(1)

Regulamentul (UE) 2016/679 (2) stabilește normele pentru transferul de date cu caracter personal de la operatori sau persoane împuternicite de operatori din Uniune către țări terțe și organizații internaționale, în măsura în care astfel de transferuri intră în domeniul său de aplicare. Normele privind transferurile internaționale de date sunt prevăzute în capitolul V din regulamentul respectiv. Deși fluxul de date cu caracter personal către și dinspre țări situate în afara Uniunii Europene este esențial pentru dezvoltarea comerțului transfrontalier și a cooperării internaționale, nivelul de protecție conferit datelor cu caracter personal din Uniune nu trebuie să fie subminat de transferurile către țări terțe sau organizații internaționale (3).

(2)

În temeiul articolului 45 alineatul (3) din Regulamentul (UE) 2016/679, Comisia poate decide, printr-un act de punere în aplicare, că o țară terță, un teritoriu sau unul sau mai multe sectoare specificate dintr-o țară terță asigură un nivel de protecție adecvat. În astfel de condiții, transferurile de date cu caracter personal către o țară terță pot avea loc fără a fi necesar să se obțină autorizări suplimentare, astfel cum se prevede la articolul 45 alineatul (1) și în considerentul 103 din Regulamentul (UE) 2016/679.

(3)

În conformitate cu articolul 45 alineatul (2) din Regulamentul (UE) 2016/679, adoptarea unei decizii privind caracterul adecvat al nivelului de protecție trebuie să se bazeze pe o analiză cuprinzătoare a ordinii juridice a țării terțe, în ceea ce privește atât normele aplicabile importatorilor de date, cât și limitările și garanțiile referitoare la accesul autorităților publice la datele cu caracter personal. În evaluarea sa, Comisia trebuie să stabilească dacă țara terță în cauză garantează un nivel de protecție „echivalent în esență” cu cel asigurat în cadrul Uniunii [considerentul 104 din Regulamentul (UE) 2016/679]. Această situație trebuie evaluată în raport cu legislația Uniunii, în special cu Regulamentul (UE) 2016/679, precum și cu jurisprudența Curții de Justiție a Uniunii Europene („Curtea de Justiție”) (4).

(4)

Astfel cum a clarificat Curtea de Justiție în hotărârea sa din 6 octombrie 2015 în cauza C-362/14, Maximillian Schrems/Data Protection Commissioner (5) („Hotărârea Schrems”), acest lucru nu impune constatarea unui nivel de protecție identic. În special, mijloacele la care țara terță în cauză recurge pentru protecția datelor cu caracter personal pot fi diferite de cele puse în aplicare în Uniune, cu condiția ca acestea să se dovedească în practică efective în scopul de a asigura un nivel de protecție adecvat (6). Prin urmare, standardul caracterului adecvat nu necesită o reproducere punct cu punct a normelor Uniunii. Mai curând, testul constă în faptul dacă, prin fondul drepturilor la viață privată și punerea în aplicare, supravegherea și exercitarea efectivă a acestora, sistemul străin în cauză, în ansamblul său, oferă nivelul ridicat de protecție necesar (7). În plus, potrivit hotărârii respective, atunci când aplică acest standard, Comisia ar trebui să evalueze în special dacă respectivul cadru juridic al țării terțe în cauză prevede norme menite să limiteze ingerințele în drepturile fundamentale ale persoanelor ale căror date sunt transferate din Uniune, ingerințe pe care entități de stat din această țară ar fi autorizate să le practice atunci când urmăresc obiective legitime precum securitatea națională și oferă o protecție juridică eficientă împotriva ingerințelor de această natură (8). Criteriile de referință privind caracterul adecvat al nivelului de protecție ale Comitetului european pentru protecția datelor, care urmăresc să ofere clarificări suplimentare cu privire la acest standard, includ, de asemenea, orientări în acest sens (9).

(5)

Standardul aplicabil în ceea ce privește o astfel de ingerință în drepturile fundamentale la viață privată și la protecția datelor a fost clarificat suplimentar de Curtea de Justiție în hotărârea sa din 16 iulie 2020 în cauza C-311/18, Data Protection Commissioner/Facebook Ireland Limited și Maximillian Schrems („Hotărârea Schrems II”), care a declarat ca fiind nevalidă Decizia de punere în aplicare (UE) 2016/1250 a Comisiei (10) privind un cadru transatlantic anterior aferent fluxurilor de date, respectiv Scutul de confidențialitate UE-SUA. Curtea de Justiție a considerat că limitările protecției datelor cu caracter personal care decurg din reglementarea internă a Statelor Unite ale Americii privind accesul și utilizarea de către autoritățile publice americane a unor date transferate din Uniune către Statele Unite în scopuri legate de securitatea națională nu sunt circumscrise astfel încât să îndeplinească cerințe în esență echivalente cu cele prevăzute în dreptul Uniunii în ceea ce privește necesitatea și proporționalitatea acestor ingerințe în dreptul la protecția datelor (11). De asemenea, Curtea de Justiție a considerat că nu se furnizează nicio cale de atac în fața unui organ care oferă persoanelor ale căror date sunt transferate către Statele Unite garanții în esență echivalente cu cele prevăzute la articolul 47 din cartă privind dreptul la o cale de atac eficientă (12).

(6)

În urma pronunțării Hotărârii Schrems II, Comisia a inițiat discuții cu guvernul SUA pentru a se ajunge la o eventuală nouă decizie privind caracterul adecvat al nivelului de protecție care să îndeplinească respectivele cerințe prevăzute la articolul 45 alineatul (2) din Regulamentul (UE) 2016/679, astfel cum au fost interpretate de Curtea de Justiție. Ca urmare a acestor discuții, la 7 octombrie 2022, Statele Unite ale Americii au adoptat Ordinul executiv nr. 14086 – „Enhancing Safeguards for US Signals Intelligence Activities” (Consolidarea garanțiilor pentru activitățile de colectare de informații de tip SIGINT desfășurate de Statele Unite ale Americii) (OE nr. 14086), care este completat de un regulament privind Curtea de Reexaminare a Protecției Datelor (Data Protection Review Court), emis de procurorul general al SUA („Regulamentul PG”) (13). În plus, cadrul care se aplică entităților comerciale care prelucrează date transferate din Uniune în temeiul prezentei decizii – „Cadrul UE-SUA privind confidențialitatea datelor” („CCD UE-SUA” sau „CCD”) – a fost actualizat.

(7)

Comisia a analizat cu atenție legislația și practica din SUA, inclusiv OE nr. 14086 și Regulamentul PG. Pe baza constatărilor prezentate în considerentele 9-200, Comisia concluzionează că Statele Unite ale Americii asigură un nivel adecvat de protecție a datelor cu caracter personal transferate în temeiul CCD UE-SUA de la un operator sau o persoană împuternicită de operator din Uniune (14) către organizații certificate din Statele Unite ale Americii.

(8)

Prezenta decizie are drept efect posibilitatea ca transferurile de date cu caracter personal de la operatorii și persoanele împuternicite de operatori din Uniune (15) către organizații certificate din Statele Unite ale Americii să aibă loc fără a fi necesară obținerea unei autorizări suplimentare. Aceasta nu aduce atingere aplicării directe a Regulamentului (UE) 2016/679 pentru astfel de organizații în cazul în care sunt îndeplinite condițiile privind domeniul de aplicare teritorial al regulamentului respectiv, astfel cum se prevede la articolul 3.

(9)

CCD UE-SUA se bazează pe un sistem de certificare prin care organizațiile din SUA se angajează să respecte un set de principii privind protecția vieții private – Principiile cadrului privind scutul de confidențialitate UE-SUA, inclusiv principiile suplimentare (denumite în continuare, împreună: „Principiile”), emise de Departamentul Comerțului al SUA și enunțate în anexa II la prezenta decizie (16). Pentru a fi eligibilă pentru certificare în temeiul CCD UE-SUA, o organizație trebuie să facă obiectul competențelor de investigare și de asigurare a respectării legii ale Comisiei Federale pentru Comerț (FTC) (Federal Trade Commission) sau ale Departamentului Transporturilor al SUA (DoT) (Department of Transportation) (17). Principiile se aplică imediat după certificare. Astfel cum se explică mai detaliat în considerentele 48-52, organizațiile CCD UE-SUA trebuie să își recertifice anual adeziunea la aceste principii (18).

(10)

Protecția conferită de CCD UE-SUA se aplică oricăror date cu caracter personal transferate din Uniune către organizații din SUA care și-au certificat adeziunea la principii față de DoC, cu excepția datelor colectate în vederea publicării, a difuzării sau a comunicării publice prin alte forme a materialelor jurnalistice și a informațiilor din materiale publicate anterior și diseminate din arhive mass-media (19). Prin urmare, astfel de informații nu pot fi transferate în baza CCD UE-SUA.

(11)

Principiile definesc datele cu caracter personal/informațiile cu caracter personal în același mod precum Regulamentul (UE) 2016/679, și anume drept „informații referitoare la o persoană identificată sau identificabilă care intră în domeniul de aplicare al RGPD, primite de o organizație din Statele Unite din Uniunea Europeană și înregistrate sub orice formă” (20). În consecință, acestea vizează, de asemenea, datele pseudonimizate (sau „codificate”) provenite cercetare (inclusiv în cazul în care codul de acces nu este comunicat organizației destinatare din SUA) (21). În mod similar, noțiunea de „prelucrare” este definită ca „orice operațiune sau set de operațiuni care se efectuează asupra datelor cu caracter personal, cu sau fără utilizarea de mijloace automatizate, precum colectarea, înregistrarea, organizarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea sau diseminarea, ștergerea sau distrugerea” (22).

(12)

CCD UE-SUA se aplică organizațiilor din SUA care se califică drept operatori (și anume o persoană sau o organizație care, singură sau împreună cu alte persoane, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal) (23) sau persoane împuternicite de operatori (și anume agenți care acționează în numele unui operator) (24). Persoanele împuternicite de operatori din SUA trebuie să fie obligate prin contract să acționeze numai la instrucțiunile operatorului din UE și să îi furnizeze asistență acestuia pentru a le răspunde persoanelor care își exercită drepturile în conformitate cu principiile (25). În plus, în cazul subcontractării serviciilor de prelucrare a datelor, o persoană împuternicită de operator trebuie să încheie cu subcontractantul un contract care să asigure același nivel de protecție în conformitate cu principiile și să ia măsuri pentru a asigura punerea în aplicare corespunzătoare a acestuia (26).

(13)

Datele cu caracter personal ar trebui prelucrate în mod legal și echitabil. Acestea ar trebui colectate într-un scop anume și utilizate ulterior numai în măsura în care acest lucru nu este incompatibil cu scopul prelucrării.

(14)

În temeiul CCD UE-SUA, acest lucru este asigurat prin intermediul unor principii diferite. În primul rând, în temeiul principiului integrității datelor și al limitării scopului, la fel ca în temeiul articolului 5 alineatul (1) litera (b) din Regulamentul (UE) 2016/679, o organizație nu poate prelucra date cu caracter personal într-un mod incompatibil cu scopul în care acestea au fost colectate inițial sau cu scopul aprobat ulterior de persoana vizată (27).

(15)

În al doilea rând, înainte de a utiliza date cu caracter personal într-un scop nou (modificat) care diferă în mod semnificativ de scopul inițial, dar rămâne, totuși, compatibil cu acesta sau de a le divulga unei părți terțe, organizația trebuie să ofere persoanelor vizate posibilitatea de a se opune unei astfel de operațiuni (de a o refuza), în conformitate cu principiul opțiunii (28), printr-un mecanism clar, vizibil și ușor accesibil. Este important de remarcat că acest principiu nu înlocuiește interdicția explicită privind prelucrarea incompatibilă (29).

(16)

În cazul în care sunt prelucrate „categorii speciale” de date, ar trebui să existe garanții specifice.

(17)

În conformitate cu principiul opțiunii, se aplică garanții specifice prelucrării „informațiilor sensibile”, și anume a datelor privind dosarul medical sau starea de sănătate a unei persoane, originea rasială sau etnică, opiniile politice, credințele religioase sau convingerile filosofice, apartenența sindicală, viața sexuală a persoanei respective sau a oricăror alte informații primite de la o parte terță care sunt identificate și tratate de partea respectivă ca fiind sensibile (30). Aceasta înseamnă că orice date care sunt considerate sensibile în temeiul legislației Uniunii privind protecția datelor (inclusiv datele privind orientarea sexuală, datele genetice și datele biometrice) vor fi tratate ca informații sensibile în temeiul CCD UE-SUA de către organizațiile certificate.

(18)

Ca regulă generală, organizațiile trebuie să obțină consimțământul explicit al persoanelor (și anume acordul acestora) pentru a utiliza informații sensibile în alte scopuri decât cele în care au fost colectate inițial acestea sau cele aprobate ulterior de către persoana respectivă (prin acordul exprimat) sau pentru a le divulga unor părți terțe (31).

(19)

Un astfel de consimțământ nu trebuie obținut în circumstanțe limitate similare excepțiilor comparabile prevăzute în temeiul legislației Uniunii privind protecția datelor, de exemplu, în cazul în care prelucrarea de date sensibile este în interesul vital al unei persoane, este necesară pentru stabilirea unui drept în instanță sau este necesară în vederea acordării îngrijirii medicale sau a stabilirii unui diagnostic (32).

(20)

Datele ar trebui să fie exacte și, dacă este necesar, actualizate. De asemenea, acestea ar trebui să fie adecvate, relevante și neexcesive în raport cu scopurile în care sunt prelucrate și, în principiu, păstrate pe o perioadă care nu depășește perioada necesară atingerii scopurilor în care sunt prelucrate datele cu caracter personal.

(21)

În conformitate cu principiul integrității datelor și al limitării scopului (33), datele cu caracter personal trebuie limitate la ceea ce este pertinent în scopul prelucrării. În plus, în măsura în care acest lucru este necesar în scopul prelucrării, organizațiile trebuie să ia măsuri rezonabile pentru a asigura fiabilitatea datelor cu caracter personal în raport cu utilizarea preconizată, precum și acuratețea, exhaustivitatea și actualitatea acestora.

(22)

În plus, informațiile cu caracter personal pot fi păstrate într-o formă care identifică o persoană sau permite identificarea sa (așadar, sub formă de date cu caracter personal) (34) numai atât timp cât aceasta servește atingerii scopului (scopurilor) în care au fost colectate inițial informațiile sau a scopului (scopurilor) aprobat(e) ulterior de persoana în cauză în temeiul principiului opțiunii. Această obligație nu împiedică organizațiile să continue să prelucreze informații cu caracter personal pe perioade mai lungi, însă numai pe perioada și în măsura în care o astfel de prelucrare servește în mod rezonabil atingerii unuia dintre următoarele scopuri specifice similare excepțiilor comparabile prevăzute în legislația Uniunii privind protecția datelor legate de: arhivarea în interes public, jurnalism, literatură și artă, cercetarea științifică și istorică și analiza statistică (35). În cazul în care datele cu caracter personal sunt păstrate în unul dintre aceste scopuri, prelucrarea lor face obiectul garanțiilor prevăzute de principii (36).

(23)

De asemenea, datele cu caracter personal ar trebui prelucrate într-un mod care să le asigure securitatea, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale. În acest scop, operatorii și persoanele împuternicite de operatori ar trebui să ia măsurile tehnice sau organizatorice adecvate pentru a proteja datele cu caracter personal împotriva eventualelor amenințări. Aceste măsuri ar trebui evaluate luând în considerare stadiul actual al tehnologiei, costurile aferente și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscurile la adresa drepturilor persoanelor.

(24)

În temeiul CCD UE-SUA, acest lucru este asigurat de principiul securității, care impune, în mod similar celor prevăzute la articolul 32 din Regulamentul (UE) 2016/679, să se adopte măsuri de securitate rezonabile și adecvate, ținând seama de riscurile implicate în prelucrarea datelor și de natura acestora (37).

(25)

Persoanele vizate ar trebui să fie informate cu privire la principalele caracteristici ale prelucrării datelor cu caracter personal ale acestora.

(26)

Acest lucru este asigurat prin principiul notificării (38), care, în mod similar cerințelor de transparență prevăzute în Regulamentul (UE) 2016/679, impune organizațiilor să informeze persoanele vizate, printre altele, cu privire la (i) participarea organizației la CCD, (ii) tipul de date colectate, (iii) scopul prelucrării, (iv) tipul sau identitatea părților terțe cărora le pot fi divulgate datele cu caracter personal și scopurile divulgării respective, (v) drepturile lor individuale, (vi) modul de contactare a organizației și (vii) modalitățile de recurs disponibile.

(27)

Această notificare trebuie formulată într-un limbaj clar și lizibil și trebuie comunicată persoanelor în cauză atunci când acestora li se solicită pentru prima dată să furnizeze datele cu caracter personal sau cât mai curând posibil după aceasta, dar, în orice caz, înainte ca datele să fie folosite într-un scop care diferă în mod semnificativ de cel în care au fost colectate (dar care este compatibil cu acesta) sau înainte să fie divulgate unei părți terțe (39).

(28)

În plus, organizațiile trebuie să își facă publice politicile de confidențialitate care reflectă principiile (sau, în cazul datelor privind resursele umane, să le pună la dispoziția persoanelor în cauză) și să furnizeze linkuri către site-ul web al DoC (cu detalii suplimentare privind certificarea, drepturile persoanelor vizate și mecanismele de recurs disponibile), către lista organizațiilor participante la Cadrul privind confidențialitatea datelor („lista CCD”) și către site-ul web al unui furnizor corespunzător de servicii de soluționare alternativă a litigiilor (40).

(29)

Persoanele vizate ar trebui să aibă anumite drepturi care pot fi impuse operatorului sau persoanei împuternicite de operator, în special dreptul de acces la date, dreptul de a se opune prelucrării și dreptul la rectificarea și ștergerea datelor.

(30)

Principiul accesului (41) aferent CCD UE-SUA oferă persoanelor astfel de drepturi. În special, fără necesitatea unei justificări în acest sens, persoanele vizate au dreptul să obțină din partea unei organizații confirmarea că aceasta prelucrează date cu caracter personal care le privesc, să li se comunice datele respective și să obțină informații cu privire la scopul prelucrării, categoriile de date cu caracter personal care sunt prelucrate și (categoriile de) destinatari cărora le sunt divulgate datele (42). Organizațiile au obligația de a răspunde cererilor de acces într-un termen rezonabil (43). O organizație poate stabili limite rezonabile ale numărului de cereri de acces depuse de o anumită persoană într-o perioadă de timp dată la care va răspunde și poate percepe o taxă care să nu fie excesivă, de exemplu, în situația în care cererile sunt în mod evident excesive, în special ca urmare a caracterului lor repetitiv (44).

(31)

Dreptul de acces poate fi restricționat numai în împrejurări excepționale similare celor prevăzute de legislația Uniunii privind protecția datelor, în special în cazul în care ar fi încălcate drepturile legitime ale terților, în cazul în care dificultatea sau costurile ocazionate de acordarea dreptului de acces ar fi disproporționată (disproporționate) în raport cu riscurile la adresa vieții private a persoanei în circumstanțele respective (deși costurile și dificultatea aferente acordării accesului nu au un rol decisiv în stabilirea caracterului rezonabil al accesului), în măsura în care divulgarea acestora poate aduce atingere unor importante interese publice, cum ar fi securitate națională, apărarea sau siguranța publică, în cazul în care informațiile respective conțin informații comerciale confidențiale sau informațiile sunt prelucrate exclusiv în scopuri statistice sau de cercetare (45). Orice refuz sau limitare a dreptului trebuie să fie necesar(ă) și justificat(ă) în mod corespunzător, organizației revenindu-i sarcina de a demonstra că aceste cerințe sunt îndeplinite (46). La efectuarea aprecierii respective, organizația trebuie să țină seama în special de interesele individului (47). În situațiile în care este posibilă separarea informațiilor de alte date cărora li se aplică o restricție, organizația trebuie să omită informațiile protejate și să divulge restul informațiilor (48).

(32)

De asemenea, persoanele vizate au dreptul de a obține rectificarea sau modificarea datelor inexacte și de a obține ștergerea datelor care au fost prelucrate cu încălcarea principiilor (49). În plus, astfel cum se explică în considerentul 15, persoanele au dreptul de a se opune prelucrării datelor lor în scopuri care diferă în mod semnificativ de cele în care au fost colectate datele (dar care sunt compatibile cu acestea) și divulgării datelor lor către părți terțe, respectiv de a refuza o astfel de prelucrare și divulgare. Atunci când datele cu caracter personal sunt utilizate în scopuri de marketing direct, persoanele au dreptul general de a renunța în orice moment la prelucrarea acestora (50).

(33)

Principiile nu abordează în mod specific deciziile care afectează persoana vizată bazate exclusiv pe prelucrarea automată a datelor cu caracter personal. Cu toate acestea, în ceea ce privește datele cu caracter personal care au fost colectate în Uniune, orice decizie bazată pe prelucrarea automată va fi luată, de regulă, de către operatorul din Uniune (care are o relație directă cu persoana vizată în cauză) și, prin urmare, intră sub incidența directă a Regulamentului (UE) 2016/679 (51). Această situație include scenarii de transfer în care prelucrarea este efectuată de un operator economic din străinătate (de exemplu, din SUA) care acționează ca agent (persoană împuternicită de operator) în numele operatorului din Uniune (sau în calitate de subcontractant care acționează în numele persoanei împuternicite de operator din Uniune, care a primit datele de la un operator din Uniune care le-a colectat), care, pe această bază, ia decizia respectivă.

(34)

Acest lucru a fost confirmat de un studiu comandat de Comisie în 2018 în contextul celei de a doua revizuiri anuale a funcționării Scutului de confidențialitate (52), care a concluzionat că, la momentul respectiv, nu existau dovezi care să sugereze că, în mod normal, organizațiile care au aderat la Scutul de confidențialitate desfășurau un proces decizional automatizat pe baza datelor cu caracter personal transferate în temeiul Scutului de confidențialitate.

(35)

În orice caz, în domeniile în care întreprinderile recurg, cel mai probabil, la prelucrarea automată a datelor cu caracter personal pentru a lua decizii care afectează persoanele (de exemplu, creditare, oferte de credite ipotecare, ocuparea forței de muncă, locuințe și asigurări), legislația SUA oferă măsuri specifice de protecție împotriva deciziilor nefavorabile (53). Aceste acte legislative prevăd, de regulă, că persoanele au dreptul de a fi informate cu privire la motivele specifice care au stat la baza deciziei (de exemplu, refuzarea unui credit), de a contesta informațiile incomplete sau inexacte (precum și faptul că decizia s-a bazat pe factori ilegali) și de a exercita căi de atac împotriva deciziei nefavorabile. În domeniul creditelor de consum, Legea privind raportarea echitabilă a creditelor (Fair Credit Reporting Act) (FCRA) și Legea privind egalitatea de șanse în materie de credit (Equal Credit Opportunity Act) (ECOA) conțin garanții care oferă consumatorilor, într-o anumită formă, dreptul la explicații și dreptul de a contesta decizia. Aceste acte legislative sunt relevante într-o gamă largă de domenii, inclusiv în domeniul creditării, al ocupării forței de muncă, al locuințelor și al asigurărilor. În plus, anumite legi împotriva discriminării, cum ar fi titlul VII din Legea privind drepturile civile (Civil Rights Act) și Legea privind egalitatea de șanse în materie de locuințe (Fair Housing Act), oferă protecție persoanelor în ceea ce privește modelele utilizate în procesul decizional automatizat care ar putea conduce la discriminare pe baza anumitor caracteristici și acordă persoanelor dreptul de a contesta astfel de decizii, inclusiv deciziile automatizate. În ceea ce privește informațiile în materie de sănătate, Legea privind portabilitatea și răspunderea în materie de asigurări de sănătate (Health Insurance Portability and Accountability Act) (HIPAA) creează anumite drepturi similare celor prevăzute în Regulamentul (UE) 2016/679 în ceea ce privește accesul la informațiile cu caracter personal privind sănătatea. În plus, orientările din partea autorităților SUA impun furnizorilor de servicii medicale să primească informații care să le permită să informeze persoanele cu privire la sistemele aferente proceselor decizionale automatizate din sectorul medical (54).

(36)

Prin urmare, aceste norme oferă măsuri de protecție similare celor prevăzute în legislația Uniunii privind protecția datelor în situația improbabilă a luării unor decizii automatizate de către o organizație CCD UE-SUA.

(37)

Nivelul de protecție conferit datelor cu caracter personal transferate din Uniune către organizații din Statele Unite ale Americii nu trebuie să fie subminat de transferul ulterior al acestor date către un destinatar din Statele Unite ale Americii sau dintr-o altă țară terță.

(38)

În temeiul principiului responsabilității pentru transferurile ulterioare (55), se aplică norme speciale pentru așa-numitele „transferuri ulterioare”, și anume pentru transferurile de date cu caracter personal de la o organizație CCD UE-SUA către o parte terță care este operator sau persoana împuternicită de operator, indiferent dacă aceasta din urmă este situată în Statele Unite ale Americii sau într-o țară terță față de Statele Unite ale Americii (și față de Uniune). Orice transfer ulterior poate avea loc (i) numai în scopuri limitate și specificate, (ii) pe baza unui contract încheiat între organizația CCD UE-SUA și partea terță (56) (sau a unui acord asemănător în cadrul unui grup de întreprinderi (57)) și (iii) numai în cazul în care contractul respectiv îi impune părții terțe în cauză să asigure același nivel de protecție precum cel garantat de principii.

(39)

Această obligație de a oferi același nivel de protecție precum cel garantat de principii, coroborată cu principiul integrității datelor și al limitării scopului înseamnă, în special, că partea terță poate prelucra doar informațiile cu caracter personal transmise în scopuri care nu sunt incompatibile cu scopurile în care au fost colectate inițial informațiile sau cu scopurile aprobate ulterior de persoana în cauză (în conformitate cu principiul opțiunii).

(40)

Principiul responsabilității pentru transferurile ulterioare ar trebui, de asemenea, coroborat cu principiul notificării și, în cazul unui transfer ulterior către un operator terț (58), cu principiul opțiunii, potrivit căruia persoanele vizate trebuie să fie informate, printre altele, cu privire la tipul/identitatea oricărui destinatar terț, la scopul transferului ulterior și la opțiunile oferite, acestea putându-se opune transferului ulterior respectiv (putându-l refuza) sau, în cazul datelor sensibile, trebuind să își dea „consimțământului explicit” (acordul) în ceea ce privește transferul ulterior respectiv.

(41)

Obligația de a oferi același nivel de protecție precum cel impus de principii se aplică oricăreia și fiecăreia dintre părțile terțe implicate în prelucrarea datelor astfel transferate, indiferent de locul în care se află (în SUA sau într-o altă țară terță), precum și în cazul în care destinatarul terț inițial transferă el însuși datele respective către un alt destinatar terț, de exemplu, în scopuri de subcontractare a serviciilor de prelucrare a datelor.

(42)

În toate cazurile, contractul cu destinatarul terț trebuie să prevadă că acesta din urmă va transmite o notificare organizației CCD UE-SUA dacă ajunge la concluzia că nu mai poate îndeplini această obligație. În cazul în care se ajunge la o astfel de concluzie, prelucrarea de către partea terță respectivă trebuie să înceteze sau trebuie luate alte măsuri rezonabile și adecvate pentru a remedia situația (59).

(43)

În cazul unui transfer ulterior către un agent terț (și anume o persoană împuternicită de operator), se aplică măsuri de protecție suplimentare. În acest caz, organizația din SUA trebuie să se asigure că agentul acționează numai pe baza instrucțiunilor sale și să ia măsuri rezonabile și adecvate (i) pentru a se asigura că agentul prelucrează efectiv informațiile cu caracter personal transferate într-un mod compatibil cu obligațiile care îi revin organizației în temeiul principiilor și (ii) pentru a opri și a remedia prelucrarea neautorizată, în urma notificării (60). DoC poate solicita organizației respective să furnizeze un rezumat sau o copie reprezentativă a dispozițiilor privind confidențialitatea incluse în contract (61). În cazul în care apar probleme legate de conformitate de-a lungul lanțului de (sub)contractare a serviciilor de prelucrare, organizația care acționează în calitate de operator de date cu caracter personal va fi, în principiu, organizația responsabilă, astfel cum prevede principiul recursului, al punerii în aplicare și al răspunderii, cu excepția situației în care dovedește că nu este responsabilă pentru fapta care a provocat prejudiciul (62).

(44)

Conform principiului responsabilității, entităților care prelucrează date li se solicită să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a-și respecta în mod efectiv obligațiile în materie de protecție a datelor și pentru a putea demonstra această conformitate, în special autorității de supraveghere competente.

(45)

Odată ce o organizație a decis în mod voluntar să se certifice (63) în temeiul CCD UE-SUA, respectarea efectivă a principiilor este obligatorie și executorie. În temeiul principiului recursului, al punerii în aplicare și al răspunderii (64), organizațiile CCD UE-SUA trebuie să ofere mecanisme eficace pentru a asigura respectarea principiilor. De asemenea, organizațiile trebuie să ia măsuri pentru a verifica (65) dacă politicile lor de confidențialitate sunt conforme cu principiile și sunt respectate efectiv. Acest lucru se poate realiza fie prin intermediul unui sistem de autoevaluare, care trebuie să includă proceduri interne care garantează că angajații beneficiază de formare privind punerea în aplicare a politicilor de confidențialitate ale organizației și că gradul de respectare este revizuit periodic în mod obiectiv sau prin intermediul unor evaluări externe ale conformității, metode care pot include auditul, verificările aleatorii sau utilizarea instrumentelor tehnologice.

(46)

În plus, organizațiile trebuie să păstreze evidențe privind punerea în aplicare a practicilor lor aferente CCD UE-SUA și să le pună la dispoziție, la cerere, organismului independent de soluționare a litigiilor sau autorității competente de aplicare a legii în contextul unei investigații sau al unei plângeri referitoare la o situație de neconformitate (66).

(47)

CCD UE-SUA va fi gestionat de DoC. Cadrul prevede mecanisme de supraveghere și de asigurare a respectării legii, menite să verifice și să asigure faptul că organizațiile CCD UE-SUA respectă principiile și că orice încălcare este remediată. Aceste mecanisme sunt prezentate în cadrul principiilor (anexa I) și al angajamentelor asumate de DoC (anexa III), de FTC (anexa IV) și de DoT (anexa V).

(48)

Pentru a se certifica în temeiul CCD UE-SUA (sau pentru a se recertifica anual), organizațiile trebuie să își declare în mod public angajamentul de a respecta principiile, să își pună la dispoziție politicile de confidențialitate și să le pună pe deplin în aplicare (67). În cadrul cererii lor de (re)certificare, organizațiile trebuie să transmită DoC informații privind, printre altele, numele organizației relevante, o descriere a scopurilor în care organizația va prelucra datele cu caracter personal, datele cu caracter personal care vor face obiectul certificării, precum și metoda de verificare aleasă, mecanismul independent de recurs relevant și organismul statutar care are competența de a asigura respectarea principiilor (68).

(49)

Organizațiile pot primi date cu caracter personal în baza CCD UE-SUA de la data la care sunt incluse pe lista CCD de către DoC. Pentru a asigura securitatea juridică și pentru a evita „declarațiile false”, organizațiilor care se certifică pentru prima dată nu le este permis să facă publică adeziunea acestora la principii înainte ca DoC să fi stabilit că respectiva cerere de certificare a organizației este completă și să fi adăugat organizația pe lista CCD (69). Pentru a avea în continuare dreptul să beneficieze de CCD UE-SUA pentru a primi date cu caracter personal din Uniune, astfel de organizații trebuie să își recertifice anual participarea la cadru. Atunci când o organizație părăsește CCD UE-SUA, indiferent de motiv, aceasta trebuie să elimine toate declarațiile care implică faptul că organizația participă în continuare la cadru (70).

(50)

Astfel cum se reflectă în angajamentele prevăzute în anexa III, DoC va verifica dacă organizațiile îndeplinesc toate cerințele de certificare și dacă au instituit o politică (publică) de confidențialitate care să conțină informațiile necesare în temeiul principiului notificării (71). Pe baza experienței acumulate în procesul de (re)certificare în temeiul Scutului de confidențialitate, DoC va efectua o serie de verificări, inclusiv pentru a stabili dacă politicile de confidențialitate ale organizațiilor conțin un hyperlink către formularul de plângere corect de pe site-ul web al mecanismului relevant de soluționare a litigiilor și, atunci când mai multe entități și filiale ale unei organizații sunt incluse într-o cerere de certificare, dacă politicile de confidențialitate ale fiecăreia dintre aceste entități îndeplinesc cerințele de certificare și dacă sunt ușor accesibile persoanelor vizate (72). În plus, atunci când este necesar, DoC va efectua verificări încrucișate cu FTC și DoT pentru a stabili dacă organizațiile se supun autorității organismului de supraveghere identificat în cererile lor de (re)certificare și va colabora cu organisme de soluționare alternativă a litigiilor pentru a stabili dacă organizațiile sunt înregistrate în ceea ce privește mecanismul independent de recurs identificat în cererea lor de (re)certificare (73).

(51)

DoC va informa organizațiile că, pentru a finaliza (re)certificarea, acestea trebuie să abordeze toate problemele identificate în cursul revizuirii sale. În cazul în care o organizație nu răspunde într-un interval de timp stabilit de DoC (de exemplu, în ceea ce privește recertificarea, se așteaptă ca procesul să fie finalizat în termen de 45 de zile) (74) sau în cazul în care nu își finalizează certificarea, se va considera că s-a renunțat la cererea respectivă. În acest caz, orice declarație falsă cu privire la participarea la CCD UE-SUA sau la respectarea acestuia poate face obiectul unei măsuri de asigurare a respectării legii luate de FTC sau DoT (75).

(52)

Pentru a asigura aplicarea corespunzătoare a CCD UE-SUA, părțile interesate, cum ar fi persoanele vizate, exportatorii de date și autoritățile naționale pentru protecția datelor (APD), trebuie să poată identifica organizațiile care aderă la principii. Pentru a asigura o astfel de transparență la „punctul de intrare”, DoC s-a angajat să mențină și să pună la dispoziția publicului o listă a organizațiilor care și-au certificat adeziunea la principii și care intră sub jurisdicția a cel puțin uneia dintre autoritățile de aplicare a legii enumerate în anexele IV și V la prezenta decizie (76). DoC va actualiza lista pe baza cererii de recertificare depuse anual de o organizație și ori de câte ori o organizație se retrage sau este eliminată din CCD UE-SUA. În plus, pentru a garanta transparența și la „punctul de ieșire”, DoC va menține și va pune la dispoziția publicului un registru al organizațiilor care au fost eliminate de pe listă, în fiecare caz identificând motivul aflat la baza unei astfel de măsuri (77). În cele din urmă, acesta va furniza un link către pagina web a FTC aferentă CCD UE-SUA, unde se vor regăsi măsurile de asigurare a respectării legii adoptate de FTC în temeiul cadrului (78).

(53)

DoC va monitoriza în permanență respectarea efectivă a principiilor de către organizațiile CCD UE-SUA prin diferite mecanisme (79). În special, acesta va efectua „controale prin sondaj” asupra unor organizații selectate aleatoriu, precum și controale prin sondaj ad-hoc asupra unor organizații specifice atunci când sunt identificate posibile probleme de conformitate (de exemplu, aspecte sesizate DoC de către părți terțe) pentru a verifica dacă (i) punctul (punctele) de contact pentru gestionarea plângerilor și a cererilor persoanelor vizate este (sunt) disponibil(e) și oferă răspunsuri la acestea, (ii) politica de confidențialitate a organizației este ușor accesibilă, atât pe site-ul său web, cât și prin intermediul unui hyperlink existent pe site-ul web al DoC, (iii) politica de confidențialitate a organizației continuă să respecte cerințele de certificare și (iv) mecanismul independent de soluționare a litigiilor ales de organizații este disponibil pentru gestionarea plângerilor (80).

(54)

În cazul în care există dovezi credibile că o organizație nu își respectă angajamentele asumate în temeiul CCD UE-SUA (inclusiv în cazul în care DoC primește plângeri sau organizația nu răspunde în mod satisfăcător la solicitările de informații înaintate de DoC), DoC va solicita organizației să completeze și să transmită un chestionar detaliat (81). În cazul în care o organizație nu răspunde în mod satisfăcător și în timp util la chestionarul respectiv, se va transmite o sesizare în acest sens autorității relevante (FTC sau DoT) pentru impunerea unor eventuale măsuri de asigurare a respectării legii (82). În cadrul activităților sale de monitorizare a conformității în temeiul Scutului de confidențialitate, DoC a efectuat periodic controalele prin sondaj menționate în considerentul 53 și a monitorizat în permanență relatările publice, ceea ce i-a permis să identifice, să abordeze și să soluționeze problemele de conformitate (83). Organizațiile care încalcă în mod sistematic principiile vor fi eliminate de pe lista CCD și trebuie să returneze sau să șteargă datele cu caracter personal primite în temeiul cadrului (84).

(55)

În alte cazuri de eliminare, precum retragerea voluntară sau lipsa recertificării, organizația fie trebuie să șteargă sau să returneze datele, fie poate să le păstreze, cu condiția să declare anual DoC angajamentul de a continua să aplice principiile sau să ofere o protecție adecvată a datelor cu caracter personal prin alte mijloace autorizate (de exemplu, aplicând un contract care să reflecte pe deplin cerințele clauzelor contractuale standard relevante aprobate de către Comisie) (85). În acest caz, o organizație trebuie, de asemenea, să identifice un punct de contact în cadrul organizației pentru toate întrebările legate de CCD UE-SUA.

(56)

DoC va monitoriza orice declarații false de participare la CCD UE-SUA sau utilizarea necorespunzătoare a mărcii de certificare aferente CCD UE-SUA, atât din oficiu, cât și pe baza plângerilor primite (de exemplu, de la APD) (86). În special, DoC va verifica în permanență dacă organizațiile care (i) se retrag din CCD UE-SUA, (ii) nu finalizează procesul de recertificare anuală (și anume fie au început, dar nu au finalizat procesul de recertificare anuală în timp util, fie nici măcar nu au început procesul de recertificare anuală), (iii) sunt eliminate ca participant, în special pentru o „încălcare sistematică” sau (iv) nu finalizează o certificare inițială (și anume au început, dar nu au finalizat procesul de certificare inițială în timp util) elimină din orice politică de confidențialitate relevantă publicată trimiterile la CCD UE-SUA care implică faptul că organizația participă activ la cadru (87). De asemenea, DoC va efectua căutări pe internet pentru a identifica trimiteri la CCD UE-SUA în politicile de confidențialitate ale organizațiilor, inclusiv pentru a identifica declarațiile false ale organizațiilor care nu au participat niciodată la CCD UE-SUA (88).

(57)

În cazul în care constată că trimiterile la CCD UE-SUA nu au fost eliminate sau sunt utilizate în mod necorespunzător, DoC va informa organizația în cauză cu privire la o posibilă sesizare a FTC/DoT (89). În cazul în care o organizație nu răspunde în mod satisfăcător, DoC va sesiza agenția relevantă în vederea impunerii unor eventuale măsuri de asigurare a respectării legii (90). Orice declarație falsă adresată publicului larg de către o organizație cu privire la adeziunea la principii sub forma unor afirmații sau practici înșelătoare poate fi sancționată de către FTC, DoT sau alte autorități relevante de aplicare a legii din SUA. Declarațiile false adresate DoC pot fi sancționate în temeiul Legii privind declarațiile false (False Statements Act) (titlul 18 articolul 1001din U.S.C.)

(58)

Pentru a asigura în practică un nivel adecvat de protecție a datelor, ar trebui instituită o autoritate de supraveghere independentă, care să aibă competența de a monitoriza și de a asigura respectarea normelor de protecție a datelor.

(59)

Organizațiile CCD UE-SUA trebuie să se afle sub jurisdicția autorităților competente din SUA – FTC și DoT – care dispun de competențele necesare de investigare și de asigurare a respectării legii pentru a asigura respectarea efectivă a principiilor (91).

(60)

FTC este o autoritate independentă compusă din cinci comisari, care sunt numiți de președinte, cu avizul și acordul Senatului (92). Comisarii sunt numiți pentru un mandat de șapte ani și pot fi revocați din funcție numai de către președinte pentru ineficiență, neglijență sau practici ilicite în serviciu. FTC nu poate include mai mult de trei comisari din cadrul aceluiași partid politic și, în timpul mandatului lor, comisarii nu pot să desfășoare alte activități comerciale, profesionale sau salariale.

(61)

FTC poate investiga respectarea principiilor, precum și declarațiile false de adeziune la principii sau de participare la CCD UE-SUA emise de către organizații care fie nu se mai află pe lista CCD, fie nu s-au certificat niciodată (93). FTC poate asigura conformitatea prin solicitarea unor ordine judecătorești federale sau administrative (inclusiv a unor „ordonanțe prin consimțământ” obținute prin intermediul tranzacțiilor) (94) cu caracter preliminar sau definitiv sau de stabilire a altor măsuri reparatorii și va monitoriza în mod sistematic respectarea acestor ordine (95). În cazul în care organizațiile nu respectă aceste ordine, FTC poate solicita sancțiuni civile și alte măsuri reparatorii, inclusiv pentru orice prejudiciu cauzat de comportamentul ilicit. Fiecare ordonanță prin consimțământ adresată unei organizații CCD UE-SUA va include dispoziții de autoraportare (96), iar organizațiile vor trebui să facă publice toate secțiunile relevante cu privire la CCD UE-SUA din orice raport de conformitate sau de evaluare transmis către FTC. În sfârșit, FTC va menține o listă online a organizațiilor care fac obiectul unor ordine ale FTC sau al unor ordine judecătorești în cazuri care vizează CCD UE-SUA (97).

(62)

În ceea ce privește Scutul de confidențialitate, FTC a luat măsuri de asigurare a respectării legii în aproximativ 22 de cazuri, atât în ceea ce privește încălcarea cerințelor specifice ale cadrului (de exemplu, nedeclararea în fața DoC a faptului că organizația a continuat să aplice măsurile de protecție prevăzute de Scutul de confidențialitate după ce a părăsit cadrul, neverificarea, printr-o autoevaluare sau printr-o evaluare externă a conformității, dacă organizația a respectat cadrul) (98), cât și în ceea ce privește declarațiile false de participare la cadrul respectiv (de exemplu, ale organizațiilor care nu au finalizat etapele necesare pentru a obține certificarea sau au permis expirarea certificării lor, însă care au dat declarații false cu privire la participarea în continuare la cadru) (99). Această măsură de asigurare a respectării legii a rezultat, printre altele, din utilizarea proactivă a citațiilor administrative pentru a obține materiale de la anumiți participanți la Scutul de confidențialitate cu scopul de a verifica dacă există încălcări de fond ale obligațiilor asumate în temeiul Scutului de confidențialitate (100).

(63)

La un nivel mai general, FTC a luat, în ultimii ani, măsuri de asigurare a respectării legii într-o serie de cazuri privind respectarea cerințelor specifice în materie de protecție a datelor care sunt, de asemenea, prevăzute în CCD UE-SUA, de exemplu în ceea ce privește principiul limitării scopului și al păstrării datelor (101), principiul reducerii la minimum a datelor (102), principiul securității datelor (103) și principiul acurateței datelor (104).

(64)

DoT dispune de competențe exclusive de reglementare a practicilor de protecție a vieții private ale companiilor aeriene și împarte competența cu FTC în ceea ce privește practicile de protecție a vieții private ale agenților de bilete la vânzarea serviciilor de transport aerian. Funcționarii DoT urmăresc mai întâi să ajungă la o înțelegere și, dacă acest lucru nu este posibil, pot iniția proceduri de asigurare a respectării legii care implică o audiere probatorie în fața unui judecător de drept administrativ al DoT, care are competența de a emite ordine de încetare și de a impune sancțiuni civile (105). Judecătorii de drept administrativ beneficiază de o serie măsuri de protecție în temeiul Legii privind procedura administrativă (Administrative Procedure Act) (APA), care vizează asigurarea independenței și a imparțialității acestora. De exemplu, aceștia pot fi revocați din funcție numai din motive întemeiate, iar cazurile le sunt repartizate prin rotație. În plus, nu pot îndeplini sarcini incompatibile cu îndatoririle și responsabilitățile lor în calitate de judecători de drept administrativ, nu fac obiectul supravegherii de către echipa de anchetă a autorității de care aparțin (în acest caz, DoT) și trebuie să își îndeplinească funcția de judecată/de asigurare a respectării legii în mod imparțial (106). DoT s-a angajat să monitorizeze ordinele de asigurare a respectării legii și să se asigure că ordinele aferente cazurilor care vizează CCD UE-SUA sunt disponibile pe site-ul său web (107).

(65)

Pentru a asigura o protecție adecvată și, în special, pentru asigurarea respectării drepturilor individuale, persoanei vizate ar trebui să i se pună la dispoziție căi de atac administrative și judiciare efective.

(66)

CCD UE-SUA, prin principiul recursului, al punerii în aplicare și al răspunderii, impune organizațiilor să ofere modalități de recurs persoanelor afectate de nerespectarea cadrului și, prin urmare, posibilitatea ca persoanele vizate din UE să depună plângeri privind nerespectarea cadrului de către organizațiile CCD UE-SUA, precum și ca aceste plângeri să fie soluționate, dacă este cazul, printr-o decizie care prevede o cale de atac eficientă (108). Ca parte a certificării acestora, organizațiile trebuie să îndeplinească cerințele acestui principiu, punând la dispoziție mecanisme independente de recurs eficiente și ușor accesibile, care să permită investigarea și soluționarea în mod rapid a litigiilor și a plângerilor înaintate de orice persoană, fără ca aceasta să implice costuri pentru persoana în cauză (109).

(67)

Organizațiile pot opta pentru mecanisme independente de recurs fie în Uniune, fie în Statele Unite ale Americii. Astfel cum se explică mai detaliat în considerentul 73, acest lucru include posibilitatea ca acestea să își asume în mod voluntar angajamentul de a coopera cu APD din UE. În cazul în care organizațiile prelucrează date privind resursele umane, un astfel de angajament de cooperare cu APD din UE este obligatoriu. Alte opțiuni includ sistemul independent de soluționare alternativă a litigiilor sau programe privind protecția vieții private elaborate de sectorul privat care integrează principiile în regulile lor. Acestea din urmă trebuie să includă mecanisme eficiente de asigurare a respectării legii, în conformitate cu cerințele principiului recursului, al punerii în aplicare și al răspunderii.

(68)

Prin urmare, CCD UE-SUA oferă persoanelor vizate o serie de posibilități de a-și exercita drepturile, de a înainta plângeri privind nerespectarea cadrului de către organizațiile CCD UE-SUA, precum și de a beneficia de soluționarea acestor plângeri, dacă este cazul, printr-o decizie care să prevadă o cale de atac eficientă. Persoanele pot înainta plângeri direct unei organizații, unui organism independent de soluționare a litigiilor desemnat de către organizație, precum și APD naționale, DoC sau FTC. În cazul în care plângerile acestora nu au fost soluționate în baza niciunuia dintre aceste mecanisme de recurs sau de asigurare a respectării legii, persoanele au, de asemenea, dreptul de a recurge la procedura de arbitraj obligatoriu (anexa I la anexa I la prezenta decizie). Cu excepția cazului în care se apelează la o comisie de arbitraj, situație care impune ca anumite căi de atac să fie epuizate înainte de sesizarea acesteia, persoanele sunt libere să aleagă oricare sau fiecare mecanism de recurs și nu sunt obligate să opteze pentru un anumit mecanism în locul altuia sau să urmeze o anumită ordine.

(69)

În primul rând, persoanele vizate din Uniune pot înainta plângeri care vizează nerespectarea principiilor prin contact direct cu organizațiile CCD UE-SUA în cauză (110). Pentru a facilita soluționarea, organizația trebuie să instituie un mecanism eficient de recurs pentru a gestiona astfel de plângeri. Astfel, politica de confidențialitate a unei organizații trebuie să informeze în mod clar persoanele în legătură cu existența unui punct de contact, fie în cadrul, fie în afara organizației, care va gestiona plângerile (inclusiv în legătură cu orice sediu relevant din Uniune care poate răspunde la solicitările de informații sau la plângeri), precum și cu privire la organismul independent de soluționare a litigiilor desemnat (a se vedea considerentul 70). La primirea unei plângeri direct de la persoana în cauză sau prin intermediul DoC în urma sesizării acestuia de către o APD, organizația trebuie să furnizeze un răspuns persoanei vizate din Uniune în termen de 45 de zile (111). În mod similar, organizațiile trebuie să răspundă cu promptitudine la solicitările de informații și la alte solicitări din partea DoC sau a unei APD (112) (în cazul în care organizația și-a asumat angajamentul de a coopera cu APD) legate de adeziunea acestora la principii.

(70)

În al doilea rând, persoanele pot înainta plângeri direct organismului independent de soluționare a litigiilor (fie în Statele Unite, fie în Uniune) desemnat de organizație să investigheze și să soluționeze plângeri individuale (cu excepția cazului în care acestea sunt în mod evident nefondate sau abuzive) și să asigure persoanei în cauză căi de atac corespunzătoare care să nu presupună costuri pentru aceasta (113). Sancțiunile și măsurile reparatorii impuse de un astfel de organism trebuie să fie suficient de severe pentru a asigura respectarea principiilor de către organizații și ar trebui să prevadă o inversare sau o corectare de către organizație a efectelor neconformității respective și, în funcție de circumstanțe, încheierea prelucrării ulterioare a datelor cu caracter personal în cauză și/sau ștergerea acestora, precum și publicarea neconformităților constatate (114). Organismele independente de soluționare a litigiilor desemnate de o organizație trebuie să includă pe site-urile lor web publice informații relevante cu privire la CCD UE-SUA și serviciile pe care le furnizează în temeiul acestuia (115). În fiecare an, acestea trebuie să publice un raport anual care să furnizeze statistici agregate privind aceste servicii (116).

(71)

În cadrul procedurilor de evaluare a conformității desfășurate de DoC, acesta poate verifica dacă organizațiile CCD UE-SUA și-au înregistrat efectiv participarea la mecanismele independente de recurs la care susțin că sunt înregistrate (117). Atât organizațiile, cât și mecanismele independente de recurs competente trebuie să răspundă cu promptitudine la solicitările de informații și cererile formulate de DoC referitoare la CCD UE-SUA. DoC va colabora cu mecanismele independente de recurs pentru a verifica dacă acestea includ pe site-urile lor web informații privind principiile și serviciile pe care le furnizează în temeiul CCD UE-SUA, precum și dacă publică rapoarte anuale (118).

(72)

În cazurile în care organizația nu respectă hotărârea pronunțată de un organism de soluționare a litigiilor sau de autoreglementare, acesta din urmă trebuie să notifice neconformitatea respectivă DoC și FTC (sau altei autorități din SUA cu competențe de investigare a respectivei neconformități) sau unei instanțe competente (119). În cazul în care o organizație refuză să se supună unei decizii definitive luate de un organism de autoreglementare în materie de protecție a vieții private, de un organism independent de soluționare a litigiilor sau de un organism guvernamental ori în cazul în care un astfel de organism constată că o organizație încalcă frecvent principiile, se poate considera că este vorba de o încălcare sistematică, care va avea drept consecință radierea de pe lista CCD a organizației respective de către DoC, însă numai după ce acesta acordă organizației respective un preaviz de 30 de zile și posibilitatea de a răspunde (120). În cazul în care, după radierea de pe listă, organizația continuă să pretindă că deține certificarea în temeiul CCD UE-SUA, DoC va sesiza în acest sens FTC sau o altă agenție de aplicare a legii (121).

(73)

În al treilea rând, persoanele pot înainta, de asemenea, plângeri la o APD națională din Uniune, care poate face uz de competențele sale de investigare și de remediere în temeiul Regulamentului (UE) 2016/679. Organizațiile sunt obligate să coopereze în cadrul investigației și al soluționării plângerii de către o APD fie în cazul în care plângerea se referă la prelucrarea datelor privind resursele umane colectate în contextul unui raport de muncă, fie în cazul în care organizația respectivă s-a oferit în mod voluntar să fie supravegheată de către APD (122). În special, organizațiile trebuie să răspundă la solicitările de informații, să se conformeze avizului emis de APD, inclusiv în ceea ce privește măsurile reparatorii sau compensatorii, și să trimită APD confirmarea scrisă că au fost întreprinse astfel de acțiuni (123). În cazurile de nerespectare a avizului emis de APD, APD va sesiza DoC (care poate elimina organizații de pe lista CCD UE-SUA) sau, pentru eventuale măsuri de asigurare a respectării legii, FTC sau DoT (lipsa cooperării cu autoritățile pentru protecția datelor sau nerespectarea principiilor poate face obiectul unor acțiuni în temeiul legislației SUA) (124).

(74)

Pentru a facilita cooperarea în vederea unei gestionări eficace a plângerilor, atât DoC, cât și FTC au instituit un punct de contact specific care este responsabil de asigurarea legăturii directe cu APD (125). Punctele de contact respective oferă asistență în ceea ce privește anchetele APD cu privire la respectarea principiilor de către o organizație.

(75)

Avizul APD (126) se emite după ce ambele părți implicate în litigiu au avut posibilitatea rezonabilă de a-și prezenta observațiile și de a aduce toate elementele de probă pe care doresc să le prezinte. Comitetul poate transmite avizul cât mai repede posibil, însă respectând garanțiile procedurale și, ca regulă generală, în termen de 60 de zile după primirea unei plângeri (127). În cazul în care o organizație nu se conformează în termen de 25 de zile de la furnizarea avizului și nu oferă o explicație satisfăcătoare pentru întârziere, comitetul își poate notifica intenția fie de a sesiza FTC în această privință (sau o altă autoritate de aplicare a legii competentă din SUA), fie de a concluziona că angajamentul de cooperare a fost grav încălcat. În primul caz, acest lucru poate conduce la măsuri de asigurare a respectării legii în temeiul secțiunii 5 din Legea FTC (sau o lege similară) (128). În al doilea caz, comitetul informează DoC, care va considera că refuzul organizației de a se conforma avizului comitetului APD constituie o încălcare sistematică, ceea ce va conduce la eliminarea organizației de pe lista CCD.

(76)

În cazul în care APD căreia i-a fost adresată plângerea nu a luat măsuri sau a luat măsuri insuficiente pentru a soluționa o plângere, reclamantul are posibilitatea de a contesta o astfel de (lipsă de) acțiune în fața instanțelor naționale din statul membru respectiv.

(77)

De asemenea, persoanele pot depune plângeri la APD chiar și în cazul în care comitetul APD nu a fost desemnat ca organism de soluționare a litigiilor al unei organizații. În aceste cazuri, APD poate înainta aceste plângeri fie DoC, fie FTC. Pentru a facilita și a consolida cooperarea în ceea ce privește plângerile individuale și nerespectarea cadrului de către organizațiile CCD UE-SUA, DoC va stabili un punct de contact specific, care să acționeze ca punct de legătură și să ofere asistență în cadrul anchetelor APD cu privire la respectarea principiilor de către o organizație (129). FTC s-a angajat, de asemenea, să ofere un punct de contact specific (130).

(78)

În al patrulea rând, DoC s-a angajat să primească și să examineze plângerile legate de nerespectarea principiilor de către o organizație, precum și să depună toate eforturile în vederea soluționării acestora (131). În acest scop, DoC prevede proceduri speciale pentru transmiterea de către APD a plângerilor către un punct de contact specific, urmărirea acestora și contactarea organizațiilor pentru a facilita soluționarea (132). Pentru a accelera prelucrarea plângerilor individuale, punctul de contact ia legătura direct cu APD în cauză cu privire la aspectele legate de conformitate și, în special, o informează cu privire la stadiul plângerilor în termen de cel mult 90 de zile de la sesizare (133). Acest lucru le permite persoanelor vizate să înainteze plângeri legate de nerespectarea cadrului de către organizațiile CCD UE-SUA direct la APD națională a acestora, plângerile urmând să fie direcționate către DoC, în calitate de autoritate care gestionează CCD UE-SUA.

(79)

În cazul în care, în baza verificărilor ex officio, a plângerilor sau a oricăror altor informații, DoC concluzionează că o organizație a încălcat în mod sistematic principiile, acesta poate elimina organizația respectivă de pe lista CCD (134). Refuzul unei organizații de a se supune unei decizii definitive a oricărui organism de autoreglementare în materie de protecție a vieții private, organism independent de soluționare a litigiilor sau organism guvernamental, inclusiv a unei APD, va fi considerat o încălcare sistematică (135).

(80)

În al cincilea rând, o organizație CCD UE-SUA trebuie să se afle sub jurisdicția autorităților competente din SUA, în special FTC (136), care dispun de competențele necesare de investigare și de asigurare a respectării legii pentru a asigura respectarea efectivă a principiilor. FTC acordă prioritate sesizărilor privind nerespectarea principiilor primite de la organisme independente de soluționare a litigiilor sau de la organisme de autoreglementare, DoC și APD (care acționează din proprie inițiativă sau în urma unei plângeri) pentru a stabili dacă s-a încălcat secțiunea 5 din Legea FTC (137). FTC s-a angajat să creeze un proces de sesizare standardizat, să desemneze un punct de contact în cadrul agenției pentru sesizările APD și să facă schimb de informații cu privire la sesizări. În plus, aceasta poate accepta plângeri direct de la persoanele în cauză și poate demara investigații privind CCD UE-SUA din proprie inițiativă, în special în cadrul unei investigații mai ample a unor aspecte legate de protecția vieții private.

(81)

În al șaselea rând, ca mecanism de recurs „de ultimă instanță”, în cazul în care niciuna dintre celelalte modalități de recurs disponibile nu a soluționat în mod satisfăcător o plângere, persoana vizată din Uniune poate recurge la procedura de arbitraj obligatoriu desfășurată de „comisia de arbitraj pentru Cadrul privind confidențialitatea datelor” („comisia de arbitraj CCD UE-SUA”) (138). Organizațiile trebuie să informeze persoanele cu privire la posibilitatea acestora de a recurge la o procedură de arbitraj obligatoriu, fiind obligate să răspundă atunci când o persoană a apelat la această opțiune transmițând o notificare în acest sens organizației în cauză (139).

(82)

Această comisie de arbitraj CCD UE-SUA este formată dintr-un grup de cel puțin zece arbitri care vor fi desemnați de către DoC și Comisia Europeană pe criterii de independență, integritate și expertiză în ceea ce privește legislația SUA privind confidențialitatea și legislația Uniunii privind protecția datelor. Pentru fiecare caz, părțile selectează din acest grup o comisie de arbitraj formată din unul sau trei (140) arbitri.

(83)

Pentru desfășurarea procedurilor de arbitraj, DoC a selectat Centrul Internațional pentru Soluționarea Litigiilor (International Centre for Dispute Resolution) (ICDR), divizia internațională a Asociației Americane de Arbitraj (American Arbitration Association) (AAA). Procedurile desfășurate înaintea comisiei de arbitraj CCD UE-SUA vor fi reglementate de un set de norme de arbitraj convenite și un cod de conduită pentru arbitrii desemnați. Site-ul web al ICDR-AAA oferă persoanelor informații clare și concise cu privire la mecanismul de arbitraj și la procedura de depunere a cererilor de arbitraj.

(84)

Normele de arbitraj convenite de DoC și Comisie completează CCD UE-SUA, care conține mai multe dispoziții ce vor spori posibilitățile de acces ale persoanelor vizate din Uniune la acest mecanism: (i) persoana vizată poate fi asistată de APD națională din țara sa atunci când se pregătește să aducă o plângere în atenția comisiei de arbitraj; (ii) deși arbitrajul va avea loc în Statele Unite, persoanele vizate din Uniune pot alege să participe prin teleconferință sau videoconferință, servicii care trebuie furnizate cu titlu gratuit persoanei în cauză; (iii) deși limba folosită în cadrul procedurii de arbitraj va fi limba engleză, în urma unei cereri motivate, serviciile de interpretare în cadrul ședinței de arbitraj și de traducere vor fi furnizate, în principiu, cu titlu gratuit persoanei vizate; (iv) în sfârșit, deși fiecare parte trebuie să suporte onorariul propriului avocat, în cazul în care este reprezentată de un avocat în fața comisiei de arbitraj, DoC va menține un fond alimentat din contribuțiile anuale ale organizațiilor CCD UE-SUA, care acoperă costurile procedurii de arbitraj până la o anumită valoare maximă, ce urmează să fie stabilită de către autoritățile din SUA în consultare cu Comisia (141).

(85)

Comisia de arbitraj CCD UE-SUA are competența de a impune măsuri nemonetare, echitabile și personalizate (142) necesare pentru remedierea cazurilor de nerespectare a principiilor. Deși comisia de arbitraj va ține seama de alte măsuri reparatorii deja obținute prin alte mecanisme ale CCD UE-SUA la formularea soluției sale, persoanele pot, totuși, să recurgă la arbitraj dacă acestea consideră că respectivele măsuri sunt insuficiente. Acest lucru le va permite persoanelor vizate din Uniune să recurgă la procedura de arbitraj în toate cazurile în care, prin acțiunea sau lipsa de acțiune a acestora, organizațiile CCD UE-SUA, mecanismele independente de recurs sau autoritățile competente din SUA (de exemplu, FTC) nu au soluționat în mod satisfăcător plângerile înaintate. Nu se poate recurge la procedura de arbitraj dacă o APD deține competența legală de a soluționa plângerea în cauză cu privire la o organizație CCD UE-SUA, și anume în cazurile în care organizația respectivă fie este obligată să coopereze și să se conformeze avizului emis de APD în ceea ce privește prelucrarea datelor privind resursele umane colectate în contextul unui raport de muncă, fie s-a angajat voluntar să facă acest lucru. Persoanele în cauză pot pune în aplicare hotărârea arbitrală în instanțele din SUA în temeiul Legii federale privind arbitrajul (Federal Arbitration Act), asigurându-se astfel o cale de atac în cazul în care o organizație nu se conformează.

(86)

În al șaptelea rând, în cazul în care o organizație nu își îndeplinește angajamentul de a respecta principiile și politica de confidențialitate publicată, pot fi disponibile alte căi de atac judiciare în temeiul legislației SUA, inclusiv pentru a obține despăgubiri pentru prejudiciile suferite. De exemplu, persoanele au la dispoziție, în anumite condiții, căi de atac judiciare (putând obține inclusiv despăgubiri pentru prejudiciile suferite) în temeiul legislației la nivel de stat în materie de protecție a consumatorilor în cazurile de declarații false frauduloase sau de acte sau practici neloiale sau frauduloase (143) și în temeiul dreptului răspunderii civile (în special în cazul delictelor de violare a intimității (144), de uzurpare prin utilizarea numelui sau a imaginii (145) și de publicare a unor fapte cu caracter privat (146)).

(87)

Împreună, diferitele căi de atac descrise mai sus asigură faptul că fiecare plângere privind nerespectarea CCD UE-SUA de către organizațiile certificate va fi soluționată și remediată în mod eficace.

(88)

Comisia a evaluat, de asemenea, limitările și garanțiile, inclusiv mecanismele de supraveghere și mecanismele individuale de recurs prevăzute în legislația Statelor Unite ale Americii în ceea ce privește colectarea și utilizarea ulterioară, din motive de interes public, de către autoritățile publice din SUA a datelor cu caracter personal transferate operatorilor și persoanelor împuternicite de operatori, în special în scopul asigurării respectării dreptului penal și în scopuri legate de securitatea națională („accesul autorităților”) (147). Pentru a evalua dacă respectivele condiții de acces al autorităților la datele transferate către Statele Unite ale Americii în temeiul prezentei decizii îndeplinesc criteriul „echivalenței esențiale” în temeiul articolului 45 alineatul (1) din Regulamentul (UE) 2016/679, astfel cum a fost interpretat de Curtea de Justiție în lumina Cartei drepturilor fundamentale, Comisia a luat în considerare mai multe criterii.

(89)

În special, orice restrângere a dreptului la protecția datelor cu caracter personal trebuie să fie prevăzută de lege și temeiul juridic care permite ingerința în acest drept trebuie să definească el însuși întinderea restrângerii exercitării dreptului vizat (148). În plus, pentru a îndeplini cerința proporționalității potrivit căreia derogările de la protecția datelor cu caracter personal și restrângerile acesteia trebuie să fie efectuate în limitele strictului necesar într-o societate democratică pentru a îndeplini obiective specifice de interes general echivalente cu cele recunoscute de Uniune, acest temei juridic trebuie să prevadă norme clare și precise care să reglementeze conținutul și aplicarea măsurilor respective și să impună o serie de cerințe minime, astfel încât persoanele ale căror date au fost transferate să dispună de garanții suficiente care să permită protejarea în mod eficient a datelor lor cu caracter personal împotriva riscurilor de abuz (149). În plus, aceste norme și garanții trebuie să fie obligatorii din punct de vedere juridic și opozabile din perspectiva persoanelor (150). În special, persoanele vizate trebuie să dispună de posibilitatea de a exercita căi legale în fața unei instanțe judecătorești independente și imparțiale pentru a avea acces la date cu caracter personal care le privesc sau pentru a obține rectificarea sau ștergerea unor astfel de date (151).

(90)

Referitor la ingerințele privind datele cu caracter personal transferate în temeiul CCD UE-SUA în scopuri legate de asigurarea respectării dreptului penal, legislația Statelor Unite ale Americii impune o serie de limitări privind accesarea și utilizarea datelor cu caracter personal și prevede mecanisme de supraveghere și de recurs în concordanță cu cerințele menționate în considerentul 89 din prezenta decizie. Condițiile în care poate avea loc o astfel de accesare și garanțiile aplicabile utilizării acestor competențe sunt evaluate în detaliu în secțiunile următoare. În acest sens, guvernul SUA [prin intermediul Departamentului de Justiție – DoJ (Department of Justice)] a oferit, de asemenea, asigurări cu privire la limitările și garanțiile aplicabile (anexa VI la prezenta decizie).

(91)

Datele cu caracter personal prelucrate de organizații certificate din SUA care ar urma să fie transferate din Uniune în temeiul CCD UE-SUA pot fi accesate în scopul asigurării respectării dreptului penal de către procurorii federali și agenții federali de investigații din SUA în cadrul unor proceduri diferite, astfel cum se explică mai detaliat în considerentele 92-99. Aceste proceduri se aplică în același mod atunci când se obțin informații de la orice organizație din SUA, fără a ține cont de cetățenia sau locul de reședință al persoanelor vizate în cauză (152).

(92)

În primul rând, la cererea unui agent federal de aplicare a legii sau a unui avocat al guvernului, un judecător poate emite un mandat de percheziție sau punere sub sechestru (inclusiv a informațiilor stocate electronic) (153). Un astfel de mandat poate fi emis numai dacă există „o cauză probabilă” (154) pentru posibilitatea de identificare, în locul specificat în mandat, a unor „bunuri care pot fi puse sub sechestru” (dovada unei infracțiuni, obiecte deținute ilegal sau bunuri concepute sau destinate utilizării ori utilizate pentru comiterea unei infracțiuni). Mandatul trebuie să identifice bunul sau obiectul care urmează să fie pus sub sechestru și să desemneze judecătorul căruia trebuie să îi fie returnat mandatul. O persoană care face obiectul unei percheziții sau ale cărei bunuri fac obiectul unei percheziții poate solicita invalidarea elementelor de probă obținute sau rezultate în urma unei percheziții ilegale în cazul în care se aduc astfel de probe împotriva persoanei respective în cursul unui proces penal (155). În cazul în care un deținător de date (de exemplu, o societate) este obligat să divulge date în temeiul unui mandat, acesta poate contesta în special cerința de divulgare a datelor ca fiind nejustificat de împovărătoare (156).

(93)

În al doilea rând, un mare juriu (o divizie de anchetă a instanței convocată de un judecător sau de un magistrat) poate emite o citație în contextul investigațiilor privind anumite infracțiuni grave (157), de obicei la cererea unui procuror federal, pentru a solicita unei persoane să prezinte sau să pună la dispoziție documente comerciale, informații stocate electronic sau alte elemente tangibile. În plus, diferite legi autorizează utilizarea unor citații administrative pentru a prezenta sau a pune la dispoziție documente comerciale, informații stocate electronic sau alte elemente tangibile în investigații care implică fraudarea serviciilor de sănătate, abuzuri împotriva copiilor, protecția Serviciului Secret, cazuri care implică substanțe controlate și investigații ale inspectorului general (158). În ambele cazuri, informațiile trebuie să fie relevante pentru investigație și citația nu poate fi nerezonabilă, și anume excesiv de cuprinzătoare, abuzivă sau împovărătoare (putând fi contestată de persoana pe care o vizează din aceste motive) (159).

(94)

Condiții foarte similare se aplică în cazul citațiilor administrative emise pentru a obține acces la datele deținute de societăți din SUA în scopuri civile sau de reglementare („interes public”). Autoritatea agențiilor cu responsabilități civile și de reglementare de a emite aceste citații administrative trebuie să fie stabilită prin lege. Utilizarea unei citații administrative face obiectul unui „test privind caracterul rezonabil”, care impune ca investigația să fie efectuată în conformitate cu un scop legitim, ca informațiile solicitate în temeiul citației să fie relevante pentru scopul respectiv, ca agenția să nu dispună deja de informațiile pe care le solicită prin citație și ca măsurile administrative necesare pentru emiterea citației să fi fost urmate (160). Jurisprudența Curții Supreme a clarificat, de asemenea, necesitatea de a asigura un echilibru între importanța interesului public în ceea ce privește informațiile solicitate și importanța intereselor personale și organizaționale în materie de confidențialitate (161). Cu toate că utilizarea unei citații administrative nu este supusă unei autorizări judiciare prealabile, aceasta ajunge să fie supusă controlului jurisdicțional în cazul contestării de către destinatar pe baza motivelor menționate mai sus sau în cazul în care agenția emitentă dorește să aplice citația în instanță (162). Pe lângă aceste limitări generale, din statut pot rezulta cerințe specifice (mai stricte) (163).

(95)

În al treilea rând, mai multe temeiuri juridice le permit autorităților de aplicare a dreptului penal să obțină acces la datele privind comunicațiile. O instanță poate emite un ordin de autorizare a colectării în timp real a unor informații care nu vizează conținutul privind apelarea, rutarea, adresarea și transmiterea semnalelor cu privire la un număr de telefon sau un o adresă de e-mail [prin utilizarea unui dispozitiv de interceptare (pen register) sau a unui dispozitiv de capturare și trasabilitate (trap and trace)], în cazul în care constată că autoritatea a certificat faptul că informațiile care ar putea fi obținute sunt relevante pentru o investigare în curs (164). Ordinul trebuie, printre altele, să precizeze identitatea suspectului, dacă este cunoscută, atributele comunicațiilor cărora li se aplică și o precizare a infracțiunii la care se referă informațiile care urmează să fie colectate. Utilizarea unui dispozitiv de interceptare sau a unui dispozitiv de capturare și trasabilitate poate fi autorizată pentru o perioadă maximă de șaizeci de zile, care poate fi prelungită numai printr-un nou ordin judecătoresc.

(96)

În plus, accesarea în scopuri de asigurare a respectării dreptului penal a informațiilor privind abonații, traficul și conținutul stocat al comunicațiilor deținute de furnizorii de servicii de internet, societățile de telefonie sau alți furnizori de servicii terți pot fi obținute în temeiul Legii privind comunicațiilor stocate (165). Pentru a obține conținutul stocat al comunicațiilor electronice, autoritățile de aplicare a dreptului penal trebuie, în principiu, să obțină un mandat din partea unui judecător în temeiul unei cauze probabile pentru a se considera că acel cont conține elemente de probă privind comiterea unei infracțiuni (166). Pentru informațiile de înregistrare ale abonaților, adresele IP și marcajele temporale asociate, precum și informațiile privind facturarea, autoritățile de aplicare a dreptului penal pot utiliza o citație. Pentru majoritatea celorlalte informații stocate care nu vizează conținutul, cum ar fi antetul mesajelor electronice fără includerea câmpului care conține subiectul, o autoritate de aplicare a dreptului penal trebuie să obțină un ordin judecătoresc, care va fi emis dacă judecătorul este convins că există motive rezonabile pentru a se considera că informațiile solicitate sunt relevante și semnificative pentru o investigare în curs.

(97)

Furnizorii care primesc solicitări în temeiul Legii privind comunicațiile stocate pot notifica în mod voluntar clientul sau abonatul ale cărui informații sunt solicitate, cu excepția cazului în care autoritatea de aplicare a dreptului penal competentă obține un ordin de protecție care interzice o astfel de notificare (167). Un astfel de ordin de protecție este un ordin judecătoresc prin care se impune unui furnizor de servicii de comunicații electronice sau de servicii informatice la distanță căruia i se adresează un mandat, o citație sau un ordin judecătoresc să nu notifice nicio altă persoană cu privire la existența mandatului, a citației sau a ordinului judecătoresc, atât timp cât instanța consideră necesar. Ordinele de protecție se emit în cazul în care o instanță constată că există motive pentru a se considera că notificarea ar pune în pericol în mod semnificativ o investigație sau ar întârzia în mod nejustificat un proces, de exemplu, deoarece ar duce la punerea în pericol a vieții sau a siguranței fizice a unei persoane, la sustragerea de la urmărirea penală, la intimidarea potențialilor martori etc. Un memorandum al procurorului general adjunct (care este obligatoriu pentru toți procurorii și agenții DoJ) impune procurorilor să se pronunțe în detaliu cu privire la necesitatea unui ordin de protecție și să furnizeze o justificare instanței cu privire la modul în care sunt îndeplinite criteriile legale pentru obținerea unui ordin de protecție în cazul respectiv (168). Memorandumul impune, de asemenea, ca solicitările ordinelor de protecție să nu urmărească, în general, să amâne transmiterea notificării cu mai mult de un an. În cazul în care, în circumstanțe excepționale, ar putea fi necesare ordine cu o durată mai lungă, acestea pot fi solicitate numai cu acordul scris al unui supraveghetor desemnat de procurorul SUA sau de procurorul general adjunct corespunzător. În plus, la încheierea unei investigații, procurorul trebuie să evalueze imediat dacă există un temei pentru menținerea oricăror ordine de protecție în curs și, în cazul în care nu există un astfel de temei, să pună capăt ordinului de protecție și să se asigure că furnizorul de servicii este informat cu privire la aceasta (169).

(98)

De asemenea, autoritățile de aplicare a dreptului penal pot intercepta în timp real comunicații telefonice, orale sau electronice în baza unui ordin judecătoresc prin care un judecător constată, printre altele, că există o cauză probabilă pentru a se considera că interceptarea convorbirilor telefonice sau interceptarea comunicațiilor electronice va face dovada unei infracțiuni federale sau va dezvălui locul în care se află un fugar care se sustrage de la urmărirea penală (170).

(99)

Mai multe politici și orientări ale Departamentului de Justiție oferă măsuri de protecție suplimentare, inclusiv Orientările procurorului general cu privire la operațiunile interne ale FBI (AGG-DOM), care, printre altele, impun ca Biroul Federal de Investigații (FBI) să utilizeze metodele de investigație cel mai puțin intruzive fezabile, ținând seama de efectul asupra vieții private și a libertăților civile (171).

(100)

Potrivit declarațiilor guvernului SUA, se aplică nivelurile de protecție similare sau mai ridicate menționate mai sus pentru investigațiile în scopul asigurării respectării legii la nivel de stat (cu privire la investigațiile desfășurate în temeiul legislației la nivel de stat) (172). În special, dispozițiile constituționale, precum și legile și jurisprudența la nivel de stat reafirmă nivelurile de protecție menționate mai sus împotriva perchezițiilor și sechestrelor nerezonabile, impunând emiterea unui mandat de percheziție (173). În mod similar nivelurilor de protecție acordate la nivel federal, mandatele de percheziție pot fi emise numai la prezentarea unei suspiciuni rezonabile și trebuie să descrie spațiul care urmează să fie percheziționat și persoanele care urmează să fie arestate sau obiectele care urmează să fie confiscate (174).

(101)

În ceea ce privește utilizarea ulterioară a datelor colectate de autoritățile federale de aplicare a dreptului penal, diverse legi, orientări și standarde impun garanții specifice. Cu excepția instrumentelor specifice aplicabile activităților FBI (AGG-DOM și Ghidul FBI privind investigațiile și operațiunile interne), cerințele descrise în prezenta secțiune se aplică, în general, utilizării ulterioare a datelor de către orice autoritate federală, inclusiv a datelor accesate în scopuri civile sau de reglementare. Aceasta include cerințele care decurg din memorandumurile/regulamentele Biroului pentru Administrare și Buget, din Legea federală privind modernizarea gestionării securității informațiilor (Federal Information Security Management Modernization Act), din Legea privind guvernarea electronică (E-Government Act) și din Legea privind registrele federale (Federal Records Act).

(102)

În conformitatea cu competența conferită de Legea Clinger-Cohen (Clinger-Cohen Act) (P.L. 104-106, Diviziunea E) și de Legea privind securitatea informatică din 1987 (Computer Security Act) (P.L. 100-235) Biroul pentru Administrare și Buget (Office of Management and Budget) (OMB) a emis Circulara nr. A-130 pentru a stabili orientări generale obligatorii, aplicabile tuturor agențiilor federale (inclusiv autorităților de aplicare a legii) atunci când prelucrează informații de identificare personală (175). În special, circulara impune tuturor agențiilor federale să „limiteze crearea, colectarea, utilizarea, prelucrarea, stocarea, gestionarea, diseminarea și divulgarea informațiilor de identificare personală la cele care sunt autorizate din punct de vedere legal, sunt relevante și sunt considerate în mod rezonabil necesare pentru îndeplinirea corespunzătoare a funcțiilor de agenție autorizată” (176). În plus, în măsura în care este rezonabil din punct de vedere practic, agențiile federale trebuie să se asigure că informațiile de identificare personală sunt exacte, relevante, oportune și complete și sunt reduse la minimul necesar pentru îndeplinirea corespunzătoare a funcțiilor unei agenții. La un nivel mai general, agențiile federale trebuie să instituie un program cuprinzător privind protecția vieții private pentru a asigura respectarea cerințelor aplicabile în materie de protecție a vieții private, să elaboreze și să evalueze politici de confidențialitate, precum și să gestioneze riscurile la adresa confidențialității, să mențină proceduri de detectare, documentare și raportare a incidentelor legate de respectarea vieții private, să dezvolte programe de sensibilizare cu privire la viața privată și de formare pentru angajați și contractanți și să instituie politici și proceduri pentru a se asigura că personalul este tras la răspundere în ceea ce privește respectarea cerințelor în materie de protecție a vieții private și a politicilor de confidențialitate (177).

(103)

În plus, Legea privind guvernarea electronică (E-Government Act) (178) impune tuturor agențiilor federale (inclusiv autorităților de aplicare a dreptului penal) să instituie măsuri de protecție a securității informațiilor, care să fie proporționale cu riscul și amploarea prejudiciului care ar rezulta din accesul, utilizarea, divulgarea, perturbarea, modificarea sau distrugerea neautorizată a acestora, să aibă un responsabil-șef cu informațiile pentru a asigura respectarea cerințele de securitate a informațiilor și să realizeze o evaluare anuală independentă (de exemplu, prin intermediul unui inspector general, a se vedea considerentul 109) a programului și a practicilor lor de securitate a informațiilor (179). În mod similar, Legea privind registrele federale (Federal Records Act) (FRA) (180) și reglementările suplimentare (181) impun ca informațiile deținute de agențiile federale să facă obiectul unor garanții care să asigure integritatea fizică a informațiilor și protecția acestora împotriva accesului neautorizat.

(104)

În temeiul competenței statutare federale, inclusiv al Legii federale privind modernizarea securității informațiilor din 2014 (Federal Information Security Modernisation Act), OMB și Institutul Național pentru Standarde și Tehnologie (National Institute of Standards and Technology) (NIST) au elaborat standarde care sunt obligatorii pentru agențiile federale (inclusiv pentru autoritățile de aplicare a dreptului penal) și care precizează în detaliu cerințele minime de securitate a informațiilor care trebuie instituite, inclusiv controale de acces, asigurarea sensibilizării și a formării, planificarea de contingență, răspunsul la incidente, instrumentele de audit și de responsabilitate, asigurarea integrității sistemului și a informațiilor, efectuarea de evaluări ale riscurilor la adresa vieții private și a securității etc. (182) În plus, în conformitate cu orientările OMB, toate agențiile federale (inclusiv autoritățile de aplicare a dreptului penal) trebuie să mențină și să pună în aplicare un plan de gestionare a încălcărilor securității datelor, inclusiv în ceea ce privește răspunsul la astfel de încălcări și evaluarea riscurilor de prejudiciu (183).

(105)

În ceea ce privește păstrarea datelor, FRA (184) impune agențiilor federale din SUA (inclusiv autorităților de aplicare a dreptului penal) să stabilească perioade de păstrare a evidențelor lor (după care aceste evidențe trebuie eliminate), care trebuie aprobate de Administrația Arhivelor și a Registrelor Naționale (National Archives and Record Administration) (185). Durata acestei perioade de păstrare este stabilită în funcție de diferiți factori, cum ar fi tipul de investigație, dacă elementele de probă sunt în continuare relevante pentru aceasta etc. În ceea ce privește FBI, AGG-DOM prevede că FBI trebuie să dispună de un astfel de plan de păstrare a evidențelor și să mențină un sistem care să poată recupera rapid stadiul și temeiul investigațiilor.

(106)

În sfârșit, Circulara nr. A-130 a OMB conține, de asemenea, anumite cerințe privind diseminarea informațiilor de identificare personală. În principiu, diseminarea și divulgarea informațiilor de identificare personală trebuie să se limiteze la cele care sunt autorizate din punct de vedere legal, sunt relevante și sunt considerate în mod rezonabil necesare pentru îndeplinirea corespunzătoare a funcțiilor unei agenții (186). Atunci când fac schimb de informații de identificare personală cu alte entități guvernamentale, agențiile federale din SUA trebuie să impună, după caz, anumite condiții (inclusiv instituirea unor controale specifice asupra securității și a confidențialității) care să reglementeze prelucrarea informațiilor prin acorduri scrise (inclusiv contracte, acorduri privind utilizarea datelor, acorduri privind schimbul de informații și memorandumuri de înțelegere) (187). În ceea ce privește temeiurile în baza cărora pot fi diseminate informațiile, AGG-DOM și Ghidul FBI privind investigațiile și operațiunile interne (188), de exemplu, prevăd că FBI poate fi obligat prin lege să facă acest lucru (de exemplu, în temeiul unui acord internațional) sau că acesta este autorizat să disemineze informații în anumite circumstanțe, de exemplu, altor agenții din SUA, în cazul în care divulgarea este compatibilă cu scopul pentru care au fost colectate informațiile și este legată de responsabilitățile acestora; comisiilor din cadrul Congresului; agențiilor străine, în cazul în care informațiile au legătură cu responsabilitățile lor, iar diseminarea este în concordanță cu interesele Statelor Unite ale Americii; diseminarea este necesară în special pentru a proteja siguranța sau securitatea persoanelor sau a bunurilor sau pentru a proteja împotriva unei infracțiuni sau a unei amenințări la adresa securității naționale ori pentru a preveni o astfel de infracțiune, iar divulgarea este compatibilă cu scopul pentru care au fost colectate informațiile (189).

(107)

Activitățile agențiilor federale de aplicare a dreptului penal fac obiectul supravegherii de către diferite organisme (190). Astfel cum se explică în considerentele 92-99, în majoritatea cazurilor, aceasta include o supraveghere prealabilă de către sistemul judiciar, care trebuie să autorizeze măsurile individuale de colectare înainte ca acestea să poată fi utilizate. În plus, alte organisme supraveghează diferite etape ale activităților desfășurate de autoritățile de aplicare a dreptului penal, inclusiv colectarea și prelucrarea datelor cu caracter personal. Împreună, aceste organisme judiciare și nejudiciare asigură faptul că autoritățile de aplicare a legii fac obiectul unei supravegheri independente.

(108)

În primul rând, responsabilii pentru protecția vieții private și a libertăților civile există în cadrul mai multor departamente cu responsabilități în materie de asigurare a respectării dreptului penal (191). Deși competențele specifice ale acestor responsabili pot varia într-o anumită măsură în funcție de statutul care îi autorizează, acestea cuprind, de regulă, supravegherea procedurilor pentru a se asigura că departamentul/agenția în cauză ia în considerare în mod corespunzător aspectele legate de protecția vieții private și a libertăților civile și a instituit proceduri adecvate de soluționare a plângerilor din partea persoanelor care consideră că li s-a/s-au încălcat dreptul la viață privată sau libertățile civile. Șefii fiecărui departament sau a fiecărei agenții trebuie să se asigure că responsabilii pentru protecția vieții private și a libertăților civile dispun de materialele și resursele necesare pentru a-și îndeplini mandatul, că au acces la orice material și personal necesar pentru îndeplinirea funcțiilor lor și că sunt informați și consultați cu privire la modificările de politică propuse (192). Responsabilii pentru protecția vieții private și a libertăților civile raportează periodic Congresului, inclusiv cu privire la numărul și natura plângerilor primite de către departament/agenție, punând la dispoziție și un rezumat al deciziilor luate în legătură cu astfel de plângeri, cu privire la evaluările și anchetele întreprinse și la impactul activităților desfășurate de aceștia (193).

(109)

În al doilea rând, un inspector general independent supraveghează activitățile Departamentului de Justiție, inclusiv ale FBI (194). Inspectorii generali sunt independenți din punct de vedere legal (195) și sunt responsabili pentru efectuarea de investigații, audituri și inspecții independente ale programelor și operațiunilor departamentului. Aceștia au acces la toate evidențele, rapoartele, auditurile, analizele, documentele, dosarele, recomandările sau alte materiale relevante, dacă este necesar, prin intermediul unei citații și pot lua declarații ale martorilor (196). Deși inspectorii generali emit recomandări referitoare la măsuri de remediere fără caracter obligatoriu, în general, rapoartele lor, inclusiv cu privire la acțiunile subsecvente (sau lipsa acestora) (197) sunt făcute publice și transmise Congresului, care poate să își exercite, pe această bază, funcția de supraveghere (a se vedea considerentul 111) (198).

(110)

În al treilea rând, în măsura în care desfășoară activități de combatere a terorismului, departamentele cu responsabilități în materie de asigurare a respectării dreptului penal fac obiectul supravegherii de către Comitetul de supraveghere în materie de protecție a vieții private și a libertăților civile (Privacy and Civil Liberties Oversight Board – PCLOB), o agenție independentă din cadrul ramurii executive, reprezentând un consiliu bipartizan format din cinci membri numiți de președinte pentru un mandat fix de șase ani, cu aprobarea Senatului (199). În conformitate cu statutul său de constituire, PCLOB are responsabilități în domeniul politicilor de combatere a terorismului și al punerii în aplicare a acestora în vederea protejării vieții private și a libertăților civile. În cadrul evaluării efectuate, acesta poate avea acces la toate evidențele, rapoartele, auditurile, analizele, documentele, dosarele și recomandările, inclusiv la informații clasificate, poate desfășura interviuri și audia martori (200). Comitetul primește rapoarte de la responsabilii pentru protecția vieții private și a libertăților civile din mai multe departamente/agenții federale (201), poate emite recomandări pentru autoritățile guvernamentale și de aplicare a legii și prezintă rapoarte periodice către comisiile Congresului și către Președinte (202). Rapoartele comitetului, inclusiv cele adresate Congresului, trebuie puse la dispoziția publicului în cea mai mare măsură posibilă (203).

(111)

În sfârșit, activitățile de aplicare a dreptului penal fac obiectul supravegherii de către comisii specifice din cadrul Congresului SUA (comisiile judiciare ale Camerei Reprezentanților și Senatului). Comisiile judiciare exercită o supraveghere periodică în diferite moduri, în special prin audieri, investigații, analize și rapoarte (204).

(112)

După cum s-a indicat, autoritățile de aplicare a dreptului penal trebuie, în majoritatea cazurilor, să obțină o autorizație judiciară prealabilă pentru a colecta date cu caracter personal. Deși acest lucru nu este necesar pentru citațiile administrative, acestea se limitează la situații specifice și vor face obiectul unui control jurisdicțional independent, cel puțin în cazul în care guvernul urmărește executarea în instanță. În special, persoanele vizate de citații administrative le pot contesta în instanță pe motiv că nu sunt rezonabile, și anume sunt excesiv de cuprinzătoare, abuzive sau împovărătoare (205).

(113)

Persoanele pot, în primul rând, să depună cereri sau plângeri la autoritățile de aplicare a dreptului penal cu privire la prelucrarea datelor lor cu caracter personal. Aceasta include posibilitatea de a solicita accesul la datele cu caracter personal și corectarea acestora (206). În ceea ce privește activitățile legate de combaterea terorismului, persoanele pot depune, de asemenea, o plângere la responsabilii pentru protecția vieții private și a libertăților civile (sau la alți funcționari responsabili pentru protecția vieții private) din cadrul autorităților de aplicare a legii (207).

(114)

În plus, legislația SUA pune la dispoziția persoanelor o serie de căi de atac judiciare împotriva unei autorități publice sau a unuia dintre funcționarii acesteia, în cazul în care aceste autorități prelucrează date cu caracter personal (208). Aceste căi de atac prevăzute, printre altele, în special de Legea privind procedura administrativă (APA), de Legea privind libertatea de informare (Freedom of Information Act) (FOIA) și de Legea privind confidențialitatea comunicațiilor electronice (Electronic Communications Privacy Act) (ECPA) stau la dispoziția tuturor persoanelor, indiferent de cetățenia lor, sub rezerva condițiilor aplicabile.

(115)

În general, în temeiul dispozițiilor referitoare la controlul jurisdicțional din APA (209), „o persoană care este victima unui abuz juridic în urma acțiunilor agenției sau este afectată ori lezată într-un alt mod în urma acțiunilor agenției” are dreptul la un control jurisdicțional al acestora (210). Acest lucru include posibilitatea de a solicita instanței „să declare ilegale sau să anuleze acțiunile, constatările și concluziile agenției în legătură cu care s-a constatat că sunt […] arbitrare, capricioase, un abuz de putere de apreciere sau neconforme cu legea din orice alt motiv” (211).

(116)

Mai precis, titlul II din ECPA (212) prevede un sistem de drepturi legale în materie de protecție a vieții private și, prin urmare, reglementează accesul autorităților de aplicare a legii la conținutul comunicațiilor telefonice, orale sau electronice stocate de furnizori de servicii terți (213). Acesta incriminează accesul ilegal (și anume care nu a fost autorizat de o instanță sau care nu a fost permis în alt mod) la aceste comunicații și permite persoanelor afectate să intenteze o acțiune civilă într-o instanță federală din SUA pentru a solicita daune compensatorii și punitive, precum și măsuri reparatorii echitabile sau o hotărâre declarativă împotriva unui funcționar guvernamental care a săvârșit cu intenție astfel de acte ilicite sau împotriva Statelor Unite ale Americii.

(117)

În plus, mai multe alte legi acordă persoanelor dreptul de a introduce acțiuni împotriva unei autorități publice sau a unui funcționar public din SUA cu privire la prelucrarea datelor lor cu caracter personal, precum Legea privind interceptarea comunicațiilor (214), Legea privind fraudele și abuzurile informatice (Computer Fraud and Abuse Act) (215), Legea federală privind acțiunile în răspundere civilă (Federal Torts Claim Act) (216), Legea privind dreptul la confidențialitatea informațiilor financiare (Right to Financial Privacy Act) (217) și Legea privind raportarea echitabilă a creditelor (218).

(118)

De asemenea, în temeiul FOIA (219) și al titlului 5 articolul 552 din U.S.C., orice persoană are dreptul de a obține accesul la evidențele agențiilor federale, inclusiv în cazul în care acestea conțin datele cu caracter personal ale persoanei respective. După epuizarea căilor de atac administrative, orice persoană fizică poate invoca acest drept de acces în instanță, cu excepția cazului în care aceste evidențe sunt protejate împotriva divulgării publice printr-o derogare sau o excepție specială care vizează asigurarea respectării legii (220). În acest caz, instanța va evalua dacă se aplică vreo excepție sau dacă aceasta a fost invocată în mod legal de către autoritatea publică relevantă.

(119)

Legislația Statelor Unite ale Americii conține diverse limitări și garanții în ceea ce privește accesarea și utilizarea datelor cu caracter personal în scopuri legate de securitatea națională și prevede mecanisme de supraveghere și de recurs care sunt în concordanță cu cerințele menționate în considerentul 89 din prezenta decizie. Condițiile în care pot fi accesate datele și garanțiile aplicabile utilizării acestor competențe sunt evaluate în detaliu în secțiunile următoare.

(120)

Datele cu caracter personal transferate din Uniune către organizațiile CCD UE-SUA pot fi colectate de autoritățile SUA în scopuri legate de securitatea națională în baza unor instrumente juridice diferite, sub rezerva îndeplinirii unor condiții și garanții specifice.

(121)

Odată ce organizații din Statele Unite ale Americii au primit date cu caracter personal, serviciile de informații din SUA pot solicita accesul la aceste date numai în scopuri legate de securitatea națională, astfel cum este autorizat prin lege, în special în temeiul Legii privind supravegherea activităților străine de spionaj (Foreign Intelligence Surveillance Act) (FISA) sau al dispozițiilor legale care autorizează accesul prin intermediul scrisorilor privind securitatea națională (NSL) (221). FISA conține mai multe temeiuri juridice care pot fi utilizate pentru a colecta (și prelucra ulterior) datele cu caracter personal ale persoanelor vizate din Uniune transferate în temeiul CCD UE-SUA (secțiunea 105 din FISA (222), secțiunea 302 din FISA (223), secțiunea 402 din FISA (224), secțiunea 501 din FISA (225) și secțiunea 702 din FISA (226)), după cum se menționează mai detaliat în considerentele 142-152.

(122)

Serviciile de informații din SUA au, de asemenea, posibilitatea de a colecta date cu caracter personal în afara Statelor Unite ale Americii, astfel de date putând include date cu caracter personal aflate în tranzit între Uniune și Statele Unite ale Americii. Colectarea de date în afara Statelor Unite ale Americii are la bază Ordinul executiv nr. 12333 (OE nr. 12333) (227), emis de președinte (228).

(123)

Colectarea de informații de tip SIGINT este forma de colectare de informații cea mai relevantă pentru prezenta constatare a caracterului adecvat, deoarece se referă la colectarea comunicațiilor electronice și a datelor din sistemele informatice. O astfel de colectare poate fi efectuată de serviciile de informații din SUA atât în Statele Unite ale Americii (în temeiul FISA), cât și în timp ce datele se află în tranzit către Statele Unite ale Americii (în temeiul OE nr. 12333).

(124)

La 7 octombrie 2022, președintele SUA a emis OE nr. 14086 privind consolidarea garanțiilor pentru informațiile de tip SIGINT colectate de Statele Unite ale Americii, stabilind limitări și garanții pentru toate activitățile de colectare de informații de tip SIGINT ale Statelor Unite ale Americii. Acest ordin executiv înlocuiește, în mare măsură, Directiva nr. 28 privind politica prezidențială (Presidential Policy Directive) (PPD-28) (229), consolidează condițiile, limitările și garanțiile care se aplică tuturor activităților de colectare de informații de tip SIGINT (și anume pe baza FISA și a OE nr. 12333), indiferent de locul în care se desfășoară (230), și stabilește un nou mecanism de recurs prin care aceste garanții pot fi invocate și exercitate de către persoane (231) (a se vedea mai detaliat considerentele 176-194). Astfel, acesta pune în aplicare în legislația SUA rezultatul discuțiilor care au avut loc între UE și SUA în urma invalidării de către Curtea de Justiție a deciziei Comisiei privind caracterul adecvat al nivelului de protecție oferit de Scutul de confidențialitate (a se vedea considerentul 6). Prin urmare, acesta este un element deosebit de important al cadrului juridic evaluat în prezenta decizie.

(125)

Limitările și garanțiile introduse prin OE nr. 14086 le completează pe cele prevăzute în secțiunea 702 din FISA și OE nr. 12333. Cerințele descrise mai jos (în secțiunile 3.2.1.2 și 3.2.1.3) trebuie să fie aplicate de serviciile de informații atunci când întreprind activități de colectare de informații de tip SIGINT în temeiul secțiunii 702 din FISA și al OE nr. 12333, de exemplu atunci când identifică/selectează categoriile de informații externe care urmează să fie obținute în temeiul secțiunii 702 din FISA; colectează informații sau contrainformații externe în conformitate cu OE nr. 12333 și și iau decizii individuale de direcționare în temeiul secțiunii 702 din FISA și al OE nr. 12333.

(126)

În plus, cerințele prevăzute în acest ordin executiv emis de președinte sunt obligatorii pentru întreaga Comunitate a Serviciilor de Informații. Ele trebuie puse în aplicare în continuare prin politici și proceduri ale serviciilor, care le transpun în direcții concrete pentru operațiunile de zi cu zi. În acest sens, OE nr. 14086 oferă serviciilor de informații din SUA un termen maxim de un an pentru a-și actualiza politicile și procedurile existente (și anume până la 7 octombrie 2023) în vederea alinierii acestora la cerințele ordinului executiv. Aceste politici și proceduri actualizate trebuie să fie elaborate în consultare cu procurorul general, cu responsabilul pentru protecția libertăților civile din cadrul Biroului Directorului Serviciului Național de Informații (Office of the Director of National Intelligence) (CLPO ODNI) și cu PCLOB – un organism independent de supraveghere autorizat să revizuiască politicile ramurii executive și punerea în aplicare a acestora, în vederea asigurării protecției vieții private și a libertăților civile (a se vedea considerentul 110 în ceea ce privește rolul și statutul PCLOB) – și trebuie să fie puse la dispoziția publicului (232). În plus, odată ce politicile și procedurile actualizate sunt instituite, PCLOB va efectua o revizuire a acestora pentru a se asigura că sunt în concordanță cu dispozițiile ordinului executiv. În termen de 180 de zile de la finalizarea unei astfel de revizuiri de către PCLOB, fiecare serviciu de informații trebuie să analizeze cu atenție și să pună în aplicare sau să abordeze în alt mod toate recomandările PCLOB. La 3 iulie 2023, guvernul SUA a publicat versiuni actualizate ale acestor politici și proceduri (233).

(127)

OE nr. 14086 stabilește o serie de cerințe extinse care se aplică tuturor activităților de colectare de informații de tip SIGINT (colectarea, utilizarea, diseminarea etc. a datelor cu caracter personal).

(128)

În primul rând, astfel de activități trebuie să aibă la bază un act legislativ sau o autorizație prezidențială și să fie întreprinse în conformitate cu legislația SUA, inclusiv cu Constituția (234).

(129)

În al doilea rând, trebuie să existe garanții adecvate pentru a se asigura că viața privată și libertățile civile reprezintă considerente care fac parte integrantă din planificarea unor astfel de activități (235).

(130)

În special, orice activitate de colectare de informații de tip SIGINT poate fi efectuată numai „după ce s-a stabilit, în baza unei evaluări rezonabile a tuturor factorilor relevanți, că activitățile sunt necesare pentru a promova o prioritate validată în materie de informații” (în ceea ce privește noțiunea de „prioritate validată în materie de informații”, a se vedea considerentul 135) (236).

(131)

În plus, astfel de activități se pot desfășura numai „în măsura și într-un mod proporționale cu respectiva prioritate validată în materie de informații pentru care au fost autorizate acestea” (237). Cu alte cuvinte, trebuie să se ajungă la un echilibru adecvat „între importanța priorității în materie de informații urmărite și impactul asupra vieții private și a libertăților civile ale persoanelor afectate, indiferent de cetățenie sau de locul de reședință al acestora” (238).

(132)

În sfârșit, pentru a asigura respectarea acestor cerințe generale – care reflectă principiile legalității, necesității și proporționalității – activitățile de colectare de informații de tip SIGINT fac obiectul supravegherii (pentru informații detaliate în acest sens, a se vedea secțiunea 3.2.2) (239).

(133)

Aceste cerințe ample sunt justificate suplimentar în ceea ce privește colectarea de informații de tip SIGINT printr-o serie de condiții și limitări care asigură faptul că ingerința în drepturile persoanelor este limitată la ceea ce este necesar și proporțional pentru promovarea unui obiectiv legitim.

(134)

În primul rând, ordinul executiv limitează temeiurile în baza cărora pot fi colectate date în cadrul activităților de colectare de informații de tip SIGINT în două moduri. Pe de o parte, ordinul executiv stabilește obiectivele legitime care pot fi urmărite prin colectarea de informații de tip SIGINT, de exemplu, pentru a înțelege sau a evalua capacitățile, intențiile sau activitățile organizațiilor străine, inclusiv ale organizațiilor teroriste internaționale, care reprezintă o amenințare efectivă sau potențială la adresa securității naționale a Statelor Unite ale Americii, pentru a asigura protecția împotriva capacităților și activităților militare străine și pentru a înțelege sau evalua amenințările transnaționale care au impact asupra securității mondiale, cum ar fi schimbările climatice și alte schimbări ecologice, riscurile pentru sănătatea publică și pericolul unor crize umanitare (240). Pe de altă parte, ordinul executiv enumeră anumite obiective care nu trebuie niciodată urmărite prin activități de colectare de informații de tip SIGINT, de exemplu, pentru a face dificilă exprimarea criticilor sau a opiniilor contrare sau exprimarea liberă a ideilor sau a opiniilor politice de către persoane sau presă, pentru a dezavantaja persoane pe criterii legate de originea etnică, rasă, gen, identitate de gen, orientare sexuală sau religie sau pentru a oferi un avantaj competitiv societăților din SUA (241).

(135)

În plus, pentru a justifica o colectare de informații de tip SIGINT, serviciile de informații nu pot invoca doar obiectivele legitime în sine prevăzute în OE nr. 14086; acestea trebuie să fie susținute în continuare, în scopuri operaționale, de priorități mai concrete pentru care pot fi colectate informații pe baza semnalelor electromagnetice. Cu alte cuvinte, colectarea efectivă poate avea loc numai pentru a promova o prioritate mai specifică. Aceste priorități sunt stabilite printr-un proces specific menit să asigure respectarea cerințelor legale aplicabile, inclusiv a celor referitoare la viața privată și la libertățile civile. Mai precis, prioritățile în materie de informații sunt mai întâi elaborate de directorul Serviciului Național de Informații (prin așa-numitul Cadru național privind prioritățile în materie de informații) și transmise președintelui spre aprobare (242). Înainte de a-i propune președintelui priorități în materie de informații, directorul trebuie, în conformitate cu OE nr. 14086, să obțină o evaluare din partea CLPO ODNI pentru fiecare prioritate pentru a stabili că (1) promovează unul sau mai multe obiective legitime enumerate în ordinul executiv, (2) nu a fost concepută pentru colectarea de informații de tip SIGINT având în vedere un obiectiv interzis enumerat în ordinul executiv și nici nu s-a prevăzut ca aceasta să conducă la o astfel de colectare și (3) a fost instituită după luarea în considerare în mod corespunzător a vieții private și a libertăților civile ale tuturor persoanelor, indiferent de cetățenie sau de locul de reședință al acestora (243). În cazul în care directorul nu este de acord cu evaluarea realizată de responsabilul pentru protecția libertăților civile, ambele puncte de vedere trebuie prezentate președintelui (244).

(136)

Prin urmare, acest proces asigură în special luarea în considerare a aspectelor legate de confidențialitate încă din etapa inițială în care sunt elaborate prioritățile în materie de informații.

(137)

În al doilea rând, odată ce a fost stabilită o prioritate în materie de informații, o serie de cerințe reglementează decizia dacă și în ce măsură pot fi colectate informații de tip SIGINT pentru a promova o astfel de prioritate. Aceste cerințe operaționalizează standardele ample de necesitate și proporționalitate prevăzute în secțiunea 2 litera (a) din ordinul executiv.

(138)

În special, se pot colecta informații prin sisteme de tip SIGINT numai „după ce s-a stabilit, în baza unei evaluări rezonabile a tuturor factorilor relevanți, că respectiva colectare este necesară pentru a promova o prioritate specifică în materie de informații” (245). Pentru a stabili dacă o activitate de colectare de informații de tip SIGINT este necesară pentru a promova o prioritate validată în materie de informații, serviciile de informații din SUA trebuie să ia în considerare disponibilitatea, fezabilitatea și caracterul adecvat al altor surse și metode mai puțin intruzive, printre care se numără canalele diplomatice și sursele publice (246). Atunci când sunt disponibile, trebuie să se acorde prioritate acestor surse și metode alternative mai puțin intruzive (247).

(139)

Atunci când, în aplicarea acestor criterii, colectarea de informații de tip SIGINT este considerată necesară, aceasta trebuie să fie „cât mai adaptată posibil” și „nu trebuie să aibă un impact disproporționat asupra vieții private și a libertăților civile” (248). Pentru a se asigura că viața privată și libertățile civile nu sunt afectate în mod disproporționat – și anume pentru a se ajunge la un echilibru adecvat între necesitățile în materie de securitate națională și protecția vieții private și a libertăților civile – toți factorii relevanți trebuie luați în considerare în mod corespunzător, cum ar fi natura obiectivului urmărit, caracterul intruziv al activității de colectare, inclusiv durata acesteia, contribuția probabilă a colectării la obiectivul urmărit, consecințele previzibile în mod rezonabil pentru persoanele în cauză și natura și sensibilitatea datelor care urmează să fie colectate (249).

(140)

În ceea ce privește tipul de colectare de informații de tip SIGINT, colectarea de date în Statele Unite ale Americii, care este cea mai relevantă pentru prezenta constatare privind caracterul adecvat, întrucât se referă la date care au fost transferate către organizații din SUA, trebuie să fie întotdeauna direcționată, astfel cum se explică în detaliu în considerentele 142-153.

(141)

„Colectarea în masă” (250) se poate efectua numai în afara Statelor Unite ale Americii, în temeiul OE nr. 12333. De asemenea, în acest caz, în conformitate cu OE nr. 14086, colectarea direcționată trebuie să aibă prioritate (251). În schimb, colectarea în masă este permisă numai în cazul în care informațiile necesare pentru a promova o prioritate validată în materie de informații nu pot fi obținute în mod rezonabil printr-o colectare direcționată (252). Atunci când este necesar să se efectueze o colectare de date în masă în afara Statelor Unite ale Americii, se aplică garanții specifice în temeiul OE nr. 14086 (253). În primul rând, trebuie aplicate metode și măsuri tehnice pentru a limita datele colectate numai la ceea ce este necesar pentru promovarea unei priorități validate în materie de informații, reducând în același timp la minimum colectarea de informații nepertinente (254). În al doilea rând, ordinul executiv limitează utilizarea informațiilor colectate în masă (inclusiv interogarea) la șase obiective specifice, care includ protecția împotriva terorismului, luarea de ostatici și sechestrarea de persoane de către sau în numele unui guvern, al unei organizații sau al unei persoane străine, protecția împotriva spionajului străin și a sabotajului sau a asasinatelor plănuite din exterior, protecția împotriva amenințărilor generate de deținerea în vederea dezvoltării sau de proliferarea armelor de distrugere în masă sau a tehnologiilor și amenințărilor conexe etc (255). În sfârșit, orice interogare a informațiilor de tip SIGINT colectate în masă poate avea loc numai în cazul în care acest lucru este necesar pentru a promova o prioritate validată în materie de informații în vederea atingerii acestor șase obiective și în conformitate cu politici și proceduri care iau în considerare în mod corespunzător impactul interogărilor asupra vieții private și a libertăților civile ale tuturor persoanelor, indiferent de cetățenie sau de locul de reședință al acestora (256).

(142)

În plus față de cerințele OE nr. 14086, colectarea de date de tip SIGINT transferată unei organizații din Statele Unite ale Americii face obiectul unor limitări și garanții specifice reglementate de secțiunea 702 din FISA (257). Secțiunea 702 din FISA permite colectarea de informații externe prin vizarea persoanelor care nu sunt cetățeni americani/rezidenți în SUA despre care se crede în mod rezonabil că se află în afara Statelor Unite ale Americii, cu sprijinul obligatoriu al furnizorilor de servicii de comunicații electronice din SUA (258). Pentru a colecta informații externe în temeiul secțiunii 702 din FISA, procurorul general și directorul Serviciului Național de Informații prezintă certificări anuale Curții de Supraveghere a Activităților Străine de Spionaj (United States Foreign Intelligence Surveillance Court) (FISC), care identifică respectivele categorii de informații externe care urmează să fie obținute (259). Certificările trebuie să fie însoțite de proceduri de direcționare și de reducere la minimum a intervențiilor, precum și de interogare, care sunt, de asemenea, aprobate de această instanță și sunt obligatorii din punct de vedere juridic pentru serviciile de informații din SUA.

(143)

FISC este o instanță judecătorească independentă (260) creată în temeiul unei legi federale, ale cărui decizii pot fi atacate înaintea Curții de Reexaminare a Supravegherii Activităților Străine de Spionaj (Foreign Intelligence Surveillance Court of Review) (FISCR) (261) și, în ultimă instanță, înaintea Curții Supreme a Statelor Unite ale Americii (262). FISC beneficiază (la fel ca FISCR) de sprijinul furnizat de un complet permanent format din cinci avocați și cinci experți tehnici specializați în domeniul securității naționale, precum și al libertăților civile (263). Din cadrul acestui complet, instanța desemnează o persoană care servește drept amicus curiae pentru a contribui la examinarea oricărei cereri de emitere a unui ordin sau de revizuire care, în opinia instanței, prezintă o interpretare nouă sau semnificativă a legii, cu excepția cazului în care instanța constată că o astfel de numire nu este adecvată (264). Astfel se asigură, în special, faptul că aspectele legate de confidențialitate sunt reflectate în mod corespunzător în evaluarea instanței. De asemenea, instanța poate să numească o persoană sau organizație în calitate de amicus curiae, inclusiv pentru a furniza o expertiză tehnică, ori de câte ori consideră necesar acest lucru, sau, la depunerea unei moțiuni, acordă unei persoane sau organizații permisiunea de a prezenta observații cu titlu de amicus curiae (265).

(144)

FISC examinează certificările și procedurile aferente (în special procedurile de direcționare și de reducere la minimum a intervențiilor) din perspectiva respectării cerințelor FISA. În cazul în care FISC consideră că nu au fost îndeplinite cerințele, aceasta poate refuza certificarea, integral sau parțial, și poate solicita modificarea procedurilor (266). În acest sens, FISC a confirmat în repetate rânduri că revizuirea de către acesta a procedurilor de direcționare și reducere la minimum a intervențiilor în temeiul secțiunii 702 nu se limitează la procedurile scrise, ci include și modul în care procedurile sunt puse în aplicare de autorități (267).

(145)

Agenția Națională de Securitate (NSA, serviciul de informații responsabil cu direcționarea intervențiilor în temeiul secțiunii 702 din FISA) ia decizii individuale de direcționare a intervențiilor în conformitate cu procedurile de direcționare aprobate de FISC, care impun NSA să evalueze, pe baza tuturor circumstanțelor, dacă este probabil ca vizarea unei anumite persoane să conducă la obținerea unei categorii de informații externe identificate într-o certificare (268). Această evaluare trebuie să fie individualizată și bazată pe fapte și se realizează pe baza raționamentului analitic, a formării specializate și a experienței analistului, precum și a naturii informațiilor externe care urmează să fie obținute (269). Direcționarea intervențiilor se realizează prin identificarea așa-numiților termeni de selecție, care identifică mijloacele de comunicare specifice, cum ar fi adresa de e-mail sau numărul de telefon al persoanei vizate, dar niciodată cuvinte-cheie sau numele persoanelor (270).

(146)

În primul rând, analiștii NSA vor identifica persoanele care nu sunt cetățeni americani/rezidenți în SUA aflate în străinătate a căror supraveghere va conduce, pe baza evaluării analiștilor, la informațiile externe relevante specificate în certificare (271). Astfel cum se prevede în procedurile NSA de direcționare a intervențiilor, NSA poate direcționa supravegherea către o persoană vizată numai atunci când are deja anumite informații despre aceasta (272). Acest lucru poate rezulta din obținerea de informații din diferite surse, de exemplu informații din surse umane. Prin intermediul acestor alte surse, analistul trebuie, de asemenea, să identifice un termen de selecție specific (și anume un cont de comunicare) utilizat de persoana vizată potențială. Odată ce aceste persoanele individualizate au fost identificate și vizarea lor a fost aprobată printr-un amplu mecanism de revizuire în cadrul NSA (273), se stabilesc sarcinile termenilor de selecție (și anume se elaborează și se aplică termenii de selecție) care identifică mijloacele de comunicare (precum adresele de e-mail) utilizate de persoanele vizate (274).

(147)

NSA trebuie să documenteze situația de fapt utilizată ca temei pentru selectarea persoanei vizate (275) și, la intervale regulate după direcționarea inițială a intervențiilor, să declare că standardul de direcționare a intervențiilor continuă să fie îndeplinit (276). Odată ce standardul de direcționare a intervențiilor nu mai este îndeplinit, colectarea trebuie să înceteze (277). Selectarea de către NSA a fiecărei persoane vizate și evidențele acesteia cu privire la fiecare evaluare și justificare a direcționării intervențiilor înregistrate sunt revizuite bilunar din perspectiva respectării procedurilor de direcționare a intervențiilor de către funcționarii din cadrul birourilor de supraveghere a serviciilor de informații ale Departamentului de Justiție, care au obligația de a raporta orice încălcare către FISC și către Congres (278). Documentația scrisă a NSA facilitează supravegherea de către FISC a măsurii în care anumite persoane sunt vizate în mod corespunzător în temeiul secțiunii 702 din FISA, în conformitate cu competențele sale de supraveghere descrise în considerentele 173-174 (279). În sfârșit, directorul Serviciului Național de Informații (DNI) are, de asemenea, obligația de a raporta în fiecare an numărul total persoane vizate în temeiul secțiunii 702 din FISA în rapoartele publice anuale privind transparența statistică. Societățile care primesc directive în temeiul secțiunii 702 din FISA pot publica date agregate (prin intermediul rapoartelor privind transparența) cu privire la cererile pe care le primesc (280).

(148)

În ceea ce privește celelalte temeiuri juridice pentru colectarea datelor cu caracter personal transferate către organizații din SUA, se aplică limitări și garanții diferite. În general, colectarea de date în masă este interzisă în mod specific în temeiul secțiunii 402 din FISA (competența de interceptare și de capturare și trasabilitate) și prin utilizarea NSL, iar utilizarea unor „termeni de selecție” specifici este, în schimb, obligatorie (281).

(149)

Pentru a desfășura activități de supraveghere electronică individualizată tradițională (în conformitate cu secțiunea 105 din FISA), serviciile de informații trebuie să depună o cerere la FISC, însoțită de o expunere a faptelor și a circumstanțelor invocate în susținerea convingerii că există o cauză probabilă ca infrastructura vizată să fie utilizată sau să fie pe cale să fie utilizată de o putere străină sau de un agent al unei puteri străine (282). FISC va evalua, printre altele, dacă, pe baza faptelor prezentate, există o cauză probabilă să se considere că situația se prezintă într-adevăr astfel (283).

(150)

Pentru a efectua o percheziție a spațiilor sau a bunurilor menită să conducă la o verificare sau la un sechestru etc. de informații, materiale sau bunuri (de exemplu, asupra unui dispozitiv informatic) în temeiul secțiunii 301 din FISA, este necesar să se înainteze FISC o cerere de emitere a unui ordin în acest sens (284). O astfel de cerere trebuie, printre altele, să demonstreze că există o cauză probabilă ca persoana vizată de percheziție să fie o putere străină sau un agent al unei puteri străine, ca spațiul sau bunurile care urmează să fie percheziționate să conțină informații externe și ca spațiul care urmează să fie percheziționat să fie deținut sau utilizat de sau ca obiectul percheziției să se afle în tranzit către sau de la o putere străină sau un agent al unei puteri străine (285).

(151)

În mod similar, pentru instalarea unor dispozitive de interceptare și de capturare și trasabilitate (în temeiul secțiunii 402 din FISA), este necesar să se înainteze FISC (sau unui judecător magistrat al SUA) o cerere în acest sens, precum și să utilizeze un anumit termen de selecție, și anume un termen care identifică în mod specific o persoană, un cont etc. și care este utilizat pentru a limita, în măsura posibilului, domeniul de aplicare al informațiilor vizate (286). Această competență nu privește conținutul comunicațiilor, ci vizează informații cu privire la clientul sau abonatul care folosește un serviciu (cum ar fi numele, adresa, numărul de abonat, perioada/tipul de servicii de care beneficiază, sursa/mecanismul de plată).

(152)

Secțiunea 501 din FISA (287), care permite colectarea evidențelor comerciale ale unui transportator comun (și anume orice persoană sau entitate care transportă persoane sau bunuri pe cale terestră, feroviară, navală sau pe calea aerului în schimbul unei compensații), ale unei unități publice de cazare (de exemplu, un hotel, un motel sau o pensiune), ale unei unități de închiriere de vehicule sau ale unei unități de depozitare fizică (și anume o unitate care oferă spațiu sau servicii legate de depozitarea bunurilor și a materialelor) (288), impune, de asemenea, înaintarea unei cereri în acest sens către FISC sau un judecător magistrat. Această cerere trebuie să specifice evidențele vizate și faptele specifice și articulabile care susțin convingerea că persoana la care se referă evidențele respective este o putere străină sau un agent al unei puteri străine (289).

(153)

În sfârșit, NSL sunt autorizate în temeiul unor legi diferite și permit agențiilor de investigare să obțină anumite informații (fără a include conținutul comunicațiilor) de la anumite entități (de exemplu, instituții financiare, agenții de raportare a creditelor, furnizori de comunicații electronice) conținute în rapoartele de credit, evidențele financiare și evidențele electronice privind abonații și tranzacțiile (290). Legea privind NSL care autorizează accesul la comunicațiile electronice poate fi utilizată numai de FBI și impune ca orice cerere în acest sens să utilizeze un termen care identifică în mod specific o persoană, o entitate, un număr de telefon sau un cont și să certifice faptul că informațiile sunt relevante pentru o investigație de securitate națională autorizată în vederea protejării împotriva terorismului internațional sau a activităților clandestine de colectare de informații (291). Destinatarii unei NSL au dreptul de a o contesta în instanță (292).

(154)

Prelucrarea datelor cu caracter personal colectate de serviciile de informații din SUA printr-un sistem de tip SIGINT face obiectul unei serii de garanții.

(155)

În primul rând, fiecare serviciu de informații trebuie să asigure securitatea corespunzătoare a datelor și să împiedice accesul persoanelor neautorizate la datele cu caracter personal colectate printr-un sistem de tip SIGINT. În acest sens, diferite instrumente, care pot include legi, orientări și standarde, detaliază cerințele minime de securitate a informațiilor care trebuie puse în aplicare (de exemplu, autentificarea multifactorială, criptarea etc.) (293). Accesul la datele colectate trebuie limitat la personalul autorizat și instruit, care trebuie să cunoască informațiile necesare pentru a-și îndeplini atribuțiile (294). La un nivel mai general, serviciile de informații trebuie să ofere formare adecvată angajaților lor, inclusiv cu privire la procedurile de raportare și de abordare a încălcărilor legii (inclusiv cu privire la OE nr. 14086) (295).

(156)

În al doilea rând, serviciile de informații trebuie să respecte standardele Comunității Serviciilor de Informații în ceea ce privește acuratețea și obiectivitatea, în special în ceea ce privește asigurarea calității și a fiabilității datelor, luarea în considerare a unor surse alternative de informații și obiectivitatea în efectuarea analizelor (296).

(157)

În al treilea rând, în ceea ce privește păstrarea datelor, OE nr. 14086 clarifică faptul că datele cu caracter personal ale persoanelor care nu sunt cetățeni americani/rezidenți SUA fac obiectul acelorași perioade de păstrare precum cele aplicabile datelor persoanelor care sunt cetățeni americani/rezidenți SUA (297) Serviciile de informații au obligația de a defini perioade de păstrare specifice și/sau factorii care trebuie luați în considerare pentru a stabili durata perioadelor de păstrare aplicabile (de exemplu, dacă informațiile sunt dovezi ale unei infracțiuni; dacă informațiile constituie informații externe; dacă informațiile sunt necesare pentru a proteja siguranța persoanelor sau a organizațiilor, inclusiv a victimelor sau a țintelor terorismului internațional), care sunt prevăzute în diferite instrumente juridice (298).

(158)

În al patrulea rând, se aplică norme specifice în ceea ce privește diseminarea datelor cu caracter personal colectate printr-un sistem de tip SIGINT. Ca o cerință generală, datele cu caracter personal privind persoanele care nu sunt cetățeni americani/rezidenți SUA pot fi diseminate numai dacă implică același tip de informații care pot fi diseminate cu privire la persoane care sunt cetățeni americani/rezidenți SUA, de exemplu, informațiile necesare pentru a proteja siguranța unei persoane sau a unei organizații (cum ar fi persoane vizate, victime sau ostatici ai organizațiilor teroriste internaționale) (299). În plus, datele cu caracter personal nu pot fi diseminate ținând cont exclusiv de cetățenia sau de țara de reședință a unei persoane sau în scopul eludării cerințelor OE nr. 14086 (300). Diseminarea între autoritățile SUA poate avea loc numai dacă o persoană autorizată și instruită are convingerea rezonabilă că este necesar ca destinatarul să cunoască informațiile (301) și că acesta le va proteja în mod corespunzător (302). Pentru a stabili dacă datele cu caracter personal pot fi diseminate unor destinatari din afara autorităților SUA (inclusiv unui guvern străin sau unei organizații internaționale), trebuie să se țină seama de scopul diseminării, de natura și de amploarea datelor care sunt diseminate, precum și de potențialul impact negativ asupra persoanei (persoanelor) în cauză (303).

(159)

În cele din urmă, inclusiv pentru a facilita supravegherea respectării cerințelor legale aplicabile, precum și existența unor căi de atac eficiente, fiecare serviciu de informații trebuie să păstreze, în temeiul OE nr. 14086, documentația corespunzătoare cu privire la colectarea de informații de tip SIGINT. Cerințele privind documentația vizează elemente precum situația de fapt utilizată ca temei pentru evaluarea caracterului necesar al unei anumite activități de colectare în scopul promovării unei priorități validate în materie de informații (304).

(160)

Pe lângă garanțiile din OE nr. 14086 menționate mai sus pentru utilizarea informațiilor colectate printr-un sistem de tip SIGINT, toate serviciile de informații din SUA fac obiectul unor cerințe mai generale privind limitarea scopului, reducerea la minimum, acuratețea, securitatea, păstrarea și diseminarea datelor, în special în temeiul Circularei nr. A-130 a OMB, al Legii privind guvernarea electronică, al Legii privind registrele federale (a se vedea considerentele 101-106) și al orientărilor Comitetului privind sistemele de securitate națională (CNSS) (305).

(161)

Activitățile serviciilor de informații din SUA fac obiectul supravegherii de către diferite organisme.

(162)

În primul rând, OE nr. 14086 impune fiecărui serviciu de informații să dispună de funcționari la nivel înalt cu atribuții juridice, de supraveghere și de conformitate care să asigure conformitatea cu legislația aplicabilă a SUA (306). În special, aceștia trebuie să efectueze o supraveghere periodică a activităților de colectare de informații de tip SIGINT și să se asigure că orice neconformitate este remediată. Serviciile de informații trebuie să le ofere acestor funcționari acces la toate informațiile relevante pentru a-și îndeplini funcțiile de supraveghere și nu pot lua nicio măsură pentru a împiedica sau influența în mod necorespunzător activitățile lor de supraveghere (307). În plus, orice incident semnificativ de neconformitate (308) identificat de un funcționar de supraveghere sau de orice alt angajat trebuie raportat imediat șefului serviciului de informații respectiv și directorului Serviciului Național de Informații, care trebuie să se asigure că sunt luate toate măsurile necesare pentru a remedia și a preveni repetarea incidentului semnificativ de neconformitate respectiv (309).

(163)

Această funcție de supraveghere este îndeplinită de funcționarii cu atribuții specifice de conformitate, precum și de responsabilii pentru protecția vieții private și a libertăților civile și de inspectorii generali (310).

(164)

La fel ca în cazul autorităților de aplicare a dreptului penal, responsabilii pentru protecția vieții private și a libertăților civile există la nivelul tuturor serviciilor de informații (311). Competențele acestor funcționari cuprind, de regulă, supravegherea procedurilor pentru a se asigura că departamentul/agenția în cauză ia în considerare în mod corespunzător aspectele legate de protecția vieții private și a libertăților civile și a instituit proceduri adecvate de soluționare a plângerilor din partea persoanelor care consideră că li s-a/s-au încălcat dreptul la viață privată sau libertățile civile [și, în unele cazuri, de exemplu în cazul Biroului Directorului Serviciului Național de Informații (ODNI), pot avea competența de investiga plângerile respective (312)]. Șefii serviciilor de informații trebuie să se asigure că responsabilii pentru protecția vieții private și a libertăților civile dispun de resursele necesare pentru a-și îndeplini mandatul, că au acces la orice material și personal necesar pentru îndeplinirea funcțiilor lor și că sunt informați și consultați cu privire la modificările de politică propuse (313). Responsabilii pentru protecția vieții private și a libertăților civile raportează periodic Congresului și PCLOB, inclusiv cu privire la numărul și natura plângerilor primite de către departament/agenție, punând la dispoziție și un rezumat al deciziilor luate în legătură cu astfel de plângeri, cu privire la evaluările și anchetele întreprinse și la impactul activităților desfășurate de aceștia (314).

(165)

În al doilea rând, fiecare serviciu de informații dispune de un inspector general independent cu atribuții, printre altele, de supraveghere a activităților de colectare de informații externe. Astfel, în cadrul ODNI, există un birou al inspectorului general al Comunității Serviciilor de Informații, care are competență generală asupra întregii Comunități a Serviciilor de Informații și care este autorizat să realizeze investigații cu privire la plângeri sau informații care vizează acuzații de comportament ilicit sau abuz de autoritate în legătură cu ODNI și/sau programele și activitățile Comunității Serviciilor de Informații (315). La fel ca în cazul autorităților de aplicare a dreptului penal (a se vedea considerentul 109), acești inspectori generali sunt independenți din punct de vedere legal (316) și sunt responsabili pentru efectuarea de audituri și investigații privind programele și operațiunile desfășurate de serviciul respectiv în scopuri legate de obținerea de informații interne, inclusiv în ceea ce privește abuzul sau încălcarea legii (317). Aceștia au acces la toate evidențele, rapoartele, auditurile, analizele, documentele, dosarele, recomandările sau alte materiale relevante, dacă este necesar, prin intermediul unei citații și pot lua declarații ale martorilor (318). Inspectorii generali trimit spre urmărire penală cazurile de presupuse încălcări penale și formulează recomandări de măsuri de remediere către șefii de serviciu (319). Deși recomandările lor nu au caracter obligatoriu, în general, rapoartele lor, inclusiv cu privire la acțiunile subsecvente (sau lipsa acestora) (320) sunt făcute publice și transmise Congresului, care poate să își exercite, pe această bază, propria funcție de supraveghere (a se vedea considerentele 168-169) (321).

(166)

În al treilea rând, Comitetul pentru supravegherea serviciilor de informații (Intelligence Oversight Board) (IOB), instituit în cadrul Consiliului consultativ privind serviciile de informații al președintelui (PIAB), supraveghează respectarea de către serviciile de informații din SUA a Constituției și a tuturor normelor aplicabile (322). PIAB este un organism consultativ din cadrul Biroului executiv al președintelui, acesta din urmă fiind format din 16 membri numiți de președinte care nu fac parte din personalul autorităților SUA. IOB este format din maximum cinci membri desemnați de președinte dintre membrii PIAB. În conformitate cu OE nr. 12333 (323), șefii tuturor serviciilor de informații au obligația de a raporta către IOB orice activitate de colectare de informații pentru care există motive să se creadă că ar putea fi ilegală sau contrară vreunui ordin executiv sau vreunei directive prezidențiale. Pentru a asigura accesul IOB la informațiile necesare pentru îndeplinirea funcțiilor sale, Ordinul executiv nr. 13462 prevede că directorul Serviciului Național de Informații și șefii serviciilor de informații furnizează orice informații și asistență pe care IOB le consideră necesare pentru îndeplinirea funcțiilor sale, în măsura permisă de lege (324). La rândul său, IOB are obligația de a informa președintele cu privire la activitățile de colectare de informații cu privire la care consideră că încalcă legislația SUA (inclusiv ordinele executive) și nu sunt abordate în mod adecvat de procurorul general, de directorul Serviciului Național de Informații sau de șeful unui serviciu de informații (325). În plus, IOB are obligația de a informa procurorul general cu privire la posibilele încălcări ale dreptului penal.

(167)

În al patrulea rând, serviciile de informații fac obiectul supravegherii de către PCLOB. În conformitate cu statutul său de constituire, PCLOB are responsabilități în domeniul politicilor de combatere a terorismului și al punerii în aplicare a acestora în vederea protejării vieții private și a libertăților civile. În cadrul evaluării efectuate cu privire la acțiunile serviciilor de informații, acesta poate avea acces la toate evidențele, rapoartele, auditurile, analizele, documentele, dosarele și recomandările, inclusiv la informații clasificate, poate desfășura interviuri și audia martori (326). Comitetul primește rapoarte de la responsabilii pentru protecția vieții private și a libertăților civile din mai multe departamente/agenții federale (327), poate emite recomandări pentru agențiile guvernamentale și serviciile de informații și prezintă rapoarte periodice către comisiile Congresului și către Președinte (328). Rapoartele comitetului, inclusiv cele adresate Congresului, trebuie puse la dispoziția publicului în cea mai mare măsură posibilă (329). PCLOB a emis mai multe rapoarte de supraveghere și monitorizare, inclusiv o analiză cu privire la programele derulate în temeiul secțiunii 702 din FISA și protecția vieții private în acest context, precum și cu privire la punerea în aplicare a PPD-28 și a OE nr. 12333 (330). PCLOB are, de asemenea, atribuții specifice de supraveghere în ceea ce privește punerea în aplicare a OE nr. 14086, în special prin evaluarea conformității procedurilor serviciilor cu ordinul executiv (a se vedea considerentul 126) și a funcționării corecte a mecanismului de recurs (a se vedea considerentul 194).

(168)

În al cincilea rând, în plus față de mecanismul de supraveghere de la nivelul ramurii executive, o serie de comisii specifice din cadrul Congresului SUA (comisiile judiciare și comisiile pentru informații ale Camerei Reprezentanților și Senatului) au responsabilități de supraveghere cu privire la activitățile de colectare de informații externe ale SUA. Membrii acestor comisii au acces la informații clasificate, precum și la metode și programe care vizează colectarea de informații (331). Comisiile își exercită funcțiile de supraveghere în diferite moduri, în special prin audieri, investigații, analize și rapoarte (332).

(169)

Comisiile Congresului primesc rapoarte periodice privind activitățile de colectare de informații, inclusiv din partea procurorului general, a directorului Serviciului Național de Informații, a serviciilor de informații și a altor organisme de supraveghere (de exemplu, inspectorii generali) – a se vedea considerentele 164-165. În special, în conformitate cu Legea privind securitatea națională, „[p]reședintele se asigură că respectivele comisii pentru informații ale Congresului sunt ținute la curent pe deplin cu privire la activitățile de colectare de informații ale Statelor Unite ale Americii, inclusiv orice cu privire la orice activitate semnificativă anticipată de colectare de informații în conformitate cu cerințele acestui subcapitol” (333). De asemenea, „[p]reședintele se asigură că orice activitate ilegală de colectare de informații, precum și orice măsuri de remediere care au fost luate sau sunt planificate în legătură cu o astfel de activitate ilegală sunt raportate imediat comisiilor pentru informații ale Congresului” (334).

(170)

În plus, din legile specifice decurg o serie de cerințe de raportare suplimentare. În special, FISA impune procurorului general să „informeze pe deplin” comisiile pentru informații și comisiile judiciare ale Camerei Reprezentanților și Senatului cu privire la activitățile autorităților desfășurate în temeiul anumitor secțiuni din FISA (335). De asemenea, FISA impune autorităților să furnizeze comisiilor din cadrul Congresului copii după toate deciziile, ordinele sau avizele FISC sau FISCR care includ „o interpretare semnificativă a dispozițiilor FISA”. În ceea ce privește supravegherea în temeiul secțiunii 702 din FISA, supravegherea parlamentară este exercitată prin rapoarte prevăzute de lege către comisiile pentru informații și comisiile judiciare, precum și prin informări și audieri frecvente. Printre acestea se numără un raport semestrial al procurorului general care descrie utilizarea secțiunii 702 din FISA, cu documente justificative, inclusiv rapoarte de conformitate ale Departamentului de Justiție și ODNI și o descriere a oricăror incidente de neconformitate (336), precum și o evaluare semestrială separată efectuată de către procurorul general și DNI privind respectarea procedurilor de direcționare și de reducere la minimum a intervențiilor (337).

(171)

În plus, FISA impune autorităților SUA să comunice Congresului (și publicului larg) în fiecare an, printre altele, numărul de ordine în temeiul FISA solicitate și primite, precum și estimări ale numărului de persoane care sunt cetățeni americani/rezidenți în SUA și care nu sunt cetățeni americani/rezidenți SUA vizate de supraveghere (338). Legea impune, de asemenea, o raportare publică suplimentară cu privire la numărul de NSL emise, atât în ceea ce privește persoanele care sunt cetățeni americani/rezidenți în SUA, cât și persoanele care nu sunt cetățeni americani/rezidenți în SUA (permițând, în același timp, destinatarilor ordinelor și certificărilor FISA, precum și ai cererilor de NSL, să prezinte rapoarte de transparență în anumite condiții) (339).

(172)

La un nivel mai general, Comunitatea Serviciilor de Informații depune diverse eforturi de a asigura transparența activităților sale de colectare de informații (externe). De exemplu, în 2015, ODNI a adoptat principii privind transparența serviciilor de informații și un plan de punere în aplicare în materie de transparență și a impus fiecărui serviciu de informații să desemneze un responsabil pentru transparența serviciului de informații pentru a promova transparența și a conduce inițiative în materie de transparență (340). Ca parte a acestor eforturi, serviciile de informații au făcut și continuă să facă publice părți declasificate ale politicilor, procedurilor, rapoartelor de supraveghere, rapoartelor privind activitățile desfășurate în temeiul secțiunii 702 din FISA și OE nr. 12333, precum și ale deciziilor FISC și ale altor materiale, inclusiv pe o pagină web specifică gestionată de ODNI, și anume „IC on the Record” (341).

(173)

În cele din urmă, în plus față de supravegherea de către organismele de supraveghere menționate în considerentele 162-168, colectarea datelor cu caracter personal în temeiul secțiunii 702 din FISA face obiectul supravegherii FISC (342). În conformitate cu Norma nr. 13 din Regulamentul de procedură al FISC, funcționarii cu atribuții de conformitate din cadrul serviciilor de informații din SUA au obligația de a raporta orice încălcare a procedurilor de direcționare și de reducere la minimum a intervențiilor și a procedurilor de interogare în temeiul articolului 702 din FISA către DoJ și ODNI, care, la rândul lor, le raportează FISC. În plus, DoJ și ODNI prezintă FISC rapoarte semestriale comune de evaluare a activității de supraveghere, care identifică tendințele în ceea ce privește respectarea procedurilor de direcționare a intervențiilor, oferă date statistice, descriu categorii de incidente legate de conformitate, descriu în detaliu motivele pentru care au intervenit anumite incidente legate de respectarea procedurilor de direcționare a intervențiilor și precizează măsurile pe care le-au luat serviciile de informații pentru a evita recurența acestora (343).

(174)

În cazul în care este necesar (de exemplu, în cazul în care se identifică încălcări ale procedurilor de direcționare a intervențiilor), curtea poate solicita serviciului de informații relevant să ia măsuri de remediere (344). Acestea pot varia de la măsuri individuale la măsuri structurale, de exemplu, de la încetarea acțiunii de obținere a datelor sau ștergerea datelor obținute în mod ilegal până la o modificare a practicii de colectare, inclusiv în ceea ce privește orientările pentru personal și formarea acestuia (345). În plus, în cursul revizuirii sale anuale a certificărilor în temeiul secțiunii 702, FISC ține seama de incidentele de neconformitate pentru a stabili dacă certificările prezentate respectă cerințele FISA. În mod similar, în cazul în care FISC constată că respectivele certificări ale autorităților nu au fost suficiente, inclusiv ca urmare a unor incidente specifice de conformitate, aceasta poate emite un așa-numit „ordin de constatare a deficiențelor” prin care le solicită acestora să remedieze încălcarea în termen de 30 de zile sau să înceteze sau să nu demareze punerea în aplicare a certificării în temeiul secțiunii 702. În sfârșit, FISC evaluează tendințele pe care le observă în ceea ce privește aspectele legate de conformitate și poate impune modificarea procedurilor sau măsuri suplimentare de supraveghere și de raportare pentru a aborda tendințele în materie de conformitate (346).

(175)

Astfel cum se explică mai detaliat în prezenta secțiune, Statele Unite ale Americii oferă persoanelor vizate din Uniune o serie de posibilități de a introduce o acțiune în justiție în fața unei instanțe judecătorești independente și imparțiale, cu competențe obligatorii. Împreună, acestea permit persoanelor să aibă acces la datele lor cu caracter personal, să solicite revizuirea legalității accesului autorităților la datele lor și, în cazul în care se constată o încălcare, să obțină remedierea acestei încălcări, inclusiv prin rectificarea sau ștergerea datelor lor cu caracter personal.

(176)

În primul rând, în temeiul OE nr. 14086, astfel cum este completat de Regulamentul PG de instituire a Curții de Reexaminare a Protecției Datelor, se instituie un mecanism specific de recurs pentru a gestiona și soluționa plângerile înaintate de persoane referitoare la activitățile SUA de colectare de informații de tip SIGINT. Orice persoană din UE are dreptul de a înainteze o plângere mecanismului de recurs cu privire la o presupusă încălcare a legislației SUA care reglementează activitățile de colectare de informații de tip SIGINT (de exemplu, OE nr. 14086, secțiunea 702 din FISA, OE nr. 12333) care îi afectează în mod negativ interesele din perspectiva vieții private și a libertăților civile (347). Acest mecanism de recurs este disponibil pentru persoane din țări sau organizații regionale de integrare economică care au fost desemnate de procurorul general al SUA drept „state eligibile” (348). La 30 iunie 2023, Uniunea Europeană și cele trei țări membre ale Asociației Europene a Liberului Schimb, care constituie împreună Spațiul Economic European, au fost desemnate de procurorul general al SUA, în temeiul secțiunii 3 litera (f) din OE nr. 14086, drept „stat eligibil” (349). Această desemnare nu aduce atingere articolului 4 alineatul (2) din Tratatul privind Uniunea Europeană.

(177)

O persoană vizată care dorește să înainteze o astfel de plângere trebuie să o depună la o autoritate de supraveghere dintr-un stat membru al UE competentă să supravegheze prelucrarea datelor cu caracter personal de către autoritățile publice (o APD) (350). Acest lucru asigură un acces facil la mecanismul de recurs, permițând persoanelor să apeleze la o autoritate „aproape de casă” și cu care pot comunica în propria limbă. După ce se verifică cerințele pentru depunerea unei plângeri, menționate în considerentul 178, APD competentă, prin intermediul secretariatului Comitetului european pentru protecția datelor, va direcționa plângerea către mecanismul de recurs.

(178)

Înaintarea unei plângeri mecanismului de recurs face obiectul unor cerințe de admisibilitate scăzute, iar persoanele nu trebuie să demonstreze că datele acestora au făcut, în fapt, obiectul activităților SUA de colectare de informații de tip SIGINT (351). În același timp, pentru a oferi un punct de plecare pentru examinarea cauzei de către mecanismul de recurs, trebuie furnizate anumite informații de bază, de exemplu, cu privire la datele cu caracter personal despre care se presupune în mod rezonabil că au fost transferate către SUA și la mijloacele prin care se crede că au fost transferate, Identitățile entităților guvernamentale din SUA despre care se crede că sunt implicate în presupusa încălcare (dacă sunt cunoscute), temeiul în baza căruia se susține că a avut loc o încălcare a legislației SUA (deși acest lucru nu necesită demonstrarea faptului că datele cu caracter personal au fost, în fapt, colectate de serviciile de informații din SUA) și natura măsurii reparatorii solicitate.

(179)

Investigarea inițială a plângerilor înaintate acestui mecanism de recurs este efectuată de CLPO ODNI, ale cărui rol și competențe legale existente au fost extinse pentru acele acțiuni specifice întreprinse în temeiul OE nr. 14086 (352). În cadrul Comunității Serviciilor de Informații, CLPO este, printre altele, responsabil pentru asigurarea faptului că protecția libertăților civile și a vieții private este integrată în mod corespunzător în politicile și procedurile ODNI și ale serviciilor de informații, supravegherea respectării de către ODNI a cerințelor aplicabile privind libertățile civile și viața privată și realizarea de evaluări ale impactului din perspectiva vieții private (353). CLPO ODNI poate fi revocat din funcție de directorul Serviciului Național de Informații numai din motive întemeiate, și anume pentru comiterea unei abateri, practici ilicite, încălcarea securității, neglijență în serviciu sau incapacitate (354).

(180)

În activitatea sa de examinare a unei plângeri, CLPO ODNI are acces la informații pentru realizarea evaluării sale și poate apela la sprijinul obligatoriu al responsabililor pentru protecția vieții private și a libertăților civile din cadrul diferitelor servicii de informații (355). Serviciilor de informații le este interzis să împiedice sau să influențeze în mod necorespunzător activitatea de examinare a plângerilor desfășurată de CLPO ODNI. În mod similar, nici directorul Serviciului Național de Informații nu se poate implica în această activitate (356). Atunci când examinează o plângere, CLPO ODNI trebuie să aplice legea „în mod imparțial”, având în vedere atât interesele naționale în materie de securitate vizate de activitățile de colectare de informații de tip SIGINT, cât și protecția vieții private (357).

(181)

În cadrul activității sale de examinare a unei plângeri, CLPO ODNI stabilește dacă a avut loc o încălcare a legislației SUA aplicabile și, în caz afirmativ, decide cu privire la o remediere adecvată (358). Aceasta din urmă se referă la măsuri care remediază pe deplin o încălcare identificată, cum ar fi încetarea obținerii ilegale de date, ștergerea datelor colectate în mod ilegal, ștergerea rezultatelor interogărilor efectuate necorespunzător cu privire la date colectate în mod legal, restricționarea accesului la datele colectate în mod legal la personalul instruit în mod corespunzător sau rechemarea rapoartelor de informații care conțin date obținute fără deținerea unei autorizări legale în acest sens sau care au fost diseminate în mod ilegal (359). Deciziile CLPO ODNI cu privire la plângerile individuale (inclusiv cu privire la măsurile de remediere) sunt obligatorii pentru serviciile de informații în cauză (360).

(182)

CLPO ODNI trebuie să păstreze documentația privind activitatea sa de examinare a plângerii și să emită o decizie clasificată în care să explice temeiurile constatărilor sale în fapt, concluzia cu privire la existența unei încălcări eligibile și remedierea adecvată stabilită (361). În cazul în care activitatea de examinare a plângerii desfășurată de CLPO ODNI indică o încălcare de către orice autoritate care face obiectul supravegherii FISC, CLPO trebuie, de asemenea, să prezinte un raport clasificat procurorului general adjunct pentru securitate națională, care, la rândul său, are obligația de a raporta neconformitatea respectivă către FISC, care poate lua măsuri suplimentare de asigurare a respectării legii (în conformitate cu procedura descrisă în considerentele 173-174) (362).

(183)

Odată finalizată activitatea de examinare a plângerii, CLPO ODNI informează reclamantul că „examinarea fie nu a identificat încălcări eligibile, fie CLPO ODNI a emis o decizie care impune o remediere adecvată” (363). Acest lucru permite protejarea confidențialității activităților desfășurate pentru a proteja securitatea națională, oferind în același timp persoanelor o decizie prin care se confirmă investigarea și soluționarea corespunzătoare a plângerii. În plus, această decizie poate fi contestată de persoana în cauză. În acest scop, aceasta va fi informată cu privire la posibilitatea de a introduce o cale de atac la DPRC și să solicite o reexaminare a constatărilor CLPO (a se vedea considerentul 184 și următoarele) și că, în cazul în care este sesizată această instanță, se va alege un avocat special care să susțină interesul reclamantului (364).

(184)

Orice reclamant, precum și fiecare element al Comunității Serviciilor de Informații, poate solicita reexaminarea deciziei CLPO ODNI de către Curtea de Reexaminare a Protecției Datelor (DPRC). Astfel de cereri de reexaminare trebuie depuse în termen de 60 de zile de la primirea notificării din partea CLPO ODNI cu privire la faptul că examinarea plângerii de către acesta s-a încheiat și includ orice informații pe care persoana în cauză dorește să le furnizeze DPRC (de exemplu, argumente privind aspecte de drept sau aplicarea legii la situația de fapt a cauzei) (365). Persoanele vizate din Uniune pot înainta din nou cererea APD competente (a se vedea considerentul 177).

(185)

DPRC este o instanță judecătorească independentă înființată de procurorul general în temeiul OE nr. 14086 (366). Aceasta este formată din cel puțin șase judecători, numiți de procurorul general în consultare cu PCLOB, Secretarul pentru Comerț și directorul Serviciului Național de Informații pentru mandate reînnoibile de patru ani (367). Numirea judecătorilor de către procurorul general se bazează pe criteriile utilizate de ramura executivă atunci când evaluează candidații la sistemul judiciar federal, acordând importanță oricărei experiențe judiciare anterioare (368). În plus, judecătorii trebuie să fie practicieni în domeniul dreptului (și anume membri activi înscriși în barou și autorizați în mod corespunzător să exercite o profesie juridică) și să aibă experiență adecvată în domeniul legislației privind viața privată și securitatea națională. Procurorul general trebuie să depună eforturi pentru a se asigura că, în orice moment, cel puțin jumătate dintre judecători au experiență judiciară anterioară și toți judecătorii trebuie să dețină autorizații de securitate pentru a putea avea acces la informații clasificate privind securitatea națională (369).

(186)

Numai persoanele care îndeplinesc condițiile menționate în considerentul 185 și nu sunt angajați ai ramurii executive la momentul numirii lor sau în ultimii doi ani pot fi numite în componența DPRC. În mod similar, pe durata mandatului lor în cadrul DPRC, judecătorii nu pot deține nicio altă funcție oficială în cadrul guvernului SUA (cu excepția celei de judecători în cadrul DPRC) (370).

(187)

Independența procesului de judecată se realizează printr-o serie de garanții. În special, ramurii executive (procurorului general și serviciilor de informații) îi este interzis să intervină sau să influențeze în mod necorespunzător activitatea de reexaminare a DPRC (371). DPRC trebuie să soluționeze în mod imparțial cauzele (372) și funcționează în conformitate cu propriul său regulament de procedură (adoptat cu majoritate de voturi). În plus, judecătorii DPRC pot fi revocați din funcție numai de procurorul general și numai din motive întemeiate (și anume pentru comiterea unei abateri, practici ilicite, încălcarea securității, neglijență în serviciu sau incapacitate), după luarea în considerare în mod corespunzător a standardelor aplicabile judecătorilor federali prevăzute în Normele de procedură privind conduita judecătorilor și incapacitatea acestora de a-și desfășura activitatea (373).

(188)

Cererile înaintate DPRC sunt examinate de completuri de trei judecători, care includ un președinte al completului; acestea trebuie să acționeze în conformitate cu Codul de conduită al judecătorilor din SUA (374). Fiecare complet este asistat de un avocat special (375), care are acces la toate informațiile referitoare la cauză, inclusiv la informații clasificate (376). Rolul avocatului special este de a se asigura că interesele reclamantului sunt reprezentate și că respectivul complet al DPRC este bine informat cu privire la toate aspectele relevante de drept și de fapt (377). Pentru a-și fundamenta suplimentar poziția cu privire la o cerere de reexaminare adresată DPRC de către o persoană, avocatul special poate solicita informații de la reclamant prin intermediul unor întrebări scrise (378).

(189)

DPRC reexaminează constatările CLPO ODNI (atât în ceea ce privește eventuala încălcare a legislației SUA aplicabile, cât și în ceea ce privește remedierea adecvată), cel puțin pe baza evidențelor investigației CLPO ODNI, precum și orice informații și observații furnizate de reclamant, de avocatul special sau de un serviciu de informații (379). Un complet DPRC are acces la toate informațiile necesare pentru efectuarea unei reexaminări, pe care le poate obține prin intermediul CLPO ODNI (de exemplu, completul poate solicita CLPO să își completeze dosarul cu informații suplimentare sau constatări factuale, dacă acest lucru este necesar pentru efectuarea reexaminării) (380).

(190)

La încheierea reexaminării sale, DPRC poate (1) să decidă că nu există elemente de probă care să indice că au avut loc activități de colectare de informații de tip SIGINT care implică date cu caracter personal ale reclamantului, (2) să decidă că respectivele constatări ale CLPO ODNI au fost corecte din punct de vedere juridic și sunt susținute de elemente de probă substanțiale sau (3) în cazul în care DPRC nu este de acord cu constatările CLPO ODNI (în ceea ce privește eventuala încălcare a legislației SUA aplicabile sau remedierea adecvată), să emită propriile constatări (381).

(191)

În toate cazurile, DPRC adoptă o decizie scrisă cu majoritate de voturi. În cazul în care reexaminarea identifică o încălcare a normelor aplicabile, decizia va specifica orice remediere adecvată, care include ștergerea datelor colectate în mod ilegal, ștergerea rezultatelor interogărilor efectuate necorespunzător, restricționarea accesului la datele colectate în mod legal la personalul instruit în mod corespunzător sau rechemarea rapoartelor de informații care conțin date obținute fără deținerea unei autorizări legale în acest sens sau care au fost diseminate în mod ilegal (382). Decizia DPRC este obligatorie și definitivă în ceea ce privește plângerea cu care este sesizată (383). În plus, în cazul în care reexaminarea indică o încălcare de către orice autoritate care face obiectul supravegherii FISC, DPRC trebuie, de asemenea, să prezinte un raport clasificat procurorului general adjunct pentru securitate națională, care, la rândul său, are obligația de a raporta neconformitatea respectivă către FISC, care poate lua măsuri suplimentare de asigurare a respectării legii (în conformitate cu procedura descrisă în considerentele 173-174) (384).

(192)

Fiecare decizie a unui complet DPRC este transmisă CLPO ODNI (385). În cazurile în care reexaminarea de către DPRC a fost inițiată în urma unei cereri din partea reclamantului, reclamantul este informat prin intermediul autorității naționale că DPRC și-a finalizat reexaminarea și că „reexaminarea fie nu a identificat încălcări eligibile, fie DPRC a emis o decizie care impune o remediere adecvată” (386). Biroul pentru protecția vieții private și a libertăților civile din cadrul DoJ păstrează o evidență a tuturor informațiilor reexaminate de DPRC și a tuturor deciziilor emise, care sunt puse la dispoziție spre consultare ca precedent fără caracter obligatoriu pentru viitoarele completuri DPRC (387).

(193)

De asemenea, DoC are obligația de a păstra o evidență pentru fiecare reclamant care a depus o plângere (388). Pentru a spori transparența, cel puțin o dată la cinci ani, DoC trebuie să contacteze serviciile de informații relevante pentru a verifica dacă informațiile referitoare la o reexaminare efectuată de DPRC au fost declasificate (389). În acest caz, persoanei în cauză i se va notifica faptul că astfel de informații pot fi disponibile în temeiul legislației aplicabile (și anume că aceasta poate solicita accesul la aceste informații în temeiul Legii privind libertatea de informare – a se vedea considerentul 199).

(194)

În sfârșit, funcționarea corectă a acestui mecanism de recurs va face obiectul unei evaluări periodice independente. Mai precis, în conformitate cu OE nr. 14086, funcționarea mecanismului de recurs face obiectul unei reexaminări anuale de către PCLOB, un organism independent (a se vedea considerentul 110) (390). În cadrul acestei activități, PCLOB va evalua, printre altele, dacă CLPO ODNI și DPRC au gestionat plângerile în timp util, dacă au obținut acces deplin la informațiile necesare, dacă garanțiile de fond prevăzute de OE nr. 14086 au fost luate în considerare în mod corespunzător în procesul de reexaminare și dacă serviciile de informații au respectat pe deplin constatările CLPO ODNI și DPRC. PCLOB va prezenta un raport privind rezultatul reexaminării sale președintelui, procurorului general, directorului Serviciului Național de Informații, șefilor serviciilor de informații, CLPO ODNI și comisiilor pentru informații ale Congresului, care va fi, de asemenea, făcut public într-o versiune neclasificată – și, la rândul său, va contribui la revizuirea periodică a funcționării prezentei decizii, care va fi efectuată de Comisie. Procurorul general, directorul Serviciului Național de Informații, CLPO ODNI și șefii serviciilor de informații sunt obligați să pună în aplicare sau să abordeze în alt mod toate recomandările incluse în astfel de rapoarte. În plus, PCLOB va emite o certificare anuală publică cu privire la conformitatea instrumentării plângerilor de către mecanismul de recurs cu cerințele OE nr. 14086.

(195)

Pe lângă mecanismul specific de recurs instituit în temeiul OE nr. 14086, toate persoanele (indiferent de cetățenie sau de locul de reședință) au la dispoziție căi de atac înaintea instanțelor de drept comun din SUA (391).

(196)

În special, FISA și o lege conexă prevăd posibilitatea ca persoanele să introducă o acțiune civilă prin care să solicite despăgubiri bănești împotriva Statelor Unite ale Americii, atunci când informațiile cu privire la acestea au fost folosite sau divulgate în mod ilegal și intenționat (392), să introducă o acțiune în justiție împotriva funcționarilor ai guvernului SUA în calitatea lor personală prin care să solicite despăgubiri bănești (393) și să conteste legalitatea supravegherii (și să încerce să suprime informațiile) în cazul în care guvernul SUA intenționează să utilizeze sau să divulge orice informații obținute sau derivate din activitatea de supraveghere electronică împotriva persoanei în cadrul unei proceduri judiciare sau administrative în Statele Unite ale Americii (394). La un nivel mai general, în cazul în care guvernul intenționează să utilizeze informațiile obținute în cursul operațiunilor de colectare de informații împotriva unui suspect într-o cauză penală, cerințele constituționale și legale (395) impun obligații de divulgare a anumitor informații, astfel că inculpatul poate contesta legalitatea colectării și utilizării elementelor de probă de către guvern.

(197)

În plus, există o serie de modalități legale specifice de recurs împotriva funcționarilor guvernamentali pentru accesul ilegal al autorităților la date cu caracter personal sau pentru utilizarea acestora, inclusiv în scopuri presupuse de securitate națională (și anume în baza Legii privind fraudele și abuzurile informatice (396), Legea privind confidențialitatea comunicațiilor electronice (397) și Legea privind dreptul la confidențialitatea informațiilor financiare (398)). Toate aceste acțiuni în justiție se referă la date, persoane vizate și/sau tipuri de acces specifice (de exemplu, accesul de la distanță la un calculator prin intermediul internetului) și sunt disponibile în anumite condiții (de exemplu, comportament intenționat, comportament în afara calității oficiale, prejudiciul suferit).

(198)

O posibilitate de recurs cu caracter mai general este oferită în baza APA (399), potrivit căreia „o persoană care este victima unui abuz juridic în urma acțiunilor agenției sau este afectată ori lezată într-un alt mod în urma acțiunilor agenției” are dreptul la un control jurisdicțional al acestora (400). Acest lucru include posibilitatea de a solicita instanței „să declare ilegale sau să anuleze acțiunile, constatările și concluziile agenției în legătură cu care s-a constatat că sunt […] arbitrare, capricioase, un abuz de putere de apreciere sau neconforme cu legea din orice alt motiv” (401). De exemplu, o instanță de apel federală a hotărât în 2015 cu privire la o cerere în temeiul APA că o colectare în masă de metadate de telefonie de către guvernul SUA nu a fost autorizată în temeiul secțiunii 501 din FISA (402).

(199)

În sfârșit, pe lângă modalitățile de recurs menționate în considerentele 176-198, orice persoană are dreptul de a solicita accesul la evidențele existente ale agențiilor federale în temeiul FOIA, inclusiv în cazul în care acestea conțin datele cu caracter personal ale persoanei respective (403). Un astfel de acces poate facilita, de asemenea, introducerea unei acțiuni înaintea instanțelor de drept comun, inclusiv în sprijinul demonstrării calității procesuale. Agențiile pot refuza accesul la informații care se încadrează în anumite excepții enumerate, inclusiv accesul la informații clasificate în materie de securitate națională și la informații privind investigațiile autorităților de aplicare a legii (404), însă reclamanții care sunt nemulțumiți de răspunsul primit au posibilitatea de a-l contesta prin intermediul controlului administrativ și, ulterior, jurisdicțional (înaintea instanțelor federale) (405).

(200)

Din cele de mai sus rezultă că, atunci când autoritățile de aplicare a legii și autoritățile de securitate națională din Statele Unite ale Americii accesează date cu caracter personal care intră în domeniul de aplicare al prezentei decizii, un astfel de acces este reglementat de un cadru juridic care prevede condițiile în care poate avea loc accesul și garantează că accesul și utilizarea ulterioară a datelor sunt limitate la ceea ce este necesar și proporțional în raport cu obiectivul de interes public urmărit. Aceste garanții pot fi invocate de persoane, care beneficiază de drepturi la căi de atac eficiente.

(201)

Comisia consideră că Statele Unite ale Americii – prin principiile publicate de DoC al SUA – asigură un nivel de protecție a datelor cu caracter personal transferate din Uniune unor organizații certificate din Statele Unite ale Americii în temeiul Cadrului UE-SUA privind confidențialitatea datelor care este în esență echivalent cu cel garantat de Regulamentul (UE) 2016/679.

(202)

În plus, Comisia consideră că aplicarea efectivă a principiilor este garantată de obligațiile privind transparența și gestionarea CCD de către DoC. De asemenea, în ansamblu, mecanismele de supraveghere și de recurs prevăzute în legislația SUA permit identificarea și sancționarea în practică a încălcărilor normelor de protecție a datelor și pun la dispoziția persoanelor vizate căi de atac pentru a obține accesul la datele cu caracter personal care le privesc și, în cele din urmă, rectificarea sau ștergerea datelor respective.

(203)

În sfârșit, pe baza informațiilor disponibile cu privire la ordinea juridică a SUA, inclusiv a informațiilor conținute în anexele VI și VII, Comisia consideră că orice ingerință a autorităților publice din SUA în interes public, în special în scopul asigurării respectării dreptului penal și în scopuri legate de securitatea națională, în drepturile fundamentale ale persoanelor ale căror date cu caracter personal sunt transferate din Uniune către Statele Unite ale Americii în temeiul Cadrului UE-SUA privind confidențialitatea datelor se va limita la ceea ce este strict necesar pentru atingerea obiectivului legitim în cauză și că există o protecție juridică efectivă împotriva unei astfel de ingerințe. Prin urmare, având în vedere constatările de mai sus, ar trebui să se decidă că Statele Unite ale Americii asigură un nivel de protecție adecvat în sensul articolului 45 din Regulamentul (UE) 2016/679, interpretat în lumina Cartei drepturilor fundamentale a Uniunii Europene, pentru datele cu caracter personal transferate din Uniunea Europeană unor organizații certificate în temeiul Cadrului UE-SUA privind confidențialitatea datelor.

(204)

Având în vedere că limitările, garanțiile și mecanismul de recurs instituite prin OE nr. 14086 sunt elemente esențiale ale cadrului juridic al SUA pe care se bazează evaluarea Comisiei, adoptarea prezentei decizii se bazează în special pe adoptarea unor politici și proceduri actualizate de punere în aplicare a OE nr. 14086 de către toate serviciile de informații din SUA și pe desemnarea Uniunii ca organizație eligibilă în scopul mecanismului de recurs, care au avut loc la 3 iulie 2023 (a se vedea considerentul 126) și, respectiv, la 30 iunie 2023 (a se vedea considerentul 176).

(205)

Statele membre și organele acestora au obligația de a lua măsurile necesare pentru a se conforma actelor instituțiilor Uniunii, întrucât se presupune că aceste acte sunt legale și, prin urmare, produc efecte juridice atât timp cât nu sunt retrase, anulate în cadrul unei acțiuni în anulare sau declarate nule ca urmare a unei trimiteri preliminare sau a unei excepții de nelegalitate.

(206)

În consecință, o decizie a Comisiei privind caracterul adecvat al nivelului de protecție, adoptată în temeiul articolului 45 alineatul (3) din Regulamentul (UE) 2016/679, este obligatorie pentru toate organele statelor membre cărora li se adresează, inclusiv pentru autoritățile de supraveghere independente ale acestora. În special, transferurile de la un operator sau o persoană împuternicită de operator din Uniune către organizații certificate din Statele Unite ale Americii poate avea loc fără a fi necesară obținerea unei autorizări suplimentare.

(207)

Ar trebui reamintit faptul că, în temeiul articolului 58 alineatul (5) din Regulamentul (UE) 2016/679 și astfel cum este explicat de Curtea de Justiție în Hotărârea Schrems (406), în cazul în care o autoritate națională pentru protecția datelor pune sub semnul întrebării, inclusiv în urma primirii unei plângeri, compatibilitatea unei decizii a Comisiei privind caracterul adecvat al nivelului de protecție cu dreptul fundamental al unei persoane la viață privată și la protecția datelor, legislația națională trebuie să prevadă o cale de atac pentru a invoca motivele respective în fața unei instanțe naționale, care poate fi obligată să efectueze o trimitere preliminară către Curtea de Justiție (407).

(208)

În conformitate cu jurisprudența Curții de Justiție (408) și astfel cum se prevede la articolul 45 alineatul (4) din Regulamentul (UE) 2016/679, Comisia ar trebui să monitorizeze continuu evoluțiile relevante din țara terță, după adoptarea unei decizii privind caracterul adecvat al nivelului de protecție, pentru a evalua dacă țara terță continuă să asigure un nivel de protecție în esență echivalent. O astfel de verificare se impune, în orice caz, atunci când Comisia primește orice informație care dă naștere unor îndoieli justificate în această privință.

(209)

Prin urmare, Comisia ar trebui să monitorizeze în permanență situația din Statele Unite ale Americii în ceea ce privește cadrul juridic și practica propriu-zisă de prelucrare a datelor cu caracter personal, astfel cum sunt evaluate în prezenta decizie. Pentru a facilita acest proces, autoritățile SUA ar trebui să informeze cu promptitudine Comisia cu privire la evoluțiile semnificative la nivelul ordinii juridice a Statele Unite ale Americii care au un impact asupra cadrului juridic care face obiectul prezentei decizii, precum și cu privire la orice evoluție a practicilor legate de prelucrarea datelor cu caracter personal evaluate în prezenta decizie, atât în ceea ce privește prelucrarea datelor cu caracter personal de către organizații certificate din Statele Unite ale Americii, cât și limitările și garanțiile aplicabile accesului autorităților publice la datele cu caracter personal.

(210)

În plus, pentru a permite Comisiei să își exercite în mod eficace funcția de monitorizare, statele membre ar trebui să informeze Comisia cu privire la orice acțiune relevantă întreprinsă de autoritățile naționale pentru protecția datelor, în special în ceea ce privește solicitările sau plângerile formulate de persoane vizate din Uniune cu privire la transferul de date cu caracter personal din Uniune către organizații certificate din Statele Unite ale Americii. De asemenea, Comisia ar trebui să fie informată cu privire la orice indiciu potrivit căruia acțiunile autorităților publice din SUA responsabile cu prevenirea, investigarea, detectarea sau aducerea în fața instanței a infracțiunilor sau cu securitatea națională, inclusiv acțiunile oricărui organism de supraveghere, nu asigură nivelul de protecție necesar.

(211)

În aplicarea articolului 45 alineatul (3) din Regulamentul (UE) 2016/679 (409), Comisia, în urma adoptării prezentei decizii, ar trebui să verifice periodic dacă respectivele constatări referitoare la caracterul adecvat al nivelului de protecție asigurat de Statele Unite ale Americii în temeiul Cadrului UE-SUA privind confidențialitatea datelor sunt în continuare justificate în fapt și în drept. Întrucât, în special, OE nr. 14086 și Regulamentul PG impun crearea de noi mecanisme și punerea în aplicare a unor noi garanții, prezenta decizie ar trebui să facă obiectul unei prime revizuiri în termen de un an de la intrarea sa în vigoare, pentru a se verifica dacă toate elementele relevante au fost puse în aplicare pe deplin și dacă funcționează în mod eficace în practică. În urma acestei prime revizuiri și în funcție de rezultatul acesteia, Comisia va decide, consultându-se îndeaproape cu comitetul instituit în temeiul articolului 93 alineatul (1) din Regulamentul (UE) 2016/679 și cu Comitetul european pentru protecția datelor, cu privire la periodicitatea revizuirilor viitoare (410).

(212)

Pentru a efectua revizuirile, Comisia ar trebui să participe la reuniuni cu DoC, FTC și DoT însoțite, dacă este cazul, de alte departamente și agenții implicate în punerea în aplicare a CCD UE-SUA, precum și, în ceea ce privește aspectele legate de accesul autorităților la date, de reprezentanți ai DoJ, ODNI (inclusiv CLPO), alte elemente ale Comunității Serviciilor de Informații, DPRC și avocații speciali. Participarea la această reuniune ar trebui să fie deschisă reprezentanților membrilor Comitetului european pentru protecția datelor.

(213)

Revizuirile ar trebui să vizeze toate aspectele legate de funcționarea prezentei decizii în ceea ce privește prelucrarea datelor cu caracter personal în Statele Unite ale Americii, în special de aplicarea și punerea în aplicare a principiilor, acordându-se o atenție deosebită protecției acordate în cazul transferurilor ulterioare, evoluțiilor relevante ale jurisprudenței, eficacității exercitării drepturilor individuale, monitorizării și asigurării respectării principiilor, precum și limitărilor și garanțiilor în ceea ce privește accesul autorităților, mai ales punerii în aplicare și aplicării garanțiilor introduse prin OE nr. 14086, inclusiv prin politici și proceduri elaborate de serviciile de informații, interacțiunii dintre OE nr. 14086 și secțiunea 702 din FISA și OE nr. 12333 și eficacității mecanismelor de supraveghere și de recurs (inclusiv funcționării noului mecanism de recurs instituit în temeiul OE nr. 14086). În contextul revizuirilor respective, se va acorda atenție și cooperării dintre APD și autoritățile competente din Statele Unite ale Americii, inclusiv elaborării de instrucțiuni și alte instrumente de interpretare cu privire la aplicarea principiilor, precum și la alte aspecte ale funcționării cadrului.

(214)

Pe baza revizuirii, Comisia ar trebui să pregătească un raport public care trebuie să fie prezentat Parlamentului European și Consiliului.

(215)

În cazul în care informațiile disponibile, în special informațiile care rezultă din monitorizarea prezentei decizii sau cele furnizate de autoritățile SUA sau ale statelor membre, arată că nivelul de protecție oferit datelor transferate în temeiul prezentei decizii ar putea să nu mai fie adecvat, Comisia ar trebui să informeze cu promptitudine autoritățile SUA competente în acest sens și să solicite luarea unor măsuri adecvate într-un termen rezonabil specificat.

(216)

În cazul în care, la expirarea termenului specificat, autoritățile SUA competente nu iau măsurile respective sau nu demonstrează în mod satisfăcător în alt fel că prezenta decizie continuă să se bazeze pe un nivel adecvat de protecție, Comisia va iniția procedura menționată la articolul 93 alineatul (2) din Regulamentul (UE) 2016/679 în vederea suspendării sau a abrogării parțiale sau integrale a prezentei decizii.

(217)

Ca alternativă, Comisia inițiază această procedură în vederea modificării prezentei decizii, în special prin aplicarea unor condiții suplimentare transferurilor de date sau prin limitarea domeniului de aplicare al constatării referitoare la caracterul adecvat numai la transferurile de date pentru care se asigură în continuare un nivel adecvat de protecție.

(218)

În special, Comisia ar trebui să inițieze procedura de suspendare sau de abrogare în cazul în care:

(219)

De asemenea, Comisia ar trebui să aibă în vedere inițierea procedurii care conduce la modificarea, suspendarea sau abrogarea prezentei decizii în cazul în care autoritățile SUA competente nu furnizează informațiile sau clarificările necesare pentru evaluarea nivelului de protecție acordat datelor cu caracter personal transferate din Uniune către Statele Unite ale Americii sau în ceea ce privește respectarea prezentei decizii. În această privință, Comisia ar trebui să ia în considerare măsura în care informațiile relevante pot fi obținute din alte surse.

(220)

Din motive imperioase de urgență justificate corespunzător, de exemplu, în cazul în care OE nr. 14086 sau Regulamentul PG ar urma să fie modificate, iar modificările aduse ar submina nivelul de protecție descris în prezenta decizie sau în cazul în care desemnarea de către procurorul general a Uniunii ca organizație eligibilă în scopul mecanismului de recurs este retrasă, Comisia va face uz de posibilitatea de a adopta, în conformitate cu procedura menționată la articolul 93 alineatul (3) din Regulamentul (UE) 2016/679, acte de punere în aplicare imediat aplicabile de suspendare, abrogare sau modificare a prezentei decizii.

(221)

Comitetul european pentru protecția datelor și-a publicat avizul (411), care a fost luat în considerare la pregătirea prezentei decizii.

(222)

Parlamentul European a adoptat o rezoluție referitoare la caracterul adecvat al protecției oferite de Cadrul UE-SUA privind confidențialitatea datelor (412).

(223)

Măsurile prevăzute în prezenta decizie sunt conforme cu avizul comitetului instituit în temeiul articolului 93 alineatul (1) din Regulamentul (UE) 2016/679,