Ψήφισμα του Ευρωπαϊκού Κοινοβουλίου της 11ης Μαΐου 2023 σχετικά με την επάρκεια της προστασίας που παρέχεται από το πλαίσιο προστασίας δεδομένων ΕΕ-ΗΠΑ ()
Το Ευρωπαϊκό Κοινοβούλιο,
–έχοντας υπόψη τον Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (ο«Χάρτης»), και ιδίως τα άρθρα 7, 8, 16, 47 και 52,
–έχοντας υπόψη την απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ), της 6ης Οκτωβρίου 2015, στην υπόθεση C-362/14, Maximillian Schrems κατά Data Protection Commissioner («Schrems I»)(1),
–έχοντας υπόψη την απόφαση του ΔΕΕ, της 16ης Ιουλίου 2020, στην υπόθεση C-311/18, Data Protection Commissioner κατά Facebook Ireland Limited και Maximillian Schrems (Schrems II)(2),
–έχοντας υπόψη την έρευνά του σχετικά με τις αποκαλύψεις στις οποίες προέβη ο Edward Snowden όσον αφορά την ηλεκτρονική μαζική παρακολούθηση των πολιτών της Ένωσης, συμπεριλαμβανομένων των πορισμάτων στο ψήφισμά του της 12ηςΜαρτίου 2014 σχετικά με το πρόγραμμα παρακολούθησης της υπηρεσίας εθνικής ασφάλειας (NSA) των ΗΠΑ, τα όργανα παρακολούθησης σε διάφορα κράτη μέλη και τον αντίκτυπό τους στα θεμελιώδη δικαιώματα των πολιτών της ΕΕ, και με τη διατλαντική συνεργασία στον τομέα της δικαιοσύνης και των εσωτερικών υποθέσεων(3),
–έχοντας υπόψη το ψήφισμά του της 26ης Μαΐου 2016 σχετικά με τις διατλαντικές ροές δεδομένων(4),
–έχοντας υπόψη το ψήφισμά του της 6ης Απριλίου 2017 σχετικά με την επάρκεια της προστασίας που παρέχεται από την Ασπίδα Προστασίας της Ιδιωτικής Ζωής ΕΕ-ΗΠΑ(5),
–έχοντας υπόψη το ψήφισμά του της 5ης Ιουλίου 2018 σχετικά με την επάρκεια της προστασίας που παρέχεται από την Ασπίδα Προστασίας της Ιδιωτικής Ζωής ΕΕ-ΗΠΑ(6),
–έχοντας υπόψη το ψήφισμά του της 20ήςΜαΐου2021 σχετικά με την απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης της 16ης Ιουλίου 2020, στην υπόθεση C-311/18, Data Protection Commissioner κατά Facebook Ireland Limited και Maximillian Schrems (απόφαση Schrems II)(7),
–έχοντας υπόψη το σχέδιο εκτελεστικής απόφασης της Ευρωπαϊκής Επιτροπής σύμφωνα με τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με την επάρκεια της προστασίας των δεδομένων προσωπικού χαρακτήρα βάσει του πλαισίου προστασίας δεδομένων ΕΕ-ΗΠΑ,
–έχοντας υπόψη το εκτελεστικό διάταγμα 14086 του Προέδρου των Ηνωμένων Πολιτειών, της 7ης Οκτωβρίου 2022, σχετικά με την ενίσχυση των διασφαλίσεων για τις δραστηριότητες συλλογής πληροφοριών σημάτων των Ηνωμένων Πολιτειών,
–έχοντας υπόψη το εκτελεστικό διάταγμα 12333 του Προέδρου των Ηνωμένων Πολιτειών, της 4ης Δεκεμβρίου 1981, σχετικά με τις δραστηριότητες συλλογής πληροφοριών των Ηνωμένων Πολιτειών,
–έχοντας υπόψη τον κανονισμό σχετικά με το Αναθεωρητικό Δικαστήριο Προστασίας Δεδομένων (Data Protection Review Court) που εξέδωσε ο Γενικός Εισαγγελέας των ΗΠΑ,
–έχοντας υπόψη τον κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ηςΑπριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων)(8), και ιδίως το κεφάλαιο V,
–έχοντας υπόψη την οδηγία 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Ιουλίου 2002, σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και την προστασία της ιδιωτικής ζωής στον τομέα των ηλεκτρονικών επικοινωνιών(9),
–έχοντας υπόψη τα σημεία αναφοράς για την επάρκεια της ομάδας εργασίας του άρθρου 29 (WP254rev.01) όπως εγκρίθηκαν από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (ΕΣΠΔ), τις συστάσεις 01/2020 του ΕΣΠΔ σχετικά με τα μέτρα που συμπληρώνουν τα εργαλεία διαβίβασης για τη διασφάλιση της συμμόρφωσης με το επίπεδο προστασίας δεδομένων προσωπικού χαρακτήρα στην ΕΕ και τις συστάσεις 02/2020 του ΕΣΠΔ σχετικά με τις Ευρωπαϊκές Βασικές Εγγυήσεις για μέτρα παρακολούθησης,
–έχοντας υπόψη τη γνώμη 5/2023 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, της 28ης Φεβρουαρίου 2023, σχετικά με το σχέδιο εκτελεστικής απόφασης της Ευρωπαϊκής Επιτροπής για την επαρκή προστασία των δεδομένων προσωπικού χαρακτήρα βάσει του πλαισίου προστασίας δεδομένων ΕΕ-ΗΠΑ,
–έχοντας υπόψη το άρθρο 132 παράγραφος 2 του Κανονισμού του,
Α.λαμβάνοντας υπόψη ότι στην απόφαση «Schrems I», το ΔΕΕ ανέτρεψε την απόφαση της Επιτροπής, της 26ης Ιουλίου 2000, βάσει της οδηγίας 95/46/ΕΚ σχετικά με την επάρκεια της προστασίας που παρέχεται από τις αρχές ασφαλούς λιμένα για την προστασία της ιδιωτικής ζωής και τις συναφείς συχνές ερωτήσεις που εκδίδονται από το Υπουργείο Εμπορίου των ΗΠΑ(10), και επισήμανε ότι η αδιάκριτη πρόσβαση των αρχών πληροφοριών στο περιεχόμενο των ηλεκτρονικών επικοινωνιών παραβιάζει την ουσία του θεμελιώδους δικαιώματος στο απόρρητο των επικοινωνιών που προβλέπεται στο άρθρο7 του Χάρτη· λαμβάνοντας υπόψη ότι το Δικαστήριο επισήμανε ότι, αντικείμενο μιας απόφασης επάρκειας δεν είναι η τρίτη χώρα να πρέπει διασφαλίζει το ίδιο ακριβώς επίπεδο προστασίας με αυτό που παρέχει η έννομη τάξη της Ένωσης, αλλά «ουσιαστικά ισοδύναμο» επίπεδο προστασίας, κάτι που μπορεί να διασφαλίζεται με διαφορετικά μέσα·
Β.λαμβάνοντας υπόψη ότι στην απόφαση «Schrems II», το ΔΕΕ ανέτρεψε την εκτελεστική απόφαση (ΕΕ) 2016/1250 της Επιτροπής, της 12ης Ιουλίου 2016, βάσει της οδηγίας 95/46/ΕΚ σχετικά με την επάρκεια της προστασίας που παρέχεται από την ασπίδα προστασίας της ιδιωτικής ζωής ΕΕ–ΗΠΑ(11) και κατέληξε στο συμπέρασμα ότι δεν προβλέπει επαρκή μέσα έννομης προστασίας κατά της μαζικής παρακολούθησης για μη υπηκόους των ΗΠΑ και ότι αυτό παραβιάζει την ουσία του θεμελιώδους δικαιώματος προσφυγής, όπως προβλέπεται στο άρθρο47 του Χάρτη·
Γ.λαμβάνοντας υπόψη ότι, στις 7 Οκτωβρίου 2022, ο Πρόεδρος των Ηνωμένων Πολιτειών της Αμερικής υπέγραψε το εκτελεστικό διάταγμα 14086 σχετικά με την ενίσχυση των εγγυήσεων για τις δραστηριότητες συλλογής πληροφοριών σημάτων των Ηνωμένων Πολιτειών (στο εξής «το εκτελεστικό διάταγμα 14086»)·
Δ.λαμβάνοντας υπόψη ότι, στις 13 Δεκεμβρίου 2022, η Επιτροπή δρομολόγησε τη διαδικασία έκδοσης απόφασης επάρκειας για το πλαίσιο προστασίας δεδομένων ΕΕ-ΗΠΑ·
Ε.λαμβάνοντας υπόψη ότι, κατά την εξέταση του επιπέδου προστασίας που παρέχει μια τρίτη χώρα, η Επιτροπή οφείλει να αξιολογεί το περιεχόμενο των κανόνων που ισχύουν στην εν λόγω χώρα, οι οποίοι απορρέουν από το εθνικό της δίκαιο ή τις διεθνείς δεσμεύσεις της, καθώς και την πρακτική σχετικά με την εξασφάλιση της τήρησης των κανόνων αυτών· λαμβάνοντας υπόψη ότι, εάν η εν λόγω αξιολόγηση κριθεί μη ικανοποιητική όσον αφορά την επάρκεια και την ισοδυναμία, η Επιτροπή θα πρέπει να απόσχει από την έκδοση απόφασης επάρκειας, δεδομένου ότι προϋποθέτει την εφαρμογή συναφών εγγυήσεων· λαμβάνοντας υπόψη ότι η Επιτροπή υποχρεούται να αναστείλει την επάρκεια όταν δεν υπάρχει πλέον ισοδυναμία· λαμβάνοντας υπόψη ότι ο γενικός κανονισμός για την προστασία δεδομένων (ΓΚΠΔ) απαιτεί η σχετική αξιολόγηση να είναι μια συνεχής διαδικασία που λαμβάνει υπόψη τις αλλαγές στους ισχύοντες κανόνες και πρακτικές·
ΣΤ.λαμβάνοντας υπόψη ότι η ικανότητα διασυνοριακής διαβίβασης δεδομένων προσωπικού χαρακτήρα μπορεί να αποτελέσει βασικό παράγοντα καινοτομίας, παραγωγικότητας και οικονομικής ανταγωνιστικότητας για όσο διάστημα παρέχονται επαρκείς εγγυήσεις· λαμβάνοντας υπόψη ότι οι διαβιβάσεις αυτές πρέπει να διενεργούνται με πλήρη σεβασμό του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα και του δικαιώματος στην ιδιωτική ζωή· λαμβάνοντας υπόψη ότι ένας από τους σκοπούς της ΕΕ είναι η προστασία των θεμελιωδών δικαιωμάτων, όπως αυτά κατοχυρώνονται στον Χάρτη·
Ζ.λαμβάνοντας υπόψη ότι ο ΓΚΠΔ ισχύει για όλες τις εταιρείες που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα υποκειμένων δεδομένων που βρίσκονται στην ΕΕ, οι δε δραστηριότητες επεξεργασίας αφορούν την προσφορά αγαθών ή υπηρεσιών στα εν λόγω υποκείμενα δεδομένων στην Ένωση ή την παρακολούθηση της συμπεριφοράς τους στον βαθμό που αυτή λαμβάνει χώρα εντός της Ένωσης·
Η.λαμβάνοντας υπόψη ότι η μαζική παρακολούθηση, ήτοι η χωρίς διακρίσεις συγκέντρωση δεδομένων χωρίς καμία εγγύηση περιορισμού των παρεμβάσεων στην ιδιωτική ζωή, από κρατικά όργανα υποσκάπτει την εμπιστοσύνη των Ευρωπαίων πολιτών και την εμπιστοσύνη των επιχειρήσεων στις ψηφιακές υπηρεσίες και κατ’επέκταση στην ψηφιακή οικονομία· λαμβάνοντας υπόψη ότι, ενώ απαγορεύεται στους οργανισμούς των ΗΠΑ να συλλέγουν μαζικά τα δεδομένα των πολιτών των ΗΠΑ που ζουν στις Ηνωμένες Πολιτείες, η απαγόρευση αυτή δεν ισχύει για τους πολίτες της ΕΕ· λαμβάνοντας υπόψη ότι η μαζική παρακολούθηση από κρατικά όργανα είναι παράνομη και επιδρά αρνητικά στην εμπιστοσύνη των Ευρωπαίων πολιτών και επιχειρήσεων στις ψηφιακές υπηρεσίες και κατ’ επέκταση στην ψηφιακή οικονομία·
Θ.λαμβάνοντας υπόψη ότι οι υπεύθυνοι επεξεργασίας πρέπει πάντα να λογοδοτούν όσον αφορά τη συμμόρφωση με τις υποχρεώσεις προστασίας δεδομένων, αποδεικνύοντας μεταξύ άλλων συμμόρφωση για κάθε επεξεργασία δεδομένων ανεξάρτητα από τη φύση, την έκταση, το πλαίσιο, τους σκοπούς και τους κινδύνους για τα υποκείμενα των δεδομένων·
Ι.λαμβάνοντας υπόψη ότι δεν υπάρχει ομοσπονδιακή νομοθεσία για την προστασία της ιδιωτικής ζωής και των δεδομένων στις Ηνωμένες Πολιτείες· λαμβάνοντας υπόψη ότι το εκτελεστικό διάταγμα 14086 εισάγει ορισμούς βασικών εννοιών προστασίας των δεδομένων, όπως τις αρχές της αναγκαιότητας και της αναλογικότητας, που αποτελούν σημαντικό βήμα προόδου σε σύγκριση με τους προηγούμενους μηχανισμούς διαβίβασης· λαμβάνοντας υπόψη ότι ο τρόπος με τον οποίο ερμηνεύονται οι αρχές αυτές απαιτεί στενή παρακολούθηση· λαμβάνοντας υπόψη ότι η συνολική αξιολόγηση του τρόπου με τον οποίο οι αρχές αυτές εφαρμόζονται στην έννομη τάξη των ΗΠΑ ενδέχεται να μην είναι δυνατή λόγω έλλειψης διαφάνειας στις διαδικασίες του Αναθεωρητικού Δικαστηρίου Προστασίας Δεδομένων (DPRC)·
1.υπενθυμίζει ότι ο σεβασμός για την ιδιωτική και οικογενειακή ζωή και η προστασία των δεδομένων προσωπικού χαρακτήρα συνιστούν θεμελιώδη εκτελεστά δικαιώματα, τα οποία κατοχυρώνονται στις Συνθήκες, στον Χάρτη και στην Ευρωπαϊκή Σύμβαση Δικαιωμάτων του Ανθρώπου, όπως επίσης στη νομοθεσία και στη νομολογία· τονίζει ότι οι αποφάσεις επάρκειας στο πλαίσιο του ΓΚΠΔ είναι νομικές αποφάσεις και όχι πολιτικές επιλογές και ότι τα δικαιώματα στην ιδιωτική ζωή και στην προστασία των δεδομένων δεν σταθμίζονται με εμπορικά ή πολιτικά συμφέροντα, αλλά μόμο με θεμελιώδη δικαιώματα·
2.σημειώνει τις προσπάθειες που καταβάλλονται στο εκτελεστικό διάταγμα 14086 για να τεθούν όρια στις δραστηριότητες συλλογής πληροφοριών σημάτων των ΗΠΑ, εισάγοντας τις αρχές της αναλογικότητας και της αναγκαιότητας στο νομικό πλαίσιο των ΗΠΑ για τις δραστηριότητες συλλογής πληροφοριών σημάτων και παρέχοντας κατάλογο θεμιτών στόχων για τις εν λόγω δραστηριότητες· σημειώνει ότι οι αρχές αυτές θα ήταν δεσμευτικές για ολόκληρη την κοινότητα των υπηρεσιών πληροφοριών των ΗΠΑ και ότι τα υποκείμενα των δεδομένων θα μπορούσαν να τις επικαλούνται στο πλαίσιο των διαδικασιών που προβλέπονται στο εκτελεστικό διάταγμα 14086· τονίζει ότι το εν λόγω εκτελεστικό διάταγμα προβλέπει σημαντικές βελτιώσεις με στόχο να διασφαλιστεί ότι οι αρχές αυτές είναι ουσιαστικά ισοδύναμες βάσει του δικαίου της ΕΕ· επισημαίνει, ωστόσο, ότι οι αρχές αυτές αποτελούν βασικά στοιχεία που εντάσσονται από μακρού στο καθεστώς προστασίας δεδομένων της ΕΕ και ότι οι ουσιαστικοί ορισμοί τους στο εκτελεστικό διάταγμα 14086 δεν συνάδουν με τον ορισμό τους δυνάμει του ενωσιακού δικαίου και της ερμηνείας τους από το ΔΕΕ· επισημαίνει, επιπλέον, ότι για τους σκοπούς του πλαισίου προστασίας δεδομένων ΕΕ-ΗΠΑ, οι αρχές αυτές θα ερμηνεύονταν αποκλειστικά υπό το φως του δικαίου και των νομικών παραδόσεων των ΗΠΑ και όχι εκείνων της ΕΕ· σημειώνει ότι το εκτελεστικό διάταγμα 14086 απαριθμεί 12 θεμιτούς στόχους που μπορούν να επιδιωχθούν κατά τη συλλογή πληροφοριών σημάτων και πέντε στόχους για τους οποίους απαγορεύεται η συλλογή πληροφοριών σημάτων· σημειώνει ότι ο κατάλογος των θεμιτών στόχων εθνικής ασφάλειας μπορεί να τροποποιηθεί και να επεκταθεί από τον Πρόεδρο των ΗΠΑ χωρίς υποχρέωση δημοσιοποίησης των σχετικών επικαιροποιήσεων ούτε ενημέρωσης της ΕΕ· επισημαίνει ότι σύμφωνα με το εκτελεστικό διάταγμα 14086 οι πληροφορίες σημάτων να πρέπει διεξάγονται κατά τρόπο αναγκαίο και αναλογικό προς την «προτεραιότητα επαληθευμένων πληροφοριών», κάτι που φαίνεται να αποτελεί ευρεία ερμηνεία των εννοιών αυτών· τονίζει ότι για μια ολοκληρωμένη αξιολόγηση των αρχών της αναλογικότητας και της αναγκαιότητας στο πλαίσιο του εκτελεστικού διατάγματος 14086, θα πρέπει να τεθούν σε εφαρμογή και να εφαρμοστούν στις πολιτικές και τις διαδικασίες των αμερικανικών υπηρεσιών πληροφοριών· εκφράζει την ανησυχία του, ωστόσο, για το γεγονός ότι δεν απαιτείται οι αναλυτές να διενεργούν αξιολόγηση της αναλογικότητας για κάθε απόφαση επιτήρησης·
3.σημειώνει ότι το εκτελεστικό διάταγμα 14086, σε ορισμένες περιπτώσεις, επιτρέπει τη μαζική συλλογή δεδομένων μέσω πληροφοριών σημάτων, συμπεριλαμβανομένου του περιεχομένου των επικοινωνιών· ταυτόχρονα, επισημαίνει ότι το εκτελεστικό διάταγμα 14086 προβλέπει ότι η στοχευμένη συλλογή θα πρέπει να τίθεται σε προτεραιότητα έναντι της μαζικής συλλογής· υπενθυμίζει ότι, ενώ το εκτελεστικό διάταγμα 14086 περιέχει αρκετές διασφαλίσεις σε περίπτωση μαζικής συλλογής, δεν προβλέπει ανεξάρτητη προηγούμενη άδεια για τη μαζική συλλογή, η οποία επίσης δεν προβλέπεται στο πλαίσιο του εκτελεστικού διατάγματος 12333· υπενθυμίζει ότι στην υπόθεση «Schrems II», το ΔΕΕ εξήγησε ότι η παρακολούθηση από τις ΗΠΑ δεν ήταν σύμφωνη με το ενωσιακό δίκαιο, διότι δεν απαιτούσε ένα «αντικειμενικό κριτήριο» «ικανό να δικαιολογήσει» την παρέμβαση της κυβέρνησης στην ιδιωτική ζωή· επισημαίνει ότι αυτό θα υπονόμευε τον σκοπό των στόχων ως εγγύηση για τον περιορισμό των δραστηριοτήτων των ΗΠΑ στον τομέα των υπηρεσιών πληροφοριών· υπενθυμίζει ότι, μετά την προεδρική οδηγία πολιτικής 28, η οποία αποτέλεσε τη βάση για την απόφαση επάρκειας της «Ασπίδας Προστασίας της Ιδιωτικής Ζωής», η Επιτροπή Εποπτείας της Ιδιωτικής Ζωής και των Ατομικών Ελευθεριών (PCLOB) εξέδωσε έκθεση επανεξέτασης(12) και κατέληξε στο συμπέρασμα ότι η προεδρική οδηγία πολιτικής 28 είχε ουσιαστικά διατηρήσει τις ισχύουσες πρακτικές της κοινότητας των υπηρεσιών πληροφοριών· είναι πεπεισμένο ότι η προεδρική οδηγία πολιτικής 28 δεν θα σταματήσει την ηλεκτρονική μαζική παρακολούθηση πολιτών της ΕΕ από τις αρχές των ΗΠΑ·
4.μοιράζεται τις ανησυχίες του ΕΣΠΔ σχετικά με την αδυναμία του εκτελεστικού διατάγματος 14086 να παράσχει εγγυήσεις στην περίπτωση της μαζικής συλλογής δεδομένων, και συγκεκριμένα την έλλειψη ανεξάρτητης προηγούμενης έγκρισης, την έλλειψη σαφών και αυστηρών κανόνων για τη διατήρηση των δεδομένων, την «προσωρινή» μαζική συλλογή και την έλλειψη αυστηρότερων εγγυήσεων όσον αφορά τη διάδοση των δεδομένων που συλλέγονται μαζικά· επισημαίνει ιδιαίτερα τη συγκεκριμένη ανησυχία ότι χωρίς περαιτέρω περιορισμούς όσον αφορά τη διάδοση στις αρχές των ΗΠΑ, οι αρχές επιβολής του νόμου θα είχαν τη δυνατότητα να έχουν πρόσβαση σε δεδομένα που διαφορετικά δεν θα απαγορευόταν να συμβουλευτούν· υπενθυμίζει ότι οι περαιτέρω διαβιβάσεις πολλαπλασιάζουν αποτελεσματικά τους κινδύνους για την προστασία των δεδομένων· σημειώνει ότι το ΕΣΠΔ έχει ζητήσει τη συμπερίληψη νομικά δεσμευτικής υποχρέωσης ανάλυσης και προσδιορισμού του κατά πόσον μια τρίτη χώρα προσφέρει αποδεκτό ελάχιστο επίπεδο εγγυήσεων·
5.επισημαίνει ότι το εκτελεστικό διάταγμα 14086 δεν εφαρμόζεται σε δεδομένα στα οποία έχουν πρόσβαση δημόσιες αρχές με άλλα μέσα, για παράδειγμα μέσω του νόμου των ΗΠΑ για το υπολογιστικό νέφος (US Cloud Act) ή του αντιτρομοκρατικού νόμου των ΗΠΑ (Patriot Act), μέσω αγορών εμπορικών δεδομένων ή μέσω εθελοντικών συμφωνιών κοινοχρησίας δεδομένων·
6.επισημαίνει ότι το βασικό πρόβλημα είναι η παρακολούθηση μη αμερικανικών προσώπων βάσει του δικαίου των ΗΠΑ και η αδυναμία των ευρωπαίων πολιτών να ζητήσουν αποτελεσματική ένδικη προστασία κατά αυτής· ζητεί οι πολίτες της ΕΕ να έχουν τα ίδια δικαιώματα και προνόμια με τους πολίτες των ΗΠΑ, όσον αφορά τις δραστηριότητες της κοινότητας των υπηρεσιών πληροφοριών των ΗΠΑ και την πρόσβαση στα δικαστήρια των ΗΠΑ·
7.σημειώνει ότι, με βάση την ερμηνεία των ΗΠΑ, η έννοια «πληροφορίες σημάτων» καλύπτει όλες τις μεθόδους πρόσβασης στα δεδομένα που προβλέπονται στο νόμο περί παρακολούθησης των επικοινωνιών των αλλοδαπών υπηρεσιών πληροφοριών (FISA), συμπεριλαμβανομένων των παρόχων «εξ αποστάσεως υπηρεσιών πληροφορικής» που προστέθηκαν από τον τροποποιητικό νόμο FISA §1881a το 2008· καλεί την Επιτροπή να αποσαφηνίσει στις μελλοντικές διαπραγματεύσεις τον ορισμό και το πεδίο εφαρμογής των «πληροφοριών σημάτων» στο πλαίσιο του εκτελεστικού διατάγματος 14086· υπενθυμίζει ότι, σύμφωνα με το άρθρο 702 του FISA, η κυβέρνηση των ΗΠΑ εξακολουθεί να επικαλείται την εξουσία να στοχοποιεί οποιοδήποτε πρόσωπο δεν είναι πολίτης των ΗΠΑ στο εξωτερικό με σκοπό την απόκτηση αλλοδαπών υπηρεσιών πληροφοριών, οι οποίες ορίζονται ευρέως·
8.επισημαίνει ότι έχει δημιουργηθεί ένας νέος μηχανισμός προσφυγής που επιτρέπει στα υποκείμενα των δεδομένων της ΕΕ να υποβάλλουν καταγγελία· ταυτόχρονα, τονίζει ότι οι αποφάσεις του DPRC θα είναι απόρρητες, δεν θα δημοσιοποιούνται και δεν θα κοινοποιούνται στον καταγγέλλοντα, ο οποίος θα ενημερώνεται απλώς ότι κατά την εξέταση είτε δεν εντοπίστηκαν παραβιάσεις είτε ότι το DPRC είχε εκδώσει απόφαση που απαιτεί τη λήψη κατάλληλων μέτρων, υπονομεύοντας έτσι το δικαίωμα πρόσβασής του ή το δικαίωμα να διορθώσει τα δεδομένα του· εκφράζει την ανησυχία του ότι αυτό σημαίνει ότι ο καταγγέλλων δεν έχει καμία πιθανότητα να ενημερωθεί σχετικά με την ουσιαστική έκβαση της υπόθεσης και ότι η απόφαση θα είναι τελεσίδικη· σημειώνει ότι η προτεινόμενη διαδικασία παροχής έννομης προστασίας δεν προβλέπει δυνατότητα άσκησης ένδικων μέσων ενώπιον ομοσπονδιακού δικαστηρίου και, επομένως, δεν παρέχει, μεταξύ άλλων, τη δυνατότητα στον καταγγέλλοντα να αξιώσει αποζημίωση· καλεί την Επιτροπή να συνεχίσει τις διαπραγματεύσεις με τις Ηνωμένες Πολιτείες προκειμένου να επιτύχει τις απαραίτητες για την αντιμετώπιση αυτών των ανησυχιών αλλαγές·
9.σημειώνει ότι το εκτελεστικό διάταγμα 14086 εισάγει ορισμένες εγγυήσεις για τη διασφάλιση της ανεξαρτησίας των δικαστών του DPRC, όπως αναγνωρίζεται από το ΕΣΠΔ στη γνωμοδότησή του· επισημαίνει ότι το DPRC αποτελεί μέρος της εκτελεστικής εξουσίας και όχι του δικαστικού σώματος και ότι τα μέλη του διορίζονται για καθορισμένη θητεία τεσσάρων ετών· επισημαίνει ότι ο Πρόεδρος των ΗΠΑ μπορεί να ανατρέψει τις αποφάσεις του DPRC ακόμη και υπό μυστικότητα· επισημαίνει ότι παρότι ο νέος μηχανισμός παροχής έννομης προστασίας δεν επιτρέπει στον Γενικό Εισαγγελέα των ΗΠΑ να απολύει και να εποπτεύει τους δικαστές του DPRC, δεν θίγει τις συναφείς εξουσίες του Προέδρου των ΗΠΑ· τονίζει ότι, όσο ο Πρόεδρος των ΗΠΑ μπορεί να απομακρύνει δικαστές του DPRC κατά τη διάρκεια της θητείας τους, η ανεξαρτησία των δικαστών αυτών δεν είναι εγγυημένη· σημειώνει ότι εφόσον εγκριθεί, η Επιτροπή θα πρέπει να παρακολουθεί στενά την εφαρμογή των διασφαλίσεων για να εξασφαλιστεί η ανεξαρτησία στην πράξη· επισημαίνει ότι ένας καταγγέλλων θα εκπροσωπείτο από «ειδικό συνήγορο» οριζόμενο από το DPRC, για τον οποίο δεν υφίσταται υποχρέωση ανεξαρτησίας· καλεί την Επιτροπή να διασφαλίσει ότι σε περίπτωση έγκρισης απόφασης επάρκειας θα έχει εισαχθεί απαίτηση ανεξαρτησίας· καταλήγει στο συμπέρασμα ότι το DPRC, ως έχει, δεν πληροί τα πρότυπα ανεξαρτησίας και αμεροληψίας του άρθρου47 του Χάρτη· σημειώνει ότι, ενώ η PCLOB θα επανεξετάσει ανεξάρτητα τη λειτουργία της νέας διαδικασίας παροχής έννομης προστασίας, το πεδίο εφαρμογής της εν λόγω επανεξέτασης θα είναι περιορισμένο·
10.σημειώνει ότι οι Ηνωμένες Πολιτείες έχουν προβλέψει έναν νέο μηχανισμό παροχής έννομης προστασίας για ζητήματα που συναρτώνται με την πρόσβαση των δημόσιων αρχών σε δεδομένα, ωστόσο η παρεχόμενη σε εμπορικές υποθέσεις έννομη προστασία στο πλαίσιο της απόφασης επάρκειας παραμένει αμφισβητήσιμη ως προς την αποτελεσματικότητά της· σημειώνει ότι οι μηχανισμοί που στοχεύουν να επιλύσουν τα ζητήματα αυτά επαφίενται σε μεγάλο βαθμό στη διακριτική ευχέρεια των εταιρειών, οι οποίες μπορούν να επιλέξουν εναλλακτικούς τρόπους παροχής έννομης προστασίας, όπως οι μηχανισμοί επίλυσης διαφορών ή η χρήση εταιρικών προγραμμάτων προστασίας της ιδιωτικής ζωής· καλεί την Επιτροπή, σε περίπτωση που εκδοθεί η απόφαση επάρκειας, να αναλύσει ενδελεχώς την αποτελεσματικότητα αυτών των μηχανισμών παροχής έννομης προστασίας·
11.σημειώνει ότι οι ευρωπαϊκές επιχειρήσεις χρήζουν και δικαιούνται ασφάλεια δικαίου· τονίζει ότι η διαδοχή των μηχανισμών διαβίβασης δεδομένων, οι οποίοι στη συνέχεια καταργήθηκαν από το ΔΕΕ, δημιούργησαν πρόσθετο κόστος για τις ευρωπαϊκές επιχειρήσεις· αναγνωρίζει, επομένως, την ανάγκη να διασφαλιστεί η ασφάλεια δικαίου και να αποφευχθεί μια κατάσταση όπου οι επιχειρήσεις θα πρέπει ανελλιπώς να προσαρμόζονται σε νέες νομικές λύσεις, γεγονός που ενδέχεται να αποδειχθεί ιδιαίτερα επαχθές για τις πολύ μικρές, τις μικρές και τις μεσαίες επιχειρήσεις· εκφράζει την ανησυχία του για το γεγονός ότι η απόφαση επάρκειας, εφόσον εκδοθεί, θα μπορούσε (όπως και οι προηγούμενες) να ακυρωθεί από το ΔΕΕ, γεγονός που οδηγεί σε συνεχιζόμενη ανασφάλεια δικαίου, περαιτέρω κόστος και αναστάτωση για τους Ευρωπαίους πολίτες και τις ευρωπαϊκές επιχειρήσεις·
12.επισημαίνει ότι, σε αντίθεση με όλες τις άλλες τρίτες χώρες που έχουν λάβει απόφαση επάρκειας βάσει του ΓΚΠΔ, οι Ηνωμένες Πολιτείες δεν διαθέτουν ακόμα ομοσπονδιακό νόμο για την προστασία των δεδομένων· επισημαίνει ότι η εφαρμογή του εκτελεστικού διατάγματος 14086 δεν είναι σαφής, ακριβής ή προβλέψιμη, καθώς το εκτελεστικό διάταγμα μπορεί ανά πάσα στιγμή να τροποποιηθεί ή να ανακληθεί από τον Πρόεδρο των ΗΠΑ, ο οποίος έχει την εξουσία να εκδίδει εκτελεστικά διατάγματα υπό μυστικότητα· σημειώνει ότι η επανεξέταση της διαπίστωσης επάρκειας θα πραγματοποιούταν μετά από ένα έτος από την ημερομηνία κοινοποίησης της απόφασης επάρκειας στα κράτη μέλη και στη συνέχεια τουλάχιστον ανά τέσσερα έτη· καλεί την Επιτροπή, σε περίπτωση που εγκριθεί οποιαδήποτε μελλοντική απόφαση επάρκειας, να διενεργεί επακόλουθες επανεξετάσεις τουλάχιστον ανά τριετία, όπως ζητείται από τη γνώμη του ΕΣΠΔ· εκφράζει την ανησυχία του για την απουσία ρήτρας λήξης ισχύος ώστε η απόφαση να λήξει αυτομάτως τέσσερα έτη μετά την έναρξη ισχύος της, μετά την οποία η Επιτροπή θα πρέπει να προβεί σε νέα απόφαση· εκφράζει την ανησυχία του για το γεγονός ότι αυτή η έλλειψη ρήτρας λήξης ισχύος στην εν λόγω απόφαση επάρκειας συνιστά επιεική προσέγγιση έναντι των Ηνωμένων Πολιτειών, παρά το γεγονός ότι το πλαίσιο των ΗΠΑ για την προστασία της ιδιωτικής ζωής βασίζεται σε εκτελεστικό διάταγμα που επιτρέπει μυστικές τροποποιήσεις και το οποίο μπορεί να τροποποιηθεί χωρίς την έγκριση του Κογκρέσο ή την ενημέρωση των ομολόγων της ΕΕ· καλεί, ως εκ τούτου, την Επιτροπή να εισαγάγει την εν λόγω ρήτρα·
13.συμμερίζεται τις ανησυχίες που εξέφρασε το ΕΣΠΔ όσον αφορά τα δικαιώματα των υποκειμένων των δεδομένων, την απουσία βασικών ορισμών και ειδικών κανόνων για την αυτοματοποιημένη λήψη αποφάσεων και την κατάρτιση προφίλ, την έλλειψη σαφήνειας σχετικά με την εφαρμογή των αρχών του πλαισίου προστασίας δεδομένων στους εκτελούντες την επεξεργασία και την ανάγκη να αποφευχθούν περαιτέρω διαβιβάσεις που υπονομεύουν το επίπεδο προστασίας·
14.τονίζει ότι οι αποφάσεις επάρκειας πρέπει να περιλαμβάνουν σαφείς και αυστηρούς μηχανισμούς παρακολούθησης και επανεξέτασης, προκειμένου να διασφαλίζεται ότι οι αποφάσεις είναι ανθεκτικές σε μελλοντικές εξελίξεις ή μπορούν να καταργηθούν ή να τροποποιηθούν όπως αρμόζει και να παρέχονται πάντοτε εγγυήσεις για το θεμελιώδες δικαίωμα των πολιτών της ΕΕ στην προστασία των δεδομένων· υπογραμμίζει ότι οποιαδήποτε μελλοντική απόφαση επάρκειας θα πρέπει να υπόκειται σε συνεχή επανεξέταση, λαμβάνοντας υπόψη τις νομικές και πρακτικές εξελίξεις στις ΗΠΑ·
Συμπεάσματα
15.υπενθυμίζει ότι, στο ψήφισμά του της 20ης Μαΐου 2021, το Κοινοβούλιο κάλεσε την Επιτροπή να μην εγκρίνει νέα απόφαση επάρκειας σε σχέση με τις Ηνωμένες Πολιτείες, εκτός εάν θεσπιστούν ουσιαστικές μεταρρυθμίσεις, ιδίως για σκοπούς εθνικής ασφάλειας και συλλογής πληροφοριών· θεωρεί ότι το εκτελεστικό διάταγμα 14086 δεν είναι επαρκώς ουσιαστικό· επαναλαμβάνει ότι η Επιτροπή δεν θα πρέπει να αφήνει το καθήκον προστασίας των θεμελιωδών δικαιωμάτων των πολιτών της ΕΕ στο Δικαστήριο της Ευρωπαϊκής Ένωσης, κατόπιν καταγγελιών μεμονωμένων πολιτών·
16.υπενθυμίζει ότι η Επιτροπή, πρέπει να αξιολογεί την επάρκεια μιας τρίτης χώρας με βάση τη νομοθεσία και τις πρακτικές που ισχύουν, όχι μόνο επί της ουσίας αλλά και στην πράξη, όπως ορίζεται στις αποφάσεις Schrems I, Schrems II και στον ΓΚΠΔ (αιτιολογική σκέψη 104)·
17.σημειώνει ότι οι αρχές του πλαισίου προστασίας δεδομένων που εξέδωσε το Υπουργείο Εμπορίου των ΗΠΑ δεν έχουν τροποποιηθεί επαρκώς, σε σύγκριση με εκείνες στο πλαίσιο της Ασπίδας Προστασίας της Ιδιωτικής Ζωής, ώστε να παρέχουν ουσιαστικά ισοδύναμη προστασία με εκείνη που παρέχεται βάσει του ΓΚΠΔ·
18.σημειώνει ότι, ενώ οι Ηνωμένες Πολιτείες αναλαμβάνουν σημαντική δέσμευση να βελτιώσουν την πρόσβαση στην έννομη προστασία και τους κανόνες σχετικά με την επεξεργασία δεδομένων από τις δημόσιες αρχές, η κοινότητα των υπηρεσιών πληροφοριών των ΗΠΑ έχει προθεσμία έως τον Οκτώβριο του 2023 να επικαιροποιήσει τις πολιτικές και τις πρακτικές της σύμφωνα με τη δέσμευση του εκτελεστικού διατάγματος 14086 και ότι ο Γενικός Εισαγγελέας των ΗΠΑ δεν έχει χαρακτηρίσει ακόμη την ΕΕ και τα κράτη μέλη της ως χώρες που πληρούν τις προϋποθέσεις για να έχουν πρόσβαση στη δυνατότητα παροχής έννομης προστασίας που είναι διαθέσιμη στο πλαίσιο του DPRC· υπογραμμίζει ότι αυτό σημαίνει ότι η Επιτροπή δεν ήταν σε θέση να αξιολογήσει στην πράξη την αποτελεσματικότητα των προτεινόμενων διορθωτικών μέτρων και των προτεινόμενων μέτρων για την πρόσβαση σε δεδομένα· συμπεραίνει, επομένως, ότι η Επιτροπή μπορεί να προχωρήσει στο επόμενο βήμα μιας απόφασης επάρκειας μόνο μετά την ολοκλήρωση των εν λόγω προθεσμιών και οροσήμων από τις Ηνωμένες Πολιτείες, ώστε να διασφαλιστεί ότι οι δεσμεύσεις έχουν υλοποιηθεί στην πράξη·
19.καταλήγει στο συμπέρασμα ότι το πλαίσιο προστασίας δεδομένων ΕΕ-ΗΠΑ δεν δημιουργεί ουσιαστική ισοδυναμία του επιπέδου προστασίας· καλεί την Επιτροπή να συνεχίσει τις διαπραγματεύσεις με τους ομολόγους της στις ΗΠΑ με στόχο τη δημιουργία ενός μηχανισμού που θα διασφαλίζει την εν λόγω ισοδυναμία και ο οποίος θα παρέχει το επαρκές επίπεδο προστασίας που απαιτείται από το δίκαιο της Ένωσης για την προστασία των δεδομένων και τον Χάρτη, όπως ερμηνεύεται από το ΔΕΕ· καλεί την Επιτροπή να μην εγκρίνει τη διαπίστωση επάρκειας έως ότου εφαρμοστούν πλήρως όλες οι συστάσεις που διατυπώνονται στο παρόν ψήφισμα και στη γνώμη του ΕΣΠΔ·
20.καλεί την Επιτροπή να ενεργεί προς το συμφέρον των επιχειρήσεων και των πολιτών της ΕΕ διασφαλίζοντας ότι το προτεινόμενο πλαίσιο προβλέπει μια σταθερή, επαρκή και μελλοντοστραφή νομική βάση για τις διαβιβάσεις δεδομένων ΕΕ-ΗΠΑ· αναμένει ότι οποιαδήποτε απόφαση επάρκειας, εάν εγκριθεί, θα παραπεμφθεί εκ νέου ενώπιον του ΔΕΕ· επισημαίνει την ευθύνη της Επιτροπής για τη μη προστασία των δικαιωμάτων των πολιτών της ΕΕ σε περίπτωση που η απόφαση επάρκειας ακυρωθεί εκ νέου από το ΔΕΕ·
o oo
21.αναθέτει στην Πρόεδρό του να διαβιβάσει το παρόν ψήφισμα στο Συμβούλιο και στην Επιτροπή καθώς και στον Πρόεδρο και στο Κογκρέσο των Ηνωμένων Πολιτειών της Αμερικής.
Απόφαση της 16ης Ιουλίου 2020 στην υπόθεση C-311/18, Data Protection Commissioner κατά Facebook Ireland Limited and Maximillian Schrems, ECLI:EU:C:2020:559.
(PCLOB), Report to the President on the Implementation of Presidential Directive 28: Signals Intelligence Activities (Έκθεση προς τον Πρόεδρο σχετικά με την εφαρμογή της προεδρικής οδηγίας 28: Δραστηριότητες συλλογής πληροφοριών σημάτων)