinjali għal skopijiet mhux awtorizzati minn impjegat tal-NSA.

Skont l-EO 14086, il-PCLOB 72 huwa fdat b’funzjonijiet speċifiċi ta’ sorveljanza 73 . Il-President tal-PCLOB u t-tliet membri tiegħu pparteċipaw fil-laqgħa ta’ rieżami, u infurmaw li l-PCLOB ipprovda pariri lill-aġenziji tal-intelligence dwar l-abbozzi ta’ politiki u l-proċeduri tagħhom li jimplimentaw l-EO 14086 f’April 2023, u ġie kkonsultat dwar in-nomina tal-imħallfin u tal-avukati speċjali tal-Data Protection Review Court (DPRC). Il-Bord nieda wkoll proġett ta’ sorveljanza biex (1) jirrieżamina l-implimentazzjoni tal-politiki u tal-proċeduri aġġornati adottati mill-aġenziji tal-intelligence biex jiġi żgurat li dawn ikunu konsistenti mal-EO, u (2) iwettaq rieżami annwali tal-funzjonament tal-mekkaniżmu l-ġdid ta’ rimedju (ara hawn taħt) 74 . Il-Membri tal-PCLOB ikkonfermaw li l-Bord qiegħed jippjana li jwettaq iż-żewġ rieżamijiet fil-futur qrib. Fir-rigward tar-rimedju, huma spjegaw li, fin-nuqqas ta’ lmenti, ir-rieżami tal-PCLOB se jiffoka fuq il-politiki u l-proċeduri stabbiliti għall-istabbiliment tal-mekkaniżmu.

F’termini ta’ attivitajiet oħrajn ta’ sorveljanza, il-PCLOB fit-28 ta’ Settembru 2023 ħareġ rapport dwar l-Artikolu 702 tal-FISA 75 . Dan ir-rapport huwa segwitu għal rapport preċedenti tal-2014 u fih informazzjoni fattwali u legali aġġornata dwar l-operat tal-programmi ta’ sorveljanza tal-Artikolu 702 tal-FISA. Ir-rapport fih ukoll rakkomandazzjonijiet dwar il-konformità mill-aġenziji tal-intelligence mar-rekwiżiti u mas-suġġerimenti applikabbli lill-Kungress biex jissaħħu aktar diversi aspetti tal-Artikolu 702 tal-FISA fil-kuntest tal-awtorizzazzjoni mill-ġdid tiegħu (inkluż bil-kodifikazzjoni tal-objettivi leġittimi għall-attivitajiet ta’ sorveljanza elenkati fl-EO 14086). 76 Matul il-laqgħa ta’ rieżami, il-PCLOB informa li huwa jistenna li jirċievi dalwaqt risponsi mill-aġenziji tal-intelligence dwar l-implimentazzjoni tar-rakkomandazzjonijiet tiegħu, li se jikkontribwixxu għal rapport ta’ segwitu futur. Proġetti oħrajn ta’ sorveljanza li għaddejjin jinkludu wieħed dwar il-ġlieda kontra t-terroriżmu domestiku u l-impatt tiegħu fuq il-privatezza u l-libertajiet ċivili u l-ġbir ta’ data minn sors miftuħ jew disponibbli kummerċjalment mill-FBI 77 .

Fl-aħħar nett, l-NGOs ikkonsultati fil-kuntest tar-rieżami esprimew it-tħassib li l-mandat ta’ diversi Membri tal-PCLOB se jiskadi fil-futur qrib, li potenzjalment iħalli l-PCLOB mingħajr kworum. B’mod partikolari, it-terminu tal-President skada u l-perjodu li matulu tista’ sservi f’kapaċità ta’ sostitut jintemm f’Jannar 2025, filwaqt li siġġu ieħor huwa vakanti, u t-tielet wieħed se jispiċċa vakanti wkoll f’Jannar tas-sena d-dieħla. Matul il-laqgħa ta’ rieżami, il-Membri spjegaw li ma humiex qegħdin jistennew li l-PCLOB jispiċċa mingħajr kworum, peress li diġà nħarġet nomina għas-siġġu li bħalissa huwa vakanti (u din qiegħda tistenna konferma mis-Senat) 78 . Huma ssottolinjaw ukoll li, anke jekk il-Bord jitlef il-kworum tiegħu, dan ma jaffettwax il-kapaċità tiegħu li jkompli jwettaq proġetti ta’ sorveljanza. Madankollu, minħabba r-rwol importanti tal-PCLOB biex jirrieżamina l-implimentazzjoni tal-EO 14086, il-Kummissjoni se timmonitorja mill-qrib l-istatus tal-postijiet tax-xogħol vakanti u tan-nomini/tal-ħatriet futuri.

2.2.3.Rimedju

L-EO 14086, ikkomplementata minn Regolament tal-Avukat Ġenerali, stabbiliet mekkaniżmu ġdid ta’ rimedju biex jittratta u jsolvi lmenti kwalifikanti minn individwi li jikkonċernaw attivitajiet ta’ intelligence ta’ sinjali tal-Istati Uniti 79 . Kwalunkwe individwu fl-UE huwa intitolat jippreżenta lment lill-mekkaniżmu ta’ rimedju dwar allegat ksur tal-liġi tal-Istati Uniti li tirregola l-attivitajiet tal-intelligence ta’ sinjali (eż. l-EO 14086, l-Artikolu 702 tal-FISA, l-EO 12333) fir-rigward tad-data personali ttrasferita lill-Istati Uniti li taffettwa b’mod negattiv l-interessi tal-privatezza u tal-libertajiet ċivili tagħhom. L-individwi jistgħu jippreżentaw ilment lil DPA fi Stat Membru tal-UE, li permezz tas-segretarjat tal-EDPB, jgħaddi l-ilment lill-mekkaniżmu ta’ rimedju. Il-mekkaniżmu huwa magħmul minn żewġ livelli, bl-investigazzjoni inizjali tal-ilmenti mwettqa mill-ODNI CLPO u bil-possibbiltà li l-individwi jappellaw id-deċiżjoni tas-CLPO quddiem DPRC indipendenti. Ladarba jitlesta r-rieżami mill-ODNI CLPO jew mid-DPRC, l-individwi jiġu infurmati, permezz tal-awtorità nazzjonali, li “r-rieżami ma identifika l-ebda ksur kopert jew l-ODNI CLPO/id-DPRC ħarġet determinazzjoni li tirrikjedi rimedju xieraq”. Id-deċiżjonijiet tal-ODNI CLPO u tad-DPRC huma vinkolanti fuq l-aġenziji tal-intelligence.

Mill-adozzjoni tad-deċiżjoni ta’ adegwatezza, ittieħdu passi ulterjuri biex il-mekkaniżmu ta’ rimedju jsir kompletament operattiv.

Fir-rigward tal-istabbiliment tad-DPRC, fl-14 ta’ Novembru 2023 inħatru fil-qorti tmien imħallfin (jiġifieri żewġ imħallfin aktar mill-għadd minimu meħtieġ skont l-EO 14086, kif ikkomplementata mir-regolamenti tal-Avukat Ġenerali fit-28 C.F.R. § 201.3(a)) 80 . Dawn inħatru abbażi tal-kriterji stabbiliti fl-EO 14086 u f’konformità mal-proċess stabbilit fiha, inkluż wara konsultazzjoni, fost l-oħrajn, mal-PCLOB 81 . Dawn jinkludu l-eks imħallfin federali tad-District Court u tal-Court of Appeals, eks Avukat Ġenerali tal-Istati Uniti u eks membru tal-PCLOB. Kif meħtieġ mill-EO, mill-anqas nofs l-imħallfin għandhom esperjenza ġudizzjarja minn qabel. Barra minn hekk, f’April 2024, inħatru żewġ avukati speċjali – ġuristi b’għarfien espert kemm fil-privatezza kif ukoll fis-sigurtà nazzjonali, biex jirrappreżentaw l-interessi tal-individwi quddiem id-DPRC. Fil-laqgħa ta’ rieżami ġie kkonfermat li l-imħallfin u l-avukati speċjali kollha rċevew l-ogħla awtorizzazzjoni ta’ sigurtà u għalhekk jista’ jkollhom aċċess għal materjali kklassifikati meta jwettqu l-kompiti tagħhom għad-DPRC. Id-DPRC kienet ippubblikat ukoll serje ta’ mistoqsijiet frekwenti, u pprovdiet aktar informazzjoni dwar ir-rwol, l-indipendenza u l-funzjonament tagħha 82 .

Fir-rigward tat-trattament tal-ilmenti, fis-6 ta’ Diċembru 2022, l-ODNI adotta d-Direttiva 126 dwar l-Intelligence Community li tirregola fid-dettall (billi tiffissa skadenzi, tistabbilixxi repożitorju elettroniku u mezzi ta’ komunikazzjoni siguri, tirrikjedi li elementi tas-CLPO u tal-Intelligence Community jikkooperaw mal-PCLOB fil-kuntest tar-rieżami annwali tal-mekkaniżmu ta’ rimedju, eċċ.) l-aspetti differenti tal-proċess għall-investigazzjoni u għall-aġġudikazzjoni tal-ilmenti 83 . Din id-Direttiva hija applikabbli madwar l-Intelligence Community tal-Istati Uniti kollha u ġiet ikkomplementata minn proċeduri interni ulterjuri adottati minn aġenziji tal-intelligence individwali dwar il-kooperazzjoni tagħhom mal-ODNI CLPO fil-kuntest tat-trattament ta’ lment (eż. l-iżvilupp ta’ repożitorju sigur għall-kondiviżjoni tal-ilmenti u d-dokumenti ta’ rispons; u komunikazzjonijiet siguri bejn l-aġenziji rilevanti). Fix-xhur li ġejjin id-DPRC se toħroġ ukoll regoli aktar dettaljati dwar it-trattament tal-ilmenti u aspetti proċedurali oħrajn.

Ittieħdu għadd ta’ miżuri addizzjonali kemm fl-Unjoni Ewropea kif ukoll fl-Istati Uniti biex il-pubbliku ġenerali jiġi infurmat, kif ukoll biex jiġu ffaċilitati l-preżentazzjoni u t-trattament tal-ilmenti. Dan jinkludi l-adozzjoni mill-EDPB ta’ nota ta’ informazzjoni dwar il-mekkaniżmu l-ġdid ta’ rimedju 84 , mudell tal-formola ta’ lment (li huwa maħsub biex jiġi tradott u ppubblikat mid-DPAs kollha bil-lingwi nazzjonali tagħhom) 85 u regoli tal-proċedura li jirregolaw il-kooperazzjoni bejn l-awtoritajiet superviżorji nazzjonali u s-segretarjat tal-EDPB 86 . Bl-istess mod, l-ODNI ppubblika FAQs u skeda informattiva dwar il-mekkaniżmu l-ġdid ta’ rimedju, u involva ruħu f’attivitajiet ta’ sensibilizzazzjoni tal-pubbliku 87 .

Barra minn hekk, matul l-aħħar sena, l-EDPB u l-awtoritajiet rilevanti tal-Istati Uniti kkooperaw mill-qrib fuq diversi aspetti operazzjonali. B’mod partikolari, kif ġie kkonfermat matul il-laqgħa ta’ rieżami, huma stabbilew mezz ta’ komunikazzjoni kriptat għat-trażmissjoni tal-ilmenti mill-awtoritajiet nazzjonali fl-UE lis-segretarjat tal-EDPB, mis-segretarjat tal-EDPB lill-ODNI CLPO kif ukoll lid-DoJ Office of Privacy and Civil Liberties (OPCL), u bejn l-ODNI CLPO u awtoritajiet oħrajn min-naħa tal-Istati Uniti (eż. id-DPRC). Barra minn hekk, l-ODNI CLPO spjega li ġew stabbiliti aktar proċeduri interni għall-kooperazzjoni tal-aġenziji tal-intelligence individwali mal-ODNI CLPO fir-rigward tat-trattament ta’ lmenti.

Fl-aħħar nett, l-OPCL, li jipprovdi appoġġ amministrattiv lid-DPRC, informa wkoll li d-DPRC topera taħt il-linja baġitarja dedikata tagħha stess u hija pprovduta bil-faċilitajiet meħtieġa biex twettaq il-kompiti tagħha, inklużi kompjuters u laptops siguri, mowbajls, eċċ. Barra minn hekk, kif meħtieġ mill-EO 14086, id-DoC ħa l-miżuri meħtieġa, inkluż billi stabbilixxa mezz ta’ komunikazzjoni kriptat mal-ODNI CLPO, biex iżomm rekord tal-ilmenti kwalifikanti kollha riċevuti. Id-DoC se jikkuntattja perjodikament lill-ODNI CLPO dwar jekk l-informazzjoni relatata ma’ lment individwali ġietx deklassifikata. Jekk iva, id-DoC jinnotifika lill-individwu kkonċernat b’dan, sabiex ikun jista’ jikseb aċċess għal tali informazzjoni.

Fiż-żmien tal-laqgħa ta’ rieżami, l-awtoritajiet superviżorji tal-UE ma kienu rċevew l-ebda lment u għalhekk il-mekkaniżmu l-ġdid ta’ rimedju kien għadu ma ġiex attivat.

3.KONKLUŻJONI

Abbażi tal-informazzjoni miġbura matul dan l-ewwel rieżami, il-Kummissjoni tikkonkludi li l-awtoritajiet tal-Istati Uniti stabbilew l-istrutturi u l-proċeduri meħtieġa biex jiżguraw li l-Qafas tal-Privatezza tad-Data jiffunzjona b’mod effettiv. F’dan il-kuntest, il-Kummissjoni tapprezza ħafna l-kooperazzjoni tajba ħafna mal-awtoritajiet tal-Istati Uniti biex jitwettaq ir-rieżami.

Filwaqt li dan l-ewwel rieżami ffoka b’mod naturali fuq il-verifika ta’ jekk humiex stabbiliti l-elementi kostitwenti kollha tal-qafas, l-esperjenza bl-applikazzjoni prattika tas-salvagwardji li japplikaw kemm għall-ipproċessar tad-data minn kumpaniji ċċertifikati kif ukoll għall-aċċess tad-data mill-awtoritajiet pubbliċi hija neċessarjament limitata wara sena ta’ operat biss. Għalhekk, il-Kummissjoni se timmonitorja mill-qrib l-iżviluppi rilevanti fix-xhur u fis-snin li ġejjin, filwaqt li tagħti attenzjoni partikolari għal (1) ir-rapporti li ġejjin tal-PCLOB dwar l-implimentazzjoni tal-EO 14086 u l-funzjonament tal-mekkaniżmu ta’ rimedju tal-intelligence ta’ sinjali, b’mod partikolari d-DPRC; (2) l-emendi ulterjuri possibbli tal-Artikolu 702 tal-FISA; u (3) in-nomina u l-ħatra tal-membri għall-PCLOB biex jimtlew il-postijiet vakanti li se jkun hemm.

Barra minn hekk, biex jiġi żgurat funzjonament kontinwu u effettiv, il-Kummissjoni tqis importanti li:

-Kif imħabbar fil-laqgħa ta’ rieżami, id-DoC jagħmel użu aktar sħiħ mill-għodod differenti pprovduti fid-DPF għall-monitoraġġ tal-konformità mill-kumpaniji mal-Prinċipji u l-identifikazzjoni ta’ asserzjonijiet foloz ta’ parteċipazzjoni.

-L-FTC tiżviluppa aktar l-approċċ proattiv tagħha għall-investigazzjoni u għall-infurzar tal-konformità minn kumpaniji ċċertifikati mal-Prinċipji tad-DPF; kif ukoll

-Id-DoC, l-FTC u l-awtoritajiet għall-protezzjoni tad-data tal-UE jiżviluppaw strumenti ta’ gwida komuni dwar ir-rekwiżiti ewlenin skont il-Prinċipji tad-DPF, eż. rigward id-data dwar ir-riżorsi umani u t-trasferimenti ulterjuri.

Fid-dawl ta’ dan l-eżitu tar-rieżami u kif previst fil-premessa 211 tad-deċiżjoni ta’ adegwatezza, il-Kummissjoni tqis li huwa xieraq li twettaq ir-rieżami perjodiku li jmiss wara 3 snin. Dan għandu jippermetti li tinkiseb aktar esperjenza bl-applikazzjoni prattika tad-DPF u jqis l-iżviluppi li se jkun hemm u li huma msemmija hawn fuq. Għalhekk, f’konformità mal-Artikolu 3(4) tad-deċiżjoni ta’ adegwatezza, il-Kummissjoni se tikkonsulta lill-EDPB u lill-Kumitat stabbilit skont l-Artikolu 93(1) tar-Regolament Ġenerali dwar il-Protezzjoni tad-Data dwar dwar il-perjodiċità ta’ rieżamijiet futuri.

(1)

Id-Deċiżjoni ta’ Implimentazzjoni tal-Kummissjoni (UE) 2023/1795 tal-10 ta’ Lulju 2023 skont ir-Regolament (UE) 2016/679 tal-Parlament Ewropew u tal-Kunsill dwar il-livell adegwat ta’ protezzjoni ta’ data personali taħt l-ambitu tal-Qafas dwar il-Privatezza tad-Data UE-Stati Uniti.

(2)

Il-Kummissjoni bagħtet kwestjonarju lil disa’ NGOs (Human Rights Watch, American Civil Liberties Union, Consumer Federation of America, Center for Digital Democracy, New America Open Technology Institute, Access Now, Electronic Frontier Foundation, Electronic Privacy Information Center, Center for Democracy and Technology) li jiffoka fuq l-iżviluppi rilevanti fil-qafas legali tal-Istati Uniti, il-mekkaniżmi ta’ sorveljanza u infurzar u l-funzjonament tal-mekkaniżmi ta’ rimedju. Is-servizzi tal-Kummissjoni u r-rappreżentanti tal-EDPB iltaqgħu wkoll online ma’ dawn l-NGOs fid-9 ta’ Lulju 2024.

(3)

Il-Kummissjoni bagħtet kwestjonarju lil disa’ korpi kummerċjali (Software & Information Industry Association, U.S. Chamber of Commerce, Information Technology Industry Council, the Software Alliance, Centre for Information Policy Leadership, Interactive Advertising Bureau, United States Council for International Business, Computer and Communications Industry Association, Engine), li jiffoka fuq l-esperjenza tal-kumpaniji ċċertifikati mid-DPF, b’mod partikolari l-proċess ta’ ċertifikazzjoni, il-passi meħuda biex tintlaħaq konformità mal-Prinċipji tad-DPF, il-mekkaniżmi biex jiġu ttrattati t-talbiet u l-ilmenti mill-individwi, eċċ.

(4)

  Il-feedback riċevut jista’ jinstab fuq il-link li ġejja: https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14379-EU-US-Data-Privacy-Framework-report-of-the-Commission-on-how-the-framework-is-functioning_en .

(5)

Il-laqgħa ta’ rieżami ġiet organizzata skont is-suġġett, b’kull punt ta’ aġenda dedikat introdott minn preżentazzjoni qasira mill-awtorità rilevanti tal-Istati Uniti, mir-rappreżentant jew mill-organizzazzjoni tal-UE segwita minn sessjoni dettaljata ta’ mistoqsijiet u tweġibiet. L-“aspetti kummerċjali” tal-qafas (jiġifieri l-applikazzjoni u l-infurzar tar-rekwiżiti li japplikaw għall-kumpaniji ċċertifikati skont id-DPF) kienu koperti fl-ewwel jum, filwaqt li l-kwistjonijiet relatati mal-aċċess tal-gvern għad-data personali ġew diskussi fit-tieni jum.

(6)

Ir-rappreżentanti tal-Kummissjoni u tal-EDPB iltaqgħu fit-12 ta’ Ġunju u fl-10 ta’ Lulju 2024 biex iħejju għar-rieżami, jiddiskutu l-kontribut riċevut u jidentifikaw liema aspetti jirrikjedu ġbir ta’ informazzjoni u kjarifika addizzjonali.

(7)

It-Taqsima I.2 tal-Anness I tad-deċiżjoni ta’ adegwatezza.

(8)

L-Anness III tad-deċiżjoni ta’ adegwatezza.

(9)

Fil-perjodu ekwivalenti, 2 400 kumpanija kienu ċċertifikati taħt it-Tarka tal-Privatezza.

(10)

  https://www.dataprivacyframework.gov/program-articles/How-to-Join-the-Data-Privacy-Framework-(DPF)-Program-(part%E2%80%931) .  

(11)

  https://www.dataprivacyframework.gov/key-requirements  

(12)

Mekkaniżmi għas-soluzzjoni tat-tilwim tas-settur privat li permezz tagħhom l-ilmenti u t-tilwim ta’ kull individwu jiġu investigati u solvuti malajr mingħajr ebda spiża għall-individwu.

(13)

L-Anness I, it-Taqsima I, il-Paragrafu 3 tad-deċiżjoni ta’ adegwatezza.

(14)

Ara l-Anness III tad-deċiżjoni ta’ adegwatezza. Pereżempju jistgħu jirriżultaw asserzjonijiet foloz meta kumpanija tiddikjara li tipparteċipa fid-DPF u qatt ma tkun bdiet il-proċess ta’ ċertifikazzjoni jew tkun bdietu iżda ma tkunx spiċċatu jew tkun ħalliet liċ-ċertifikazzjoni tagħha tiskadi.

(15)

Pereżempju, fir-rigward tat-trasferimenti ulterjuri, billi tintuża l-possibbiltà skont il-Prinċipju 3(b) tad-DPF li tintalab kopja fil-qosor jew rappreżentattiva tad-dispożizzjonijiet rilevanti dwar il-privatezza tal-kuntratti għal trasferimenti ulterjuri.

(16)

Ara t-Taqsima 2.4 tad-deċiżjoni ta’ adegwatezza.

(17)

L-organizzazzjonijiet tad-DPF huma obbligati li jikkooperaw fl-investigazzjoni u fis-soluzzjoni ta’ lment minn DPA f’dak li jirrigwarda l-ipproċessar ta’ data dwar ir-riżorsi umani miġbura fil-kuntest ta’ relazzjonijiet ta’ xogħol jew meta l-organizzazzjoni rispettiva tkun ippreżentat ruħha b’mod volontarju għal sorveljanza mid-DPAs.

(18)

ANA - https://www.ana.net/content/show/id/accountability-dpf-consumers ;
BBB National Programs - https://assets.bbbprograms.org/docs/default-source/eu-privacy-shield/dpf_periodicalreport_072024.pdf ; ICDR – AAA - https://go.adr.org/rs/294-SFS-516/images/Data%20Privacy%20Framework%20IRM%20Program%20Report%202023-2024%20FINAL.pdf?version=0 ;
Insights association - https://www.insightsassociation.org/Portals/INSIGHTS/Insights%20Association%20DPF%20Services%20Program%202024%20Annual%20Report_Final_1.pdf ;

JAMS - https://www.jamsadr.com/files/Uploads/Documents/2024-Annual-Report-DPF-Cases.pdf ;
Privacy Trust DPF Services - https://privacytrust.com/fserve/PrivacyTrust_Dispute_Resolution_Report_2023_2024.pdf ;
TRUSTe Dispute Resolution - https://trustarc.com/wp-content/uploads/2024/07/2024-Independent-Recourse-Mechanism-Annual-Report.pdf ;
Verasafe - https://verasafe.com/wp-content/uploads/2020/06/VeraSafe-DPF-Dispute-Resolution-Program-Annual-Report-2024.pdf

(19)

Ftit wara d-data tal-laqgħa ta’ rieżami, is-sit web tad-DPF indika li 1 511 mill-2 892 parteċipant kellhom Awtorità għall-Protezzjoni tad-Data tal-UE bħala l-Mekkaniżmu ta’ Rikors tagħhom.

(20)

Fis-17 ta’ April 2024, l-EDPB adotta r-Regoli ta’ Proċedura għall-“Bord Informali tad-DPAs tal-UE” skont il-Qafas tal-Privatezza tad-Data UE-Stati Uniti. Dan jista’ jiġi aċċessat minn hawnhekk: https://www.edpb.europa.eu/system/files/2024-04/dpf_rules-of-procedure_informal-panel-dpas_en.pdf .  

(21)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/eu-us-data-privacy-framework-template-complaint-form_en .  

(22)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/eu-us-data-privacy-framework-faq-european-businesses_en .  

(23)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/eu-us-data-privacy-framework-faq-european-individuals_en .  

(24)

  https://go.adr.org/DPF_Arbitrator_Bios.html .  

(25)

  https://go.adr.org/rs/294-SFS-516/images/IC.DR-AAA_EU-US_DPF_AnnexI_Arbitration_Rules.pdf .

(26)

https://go.adr.org/rs/294-SFS-516/images/Code_of_Conduct_for_Arbitrators_Appointed_to_EU-US_DPF_AnnexI_Arbitrations.pdf .  

(27)

Ara eż. https://www.dataprivacyframework.gov/US-Businesses .

(28)

  https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en .

(29)

  https://www.federalregister.gov/documents/2024/03/01/2024-04573/preventing-access-to-americans-bulk-sensitive-personal-data-and-united-states-government-related .

(30)

Dawn jinkludu, kif propost mill-Avukat Ġenerali f’Avviż bil-Quddiem ta’ Tfassil ta’ Regoli Propost li nħareġ fit-3 ta’ Mejju 2024, iċ-Ċina, Kuba, Hong Kong u Macau, l-Iran, il-Korea ta’ Fuq, u l-Venezwela. Ara https://www.federalregister.gov/documents/2024/03/05/2024-04594/national-security-division-provisions-regarding-access-to-americans-bulk-sensitive-personal-data-and  

(31)

  https://www.federalregister.gov/documents/2023/11/01/2023-24283/safe-secure-and-trustworthy-development-and-use-of-artificial-intelligence .

(32)

Filwaqt li hemm differenzi f’dak li huwa maħsub bi “tfassil tal-profili” bejn l-Istati differenti, it-tfassil tal-profili huwa ġeneralment definit bħala kwalunkwe forma ta’ pproċessar awtomatizzat imwettaq fuq data personali biex jiġu evalwati, analizzati jew imbassra aspetti personali relatati mas-sitwazzjoni ekonomika, mas-saħħa, mal-preferenzi personali, mal-interessi, mal-affidabbiltà, mal-imġiba, mal-post jew mal-movimenti ta’ persuna fiżika identifikata jew identifikabbli. Normalment huma l-konsumaturi li jistgħu jagħżlu li ma jipparteċipawx fit-tfassil tal-profili. L-Istati li ġejjin żviluppaw leġiżlazzjoni dwar it-tfassil tal-profili: Colorado (Colo. Rev. Stat. Ann. § 6-1-1306), Connecticut (Conn. Gen. Stat. Ann. § 42-518), Delaware (Del. Code Ann. tit. 6, § 12D-104), Florida (Fla. Stat. Ann. § 501.705), Indiana (Ind. Code Ann. § 24-15-3-1), Kentucky (Ky. Rev. Stat. Ann. § 367.3615), Maryland (Maryland Online Data Privacy Act, ippromulgat fid-9 ta’ Mejju 2024), Minnesota (Minn. Stat. Ann. § 325O.07), Montana (Mont. Code Ann. § 30-14-2808), Nebraska (Neb. Rev. Stat. Ann. § 87-1107), New Hampshire (N.H. Rev. Stat. Ann. § 507-H:4), New Jersey (N.J. Stat. Ann. § 56:8-166.8), Oregon (Or. Rev. Stat. Ann. § 646A.574), Rhode Island (Rhode Island Data Transparency and Privacy Protection Act, ippromulgat fid-29 ta’ Ġunju 2024), Tennessee (Tenn. Code Ann. § 47-18-3304), Texas (Tex. Bus. & Com. Code Ann. § 541.051), u Virginia (Va. Code Ann. § 59.1-577).

(33)

  https://files.consumerfinance.gov/f/documents/cfpb_joint-statement-enforcement-against-discrimination-bias-automated-systems_2023-04.pdf .  

(34)

  https://www.ftc.gov/legal-library/browse/cases-proceedings/2023190-rite-aid-corporation-ftc-v .

(35)

Ara pereżempju l-Ordni reċenti tal-FTC kontra X-Mode għal Bejgħ u Kondiviżjoni ta’ Informazzjoni dwar il-Post Sensittiv ( https://www.ftc.gov/system/files/ftc_gov/pdf/X-ModeSocialDecisionandOrder.pdf ) u kontra Monument rigward Divulgazzjonijiet ta’ Data Sensittiva dwar is-Saħħa lil Partijiet Terzi għal Skopijiet ta’ Kummerċjalizzazzjoni ( https://www.ftc.gov/system/files/ftc_gov/pdf/MonumentOrderFiled.pdf ).

(36)

Pereżempju, l-FTC dan l-aħħar ħabbret investigazzjoni li twassal għal kawża kontra TikTok u l-kumpanija omm tagħha, Bytedance, talli allegatament kisru l-liġi dwar il-privatezza tat-tfal. Huwa allegat li ż-żewġ kumpaniji naqsu milli jikkonformaw mar-rekwiżit li jinnotifikaw u jiksbu l-kunsens tal-ġenituri qabel ma jiġbru u jużaw informazzjoni personali mit-tfal taħt l-età ta’ 13-il sena ( https://www.ftc.gov/news-events/news/press-releases/2024/08/ftc-investigation-leads-lawsuit-against-tiktok-bytedance-flagrantly-violating-childrens-privacy-law ).

(37)

 Ara l-ħarsa ġenerali lejn l-attivitajiet ta’ infurzar reċenti fil-pubblikazzjoni The FTC 2023 Privacy and Data Security Update: https://ec.europa.eu/commission/presscorner/detail/en/mex_24_1307 .

(38)

 Ara https://ec.europa.eu/commission/presscorner/detail/en/mex_24_1307. B’riżultat tal-laqgħa ta’ Marzu 2024, ġie deċiż li ssir serje ta’ sessjonijiet tematiċi. L-ewwel waħda saret f’Lulju 2024 u ffukat fuq l-iżvilupp ta’ għodod li jistgħu jappoġġaw lill-intrapriżi żgħar u medji biex jikkonformaw mal-liġijiet dwar il-privatezza.

(39)

Miżuri oħrajn li jistgħu jittieħdu skont l-FISA fir-rigward tad-data ttrasferita mill-UE huma sorveljanza elettronika individwalizzata (l-Artikolu 105 tal-FISA), tfittxijiet fiżiċi (l-Artikolu 302 tal-FISA), l-użu ta’ reġistraturi tan-numri jew ta’ apparati ta’ identifikazzjoni u traċċar (l-Artikolu 402 tal-FISA) u l-ġbir ta’ rekords tan-negozju minn ċerti kumpaniji (trasportaturi komuni, faċilitajiet ta’ akkomodazzjoni pubblika, faċilitajiet ta’ kiri tal-vetturi jew faċilitajiet ta’ ħżin, l-Artikolu 501 tal-FISA). Dawn il-bażijiet legali differenti huma analizzati fid-dettall fid-deċiżjoni ta’ adegwatezza (il-premessi 142-152).

(40)

Għal aktar informazzjoni ara t-taqsima 3.2.1.2 tad-deċiżjoni ta’ adegwatezza.

(41)

Dawn l-objettivi/l-iskopijiet leġittimi jinkludu, pereżempju, il-protezzjoni kontra l-ispjunaġġ, is-sabotaġġ, l-assassinju jew attivitajiet oħrajn ta’ intelligence mwettqa minn, jew f’isem, jew bl-assistenza ta’ gvern barrani, organizzazzjoni barranija jew persuna barranija; il-protezzjoni kontra t-terroriżmu, it-teħid ta’ ostaġġi, u ż-żamma ta’ individwi l-ħabs minn jew f’isem gvern barrani, organizzazzjoni barranija jew persuna barranija.

(42)

L-Artikolu 2(b)(iii) tal-EO 14086

(43)

Ara https://www.intel.gov/ic-on-the-record-database/results/oversight/1278-odni-releases-ic-procedures-implementing-new-safeguardsin-executive-order-14086 , ippubblikata fit-3 ta’ Lulju 2023.

(44)

  https://www.intelligence.gov/ic-on-the-record-database/results/1307-release-of-documents-related-to-the-2023-fisa-section-702-certifications .

(45)

Tali proċeduri jillimitaw il-ġbir ta’ data fir-rigward ta’ skop speċifiku ta’ intelligence barranija, jirrestrinġu l-aċċess għal bażijiet ta’ data li fihom tinħażen l-informazzjoni miksuba skont l-Artikolu 702 tal-FISA (inkluż permezz ta’ kontrolli tal-aċċess) u jimponu limiti fuq l-użu, iż-żamma u t-tixrid ta’ tali informazzjoni.

(46)

  https://www.intel.gov/foreign-intelligence-surveillance-act .

(47)

L-Artikolu 22 tal-RISAA.

(48)

L-Artikolu 23 tal-RISAA.

(49)

L-Artikolu 2(b)(ii)(A)(2), (3) u (10) tal-EO 14086.

(50)

L-Artikolu 25 tal-RISAA.

(51)

  https://www.justice.gov/opa/media/1348621/dl?inline . Ara d-deċiżjoni tal-FISC tal-2022 ( https://www.intel.gov/assets/documents/702%20Documents/declassified/2022-FISC-ECSP-OPINION.pdf ) u s-sentenza tal-Foreign Intelligence Surveillance Court of Review li tikkonferma dik id-deċiżjoni ( https://www.intel.gov/assets/documents/702%20Documents/declassified/2023_FISC-R_ECSP_Opinion.pdf ).

(52)

Barra minn hekk, l-RISAA introduċa xi bidliet fir-rigward tas-sorveljanza elettronika individwalizzata tradizzjonali skont l-Artikolu 105 tal-FISA (abbażi tal-mandat tal-FISC maħruġ jekk jiġi ssodisfat standard ta’ kawża probabbli). Applikazzjoni minn aġenzija tal-intelligence lill-Avukat Ġenerali għal ordni biex titwettaq sorveljanza elettronika individwalizzata issa tirrikjedi dikjarazzjoni ġuramentata li tiġġustifika l-konvinzjoni li l-kundizzjonijiet tal-Artikolu 105 tal-FISA huma ssodisfati (l-Artikolu 6(a) tal-RISAA). It-tul ta’ żmien possibbli tas-sorveljanza elettronika fir-rigward tas-setgħat barranin jew tal-aġenti tas-setgħat barranin ġie estiż minn 120 jum għal sena (l-Artikolu 6(g) tal-RISAA).

(53)

L-Artikolu 2(d) tal-RISAA.

(54)

L-Artikolu 3(a) tal-RISAA.

(55)

L-Artikolu 3(b) tal-RISAA. Meta jkun meħtieġ minħabba ċirkostanzi eżiġenti, id-Direttur tal-FBI jista’ jiddeċiedi dwar eċċezzjoni għal din id-dispożizzjoni, li għandha tiġi nnotifikata lill-Kungress.

(56)

Minħabba raġunijiet ta’ ċarezza, dawn l-emendi ma jaffettwawx l-istatus u r-rwol tal-avukati speċjali quddiem id-DPRC, kif ġie kkonfermat mill-Istati Uniti fil-laqgħa ta’ rieżami.

(57)

L-Artikolu 5(b) tal-RISAA.

(58)

L-Artikolu 18 jirrikjedi speċifikament rappreżentanza minn barra l-Kungress.

(59)

  https://www.dni.gov/files/CLPT/documents/2024_ASTR_for_CY2023.pdf .

(60)

  https://www.justice.gov/nsd/media/1350236/dl?inline .

(61)

Dawn iċ-ċifri baqgħu fil-biċċa l-kbira stabbli meta mqabbla mas-sena ta’ rapportar preċedenti (2022). Bħala paragun, fl-2022 kien hemm 317-il applikazzjoni finali mal-FISC biex jitwettqu sorveljanza elettronika u/jew tfittxijiet fiżiċi għal skopijiet ta’ intelligence barranija. L-għadd totali ta’ persuni fil-mira ta’ ordnijiet għal sorveljanza elettronika kien bejn 0 u 499. Fl-2022, l-FBI għamel 9 103 talba b’NSLs għal informazzjoni dwar persuni mhux ċittadini tal-Istati Uniti (minbarra talbiet għal informazzjoni dwar l-abbonati biss). Sors: https://irp.fas.org/agency/doj/fisa/2022rept.pdf  

(62)

  https://transparencyreport.google.com/user-data/us-national-security .

(63)

  https://transparency.meta.com/reports/government-data-requests/country/US/ .

(64)

  https://transparencyreport.google.com/user-data/us-national-security .

(65)

Ara pereżempju l-Artikolu 2.4 tal-EO 12333 dwar it-tekniki ta’ ġbir.

(66)

Ara l-premessa 40 tad-deċiżjoni ta’ adegwatezza.

(67)

Ara l-premessa 38 tad-deċiżjoni ta’ adegwatezza.

(68)

https://www.ftc.gov/news-events/news/press-releases/2024/01/ftc-order-prohibits-data-broker-x-mode-social-outlogic-selling-sensitive-location-data.

(69)

  https://www.dni.gov/files/ODNI/documents/CAI/Commercially-Available-Information-Framework-May2024.pdf . L-aġenziji tal-intelligence ilhom minn Awwissu 2024 meħtieġa jikkonformaw mal-Qafas.

(70)

Kull aġenzija tal-intelligence għandha Spettur Ġenerali li huwa legalment indipendenti u responsabbli għat-twettiq ta’ awditi u investigazzjonijiet relatati mal-attivitajiet imwettqa mill-aġenzija rispettiva għal skopijiet ta’ sigurtà nazzjonali. Dawn għandhom aċċess għall-materjal rilevanti kollu (inkluż dak ikklassifikat), jekk ikun meħtieġ b’taħrika, u jistgħu jisimgħu xhieda. L-Ispetturi Ġenerali jirreferu każijiet ta’ suspetti ta’ atti kriminali għall-prosekuzzjoni u jagħmlu rakkomandazzjonijiet għal azzjoni korrettiva lill-kapijiet tal-aġenziji. Filwaqt li r-rakkomandazzjonijiet tagħhom ma humiex vinkolanti, ir-rapporti tagħhom, inkluż dwar l-azzjoni ta’ segwitu (jew in-nuqqas tagħha) ġeneralment isiru pubbliċi u jintbagħtu lill-Kungress. Ara f’dan ir-rigward in-nota 136 f’qiegħ il-paġna tad-deċiżjoni ta’ adegwatezza dwar ir-rwol tal-Ispettur Ġenerali.

(71)

  https://oig.nsa.gov/reports/Article/3609957/semiannual-report-to-congress-1-april-2023-to-30-september-2023/ .

(72)

Il-PCLOB huwa aġenzija indipendenti fdata b’responsabbiltajiet fil-qasam tal-ġlieda kontra t-terroriżmu u l-implimentazzjoni tagħhom, bl-għan li jipproteġi l-privatezza u l-libertajiet ċivili. Dan jista’ jaċċessa l-informazzjoni rilevanti kollha (inkluża dik ikklassifikata), iwettaq intervisti u jisma’ x-xhieda. Huwa jista’ joħroġ rakkomandazzjonijiet lill-awtoritajiet tal-infurzar tal-liġi u tal-intelligence, u jirrapporta regolarment lill-Kungress u lill-President. Ir-rapporti tiegħu jsiru disponibbli għall-pubbliku kemm jista’ jkun.

(73)

  https://documents.pclob.gov/prod/Documents/EventsAndPress/834a1977-f420-4b2a-ae93-8a522b2c7c74/Trans-Atlantic%20Data%20Privacy%20Framework%20EO%20press%20release%20(FINAL)%20-%20Completed%20508%20-%2010202022.pdf .

(74)

  https://www.pclob.gov/OversightProjects/Details/1115 .

(75)

  https://documents.pclob.gov/prod/Documents/OversightReport/8ca320e5-01d3-4d6a-8106-3384aad6ff31/2023%20PCLOB%20702%20Report%20-%20Nov%2017%202023%20-%201446.pdf .

(76)

Il-Kummissjoni tinnota li xi wħud minn dawk ir-rakkomandazzjonijiet ġew inkorporati bħala parti mill-RISAA, inkluża r-rakkomandazzjoni dwar il-ġbir ta’ “abouts” jew ir-rakkomandazzjoni dwar it-tisħiħ tar-rwol tal-esperti tal-FISC (amici).

(77)

  https://www.pclob.gov/OversightProjects .

(78)

  https://documents.pclob.gov/prod/Documents/EventsAndPress/deb9cd13-12af-4250-998e-a520a2419a6b/PCLOB%20nominee%20press%20release%206-13-24.pdf .

(79)

Il-premessi 176-194 tad-deċiżjoni ta’ adegwatezza.

(80)

  https://www.justice.gov/opa/pr/attorney-general-merrick-b-garland-announces-judges-data-protection-review-court .

(81)

L-Artikolu 3(d)(A) tal-EO 14086.

(82)

  https://www.justice.gov/opcl/dprc-resources .

(83)

https://www.dni.gov/files/documents/ICD/ICD_126-Implementation-Procedures-for-SIGINT-Redress-Mechanism.pdf

(84)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/information-note-data-protection-framework-redress_en .

(85)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/template-complaint-form-us-office-director-national_en .

(86)

  https://www.edpb.europa.eu/our-work-tools/our-documents/other-guidance/rules-procedure-data-protection-framework-redress_en .

(87)

  https://www.dni.gov/files/CLPT/documents/Fact_Sheets/The_Role_of_the_ODNI_CLPO_FAQs.pdf u https://www.dni.gov/files/CLPT/documents/Fact_Sheets/Data_Privacy_Framework.pdf .