Следващият преглед няма да е след 4 години
По време на последното си пленарно заседание Европейският комитет по защита на данните (ЕКЗД/EDPB) прие доклад за първия преглед на рамката за поверителност на личните данни между ЕС и САЩ (DPF). На 10 юли 2023 г. Европейската комисия прие своето решение относно адекватността на рамката за поверителност на данните между ЕС и САЩ. Член 3 от решението за адекватност изисква от Комисията редовно да преразглежда решението, като първото периодично преразглеждане се извършва след една година от датата на уведомяване на държавите членки за решението за адекватност. В съответствие със съображение 212 от решението за адекватност, петима представители на EDPB са участвали в прегледа във Вашингтон на 18 и 19 юли 2024 г. EDPB се съсредоточи върху оценката както на търговските аспекти на DPF и относно достъпа на публичните органи на САЩ до лични данни, прехвърлени от ЕС на организации, сертифицирани по DPF, пише в съобщението.
EDPB препоръчва следващото преразглеждане на решението за адекватност между ЕС и САЩ да се проведе след три години или по-малко.
EDPB насърчава разработването на насоки от властите на САЩ, изясняващи изискванията, които сертифицираните по DPF компании трябва да спазват, когато прехвърлят лични данни, които са получили от ЕС. Насоки от властите на САЩ относно данните за човешките ресурси също биха били добре дошли. EDPB изразява готовността си да предостави обратна връзка относно тези документи с насоки.
В доклада пише, че е необходимо да се уредят дългогодишните различия в тълкуването между органите на ЕС и САЩ на понятието „HR Data“ съгласно DPF. Според EDPB американското Министерството на търговията трябва да даде практически примери за обработване на HR данни и съответното прилагане на принципите на DPF.
Що се отнася до достъпа на публичните органи на САЩ до лични данни, прехвърлени от ЕС към организации, сертифицирани от DPF, EDPB припомня, че решението за адекватност се основава по-специално на благоприятната оценка на Комисията за изпълнителна заповед 14086, която всъщност има за цел да коригира недостатъците, установени в решението на Съда на ЕС по дело C-311/18. За тази цел Изпълнителна заповед 14086 предвижда допълнителни предпазни мерки, най-вече чрез въвеждане на концепциите за необходимост и пропорционалност в правната рамка на САЩ относно signals intelligence и установяване на нов механизъм за обезщетение.
EDPB очаква, че бъдещите прегледи ще обърнат внимание на примери, които ясно идентифицират как принципите на необходимост и пропорционалност се тълкуват конкретно и прилагат на ниво агенция. Механизмът за правна защита следва да остане приоритет по време на бъдещите периодични прегледи, пише в доклада.
EDPB е загрижен, че изменението на определението за „доставчик на електронни съобщителни услуги“ съгласно FISA 702 не отговаря на изискването за ясен, точен и достъпен закон. Независимо от предпазните мерки на Изпълнителна заповед 14086, тази промяна създава несигурност относно действителния обхват на наблюдението по Section 702 на FISA. ЕКЗД счита, че е важно ЕК да проследи бъдещите развития във връзка със Section 702 на FISA и също така насърчава Съвета за надзор на неприкосновеността на личния живот и гражданските свободи да наблюдава тези развития.
EDPB подчертава, че трябва да се гарантира адекватно ниво на защита и по отношение на правителственото придобиване на лични данни от американските разузнавателни агенции от брокери на данни и други търговски субекти, които не са обхванати от изпълнителна заповед 14086. ЕК следва допълнително да оцени и наблюдава тази конкретна форма на правителствен достъп и случаи на практическа употреба, пише в доклада.