(1)

Asetuksessa (EU) 2016/679 (2) vahvistetaan säännöt, joita sovelletaan henkilötietojen siirtoon unioniin sijoittautuneilta rekisterinpitäjiltä tai henkilötietojen käsittelijöiltä kolmansiin maihin ja kansainvälisille järjestöille, siltä osin kuin tällaiset siirrot kuuluvat sen soveltamisalaan. Henkilötietojen kansainvälistä siirtoa koskevat säännöt vahvistetaan asetuksen V luvussa. Kansainvälisen yhteistyön ja kaupan kehittämiseksi on tarpeen siirtää henkilötietoja Euroopan unionin ulkopuolisiin maihin tai niistä unioniin. Samalla on kuitenkin varmistettava, että kolmansiin maihin tai kansainvälisille järjestöille tehtävien siirtojen yhteydessä ei heikennetä henkilötietojen suojan tasoa unionissa (3).

(2)

Asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukaan komissio voi päättää täytäntöönpanosäädöksellä, että jokin kolmas maa tai kolmannen maan alue tai yksi tai useampi tietty sektori varmistaa riittävän tietosuojan. Tämän edellytyksen täyttyessä henkilötietoja voidaan siirtää kyseiselle kolmannelle maalle ilman erillistä lupaa, kuten asetuksen (EU) 2016/679 45 artiklan 1 kohdassa ja johdanto-osan 103 kappaleessa säädetään.

(3)

Kuten asetuksen (EU) 2016/679 45 artiklan 2 kohdassa säädetään, tietosuojan riittävyyttä koskevan päätöksen tekemisen on perustuttava kattavaan analyysiin kolmannen maan oikeusjärjestyksestä. Analyysissa on tarkasteltava sekä tietojen tuojia koskevia sääntöjä että niitä rajoituksia ja suojatoimia, jotka koskevat viranomaisten pääsyä henkilötietoihin. Komission on arvioinnissaan määritettävä, vastaako kyseisen kolmannen maan takaama tietosuojan taso ”olennaisilta osin” unionissa taattua suojan tasoa (asetuksen (EU) 2016/679 johdanto-osan 104 kappale). Tätä on arvioitava suhteessa unionin lainsäädäntöön ja erityisesti asetukseen (EU) 2016/679 sekä Euroopan unionin tuomioistuimen, jäljempänä ’unionin tuomioistuin’, oikeuskäytäntöön (4).

(4)

Unionin tuomioistuin selvensi 6 päivänä lokakuuta 2015 asiassa C-362/14 Maximillian Schrems v. Data Protection Commissioner (5), jäljempänä ’Schrems’, antamassaan tuomiossa, että tämä ei edellytä täysin samaa tietosuojan tasoa. Erityisesti keinot, joita kyseisellä kolmannella maalla on käytettävissään henkilötietojen suojaamiseksi, voivat erota unionissa käytetyistä menetelmistä, kunhan ne käytännössä varmistavat tehokkaasti tietosuojan riittävän tason (6). Tietosuojan tason riittävyyttä koskeva vaatimus ei sen vuoksi edellytä unionin sääntöjen kopiointia kohta kohdalta. Sen sijaan tarkastellaan, onko ulkomaisen järjestelmän antama suoja kokonaisuutena vaaditun tason mukainen. Tällöin selvitetään, mikä on yksityisyyteen liittyvien oikeuksien sisältö ja pannaanko ne täytäntöön ja valvotaanko niiden toteutumista tehokkaasti (7). Kyseisen tuomion mukaan komission olisi lisäksi tätä vaatimusta soveltaessaan arvioitava erityisesti, sisältääkö kyseisen kolmannen maan oikeudellinen kehys sääntöjä, joiden tarkoituksena on rajoittaa niiden henkilöiden perusoikeuksiin puuttumista, joiden tietoja siirretään unionista, kun puuttuminen olisi kyseisen maan valtiollisille elimille sallittua niiden pyrkiessä kansallisen turvallisuuden kaltaisiin legitiimeihin tavoitteisiin, ja onko tällaista puuttumista vastaan olemassa tehokas oikeussuoja (8). Myös Euroopan tietosuojaneuvosto on antanut ohjeistusta tietosuojan riittävyyden tutkimisesta (9).

(5)

Unionin tuomioistuin selvensi tällaista yksityisyyden suojaa ja tietosuojaa koskeviin perusoikeuksiin puuttumista koskevaa vaatimusta 16 päivänä heinäkuuta 2020 asiassa C-311/18, Data Protection Commissioner v. Facebook Ireland Limited ja Maximillian Schrems, jäljempänä ’Schrems II’, antamassaan tuomiossa, jolla mitätöitiin aikaisempaa transatlanttista tietovirtakehystä eli EU:n ja Yhdysvaltojen välistä Privacy Shield -järjestelyä, jäljempänä ’Privacy Shield -järjestely’, koskeva komission täytäntöönpanopäätös (EU) 2016/1250 (10). Unionin tuomioistuin katsoi, että Yhdysvaltojen viranomaisten pääsyä henkilötietoihin, jotka on siirretty unionista Yhdysvaltoihin kansalliseen turvallisuuteen liittyviä tarkoituksia varten, ja näiden tietojen käyttöä koskevasta Yhdysvaltojen kansallisesta lainsäädännöstä johtuvia henkilötietojen suojan rajoituksia ei ole toteutettu tavalla, joka täyttäisi pääosiltaan unionin lainsäädäntöä vastaavat vaatimukset, siltä osin kuin on kyse tällaisen puuttumisen tarpeellisuudesta ja oikeasuhteisuudesta tietosuojaa koskevaan oikeuteen nähden (11). Unionin tuomioistuin katsoi myös, että oikeussuojakeinoja ei ole saatavilla sellaisessa elimessä, joka antaa henkilöille, joiden tiedot on siirretty Yhdysvaltoihin, takeet, jotka pääosiltaan vastaavat oikeutta tehokkaisiin oikeussuojakeinoihin koskevassa perusoikeuskirjan 47 artiklassa edellytettyjä takeita (12).

(6)

Schrems II -asiassa annetun tuomion jälkeen komissio aloitti Yhdysvaltojen hallituksen kanssa neuvottelut mahdollisesta uudesta tietosuojan tason riittävyyttä koskevasta päätöksestä, joka olisi asetuksen (EU) 2016/679 45 artiklan 2 kohdan vaatimusten mukainen, sellaisina kuin unionin tuomioistuin on niitä tulkinnut. Näiden neuvottelujen tuloksena Yhdysvallat antoi 7 päivänä lokakuuta 2022 Yhdysvaltojen signaalitiedustelutoiminnan suojatoimien tehostamista koskevan toimeenpanoasetuksen (executive order) EO 14086, jäljempänä ’toimeenpanoasetus 14086’, jota on täydennetty tietosuojaa käsittelevästä muutoksenhakutuomioistuimesta annetulla Yhdysvaltojen oikeusministerin asetuksella, jäljempänä ’oikeusministerin asetus’ (13). Lisäksi on päivitetty tämän päätöksen nojalla unionista siirrettäviä tietoja käsitteleviin kaupallisiin toimijoihin sovellettavaa kehystä eli EU:n ja Yhdysvaltojen tietosuojakehystä, jäljempänä ’tietosuojakehys’.

(7)

Komissio on analysoinut huolellisesti Yhdysvaltojen lainsäädäntöä ja käytäntöä, mukaan lukien toimeenpanoasetus 14086 ja oikeusministerin asetus. Johdanto-osan 9–200 kappaleessa esitettyjen havaintojen perusteella komissio päättelee, että Yhdysvallat takaa tietosuojan riittävän tason henkilötiedoille, jotka siirretään tietosuojakehyksen puitteissa unioniin sijoittautuneelta rekisterinpitäjältä tai henkilötietojen käsittelijältä (14) Yhdysvalloissa sijaitseville varmennetuille organisaatioille.

(8)

Tämän päätöksen seurauksena henkilötietojen siirrot unioniin sijoittautuneilta rekisterinpitäjiltä ja henkilötietojen käsittelijöiltä (15) Yhdysvaltoihin sijoittautuneille varmennetuille organisaatioille voidaan toteuttaa ilman eri hyväksyntää. Päätös ei rajoita asetuksen (EU) 2016/679 suoraa soveltamista tällaisiin organisaatioihin silloin, kun kyseisen asetuksen 3 artiklassa säädetyt alueellista soveltamista koskevat edellytykset täyttyvät.

(9)

EU:n ja Yhdysvaltojen tietosuojakehys perustuu varmennusjärjestelmään, jolla yhdysvaltalaiset organisaatiot sitoutuvat tiettyihin yksityisyyden suojaa koskeviin tietosuojakehyksen periaatteisiin, mukaan lukien täydentävät periaatteet, jäljempänä yhdessä ’järjestelyn periaatteet’, jotka on antanut Yhdysvaltojen kauppaministeriö ja jotka sisältyvät tämän päätöksen liitteeseen I (16). Jotta organisaatio voisi antaa tietosuojakehyksen mukaisen varmennuksen, sen on oltava liittovaltion kauppakomission tai liikenneministeriön tutkinta- ja täytäntöönpanovallan alainen (17). Järjestelyn periaatteita sovelletaan välittömästi varmennuksen jälkeen. Kuten johdanto-osan 48–52 kappaleessa tarkennetaan, tietosuojakehykseen kuuluvien organisaatioiden on vuosittain varmennettava uudelleen sitoutumisensa järjestelyn periaatteisiin (18).

(10)

Tietosuojakehyksen tarjoama suoja kattaa kaikki henkilötiedot, jotka siirretään unionista Yhdysvalloissa sijaitseville organisaatioille, jotka ovat varmentaneet Yhdysvaltojen kauppaministeriölle sitoutuvansa järjestelyn periaatteisiin, lukuun ottamatta tietoja, jotka kerätään julkaisemista, radio- ja tv-lähetystoimintaa tai muuta journalistisen aineiston julkista viestintää varten, ja tietoja, jotka löytyvät aikaisemmin julkaistusta tiedotusvälineiden arkistoista levitetystä aineistosta (19). Viimeksi mainittuja tietoja ei näin ollen voida siirtää tietosuojakehyksen puitteissa.

(11)

Järjestelyn periaatteissa henkilötiedoilla tarkoitetaan asetuksen (EU) 2016/679 tapaan jossakin muodossa rekisteröityjä tunnistetun tai tunnistettavan henkilön tietoja, joihin sovelletaan yleistä tietosuoja-asetusta ja jotka yhdysvaltalainen organisaatio on vastaanottanut EU:sta (20). Ne kattavat myös pseudonymisoidut (tai ”avainkoodatut”) tutkimustiedot (myös silloin, kun avainta ei jaeta vastaanottavan yhdysvaltalaisen organisaation kanssa) (21). Henkilötietojen käsittelyllä tarkoitetaan kaikenlaisia sellaisia toimintoja tai toimintojen kokonaisuuksia, joita kohdistetaan henkilötietoihin joko automaattisen tietojenkäsittelyn avulla tai manuaalisesti, kuten tietojen kerääminen, tallentaminen, järjestäminen, säilyttäminen, muokkaaminen tai muuttaminen, tiedon haku, kysely, käyttö, luovuttaminen tai levittäminen sekä poistaminen tai tuhoaminen (22).

(12)

Tietosuojakehystä sovelletaan Yhdysvalloissa organisaatioihin, jotka voidaan katsoa rekisterinpitäjiksi (henkilö tai organisaatio, joka yksin tai yhdessä muiden kanssa määrittää henkilötietojen käsittelyn tarkoitukset ja keinot) (23) tai henkilötietojen käsittelijöiksi (rekisterinpitäjän puolesta toimiva edustaja) (24). Yhdysvaltoihin sijoittautuneiden henkilötietojen käsittelijöiden on oltava sopimuksen nojalla velvollisia toimimaan ainoastaan EU:n rekisterinpitäjän ohjeiden perusteella ja avustamaan sitä vastattaessa henkilöille, jotka käyttävät järjestelyn periaatteiden mukaisia oikeuksiaan (25). Lisäksi henkilötietojen käsittelijän on alihankintana teetettävän tietojen käsittelyn osalta tehtävä alihankkijan kanssa sopimus, jossa taataan samantasoinen suoja kuin järjestelyn periaatteissa, ja varmistettava sen asianmukainen täytäntöönpano (26).

(13)

Henkilötietojen käsittelyn olisi oltava lainmukaista ja asianmukaista. Henkilötietoja olisi kerättävä tiettyä tarkoitusta varten ja käytettävä myöhemmin vain siltä osin kuin käyttö ei ole ristiriidassa kyseisen tarkoituksen kanssa.

(14)

Tietosuojakehyksessä tämä on varmistettu erilaisilla periaatteilla. Ensinnäkin tietojen eheyden ja käyttötarkoitussidonnaisuuden periaatteen (Data Integrity and Purpose Limitation Principle), samoin kuin asetuksen (EU) 2016/679 5 artiklan 1 kohdan b alakohdan mukaan, organisaatio ei saa käsitellä henkilötietoja tavalla, joka ei vastaa tietojen keruun alkuperäistä tarkoitusta tai tarkoitusta, johon kyseinen rekisteröity oli myöhemmin antanut suostumuksensa (27).

(15)

Jotta organisaatio voisi käyttää henkilötietoja uuteen (muutettuun) tarkoitukseen, joka poikkeaa olennaisesti alkuperäisestä tarkoituksesta mutta on edelleen sen kanssa yhteensopiva, tai luovuttaa henkilötiedot kolmannelle osapuolelle, organisaatiolla on oltava selkeä, helposti havaittava ja käytettävä mekanismi, jonka avulla rekisteröidyt voivat halutessaan kieltää tietojen siirtämisen valintaperiaatteen (Choice Principle) (28) mukaisesti. Valintaperiaate ei kuitenkaan korvaa periaatteiden vastaisen tietojen käsittelyn nimenomaista kieltoa (29).

(16)

”Erityisiä tietoryhmiä” käsiteltäessä olisi sovellettava erityisiä suojatoimia.

(17)

Valintaperiaatteen mukaisesti on sovellettava erityisiä suojatoimia silloin, kun käsitellään ”arkaluonteisia tietoja” eli henkilötietoja, jotka koskevat henkilön terveydentilaa, rotua tai etnistä alkuperää, poliittista kantaa, uskonnollista tai eettistä vakaumusta, kuulumista ammattiliittoon, sukupuolielämää tai mitä tahansa muita kolmannelta osapuolelta saatuja tietoja, joita kyseinen osapuoli pitää ja käsittelee arkaluontoisina (30). Tämä tarkoittaa, että varmennetut organisaatiot käsittelevät kaikkia unionin tietosuojalainsäädännössä arkaluonteisiksi katsottuja tietoja (mukaan lukien seksuaalista suuntautumista ja perimää koskevat tiedot ja biometriset tiedot) arkaluonteisina myös EU:n ja Yhdysvaltojen tietosuojakehyksen puitteissa.

(18)

Organisaatioiden on pääsääntöisesti saatava henkilöiltä nimenomainen suostumus voidakseen käyttää arkaluonteisia tietoja muihin tarkoituksiin kuin niihin, joita varten ne on alun perin kerätty tai joita varten henkilö on antanut suostumuksensa, tai voidakseen luovuttaa ne kolmansille osapuolille (31).

(19)

Tällaista suostumusta ei tarvita unionin tietosuojalainsäädännössä säädettyihin poikkeuksiin verrattavissa olevissa rajoitetuissa olosuhteissa, esimerkiksi silloin, kun arkaluonteisten tietojen käsittely on henkilön elintärkeiden etujen mukaista tai se on tarpeen oikeudellisen vaatimuksen laatimista taikka lääketieteellisen hoidon antamista tai diagnoosin tekemistä varten (32).

(20)

Tietojen on oltava täsmällisiä, ja ne on tarvittaessa pidettävä ajan tasalla. Tietojen on myös oltava asianmukaisia, olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään, ja periaatteessa niitä pitäisi säilyttää ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten.

(21)

Tietojen eheyden ja käyttötarkoituksen rajoittamisen periaatteen (33) mukaan henkilötiedot on rajoitettava siihen, mikä on käsittelyn tarkoituksen kannalta merkityksellistä. Organisaation on myös toteutettava tarvittavat kohtuulliset toimet sen varmistamiseksi, että henkilötiedot ovat käyttötarkoitukseensa nähden luotettavia sekä lisäksi tarkkoja, täydellisiä ja ajantasaisia.

(22)

Lisäksi henkilökohtaiset tiedot voidaan valintaperiaatteen mukaan säilyttää muodossa, jossa henkilö tunnistetaan tai voidaan tunnistaa (eli henkilötietojen muodossa) (34) ainoastaan niin kauan kuin on tarpeen sitä tarkoitusta varten, johon tiedot alun perin kerättiin tai johon henkilö on myöhemmin antanut luvan. Tämä velvoite ei estä organisaatioita käsittelemästä henkilötietoja pidempää aikaa mutta ainoastaan niin kauan ja siinä määrin kuin tällainen käsittely kohtuudella palvelee jotakin seuraavista tarkoituksista, jotka ovat verrattavissa unionin tietosuojalainsäädännössä säädettyihin poikkeuksiin: arkistointi yleisen edun nimissä, journalismi, kirjallisuus ja taide, tieteellinen ja historiantutkimus ja tilastollinen analyysi (35). Jos henkilötietoja säilytetään jotakin tällaista tarkoitusta varten, niiden käsittely edellyttää järjestelyn periaatteiden mukaisia suojatoimia (36).

(23)

Henkilötietoja olisi myös käsiteltävä tavalla, jolla varmistetaan niiden turvallisuus, mukaan lukien suojaaminen luvattomalta tai laittomalta käsittelyltä sekä vahingossa tapahtuvalta häviämiseltä, tuhoutumiselta tai vahingoittumiselta. Tätä varten rekisterinpitäjien ja henkilötietojen käsittelijöiden olisi toteutettava asianmukaisia teknisiä tai organisatorisia toimenpiteitä henkilötietojen suojaamiseksi mahdollisilta uhkilta. Näitä toimenpiteitä arvioitaessa olisi otettava huomioon uusin tekniikka, toimenpiteisiin liittyvät kustannukset sekä käsittelyn luonne, laajuus, konteksti ja tarkoitus sekä yksilöiden oikeuksiin kohdistuvat riskit.

(24)

Tietosuojakehyksessä tämä varmistetaan turvallisuusperiaatteella (Security Principle), jossa edellytetään asetuksen (EU) 2016/679 32 artiklan tavoin, että on toteutettava kohtuullisia ja asianmukaisia turvallisuustoimenpiteitä ottaen huomioon käsittelyyn liittyvät riskit ja tietojen luonne (37).

(25)

Rekisteröidyille olisi ilmoitettava heidän henkilötietojensa käsittelyn pääkohdat.

(26)

Tämä varmistetaan ilmoitusperiaatteella (38), jolla organisaatiot velvoitetaan asetuksen (EU) 2016/679 läpinäkyvyysvaatimusten tapaan ilmoittamaan rekisteröidyille muun muassa i) organisaation osallistumisesta tietosuojakehykseen, ii) kerättyjen tietojen tyyppi, iii) käsittelyn tarkoitus, iv) minkä tyyppisille kolmansille osapuolille henkilötietoja voidaan luovuttaa ja keitä nämä kolmannet osapuolet ovat sekä mitä tarkoitusta varten tiedot luovutetaan, v) rekisteröidyn oikeudet, vi) organisaation yhteystiedot ja vii) käytettävissä olevat oikeussuojamekanismit.

(27)

Ilmoituksessa käytetyn kielen on oltava selkeää, ja ilmoituksen on oltava henkilön helposti havaittavissa. Ilmoitus on annettava, kun henkilöä pyydetään ensimmäistä kertaa antamaan henkilötietoja organisaatiolle, tai niin pian kuin ilmoituksen antaminen on käytännössä mahdollista. Ilmoitus on annettava joka tapauksessa ennen henkilötietojen käyttämistä olennaisesti poikkeavaan (mutta yhteensopivaan) tarkoitukseen kuin siihen, jota varten ne on alun perin kerätty, tai ennen niiden luovuttamista ensimmäisen kerran kolmannelle osapuolelle (39).

(28)

Lisäksi organisaatioiden on julkistettava tietosuojaperiaatteensa, joissa otetaan huomioon järjestelyn periaatteet (tai henkilöstötietojen tapauksessa asetettava ne asianomaisten helposti saataville), ja annettava linkit kauppaministeriön verkkosivustolle (jolla on lisätietoja varmennuksesta, rekisteröityjen oikeuksista ja käytettävissä olevista muutoksenhakumenettelyistä), tietosuojakehykseen osallistuvien organisaatioiden luetteloon, jäljempänä ’tietosuojakehyksen osallistujaluettelo’, ja asianmukaisen vaihtoehtoisen riitojenratkaisuelimen verkkosivustolle (40).

(29)

Rekisteröidyillä olisi oltava tietyt oikeudet, joihin voidaan vedota rekisterinpitäjää tai henkilötietojen käsittelijää vastaan, kuten oikeus saada pääsy tietoihin, oikeus vastustaa niiden käsittelyä ja oikeus saada tiedot oikaistuiksi ja poistetuiksi.

(30)

Tietosuojakehykseen sisältyvä tiedonsaantiperiaate (Access Principle) (41) takaa yksilöille nämä oikeudet. Rekisteröidyllä on erityisesti oikeus saada organisaatiolta ilman perusteluja tieto siitä, käsitteleekö organisaatio häneen liittyviä henkilötietoja, oikeus saada tiedot itselleen ja oikeus saada tietoa käsittelyn tarkoituksesta, käsiteltävien henkilötietojen ryhmistä sekä vastaanottajista (ryhmistä), joille tietoja luovutetaan (42). Organisaatioiden on vastattava tietopyyntöihin kohtuullisessa ajassa (43). Organisaatio voi asettaa kohtuulliset rajoitukset sille, miten usein yhden henkilön tietopyyntöihin vastataan tietyllä ajanjaksolla, ja se voi periä kohtuullisen maksun esimerkiksi silloin, kun tietopyyntöjä tehdään kohtuuttoman usein (44).

(31)

Oikeutta saada pääsy tietoihin voidaan rajoittaa vain poikkeuksellisissa olosuhteissa, jotka ovat samankaltaisia kuin unionin tietosuojalainsäädännössä säädetyt olosuhteet. Näin on erityisesti silloin, kun tiedonsaantioikeus loukkaisi muiden henkilöiden laillisia oikeuksia, kun oikeuden myöntämisestä aiheutuva rasitus tai siitä syntyvät kustannukset olisivat suhteettoman suuria verrattuina henkilön tietosuojaan kohdistuviin riskeihin kyseisissä olosuhteissa (pelkkien kustannusten ja rasituksen perusteella ei kuitenkaan päätetä, onko tietojen luovuttaminen kohtuullista), kun tietojen luovuttaminen todennäköisesti vaarantaisi vastakkaisen tärkeän yleisen edun, kuten kansallisen turvallisuuden, yleisen turvallisuuden tai maanpuolustuksen, kun tietoihin sisältyy luottamuksellisia kaupallisia tietoja tai kun tietoja käsitellään ainoastaan tutkimus- tai tilastotarkoituksia varten (45). Tiedonsaantioikeuden epäämisen tai rajoittamisen on oltava välttämätöntä ja se on perusteltava asianmukaisesti, ja organisaation on osoitettava näiden vaatimusten täyttäminen (46). Tätä arviointia tehdessään organisaation on otettava erityisesti huomioon kyseisen yksilön etu (47). Jos tiedot on mahdollista erottaa muista, rajoituksen piiriin kuuluvista tiedoista, organisaation on erotettava suojatut tiedot jäljelle jäävistä tiedoista, jotka luovutetaan niiden pyytäjälle (48).

(32)

Rekisteröidyllä on lisäksi oikeus vaatia virheellisten tietojen oikaisemista tai muuttamista sekä sellaisten tietojen poistamista, joita on käsitelty järjestelyn periaatteiden vastaisesti (49). Kuten johdanto-osan 15 kappaleessa selitetään, henkilöillä on lisäksi oikeus vastustaa tietojen käsittelyä tai kieltää se, kun käyttötarkoitus (vaikka se olisikin hyväksyttävä) poikkeaa olennaisesti tarkoituksesta, jota varten tiedot on kerätty, sekä oikeus vastustaa tietojen luovuttamista kolmansille osapuolille tai kieltää se. Jos henkilötietoja käytetään suoramarkkinointiin, henkilöllä on yleinen oikeus kieltää niiden käsittely milloin tahansa (50).

(33)

Järjestelyn periaatteissa ei erityisesti käsitellä rekisteröityyn vaikuttavia päätöksiä, jotka perustuisivat yksinomaan henkilötietojen automaattiseen käsittelyyn. Unionissa kerättyjen henkilötietojen osalta mahdollisen automatisoituun käsittelyyn perustuvan päätöksen tekee kuitenkin yleensä unionissa toimiva rekisterinpitäjä (jolla on suora suhde kyseiseen rekisteröityyn), ja näin ollen kyseiseen päätökseen sovelletaan suoraan asetusta (EU) 2016/679 (51). Tähän kuuluvat siirtotilanteet, joissa tietojen käsittelyn suorittaa ulkomainen (esimerkiksi yhdysvaltalainen) toiminnanharjoittaja, joka toimii unionin rekisterinpitäjän puolesta (käsittelijänä) (tai unionin käsittelijän alihankkijana vastaanotettuaan tiedot ne keränneeltä unionin rekisterinpitäjältä); päätöksen tekee tämän perusteella unionin rekisterinpitäjä.

(34)

Tämä vahvistettiin komission vuonna 2018 teettämässä tutkimuksessa Privacy Shield -järjestelyn toiminnan toisen vuotuisen uudelleentarkastelun yhteydessä (52). Tutkimuksessa todettiin, että tuolloin ei ollut näyttöä siitä, että Privacy Shield -järjestelyyn kuuluvat organisaatiot normaalisti soveltaisivat automatisoitua päätöksentekoa Privacy Shield -järjestelyssä siirrettyjen henkilötietojen perusteella.

(35)

Aloilla, joilla yritykset todennäköisimmin käyttävät henkilötietojen automatisoitua käsittelyä, kun ne tekevät henkilöön vaikuttavia päätöksiä (esimerkiksi luotonanto, asuntolainatarjoukset, työllisyys, asuminen ja vakuutukset), Yhdysvaltojen lainsäädäntö tarjoaa erityisiä suojatoimia kielteisiä päätöksiä vastaan (53). Kyseisten säädösten mukaan henkilöillä on yleensä oikeus saada tietoonsa päätöksen (esimerkiksi luoton hylkääminen) perustana olleet syyt, riitauttaa puutteelliset tai virheelliset tiedot (sekä lainvastaisten perusteiden käyttö) ja hakea muutosta. Kulutusluottojen osalta luottokelpoisuusraportointia koskeva laki (Fair Credit Reporting Act) ja yhtäläisiä luotonsaantimahdollisuuksia koskeva laki (Equal Credit Opportunity Act) sisältävät suojatoimia, jotka antavat kuluttajille oikeuden selitykseen ja oikeuden riitauttaa päätös. Nämä lait ovat merkityksellisiä useiden kysymysten, kuten luotonannon, työllisyyden, asumisen ja vakuutusten kannalta. Lisäksi tietyissä syrjinnän vastaisissa laeissa, kuten kansalaisoikeuslain (Civil Rights Act) VII osastossa ja oikeudenmukaista asumista koskevassa laissa (Fair Housing Act), henkilöille tarjotaan suoja automatisoidussa päätöksenteossa käytettäviä malleja vastaan, sillä ne voivat johtaa syrjintään tiettyjen ominaisuuksien perusteella. Henkilöille myönnetään oikeus riitauttaa tällaiset päätökset, automatisoidut päätökset mukaan lukien. Sairausvakuutuslain (Health Insurance Portability and Accountability Act) yksityisyyden suojaa koskevalla säännöllä (Privacy Rule) luodaan terveystietoja koskevia oikeuksia, jotka vastaavat asetuksen (EU) 2016/679 henkilökohtaisten terveystietojen saatavuutta koskevia oikeuksia. Lisäksi terveydenhuoltopalvelujen tarjoajien on Yhdysvaltojen viranomaisten ohjeiden mukaan saatava tietoja, joiden avulla ne voivat kertoa henkilöille lääketieteen alalla käytettävistä automatisoiduista päätöksentekojärjestelmistä (54).

(36)

Näin ollen nämä säännöt tarjoavat samanlaisia suojatoimia kuin unionin tietosuojalainsäädännössä säädetyt suojatoimet siinä epätodennäköisessä tilanteessa, että tietosuojakehykseen osallistuva organisaatio tekisi itse automatisoituja päätöksiä.

(37)

Unionista Yhdysvalloissa oleville organisaatioille siirrettyjen henkilötietojen suojan tasoa ei saa heikentää siirtämällä näitä tietoja edelleen Yhdysvalloissa tai muussa kolmannessa maassa sijaitseville vastaanottajille.

(38)

Tietojen edelleen siirtämiseen liittyvää vastuuvelvollisuutta koskevan periaatteen (55) mukaan on sovellettava erityisiä sääntöjä niin sanottuun ”tietojen edelleen siirtämiseen” eli henkilötietojen siirtämiseen tietosuojakehykseen osallistuvalta organisaatiolta rekisterinpitäjänä tai henkilötietojen käsittelijänä toimivalle kolmannelle osapuolelle, riippumatta siitä, sijaitseeko viimeksi mainittu Yhdysvalloissa vai Yhdysvaltojen (ja unionin) ulkopuolisessa kolmannessa maassa. Tietoja voidaan siirtää edelleen vain i) rajoitettuihin ja täsmennettyihin tarkoituksiin, ii) tietosuojakehykseen osallistuvan organisaation ja kolmannen osapuolen välisen sopimuksen perusteella (56) (tai vastaavan konsernin sisäisen järjestelyn perusteella (57)) ja iii) ainoastaan, jos sopimuksessa edellytetään, että kolmannen osapuolen on tarjottava suojan taso, joka vastaa järjestelyn periaatteiden takaamaa suojan tasoa.

(39)

Velvollisuus tarjota samantasoinen tietosuoja kuin järjestelyn periaatteissa, luettuna yhdessä tietojen eheyden ja käyttötarkoituksen rajoittamisen periaatteen (Data Integrity and Purpose Limitation Principle) kanssa, tarkoittaa erityisesti sitä, että kolmas osapuoli voi käsitellä sille toimitettuja henkilötietoja ainoastaan sellaisia tarkoituksia varten, jotka eivät ole ristiriidassa niiden tarkoitusten kanssa, joita varten tiedot on alun perin kerätty tai joihin henkilö on myöhemmin antanut luvan (valintaperiaatteen mukaisesti).

(40)

Tietojen edelleen siirtämiseen liittyvää vastuuvelvollisuutta koskevaa periaatetta olisi luettava yhdessä myös ilmoitusperiaatteen kanssa ja, kun kyseessä on tietojen siirtäminen rekisterinpitäjänä toimivalle kolmannelle osapuolelle (58), valintaperiaatteen kanssa, jonka mukaan rekisteröidyille on ilmoitettava (muun muassa) mahdollisen kolmannen vastaanottajan tyyppi/nimi, edelleensiirron tarkoitus ja tarjottu valintaoikeus. Rekisteröidyille on myös ilmoitettava mahdollisuudesta kieltää tiedonsiirto ja arkaluonteisten tietojen tapauksessa myös tieto siitä, että niiden on annettava tietojen siirrolle ”nimenomainen myönteinen suostumus”.

(41)

Velvollisuutta tarjota periaatteissa vaadittua vastaava suoja sovelletaan kaikkiin kolmansiin osapuoliin, jotka osallistuvat siirrettyjen tietojen käsittelyyn sijainnistaan (Yhdysvalloissa tai muussa kolmannessa maassa) riippumatta, samoin kuin silloin, kun alkuperäinen kolmantena osapuolena toimiva vastaanottaja itse siirtää kyseisiä tietoja toiselle kolmantena osapuolena olevalle vastaanottajalle esimerkiksi alihankintana teetettävää käsittelyä varten.

(42)

Kolmantena osapuolena olevan vastaanottajan kanssa tehdyssä sopimuksessa on kaikissa tapauksissa määrättävä siitä, että kyseinen osapuoli ilmoittaa tietosuojakehykseen osallistuvalle organisaatiolle, jos se toteaa, ettei se voi enää täyttää velvollisuuttaan. Kun tällaiseen toteamukseen on päädytty, kolmannen osapuolen on lopetettava tietojen käsittely tai ryhdyttävä muihin kohtuullisiin ja asianmukaisiin toimiin tilanteen korjaamiseksi (59).

(43)

Lisäsuojatoimia sovelletaan, kun tietoja siirretään edelleen edustajana toimivalle kolmannelle osapuolelle (eli henkilötietojen käsittelijälle). Tällaisessa tapauksessa kyseisen yhdysvaltalaisen organisaation on varmistettava, että edustaja toimii ainoastaan sen ohjeiden mukaisesti, ja toteutettava kohtuullisia ja asianmukaisia toimia i) sen varmistamiseksi, että edustaja todella käsittelee siirretyt henkilötiedot tavalla, joka vastaa järjestelyn periaatteissa vahvistettuja organisaation velvoitteita, ja ii) luvattoman käsittelyn lopettamiseksi ja tilanteen korjaamiseksi, kun se on saanut tätä koskevan ilmoituksen (60). Yhdysvaltojen kauppaministeriö voi vaatia organisaatiota toimittamaan yhteenvedon tai olennaiset osat sisältävän jäljennöksen sopimuksen yksityisyyden suojaa koskevista määräyksistä (61). Jos (alihankinnan) käsittelyketjussa esiintyy periaatteiden noudattamiseen liittyviä ongelmia, rekisterinpitäjänä toimivan organisaation on todistettava, että se ei ole vastuussa vahingon aiheuttaneesta tapahtumasta, tai muuten se joutuu vastuuseen muutoksenhaku-, täytäntöönpano- ja vastuuperiaatteen mukaisesti (62).

(44)

Vastuuvelvollisuutta koskevan periaatteen mukaan tietoja käsittelevien yksiköiden on otettava käyttöön asianmukaiset tekniset ja organisatoriset toimenpiteet, jotta ne voivat tehokkaasti noudattaa tietosuojavelvoitteitaan ja osoittaa erityisesti toimivaltaiselle valvontaviranomaiselle niiden noudattamisen.

(45)

Kun organisaatio on vapaaehtoisesti päättänyt antaa varmennuksen (63) tietosuojakehyksen puitteissa, järjestelyn periaatteiden noudattamisesta tulee pakollista, ja sen noudattamista voidaan vaatia oikeudessa. Muutoksenhaku-, täytäntöönpano- ja vastuuperiaatteen (64) mukaan tietosuojakehykseen osallistuvien organisaatioiden on tarjottava tehokkaat mekanismit periaatteiden noudattamisen varmistamiseksi. Organisaatioiden on myös toteutettava toimenpiteitä sen varmistamiseksi (65), että niiden tietosuojaperiaatteet vastaavat järjestelyn periaatteita ja että niitä tosiasiallisesti noudatetaan. Tämä voidaan tehdä joko itsearviointijärjestelmän avulla, jonka tulee sisältää sisäiset menettelyt, joilla varmistetaan, että työntekijät saavat koulutusta organisaation tietosuojaperiaatteiden täytäntöönpanosta ja että periaatteiden noudattamista tarkastellaan säännöllisesti ja puolueettomasti, tai ulkoisen uudelleentarkastelun avulla, mihin voi sisältyä tarkastuksia, pistokokeita ja teknisten välineiden käyttöä.

(46)

Organisaatioiden on lisäksi dokumentoitava tietosuojakehyksen mukaisten käytäntöjen täytäntöönpano ja toimitettava pyynnöstä asiaa koskeva dokumentaatio periaatteiden noudattamista koskevan tutkinnan tai valitusmenettelyn yhteydessä riippumattomalle riitojenratkaisuelimelle tai toimivaltaiselle lainvalvontaviranomaiselle (66).

(47)

Tietosuojakehystä hallinnoi ja seuraa kauppaministeriö. Tietosuojakehyksessä määrätään valvonta- ja täytäntöönpanomekanismeista, jotta voidaan tarkastaa ja varmistaa, että tietosuojakehykseen osallistuvat organisaatiot noudattavat järjestelyn periaatteita ja että mahdolliseen periaatteiden noudattamatta jättämiseen puututaan. Nämä mekanismit on esitetty järjestelyn periaatteissa (liite I) sekä kauppaministeriön (liite III), liittovaltion kauppakomission (liite IV) ja liikenneministeriön (liite V) antamissa sitoumuksissa.

(48)

Tietosuojakehykseen osallistuvien organisaatioiden varmennus (tai vuosittainen uudelleenvarmennus) edellyttää, että organisaatiot sitoutuvat julkisesti noudattamaan järjestelyn periaatteita, asettavat tietosuojaperiaatteensa saataville ja panevat ne kaikilta osin täytäntöön (67). Organisaatioiden on osana (uudelleen)varmennushakemustaan toimitettava kauppaministeriölle tiedot muun muassa seuraavista: organisaation nimi, organisaation suorittaman henkilötietojen käsittelyn tarkoitus, varmennuksen kattamat henkilötiedot sekä valittu tarkastamismenetelmä, sovellettava riippumaton muutoksenhakumekanismi ja lakisääteinen elin, jolla on toimivalta valvoa järjestelyn periaatteiden noudattamista (68).

(49)

Organisaatio voi vastaanottaa henkilötietoja tietosuojakehyksen puitteissa siitä päivästä alkaen, jona kauppaministeriö on lisännyt sen tietosuojakehyksen osallistujaluetteloon. Oikeusvarmuuden takaamiseksi ja totuudenvastaisten väitteiden välttämiseksi ensimmäistä kertaa varmennuksen antavat organisaatiot eivät saa ilmoittaa julkisesti noudattavansa järjestelmän periaatteita ennen kuin kauppaministeriö on todennut, että organisaation varmennus on saatettu päätökseen, ja lisännyt organisaation osallistujaluetteloon (69). Jotta organisaatio voi jatkaa osallistumistaan tietosuojakehykseen voidakseen vastaanottaa henkilötietoja unionista, sen on varmennettava osallistumisensa järjestelyyn uudelleen vuosittain. Kun organisaatio vetäytyy tietosuojakehyksestä mistä tahansa syystä, sen on poistettava kaikki maininnat, joista voisi päätellä, että se osallistuu edelleen tietosuojakehykseen (70).

(50)

Liitteessä III esitettyjen sitoumusten mukaisesti kauppaministeriö tarkastaa, täyttävätkö organisaatiot kaikki varmennusta koskevat vaatimukset ja ovatko ne ottaneet käyttöön (julkiset) tietosuojaperiaatteet, jotka sisältävät ilmoitusperiaatteen edellyttämät tiedot (71). Kauppaministeriö tekee Privacy Shield -järjestelyn mukaisesta (uudelleen)varmennusprosessista saatujen kokemusten perusteella useita tarkastuksia muun muassa sen toteamiseksi, sisältävätkö organisaatioiden tietosuojaperiaatteet linkin oikeaan valituslomakkeeseen asianomaisen riitojenratkaisumekanismin verkkosivustolla. Kun varmennukseen sisältyy useita saman organisaation yksikköjä ja tytäryhtiöitä, se tarkastaa, täyttävätkö kunkin yksikön tietosuojaperiaatteet varmennusvaatimukset ja ovatko ne helposti rekisteröityjen saatavilla (72). Lisäksi kauppaministeriö tekee tarvittaessa liittovaltion kauppakomission ja liikenneministeriön kanssa ristiintarkastuksia sen varmistamiseksi, että organisaatioita valvovat niiden (uudelleen)varmennuksessa nimetyt valvontaelimet. Kauppaministeriö tekee myös yhteistyötä vaihtoehtoisten riitojenratkaisuelinten kanssa sen varmistamiseksi, että organisaatiot on rekisteröity niiden (uudelleen)varmennuksessa yksilöityyn riippumattomaan muutoksenhakumekanismiin (73).

(51)

Kauppaministeriö ilmoittaa organisaatioille, että niiden on (uudelleen)varmennuksen päätökseen saattamiseksi korjattava kaikki arvioinnin aikana havaitut ongelmat. Jos organisaatio ei vastaa kauppaministeriön asettamassa määräajassa (esimerkiksi uudelleenvarmennus olisi saatettava päätökseen 45 päivän kuluessa) (74) tai se ei muutoin saata varmennustaan päätökseen, sen katsotaan luopuneen varmennuksesta. Mikäli tietosuojakehykseen osallistumisesta tai sen määräysten noudattamisesta on annettu vääriä tietoja, kauppakomissio tai liikenneministeriö voi ryhtyä asiassa lainvalvontatoimiin (75).

(52)

Tietosuojakehyksen asianmukaisen soveltamisen varmistamiseksi asianomaisten osapuolten, kuten rekisteröityjen, tiedonviejien ja kansallisten tietosuojaviranomaisten, on voitava tunnistaa järjestelyn periaatteita noudattavat organisaatiot. Jotta tämä läpinäkyvyys voitaisiin varmistaa tietosuojakehykseen osallistuvien organisaatioiden osalta, kauppaministeriö on sitoutunut pitämään yllä ja saattamaan yleisön saataville luettelon organisaatioista, jotka ovat varmentaneet noudattavansa järjestelyn periaatteita ja jotka kuuluvat ainakin yhden tämän päätöksen liitteissä IV ja V tarkoitetun lainvalvontaviranomaisen toimivallan piiriin (76). Kauppaministeriö päivittää luettelon organisaatioiden vuosittain antamien uudelleenvarmennusten perusteella ja aina, kun organisaatio peruuttaa osallistumisensa tietosuojakehykseen tai se poistetaan tietosuojakehyksen piiristä. Jotta läpinäkyvyys voitaisiin taata myös tietosuojakehyksestä poistuneiden organisaatioiden osalta, kauppaministeriö pitää yllä ja saattaa yleisön saataville luettelon organisaatioista, jotka on poistettu luettelosta, ja ilmoittaa kussakin tapauksessa poistamisen syyn (77). Lisäksi se ilmoittaa linkin tietosuojakehystä koskevalle liittovaltion kauppakomission verkkosivustolle, jossa on luettelo tietosuojakehyksen puitteissa toteutetuista kauppakomission lainvalvontatoimista (78).

(53)

Kauppaministeriö seuraa jatkuvasti erilaisten mekanismien avulla, miten organisaatiot noudattavat tietosuojakehyksen järjestelyn periaatteita (79). Se tekee erityisesti tarkastuksia paikan päällä satunnaisesti valituissa organisaatioissa sekä tapauskohtaisesti paikan päällä tietyissä organisaatioissa, jos niissä on havaittu mahdollisia vaatimusten noudattamiseen liittyviä ongelmia (esimerkiksi sellaisia, joista kolmas osapuoli on ilmoittanut kauppaministeriölle). Tarkastuksilla pyritään toteamaan, i) ovatko rekisteröityjen valituksia ja pyyntöjä käsittelevät yhteyspisteet käytettävissä ja vastaavatko ne yhteydenottoihin, ii) ovatko organisaatioiden tietosuojaperiaatteet helposti saatavilla sekä niiden verkkosivustoilla että kauppaministeriön verkkosivustolla olevan linkin kautta, iii) ovatko organisaatioiden tietosuojaperiaatteet edelleen varmennuksen vaatimusten mukaiset ja iv) onko organisaatioiden valitsema riippumaton riitojenratkaisumekanismi saatavilla valitusten käsittelyä varten (80).

(54)

Jos on luotettavaa näyttöä siitä, että organisaatio ei noudata tietosuojakehyksen vaatimuksia (esimerkiksi jos kauppaministeriöön toimitetaan valituksia tai organisaatio ei anna tyydyttävää vastausta kauppaministeriön tietopyyntöön), kauppaministeriö vaatii organisaatiota täyttämään ja toimittamaan yksityiskohtaisen kyselyn (81). Jos organisaatio ei vastaa kyselyyn tyydyttävästi tai ajoissa, tapaus siirretään toimivaltaiselle viranomaiselle (liittovaltion kauppakomissio tai liikenneministeriö) mahdollisia lainvalvontatoimia varten (82). Kauppaministeriö on tehnyt osana Privacy Shield -järjestelyn mukaista vaatimusten noudattamisen seurantaa säännöllisesti johdanto-osan 53 kappaleessa mainittuja tarkastuksia paikan päällä ja seurannut jatkuvasti julkisia raportteja, joiden avulla se on pystynyt tunnistamaan, käsittelemään ja ratkaisemaan vaatimusten noudattamiseen liittyviä ongelmia (83). Organisaatiot, jotka jatkuvasti jättävät noudattamatta järjestelyn periaatteita, poistetaan tietosuojakehyksen osallistujaluettelosta, ja niiden on palautettava tai poistettava henkilötiedot, jotka ne ovat vastaanottaneet tietosuojakehyksen puitteissa (84).

(55)

Muissa luettelosta poistamista koskevissa tapauksissa, esimerkiksi silloin, kun organisaatio vetäytyy järjestelystä vapaaehtoisesti tai ei anna uutta varmennusta, organisaation on joko poistettava tai palautettava henkilötiedot tai se voi säilyttää ne, jos se vahvistaa kauppaministeriölle vuosittain sitoumuksensa jatkaa periaatteiden soveltamista tai tarjoaa henkilötiedoille riittävän suojan muiden hyväksyttyjen keinojen avulla (esimerkiksi käyttämällä sopimusta, joka vastaa täysin komission hyväksymien vakiomuotoisten sopimuslausekkeiden vaatimuksia) (85). Tällöin organisaation on nimettävä organisaatiossaan yhteyspiste kaikkia tietosuojakehykseen liittyviä kysymyksiä varten.

(56)

Kauppaministeriö seuraa, väittävätkö organisaatiot totuudenvastaisesti osallistuvansa tietosuojakehykseen tai käyttävätkö ne väärin tietosuojakehyksen varmennusmerkkiä, sekä viran puolesta että (esimerkiksi tietosuojaviranomaisten tekemien) valitusten perusteella (86). Kauppaministeriö tarkastaa jatkuvasti erityisesti, että organisaatiot, jotka i) vetäytyvät tietosuojakehyksestä, ii) eivät anna vuotuista uudelleenvarmennusta (eli ovat aloittaneet uudelleenvarmennuksen mutta eivät ole saattaneet sitä ajoissa päätökseen tai eivät ole edes aloittaneet vuotuista uudelleenvarmennusta), iii) on poistettu osallistujaluettelosta periaatteiden ”jatkuvan noudattamatta jättämisen” vuoksi tai iv) eivät ole saattaneet päätökseen ensimmäistä varmennusta (eli ovat aloittaneet ensimmäisen varmennuksen mutta eivät ole saattaneet sitä ajoissa päätökseen), poistavat kaikista asiaa koskevista julkaisuista tietosuojaperiaatteistaan sellaiset viittaukset tietosuojakehykseen, joista saa sen käsityksen, että organisaatio olisi tietosuojakehyksessä aktiivisesti mukana (87). Kauppaministeriö myös hakee internetissä organisaatioiden tietosuojaperiaatteista viittauksia tietosuojakehykseen, muun muassa havaitakseen sellaisten organisaatioiden totuudenvastaiset väitteet, jotka eivät ole koskaan osallistuneet tietosuojakehykseen (88).

(57)

Jos kauppaministeriö toteaa, että viittauksia tietosuojakehykseen ei ole poistettu tai niitä käytetään väärin, se ilmoittaa organisaatiolle asian mahdollisesta siirtämisestä liittovaltion kauppakomission tai liikenneministeriön käsiteltäväksi (89). Jos organisaatio ei anna tyydyttävää vastausta, kauppaministeriö saattaa asian toimivaltaisen viranomaisen käsiteltäväksi mahdollisia lainvalvontatoimia varten (90). Liittovaltion kauppakomissio, liikenneministeriö tai muut asiaankuuluvat Yhdysvaltojen lainvalvontaviranomaiset voivat ryhtyä toimiin sellaisten virheellisten tietojen johdosta, jotka organisaatio on antanut yleisölle järjestelyn periaatteiden noudattamista koskevien harhaanjohtavien lausumien tai käytäntöjen muodossa. Kauppaministeriölle toimitetut väärät tiedot voivat johtaa toimiin totuudenvastaisia lausuntoja koskevan lain (False Statements Act, 18 U.S.C. 1001 §) nojalla.

(58)

Sen varmistamiseksi, että tietosuojan riittävä taso taataan käytännössä, tarvitaan riippumaton valvontaviranomainen, jonka tehtävänä on seurata tietosuojasääntöjen noudattamista ja varmistaa niiden täytäntöönpano.

(59)

Tietosuojakehykseen osallistuvien organisaatioiden on kuuluttava Yhdysvaltojen toimivaltaisten viranomaisten eli liittovaltion kauppakomission ja liikenneministeriön toimivaltaan. Näillä viranomaisilla on tarvittavat tutkinta- ja täytäntöönpanovaltuudet, joiden ansiosta ne voivat tehokkaasti varmistaa järjestelyn periaatteiden noudattamisen (91).

(60)

Liittovaltion kauppakomissio on riippumaton viranomainen, joka koostuu viidestä jäsenestä. Presidentti nimittää kauppakomission senaattia kuullen ja sen suostumuksella (92). Komission jäsenet nimitetään seitsemäksi vuodeksi, ja presidentti voi erottaa heidät vain työn tehottomuuden, velvollisuuksien laiminlyömisen tai virka-aseman väärinkäytön vuoksi. Liittovaltion kauppakomissiossa voi olla enintään kolme jäsentä samasta poliittisesta puolueesta, eivätkä komission jäsenet voi nimityksensä aikana harjoittaa muuta liiketoimintaa, ammattia tai työtä.

(61)

Liittovaltion kauppakomissio voi tutkia periaatteiden noudattamista sekä totuudenvastaisia väitteitä järjestelyn periaatteiden noudattamisesta tai osallistumisesta tietosuojakehykseen sellaisissa organisaatioissa, jotka eivät ole enää tietosuojakehyksen osallistujaluettelossa tai jotka eivät ole koskaan antaneet varmennusta (93). Liittovaltion kauppakomissio voi toteuttaa täytäntöönpanotoimia hakemalla väliaikaisia tai pysyviä kieltokanteita tai muita korjaavia toimenpiteitä koskevia hallinnollisia tai liittovaltion tuomioistuimen määräyksiä (mukaan lukien sovintoratkaisujen kautta annetut ”suostumusmääräykset”) (94), ja se seuraa järjestelmällisesti tällaisten määräysten noudattamista (95). Jos organisaatio ei noudata tällaisia määräyksiä, liittovaltion kauppakomissio voi hakea siviilioikeudellisia seuraamuksia ja muita korjaavia toimenpiteitä, mukaan lukien seuraamukset lainvastaisen toiminnan aiheuttamasta vahingosta. Tietosuojakehykseen osallistuvalle organisaatiolle annettuun suostumusmääräykseen liittyy omatoimista raportointia koskevia säännöksiä (96), ja organisaatioiden on julkaistava kaikki liittovaltion kauppakomissiolle toimitettuun, periaatteiden noudattamista koskevaan kertomukseen tai arviointikertomukseen sisältyvät tietosuojakehykseen liittyvät osuudet. Lisäksi liittovaltion kauppakomissio pitää verkossa yllä luetteloa organisaatioista, joille on annettu kauppakomission tai tuomioistuimen määräys tietosuojakehykseen liittyvissä tapauksissa (97).

(62)

Privacy Shield -järjestelyn puitteissa liittovaltion kauppakomissio toteutti lainvalvontatoimia noin 22 tapauksessa sekä järjestelyn erityisvaatimusten noudattamatta jättämisen takia (kun organisaatio esimerkiksi ei ollut toimittanut kauppaministeriölle vahvistusta siitä, että se oli jatkanut Privacy Shield -järjestelyn suojatoimien soveltamista järjestelystä poistumisensa jälkeen, tai organisaatio ei ollut tarkastanut tai antanut ulkopuolisen tahon tarkastaa periaatteiden noudattamista) (98) että järjestelyyn osallistumista koskevien totuudenvastaisten väitteiden takia (kun organisaatio esimerkiksi ei ollut saattanut kaikkia varmennuksen edellyttämiä vaiheita päätökseen tai organisaatio oli antanut varmennuksensa raueta mutta esitti virheellisiä lausumia osallistumisensa jatkumisesta) (99). Nämä lainvalvontatoimet johtuivat muun muassa hallinnollisten haasteiden ennakoivasta käyttämisestä näytön saamiseksi tietyiltä Privacy Shield -järjestelyn osallistujilta, jotta voitaisiin tarkastaa, onko Privacy Shield -järjestelyn velvoitteita rikottu olennaisesti (100).

(63)

Yleisesti ottaen liittovaltion kauppakomissio on viime vuosina toteuttanut useissa tapauksissa täytäntöönpanotoimia, jotka koskevat myös EU:n ja Yhdysvaltojen tietosuojakehykseen sisältyvien yksittäisten tietosuojavaatimusten noudattamista. Näissä on ollut kyse esimerkiksi käyttötarkoituksen rajoittamisen ja tietojen säilyttämisen periaatteista (101), tietojen minimoinnista (102), tietoturvasta (103) ja tietojen täsmällisyydestä (104).

(64)

Liikenneministeriöllä on yksinomainen toimivalta säännellä lentoyhtiöiden yksityisyydensuojakäytäntöjä, ja se jakaa toimivallan liittovaltion kauppakomission kanssa niiden yksityisyydensuojakäytäntöjen osalta, joita lipunkirjoittajat soveltavat lentoliikennepalvelujen myynnissä. Liikenneministeriön virkamiehet pyrkivät asiassa sovintoon, ja jos sitä ei saavuteta, heillä on valtuudet panna vireille täytäntöönpanomenettely. Menettelyyn kuuluu istunto, jossa esitetään todisteita ja jota johtaa liikenneministeriön hallintolainkäytöstä vastaava tuomari, jolla on valtuudet antaa kieltomääräyksiä ja määrätä siviilioikeudellisia seuraamuksia (105). Hallintolainkäytöstä vastaavat tuomarit hyötyvät useista hallintomenettelylain (Administrative Procedure Act, APA) mukaisista suojatoimista, jotka takaavat heidän riippumattomuutensa ja puolueettomuutensa. Heidät voidaan esimerkiksi erottaa vain hyvästä syystä, tapaukset jaetaan heille vuorotteluperiaatteella, he eivät saa suorittaa tehtäviä, jotka ovat ristiriidassa hallintolainkäytöstä vastaavan tuomarin tehtävien ja velvollisuuksien kanssa, he eivät kuulu sen viranomaisen tutkintaryhmän valvonnan piiriin, jonka palveluksessa he ovat (tässä tapauksessa liikenneministeriö), ja heidän on hoidettava päätäntä-/lainvalvontatehtävänsä puolueettomasti (106). Liikenneministeriö on sitoutunut seuraamaan täytäntöönpanomääräysten noudattamista ja varmistamaan, että tietosuojakehykseen liittyvissä asioissa annetut määräykset ovat saatavilla sen verkkosivustolla (107).

(65)

Jotta voidaan varmistaa yksilön oikeuksien asianmukainen suojelu ja täytäntöönpano, rekisteröidyllä olisi oltava tehokkaat hallinnolliset ja oikeudelliset oikeussuojakeinot.

(66)

Tietosuojakehykseen sisältyvässä muutoksenhaku-, täytäntöönpano- ja vastuuperiaatteessa (Recourse, Enforcement and Liability Principle) edellytetään, että organisaatiot tarjoavat henkilöille, joihin järjestelyn periaatteiden noudattamatta jättäminen on vaikuttanut, mahdollisuuden muutoksenhakuun. Näin unionin rekisteröidyillä on mahdollisuus tehdä valitus, kun tietosuojakehykseen kuuluvat organisaatiot eivät noudata periaatteita, ja saada valituksiin ratkaisu, tarvittaessa päätöksellä, jossa määrätään tehokkaista korjaustoimenpiteistä (108). Varmennuksen osana organisaatioiden on täytettävä muutoksenhaku-, täytäntöönpano- ja vastuuperiaatteen vaatimukset ottamalla käyttöön tehokkaat ja helposti saatavilla olevat riippumattomat muutoksenhakumekanismit, jotta kunkin henkilön valitukset ja riitatapaukset voidaan tutkia ja ratkaista nopeasti ilman kyseiselle henkilölle aiheutuvia kuluja (109).

(67)

Organisaatiot voivat valita joko unionissa tai Yhdysvalloissa toimivan riippumattoman muutoksenhakumekanismin. Kuten johdanto-osan 73 kappaleessa tarkennetaan, tähän sisältyy mahdollisuus sitoutua vapaaehtoisesti yhteistyöhön EU:n tietosuojaviranomaisten kanssa. Kun organisaatiot käsittelevät henkilöstötietoja, sitoutuminen yhteistyöhön EU:n tietosuojaviranomaisten kanssa on pakollista. Muita vaihtoehtoja ovat riippumaton vaihtoehtoinen riitojenratkaisu ja yksityisellä sektorilla laaditut yksityisyydensuojaohjelmat, joiden sääntöihin järjestelyn periaatteet sisältyvät. Viimeksi mainittujen tulee sisältää myös tehokkaat täytäntöönpanomekanismit muutoksenhaku-, täytäntöönpano- ja vastuuperiaatteen mukaisesti.

(68)

Näin ollen tietosuojakehys tarjoaa rekisteröidyille useita mahdollisuuksia käyttää oikeuksiaan ja tehdä valituksia, kun EU:n ja Yhdysvaltojen organisaatiot eivät noudata järjestelyn periaatteita, sekä saada valitukseensa ratkaisu, tarvittaessa päätöksellä, jossa määrätään tehokkaasta korjaustoimenpiteestä. Henkilöt voivat tehdä valituksen suoraan organisaatiolle, organisaation nimeämälle riippumattomalle riitojenratkaisuelimelle, kansallisille tietosuojaviranomaisille, kauppaministeriölle tai liittovaltion kauppakomissiolle. Jos valitusta ei ole voitu ratkaista millään näistä muutoksenhaku- tai täytäntöönpanomekanismeista, henkilöillä on myös oikeus turvautua sitovaan välimiesmenettelyyn (tämän päätöksen liitteen I liite I). Lukuun ottamatta välimiespaneelia, joka edellyttää, että tietyt oikeussuojakeinot on jo käytetty, henkilöt voivat vapaasti turvautua mihin tahansa valitsemaansa oikeussuojakeinoon tai niihin kaikkiin, eikä heidän tarvitse valita mitään tiettyä menettelyä jonkin toisen sijaan tai käyttää niitä tietyssä järjestyksessä.

(69)

Unionin rekisteröidyt voivat saattaa järjestelyn periaatteiden noudattamatta jättämiseen liittyvät tapaukset käsiteltäväksi ottamalla suoraan yhteyttä tietosuojakehykseen osallistuviin organisaatioihin (110). Valitusten käsittelyn helpottamiseksi organisaation on otettava käyttöön tehokas oikeussuojamekanismi. Organisaation tietosuojaperiaatteissa on tätä varten ilmoitettava selvästi yhteyspiste, joka toimii joko organisaatiossa tai sen ulkopuolella ja joka käsittelee valitukset (mukaan lukien unionissa mahdollisesti sijaitsevat asiaankuuluvat elimet, jotka voivat vastata tiedusteluihin tai valituksiin), sekä nimetty riippumaton riitojenratkaisuelin (ks. johdanto-osan 70 kappale). Saatuaan valituksen joko suoraan kyseiseltä henkilöltä tai kauppaministeriöltä, kun tietosuojaviranomainen on siirtänyt asian käsittelyn sille, organisaation on toimitettava vastaus unionin rekisteröidylle 45 päivän kuluessa (111). Samoin organisaatioiden on vastattava viipymättä järjestelyn periaatteiden noudattamista koskeviin tiedusteluihin ja muihin tietopyyntöihin, jotka on tehnyt kauppaministeriö tai tietosuojaviranomainen (112) (jos organisaatio on sitoutunut tekemään yhteistyötä tietosuojaviranomaisen kanssa).

(70)

Henkilöt voivat esittää valituksen myös suoraan (joko Yhdysvalloissa tai unionissa olevalle) riippumattomalle riitojenratkaisuelimelle, jonka organisaatio on nimittänyt tutkimaan ja ratkaisemaan yksittäiset valitukset (elleivät ne ole ilmeisen perusteettomia tai aiheettomia) ja tarjoamaan asianmukaisen ja ilmaisen muutoksenhakumenettelyn (113). Tällaisen elimen määräämien seuraamusten ja oikeussuojakeinojen on oltava riittävän tiukkoja sen varmistamiseksi, että organisaatiot noudattavat järjestelyn periaatteita ja peruuttavat tai korjaavat periaatteiden noudattamatta jättämisestä aiheutuvat vaikutukset ja olosuhteista riippuen lopettavat henkilötietojen jatkokäsittelyn ja/tai poistavat ne. Lisäksi periaatteiden noudattamatta jättämistä koskevat havainnot on julkistettava (114). Organisaation nimeämien riippumattomien riitojenratkaisuelimien on sisällytettävä julkisille verkkosivuilleen asiaankuuluvat tiedot, jotka koskevat tietosuojakehystä ja niiden sen puitteissa tarjoamia palveluja (115). Niiden on julkaistava vuosittain kertomus, jossa esitetään näitä palveluja koskevat kootut tilastot (116).

(71)

Periaatteiden noudattamista koskevien tarkastelumenettelyjen osana kauppaministeriö varmistaa, että tietosuojakehykseen osallistuvat organisaatiot ovat todella rekisteröityneet niihin riippumattomiin muutoksenhakumekanismeihin, joihin ne väittävät rekisteröityneensä (117). Organisaatioiden ja vastuussa olevien riippumattomien muutoksenhakumekanismien on vastattava nopeasti tietosuojakehystä koskeviin kauppaministeriön tiedusteluihin ja tietopyyntöihin. Kauppaministeriö tekee yhteistyötä riippumattomien muutoksenhakumekanismien kanssa varmistaakseen, että niiden verkkosivustoilla on tietoja järjestelyn periaatteista ja niiden tietosuojakehyksen puitteissa tarjoamista palveluista ja että ne julkaisevat vuosikertomuksia (118).

(72)

Jos organisaatio ei noudata riitojenratkaisu- tai itsesääntelyelimen päätöstä, tämän on ilmoitettava sovellettavien periaatteiden noudattamatta jättämisestä kauppaministeriölle ja liittovaltion kauppakomissiolle (tai muulle Yhdysvaltojen viranomaiselle, jolla on toimivalta tutkia organisaatiossa tapahtuvaa noudattamatta jättämistä) tai toimivaltaiselle tuomioistuimelle (119). Jos organisaatio kieltäytyy noudattamasta jonkin yksityisyyden suojan itsesääntelystä vastaavan tahon, riippumattoman riitojenratkaisuelimen tai valtiollisen elimen lopullista päätöstä tai jos tällainen elin katsoo, että organisaatio jättää toistuvasti järjestelyn periaatteet noudattamatta, se voidaan katsoa periaatteiden jatkuvaksi noudattamatta jättämiseksi. Tämän seurauksena organisaatio poistetaan tietosuojakehyksen osallistujaluettelosta, kun kauppaministeriö on ilmoittanut tästä kyseiselle organisaatiolle 30 päivää etukäteen ja antanut periaatteita rikkoneelle organisaatiolle mahdollisuuden esittää vastineensa (120). Jos organisaatio luettelosta poistamisen jälkeen väittää edelleen osallistuvansa tietosuojakehykseen, kauppaministeriö siirtää asian liittovaltion kauppakomission tai muun toimivaltaisen lainvalvontaviraston käsiteltäväksi (121).

(73)

Kolmanneksi yksityishenkilöt voivat tehdä valituksensa myös jollekin unionin kansalliselle tietosuojaviranomaiselle, joka voi käyttää asetuksen (EU) 2016/679 mukaisia tutkinta- ja ratkaisuvaltuuksiaan. Organisaatiot ovat velvollisia tekemään yhteistyötä, kun tietosuojaviranomaiset tutkivat valituksia ja tekevät niitä koskevia päätöksiä, joko silloin, kun valitus koskee työsuhteen yhteydessä kerättyjen henkilöstötietojen käsittelyä, tai kun asianomainen organisaatio on vapaaehtoisesti suostunut tietosuojaviranomaisten valvontaan (122). Organisaatioiden on erityisesti vastattava tiedusteluihin, noudatettava tietosuojaviranomaisen antamia lausuntoja, mukaan lukien korjaavat tai korvaavat toimenpiteet, ja toimitettava tietosuojaviranomaiselle kirjallinen vahvistus siitä, että kyseiset toimenpiteet on toteutettu (123). Jos tietosuojaviranomaisen antamia kehotuksia ei noudateta, tietosuojaviranomainen siirtää tapauksen kauppaministeriölle (joka voi poistaa organisaation tietosuojakehyksen osallistujaluettelosta) tai mahdollisten täytäntöönpanotoimien osalta liittovaltion kauppakomissiolle tai liikenneministeriölle (kieltäytyminen yhteistyöstä tietosuojaviranomaisen kanssa tai järjestelyn periaatteiden noudattamisesta voi Yhdysvaltain lainsäädännön mukaan johtaa seuraamuksiin) (124).

(74)

Jotta yhteistyössä tapahtuva valitusten käsittely olisi tehokkaampaa, sekä kauppaministeriö että liittovaltion kauppakomissio ovat perustaneet erityisen yhteyspisteen, joka vastaa yhteydenpidosta suoraan tietosuojaviranomaisten kanssa (125). Nämä yhteyspisteet auttavat tietosuojaviranomaisen tiedusteluissa, jotka koskevat järjestelyn periaatteiden noudattamista organisaatioissa.

(75)

Tietosuojaviranomainen (126) antaa lausunnon, kun kiistan molemmilla osapuolilla on ollut asianmukainen tilaisuus esittää haluamansa huomiot ja todistusaineisto. Paneeli voi antaa lausunnon niin nopeasti kuin asianmukainen menettely sallii, yleensä 60 päivän kuluessa valituksen vastaanottamisesta (127). Jos organisaatio ei noudata lausuntoa 25 päivän kuluessa sen antamisesta eikä anna mitään tyydyttävää selitystä viivästykselle, paneeli voi ilmoittaa aikomuksestaan joko saattaa asia kauppakomissiolle (tai muulle Yhdysvaltojen toimivaltaiselle täytäntöönpanoviranomaiselle) tai katsoa, että yhteistyötä koskevaa sitoumusta on rikottu vakavasti. Ensimmäisessä tapauksessa tämä voi johtaa liittovaltion kauppakomissiosta annetun lain 5 §:n (tai vastaavan säädöksen) mukaisiin täytäntöönpanotoimiin (128). Jälkimmäisessä tapauksessa paneeli ilmoittaa asiasta kauppaministeriölle, joka katsoo, että jos organisaatio kieltäytyy noudattamasta tietosuojaviranomaisten paneelin lausuntoa, kyseessä on periaatteiden jatkuva noudattamatta jättäminen. Tällöin organisaatio poistetaan tietosuojakehyksen osallistujaluettelosta.

(76)

Jos tietosuojaviranomainen, jolle valitus on osoitettu, ei ole toteuttanut toimenpiteitä tai ne ovat riittämättömiä valituksen käsittelemiseksi, valituksen tekijällä on mahdollisuus hakea muutosta toimenpiteiden tai niiden puuttumisen johdosta kyseisen EU:n jäsenvaltion kansallisissa tuomioistuimissa.

(77)

Henkilöt voivat tehdä valituksen tietosuojaviranomaiselle myös silloin, kun tietosuojaviranomaisten paneelia ei ole nimetty organisaation riitojenratkaisuelimeksi. Näissä tapauksissa tietosuojaviranomainen voi saattaa tällaiset valitukset joko Yhdysvaltojen kauppaministeriön tai liittovaltion kauppakomission käsiteltäväksi. Yhteistyön helpottamiseksi ja lisäämiseksi tapauksissa, joissa on kyse henkilöiden tekemistä valituksista tai joissa tietosuojakehykseen osallistuva organisaatio ei ole noudattanut periaatteita, kauppaministeriö perustaa erityisen yhteyspisteen pitämään yhteyttä tietosuojaviranomaisiin ja avustamaan niitä tutkimuksissa, jotka koskevat järjestelyn periaatteiden noudattamista organisaatiossa (129). Lisäksi liittovaltion kauppakomissio on sitoutunut perustamaan erityisen yhteyspisteen (130).

(78)

Kauppaministeriö on sitoutunut vastaanottamaan, tarkastamaan ja parhaansa mukaan käsittelemään valitukset organisaatioista, jotka eivät ole noudattaneet järjestelyn periaatteita (131). Tätä varten kauppaministeriö laatii tietosuojaviranomaisille erityismenettelyt, joiden puitteissa valitukset siirretään erityisen yhteyspisteen käsiteltäväksi ja joiden puitteissa niitä seurataan ja niiden johdosta toteutetaan lisätoimia organisaatioiden kanssa ratkaisun löytymisen helpottamiseksi (132). Yksittäisten valitusten käsittelyn jouduttamiseksi kyseinen yhteyspiste toimii sovellettavien periaatteiden noudattamista koskevissa kysymyksissä suoraan asiaankuuluvan tietosuojaviranomaisen kanssa ja erityisesti ilmoittaa tälle valitusten käsittelyn etenemisestä viimeistään 90 päivän kuluttua siitä, kun asia on siirretty sen käsiteltäväksi (133). Tämän ansiosta rekisteröidyillä on mahdollisuus tehdä valitus suoraan kansalliselle tietosuojaviranomaiselle, kun tietosuojakehykseen osallistuvat organisaatiot eivät noudata sovellettavia periaatteita, ja saada valitus siirrettyä kauppaministeriölle, joka on tietosuojakehystä hallinnoiva viranomainen.

(79)

Jos kauppaministeriö toteaa viran puolesta tehtyjen tarkastusten, valitusten tai muiden tietojen perusteella, että organisaatio on jatkuvasti jättänyt noudattamatta järjestelyn periaatteita, se poistaa tällaisen organisaation tietosuojakehyksen osallistujaluettelosta (134). Jos organisaatio kieltäytyy noudattamasta minkä tahansa yksityisyyden suojan itsesääntelystä vastaavan tahon, riippumattoman riitojenratkaisuelimen tai valtiollisen elimen, mukaan lukien tietosuojaviranomainen, lopullista päätöstä, tämä katsotaan periaatteiden jatkuvaksi noudattamatta jättämiseksi (135).

(80)

Tietosuojakehykseen osallistuvien organisaatioiden on kuuluttava Yhdysvaltojen toimivaltaisten viranomaisten – erityisesti liittovaltion kauppakomission (136) – toimivaltaan. Näillä viranomaisilla on tarvittavat tutkinta- ja täytäntöönpanovaltuudet, joiden ansiosta ne voivat tehokkaasti varmistaa järjestelyn periaatteiden noudattamisen. Liittovaltion kauppakomissio asettaa etusijalle sellaiset järjestelyn periaatteiden noudattamatta jättämistä koskevat tapaukset, jotka on saatu riippumattomilta riitojenratkaisu- tai itsesääntelyelimiltä, kauppaministeriöltä ja tietosuojaviranomaisilta (jotka toimivat joko omasta aloitteestaan tai valitusten perusteella), sen määrittämiseksi, onko liittovaltion kauppakomissiosta annetun lain 5 §:ää rikottu (137). Liittovaltion kauppakomissio on sitoutunut luomaan vakiomuotoisen siirtomenettelyn, nimeämään yhteyspisteen käsittelemään tietosuojaviranomaisten sille siirtämiä tapauksia ja vaihtamaan tietoja tällä tavoin siirretyistä tapauksista. Lisäksi se voi ottaa suoraan vastaan henkilöiden tekemiä valituksia ja toteuttaa tietosuojakehykseen liittyviä tutkimuksia omasta aloitteestaan, erityisesti osana yksityisyyden suojaa koskevia laajempia tutkimuksiaan.

(81)

Jos valitusta ei ole ratkaistu tyydyttävästi minkään muun oikeussuojamekanismin avulla, unionin rekisteröity voi turvautua viimesijaisena muutoksenhakumekanismina toimivan EU:n ja Yhdysvaltojen tietosuojakehyksen paneelin, jäljempänä ’tietosuojakehyksen paneeli’, sitovaan välimiesmenettelyyn (138). Organisaatioiden on ilmoitettava henkilöille, että nämä voivat pyytää sitovaa välimiesmenettelyä, ja niillä on velvollisuus esittää vastineensa, kun henkilö on turvautunut tähän mahdollisuuteen toimittamalla ilmoituksen asianomaiselle organisaatiolle (139).

(82)

Tietosuojakehyksen paneeli koostuu vähintään kymmenestä välimiehestä, jotka kauppaministeriö ja komissio nimittävät heidän riippumattomuutensa ja nuhteettomuutensa ja heidän yksityisyydensuojaa koskevaan Yhdysvaltojen lainsäädäntöön ja unionin tietosuojalainsäädäntöön liittyvän kokemuksensa perusteella. Osapuolet valitsevat kunkin yksittäisen riita-asian käsittelyä varten välimiehistä yhden tai kolmen välimiehen (140) paneelin.

(83)

Kauppaministeriö on valinnut välimiesmenettelyjen hallinnoijaksi International Centre for Dispute Resolution -keskuksen, jäljempänä ’ICDR’, joka on American Arbitration Association -yhdistyksen, jäljempänä ’AAA’, kansainvälinen osasto. Tietosuojakehyksen paneelin menettelyissä sovelletaan sovittuja välimiesmenettelysääntöjä ja nimettyjä välimiehiä koskevia käytännesääntöjä. ICDR:n ja AAA:n verkkosivusto tarjoaa henkilöille tiivistetyssä muodossa tietoa välimiesmenettelystä ja välimiesmenettelyn vireillepanomenettelystä.

(84)

Kauppaministeriön ja komission välillä sovitut välimiesmenettelyä koskevat säännöt täydentävät tietosuojakehystä, joka sisältää useita ominaisuuksia, joiden ansiosta mekanismi on paremmin unionin rekisteröityjen käytettävissä: i) kansallinen tietosuojaviranomainen voi avustaa rekisteröityä tämän valmistellessa vaatimustaan paneelin käsiteltäväksi, ii) vaikka välimiesmenettely tapahtuu Yhdysvalloissa, unionin rekisteröidyt voivat osallistua menettelyyn video- tai puhelinneuvottelussa, joka on henkilöille maksuton, iii) vaikka välimiesmenettelyssä käytettävä kieli on tavallisesti englanti, istunto voidaan periaatteessa tulkata ja aineisto kääntää perustellusta pyynnöstä ilman, että tästä aiheutuu rekisteröidylle kustannuksia, ja iv) vaikka kunkin osapuolen on maksettava omat asianajopalkkionsa, kauppaministeriö hoitaa tietosuojakehykseen osallistuvien organisaatioiden vuotuisista rahoitusosuuksista koostuvaa rahastoa, josta katetaan välimiesmenettelyn tukikelpoiset kustannukset sellaiseen enimmäismäärään asti, jonka Yhdysvaltojen viranomaiset määrittävät komissiota kuultuaan (141).

(85)

Tietosuojakehyksen paneelilla on valtuudet määrätä yksilökohtaisesta, ei-rahallisesta kompensaatiosta (142), joka on tarpeen järjestelyn periaatteiden noudattamatta jättämisen korjaamiseksi. Vaikka paneeli ottaa päätöstä tehdessään huomioon muut tietosuojakehyksen mekanismien perusteella toteutetut korjaavat toimenpiteet, henkilöt voivat silti turvautua välimiesmenettelyyn, jos ne pitävät näitä muita toimenpiteitä riittämättöminä. Näin unionin rekisteröidyt voivat vedota välimiesmenettelyyn kaikissa tapauksissa, joissa tietosuojakehykseen osallistuvien organisaatioiden, riippumattomien muutoksenhakumekanismien tai Yhdysvaltojen toimivaltaisten viranomaisten (kuten liittovaltion kauppakomission) toiminnan tai toimimatta jättämisen vuoksi valituksia ei ole ratkaistu tyydyttävästi. Välimiesmenettelyyn ei voida vedota, jos tietosuojaviranomaisella on toimivalta ratkaista vaatimus tietosuojakehykseen osallistuvan organisaation osalta, toisin sanoen tapauksissa, joissa organisaatio joko on velvollinen tekemään yhteistyötä tietosuojaviranomaisten kanssa ja noudattamaan ohjeita työsuhteen yhteydessä kerättyjen henkilöstötietojen käsittelyn osalta tai on vapaaehtoisesti sitoutunut tekemään niin. Henkilöt voivat vaatia välimiesoikeuden päätöksen täytäntöönpanoa Yhdysvaltojen tuomioistuimissa liittovaltion välimiesmenettelystä annetun lain (Federal Arbitration Act) nojalla ja varmistaa siten, että heidän käytössään on oikeussuojakeinoja, jos organisaatio ei noudata päätöstä.

(86)

Jos organisaatio ei kunnioita sitoumustaan noudattaa järjestelyn periaatteita ja julkaistuja tietosuojaperiaatteita, Yhdysvaltojen lainsäädännön nojalla voi olla käytettävissä muita oikeussuojakeinoja, esimerkiksi mahdollisuus vaatia vahingonkorvauksia. Henkilöt voivat esimerkiksi tietyissä olosuhteissa käyttää oikeussuojakeinoja (mukaan lukien vahingonkorvausvaatimukset) Yhdysvaltojen kuluttajalainsäädännön nojalla, kun kyse on harhaanjohtavista lausumista taikka sopimattomista tai vilpillisistä toimista tai käytännöistä (143), sekä vahingonkorvauslainsäädännön nojalla (erityisesti yksityiselämän loukkaus (144), identiteettivarkaus (145) ja yksityiselämää koskevien tietojen julkaiseminen (146)).

(87)

Edellä kuvatut eri muutoksenhakukeinot varmistavat yhdessä, että jokainen valitus, joka koskee EU:n ja Yhdysvaltojen tietosuojakehyksen vastaista varmennettujen organisaatioiden toimintaa, voidaan tosiasiallisesti käsitellä ja ratkaista.

(88)

Komissio on arvioinut myös niitä rajoituksia ja suojatoimia, mukaan lukien Yhdysvaltojen lainsäädännön mukaiset valvonta- ja oikeussuojamekanismit, jotka koskevat sitä, kuinka viranomaiset voivat kerätä ja käyttää yhdysvaltalaisille rekisterinpitäjille ja käsittelijöille siirrettyjä henkilötietoja yleisen edun mukaisia tarkoituksia ja erityisesti lainvalvontatarkoituksia ja kansalliseen turvallisuuteen liittyviä tarkoituksia varten, jäljempänä ’viranomaisten pääsy tietoihin’ (147). Komissio ottaa huomioon useita kriteerejä arvioidessaan, vastaavatko edellytykset, joiden nojalla viranomaiset käyttävät Yhdysvaltoihin tämän päätöksen nojalla siirrettyjä tietoja, ”olennaisilta osin” asetuksen (EU) 2016/679 45 artiklan 1 kohdassa esitettyjä vaatimuksia, sellaisena kuin unionin tuomioistuin on niitä tulkinnut perusoikeuskirjan valossa.

(89)

Kaikista henkilötietojen suojaa koskevan oikeuden rajoituksista on säädettävä lailla, ja näiden rajoitusten laajuus on määritettävä jo siinä oikeusperustassa, joka mahdollistaa puuttumisen näihin oikeuksiin (148). Lisäksi sen oikeasuhteisuutta koskevan vaatimuksen täyttämiseksi, jonka mukaan henkilötietojen suojaa koskevia poikkeuksia ja rajoituksia on sovellettava vain siltä osin kuin se on ehdottoman välttämätöntä demokraattisessa yhteiskunnassa, jotta voidaan saavuttaa yleisen edun mukaiset tavoitteet, jotka vastaavat unionin tunnustamia tavoitteita, tässä oikeusperustassa on vahvistettava selkeät ja täsmälliset säännöt, joilla säännellään kyseisten toimenpiteiden soveltamisalaa ja soveltamista ja vahvistetaan vähimmäistakeet, niin että henkilöillä, joiden tietoja on siirretty, on riittävät takeet, joiden nojalla heidän henkilötietojaan suojataan tehokkaasti väärinkäytön riskiltä (149). Lisäksi näiden sääntöjen ja takeiden on oltava oikeudellisesti sitovia, ja yksittäisten henkilöiden on voitava vedota niihin tuomioistuimissa (150). Rekisteröidyillä on erityisesti oltava mahdollisuus nostaa kanne riippumattomassa ja puolueettomassa tuomioistuimessa, jotta he voivat saada pääsyn henkilötietoihinsa tai saada ne oikaistuiksi tai poistetuiksi (151).

(90)

Yhdysvaltojen lainsäädännössä rajoitetaan eri tavoin pääsyä henkilötietoihin, jotka on siirretty tietosuojakehyksen puitteissa lainvalvontatarkoituksessa. Rajoitukset koskevat henkilötietoihin pääsyn ja niiden käytön lisäksi asiaa koskevia valvonta- ja oikeussuojamekanismeja. Nämä säännökset vastaavat vaatimuksia, joihin viitataan tämän päätöksen johdanto-osan 89 kappaleessa. Seuraavassa arvioidaan yksityiskohtaisesti edellytyksiä, joiden täyttyessä pääsy henkilötietoihin voi toteutua, ja näiden toimivaltuuksien käyttöön sovellettavia suojatoimia. Yhdysvaltojen hallitus on (oikeusministeriön kautta) antanut vakuutuksen sovellettavista rajoituksista ja suojatoimista (tämän päätöksen liite VI).

(91)

Yhdysvaltojen liittovaltion syyttäjät ja liittovaltion tutkijat pääsevät tarkastelemaan varmennettujen yhdysvaltalaisten organisaatioiden käsittelemiä henkilötietoja, joita on tarkoitus siirtää unionista tietosuojakehyksen puitteissa lainvalvontatarkoituksia varten erilaisissa menettelyissä, kuten johdanto-osan 92–99 kappaleessa tarkemmin selitetään. Näitä menettelyjä sovelletaan samalla tavalla rekisteröidyn kansalaisuudesta tai asuinpaikasta riippumatta, kun tiedot saadaan miltä tahansa yhdysvaltalaiselta organisaatiolta (152).

(92)

Ensinnäkin tuomari voi liittovaltion lainvalvontaviranomaisen tai liittovaltion syyttäjän pyynnöstä antaa etsintäluvan tai määrätä takavarikon (joka voi koskea myös sähköisesti tallennettuja tietoja) (153). Tällainen määräys voidaan antaa vain, jos on ”perusteltu syy” (154) siihen, että takavarikoitavia esineitä (rikokseen viittaavia todisteita, laittomasti hallussa pidettäviä esineitä tai omaisuutta, joka on suunniteltu tai aiottu käytettäväksi rikoksen tekemisessä) on todennäköisesti löydettävissä etsintäluvassa yksilöidystä paikasta. Määräyksessä on yksilöitävä takavarikoitava omaisuus tai tavara ja nimettävä tuomari, jolle päätös on palautettava. Henkilö, johon etsintä kohdistuu tai jonka omaisuutta etsintä koskee, voi vaatia, että laittomalla etsinnällä saadut todisteet hylätään, jos nämä todisteet esitetään häntä vastaan rikosoikeudenkäynnissä (155). Kun tietojen haltijaa (esimerkiksi yritystä) vaaditaan tällaisen oikeuden määräyksen nojalla antamaan tiedot, se voi riitauttaa vaatimuksen kohtuuttomana rasitteena (156).

(93)

Toiseksi suuri valamiehistö (tuomarin tai avustavan tuomarin valitsema tuomioistuimen tutkintaelin) voi antaa – yleensä liittovaltion syyttäjän pyynnöstä – tiettyjen vakavien rikosten tutkinnan yhteydessä haasteen (157), jossa henkilöä vaaditaan esittämään tai luovuttamaan liiketoimintatietoja, sähköisesti tallennettuja tietoja tai muita aineellisia esineitä. Lisäksi eri laeissa säädetään hallinnollisten haasteiden käyttämisestä tutkimuksissa, jotka koskevat terveydenhuoltoalan petoksia, lasten kaltoinkohtelua, salaisen palvelun turvatoimia tai valvottuja aineita, sekä valvontaviranomaisen tutkimuksissa. Tällaisissa tutkimuksissa voidaan vaatia luovuttamaan liiketoimintatietoja, sähköisesti tallennettuja tietoja tai muita aineellisia esineitä (158). Molemmissa tapauksissa tietojen on oltava tutkimuksen kannalta merkityksellisiä eikä haaste saa olla kohtuuton eli liian laaja tai rasittava (haasteen vastaanottaja voi riitauttaa sen näillä perusteilla) (159).

(94)

Hyvin samankaltaisia ehtoja sovelletaan hallinnollisiin haasteisiin, joita annetaan Yhdysvalloissa toimivien yritysten hallussa olevien tietojen saamiseksi siviilihallinnon tai sääntelyn tarkoituksiin (”yleinen etu”). Siviilihallintoon ja sääntelyyn liittyvien viranomaisten toimivalta esittää tällaisia hallinnollisia haasteita on vahvistettava lainsäädännössä. Hallinnollisen haasteen käyttöön sovelletaan ”kohtuustestiä”, joka edellyttää, että tutkinta suoritetaan laillisessa tarkoituksessa, haasteen yhteydessä pyydetyt tiedot ovat merkityksellisiä tämän tarkoituksen kannalta, kyseisellä omaisella ei vielä ole haasteessa pyytämiään tietoja ja kaikki haasteen esittämiseen tarvittavat hallinnolliset vaiheet on käyty läpi (160). Korkeimman oikeuden oikeuskäytännössä on myös selvennetty tarvetta löytää tasapaino pyydettyihin tietoihin kohdistuvan yleisen edun ja yksityisyyden suojaa koskevien henkilökohtaisten ja organisatoristen intressien välillä (161). Vaikka hallinnollisen haasteen käyttö ei edellytä tuomioistuimen ennakkohyväksyntää, siihen sovelletaan tuomioistuinvalvontaa, jos vastaanottaja riitauttaa haasteen edellä mainituilla perusteilla tai jos haasteen antanut viranomainen pyrkii panemaan haasteen täytäntöön tuomioistuinteitse (162). Näiden yleisten rajoitusten lisäksi yksittäisistä lainsäännöksistä voi seurata tarkempia (tiukempia) vaatimuksia (163).

(95)

Kolmanneksi lainvalvontaviranomaiset voivat saada käyttöönsä viestintätietoja usean oikeusperustan nojalla. Tuomioistuin voi määrätä, että puhelinnumeroa tai sähköpostiosoitetta koskevia reaaliaikaisia, ei-sisällöllisiä numeronvalinta-, reititys-, osoitteenmuodostus- ja merkinantotietoja saa kerätä (käyttämällä lähtevän ja saapuvan teleliikenteen tietojen tallennusjärjestelmää), jos se katsoo viranomaisen osoittaneen, että todennäköisesti saatavat tiedot ovat merkityksellisiä vireillä olevan rikostutkinnan kannalta (164). Määräyksessä on ilmoitettava muun muassa epäillyn henkilöllisyys, jos se on tiedossa, tiedot viestinnästä, johon määräystä sovelletaan, ja rikkominen, johon kerättävät tiedot liittyvät. Lähtevän ja saapuvan teleliikenteen tietojen tallennusjärjestelmän käyttö voidaan sallia enintään 60 päivän ajaksi, ja määräaikaa voidaan jatkaa ainoastaan uudella tuomioistuimen määräyksellä.

(96)

Lisäksi on mahdollista saada lainvalvontatarkoituksia varten pääsy internetpalveluntarjoajien, puhelinyhtiöiden ja viestintäpalveluja tarjoavien kolmansien osapuolten hallussa oleviin tilaajatietoihin, liikennetietoihin ja tallennettuun sisältöön tallennettua viestintää koskevan lain (Stored Communications Act) perusteella (165). Jotta lainvalvontaviranomaiset voivat saada pääsyn sähköisen viestinnän tallennettuun sisältöön, niiden on saatava tuomarilta määräys, jonka perusteena on perusteltu syy olettaa, että kyseisellä tilillä on todisteita rikoksesta (166). Lainvalvontaviranomaiset voivat hankkia haasteen saadakseen tilausasiakkaiden rekisteröintitietoja, IP-osoitteita ja niihin liittyviä aikaleimoja tai laskutustietoja. Useimpien muiden tallennettujen, ei-sisällöllisten tietojen tapauksessa, kuten sellaisten sähköpostiotsikoiden osalta, joista viestin aihe ei ilmene, lainvalvontaviranomaisen on saatava oikeuden määräys, jonka tuomari antaa, jos hän katsoo, että on olemassa perusteltu syy olettaa, että pyydetyt tiedot ovat merkityksellisiä ja olennaisia vireillä olevan rikostutkinnan kannalta.

(97)

Kun palveluntarjoajat vastaanottavat tallennettua viestintää koskevan lain mukaisia pyyntöjä, ne voivat vapaaehtoisesti ilmoittaa asiasta asiakkaalle tai tilaajalle, jonka tietoja pyydetään, paitsi jos asianomainen lainvalvontaviranomainen saa turvaamismääräyksen, jossa kielletään tällainen ilmoittaminen (167). Tällainen turvaamismääräys on tuomioistuimen määräys, jossa edellytetään, että sähköisten viestintäpalvelujen tai etäkäyttöpalvelujen tarjoaja, jolle etsintälupa, haaste tai tuomioistuimen määräys on osoitettu, ei ilmoita kenellekään muulle henkilölle etsintäluvan, haasteen tai tuomioistuimen määräyksen olemassaolosta tuomioistuimen aiheelliseksi katsomana aikana. Turvaamismääräys annetaan, jos tuomioistuin toteaa olevan syytä uskoa, että ilmoittaminen vaarantaisi vakavasti tutkinnan tai viivästyttäisi perusteettomasti oikeudenkäyntiä esimerkiksi siksi, että se voisi vaarantaa henkilön hengen tai fyysisen turvallisuuden taikka johtaa syytteeseenpanon välttelyyn tai mahdollisten todistajien pelotteluun. Varaoikeusministerin muistion (joka sitoo kaikkia oikeusministeriön asianajajia ja edustajia) mukaan syyttäjien on määritettävä yksityiskohtaisesti, miksi turvaamismääräys tarvitaan, ja perusteltava tuomioistuimelle turvaamismääräyksen antamisen lakisääteisten perusteiden täyttyminen kyseisessä tapauksessa (168). Muistio edellyttää myös, että turvaamismääräyksiä koskevilla hakemuksilla ei yleisesti ottaen saa pyrkiä viivyttämään ilmoittamista yli vuodella. Jos poikkeustapauksessa tarvitaan kestoltaan pidempiä määräyksiä, niitä voidaan hakea vain Yhdysvaltojen oikeusministerin tai asiasta vastaavan apulaisoikeusministerin nimeämän valtuutetun kirjallisella suostumuksella. Lisäksi syyttäjän on tutkinnan päättyessä välittömästi arvioitava, onko olemassa perusteita voimassa olevien turvaamismääräysten jatkamiselle, ja jos näin ei ole, lopetettava turvaamismääräyksen voimassaolo ja varmistettava, että palveluntarjoajalle ilmoitetaan asiasta (169).

(98)

Lainvalvontaviranomaiset voivat myös salakuunnella reaaliaikaisesti langallista, suullista tai sähköistä viestintää tuomioistuimen määräyksen perusteella, jos tuomari on esimerkiksi katsonut olevan todennäköistä, että langallisen tai sähköisen salakuuntelun avulla voidaan saada todisteita liittovaltion rikoksesta tai syytettä välttelevän etsintäkuulutetun olinpaikasta (170).

(99)

Muista turvaamistoimista säädetään useissa oikeusministeriön toimintaperiaatteissa ja suuntaviivoissa, kuten Yhdysvaltojen liittovaltion poliisin (FBI) Yhdysvaltojen sisäisiä operaatioita koskevissa oikeusministerin suuntaviivoissa (AGG-DOM), joissa vaaditaan muun muassa, että FBI käyttää mahdollisimman vähän häiritseviä tutkintamenetelmiä ja ottaa huomioon vaikutukset yksityisyyteen ja kansalaisvapauksiin (171).

(100)

Yhdysvaltojen hallituksen antamien lausumien mukaan edellä kuvatun kanssa samantasoista tai korkeampaa suojaa sovelletaan osavaltiotasolla toteutettaviin lainvalvontaviranomaisten tutkimuksiin (kun on kyse tutkimuksista, jotka suoritetaan osavaltion lakien mukaisesti) (172). Lisäksi perustuslain säännöksissä sekä osavaltiotason laeissa ja oikeuskäytännössä vahvistetaan edellä mainittu suoja kohtuuttomilta etsinnöiltä ja takavarikoinneilta edellyttämällä etsintämääräyksen antamista (173). Liittovaltiotasolla annettua suojaa vastaavasti etsintämääräys voidaan antaa vain osoitetun todennäköisen syyn perusteella, ja siinä on kuvailtava etsinnän sijaintikohde ja kiinniotettava henkilö tai takavarikoitava asia (174).

(101)

Eri säädöksissä, ohjeissa ja normeissa määrätään liittovaltion lainvalvontaviranomaisten keräämien tietojen myöhempää käyttöä koskevista erityisistä suojatoimista. Lukuun ottamatta FBI:n toimintaan sovellettavia erityisjärjestelyjä (AGG-DOM ja ohje FBI:n kotimaisista tutkimuksista ja operaatioista (FBI Domestic Investigations and Operations Guide)) tässä jaksossa kuvattuja vaatimuksia sovelletaan yleisesti minkä tahansa liittovaltion viranomaisen suorittamaan tietojen myöhempään käyttöön, mukaan lukien tietojen käyttö siviilihallinnon ja sääntelyn tarkoituksiin. Tähän sisältyvät vaatimukset, jotka perustuvat hallinto- ja talousarvioviraston muistioihin/määräyksiin, tietoturvallisuuden nykyaikaistamista koskevan lakiin (Federal Information Security Management Modernization Act), sähköistä hallintoa koskevaan lakiin (E-Government Act) ja liittovaltion rekisterilakiin (Federal Records Act).

(102)

Säädösten Clinger-Cohen Act (P.L. 104–106, Division E) ja vuoden 1987 Computer Security Act (P.L. 100–235) valtuuttamana hallinto- ja talousarviovirasto, jäljempänä OMB, antoi yleiskirjeen nro A-130 yleisistä sitovista ohjeista, joita sovelletaan kaikkiin liittovaltion virastoihin (myös lainvalvontaviranomaisiin) niiden käsitellessä henkilöllisyyden määrittämistä koskevia tietoja (personally identifiable information) (175). Yleiskirjeessä edellytetään erityisesti, että kaikki liittovaltion virastot rajaavat henkilöllisyyden määrittämistä koskevien tietojen luomisen, keräämisen, käytön, käsittelyn, säilyttämisen, ylläpidon, levittämisen ja luovuttamisen sellaiseen laajuuteen, joka on valtuutetun viraston tehtävien asianmukaisen suorittamisen kannalta lain mukaan sallittua, merkityksellistä ja kohtuudella tarpeen (176). Lisäksi liittovaltion virastojen on varmistettava siinä määrin kuin se on kohtuudella mahdollista, että henkilöllisyyden määrittämistä koskevat tiedot ovat tarkkoja, olennaisia, ajantasaisia ja täydellisiä ja että ne on rajoitettu viraston tehtävien asianmukaisen suorittamisen kannalta välttämättömään vähimmäismäärään. Yleisellä tasolla liittovaltion virastojen on otettava käyttöön kattava tietosuojaohjelma, jolla varmistetaan sovellettavien tietosuojavaatimusten noudattaminen, kehitetään ja arvioidaan tietosuojaperiaatteita ja hallitaan yksityisyysriskejä, ylläpidetään menettelyjä yksityisyyden suojan noudattamiseen liittyvien ongelmien havaitsemiseksi, dokumentoimiseksi ja raportoimiseksi, parannetaan työntekijöiden ja toimeksisaajien tietämystä yksityisyyden suojasta ja kehitetään sitä koskevaa koulutusta sekä otetaan käyttöön käytäntöjä ja menettelyjä sen varmistamiseksi, että henkilöstö on vastuussa tietosuojavaatimusten ja -periaatteiden noudattamisesta (177).

(103)

Lisäksi sähköistä hallintoa koskevassa E-Government Act -laissa (178) edellytetään, että kaikki liittovaltion virastot (mukaan lukien lainvalvontaviranomaiset) ottavat käyttöön tietoturvatoimia, jotka ovat oikeasuhteisia luvattomasta pääsystä, käytöstä, luovuttamisesta, häiriöistä, muutoksista tai tuhoutumisesta aiheutuvan haitan riskiin ja laajuuteen nähden. Virastoilla on myös oltava tietohallintojohtaja, joka varmistaa, että tietoturvavaatimuksia noudatetaan ja että vuosittain laaditaan tietoturvaohjelmaa ja -käytäntöjä koskeva riippumaton arviointi (esimerkiksi valvontaviranomaisen toimesta, ks. johdanto-osan 109 kappale) (179). Vastaavasti liittovaltion asiakirjoja koskeva Federal Records Act -laki (180) ja sitä täydentävät määräykset (181) edellyttävät, että liittovaltion virastojen hallussa oleviin tietoihin sovelletaan suojatoimia, joilla varmistetaan tietojen fyysinen eheys ja suojataan niitä luvattomalta käytöltä.

(104)

OMB ja Yhdysvaltojen kansallinen standardi- ja teknologiainstituutti (National Institute for Standards and Technology), jäljempänä ’NIST’, ovat kehittäneet liittovaltion lainsäädännön mukaisen toimivallan, mukaan lukien vuoden 2014 tietoturvallisuuden nykyaikaistamista koskevan lain (Federal Information Security Modernisation Act), nojalla liittovaltion virastoja (myös lainvalvontaviranomaisia) sitovat normit, joissa täsmennetään käyttöön otettavat vähimmäistietoturvavaatimukset, muun muassa pääsyn valvonta, tietoisuuden ja koulutuksen varmistaminen, valmiussuunnittelu, häiriötilanteisiin reagointi, tarkastus- ja vastuuvelvollisuusvälineet, järjestelmien ja tietojen eheystarkistukset sekä yksityisyyden suojan ja turvallisuusriskien arvioinnit (182). Lisäksi kaikkien liittovaltion virastojen (myös lainvalvontaviranomaisten) on OMB:n ohjeiden mukaisesti ylläpidettävä ja sovellettava suunnitelmaa tietoturvaloukkausten käsittelemiseksi sekä niihin vastaamiseksi ja haittariskien arvioimiseksi (183).

(105)

Tietojen säilyttämisen osalta liittovaltion virastojen (myös lainvalvontaviranomaisten) on Federal Records Act -lain (184) mukaan vahvistettava rekisteritiedoille säilyttämisaika (jonka päätyttyä tiedot on hävitettävä), jolle on saatava kansallisista arkistoista vastaavan hallinnon (National Archives and Record Administration) hyväksyntä (185). Säilytysaika määritetään eri tekijöiden perusteella, kuten tutkintatyypin mukaan tai riippuen siitä, onko todistusaineisto edelleen tutkinnan kannalta merkityksellistä. Oikeusministerin AGG-DOM-suuntaviivoissa määrätään, että FBI:llä on oltava tällainen säilytyssuunnitelma ja että sillä on oltava käytössään järjestelmä, josta se voi nopeasti hakea tutkinnan tilanteen ja perustan.

(106)

Myös OMB:n yleiskirje nro A-130 sisältää vaatimuksia, jotka koskevat henkilöllisyyden määrittämistä koskevien tietojen levittämistä. Henkilöön liitettävissä olevien tietojen levittäminen ja luovuttaminen on periaatteessa rajoitettava siihen, mikä on lain mukaan sallittua, olennaista ja kohtuudella tarpeen viraston tehtävien asianmukaisen hoitamisen kannalta (186). Kun henkilöllisyyden määrittämistä koskevia tietoja jaetaan muiden valtion tahojen kanssa, liittovaltion virastojen on tarvittaessa asetettava ehdoksi (myös toteuttamalla erityisiä turvallisuus- ja yksityisyystarkastuksia), että tietojen käsittelyä hallinnoidaan kirjallisilla sopimuksilla (mukaan lukien tietojenkäyttösopimukset, tietojenvaihtosopimukset ja yhteisymmärryspöytäkirjat) (187). Tietojen levittämisen perusteista voidaan todeta, että esimerkiksi AGG-DOM-ohjeistuksessa ja FBI:n ohjeessa kotimaisista tutkimuksista ja operaatioista (FBI Domestic Investigations and Operations Guide (188)) todetaan, että FBI:llä voi olla lakisääteinen velvoite tietojen levittämiseen (esim. kansainvälisen sopimuksen nojalla) tai se voi levittää tietoa tietyissä olosuhteissa, esimerkiksi muille yhdysvaltalaisille virastoille, jos luovuttaminen on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot on kerätty, ja se liittyy niiden velvollisuuksiin; kongressin komiteoille; ulkomaisille tahoille, jos tiedot liittyvät niiden velvollisuuksiin ja jos niiden levittäminen on Yhdysvaltojen etujen mukaista; tietojen levittäminen on erityisesti tarpeen henkilöiden tai omaisuuden turvallisuuden suojelemiseksi tai rikoksen tai kansalliseen turvallisuuteen kohdistuvan uhkan estämiseksi tai sellaiselta suojautumiseksi, ja tietojen luovuttaminen on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot on kerätty (189).

(107)

Liittovaltion lainvalvontavirastoja valvovat useat elimet (190). Kuten johdanto-osan 92–99 kappaleessa selitetään, tähän sisältyy useimmissa tapauksissa oikeuslaitoksen ennakkovalvonta, koska sen on annettava lupa yksittäisiin tiedonkeruutoimiin ennen kuin niihin voidaan ryhtyä. Lisäksi muut elimet valvovat rikosoikeudellisten lainvalvontaviranomaisten toiminnan eri vaiheita, kuten henkilötietojen keräämistä ja käsittelyä. Yhdessä nämä oikeudelliset ja muut elimet varmistavat, että lainvalvontaviranomaiset ovat riippumattoman valvonnan alaisia.

(108)

Yksityisyyteen ja kansalaisvapauksiin liittyvistä asioista vastaavia virkamiehiä (Privacy and Civil Liberties Officers) on useissa lainvalvontatehtäviä suorittavissa ministeriöissä (191). Vaikka näiden viranomaisten toimivalta voi jonkin verran vaihdella perustana olevan lainsäädännön mukaan, se yleensä kattaa menettelyjen valvonnan sen varmistamiseksi, että kyseessä oleva ministeriö tai virasto ottaa asianmukaisesti huomioon yksityisyyden suojaan ja kansalaisvapauksiin liittyvät näkökohdat ja että se on ottanut käyttöön asianmukaiset menettelyt, jotta voidaan käsitellä sellaisten henkilöiden valitukset, jotka katsovat, että heidän yksityisyyttään tai kansalaisvapauksiaan on loukattu. Kunkin ministeriön tai viraston päälliköiden on varmistettava, että yksityisyyden suojasta ja kansalaisvapauksista vastaavilla virkamiehillä on tehtäviensä hoitamiseen tarvittavat materiaalit ja resurssit, että heillä on käytettävissään kaikki tehtäviensä hoitamiseen tarvittava aineisto ja henkilöstö ja että heille tiedotetaan ehdotetuista toimintapoliittisista muutoksista ja heitä kuullaan niistä (192). Yksityisyyden suojasta ja kansalaisvapauksista vastaavat virkamiehet raportoivat säännöllisesti kongressille muun muassa seuraavista: ministeriön tai viraston vastaanottamien valitusten lukumäärä ja tyyppi ja yhteenveto niihin annetuista päätöksistä, suoritetut arvioinnit ja tarkastelut sekä virkamiehen toteuttamien toimien vaikutus (193).

(109)

Toiseksi oikeusministeriön, ja myös FBI:n, toimintaa valvoo riippumaton valvontaviranomainen (Inspector General) (194). Valvontaviranomaiset ovat lakisääteisesti riippumattomia (195), ja niiden tehtävänä on suorittaa riippumattomia tutkimuksia, arviointeja ja tarkastuksia ministeriön ohjelmista ja toimista. Niillä on pääsy kaikkiin tietoihin, raportteihin, tarkastusaineistoihin, arviointeihin, asiakirjoihin, työpapereihin, suosituksiin ja muuhun asianmukaiseen aineistoon, tarvittaessa haasteteitse, ja ne voivat ottaa todistajanlausuntoja (196). Valvontaviranomaisten antamat suositukset korjaavia toimia varten eivät ole sitovia, mutta niiden tarkastuskertomukset, myös seurantakertomukset, (tai niiden puuttuminen) (197) yleensä julkistetaan ja lähetetään kongressille, joka voi tältä pohjalta harjoittaa valvontatehtäväänsä (ks. johdanto-osan 111 kappale) (198).

(110)

Kolmanneksi, siltä osin kuin rikoslainsäädännön täytäntöönpanosta vastaavat ministeriöt toteuttavat terrorisminvastaisia toimia, niitä valvoo yksityisyyden ja kansalaisvapauksien valvontalautakunta (Privacy and Civil Liberties Oversight Board, PCLOB). Se on toimeenpanevaan osastoon kuuluva riippumaton toiminto, joka koostuu kaksipuolueisesta, viisijäsenisestä lautakunnasta, jonka presidentti nimittää kuuden vuoden toimikaudeksi senaatin hyväksynnällä (199). PCLOB:n perustamissääntöjen mukaan sen vastuualaan kuuluu terrorismin vastainen politiikka ja sen täytäntöönpano yksityisyyden suojan ja kansalaisvapauksien suojelemiseksi. Tarkastelujaan varten se voi saada käyttöönsä kaikki asiaankuuluvat elinten tiedot, raportit, tarkastusaineistot, arvioinnit, asiakirjat, työpaperit ja suositukset, mukaan lukien turvallisuusluokitellut tiedot, suorittaa haastatteluja ja kuulla todistajia (200). Se saa raportteja useiden liittovaltion ministeriöiden ja virastojen (201) kansalaisvapauksiin tai yksityisyyden suojaan liittyviä tehtäviä hoitavilta virkamiehiltä, ja se voi antaa suosituksia valtion viranomaisille ja lainvalvontaviranomaisille. Lisäksi se raportoi säännöllisesti kongressin valiokunnille ja presidentille (202). Lautakunnan raportit, myös kongressille toimitettavat raportit, julkistetaan mahdollisimman laajalti (203).

(111)

Lisäksi lainvalvontatoimia valvovat Yhdysvaltojen kongressin erityisvaliokunnat (edustajainhuoneen ja senaatin oikeusasioiden valiokunnat). Oikeusasioiden valiokunnat (Judiciary Committees) suorittavat säännöllistä valvontaa erityisesti toteuttamalla kuulemisia, tutkimuksia ja tarkasteluja ja laatimalla raportteja (204).

(112)

Kuten edellä todettiin, lainvalvontaviranomaisten on useimmissa tapauksissa saatava henkilötietojen keräämiseen etukäteen tuomioistuimen lupa. Vaikka lupaa ei vaadita hallinnollisten haasteiden tapauksessa, hallinnolliset haasteet on rajattu erityistapauksiin ja niihin voi hakea muutosta riippumattomassa tuomioistuimessa ainakin silloin, kun hallitus esittää täytäntöönpanoa tuomioistuimessa. Hallinnollisten haasteiden vastaanottajat voivat riitauttaa haasteet tuomioistuimessa sillä perusteella, että ne ovat kohtuuttomia, eli laajuudeltaan tai rasittavuudeltaan liiallisia (205).

(113)

Yksityishenkilöt voivat ensinnäkin esittää henkilötietojensa käsittelyä koskevia pyyntöjä tai valituksia lainvalvontaviranomaisille. Tähän sisältyy mahdollisuus pyytää pääsyä henkilötietoihin ja niiden oikaisemista (206). Terrorismin torjuntaan liittyvissä tapauksissa yksityishenkilöt voivat tehdä valituksen myös lainvalvontaviranomaisten puitteissa toimiville yksityisyyden suojasta ja kansalaisvapauksista vastaaville virkamiehille (tai muille vastaaville virkamiehille) (207).

(114)

Yhdysvaltojen lainsäädännössä säädetään lisäksi useista mahdollisuuksista käyttää oikeussuojakeinoja viranomaista tai sen virkamiestä vastaan, kun nämä viranomaiset käsittelevät henkilötietoja (208). Näihin oikeussuojakeinoihin kuuluvat erityisesti hallintomenettelylaki (Administrative Procedure Act, APA), tiedonvapautta koskeva laki (Freedom of Information Act, FOIA) ja sähköisen viestinnän tietosuojalaki (Electronic Communications Privacy Act, ECPA), ja niitä voivat käyttää kaikki henkilöt kansalaisuudesta riippumatta, jollei sovellettavista edellytyksistä muuta johdu.

(115)

Hallintomenettelylaissa olevien muutoksenhakua tuomioistuimessa koskevien säännösten (209) mukaan ”henkilöllä, jonka oikeuksia on loukattu viraston toiminnan seurauksena tai johon viraston toiminta vaikuttaa haitallisesti tai jonka etua on loukattu”, on oikeus hakea muutosta tuomioistuimessa (210). Tähän sisältyy mahdollisuus pyytää tuomioistuinta ”toteamaan lainvastaiseksi ja kumoamaan viraston sellaiset toimet, havainnot ja päätelmät, joiden katsotaan olevan […] mielivaltaisia, epämääräisiä, harkintavallan väärinkäyttöä tai muuten lainvastaisia” (211).

(116)

Erityisesti sähköisen viestinnän tietosuojalain (ECPA) II osastossa (212) säädetään lakisääteisten yksityisyyden suojaa koskevien oikeuksien järjestelmästä, ja sitä sovelletaan lainvalvontatarkoituksessa tapahtuvaan pääsyyn viestintäpalveluja tarjoavien kolmansien osapuolten hallussa olevaan langallisen, suullisen tai sähköisen viestinnän sisältöön (213). Siinä kriminalisoidaan laiton (eli ilman tuomioistuimen lupaa tapahtuva tai muuten ei-sallittu) pääsy tällaiseen viestintään ja säädetään kyseessä olevan henkilön mahdollisuudesta nostaa Yhdysvaltojen liittovaltion tuomioistuimessa siviilikanne sellaista hallituksen virkamiestä vastaan, joka on tahallisesti syyllistynyt tällaisiin laittomiin tekoihin, tai Yhdysvaltoja vastaan, todelliseen vahinkoon perustuvan ja rangaistusluonteisen vahingonkorvauksen sekä kielto- tai vahvistustuomion saamiseksi.

(117)

Lisäksi useissa muissa säädöksissä (Wiretap Act (214), Computer Fraud and Abuse Act (215), Federal Torts Claim Act (216), Right to Financial Privacy Act (217) ja Fair Credit Reporting Act (218)) annetaan henkilöille oikeus nostaa kanne Yhdysvaltojen viranomaista tai virkamiestä vastaan henkilötietojensa käsittelyn vuoksi.

(118)

Lisäksi tiedonvapautta koskevan lain (Freedom of Information Act, FOIA, 5 U.S.C. 552 §) (219) mukaan jokaisella henkilöllä on oikeus saada pääsy liittovaltion virastojen rekistereihin, myös silloin, kun ne sisältävät yksityishenkilön henkilötietoja. Kun kaikki hallinnolliset muutoksenhakukeinot on käytetty, yksityishenkilö voi vedota tällaiseen tietoihinpääsyoikeuteen tuomioistuimessa, ellei kyseisiä tietoja ole suojattu julkisuudelta poikkeuksella tai erityisellä lainvalvontaviranomaisten päätöksellä (220). Tässä tapauksessa tuomioistuin arvioi, sovelletaanko poikkeusta ja onko kyseinen toimivaltainen viranomainen vedonnut siihen laillisesti.

(119)

Yhdysvaltojen lainsäädäntöön sisältyy erilaisia rajoituksia ja suojatoimia, jotka koskevat henkilötietoihin pääsyä ja niiden käyttöä kansalliseen turvallisuuteen liittyviä tarkoituksia varten. Siinä säädetään myös valvonta- ja oikeussuojamekanismeista, jotka vastaavat tämän päätöksen johdanto-osan 89 kappaleessa mainittuja vaatimuksia. Seuraavassa arvioidaan yksityiskohtaisesti edellytyksiä, joiden täyttyessä pääsy henkilötietoihin voi toteutua, ja näiden toimivaltuuksien käyttöön liittyvien suojatoimien soveltamista.

(120)

Yhdysvaltojen viranomaiset voivat kerätä unionista tietosuojakehykseen osallistuville organisaatioille siirrettäviä tietoja kansalliseen turvallisuuteen liittyviä tarkoituksia varten erilaisten oikeudellisen välineiden nojalla ja noudattaen asiaa koskevia edellytyksiä ja suojatoimia.

(121)

Sen jälkeen kun Yhdysvalloissa sijaitsevat organisaatiot ovat vastaanottaneet henkilötietoja, Yhdysvaltojen tiedusteluelimet voivat hakea pääsyä tällaisiin tietoihin kansalliseen turvallisuuteen liittyviä tarkoituksia varten ainoastaan lakisääteisen luvan nojalla, erityisesti ulkomaantiedustelun valvontaa koskevan lain (Foreign Intelligence Surveillance Act), jäljempänä ’FISA-laki’, nojalla tai sellaisten säännösten nojalla, joissa sallitaan pääsy kansallista turvallisuutta koskevien kirjeiden (National Security Letters, NSL) perusteella (221). FISA-laki sisältää useita oikeusperustoja, joita voidaan käyttää kerättäessä (ja käsiteltäessä) tietosuojakehyksen (FISA 105 § (222), FISA 302 § (223), FISA 402 § (224), FISA 501 § (225) ja FISA 702 § (226)) puitteissa siirrettyjä, EU:n rekisteröityjä koskevia henkilötietoja, kuten johdanto-osan 142–152 kappaleessa tarkennetaan.

(122)

Yhdysvaltojen tiedusteluelimillä on myös mahdollisuus kerätä henkilötietoja Yhdysvaltojen ulkopuolella, mukaan lukien unionin ja Yhdysvaltojen välillä kulkevat henkilötiedot. Kerääminen Yhdysvaltojen ulkopuolella perustuu presidentin toimeenpanoasetukseen 12333 (227) (228).

(123)

Tietojen kerääminen signaalitiedustelun avulla on tämänhetkisen tietosuojan riittävyyden toteamisen kannalta merkityksellisin tiedustelutiedon keräämisen muoto, koska se koskee sähköisen viestinnän ja tietojen keräämistä tietojärjestelmistä. Yhdysvaltojen tiedusteluelimet voivat kerätä tietoja signaalitiedustelun avulla sekä Yhdysvalloissa (FISA-lain perusteella) että siinä yhteydessä, kun tietoja ollaan siirtämässä Yhdysvaltoihin (toimeenpanoasetuksen 12333 perusteella).

(124)

Yhdysvaltojen presidentti antoi 7 päivänä lokakuuta 2022 toimeenpanoasetuksen 14086 ”Enhancing Safeguards for United States Signals Intelligence”, jossa asetetaan rajoitukset ja suojatoimet kaikelle Yhdysvaltojen signaalitiedustelutoiminnalle. Toimeenpanoasetuksella korvataan suurelta osin presidentin määräys PPD 28 (229) ja vahvistetaan niitä edellytyksiä, rajoituksia ja suojatoimia, joita sovelletaan kaikkeen signaalitiedustelutoimintaan (eli FISA-lain ja toimeenpanoasetuksen 12333 perusteella) riippumatta siitä, missä se toteutetaan (230). Lisäksi sillä perustetaan uusi oikeussuojamekanismi, jonka avulla yksityishenkilöt (231) voivat vedota näihin suojatoimiin ja vaatia niiden täytäntöönpanoa (ks. tarkemmin johdanto-osan 176–194 kappale). Näin toimeenpanoasetuksella on pantu täytäntöön Yhdysvaltojen lainsäädännössä EU:n ja Yhdysvaltojen välillä käytyjen neuvottelujen tulokset sen jälkeen, kun unionin tuomioistuin oli mitätöinyt tietosuojan tason riittävyyttä koskevan komission päätöksen (ks. johdanto-osan 6 kappale). Näin ollen kyseinen toimeenpanoasetus on erityisen tärkeä osa tässä päätöksessä arvioitua oikeudellista kehystä.

(125)

Toimeenpanoasetuksella 14086 käyttöön otetut rajoitukset ja suojatoimet täydentävät FISA-lain 702 §:ssä ja toimeenpanoasetuksessa 12333 säädettyjä rajoituksia ja suojatoimia. Tiedustelupalvelujen on sovellettava jäljempänä kuvattuja vaatimuksia (3.2.1.2 ja 3.2.1.3 jakso) FISA-lain 702 §:n ja toimeenpanoasetuksen 12333 mukaiseen signaalitiedustelutoimintaan esimerkiksi valitessaan/määritellessään FISA-lain 702 §:n nojalla hankittavien ulkomaantiedustelutietojen luokkia, kerätessään ulkomaantiedustelu. tai vastatiedustelutietoa toimeenpanoasetuksen 12333 nojalla ja tehdessään yksittäisiä kohdentamispäätöksiä FISA-lain 702 §:n ja toimeenpanoasetuksen 12333 nojalla.

(126)

Tässä presidentin antamassa toimeenpanoasetuksessa asetetut vaatimukset sitovat koko tiedusteluyhteisöä. Nämä vaatimukset on pantava täytäntöön virastojen toimintaperiaatteilla ja menettelyillä, joilla ne muunnetaan konkreettisiksi ohjeiksi päivittäistä toimintaa varten. Tältä osin toimeenpanoasetuksessa 14086 annetaan Yhdysvaltojen tiedusteluelimille enintään yksi vuosi aikaa päivittää nykyiset toimintaperiaatteensa ja menettelynsä (eli 7 päivään lokakuuta 2023 mennessä), jotta ne vastaisivat toimeenpanoasetuksen vaatimuksia. Tällaisia ajantasaistettuja toimintaperiaatteita ja menettelytapoja on kehitettävä ja asetettava yleisesti saataville yhteistyössä oikeusministerin, kansallisen tiedustelupalvelun johtajan toimiston kansalaisvapauksien suojelusta vastaavan virkamiehen (Civil Liberties Protection Officer of the Director of National Intelligence), jäljempänä ’ODNI CLPO’, ja yksityisyyden suojan ja kansalaisvapauksien valvonnasta vastaavan lautakunnan (PCLOB), kanssa. PCLOB on riippumaton valvontaelin, jolla on lupa tarkistaa toimeenpanovallan toimintapolitiikkoja ja niiden toteuttamista yksityisyyden ja kansalaisvapauksien suojelemiseksi (ks. johdanto-osan 110 kappale, joka koskee PCLOB:n tehtäviä ja asemaa) (232). Kun päivitetyt toimintaperiaatteet ja menettelytavat on otettu käyttöön, PCLOB arvioi ne varmistaakseen, että ne ovat yhdenmukaisia toimeenpanoasetuksen kanssa. Kunkin tiedusteluviraston on 180 päivän kuluessa siitä, kun PCLOB on saattanut tällaisen arvioinnin päätökseen, harkittava huolellisesti kaikkia PCLOB:n suosituksia ja pantava ne täytäntöön tai muutoin käsiteltävä niitä. Yhdysvaltojen hallitus julkaisi tällaiset päivitetyt toimintaperiaatteet ja menettelyt 3. heinäkuuta 2023 (233).

(127)

Toimeenpanoasetuksessa 14086 on useita yleisiä vaatimuksia, jotka koskevat kaikkea signaalitiedustelutoimintaa (muun muassa henkilötietojen kerääminen, käyttö ja levittäminen).

(128)

Tällaisen toiminnan on perustuttava lakiin tai presidentin valtuutukseen, ja se on toteutettava Yhdysvaltain lainsäädännön, myös perustuslain, mukaisesti (234).

(129)

Käytössä on oltava asianmukaiset suojatoimet sen varmistamiseksi, että yksityisyyden suoja ja kansalaisvapaudet otetaan tällaisen toiminnan suunnittelussa huomioon olennaisina näkökohtina (235).

(130)

Varsinkin signaalitiedustelutoimintaa voidaan harjoittaa vasta sitten, kun on todettu, että toiminta on tarpeen validoitua tiedustelun painopistettä varten (ks. ’validoitu tiedustelun painopiste’, johdanto-osan 135 kappale) (236).

(131)

Lisäksi tällaisia toimia voidaan toteuttaa vain siinä laajuudessa ja tavalla, joka on oikeassa suhteessa siihen validoituun tiedustelun painopisteeseen, jota varten ne on hyväksytty (237). Toisin sanoen on saavutettava asianmukainen tasapaino kyseisen tiedustelun painopisteen merkittävyyden ja asianomaisten henkilöiden yksityisyyteen ja kansalaisvapauksiin kohdistuvien vaikutusten välillä heidän kansalaisuudestaan tai asuinpaikastaan riippumatta (238).

(132)

Signaalitiedustelutoimintaa valvotaan, jotta voidaan varmistaa näiden yleisten vaatimusten noudattaminen, jotka perustuvat lainmukaisuuden, tarpeellisuuden ja oikeasuhteisuuden periaatteisiin (tarkempaa tietoa 3.2.2 kohdassa) (239).

(133)

Näitä yleisiä vaatimuksia perustellaan signaalitiedustelutietojen keräämisen osalta sillä, että käytössä on lukuisia ehtoja ja rajoituksia, joilla varmistetaan, että yksilöiden oikeuksiin puuttuminen rajoittuu siihen, mikä on tarpeen ja oikeasuhteista legitiimin tavoitteen saavuttamiseksi.

(134)

Toimeenpanoasetuksella rajoitetaan kahdella tavalla syitä, joiden perusteella tietoja voidaan kerätä osana signaalitiedustelutoimintaa. Toimeenpanoasetuksessa määritetään legitiimit tavoitteet, joihin signaalitiedustelutietojen keräämisellä voidaan pyrkiä. Niitä ovat esimerkiksi pyrkimys ymmärtää tai arvioida Yhdysvaltojen kansallista turvallisuutta uhkaavien tai mahdollisesti uhkaavien ulkomaisten organisaatioiden, esimerkiksi kansainvälisten terroristijärjestöjen, valmiuksia, pyrkimyksiä tai toimintaa, suojautua ulkomaisilta sotilaallisilta valmiuksilta ja toiminnalta ja ymmärtää tai arvioida maailmanlaajuiseen turvallisuuteen vaikuttavia kansainvälisiä uhkia, kuten ilmastonmuutosta ja muita ekologisia muutoksia, kansanterveysriskejä ja humanitaarisia uhkia (240). Toisaalta toimeenpanoasetuksessa luetellaan tiettyjä tavoitteita, joita ei koskaan saa edistää signaalitiedustelutoiminnalla. Niitä ovat esimerkiksi pyrkimykset vaikeuttaa yksilöiden tai tiedotusvälineiden harjoittamaa arvostelua, eriävien mielipiteiden ilmaisemista, ilmaisunvapautta tai poliittisten mielipiteiden ilmaisemista, saattaa ihmisiä huonompaan asemaan näiden etnisen alkuperän, rodun, sukupuolen, sukupuoli-identiteetin, seksuaalisen suuntautumisen tai uskonnon perusteella taikka antaa kilpailuetu yhdysvaltalaisille yrityksille (241).

(135)

Tiedusteluelimet eivät voi vedota toimeenpanoasetuksessa 14086 määritettyihin legitiimeihin tavoitteisiin sellaisinaan perustellakseen signaalitiedustelutietojen keräämistä, vaan niiden pohjalta on osoitettava operatiivisia tarkoituksia varten konkreettisempia painopisteitä, joita varten signaalitiedustelutietoja voidaan kerätä. Toisin sanoen varsinainen kerääminen on mahdollista ainoastaan jonkin yksityiskohtaisemman painopisteen puitteissa. Tällaiset painopisteet vahvistetaan erityisessä prosessissa, jonka tarkoituksena on varmistaa sovellettavien lakisääteisten vaatimusten noudattaminen, mukaan lukien yksityisyyden suojaan ja kansalaisvapauksiin liittyvät vaatimukset. Tiedustelun painopisteet laatii kansallisen tiedusteluviraston johtaja (ns. kansallisia tiedustelun painopisteitä koskevassa kehyksessä), minkä jälkeen ne toimitetaan presidentin hyväksyttäväksi (242). Ennen kuin johtaja ehdottaa presidentille tiedustelun painopisteitä, hänen on toimeenpanoasetuksen 14086 mukaisesti hankittava kunkin painopisteen osalta ODNI CLPO:n arvio seuraavista: 1) edistääkö painopiste yhtä tai useampaa toimeenpanoasetuksessa lueteltua legitiimiä tavoitetta, 2) onko painopiste sellainen, että sitä ei ole suunniteltu eikä sen odoteta johtavan signaalitiedustelutietojen keräämiseen toimeenpanoasetuksessa kiellettyä tavoitetta varten ja 3) onko painopiste vahvistettu sen jälkeen, kun on otettu asianmukaisesti huomioon kaikkien henkilöiden yksityisyyden suoja ja kansalaisvapaudet heidän kansalaisuudestaan tai asuinpaikastaan riippumatta (243). Jos johtaja on eri mieltä CLPO:n arviosta, presidentille on esitettävä molemmat näkemykset (244).

(136)

Näin ollen tällä prosessilla varmistetaan erityisesti, että yksityisyyden suojaa koskevat näkökohdat otetaan huomioon jo tiedustelun painopisteitä laadittaessa.

(137)

Kun tiedustelun painopiste on vahvistettu, on lisäksi otettava huomioon useita vaatimuksia päätettäessä, voidaanko tällaisen painopisteen puitteissa kerätä tietoja signaalitiedustelulla ja missä määrin. Näillä vaatimuksilla pannaan täytäntöön toimeenpanoasetuksen 2 §:n a momentissa vahvistetut yleiset tarpeellisuus- ja oikeasuhteisuusvaatimukset.

(138)

Signaalitiedustelutoimintaa voidaan harjoittaa ainoastaan, ”kun kaikkien asiaankuuluvien tekijöiden perustellun arvioinnin jälkeen on todettu, että tietojen kerääminen on tarpeen tiettyä tiedustelun painopistettä varten” (245). Kun Yhdysvaltojen tiedusteluelimet määrittävät, onko määrättyjä tietoja tarpeen kerätä validoitua tiedustelun painopistettä varten signaalitiedustelun avulla, niiden on otettava huomioon muiden, vähemmän yksityisyyteen puuttuvien lähteiden ja menetelmien, myös diplomaattisten ja julkisten lähteiden, saatavuus, käytettävyys ja asianmukaisuus (246). Tällaiset vaihtoehtoiset, vähemmän yksityisyyteen puuttuvat lähteet ja menetelmät on asetettava etusijalle, jos niitä on saatavilla (247).

(139)

Kun tällaisia kriteerejä sovellettaessa katsotaan, että on tarpeen kerätä tietoja signaalitiedustelulla, keruun on oltava niin räätälöityä kuin mahdollista eikä sillä saa olla kohtuuttomia vaikutuksia yksityisyyden suojaan ja kansalaisvapauksiin (248). Jotta voidaan varmistaa, että yksityisyyden suojalle ja kansalaisvapaudelle ei aiheudu kohtuuttomia vaikutuksia – eli voidaan löytää tasapaino kansallisen turvallisuuden tarpeiden ja yksityisyyden ja kansalaisvapauksien suojelun välille –, on otettava asianmukaisesti huomioon kaikki asiaankuuluvat tekijät, esimerkiksi asetetun tavoitteen luonne, keräystoiminnan vaikutus yksityisyyteen ja sen kesto, keräyksen odotettavissa oleva vaikutus asetettuun tavoitteeseen, kohtuudella ennakoitavissa olevat seuraukset yksilöille sekä kerättävien tietojen luonne ja arkaluonteisuus (249).

(140)

Koska tämä päätös tietosuojan riittävyydestä koskee Yhdysvalloissa sijaitseville organisaatioille siirrettäviä tietoja, sen kannalta on eniten merkitystä sillä, miten tietoja kerätään signaalitiedustelun avulla Yhdysvalloissa. Tällaisen tietojenkeruun on aina oltava kohdennettua, kuten johdanto-osan 142–153 kappaleessa tarkemmin selitetään.

(141)

’Valikoimatonta keruuta’ (250) voidaan suorittaa ainoastaan Yhdysvaltojen ulkopuolella toimeenpanoasetuksen 12333 perusteella. Myös tässä tapauksessa on toimeenpanoasetuksen 14086 mukaan asetettava etusijalle kohdennettu keruu (251). Toisin sanoen valikoimaton keruu on sallittua vain, jos validoitua tiedustelun painopistettä tukevia tietoja ei voida kohtuudella saada kohdennetulla keruulla (252). Jos tietojen valikoimaton keruu on tarpeen Yhdysvaltojen ulkopuolella, siihen sovelletaan toimeenpanoasetuksen 14086 mukaisia erityisiä suojatoimia (253). Ensinnäkin on käytettävä erilaisia menetelmiä ja teknisiä toimenpiteitä kerättävien tietojen rajaamiseksi vain siihen, mikä on tarpeen validoitua tiedustelun painopistettä varten, ja minimoitava merkityksettömien tietojen kerääminen (254). Lisäksi toimeenpanoasetuksessa rajataan valikoimattomasti kerättyjen tietojen käyttö (myös kyselyt) kuuteen tavoitteeseen, joihin kuuluvat terrorismin torjunta, panttivankitilanteet ja henkilöiden pitäminen vankina ulkomaisen hallituksen, järjestön tai henkilön toimesta tai puolesta, suojautuminen ulkomaiselta vakoilulta, sabotaasilta tai salamurhilta sekä suojautuminen joukkotuhoaseiden kehittämisestä, hallussapidosta tai levittämisestä taikka niihin liittyvistä teknologioista aiheutuvilta uhkilta (255). Kaikenlainen kyselyjen tekeminen tiedoista, jotka on koottu valikoimattomasti signaalitiedustelun avulla , on sallittu vain, jos se on tarpeen validoitua tiedustelun painopistettä varten ja näiden kuuden tavoitteen saavuttamiseksi ja jos siinä noudatetaan sellaisia toimintaperiaatteita ja menettelytapoja, joissa otetaan asianmukaisesti huomioon kyselyjen vaikutus kaikkien henkilöiden yksityisyyteen ja kansalaisvapauksiin riippumatta heidän kansalaisuudestaan tai siitä, missä he asuvat (256).

(142)

Toimeenpanoasetuksen 14086 vaatimusten lisäksi Yhdysvalloissa sijaitsevalle organisaatiolle siirrettyjen tietojen keräämiseen signaalitiedustelulla sovelletaan FISA-lain 702 §:n mukaisia erityisiä rajoituksia ja suojatoimia (257). FISA-lain 702 § mahdollistaa ulkomaisten tiedustelutietojen keräämisen kohdistamalla tiedustelutoimintaa muihin kuin yhdysvaltalaisiin henkilöihin, joiden voidaan kohtuudella olettaa oleskelevan Yhdysvaltojen ulkopuolella, siten, että yhdysvaltalaisia sähköisten viestintäpalvelujen tarjoajia velvoitetaan avustamaan tässä (258). Ulkomaisten tiedustelutietojen keräämiseksi FISA-lain 702 §:n nojalla oikeusministeri ja kansallisen tiedustelupalvelun johtaja toimittavat ulkomaantiedustelun valvonnasta vastaavalle tuomioistuimelle (Foreign Intelligence Surveillance Court), jäljempänä ’FISC-tuomioistuin’, vuotuiset sertifioinnit, joissa yksilöidään hankittavien ulkomaisten tiedustelutietojen luokat (259). Sertifiointeihin on liitettävä kohdentamis-, minimointi- ja kyselymenettelyt, jotka myös tuomioistuin on hyväksynyt ja jotka sitovat oikeudellisesti yhdysvaltalaisia tiedustelupalveluja.

(143)

FISC on liittovaltion lainsäädännön nojalla perustettu riippumaton tuomioistuin (260), jonka päätöksiin voidaan hakea muutosta ulkomaantiedustelun valvonnan muutoksenhakutuomioistuimelta (Foreign Intelligence Surveillance Court of Review), jäljempänä ’FISCR-tuomioistuin’ (261), ja viime kädessä Yhdysvaltojen korkeimmalta oikeudelta (262). FISC-tuomioistuimen (ja FISCR-tuomioistuimen) tukena on viidestä lakimiehestä ja viidestä teknisestä asiantuntijasta koostuva pysyvä paneeli. Sen jäsenillä on kokemusta kansalliseen turvallisuuteen ja kansalaisvapauksiin liittyvistä kysymyksistä (263). Tuomioistuin nimittää ryhmästä yhden toimimaan amicus curiae -ominaisuudessa tehtävänään avustaa määräystä tai muutoksenhakua koskevissa hakemuksissa, joissa tuomioistuimen mukaan on kyse uudesta tai merkittävästä lainsäädännön tulkinnasta, paitsi jos tuomioistuin katsoo, että kyseinen nimitys ei ole asianmukainen (264). Tällä varmistetaan erityisesti, että yksityisyyden suojaan liittyvät näkökohdat otetaan asianmukaisesti huomioon tuomioistuimen tekemässä arvioinnissa. Tuomioistuin voi myös nimittää yksittäisen henkilön tai organisaation toimimaan amicus curiaena, esimerkiksi toimimaan teknisenä asiantuntijana, kun se katsoo sen tarpeelliseksi, tai antaa yksittäiselle henkilölle tai organisaatiolle tämän hakemuksesta luvan saada esittää amicus curiae -kirjelmä (265).

(144)

FISC-tuomioistuin käy läpi sertifioinnit ja niihin liittyvät menettelyt (erityisesti kohdentamis- ja minimointimenettelyt) FISA-lain vaatimusten noudattamiseksi. Jos se katsoo, että vaatimukset eivät täyty, se voi evätä sertifioinnin kokonaan tai osittain ja vaatia menettelyjen muuttamista (266). FISC-tuomioistuin on vahvistanut tältä osin toistuvasti, että sen 702 §:n mukaisten kohdentamis- ja minimointimenettelyjen tarkastelu ei rajoitu kirjallisiin menettelyihin vaan sisältää myös sen, miten hallitus panee menettelyt täytäntöön (267).

(145)

Kansallinen turvallisuusvirasto NSA (FISA-lain 702 §:n nojalla kohdentamisesta vastaava tiedusteluelin) tekee yksittäiset kohdentamismääritykset FISC-tuomioistuimen hyväksymien kohdentamismenettelyjen mukaisesti. Menettelyissä edellytetään, että kansallinen turvallisuusvirasto arvioi kaikkien olosuhteiden perusteella, että tiettyyn henkilöön tehtävällä kohdentamisella saadaan todennäköisesti sertifioinnissa yksilöityä tietyn luokan ulkomaantiedustelutietoa (268). Tämä arviointi on täsmennettävä, ja sen on perustuttava tosiseikkoihin, analyyttiseen arviointiin, analyytikon erityiskoulutukseen ja kokemukseen sekä hankittavan ulkomaantiedustelutiedon luonteeseen (269). Kohdentaminen toteutetaan yksilöimällä niin kutsutut valintakriteerit, joilla määritetään tietyt viestintävälineet, kuten kohteen sähköpostiosoite tai puhelinnumero, mutta ei koskaan avainkäsitteitä tai henkilöiden nimiä (270).

(146)

Ensin kansallisen turvallisuusviraston analyytikot yksilöivät ne ulkomailla olevat ei-yhdysvaltalaiset henkilöt, joiden valvonta analyytikkojen arvion mukaan johtaa sertifiointipäätöksessä määriteltyyn ulkomaantiedustelutietoon (271). Kuten kansallisen turvallisuusviraston kohdentamismenettelyissä todetaan, kansallinen turvallisuusvirasto voi kohdistaa valvontaa kohteeseen vain, jos se on jo saanut kohteesta jotakin tietoa (272). Tämä voi perustua eri lähteistä, esimerkiksi henkilötiedustelusta, saatuihin tietoihin. Analyytikon on saatava näistä muista lähteistä tietoa myös mahdollisen kohteen käyttämästä erityisestä valintakriteeristä (eli viestintävälineestä). Sen jälkeen, kun henkilöt on yksilöity ja heidän kohdentamisensa on hyväksytty kansallisen turvallisuusviraston kattavassa arviointijärjestelmässä (273), laaditaan valintakriteerit ja sovelletaan niitä (”tasked selectors”). Näiden kriteerien avulla määritetään kohteiden käyttämät viestintävälineet (esimerkiksi sähköpostiosoitteet) (274).

(147)

Kansallisen turvallisuusviraston on dokumentoitava tosiasialliset syyt, joiden vuoksi henkilö on valittu tiedustelun kohteeksi (275), ja vahvistettava säännöllisin väliajoin alkuperäisen kohdentamisen jälkeen, että kohdentamisperuste täyttyy edelleen (276). Kun kohdentamisperuste ei enää täyty, tietojen keruu on lopetettava (277). Kansallisen turvallisuusviraston suorittaman kohteen valinnan ja kirjatun kohdentamisarvioinnin tulosten ja perustelujen tarkastelusta kohdentamismenettelyjen noudattamisen osalta vastaavat kahden kuukauden välein oikeusministeriön tiedusteluvalvontavirastoissa toimivat virkamiehet, joiden velvollisuutena on ilmoittaa mahdollisista rikkomisista FISC-tuomioistuimelle ja kongressille (278). Kansallisen turvallisuusviraston kirjalliset asiakirjat helpottavat FISC-tuomioistuimen suorittamaa valvontaa sen suhteen, onko tietyt henkilöt kohdennettu asianmukaisesti FISA-lain 702 §:n nojalla, johdanto-osan 173 ja 174 kappaleessa kuvattujen valvontavaltuuksien mukaisesti (279). Kansallisen tiedusteluviraston (DNI) johtajan on myös raportoitava FISA-lain 702 §:n mukaisten kohteiden kokonaismäärä vuosittain julkaistavissa tilastollisissa avoimuusraporteissa. Yritykset, jotka saavat FISA-lain 702 §:n mukaisia määräyksiä, voivat julkaista saamiaan pyyntöjä koskevat tiedot yhteen koottuina (avoimuusraporteissa) (280).

(148)

Muihin oikeusperustoihin, jotka koskevat organisaatioille siirrettyjen henkilötietojen keräämistä Yhdysvalloissa, sovelletaan erilaisia rajoituksia ja suojatoimia. Yleisesti ottaen tietojen valikoimaton keruu on nimenomaisesti kielletty FISA-lain 402 §:n (lähtevän ja saapuvan teleliikenteen tietojen tallennusjärjestelmät (pen registers, trap and trace authority)) nojalla ja NSL:ää käyttäen, ja sen sijaan vaaditaan erityisten ”valintakriteerien” käyttöä (281).

(149)

Perinteisen yksilöllisen sähköisen valvonnan toteuttamiseksi (FISA-lain 105 §:n mukaisesti) tiedusteluelinten on toimitettava FISC-tuomioistuimelle hakemus, jossa esitetään tosiseikat ja olosuhteet, joihin vedotaan sen perustelemiseksi, että on todennäköisiä syitä uskoa, että vieras valta tai sen asiamies (282) käyttää tai aikoo käyttää tiettyä välinettä. FISC-tuomioistuin arvioi muun muassa sen, onko esitettyjen tosiseikkojen perusteella todennäköistä, että näin todella on (283).

(150)

FISC-tuomioistuimen antamaa määräystä on haettava, jotta voidaan tehdä tilojen tai omaisuuden etsintä, jonka tarkoituksena on tietojen, aineiston tai omaisuuden (esimerkiksi tietokonelaitteen) tutkinta, takavarikointi tms. FISA-lain 301 §:n perusteella (284). Tällaisella hakemuksella on muun muassa osoitettava, että on olemassa todennäköinen syy siihen, että etsinnän kohteena on vieras valta tai sen asiamies, että etsittävässä tilassa on tai etsittävään omaisuuteen sisältyy ulkomaantiedustelutietoa ja että etsittävä tila on vieraan vallan (asiamiehen) omistuksessa, käytössä tai hallussa tai siirrettävänä sille tai siltä (285).

(151)

Samoin lähtevän ja saapuvan teleliikenteen tietojen tallennusjärjestelmien (pen registers, trap and trace devices) asentaminen (FISA-lain 402 §:n mukaisesti) edellyttää hakemuksen tekemistä FISC-tuomioistuimen (tai yhdysvaltalaisen alemman oikeusasteen tuomarin) määräyksen saamiseksi ja erityisen valintakriteerin käyttöä, eli kriteerin, joka nimenomaisesti yksilöi henkilön, tilin tms. ja jota käytetään niin suuressa määrin kuin on kohtuullista haluttujen tietojen laajuuden rajoittamiseksi (286). Tämä oikeusperusta ei koske viestinnän sisältöä, vaan tavoitteena on saada tietoa palvelua käyttävästä asiakkaasta tai tilaajasta (kuten nimi, osoite, tilaajanumero, vastaanotetun palvelun pituus ja tyyppi, maksun alkuperä ja mekanismi).

(152)

FISA-lain 501 §:ssä (287) sallitaan liiketoimintatietojen kerääminen yleisestä kuljetusliikkeestä (eli henkilöstä tai oikeushenkilöstä, joka kuljettaa ihmisiä tai omaisuutta maitse, rautateitse, vesiteitse tai ilmateitse korvausta vastaan), julkisista majoituspalveluista (esimerkiksi hotellista, motellista tai matkustajakodista), ajoneuvojen vuokrauspalvelusta tai fyysisestä varastotilasta (eli tilasta tavaroiden ja aineiden varastointiin tai siihen liittyvistä palveluista) (288). Kyseisen pykälän mukaan myös tämä edellyttää hakemusta FISC-tuomioistuimelle tai alemman oikeusasteen tuomarille. Hakemuksessa on eriteltävä halutut tiedot sekä erityiset ja ymmärrettävät tosiseikat, joiden perusteella on syytä uskoa, että tietoihin liittyvä henkilö on vieras valta tai vieraan vallan asiamies (289).

(153)

Lisäksi eri säädöksissä sallitaan kansallista turvallisuutta koskevat kirjeet (NSL), ja tutkinnasta vastaavat virastot voivat hankkia niiden avulla tietyiltä tahoilta (esimerkiksi rahoituslaitoksilta, luottotietoselvitystoimistoilta, sähköisen viestinnän tarjoajilta) määrättyjä tietoja (viestinnän sisältöä lukuun ottamatta), jotka sisältyvät luottoraportteihin, kirjanpitoon sekä sähköisissä tilausasiakas- ja liiketapahtumarekistereissä oleviin tietoihin (290). Sähköiseen viestintään pääsyn sallimisesta annettua NSL:ää koskevaa säädöstä voi hyödyntää ainoastaan FBI, ja edellytyksenä on sellaisen kriteerin käyttö, jolla nimenomaisesti yksilöidään henkilö, oikeushenkilö, puhelinnumero tai tili ja jolla todistetaan, että tiedoilla on merkitystä hyväksytylle kansallista turvallisuutta koskevalle tutkimukselle kansainväliseltä terrorismilta tai salaiselta tiedustelutoiminnalta suojautumiseksi (291). NSL:n vastaanottaja voi vastustaa kirjeessä esitettyjä vaatimuksia viemällä asian tuomioistuimen käsiteltäväksi (292).

(154)

Yhdysvaltojen tiedusteluelinten signaalitiedustelun avulla keräämien henkilötietojen käsittelyyn sovelletaan useita suojatoimia.

(155)

Ensinnäkin kunkin tiedusteluelimen on varmistettava asianmukainen tietoturva ja estettävä asiattomien pääsy signaalitiedustelun avulla kerättyihin henkilötietoihin. Eri välineissä, kuten laeissa, ohjeissa ja standardeissa, täsmennetään tätä varten käyttöön otettavat tietoturvan vähimmäisvaatimukset (esimerkiksi monivaiheinen tunnistus ja salaus) (293). Pääsy kerättyihin tietoihin on annettava vain valtuutetulle ja koulutetulle henkilöstölle, joka tarvitsee tietoja tehtäviensä suorittamiseksi (294). Yleisesti ottaen tiedusteluelinten on tarjottava työntekijöilleen asianmukaista koulutusta myös menettelyistä, joilla ilmoitetaan lainsäädännön (mukaan lukien EO 14086) rikkomisesta ja puututaan siihen (295).

(156)

Toiseksi tiedusteluelinten on noudatettava tarkkuutta ja puolueettomuutta koskevia tiedusteluyhteisön normeja, jotka koskevat erityisesti tietojen laadun ja luotettavuuden varmistamista, vaihtoehtoisten tietolähteiden huomioon ottamista ja puolueettomuutta analyyseja tehtäessä (296).

(157)

Kolmanneksi toimeenpanoasetuksessa 14086 selvennetään tietojen säilyttämisen osalta, että ei-yhdysvaltalaisten henkilöiden henkilötietoihin sovelletaan samoja säilytysaikoja kuin yhdysvaltalaisten henkilöiden tietoihin (297). Tiedustelupalvelujen on määriteltävä tarkasti säilytysajat ja/tai tekijät, jotka on otettava huomioon määritettäessä sovellettavien säilytysaikojen pituutta (esim. ovatko tiedot todisteena rikoksesta; ovatko tiedot ulkomaantiedustelutietoja; tarvitaanko tietoja yksityishenkilöiden tai organisaatioiden turvallisuuden suojelemiseksi, mukaan lukien kansainvälisen terrorismin uhrit tai kohteet. Tekijöistä säädetään eri säädöksissä (298).

(158)

Neljänneksi signaalitiedustelun avulla kerättyjen henkilötietojen levittämiseen sovelletaan erityisiä sääntöjä. Yleisenä vaatimuksena on, että ei-yhdysvaltalaisten henkilöiden henkilötietoja voidaan levittää vain, jos ne sisältävät samantyyppistä tietoa kuin mitä voidaan levittää yhdysvaltalaisista henkilöistä, esimerkiksi tietoja, joita tarvitaan henkilön tai organisaation turvallisuuden suojelemiseksi (kuten kansainvälisten terroristijärjestöjen kohteet, uhrit tai panttivangit) (299). Henkilötietoja ei myöskään saa levittää pelkästään henkilön kansalaisuuden tai asuinmaan perusteella tai toimeenpanoasetuksen 14086 vaatimusten kiertämiseksi (300). Tietoja voidaan levittää Yhdysvaltojen hallinnon sisällä vain, jos valtuutetulla ja koulutetulla henkilöllä on perusteltu syy uskoa, että vastaanottajalla on tarve saada tiedot (301) ja että vastaanottaja suojaa tiedot asianmukaisesti (302). Kun halutaan määrittää, voidaanko henkilötietoja levittää Yhdysvaltojen hallinnon ulkopuolisille vastaanottajille (mukaan lukien vieraan vallan hallitus tai kansainvälinen järjestö), on otettava huomioon levittämisen tarkoitus, levitettävien tietojen luonne ja laajuus sekä mahdolliset haitalliset vaikutukset asianomaisiin henkilöihin (303).

(159)

Kunkin tiedusteluelimen on toimeenpanoasetuksen 14086 nojalla säilytettävä asianmukaiset asiakirjat signaalitiedustelun avulla saatujen tietojen keruusta myös sovellettavien lakisääteisten vaatimusten noudattamisen valvonnan ja tehokkaiden oikeussuojakeinojen helpottamiseksi. Asiakirjavaatimukset koskevat esimerkiksi tosiseikkoja, joiden perusteella arvioidaan, että tietty tiedonkeruutoimi on tarpeen validoitua tiedustelun painopistettä varten (304).

(160)

Edellä mainittujen toimenpanoasetuksen 14086 suojatoimien lisäksi signaalitiedustelun avulla kerättyjen tietojen käytön suhteen kaikkiin Yhdysvaltojen tiedusteluviranomaisiin sovelletaan yleisempiä vaatimuksia, jotka koskevat käyttötarkoituksen rajoittamista, tietojen minimointia, tarkkuutta, tietoturvaa, säilyttämistä ja levittämistä. Yleisemmät vaatimukset perustuvat erityisesti OMB:n kiertokirjeeseen nro A-130, sähköistä hallintoa koskevaan lakiin, liittovaltion rekisterilakiin (ks. johdanto-osan 101–106 kappale) ja kansallisten turvallisuusjärjestelmien komitean (CNSS) ohjeisiin (305).

(161)

Yhdysvaltojen tiedusteluelinten toimintaa valvovat eri elimet.

(162)

Ensinnäkin toimeenpanoasetuksessa 14086 edellytetään, että kullakin tiedusteluelimellä on oikeusalasta, valvonnasta ja vaatimustenmukaisuudesta vastaavia korkean tason virkamiehiä sovellettavan Yhdysvaltojen lainsäädännön noudattamisen varmistamiseksi (306). Näiden on valvottava säännöllisesti signaalitiedustelutoimintaa ja varmistettava, että vaatimustenvastaisuudet korjataan. Tiedusteluelinten on annettava kyseisille virkamiehille pääsy kaikkiin merkityksellisiin tietoihin valvontatehtävien suorittamiseksi, eivätkä elimet saa ryhtyä toimiin estääkseen valvontatoimia tai vaikuttaakseen niihin epäasianmukaisesti (307). Lisäksi kaikista merkittävistä vaatimustenvastaisuuksista (308), jotka valvonnasta vastaava virkamies tai muu työntekijä on havainnut, on ilmoitettava viipymättä tiedusteluelimen johtajalle ja kansallisen tiedusteluviraston johtajalle, jonka on varmistettava, että kaikki tarvittavat toimet toteutetaan merkittävän vaatimustenvastaisuuden korjaamiseksi ja toistumisen estämiseksi (309).

(163)

Valvontatehtävää hoitavat virkamiehet, jotka on nimetty sääntöjenmukaisuuden valvomisen tehtävään, sekä yksityisyyden suojasta ja kansalaisvapauksista vastaavat virkamiehet ja valvontaviranomaiset (310).

(164)

Lainvalvontaviranomaisten tavoin kaikissa tiedusteluelimissä on yksityisyyden suojasta ja kansalaisvapauksista vastaavia virkamiehiä (311). Näiden virkamiesten toimivalta kattaa yleensä menettelyjen valvonnan sen varmistamiseksi, että kyseessä oleva ministeriö tai elin ottaa asianmukaisesti huomioon yksityisyyden suojaan ja kansalaisvapauksiin liittyvät huolenaiheet ja on ottanut käyttöön asianmukaiset menettelyt, jotta voidaan käsitellä sellaisten henkilöiden valitukset, jotka katsovat, että heidän yksityisyyttään tai kansalaisvapauksiaan on loukattu (ja joissakin tapauksissa niillä voi olla, esimerkiksi kansallisen turvallisuusviraston johtajan toimiston ODNIn tapaan, toimivalta tutkia valituksia (312)). Tiedusteluelinten johtajien on varmistettava, että yksityisyyden suojasta ja kansalaisvapauksista vastaavilla virkamiehillä on tehtäviensä hoitamiseen tarvittavat resurssit, että heillä on käytettävissään kaikki tehtäviensä hoitamiseen tarvittava aineisto ja henkilöstö ja että heille tiedotetaan ehdotetuista toimintapoliittisista muutoksista ja heitä kuullaan niistä (313). Yksityisyyden suojasta ja kansalaisvapauksista vastaavat virkamiehet raportoivat säännöllisesti kongressille ja PCLOB:lle muun muassa seuraavista: ministeriön tai elimen vastaanottamien valitusten lukumäärä ja luonne sekä yhteenveto valituksiin annetuista päätöksistä, suoritetut arvioinnit ja tarkastelut sekä virkamiehen toteuttamien toimien vaikutus (314).

(165)

Toiseksi kullakin tiedusteluelimellä on riippumaton valvontaviranomainen, jonka vastuulla on muun muassa valvoa ulkomaantiedustelutoimintaa. Tähän sisältyy ODNIn yhteydessä oleva tiedusteluyhteisön valvontaviranomaisen toimisto, jolla on kattava toimivalta koko tiedusteluyhteisön suhteen ja valtuudet tutkia valituksia tai tietoja, jotka koskevat väitteitä lainvastaisesta menettelystä tai toimivallan väärinkäytöstä ODNIn ja/tai tiedusteluyhteisön ohjelmien ja toimien yhteydessä (315). Lainvalvontaviranomaisten tapaan (ks. johdanto-osan 109 kappale) tällaiset valvontaviranomaiset ovat lakisääteisesti riippumattomia (316) ja vastuussa tarkastuksista ja tutkimuksista, jotka koskevat kansalliseen tiedusteluun liittyviä, kyseessä olevan viraston ohjelmia ja toimia, mukaan lukien valtaoikeuksien väärinkäyttö tai lain rikkominen (317). Niillä on pääsy kaikkiin tietoihin, raportteihin, tarkastusaineistoihin, arviointeihin, asiakirjoihin, työpapereihin, suosituksiin ja muuhun asianmukaiseen aineistoon, tarvittaessa haasteteitse, ja ne voivat ottaa todistajanlausuntoja (318). Valvontaviranomaiset saattavat epäiltyjä rikoksia koskevat asiat tuomioistuinten käsiteltäviksi ja antavat elinten johtajille suosituksia korjaavista toimista (319). Vaikka niiden suositukset eivät ole sitovia, niiden raportit, myös seurantaraportit, (tai niiden puuttuminen) (320) julkistetaan usein ja lähetetään kongressille, joka voi tältä pohjalta harjoittaa valvontatehtäväänsä (ks. johdanto-osan 168–169 kappale) (321).

(166)

Kolmanneksi presidentin tiedustelutoimintaa käsittelevän neuvoa-antavan lautakunnan (President’s Intelligence Advisory Board, PIAB) osaksi perustettu tiedustelutoiminnan valvonnasta vastaava lautakunta (Intelligence Oversight Board, IOB) valvoo, että Yhdysvaltojen tiedusteluviranomaiset noudattavat perustuslakia ja kaikkia sovellettavia sääntöjä (322). PIAB on presidentin toimeenpanovirastoon kuuluva neuvoa-antava elin, jossa on 16 jäsentä, jotka presidentti nimittää Yhdysvaltojen hallituksen ulkopuolelta. IOB koostuu enintään viidestä jäsenestä, jotka presidentti nimittää PIAB:n jäsenten keskuudesta. Toimeenpanoasetuksen 12333 (323) mukaan kaikkien tiedusteluelinten johtajien on ilmoitettava tiedustelutoiminnasta, josta on syytä uskoa, että se voi olla laitonta tai vastoin toimeenpanoasetusta tai presidentin määräystä IOB:lle. Jotta voidaan varmistaa, että IOB:llä on pääsy tehtäviensä suorittamiseen tarvittaviin tietoihin, toimeenpanoasetuksessa 13462 ohjeistetaan kansallisen tiedusteluviraston johtajaa ja tiedusteluelinten johtajia antamaan tietoja ja apua, joita IOB katsoo tarvitsevansa tehtäviensä hoitamiseksi, lain sallimissa rajoissa (324). IOB:n on puolestaan ilmoitettava presidentille tiedustelutoiminnasta, jonka se katsoo rikkovan Yhdysvaltojen lainsäädäntöä (mukaan lukien täytäntöönpanoasetukset) ja johon oikeusministeri, kansallisen tiedusteluviraston johtaja tai tiedusteluelimen johtaja ei ole puuttunut asianmukaisesti (325). Lisäksi IOB:n on ilmoitettava oikeusministerille mahdollisista rikoslain rikkomisista.

(167)

Neljänneksi tiedustelupalvelut ovat PCLOB:n valvonnan alaisia. PCLOB:n perustamissääntöjen mukaan sen vastuualaan kuuluu terrorismin vastainen politiikka ja sen täytäntöönpano yksityisyyden suojan ja kansalaisvapauksien suojelemiseksi. Tarkastellessaan tiedusteluelinten toimintaa se voi saada käyttöönsä kaikki asiaankuuluvat elinten tiedot, raportit, tarkastusaineistot, arvioinnit, asiakirjat, työpaperit ja suositukset, mukaan lukien turvallisuusluokitellut tiedot, suorittaa haastatteluja ja kuulla todistajia (326). Se saa raportteja useiden liittovaltion ministeriöiden ja virastojen (327) kansalaisvapauksiin tai yksityisyyden suojaan liittyviä tehtäviä hoitavilta virkamiehiltä, ja se voi antaa suosituksia valtion viranomaisille ja tiedustelupalveluille. Lisäksi se raportoi säännöllisesti kongressin valiokunnille ja presidentille (328). Lautakunnan raportit, myös kongressille toimitettavat raportit, julkistetaan mahdollisimman laajalti (329). PCLOB on laatinut useita valvonta- ja seurantaraportteja, muun muassa analyysin FISA-lain 702 §:n perusteella toteutetuista ohjelmista ja yksityisyyden suojasta tässä yhteydessä sekä presidentin määräyksen PPD 28 ja toimeenpanoasetuksen 12333 täytäntöönpanosta (330). PCLOB:n tehtävänä on myös suorittaa erityisiä valvontatehtäviä toimeenpanoasetuksen 14086 täytäntöönpanon osalta erityisesti tarkastelemalla, ovatko elimen menettelyt yhdenmukaisia asetuksen kanssa (ks. johdanto-osan 126 kappale), ja arvioimalla oikeussuojakeinojen toimintaa (ks. johdanto-osan 194 kappale).

(168)

Viidenneksi toimeenpanovallan valvontamekanismien lisäksi myös tietyillä Yhdysvaltojen kongressin valiokunnilla (edustajainhuoneen ja senaatin tiedustelu- ja oikeusasioiden valiokunnilla) on valvontavelvoitteita, jotka liittyvät kaikkeen Yhdysvaltojen harjoittamaan ulkomaantiedusteluun. Näiden valiokuntien jäsenillä on pääsy sekä turvallisuusluokiteltuihin tietoihin että tiedustelumenetelmiin ja -ohjelmiin (331). Valiokunnat harjoittavat valvontatehtäviään eri tavoin, erityisesti kuulemisten, tutkimusten, tarkastelujen ja raporttien avulla (332).

(169)

Kongressin valiokunnat saavat säännöllisesti raportteja tiedustelutoiminnasta, myös oikeusministeriltä, kansallisen tiedusteluviraston johtajalta, tiedusteluelimiltä ja muilta valvontaelimiltä (esimerkiksi valvontaviranomaiset), ks. johdanto-osan 164 ja 165 kappale. Erityisesti kansallista turvallisuutta koskevan lain (National Security Act) mukaan ”presidentti varmistaa, että kongressin tiedusteluvaliokunnille tiedotetaan kaikilta osin ja viipymättä Yhdysvaltojen tiedustelutoiminnasta, mukaan lukien tässä alaluvussa edellytetty merkittävä ennakoitu tiedustelutoiminta” (333). Lisäksi ”presidentti varmistaa, että kaikesta laittomasta tiedustelutoiminnasta ilmoitetaan viipymättä kongressin tiedusteluvaliokunnille samoin kuin mahdollisista korjaavista toimista, jotka on toteutettu tai jotka aiotaan toteuttaa laittoman toiminnan johdosta” (334).

(170)

Lisäksi erityisestä lainsäädännöstä seuraa muita raportointivaatimuksia. FISA-laissa edellytetään erityisesti, että oikeusministeri tiedottaa ”kaikilta osin” tiettyjen kyseisen lain pykälien mukaisesti senaatille ja edustajainhuoneen tiedustelu- ja oikeusasioiden valiokunnalle hallituksen toimista (335). Siinä edellytetään myös, että hallitus antaa kongressin valiokunnille jäljennökset kaikista FISC-tuomioistuimen tai FISCR-muutoksenhakutuomioistuimen päätöksistä, määräyksistä tai lausunnoista, joihin sisältyy FISA-lain säännösten ”merkittävää tulkintaa”. Mitä tulee FISA-lain 702 §:n mukaiseen valvontaan, parlamentaarista valvontaa harjoitetaan toimittamalla vaaditut raportit tiedustelu- ja oikeusasioiden valiokunnille sekä toteuttamalla säännöllisiä katsauksia ja kuulemisia. Näihin kuuluvat oikeusministerin puolivuotiskertomus, jossa esitellään FISA-lain 702 §:n soveltamista ja jossa ovat liitteinä muun muassa oikeusministeriön ja ODNIn selvitykset sääntöjen noudattamisesta ja kuvaus mahdollisista tapauksista, joissa sääntöjä ei ole noudatettu (336), sekä oikeusministerin ja DNI:n erillinen puolivuosittainen arvio, jossa selvitetään kohdentamiseen ja minimointiin liittyvien menettelyjen noudattamista (337).

(171)

Lisäksi FISA-laissa edellytetään, että Yhdysvaltojen hallitus ilmoittaa vuosittain kongressille (ja yleisölle) muun muassa haettujen ja myönnettyjen FISA-määräysten (FISA Orders) lukumäärän sekä arviot valvonnan kohteena olevien yhdysvaltalaisten ja ei-yhdysvaltalaisten henkilöiden määrästä (338). Laissa edellytetään myös, että kansallista turvallisuutta koskevien kirjeiden (NSL) määrästä annetaan julkinen raportti sekä yhdysvaltalaisten että ei-yhdysvaltalaisten henkilöiden osalta (samalla FISA-määräysten ja -sertifiointipäätösten sekä NSL-pyyntöjen vastaanottajat voivat antaa avoimuusraportin tietyin edellytyksin) (339).

(172)

Yleisesti ottaen Yhdysvaltojen tiedusteluyhteisö pyrkii lisäämään monin tavoin (ulkomaan)tiedustelunsa avoimuutta. Esimerkiksi vuonna 2015 ODNI hyväksyi tiedustelun avoimuutta koskevat periaatteet ja avoimuutta koskevan täytäntöönpanosuunnitelman ja määräsi kunkin tiedusteluelimen nimeämään tiedustelun avoimuudesta vastaavan virkamiehen edistämään avoimuutta ja johtamaan avoimuusaloitteita (340). Näiden toimien osana tiedusteluyhteisö on julkistanut ja julkistaa edelleen muun muassa ODNIn hallinnoimalla erityisellä IC on the Record -verkkosivustolla sellaisia osia toimintaperiaatteista, menettelytavoista, valvontaraporteista, FISA-lain 702 §:n ja toimeenpanoasetuksen 12333 mukaisia toimia koskevista raporteista, FISC-tuomioistuimen päätöksistä ja muusta aineistosta, joiden turvallisuusluokitus on poistettu (341).

(173)

Lisäksi FISA-lain 702 §:n mukainen henkilötietojen kerääminen kuuluu johdanto-osan 162–168 kappaleessa mainittujen valvontaelinten harjoittaman valvonnan ohella myös FISC-tuomioistuimen valvonnan alaisuuteen (342). FISC-tuomioistuimen työjärjestyksen säännön 13 mukaan Yhdysvaltojen tiedusteluelinten sääntöjen noudattamista valvovien virkamiesten on ilmoitettava kaikista FISA-lain 702 §:n kohdentamis-, minimointi- ja kyselymenettelyjen rikkomisista oikeusministeriölle ja ODNIlle, jotka puolestaan ilmoittavat niistä FISC-tuomioistuimelle. Lisäksi oikeusministeriö ja ODNI toimittavat FISC-tuomioistuimelle puolivuosittaiset yhteistä valvontaa koskevat arviointiraportit, joissa yksilöidään kohdentamismenettelyjen noudattamisen suuntaukset, annetaan tilastotietoja, kuvataan säännösten rikkomisten luokat, esitetään yksityiskohtaisesti, miksi tietyt kohdentamissäännösten rikkomiset ovat tapahtuneet, ja esitellään toimenpiteet, joita tiedusteluelimet ovat toteuttaneet välttääkseen rikkomisen toistumisen (343).

(174)

Tarvittaessa (esimerkiksi jos havaitaan, että kohdentamismenettelyjä on rikottu) tuomioistuin voi määrätä asianomaisen tiedusteluelimen ryhtymään korjaaviin toimiin (344). Nämä korjaavat toimet voivat vaihdella yksittäisistä toimenpiteistä rakenteellisiin toimenpiteisiin, esimerkiksi tiedonhankinnan lopettamisesta ja laittomasti hankittujen tietojen poistamisesta keruumenettelyn muuttamiseen, myös henkilöstön ohjeistuksen ja koulutuksen osalta (345). Lisäksi FISC-tuomioistuin käsittelee vaatimustenvastaisuustapauksia 702 §:n mukaisia sertifiointeja koskevassa vuotuisessa tarkastelussaan määrittääkseen, ovatko toimitetut sertifioinnit FISA-lain vaatimusten mukaisia. Vastaavasti, jos FISC-tuomioistuin katsoo, että hallituksen antamat sertifioinnit eivät olleet riittäviä, esimerkiksi erityisten säännösten rikkomisen vuoksi, se voi antaa ns. puutteita koskevan määräyksen (deficiency order), jossa hallitusta vaaditaan korjaamaan rikkominen 30 päivän kuluessa tai lopettamaan 702 §:n mukainen sertifiointi tai olemaan panematta sitä täytäntöön. Lopuksi FISC-tuomioistuin arvioi rikkomistapauksissa havaitsemiaan suuntauksia ja saattaa edellyttää niihin puuttumiseksi menettelyjen muuttamista tai lisävalvontaa ja -raportointia (346).

(175)

Kuten tässä kohdassa tarkemmin kerrotaan, unionin rekisteröidyillä on Yhdysvalloissa useita keinoja nostaa kanne riippumattomassa ja puolueettomassa tuomioistuimessa, jolla on valtuudet antaa sitovia päätöksiä. Yhdessä nämä keinot antavat yksilölle mahdollisuuden tutustua omiin henkilötietoihinsa, saattaa tarkasteltavaksi sen, onko hallituksen pääsy hänen tietoihinsa lainmukaista, ja, jos rikkominen todetaan, saada se korjattua, myös oikaisemalla tai poistamalla yksilön henkilötiedot.

(176)

Ensinnäkin toimeenpanoasetuksen 14086 nojalla on perustettu erityinen oikeussuojamekanismi, jota täydennetään tietosuojaa käsittelevän muutoksenhakutuomioistuimen perustamisesta annetulla AG-asetuksella, jotta voidaan käsitellä ja ratkaista henkilöiden tekemät valitukset, jotka koskevat Yhdysvaltojen signaalitiedustelutoimintaa. Jokaisella EU:ssa olevalla henkilöllä on oikeus tehdä oikeussuojamekanismin kautta valitus signaalitiedustelutoimintaa koskevan Yhdysvaltojen lainsäädännön (esimerkiksi EO 14086, FISA-lain 702 §, EO 12333) väitetystä rikkomisesta, joka vaikuttaa kielteisesti henkilön yksityisyyteen ja kansalaisvapauksiin liittyviin etuihin (347). Tämä oikeussuojamekanismi on sellaisista valtioista tai alueellisista taloudellisen yhdentymisen järjestöistä peräisin olevien henkilöiden käytettävissä, jotka Yhdysvaltojen oikeusministeri on nimennyt ”vaatimukset täyttäviksi valtioiksi” (348). Yhdysvaltojen oikeusministeri nimesi 30. kesäkuuta 2023 Euroopan unionin ja kolme Euroopan vapaakauppaliiton maata, jotka yhdessä muodostavat Euroopan talousalueen, EO 14086:n 3 §:n f momentin nojalla ”vaatimukset täyttäväksi valtioksi” (349). Tämä nimeäminen ei vaikuta Euroopan unionista tehdyn sopimuksen 4 artiklan 2 kohdan soveltamiseen.

(177)

Euroopan unionin rekisteröidyn, joka haluaa tehdä tällaisen valituksen, on toimitettava se EU:n jäsenvaltion valvontaviranomaiselle, jolla on toimivalta valvoa viranomaisten suorittamaa henkilötietojen käsittelyä (tietosuojaviranomaiselle) (350). Näin varmistetaan, että oikeussuojamekanismi on helposti käytettävissä, kun henkilöille annetaan mahdollisuus ottaa yhteyttä ”kodin lähellä” olevaan viranomaiseen ja asioida sen kanssa omalla kielellään. Kun johdanto-osan 178 kappaleessa tarkoitetut valituksen tekemisen edellytykset on tarkastettu, toimivaltainen tietosuojaviranomainen kanavoi valituksen Euroopan tietosuojaneuvoston sihteeristön kautta oikeussuojamekanismiin.

(178)

Valituksen tekemiselle oikeussuojamekanismin kautta on asetettu vain vähän edellytyksiä, sillä henkilöiden ei tarvitse osoittaa, että heidän tietoihinsa on tosiasiallisesti kohdistettu Yhdysvaltojen signaalitiedustelutoimintaa (351). Jotta oikeussuojamekanismissa voidaan aloittaa tarkastelu, on kuitenkin annettava tietyt perustiedot, jotka koskevat esimerkiksi henkilötietoja, joiden voidaan kohtuudella olettaa tulleen siirretyiksi Yhdysvaltoihin, sekä keinoja, joilla tietojen siirron uskotaan tapahtuneen, niitä Yhdysvaltojen hallituksen yksiköitä, joiden uskotaan osallistuvan väitettyyn rikkomiseen (jos ne ovat on tiedossa), perusteita, joiden nojalla väitetään, että Yhdysvaltojen lainsäädäntöä on rikottu (vaikka tämäkään ei edellytä sen osoittamista, että Yhdysvaltojen tiedusteluviranomaiset olisivat tosiasiallisesti keränneet henkilötietoja), ja haetun oikaisutoimen luonnetta.

(179)

Tähän oikeussuojamekanismiin toimitettujen valitusten alustavan tutkinnan suorittaa ODNI CLPO, jonka nykyistä lakisääteistä asemaa ja toimivaltaa on laajennettu koskemaan toimeenpanoasetuksen 14086 nojalla toteutettuja erityisiä toimia (352). Tiedusteluyhteisössä CLPO on muun muassa vastuussa sen varmistamisesta, että kansalaisvapauksien ja yksityisyyden suojelu sisällytetään asianmukaisesti ODNIn ja tiedusteluelinten toimintalinjoihin ja menettelyihin, sen valvomisesta, että ODNI noudattaa sovellettavia kansalaisvapauksia ja yksityisyyttä koskevia vaatimuksia, ja yksityisyyden suojaa koskevien vaikutustenarviointien tekemisestä (353). Ainoastaan kansallisen tiedusteluviraston johtaja voi erottaa ODNI CLPO:n syystä eli virheen, väärinkäytöksen, tietoturvaloukkauksen, velvollisuuksien laiminlyönnin tai toimintakyvyttömyyden vuoksi (354).

(180)

ODNI CLPO:lla on tarkastelua tehdessään käytettävissään tiedot arvioinnin laatimista varten, ja hän voi tukeutua eri tiedusteluelimissä toimivien yksityisyyteen ja kansalaisvapauksiin liittyvistä asioista vastaavien virkamiesten apuun, jota näillä on velvollisuus antaa (355). Tiedusteluelimet eivät saa estää ODNI CLPO:ta tekemästä tarkasteluja tai vaikuttaa niihin epäasianmukaisesti. Tämä koskee myös kansallisen tiedusteluviraston johtajaa, joka ei saa puuttua tarkasteluun (356). Tarkastellessaan valitusta ODNI CLPO:n on sovellettava lainsäädäntöä ”puolueettomasti” ottaen huomioon sekä kansalliset turvallisuusedut signaalitiedustelutoiminnassa että yksityisyyden suojan (357).

(181)

ODNI CLPO määrittää tarkastelun osana, onko sovellettavaa Yhdysvaltojen lainsäädäntöä rikottu, ja jos näin on, päättää asianmukaisista korjaustoimista (358). Tällä tarkoitetaan toimenpiteitä, joilla korjataan havaittu rikkominen kokonaisuudessaan, kuten tietojen laittoman hankinnan lopettaminen, laittomasti kerättyjen tietojen poistaminen, laillisesti kerättyjä tietoja koskevien mutta epäasianmukaisesti tehtyjen kyselyjen tulosten poistaminen, laillisesti kerättyjen tietojen käyttöoikeuden rajaaminen asianmukaisesti koulutettuun henkilöstöön tai ilman laillista lupaa hankittuja tai laittomasti levitettyjä tietoja sisältävien tiedusteluraporttien peruuttaminen (359). ODNI CLPO:n päätökset yksittäisistä valituksista (sekä korjaustoimista) sitovat asianomaisia tiedusteluelimiä (360).

(182)

ODNI CLPO:n on säilytettävä tekemäänsä tarkastelua koskevat asiakirjat ja esitettävä turvallisuusluokiteltu päätös, jossa selitetään ODNI CLPO:n tekemien tosiseikkoja koskevien havaintojen perusteet ja määritetään, onko tarkastelun kohteena ollut rikkominen tapahtunut ja mikä on asianmukainen korjaustoimi (361). Jos ODNI CLPO:n tarkastelussa paljastuu jonkin FISC-tuomioistuimen valvonnan alaisen viranomaisen tekemä rikkominen, CLPO:n on lisäksi toimitettava turvallisuusluokiteltu raportti kansallisesta turvallisuudesta vastaavalle apulaisoikeusministerille, joka puolestaan on velvollinen ilmoittamaan säännösten noudattamatta jättämisestä FISC-tuomioistuimelle, joka voi toteuttaa lisätoimenpiteitä (johdanto-osan 173 ja 174 kappaleessa kuvatun menettelyn mukaisesti) (362).

(183)

Kun tarkastelu on saatu päätökseen, ODNI CLPO ilmoittaa valituksen tekijälle kansallisen viranomaisen välityksellä, että ”tarkastelussa ei havaittu soveltamisalaan kuuluvia rikkomisia” tai että ”ODNI CLPO on antanut päätöksen, jossa vaaditaan asianmukaista korjausta” (363). Näin voidaan suojata kansallisen turvallisuuden suojaamiseksi toteutettujen toimien luottamuksellisuutta samalla, kun henkilöille annetaan päätös, jossa vahvistetaan, että heidän valituksensa on tutkittu ja käsitelty asianmukaisesti. Henkilö voi lisäksi riitauttaa tämän päätöksen. Tätä varten hänelle ilmoitetaan mahdollisuudesta hakea muutosta DPRC-tuomioistuimessa CLPO:n päätösten uudelleentarkastelua varten (ks. johdanto-osan 184 kappale ja sitä seuraavat kappaleet). Lisäksi hänelle ilmoitetaan, että jos asiasta nostetaan kanne tuomioistuimessa, valitaan erityinen asianajaja, joka ajaa valituksen esittäjän etua (364).

(184)

Jokainen valituksen tekijä ja jokainen tiedusteluyhteisön toimija voi hakea ODNI CLPO:n päätöksen uudelleentarkastelua tietosuojaa käsittelevässä muutoksenhakutuomioistuimessa (DPRC). Tällaiset uudelleentarkastelua koskevat hakemukset on toimitettava 60 päivän kuluessa siitä, kun ODNI CLPO:lta on saatu ilmoitus siitä, että ODNI CLPO:n tarkastelu on valmis. Hakemuksessa on esitettävä kaikki tiedot, jotka henkilö haluaa toimittaa DPRC-tuomioistuimelle (esimerkiksi oikeudellisia seikkoja koskevat perustelut tai tiedot lainsäädännön soveltamisesta asian tosiseikkoihin) (365). Unionin rekisteröidyt voivat edelleen jättää hakemuksensa toimivaltaiselle tietosuojaviranomaiselle (ks. johdanto-osan 177 kappale).

(185)

DPRC on riippumaton tuomioistuin, jonka oikeusministeri on perustanut toimeenpanoasetuksella 14086 (366). Siihen kuuluu vähintään kuusi tuomaria, jotka oikeusministeri nimittää kuultuaan PCLOB:tä, kauppaministeriä ja kansallisen tiedusteluviraston johtajaa, neljän vuoden toimikaudeksi, joka voidaan uusia (367). Oikeusministeri ottaa tuomareiden nimittämisessä huomioon perusteet, joita toimeenpanovalta käyttää arvioidessaan liittovaltion oikeuslaitokseen ehdolla olevia henkilöitä, aiempaa tuomioistuinkokemusta korostaen (368). Tuomarien on lisäksi oltava oikeusalan ammattilaisia (eli asianajajayhdistyksen päteviä aktiivisia jäseniä, joilla on asianmukainen lupa juristin ammatin harjoittamiseen), ja heillä on oltava asianmukaista kokemusta yksityisyyttä ja kansallista turvallisuutta koskevasta lainsäädännöstä. Oikeusministerin on pyrittävä varmistamaan, että aina vähintään puolella tuomareista on aiempaa tuomioistuinkokemusta ja että kaikista tuomareista on tehty turvallisuusselvitys, jotta he voivat saada pääsyn kansallista turvallisuutta koskeviin turvallisuusluokiteltuihin tietoihin (369).

(186)

DPRC-tuomioistuimeen voidaan nimittää ainoastaan henkilöitä, jotka täyttävät johdanto-osan 185 kappaleessa mainitut pätevyysvaatimukset ja jotka eivät ole toimeenpanovallan työntekijöitä nimittämishetkellä tai olleet sitä kahtena edeltävänä vuotena. Vastaavasti tuomareilla ei saa DPCR-tuomioistuimen toimikautensa aikana olla muita virkatehtäviä eivätkä he saa toimia Yhdysvaltojen hallinnossa (muutoin kuin DPRC-tuomioistuimen tuomareina) (370).

(187)

Tuomioistuinmenettelyn riippumattomuus saavutetaan useilla takeilla. Varsinkaan toimeenpanovalta (oikeusministeri ja tiedusteluelimet) ei saa puuttua DPRC-tuomioistuimen tarkasteluun tai vaikuttaa siihen epäasianmukaisesti (371). DPRC-tuomioistuimen on itse ratkaistava asiat puolueettomasti (372), ja se toimii oman (äänten enemmistöllä hyväksytyn) työjärjestyksensä mukaisesti. Lisäksi ainoastaan oikeusministeri voi erottaa DPRC-tuomioistuimen tuomareita ja ainoastaan syystä (eli virheen, väärinkäytöksen, tietoturvaloukkauksen, velvollisuuksien laiminlyönnin tai toimintakyvyttömyyden vuoksi) otettuaan asianmukaisesti huomioon liittovaltion tuomareihin sovellettavat vaatimukset, jotka on vahvistettu oikeudellista menettelyä ja esteellisyyttä koskevissa säännöissä (373).

(188)

DPRC-tuomioistuimelle tehdyt hakemukset käsitellään kolmen tuomarin kokoonpanossa, johon kuuluu puheenjohtajana toimiva tuomari, jonka on toimittava Yhdysvaltojen tuomareita koskevien käytännesääntöjen mukaisesti (374). Kutakin kokoonpanoa avustaa erityisasiamies (Special Advocate) (375), jolla on pääsy kaikkiin tapausta koskeviin tietoihin, myös turvallisuusluokiteltuihin tietoihin (376). Erityisasiamiehen tehtävänä on varmistaa, että valituksen esittäjän edut ovat edustettuina ja että DPRC-tuomioistuimen tuomarikokoonpano on hyvin perillä kaikista merkityksellisistä oikeudellisista ja tosiseikoista (377). Erityisasiamies voi lisäksi pyytää kirjallisilla kysymyksillä valituksen esittäjältä tietoja muodostaakseen kantansa yksityishenkilön DPRC-tuomioistuimelle esittämästä uudelleentarkastelua koskevasta hakemuksesta (378).

(189)

DPRC tarkastelee ODNI CLPO:n tekemiä päätöksiä (päätökset siitä, onko sovellettavaa Yhdysvaltojen lainsäädäntöä rikottu, ja päätökset asianmukaisesta korjauksesta) vähintään ODNI CLPO:n tutkimuksen asiakirjojen sekä valituksen esittäjän, erityisasiamiehen tai tiedusteluelimen toimittamien tietojen ja huomautusten perusteella (379). DPRC-tuomioistuimen tuomarikokoonpanolla on pääsy kaikkiin tarkastelun suorittamiseksi tarvittaviin tietoihin, jotka se voi saada ODNI CLPO:lta (kokoonpano voi esimerkiksi pyytää CLPO:ta täydentämään tietoja lisätiedoilla tai tosiasiallisilla havainnoilla, jos se on tarpeen tarkastelun suorittamiseksi) (380).

(190)

Tarkastelunsa päätteeksi DPRC-tuomioistuin voi 1) päättää, ettei ole näyttöä siitä, että valituksen tekijän henkilötietoihin olisi kohdistettu signaalitiedustelutoimintaa, 2) päättää, että ODNI CLPO:n päätökset olivat oikeudellisesti asianmukaisia ja että niiden tueksi on esitetty riittävä näyttö, tai 3) jos DPRC-tuomioistuin on eri mieltä ODNI CLPO:n päätöksistä (jotka koskevat sitä, onko sovellettavaa Yhdysvaltojen lainsäädäntöä rikottu, tai sitä, mikä on asianmukainen korjaus), antaa omat päätöksensä (381).

(191)

DPCR-tuomioistuin tekee kaikissa tapauksissa kirjallisen päätöksen äänten enemmistöllä. Jos tarkastelussa paljastuu sovellettavien sääntöjen rikkominen, päätöksessä täsmennetään kaikki asianmukaiset korjaukset, joihin kuuluvat laittomasti kerättyjen tietojen poistaminen, epäasianmukaisesti tehtyjen kyselyjen tulosten poistaminen, laillisesti kerättyjen tietojen saatavuuden rajaaminen asianmukaisesti koulutettuun henkilöstöön sekä ilman laillista lupaa hankittuja tai laittomasti levitettyjä tietoja sisältävien tiedusteluraporttien peruuttaminen (382). DPRC-tuomioistuimen päätös on sille tehdyn valituksen osalta sitova ja lopullinen (383). Jos tarkastelussa paljastuu jonkin FISC-tuomioistuimen valvonnan alaisen viranomaisen tekemä rikkominen, DPRC-tuomioistuimen on myös toimitettavaturvallisuusluokiteltu raportti kansallisesta turvallisuudesta vastaavalle apulaisoikeusministerille, joka on puolestaan velvollinen ilmoittamaan säännösten noudattamatta jättämisestä FISC-tuomioistuimelle, joka voi toteuttaa lisätoimenpiteitä (johdanto-osan 173 ja 174 kappaleessa kuvatun menettelyn mukaisesti) (384).

(192)

Jokainen DPRC-tuomioistuimen päätös toimitetaan ODNI CLPO:lle (385). Tapauksissa, joissa DPRC:n tarkastelu on käynnistetty valituksen tekijän hakemuksesta, valituksen tekijälle ilmoitetaan kansallisen viranomaisen välityksellä, että DPRC on saattanut tarkastelunsa päätökseen ja että ”tarkastelussa ei joko havaittu soveltamisalaan kuuluvia rikkomisia tai DPRC on määrännyt ratkaisun, joka edellyttää asianmukaista korjaavia toimenpiteitä” (386). Oikeusministeriön yksityisyyden ja kansalaisvapauksien suojasta vastaava toimisto (OPCL) pitää kirjaa kaikista DPRC:n tarkastelemista tiedoista ja tehdyistä päätöksistä. Kirjatut päätökset asetetaan saataville ei-sitovina ennakkotapauksina tuleville DPRC-tuomioistuimille (387).

(193)

Kauppaministeriön on myös pidettävä kirjaa jokaisesta valituksen tekijästä (388). Avoimuuden lisäämiseksi kauppaministeriön on vähintään joka viides vuosi otettava yhteyttä asianomaisiin tiedusteluviranomaisiin tarkistaakseen, onko DPRC:n tarkasteluun liittyvien tietojen turvaluokitus poistettu (389). Jos näin on, henkilölle ilmoitetaan, että kyseiset tiedot ovat saatavilla sovellettavan lainsäädännön nojalla (eli henkilö voi pyytää pääsyä tietoihin FOIA-lain nojalla, ks. johdanto-osan 199 kappale).

(194)

Lisäksi tämän oikeussuojamekanismin moitteetonta toimintaa arvioidaan säännöllisesti ja riippumattomasti. Tarkemmin sanottuna toimeenpanoasetuksen 14086 mukaan PCLOB, joka on riippumaton elin, tarkastelee oikeussuojamekanismin toimintaa vuosittain (ks. johdanto-osan 110 kappale) (390). Osana tätä tarkastelua PCLOB muun muassa arvioi, ovatko ODNI CLPO ja DPRC-tuomioistuin käsitelleet valitukset oikea-aikaisesti, ovatko ne saaneet käyttöönsä kaikki tarvittavat tiedot, onko EO 14086 -asetuksen aineelliset suojatoimet otettu asianmukaisesti huomioon tarkastelumenettelyssä ja onko tiedusteluyhteisö noudattanut täysin ODNI CLPO:n ja DPRC:n päätöksiä. PCLOB laatii tarkastelunsa tuloksista raportin presidentille, oikeusministerille, kansallisen tiedusteluviraston johtajalle, tiedusteluelinten johtajille, ODNI CLPO:lle ja kongressin tiedusteluvaliokunnille. Raportti julkaistaan myös turvallisuusluokittelemattomana versiona. Raportti otetaan lisäksi huomioon tämän päätöksen toimivuutta koskevassa komission suorittamassa määräaikaistarkastelussa. Oikeusministerin, kansallisen tiedusteluviraston johtajan, ODNI CLPO:n ja tiedusteluelinten johtajien on toteutettava tai muutoin otettava huomioon kaikki tällaisiin raportteihin sisältyvät suositukset. Lisäksi PCLOB antaa vuosittain julkisen vahvistuksen siitä, että valitukset käsitellään oikeussuojamekanismissa EO 14086:n vaatimusten mukaisesti.

(195)

EO 14086:n nojalla perustetun erityisen oikeussuojamekanismin lisäksi kaikki yksityishenkilöt (kansalaisuudesta tai asuinpaikasta riippumatta) voivat käyttää oikeussuojakeinoja Yhdysvaltojen yleisissä tuomioistuimissa (391).

(196)

Erityisesti FISA-laissa ja siihen liittyvässä lainsäädännössä säädetään henkilöiden mahdollisuudesta nostaa Yhdysvaltoja vastaan siviilikanne rahamääräisen vahingonkorvauksen saamiseksi, kun heitä koskevia tietoja on käytetty tai luovutettu laittomasti ja tahallisesti (392), nostaa Yhdysvaltojen hallituksen virkamiehiä vastaan kanne näiden toimiessa henkilökohtaisessa ominaisuudessa rahamääräisen vahingonkorvauksen saamiseksi (393); sekä riitauttaa valvonnan laillisuus (ja vaatia tietojen hävittämistä) siinä tapauksessa, että Yhdysvaltojen hallitus aikoo käyttää tai luovuttaa mitä tahansa sähköisessä valvonnassa hankittuja tai siitä johdettuja tietoja kyseistä henkilöä vastaan oikeudellisessa tai hallinnollisessa menettelyssä Yhdysvalloissa (394). Yleisemmällä tasolla on niin, että jos hallitus aikoo käyttää tiedustelutoimien aikana saatuja tietoja epäiltyä vastaan rikosasiassa, perustuslaissa ja muussa oikeudessa (395) asetetaan velvollisuus luovuttaa tietyt tiedot, jotta vastaaja voi riitauttaa hallituksen toteuttaman todisteiden keruun ja käytön laillisuuden.

(197)

Lisäksi on olemassa useita oikeussuojakeinoja, joilla voidaan ryhtyä oikeudellisiin toimenpiteisiin hallituksen virkamiehiä vastaan, kun nämä ovat lainvastaisesti päässeet henkilötietoihin tai käyttäneet niitä laittomasti, myös väitettyihin kansalliseen turvallisuuteen liittyviin tarkoituksiin (eli Computer Fraud and Abuse Act (396); Electronic Communications Privacy Act (397); ja Right to Financial Privacy Act (398)). Kaikki nämä lait koskevat tiettyjä tietoja, kohteita ja/tai pääsylajeja (esim. tietokoneen etäyhteys internetin kautta) ja tietyin edellytyksin (esim. tarkoituksellinen/tahallinen toiminta, virkatehtävien ulkopuolinen toiminta, aiheutunut vahinko).

(198)

Hallintomenettelylaki (Administrative Procedure Act, APA (399)) tarjoaa yleisemmän oikeussuojakeinon, jonka mukaan ”henkilöllä, jonka oikeuksia on loukattu viraston toiminnan seurauksena tai johon viraston toiminta vaikuttaa haitallisesti tai jonka etua on loukattu” on oikeus hakea muutosta tuomioistuimesta (400). Tähän sisältyy mahdollisuus pyytää tuomioistuinta ”toteamaan lainvastaiseksi ja kumoamaan viraston sellaiset toimet, havainnot ja päätelmät, joiden katsotaan olevan […] mielivaltaisia, epämääräisiä, harkintavallan väärinkäyttöä tai muuten lainvastaisia” (401). Esimerkiksi liittovaltion muutoksenhakutuomioistuin antoi vuonna 2015 APA-lakia koskevassa asiassa päätöksen (402), jonka mukaan Yhdysvaltojen hallituksen suorittama puhelujen metatietojen joukkokeruu ei ollut FISA-lain 501 §:n nojalla luvallista.

(199)

Johdanto-osan 176–198 kappaleessa mainittujen oikeussuojakeinojen lisäksi jokaisella henkilöllä on oikeus pyytää käyttöönsä liittovaltion virastoissa olevia asiakirjoja FOIA-lain nojalla, myös silloin, kun niihin sisältyy kyseisen henkilön henkilötietoja (403). Tällaisen tietoihin pääsyn saaminen voi helpottaa menettelyn käynnistämistä yleisissä tuomioistuimissa, myös kanneoikeuden osoittamisen tueksi. Virastot voivat pidättäytyä antamasta tietoja, jotka kuuluvat tiettyjen luetteloitujen poikkeusten piiriin, mihin kuuluu muun muassa pääsy turvallisuusluokiteltuihin kansallista turvallisuutta koskeviin tietoihin ja lainvalvontaan kuuluvaa tutkintaa koskeviin tietoihin (404), mutta tieto pyytäneillä, jotka eivät ole tyytyväisiä vastaukseen, on mahdollisuus riitauttaa vastaus hallinnollisessa menettelyssä ja myöhemmin tuomioistuinkäsittelyssä (liittovaltion tuomioistuimissa (405)).

(200)

Edellä esitetystä seuraa, että kun Yhdysvaltojen lainvalvontaviranomaiset ja kansallisesta turvallisuudesta vastaavat viranomaiset saavat pääsyn tämän päätöksen soveltamisalaan kuuluviin henkilötietoihin, tätä pääsyä säännellään oikeudellisella kehyksellä, jossa asetetaan edellytykset tietoihin pääsylle ja varmistetaan, että pääsy tietoihin ja tietojen myöhempi käyttö rajoittuvat siihen, mikä on tarpeen ja oikeasuhteista yleiseen etuun liittyvän tavoitteen saavuttamiseksi. Henkilöt voivat vedota näihin suojatoimiin tehokkaiden oikeussuojakeinojen nojalla.

(201)

Komissio katsoo, että Yhdysvallat varmistaa – Yhdysvaltojen kauppaministeriön vahvistamien periaatteiden avulla – henkilötietojen suojan tason, joka vastaa olennaisilta osin asetuksella (EU) 2016/679 taattua tasoa, kun henkilötietoja siirretään unionista Yhdysvalloissa sijaitseville varmennetuille organisaatioille EU:n ja Yhdysvaltojen tietosuojakehyksen mukaisesti.

(202)

Lisäksi komissio katsoo, että kyseisten periaatteiden tosiasiallinen noudattaminen taataan läpinäkyvyysvelvoitteilla ja tietosuojakehyksen hallinnolla, josta huolehtii kauppaministeriö. Lisäksi Yhdysvaltain lainsäädäntöön sisältyvät valvontamekanismit ja oikeussuojakeinot kokonaisuutena mahdollistavat sen, että tietosuojasääntöjen rikkomiset voidaan tunnistaa ja niistä voidaan rankaista käytännössä, ja että ne myös tarjoavat rekisteröidylle oikeussuojakeinoja, joiden avulla rekisteröity voi saada pääsyn itseään koskeviin henkilötietoihin ja tarvittaessa oikaista tai poistaa ne.

(203)

Yhdysvaltojen oikeusjärjestystä koskevien käytettävissä olevien tietojen perusteella, mukaan lukien liitteissä VI ja VII esitetyt tiedot, komissio katsoo, että Yhdysvaltojen viranomaisten yleisen edun nimissä toteuttama puuttuminen erityisesti rikoslain valvontaan ja kansalliseen turvallisuuteen liittyvissä tarkoituksissa niiden yksilöiden perusoikeuksiin, joiden henkilötietoja siirretään unionista Yhdysvaltoihin EU:n ja Yhdysvaltojen tietosuojakehyksen mukaisesti, tulee rajatuksi siihen, mikä on ehdottoman välttämätöntä kyseessä olevan lainmukaisen tavoitteen saavuttamiseksi, ja että tällaista puuttumista vastaan on olemassa tehokas oikeussuoja. Edellä esitetyn perusteella on näin ollen päätettävä, että Yhdysvallat takaa asetuksen (EU) 2016/679 45 artiklassa, kun sitä tulkitaan ottaen huomioon Euroopan unionin perusoikeuskirja, tarkoitetun riittävän suojan henkilötiedoille, jotka siirretään Euroopan unionista EU:n ja Yhdysvaltojen tietosuojakehyksen mukaisesti varmennetuille organisaatioille.

(204)

Koska toimeenpanoasetuksella 14086 käyttöön otetut rajoitukset, suojatoimet ja oikeussuojamekanismit ovat olennaisia osia Yhdysvaltojen oikeudellisessa kehyksessä, johon komission arviointi perustuu, tämän päätöksen hyväksyminen perustuu varsinkin siihen, että kaikki Yhdysvaltojen tiedusteluelimet hyväksyvät ajantasaistetut käytännöt ja menettelyt toimeenpanoasetuksen 14086 täytäntöönpanemiseksi, mikä on tapahtunut 3. heinäkuuta 2023 (ks. johdanto-osan 176 kappale), ja että unioni nimetään vaatimukset täyttäväksi organisaatioksi oikeussuojamekanismia varten, mikä on tapahtunut 30. kesäkuuta 2023 (ks. johdanto-osan 176 kappale).

(205)

Jäsenvaltioiden ja niiden elinten on toteutettava tarvittavat toimenpiteet unionin toimielinten antamien säädösten noudattamiseksi, sillä niiden oletetaan olevan lainmukaisia ja aiheuttavan siten oikeusvaikutuksia siihen asti, että ne perutaan, kumotaan kumoamiskanteen johdosta tai julistetaan pätemättömiksi ennakkoratkaisupyynnön tai lainvastaisuusväitteen perusteella.

(206)

Näin ollen asetuksen (EU) 2016/679 45 artiklan 3 kohdan mukainen tietosuojan riittävyyttä koskeva komission päätös sitoo kaikkia elimiä jäsenvaltioissa, joille se on osoitettu, mukaan lukien niiden riippumattomat valvontaviranomaiset. Erityisesti siirtoja unionissa olevalta rekisterinpitäjältä tai henkilötietojen käsittelijältä Yhdysvalloissa sijaitseville varmennetuille organisaatioille voidaan toteuttaa ilman muuta lupaa.

(207)

Olisi kuitenkin muistettava, kuten asetuksen (EU) 2016/679 58 artiklan 5 kohdassa ja unionin tuomioistuimen asiassa Schrems antamassa tuomiossa todetaan (406), että jos kansallinen tietosuojaviranomainen esimerkiksi valituksen käsittelyn yhteydessä asettaa kyseenalaiseksi sen, onko tietosuojan riittävyyttä koskeva komission päätös yksityisyydensuojaa ja tietosuojaa koskevan perusoikeuden mukainen, kansallisessa lainsäädännössä on säädettävä oikeussuojakeinoista, joiden avulla viranomainen voi esittää väitteensä kansallisessa tuomioistuimessa, jonka on tarvittaessa pyydettävä unionin tuomioistuimelta ennakkoratkaisua (407).

(208)

Tuomioistuimen oikeuskäytännön (408) mukaisesti ja kuten asetuksen (EU) 2016/679 45 artiklan 4 kohdassa todetaan, komission olisi tietosuojan tason riittävyyttä koskevan päätöksen hyväksymisen jälkeen jatkuvasti seurattava asiaa koskevaa kehitystä kolmannessa maassa. Näin komissio voi arvioida sitä, takaako kyseinen kolmas maa edelleen olennaisilta osin vastaavan suojan tason. Tällainen tarkastelu on joka tapauksessa tehtävä, kun komissio saa tietoja, jotka aiheuttavat perusteltuja epäilyksiä tältä osin.

(209)

Komission olisi sen vuoksi seurattava jatkuvasti Yhdysvaltojen tilannetta tässä päätöksessä arvioidun henkilötietojen käsittelyä koskevan oikeudellisen kehyksen ja käytännön osalta. Prosessin helpottamiseksi Yhdysvaltojen viranomaisten olisi viipymättä ilmoitettava komissiolle Yhdysvaltojen oikeusjärjestyksen olennaisesta kehityksestä, joka vaikuttaa tämän päätöksen kohteena olevaan oikeudelliseen kehykseen, sekä tässä päätöksessä arvioitujen, henkilötietojen käsittelyyn liittyvien käytäntöjen kehityksestä Yhdysvalloissa toimivien varmennettujen organisaatioiden suorittaman henkilötietojen käsittelyn ja viranomaisten pääsyä henkilötietoihin koskevien rajoitusten ja suojatoimien osalta.

(210)

Jotta komissio voisi harjoittaa tehokkaasti valvontatehtäväänsä, jäsenvaltioiden olisi lisäksi ilmoitettava komissiolle kaikista kansallisten tietosuojaviranomaisten toteuttamista asiaankuuluvista toimista, varsinkin siinä tapauksessa, että ne liittyvät unionin rekisteröityjen esittämiin kysymyksiin tai valituksiin, jotka koskevat henkilötietojen siirtoa unionista varmennetuille organisaatioille Yhdysvaltoihin. Komissiolle olisi myös ilmoitettava mahdollisista havainnoista, joiden mukaan rikosten ehkäisemisestä, tutkimisesta, paljastamisesta tai syytetoimista tai kansallisesta turvallisuudesta vastaavien Yhdysvaltojen viranomaisten, mukaan lukien valvontaelimet, toimet eivät takaa vaadittavaa suojatasoa.

(211)

Asetuksen (EU) 2016/679 (409) 45 artiklan 3 kohdan mukaisesti komission olisi tämän päätöksen hyväksymisen jälkeen tarkasteltava säännöllisesti, ovatko Yhdysvaltojen EU:n ja Yhdysvaltojen tietosuojakehyksen puitteissa takaaman tietosuojan tason riittävyyttä koskevat päätelmät edelleen tosiasiallisesti ja oikeudellisesti perusteltuja. Koska erityisesti toimeenpanoasetus 14086 ja AG-asetus edellyttävät uusien mekanismien luomista ja uusien suojatoimien täytäntöönpanoa, tätä päätöstä olisi tarkasteltava ensimmäisen kerran vuoden kuluessa sen voimaantulosta sen tarkistamiseksi, onko kaikki asiaankuuluvat osatekijät pantu kaikilta osin täytäntöön ja toimivatko ne tehokkaasti käytännössä. Tämän ensimmäisen tarkastelun jälkeen ja sen tuloksista riippuen komissio päättää tiiviissä yhteistyössä asetuksen (EU) 2016/679 93 artiklan 1 kohdalla perustetun komitean ja Euroopan tietosuojaneuvoston kanssa tulevien tarkastelujen ajankohdista (410).

(212)

Tarkastelujen suorittamiseksi komission olisi tavattava kauppaministeriö, liittovaltion kauppakomissio ja liikenneministeriö sekä tarvittaessa muita EU:n ja Yhdysvaltojen tietosuojakehyksen täytäntöönpanoon osallistuvia ministeriöitä ja virastoja sekä asioissa, jotka koskevat hallituksen pääsyä tietoihin, oikeusministeriön, ODNIn (mukaan lukien CLPO), tiedusteluyhteisön muiden toimijoiden, DPRC-tuomioistuimen ja erityisasiamiesten edustajia. Euroopan tietosuojaneuvoston jäsenten edustajien olisi voitava osallistua kokoukseen.

(213)

Tarkastelujen olisi katettava kaikki tämän päätöksen toimintaan liittyvät näkökohdat, jotka koskevat henkilötietojen käsittelyä Yhdysvalloissa ja erityisesti kyseisten periaatteiden noudattamista ja toteutumista, kiinnittäen erityistä huomiota tietojen edelleen siirtämisen yhteydessä annettavaan suojaan, asiaa koskevan oikeuskäytännön kehitykseen, yksilön oikeuksien käytön tehokkuuteen, järjestelyn periaatteiden noudattamisen seurantaan ja täytäntöönpanoon sekä hallituksen pääsyä tietoihin koskeviin rajoituksiin ja suojatoimiin, erityisesti EO 14086:n mukaisten suojatoimien täytäntöönpanoon ja soveltamiseen, myös tiedusteluelinten kehittämien toimintaperiaatteiden ja menettelyjen kautta, EO 14086:n sekä FISA-lain 702 §:n ja EO 12333:n väliseen vuorovaikutukseen ja valvontamekanismien ja oikeussuojakeinojen toimivuuteen (mukaan lukien EO 14086:n nojalla perustetun uuden oikeussuojamekanismin toiminta). Tällaisten tarkastelujen yhteydessä kiinnitetään huomiota myös tietosuojaviranomaisten ja Yhdysvaltojen toimivaltaisten viranomaisten väliseen yhteistyöhön, mukaan lukien ohjeiden ja muiden tulkintavälineiden kehittäminen periaatteiden soveltamista ja muita kehyksen toimintaan liittyviä näkökohtia varten.

(214)

Komission olisi laadittava tarkastelun perusteella julkinen kertomus, joka toimitetaan Euroopan parlamentille ja neuvostolle.

(215)

Jos käytettävissä olevat tiedot, erityisesti tämän päätöksen seurannasta saatavat tiedot tai Yhdysvaltojen tai jäsenvaltioiden viranomaisten toimittamat tiedot, osoittavat, että tämän päätöksen nojalla siirretyille tiedoille taattu tietosuojan taso ei mahdollisesti ole enää riittävä, komission olisi ilmoitettava viipymättä asiasta Yhdysvaltojen toimivaltaisille viranomaisille ja vaadittava asianmukaisten toimenpiteiden toteuttamista tietyn kohtuullisen ajan kuluessa.

(216)

Jos Yhdysvaltojen toimivaltaiset viranomaiset eivät kyseisen määräajan päättyessä ole toteuttaneet näitä toimenpiteitä tai muutoin osoittaneet tyydyttävästi, että tämän päätöksen perustana on edelleen riittävä suojan taso, komissio aloittaa asetuksen (EU) 2016/679 93 artiklan 2 kohdassa tarkoitetun menettelyn tämän päätöksen soveltamisen keskeyttämiseksi tai päätöksen kumoamiseksi osittain tai kokonaan.

(217)

Vaihtoehtoisesti komissio aloittaa kyseisen menettelyn tämän päätöksen muuttamiseksi erityisesti soveltamalla tiedonsiirtoihin lisäehtoja tai rajoittamalla tietosuojan riittävyyttä koskevan päätelmän soveltamisalan vain sellaisiin tiedonsiirtoihin, joiden osalta riittävän tietosuojan jatkuvuus on varmistettu.

(218)

Komission olisi aloitettava keskeyttämis- tai kumoamismenettely erityisesti, jos

(219)

Komission olisi myös harkittava menettelyn aloittamista tämän päätöksen muuttamiseksi, sen soveltamisen keskeyttämiseksi tai sen kumoamiseksi, jos Yhdysvaltojen toimivaltaiset viranomaiset eivät toimita tietoja tai selvityksiä, joita tarvitaan arvioitaessa Euroopan unionista Yhdysvaltoihin siirrettyjen henkilötietojen suojan tasoa tai tämän päätöksen noudattamista. Tässä suhteessa komission olisi otettava huomioon se, missä määrin asiaa koskevia tietoja voidaan saada muista lähteistä.

(220)

Asianmukaisesti perustelluissa kiireellisissä tapauksissa, esimerkiksi jos toimeenpanoasetusta 14086 tai AG-asetusta muutetaan tavalla, joka heikentää tässä päätöksessä kuvattua suojelun tasoa, tai jos Yhdysvaltojen oikeusministerin suorittama unionin nimeäminen oikeussuojamekanismia varten vaatimukset täyttäväksi organisaatioksi peruutetaan, komissio käyttää mahdollisuutta hyväksyä asetuksen (EU) 2016/679 93 artiklan 3 kohdassa tarkoitettua menettelyä noudattaen välittömästi sovellettavia täytäntöönpanosäädöksiä tämän päätöksen soveltamisen keskeyttämiseksi tai päätöksen kumoamiseksi tai sen muuttamiseksi.

(221)

Euroopan tietosuojaneuvosto on julkaissut lausuntonsa (411), joka on otettu huomioon tätä päätöstä valmisteltaessa.

(222)

Euroopan parlamentti on antanut päätöslauselman EU:n ja Yhdysvaltojen tietosuojakehyksen tarjoaman suojan riittävyydestä (412).

(223)

Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin (EU) 2016/679 93 artiklan 1 kohdan nojalla perustetun komitean lausunnon mukaiset,