32004D0915
L 385/74
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2004 година
за изменение на Решение 2001/497/ЕО за въвеждане на алтернативен комплект общи договорни клаузи за прехвърляне на лични данни в трети страни
(нотифицирано под номер С(2004) 5271)
(текст от значение за ЕИП)
(2004/915/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. относно защитата на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
С цел улесняване на потоците данни от Общността е желателно лицата, отговарящи за обработката на данните, да могат да извършват прехвърлянето на данни глобално и с прилагане на единен комплект правила за защита на данните. В отсъствието на глобални норми за защита на данните, общите договорни клаузи осигуряват важен инструмент, позволяващ прехвърлянето на лични данни от всички държави-членки при спазване на общ за всички комплект правила. Във връзка с това в Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (2) се посочва модел на комплект общи договорни клаузи, който осигурява адекватни предпазни мерки за прехвърлянето на данни на трети страни.
(2)
От приемането на посоченото решение е придобит значителен опит. Освен това, с оглед при използването на различни механизми да се осигури ниво на защита на данните, еквивалентно на това, което се осигурява от комплекта общи договорни клаузи, предвидени в Решение 2001/497/ЕО, една група от стопански сдружения (3) представи комплект алтернативни общи договорни клаузи.
(3)
Тъй като използването на общите договорни клаузи за прехвърляне на данни в международен мащаб е доброволно, като общите договорни клаузи са само една от няколкото възможности съгласно Директива 95/46/ЕО за законно прехвърляне на лични данни в трета страна, износителите на данни на територията на Общността и вносителите на данни в трети страни би следвало да разполагат със свободата да избират друг комплект от общи договорни клаузи или друга правна основа за прехвърляне на данни. Тъй като всеки комплект като цяло оформя модел, на износителите на данни не бива да се позволява да променят тези комплекти, нито изцяло, нито частично да ги смесват по какъвто и да било начин.
(4)
Общите договорни клаузи, представени от стопанските сдружения, имат за цел увеличаване на използването на договорни клаузи сред операторите с помощта на някои механизми, като например по-гъвкави изисквания по отношение на ревизиите и по-подробни правила относно правото на достъп.
(5)
Освен това, като алтернатива на системата на солидарна отговорност, предвидена в Решение 2001/497/ЕО, в сега предложения комплект се съдържа режим на отговорност, основан на задълженията за добросъвестно изпълнение на поставените задачи в случаите, в които износителят на данните и вносителят на данните биха били задължени по отношение на субектите на данните за съответно нарушение на своите договорни задължения; освен това износителят на данните отговаря, ако не положи разумни усилия да определи дали вносителят на данните е в състояние да спази своите правни задължения съгласно клаузите (culpa in eligendo), като в този случай субектът на данните може да заведе съдебно дело срещу износителя на данните. Прилагането на клауза I, буква б) от новия комплект общи договорни клаузи е от особено значение в това отношение и в частност във връзка с възможността износителят на данните да провежда ревизии в помещенията на вносителите на данните или да изисква доказателства за достатъчно финансови ресурси, които да покриват изпълнението на неговите отговорности.
(6)
Що се отнася до упражняването от субектите на данните на правата им на бенефициери, се предвижда по-голяма ангажираност на износителя на данните при решаването на жалби от страна на субектите на данните, при което износителят на данните е задължен да влезе в контакт с вносителя на данните и при необходимост да търси принудително изпълнение на договора в рамките на обичайния едномесечен период. В случай че износителят на данните откаже да търси принудително изпълнение на договора, като същевременно нарушението на вносителя на данните все още продължава, субектът на данните може в такъв случай да търси принудително изпълнение на клаузите спрямо вносителя на данните и евентуално да предяви иск срещу него в съда на някоя от държавите-членки. Това приемане на юрисдикция и съгласието за спазване на решение на компетентен съд или орган по защита на данните не накърнява никои процесуални права на вносителите на данните, установени в трети страни, като например правото на обжалване.
(7)
При това обаче, с цел предотвратяване на злоупотребите с тази допълнителна гъвкавост, е целесъобразно да се обезпечи органите за защита на данните да могат по-лесно да забраняват или да отменят прехвърляния на данни, като при това се основават на новия комплект общи договорни клаузи в онези случаи, в които износителят на данните откаже да предприеме целесъобразните стъпки с цел прилагане на договорните задължения срещу вносителя на данните или в случай че последният откаже да сътрудничи доброволно на компетентните надзорни органи за защита на данните.
(8)
Използването на общите договорни клаузи ще се осъществява, без да се засяга прилагането на националните разпоредби, приети в съответствие с Директива 95/46/ЕО или с Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защитата на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронните комуникации) (4) и по-специално що се отнася до изпращането на търговски съобщения за целите на директния маркетинг.
(9)
На тази основа предпазните мерки, съдържащи се в представените общи договорни клаузи, могат да се считат за адекватни по смисъла на член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Работната група за защита на физическите лица по отношение на обработката на лични данни, създадена в съответствие с член 29 от Директива 95/46/ЕО, представи своето становище (5) относно нивото на защита, предвидено съгласно представяните общи договорни клаузи, което също бе взето предвид.
(11)
С цел оценка на функционирането на измененията на Решение 2001/497/ЕО, е целесъобразно Комисията да им даде оценка три години след тяхното нотифициране до държавите-членки.
(12)
Решение 2001/497/ЕО следва да бъде съответно изменено.
(13)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Решение 2001/497/ЕО се изменя, както следва:
1.
В член 1 се добавя следният параграф:
„Контролиращите данните органи, , могат да избират между комплект I или комплект II от приложението. При това обаче те не могат да изменят клаузите, нито да комбинират отделни клаузи от различните комплекти или самите комплекти.“
2.
В член 4 параграфи 2 и 3 се заменят със следния текст:
„2. За целите на параграф 1 контролиращият орган, предприема целесъобразни предпазни мерки на базата на общите договорни клаузи, съдържащи се в комплект II от приложението, компетентните власти по защита на данните имат правото да упражняват своите правомощия и да забраняват или спират потоци данни във всеки от следните случаи:
а)
отказ на вносителя на данните да оказва доброволно сътрудничество на органите за защита на данните или да спазва своите ясни задължения съгласно договора;
б)
отказ на износителя на данни да предприеме целесъобразни стъпки по търсене на принудително изпълнение на договора срещу вносителя на данни в рамките на обичайния едномесечен период след уведомлението, изпратено на износителя на данни от компетентния орган за защита на данните.
За целите на първа алинея недобросъвестен отказ или отказ за търсене на принудително изпълнение на договор от страна на вносителя на данни не включва случаите, в които сътрудничеството или принудителното изпълнение на договора би влязло в конфликт с императивните изисквания на националното законодателство, приложими по отношение на вносителя на данни, които не надхвърлят необходимото в демократичното общество на базата на един от интересите, изброени в член 13, параграф 1 от Директива 95/46/ЕО и по-специално санкциите, предвидени в международните и/или националните инструменти, изискванията по отношение на декларирането на данъци или изискванията за докладване на случаи на пране на пари.
За целите на първа алинея, буква а) сътрудничеството, в частност, може да включва предаването от страна на вносителя на данни на техническите средства за обработка с цел извършване на ревизия или задължението да спазва съветите на надзорния орган за защита на данните на територията на Общността.
3. Забраната или прекратяването съгласно параграфи 1 и 2 се отменя, веднага щом причините за забраната или прекратяването престанат да съществуват.
4. Когато държавите-членки приемат мерки в съответствие с параграфи 1, 2 и 3, те незабавно информират Комисията, която изпраща информацията до останалите държави-членки.“.
3.
В член 5 първото изречение се замества със следния текст:
„Комисията дава оценка на функционирането на настоящото решение въз основа на наличната информация три години след неговото нотифициране и нотифицирането на всички негови изменения до държавите-членки.“.
4.
Приложението се изменя, както следва:
1.
След заглавието се добавя терминът „КОМПЛЕКТ I“.
2.
Добавя се текстът, посочен в приложението към настоящото решение.
Член 2
Настоящото решение се прилага от 1 април 2005 г.
Член 3
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2004 година.
KOMMISSIONENS BESLUT
av den 27 december 2004
om ändring av beslut 2001/497/EG om standardavtalsklausuler för överföring av personuppgifter till tredje land
(delgivet med nr K(2004) 5271)
(Text av betydelse för EES)
(2004/915/EG)
EUROPEISKA GEMENSKAPERNAS KOMMISSION HAR FATTAT DETTA BESLUT
med beaktande av Fördraget om upprättandet av Europeiska gemenskapen,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1), särskilt artikel 26.4 i detta, och
av följande skäl:
(1)
För att underlätta dataflöden från gemenskapen är det önskvärt att de registeransvariga kan överföra uppgifter globalt enligt en enda uppsättning dataskyddsbestämmelser. I brist på globala dataskyddsbestämmelser ger standardavtalsklausulerna ett viktigt verktyg som möjliggör överföring av personuppgifter från alla medlemsstater enligt en gemensam uppsättning bestämmelser. I kommissionens beslut 2001/497/EG av den 15 juni 2001 om standardavtalsklausuler för överföring av personuppgifter till tredje land enligt direktiv 95/46/EG (2) fastställs därför mallar till standardavtalsklausuler i vilka adekvata skyddsåtgärder för överföring av personuppgifter till tredje land säkerställs.
(2)
Många erfarenheter har gjorts sedan det beslutet antogs. Dessutom har en grupp handelssammanslutningar (3) lämnat in en uppsättning alternativa standardavtalsklausuler som är utformade för att ge en dataskyddsnivå som motsvarar den som föreskrivs i de standardavtalsklausuler som fastställs i beslut 2001/497/EG samtidigt som man använder olika verktyg.
(3)
Eftersom användningen av standardavtalsklausuler för internationella dataöverföringar är frivillig, då standardavtalsklausuler endast utgör en av flera möjligheter enligt direktiv 95/46/EG för att föra över personuppgifter till tredje land, bör datautförare inom gemenskapen och datainförare i tredje land fritt kunna välja en av dessa uppsättningar standardavtalsklausuler eller välja en annan rättslig grund för dataöverföring. Eftersom varje uppsättning utgör en mall, bör uppgiftsutförarna dock inte kunna ändra dessa uppsättningar eller delvis blanda dem på något sätt.
(4)
De standardavtalsklausuler som handelssammanslutningarna har lagt fram har till syfte att öka tillämpningen av avtalsklausuler bland operatörerna genom mer flexibla redovisningskrav, mer detaljerade bestämmelser om rätten till tillgång.
(5)
Som ett alternativ till systemet med solidariskt ansvar som föreskrivs i beslut 2001/497/EG, innehåller den uppsättning som nu har lagts fram dessutom ansvarsbestämmelser som grundas på skyldighet att handla i aktsamhet där uppgiftsutföraren och uppgiftsinföraren skall ansvara inför de registrerade för sina respektive överträdelser när det gäller deras skyldigheter enligt lag. Uppgiftsutföraren ansvarar även för det fall att han eller hon på rimligt sätt inte har ansträngt sig för att se till att uppgiftsinföraren kan fullgöra sina rättsliga skyldigheter enligt klausulerna (culpa in eligendo) och den registrerade kan väcka talan mot uppgiftsutföraren i detta avseende. Tillämpningen av klausul I punkt b i den nya uppsättningen av standardavtalsklausuler är av särskild betydelse i detta avseende, särskilt när det gäller möjligheten för uppgiftsutföraren att utföra revisioner i uppgiftsinförarnas lokaler eller begära in bevis för att dessa har tillräckliga ekonomiska resurser för att fullgöra sina skyldigheter.
(6)
När det gäller de registrerades hantering av tredjemansberättiganden, blir uppgiftsutföraren i större omfattning indragen i behandlingen av de registrerades klagomål genom att uppgiftsutföraren är skyldig att ta kontakt med uppgiftsinföraren och vid behov tillämpa avtalen normalt inom en frist på en månad. Om uppgiftsutföraren vägrar att tillämpa avtalet och uppgiftsinförarens överträdelse av standardavtalsklausulerna fortfarande består, kan den registrerade tillämpa standardavtalen mot uppgiftsinföraren och slutligen väcka åtal i en medlemsstat. Godkännande av domstol och samtycke till att följa ett beslut från behörig domstol eller från tillsynsmyndigheten hindrar inte de uppgiftsinförare som är etablerade i tredje land att utöva sina processrättsliga rättigheter, t.ex. rätten att överklaga.
(7)
För att förebygga att denna ökade flexibilitet missbrukas, är det dock lämpligt att se till att tillsynsmyndigheterna lättare kan förbjuda eller häva dataöverföringar som grundas på den nya uppsättningen standardavtalsklausuler i de fall där uppgiftsutföraren vägrar att vidta lämpliga åtgärder för att följa sina avtalsmässiga skyldigheter gentemot uppgiftsinförarna eller att de senare vägrar att samarbeta efter bästa förmåga med behöriga tillsynsmyndigheter för dataskydd.
(8)
Tillämpningen av standardavtalsklausuler kommer att ske utan att det påverkar tillämpningen av nationella bestämmelser som antagits till följd av direktiv 95/46/EG eller direktiv 2002/58/EG om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (4), särskilt när det gäller utsändande av marknadskommunikationer till EU-medborgare.
(9)
På den grunden kan de garantier som återfinns i de framlagda standardavtalsklausulerna anses vara adekvata enligt artikel 26.2 i direktiv 95/46/EG.
(10)
Arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter som inrättats i enlighet med artikel 29 i direktiv 95/46/EG har avgett ett yttrande (5) om den skyddsnivå som fastställs enligt de framlagda standardavtalsklausuler som har beaktats.
(11)
För att bedöma hur ändringarna i beslut 2001/497/EG kommer att fungera, är det lämpligt att kommissionen utvärderar dem tre år efter att de har anmälts till medlemsstaterna.
(12)
Beslut 2001/497/EG bör därför ändras.
(13)
Åtgärderna i detta beslut överensstämmer med yttrandet från den kommitté som inrättas enligt artikel 31 i direktiv 95/46/EG.
HÄRIGENOM FÖRESKRIVS FÖLJANDE:
Artikel 1
Beslut 2001/497/EG ändras enligt följande:
1.
I artikel 1 skall följande stycke läggas till:
”De registeransvariga får välja endera av standardavtalen I eller II i bilagan. De får dock inte ändra klausulerna eller kombinera enstaka klausuler eller uppsättningar.”
2.
I artikel 4 skall punkterna 2 och 3 ersättas med följande:
”2. När det gäller första stycket där den registeransvarige åberopar adekvata garantier på grundval av de standardavtalsklausuler som återfinns i standardavtal II i bilagan, är de behöriga dataskyddsmyndigheterna behöriga att utöva sina befintliga befogenheter att förbjuda eller upphäva dataflödena i följande fall:
a)
Uppgiftsinföraren vägrar att samarbeta efter bästa förmåga med dataskyddsmyndigheterna eller fullgöra de skyldigheter som tydligt framgår av avtalet.
b)
Uppgiftsutföraren vägrar att vidta adekvata åtgärder för att tillämpa avtalet gentemot uppgiftsinföraren inom den normala fristen på en månad efter meddelande från behörig tillsynsmyndighet till uppgiftsutföraren.
Uppgiftsinföraren skall när det gäller första stycket ovan inte anses vägra samarbete efter bästa förmåga eller att fullgöra avtalen, när ett sådant samarbete eller fullgörande strider mot obligatoriska krav i den nationella lagstiftning som gäller uppgiftsinföraren och som inte går längre än vad som är nödvändigt i ett demokratiskt samhälle på grundval av en av de grunder som nämns i artikel 13.1 i direktiv 95/46/EG, särskilt påföljder som fastställs i internationell och/eller nationell lagstiftning, krav på skatterapportering eller upplysningsplikt när det gäller bekämpning av penningtvätt.
Samarbetet skall när det gäller punkt a i första stycket bl.a. innebära att uppgiftsinföraren ger tillträde till sin databehandlingsutrustning för revision eller följer råd från tillsynsmyndigheten inom gemenskapen.
3. Förbudet eller upphävandet enligt punkterna 1 och 2 skall upphöra så snart som skälen för förbudet eller upphävandet inte längre föreligger.
4. När medlemsstaterna vidtar åtgärder i enlighet med punkterna 1, 2 och 3 skall de utan dröjsmål underrätta kommissionen, som skall vidarebefordra underrättelsen till de övriga medlemsstaterna.”
3.
I artikel 5 skall den första meningen ersättas med följande:
”Kommissionen skall utvärdera hur detta beslut fungerar på grundval av tillgänglig information tre år efter anmälan och efter anmälan av varje ändring av det till medlemsstaterna.”
4.
Bilagan skall ändras på följande sätt:
1.
Efter titeln skall ”STANDARDAVTAL I” föras in.
2.
Texten i bilagan till detta beslut skall läggas till.
Artikel 2
Detta beslut skall tillämpas från och med den 1 april 2005.
Artikel 3
Detta beslut riktar sig till medlemsstaterna.
Utfärdat i Bryssel 27 december 2004.