Schrems II kararının ardından, AB Veri Koruma Yetkilileri, Avrupa Temel Garantilerini güncelledi. Avrupa Temel Garantileri güncellenirken Avrupa Adalet Divanı ve AİHM kararları dikkate alındı. Bu düzenlemeyle, kişisel verilerin aktarılması sırasında özel hayatın gizliliğine saygı ve kişisel verilerin korunmasına gözetim önlemleri ile müdahalelerin demokratik bir toplumda gerekli ve orantılı olanın ötesine geçmemesinin sağlanması amaçlanmaktadır.
Avrupa Temel Garantileri özellikle içtihatlara dayanmaktadır. Schrems I ve II kararları bir dönüm noktası oluşturmuştur. Güncellenmiş Avrupa Temel Garantileri, üçüncü bir ülkedeki gözetim önlemlerinin haklı bir müdahale olarak kabul edilip edilemeyeceğini değerlendirmeye yardımcı olan bir araçtır.
İçtihat analizlerini takiben, Avrupa Veri Koruma Kurulu’nun veri koruma ve gizlilik haklarına sınırlamalar getirme gereksinimleri, dört Avrupa Temel Garantisinde özetlenebilir.
A. İşleme açık, kesin ve erişilebilir kurallara dayanmalıdır.
AB Temel Haklar Şartı uyarınca kişisel veriler, ilgili kişinin rızasına veya diğer meşru temellere dayanılarak amaca uygun bir şekilde belirtilen süre için işlenmelidir. Ayrıca, kişiye tanınan hak ve özgürlüklerin kullanımında herhangi bir sınırlamanın kanunla yapılması gerekmektedir. Bu yasal dayanak, söz konusu tedbir ve asgari önlemlerin uygulanması açısından belgenin kapsamını ve uygulanmasını düzenleyen açık ve kesin kurallar ortaya koymalıdır. Keyfi müdahaleye ve istismar riskine karşı yeterli ve etkili koruma sağlamak için müdahalenin birey üzerindeki etkisi öngörülebilir olmalıdır.
B. Meşru hedeflere ilişkin gereklilik ve orantılılığın gösterilmesi gerekir.
AB'den verileri aktarılan kişilerin tüm kişisel verilerinin herhangi bir ayrım, sınırlama veya istisna olmaksızın genel olarak saklanması bu ilkeye aykırıdır.
Yabancı istihbarat amaçlı gözetim programlarına herhangi bir sınırlama getirmeyen ülkeler bu ilkeye uyumlu değildir.
Orantılılık ilkesi, gizlilik ve veri koruma haklarına ilişkin bir sınırlamanın haklı gösterilip gösterilemeyeceği ve bir yandan bu tür müdahalelerin yol açtığı etkinin ciddiyeti ölçülerek değerlendirilmelidir.
C. Bağımsız bir gözetim mekanizması bulunmalıdır.
Gözetim tedbirleri, bir mahkeme veya kararı bağlayıcı olan bağımsız bir idari organ tarafından gerçekleştirilen incelemeye tabi olmalıdır. İktidarın kullanılması ve varlığı veya yokluğu üzerindeki kontroller ve dengeler dahil olmak üzere müdahalenin keyfi olmaması gerekmektedir.
Denetim organı üyelerinin atanma şekli ve yasal statüsü, bağımsızlığı dikkate alınmalıdır.
D. Etkili hukuk yollarının bireye sunulması gerekir.
Bir kişinin kendisi ile ilgili kişisel verilere erişim sağlamak veya bu tür verilerin düzeltilmesini veya silinmesini sağlamak için yasal yollara başvurması temel hakkıdır.
Bu dört unsur gizlilik ve veri koruma haklarının müdahale düzeyinin değerlendirilmesinde bulunacak temel unsur olarak görülmesi gerekmektedir