32002D0016
L 006/52
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2001 година
относно общите договорни клаузи за трансфера на лични данни към лицата, които ги обработват, установени в трети страни, съгласно Директива 95/46/ЕО
(нотифицирано под номер С(2001) 4540)
(текст от значение за ЕИП)
(2002/16/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО държавите-членки се задължават да следят даден трансфер на лични данни към трета страна да се извършва само ако съответната страна гарантира адекватно ниво на защита на данните и ако законите на държавите-членки, които са съобразени с другите разпоредби на директивата, се спазват преди трансфера.
(2)
Въпреки това член 26, параграф 2 от Директива 95/46/ЕО предвижда държавите-членки да могат да разрешават при известни гаранции трансфер или цялостен набор от трансфери на лични данни към трети страни, които не гарантират адекватно ниво на защита. Тези гаранции могат да произтичат главно от съответните договорни клаузи.
(3)
Съгласно Директива 95/46/ЕО нивото на защита на данните трябва да бъде преценено с оглед всички обстоятелства, отнасящи се до трансфер или категория трансфери. Групата за защита на лицата по отношение обработването на личните данни, създадена съгласно настоящата директива (2), публикува насоки за улесняване на оценката (3).
(4)
Общите договорни клаузи се отнасят само до защитата на данните и износителят и вносителят са свободни да въвеждат други клаузи от търговски характер, каквито смятат за необходими за договора при условие че те не противоречат на общите договорни клаузи.
(5)
Настоящото решение не засяга националните разрешения, които държавите-членки могат да издават съгласно националните разпоредби, като прилагат член 26, параграф 2 от Директива 95/46/ЕО. Настоящото решение има за цел единствено да задължи държавите-членки да не отказват да признават, че фигуриращите договорни клаузи предлагат адекватни гаранции и при това положение то няма действие върху други договорни клаузи.
(6)
Обхвата на настоящото решение се ограничава да установи, че клаузите, които са изброени в него, могат да бъдат използвани от администратор на лични данни, установен в Общността, за да се гарантират адекватни гаранции по смисъла на член 26, параграф 2 от Директива 95/46/ЕО за трансфера на лични данни към лице обработващо данните, установено в трета страна.
(7)
Настоящото решение следва да изпълни задължението, предвидено в член 17, параграф 3 от Директива 95/46/ЕО и не накърнява съдържанието на договори или юридически актове, установен съгласно тази разпоредба. Във всеки случай, някои общи договорни клаузи, отнасящи се по-специално към задълженията на износителя на данни, трябва да бъдат включени в целта да се увеличи яснотата относно разпоредбите, които могат да бъдат въведени в договор между администратора и лицето, обработващо данните.
(8)
Надзорните органи на държавите-членки играят ключова роля в този договорен механизъм, като гарантират адекватната защита на личните данни след трансфера. В изключителни случаи, когато износителите на данни откажат или не са в състояние да инструктират по подходящ начин вносителя на данните или когато съществува непосредствен риск от тежка вреда за засегнатите лица, общите договорни клаузи трябва да позволяват на надзорните органи да задължават вносителите на данни да проверяват и когато това се окажеуместно, да предприемат мерки, с които последните трябва да се съобразят. Надзорните органи следва да имат правомощието да забраняват или да отменят временно трансфер на данни или цялостен набор от трансфери на данни, базиран на общи договорни клаузи, в изключителните случаи, когато е установено, че трансфер, базиран на договорни условия, рискува да промени забележимо гаранциите и задълженията, предоставящи адекватно ниво на защита на съответното физическо лице.
(9)
В бъдеще Комисията може също да преценява дали общите договорни клаузи за трансфера на лични данни към лица, обработващи данните, установени в трети страни, които не предоставят адекватно ниво на защита на данните, представени от търговски организации или други заинтересовани страни, предлагат достатъчни гаранции съгласно член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Разкриването на лични данни на лице, обработващо данните, установено извън Общността, представлява защитен международен обмен по силата на Глава IV от Директива 95/46/ЕО. В резултат на това настоящата директива не покрива трансфера на лични данни, осъществяван от администраторите , установени в Общността, към лица, отговорни за обработката, установени извън Общността, които попадат в обхвата на Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (4).
(11)
Общите договорни клаузи следва да предвиждат технически и организационни мерки, гарантиращи равнище на сигурност, адаптирано към рисковете, свързани с обработката и характера на данните, които подлежат на защита, което трябва да прилага лице, обработващо данните, установено в трета страна, който не предоставя адекватно ниво на защита. Страните трябва да предвидят в договора технически и организационни мерки, които с оглед на приложимото право за защита на данните на технологично равнище и с цел прилагане са необходими за защита на личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, или всякаква друга незаконна форма на обработка.
(12)
За да се улесни потокът на данни, идващи от Общността, е желателно лицата, обработващи данните и предоставящи такива услуги на няколко администратори от Общността, да получават разрешения да прилагат същите технически и организационни мерки, свързани със сигурността, независимо от това коя е държавата по произход на трансфера, по-специално в случаите, когато вносителят на данни получи за последваща обработка данни, произхождащи от различни учреждения на вносителя на данни в Общността.
(13)
Подходящо е да се определят минималната информация, която страните трябва да предвидят в договора за трансфера. Държавите-членки следва да запазят възможността за специфициране на информацията, които страните трябва да предоставят. Прилагането на настоящото решение трябва да се преразгледа в светлината на натрупания опит.
(14)
Вносителят на данни трябва да обработва трансферираните лични данни за изключителната сметка на износителя на данни и според инструкциите и задълженията, включени в клаузите. В частност, вносителят на данни не следва да разгласява личните данни на трета страна освен при някои условия. Износителят на данни трябва да изисква от вносителя на данни по време на периода на услугите по обработката на данните да обработва данните съгласно неговите инструкции, съгласно приложимото право за защита на данните и съгласно задълженията, съдържащи се в клаузите. Трансферът на лични данни към лица, които ги обработват, установени извън Общността, не накърнява в никаква степен факта, че дейностите по обработка трябва да бъдат съобразени във всеки случай с прилагащото се право за защита на данните.
(15)
Общите договорни клаузи трябва да бъдат изпълними не само от организациите, страни по договора, но също и от съответните физически лица, в частност когато на последните се нанася вреда поради прекратяване на договора.
(16)
Съответното физическо лице следва да има право да подаде жалба и, ако е целесъобразно, да получи обезщетение от износителя на данни, който е администратор на трансферираните лични данни. В изключителни случаи съответното физическо лице следва също да има правото да подава жалба и, когато това е целесъобразно, да получи обезщетение от вносителя на данните заради неизпълнението от страна на вносителя на данни на едно или друго задължение, посочено във втория параграф на клауза 3, когато износителят на данни фактически е изчезнал или е престанал да съществува юридически или е изпаднал в несъстоятелност.
(17)
Ако спор между съответното физическо лице, който се позовава на клаузата на трето лице - бенефициер, и вносителя на данни не бъде решен по взаимно съгласие, вносителят на данни трябва да се съгласи да предложи на съответното физическо лице да избере между посредничество, арбитраж и съдебен процес. Съответното физическо лице има реална възможност за избор в степен, в която ще може да разполага с надеждни и признати системи за посредничество и на арбитраж. Посредничеството от страна на надзорните органи и по защитата на данните на държавата-членка, в която е установен износителят на данни, трябва да бъде право на избор, когато тези органи предоставят такава услуга.
(18)
Договорът трябва да бъде съобразен с правото на държавата-членка, в която е установен износителят на данни и която позволява на трети бенефициенр да поиска изпълнението на даден договор. Съответните физически лица данни следва да могат да бъдат представлявани от асоциациите или други органи, ако те желаят това и ако националното право го разрешава.
(19)
Работната група за защита на лицата по отношение обработката на личните данни, създадена по силата на член 29 от Директива 95/46/ЕО, излезе със становище за нивото на защита, предвидено от общите договорни клаузи, приложени към настоящото решение. Това становище бе взето предвид при подготвянето на настоящото решение (5).
(20)
Мерките, предвидени в настоящото решение са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Общите договорни клаузи, фигуриращи в приложението, се оценяват като достатъчни гаранции за защитата на личния живот и на основните права на лицата, както и по отношение изпълнението на съответстващите права, както го изисква член 26, параграф 2 от Директива 95/46/ЕО.
Член 2
Настоящото решение се отнася единствено до адекватния характер на защитата, предоставяна чрез общите договорни клаузи за трансфера на лични данни, фигуриращи в приложението. Тя не засяга прилагането на другите национални разпоредби, привеждащи в действие Директива 95/46/ЕО, които се отнасят до обработката на личните данни в държавите-членки.
Настоящото решение се прилага за трансфера на лични данни от администраторите на данни, установени в Общността, до получатели, установени извън територията на Общността, които действат изключително като лица, обработващи данните.
Член 3
По смисъла на настоящото решение:
а)
прилагат се определенията, съдържащи се в Директива 95/46/ЕО;
б)
„особените категории данни“ са данни, посочени в член 8 на тази директива;
в)
„надзорен орган“ е органът, посочен в член 28 на въпросната директива;
г)
„износител на данни“ е администратор на данни, който трансферира личните данни;
д)
„вносител на данни“ е лице, обработващо данните, установено в трета страна, който се съгласява да приеме от износителя на данни лични данни, предназначени да бъдат обработени за сметка на последния след трансфера съгласно неговите инструкции и при условията на настоящото решение, и който не е част от системата на трета страна, гарантираща адекватна защита;
е)
„приложимо право за защита на данните“ е законодателството, защищаващо основните свободи и права на физическите лица, главно правото на личен живот, при обработката на личните данни, и прилагащо се за дадено лице, отговорно за обработката в страната, в който е установен износителят на данни;
ж)
„технически и организационни мерки, свързани със сигурността“ са мерките, предназначени да защищават личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, главно когато обработката предполага превеждането на данни по мрежа, и срещу всяка друга незаконна форма на обработка.
Член 4
1. Без да се засягат правата им да предприемат мерки, целящи гарантирането на спазването на националните разпоредби, изработени съгласно глави II, III, IV, V и VI на Директива 95/46/ЕО, компетентните власти на държавите-членки могат да упражняват правата, с които разполагат, за да забраняват или да отменят временно потоците данни към трети страни, за да защищават лицата във връзка с обработката на техните лични данни, в случай, че:
а)
е установено, че правото, на което е субект вносителят на данни, му налага изискване за дерогиране от приложимото право за защита на данните, което се простира извън необходимите ограничения в демократично общество по една от посочените в член 13 от Директива 96/46/ЕО причини, когато тези задължения създават риска да бъдат забележимо изменени гаранциите, предоставяни от приложимото към защитата на данните право и общите договорни клаузи, или
б)
компетентна власт е установила, че вносителят на данни не е спазил договорните клаузи, фигуриращи в приложението, или
в)
е много вероятно общите договорни клаузи, фигуриращи в приложението, да не са или да не бъдат спазени и продължаването на трансфера да увеличи до висока степен риска на засегнатите лица да бъдат нанесени тежки вреди.
2. Забраната или временната отмяна се вдига веднага след изчезването на причините, които я мотивират.
3. Когато държавите-членки приемат мерки съгласно параграфи 1 и 2, те информират незабавно за това Комисията, която предоставя информацията на другите държави-членки.
Член 5
Комисията оценява прилагането на настоящото решение на базата на наличните информации три години след нотифицирането на държавите-членки. Тя представя на Комитета, създаден съгласно член 31 от Директива 96/46/ЕО доклад за осъществените констатации. Докладът включва всяко свидетелство, който е в състояние на повлияе на оценката, отнасяща се до адекватния характер на общите договорни клаузи, фигуриращи в приложението, както и всяко свидетелство, че настоящото решение се прилага по дискриминативен начин.
Член 6
Настоящото решение се прилага от 3 април 2002 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2001 година.
Kommissionens beslut
av den 27 december 2001
om standardavtalsklausuler för överföring av personuppgifter till registerförare etablerade i tredje land i enlighet med direktiv 95/46/EG
[delgivet med nr K(2001) 4540]
(Text av betydelse för EES)
(2002/16/EG)
EUROPEISKA GEMENSKAPERNAS KOMMISSION HAR FATTAT DETTA BESLUT
med beaktande av Fördraget om upprättandet av Europeiska gemenskapen,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter(1), särskilt artikel 26.4 i detta, och
av följande skäl:
(1) Enligt direktiv 95/46/EG är medlemsstaterna skyldiga att se till att överföring av personuppgifter till tredje land endast får ske om det tredje landet garanterar en adekvat skyddsnivå och om medlemsstaternas lagar, vilka följer direktivets övriga bestämmelser, iakttas före överföringen.
(2) Enligt artikel 26.2 i direktiv 95/46/EG får dock medlemsstaterna, förutsatt att vissa garantier ställs, tillåta en överföring eller en gruppserie överföringar av personuppgifter till länder som inte säkerställer en adekvat skyddsnivå av uppgifter. Sådana garantier kan särskilt framgå av lämpliga avtalsklausuler.
(3) Enligt direktiv 95/46/EG skall bedömningen av skyddsnivån ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp överföringar av personuppgifter. Arbetsgruppen för skydd av enskilda med avseende på behandling av personuppgifter som inrättats genom det direktivet(2) har utfärdat riktlinjer för sådana bedömningar(3).
(4) Standardavtalsklausulerna rör endast uppgiftsskydd. Uppgiftsutföraren och uppgiftsinföraren får ta med sådana andra klausuler om affärsrelaterade frågor som de anser av betydelselämpliga för avtalet, under förutsättning att de så länge som dessa inte strider mot standardavtalsklausulerna.
(5) Beslutet bör inte påverkar de nationella tillstånd som medlemsstaterna kan komma att bevilja i enlighet med nationella bestämmelser om genomförande av artikel 26.2 i direktiv 95/46/EG. Det här beslutet har endast som verkan att medlemsstaterna inte får vägra att erkänna att de angivna avtalsklausulerna som här anges ger tillräckliga garantier och beslutet påverkar således inte andra avtalsklausuler.
(6) Beslutet skall endast fastställa att de angivna klausulerna i bilagan får användas av en registeransvarig etablerad i gemenskapen i syfte att ställa tillräckliga garantier i den mening som avses i artikel 26.2 i direktiv 95/46/EG vid överföringen av personuppgifter till en registerförare etablerad i tredje land.
(7) Beslutet bör fullgöra skyldigheten i artikel 17.3 i direktiv 95/46/EG och påverkar inte innehållet i ett sådant avtal eller en sådan rättsakt som upprättats i enlighet med den bestämmelsen. Några av standardavtalsklausulerna, i synnerhet de om uppgiftsutförarens skyldigheter, bör ingå för att klargöra vilka klausuler som kan tas med i ett avtal mellan en registeransvarig och en registerförare.
(8) Tillsynsmyndigheterna i medlemsstaterna har en nyckelroll i samband med denna avtalsmekanism för att se till att personuppgifter skyddas adekvat efter överföring. I de undantagsfall då uppgiftsutföraren vägrar eller inte kan ge uppgiftsinföraren korrekta instruktioner och det finns en överhängande risk för att de registrerade skadas, bör standardavtalsklausulerna medge tillsynsmyndigheterna rätten att utföra revision hos uppgiftsinförare och i förekommande fall fatta beslut som är bindande uppgiftsinföraren. Tillsynsmyndigheterna bör ha rätt att förbjuda eller avbryta en uppgiftsöverföring eller en serie överföringar som sker enligt standardavtalsklasuler i de undantagsfall där det fastställts att en överföring på avtalsbasis sannolikt har en avsevärt skadlig inverkan på de garantier och åtaganden som skall säkerställa adekvat skydd för den registrerade.
(9) Kommissionen kan senare komma att ta ställning till om standardavtalsklausuler avseende överföring av personuppgifter till registerförare i tredje land där adekvat skydd av personuppgifter saknas, som utarbetas av branschorganisationer eller andra berörda parter, erbjuder tillräckliga garantier i enlighet med artikel 26.2 i direktiv 95/46/EG.
(10) Utlämnande av personuppgifter till en registerförare etablerad utanför gemenskapen är en internationell överföring som skyddas i enlighet med bestämmelserna i kapitel IV i direktiv 95/46/EG. Det här beslutet omfattar inte överföring av personuppgifter från sådana registeransvariga som är etablerade i gemenskapen till sådana registerförare som är etablerade utanför gemenskapen och som inte omfattas av tillämpningsområdet för kommissionens beslut 2001/497/EG av den 15 juni 2001 om standardavtalsklausuler för överföring av personuppgifter till tredje land enligt direktiv 95/46/EG(4).
(11) Standardavtalsklausulerna bör innehålla bestämmelser om de tekniska och organisatoriska säkerhetsåtgärder som en registerförare, som är etablerad i ett tredje land utan adekvat skydd, måste vidta för att garantera en säkerhetsnivå som är anpassad till de risker behandlingen medför och till karaktären hos de uppgifter som skall behandlas. Parterna bör i avtalet ange de tekniska och organisatoriska åtgärder som, med hänsyn tagen till tillämplig uppgiftsskyddslagstiftning, den senaste tekniken och kostnaden för att vidta dem, är erforderliga för att skydda personuppgifter mot oavsiktlig eller olaglig utplåning, oavsiktlig förlust, ändring, otillåtet utlämnande eller otillåten tillgång eller varje annan form av olaglig behandling.
(12) För att underlätta flödet av uppgifter från gemenskapen bör registerförare som förser flera registeransvariga i gemenskapen med uppgiftsbehandlingstjänster tillåtas vidta samma tekniska och organisatoriska säkerhetsåtgärder, oavsett från vilken medlemsstat uppgiftsöverföringen kommer, i synnerhet i sådana fall där uppgiftsinföraren tar emot uppgifter för vidare behandling från flera av uppgiftsutförarens driftsställen i gemenskapen, varvid lagen i den ifrågavarande medlemsstat där driftsstället är beläget skall tillämpas.
(13) Det är lämpligt att fastställa vilka upplysningar parterna minst måste ange i avtalet om överföring. Medlemsstaterna bör ha befogenhet att närmare bestämma vilka upplysningar parterna måste lämna. Tillämpningen av det här beslutet bör ses över med ledning av erfarenheterna.
(14) Uppgiftsinföraren skall behandla överförda personuppgifter endast för uppgiftsutförarens räkning och i enlighet med hans instruktioner och de villkor som anges i klausulerna. I synnerhet bör uppgiftsinföraren inte lämna ut personuppgifterna till tredje man utom i enlighet med vissa villkor. Uppgiftsutföraren bör lämna instruktioner till uppgiftsinföraren under det att uppgiftsbehandlingen pågår om att uppgifterna skall behandlas i enlighet med hans instruktioner, tillämplig uppgiftsskyddslagstiftning och villkoren i klausulerna. Överföring av personuppgifter till registerförare som är etablerade utanför gemenskapen påverkar inte det förhållandet att behandling under alla omständigheter bör ske i enlighet med tillämplig uppgiftsskyddslagstiftning.
(15) Standardavtalsklausulerna måste kunna åberopas inte bara av de organisationer som är parter i avtalet utan även av de registrerade, i synnerhet om de registrerade vållas skada till följd av avtalsbrott.
(16) Den registrerade bör har rätt att väcka talan mot och om så är lämplig få skadestånd från den uppgiftsutförare som är registeransvarig för de personuppgifter som överförts. I undantagsfall bör den registrerade också få väcka talan och, om så är lämpligt, få skadestånd från uppgiftsinföraren, om denne inte fullgjort sina förpliktelser enligt klausul 3 andra stycket, i de fall uppgiftsutföraren har upphört att existera i faktisk eller rättslig mening.
(17) Om en tvist mellan parterna och den registrerade inte kan lösas i godo och den registrerade åberopar klausulen om tredjepartsberättigande, bör datainföraren låta parterna den registrerade får välja mellan medling, skiljeförfarande och att väcka talan vid domstol. För att den registrerade skall ha en faktisk valmöjlighet bör det finnas tillgång till tillförlitliga och erkända system för medling och skiljeförfarandedom. Medling utförd av tillsynsmyndigheten med ansvar för uppgiftsskydd i den medlemsstat där uppgiftsutföraren är etablerad bör vara ett alternativ, i de fall där en sådan tjänst erbjuds.
(18) Den lag som skall tillämpas på avtalet bör vara lagen i det land där uppgiftsutföraren är etablerad, så att en berättigad tredje part skall ha möjlighet att åberopa ett avtal. De registrerade bör ha möjlighet att företrädas av sammanslutningar eller andra organ, om de så önskar och om nationell lag medger det.
(19) Den arbetsgrupp för skydd av enskilda med avseende på behandlingen av personuppgifter som inrättats enligt artikel 29 i direktiv 95/46/EG har avgett ett yttrande om den skyddsnivå som ges av de standardavtalsklausuler som bifogas detta beslut, vilket beaktats vid utarbetandet av detta beslut(5).
(20) Åtgärderna i detta beslut överensstämmer med yttrandet från den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
De standardavtalsklausuler som anges i bilagan skall anses ge tillräckliga garantier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas samt för utövandet av motsvarande rättigheter, i enlighet med artikel 26.2 i direktiv 95/46/EG.
Artikel 2
Detta beslut skall endast tillgodose att standardavtalsklausulerna i bilagan erbjuder ett tillräckligt skydd för överföring av personuppgifter till registerförare. Det påverkar inte tillämpningen av andra nationella bestämmelser som antagits för genomförande av direktiv 95/46/EG och som rör behandling av personuppgifter inom medlemsstaterna.
Detta beslut skall tillämpas på överföring av personuppgifter från sådana registeransvariga som är etablerade i gemenskapen till sådana mottagare som är etablerade utanför gemenskapens territorium och som endast verkar som registerförare.
Artikel 3
I detta beslut används följande beteckningar med de betydelser som här anges:
a) definitionerna i direktiv 95/46/EG skall följas,
b) särskilda kategorier av uppgifter: de uppgifter som avses i artikel 8 i direktivet,
c) tillsynsmyndighet: de myndigheter som avses i artikel 28 i direktivet,
d) uppgiftsutförare: den registeransvarige som överför personuppgifterna,
e) uppgiftsinförare: den registerförare som är etablerad i ett tredje land och som samtycker till att från uppgiftsutföraren ta emot personuppgifter avsedda för behandling för uppgiftsutförarens räkning efter överföringen, enligt dennes instruktioner och i enlighet med detta beslut, förutsatt att uppgiftsinföraren inte omfattas av ett system i tredje land som garanterar ett adekvat skydd,
f) tillämplig uppgiftsskyddslaglagstiftning: sådan lagstiftning som avser att skydda fysiska personers grundläggande fri- och rättigheter, särskilt deras personliga integritet i samband med behandling av personuppgifter, och som är tillämplig på registeransvariga i den medlemsstat där uppgiftsutföraren är etablerad.
g) tekniska och organisatoriska säkerhetsåtgärder: åtgärder avsedda att skydda personuppgifter mot oavsiktlig eller olaglig utplåning, oavsiktlig förlust, ändring, otillåtet utlämnande eller otillåten tillgång, i synnerhet när behandlingen inbegriper överföring av uppgifter över ett nät, och mot varje annan form av olaglig behandling.
Artikel 4
1. Utan att det påverkar rätten för medlemsstaternas behöriga myndigheter att se till att nationella bestämmelser som antagits i enlighet med bestämmelserna i kapitlen II, III, V och VI i direktiv 95/46/EG följs, får de utöva sina befintliga befogenheter för att förbjuda eller avbryta flöden av uppgifter till tredje land för att skydda enskilda från behandling av personuppgifter om dem i fall där
a) det fastställs att den lag som är tillämplig på uppgiftsinföraren föreskriver att denne skall frångå tillämplig uppgiftsskyddslagstiftning och som går utöver de restriktioner som krävs i ett demokratiskt samhälle enligt artikel 13 i direktiv 95/46/EG, om dessa föreskrifter sannolikt har en avsevärt skadlig inverkan på de garantier som ställs i tillämplig uppgiftsskyddslagstiftning eller i standardavtalsklausulerna, eller
b) en behörig myndighet har fastställt att uppgiftsinföraren inte har följt avtalsklausulerna i bilagan, eller
c) det finns skälig grund att tro att standardavtalsklausulerna i bilagan inte följs eller inte kommer att följas och att fortsatt överföring skulle medföra en överhängande risk för allvarlig skada hos de registrerade.
2. Förbudet eller avbrottet enligt punkt 1 skall upphöra så snart som skälen för förbudet eller avbrottet inte längre föreligger.
3. När medlemsstaterna vidtar åtgärder i enlighet med punkterna 1 och 2 skall de utan dröjsmål underrätta kommissionen, som skall vidarebefordra underrättelsen till de andra medlemsstaterna.
Artikel 5
Kommissionen skall utvärdera genomförandet av detta beslut med ledning av tillgänglig information tre år efter det att det delgetts medlemsstaterna. Den skall lämna en rapport om resultaten till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG. Den skall ta med alla omständigheter som kan påverka bedömningen att de bifogade standardavtalsklausulerna ger ett adekvat skydd och alla omständigheter som tyder på att detta beslut tillämpas på ett diskriminerande sätt.
Artikel 6
Detta beslut skall tillämpas från och med den 3 april 2002.
Artikel 7
Detta beslut riktar sig till medlemsstaterna.
Utfärdat i Bryssel den 27 december 2001.