Entscheidung der Kommission
vom 27. Dezember 2001
hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern nach der Richtlinie 95/46/EG
(Bekannt gegeben unter Aktenzeichen K(2001) 4540)
(Text von Bedeutung für den EWR)
(2002/16/EG)
DIE KOMMISSION DER EUROPÄISCHEN GEMEINSCHAFTEN -
gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(1), insbesondere auf Artikel 26 Absatz 4,
in Erwägung nachstehender Gründe:
(1) Nach der Richtlinie 95/46/EG müssen die Mitgliedstaaten dafür Sorge tragen, dass die Übermittlung personenbezogener Daten in ein Drittland nur dann erfolgen kann, wenn das betreffende Drittland ein angemessenes Schutzniveau gewährleistet und Gesetze der Mitgliedstaaten, die den anderen Bestimmungen der Richtlinie entsprechen, vor der Übermittlung berücksichtigt werden.
(2) Artikel 26 Absatz 2 der Richtlinie 95/46/EG sieht jedoch vor, dass die Mitgliedstaaten, sofern bestimmte Garantien vorliegen, eine Übermittlung oder eine Kategorie von Übermittlungen personenbezogener Daten in Drittländer genehmigen können, die kein angemessenes Schutzniveau gewährleisten. Diese Garantien können insbesondere in einschlägigen Vertragsklauseln festgeschrieben werden.
(3) Nach der Richtlinie 95/46/EG ist das Datenschutzniveau unter Berücksichtigung aller Umstände zu beurteilen, die bei der Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen; die gemäß dieser Richtlinie eingesetzte Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten(2) hat Leitlinien für die Erstellung solcher Beurteilungen veröffentlicht(3).
(4) Die Standardvertragsklauseln beziehen sich nur auf den Datenschutz. Dem Datenexporteur und dem Datenimporteur ist es freigestellt, weitere geschäftsbezogene Klauseln aufzunehmen, die sie für vertragsrelevant halten, sofern diese nicht im Widerspruch zu den Standardvertragsklauseln stehen.
(5) Diese Entscheidung sollte die nationalen Genehmigungen unberührt lassen, die von den Mitgliedstaaten nach ihren eigenen Rechtsvorschriften zur Umsetzung von Artikel 26 Absatz 2 der Richtlinie 95/46/EG erteilt werden können. Diese Entscheidung hat lediglich die Wirkung, dass die Mitgliedstaaten die hier aufgeführten Vertragsklauseln als angemessene Garantien anerkennen müssen, und lässt daher andere Vertragsklauseln unberührt.
(6) Diese Entscheidung beschränkt sich darauf festzulegen, dass die aufgeführten Vertragsklauseln von einem für die Datenverarbeitung Verantwortlichen, der in der Gemeinschaft ansässig ist, angewandt werden können, um nach Artikel 26 Absatz 2 der Richtlinie 95/46/EG angemessene Garantien für die Übermittlung personenbezogener Daten an einen Auftragsverarbeiter, der in einem Drittland ansässig ist, zu gewährleisten.
(7) Diese Entscheidung sollte die Verpflichtung gemäß Artikel 17 Absatz 3 der Richtlinie 95/46/EG durchführen und lässt den Inhalt eines solchen Vertrags beziehungsweise Rechtsakts unberührt. Einige der Standardvertragsklauseln, vor allem diejenigen bezüglich der Pflichten des Datenexporteurs, sollten übernommen werden, um die Bestimmungen zu verdeutlichen, die in einem Vertrag zwischen einem für die Datenverarbeitung Verantwortlichen und einem Auftragsverarbeiter aufgenommen werden können.
(8) Die Kontrollstellen der Mitgliedstaaten spielen eine Schlüsselrolle in diesem Vertragsmechanismus, weil sie sicherstellen, dass personenbezogene Daten nach der Übermittlung angemessen geschützt werden. In Ausnahmefällen, in denen Datenexporteure es ablehnen oder nicht in der Lage sind, dem Datenimporteur angemessene Anweisungen zu geben und in denen eine hohe Wahrscheinlichkeit besteht, dass der betroffenen Person ein schwerwiegender Schaden entsteht, sollten die Standardvertragsklauseln es den Kontrollstellen ermöglichen, Datenimporteure zu prüfen und gegebenenfalls Entscheidungen zu treffen, denen Datenimporteure Folge leisten müssen. Die Kontrollstellen sollten befugt sein, eine Datenübermittlung oder eine Reihe von Datenübermittlungen auf der Grundlage der Standardvertragsklauseln zu untersagen oder zurückzuhalten; dies gilt für jene Ausnahmefälle, für die feststeht, dass sich eine Übermittlung auf Vertragsbasis wahrscheinlich sehr nachteilig auf die Garantien und Pflichten auswirkt, die den betroffenen Personen angemessenen Schutz bieten sollen.
(9) Die Kommission könnte zukünftig ferner überlegen, ob Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Datenverarbeiter in Drittländern, die kein angemessenes Datenschutzniveau gewährleisten und die von Industrieverbänden oder anderen interessierten Parteien vorgelegt werden, angemessene Garantien im Sinne von Artikel 26 Absatz 2 der Richtlinie 95/46/EG bieten.
(10) Die Weitergabe personenbezogener Daten an einen Datenverarbeiter, der außerhalb der Gemeinschaft ansässig ist, stellt eine internationale Datenübermittlung dar, die nach Kapitel IV der Richtlinie 95/46/EG geschützt ist. Diese Entscheidung betrifft nicht die Übermittlung personenbezogener Daten durch für die Verarbeitung Verantwortliche, die in der Gemeinschaft ansässig sind, an für die Verarbeitung Verantwortliche außerhalb der Gemeinschaft, die nach der Richtlinie 95/46/EG in den Anwendungsbereich der Kommissionsentscheidung 2001/497/EG vom 15. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer fallen(4).
(11) Die Standardvertragsklauseln sollten die technischen und organisatorischen Sicherheitsmaßnahmen vorsehen, die einen Schutz gewährleisten, der den durch die Verarbeitung entstehenden Risiken und der Art der zu schützenden Daten angemessen ist, und die ein Datenverarbeiter in einem Drittland ohne angemessenes Schutzniveau anwenden muss. Die Parteien sollten diejenigen technischen und organisatorischen Maßnahmen vertraglich vorsehen, die unter Berücksichtigung des anwendbaren Datenschutzrechts, des Stands der Technik und der bei ihrer Durchführung entstehenden Kosten erforderlich sind, um personenbezogene Daten gegen die zufällige oder unrechtmäßige Zerstörung oder den zufälligen Verlust, die Änderung, die unberechtigte Weitergabe oder den unberechtigten Zugang und gegen jede andere Form der unrechtmäßigen Verarbeitung zu schützen.
(12) Zur Erleichterung des Datenflusses aus der Gemeinschaft ist es wünschenswert, dass Auftragsverarbeiter, die Dienstleistungen der Datenverarbeitung für mehrere für die Verarbeitung Verantwortliche in der Gemeinschaft erbringen, die Möglichkeit erhalten, ungeachtet des Mitgliedstaats, von dem die Datenübermittlung ausgeht, die gleichen technischen und organisatorischen Sicherheitsmaßnahmen anzuwenden, insbesondere wenn der Datenimporteur von verschiedenen Einrichtungen des Datenexporteurs in der Gemeinschaft Daten zur Weiterverarbeitung erhält; in diesem Fall sollte das Recht des Mitgliedstaats, in dem der Datenexporteur ansässig ist, Anwendung finden.
(13) Es ist angebracht, die Mindestinformationen festzulegen, die von den Parteien in dem Vertrag über die Übermittlung mitgeteilt werden müssen. Die Mitgliedstaaten sollten weiterhin befugt sein, die Informationen im Einzelnen zu benennen, die von den Parteien vorgelegt werden müssen. Die Umsetzung dieser Entscheidung sollte im Lichte der Erfahrung geprüft werden.
(14) Der Datenimporteur sollte die übermittelten personenbezogenen Daten nur im Auftrag des Datenexporteurs und entsprechend dessen Anweisungen sowie den in den Klauseln enthaltenen Pflichten verarbeiten. Der Datenimporteur sollte die personenbezogenen Daten nur unter bestimmten Bedingungen an Dritte weitergeben. Der Datenexporteur sollte den Datenimporteur während der Dauer der Datenverarbeitungsdienste anweisen, die Daten gemäß seinen Anweisungen, dem anwendbaren Datenschutzrecht und den in den Klauseln beschriebenen Pflichten zu verarbeiten. Die Übermittlung personenbezogener Daten an Auftragsverarbeiter, die außerhalb der Gemeinschaft ansässig sind, berührt nicht die Tatsache, dass die Verarbeitung in jedem Fall unter das anwendbare Datenschutzrecht fällt.
(15) Die Standardvertragsklauseln sollten durchsetzbar sein, und zwar nicht nur von den Organisationen, die Vertragsparteien sind, sondern auch von den betroffenen Personen, insbesondere wenn ihnen als Folge eines Vertragsbruchs Schaden entsteht.
(16) Die betroffene Person sollte berechtigt sein, gegen den Datenexporteur, der für die Verarbeitung der übermittelten personenbezogenen Daten verantwortlich ist, Schritte einzuleiten und von diesem gegebenenfalls Schadensersatz zu verlangen. In Ausnahmefällen sollte die betroffene Person auch berechtigt sein, Schritte gegen den Datenimporteur einzuleiten und von diesem gegebenenfalls Schadensersatz zu verlangen wegen Verstoßes des Datenimporteurs gegen dessen in Klausel 3 Absatz 2 genannte Pflichten, und zwar wenn das Unternehmen des Datenexporteurs sich tatsächlich aufgelöst hat oder rechtlich aufgehört hat zu bestehen.
(17) Wird eine Auseinandersetzung zwischen einem Datenimporteur, der sich auf die Drittbegünstigtenklausel beruft, und dem Datenimporteur nicht gütlich beigelegt, sollte sich der Datenimporteur verpflichten, der betroffenen Person die Wahl zwischen einem Schlichtungs- oder Schiedsverfahren oder einem Gerichtsverfahren anzubieten. Die tatsächlichen Wahlmöglichkeiten der betroffenen Person hängen von dem Vorhandensein zuverlässiger und anerkannter Schlichtungs- und Schiedssysteme ab. Falls die Kontrollstelle des Mitgliedstaats, in dem der Datenexporteur ansässig ist, zur Schlichtung bereit ist, sollte diese Möglichkeit angeboten werden.
(18) Auf den Vertrag ist das Recht des Mitgliedstaats anzuwenden, in dem der Datenexporteur ansässig ist und das es einem Drittbegünstigten ermöglicht, die Einhaltung des Vertrags durchzusetzen. Betroffene Personen sollten, wenn sie dies wünschen und das nationale Recht es zulässt, von Vereinigungen oder sonstigen Einrichtungen vertreten werden können.
(19) Die Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die durch Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine Stellungnahme zu dem Schutzniveau abgegeben, das die der Entscheidung beiliegenden Standardvertragsklauseln bieten; die Stellungnahme wurde bei der Erarbeitung dieser Entscheidung berücksichtigt(5).
(20) Die in dieser Entscheidung enthaltenen Maßnahmen stimmen mit der Stellungnahme des Ausschusses überein, der durch Artikel 31 der Richtlinie 95/46/EG eingesetzt wurde -
HAT FOLGENDE ENTSCHEIDUNG ERLASSEN:
Artikel 1
Die Standardvertragsklauseln im Anhang gelten als angemessene Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten der Personen sowie hinsichtlich der Ausübung der damit verbundenen Rechte im Sinne von Artikel 26 Absatz 2 der Richtlinie 95/46/EG.
Artikel 2
Diese Entscheidung betrifft ausschließlich die Angemessenheit des Schutzes, der durch die im Anhang aufgeführten Standardvertragsklauseln bei der Übermittlung personenbezogener Daten gewährleistet wird. Die Anwendung anderer nationaler Vorschriften zur Durchführung der Richtlinie 95/46/EG, die sich auf die Verarbeitung personenbezogener Daten in den Mitgliedstaaten beziehen, bleibt davon unberührt.
Die vorliegende Entscheidung betrifft die Übermittlung personenbezogener Daten durch für die Verarbeitung Verantwortliche, die in der Gemeinschaft ansässig sind, an Empfänger außerhalb der Gemeinschaft, die nur als Auftragsverarbeiter fungieren.
Artikel 3
In Rahmen dieser Entscheidung
a) gelten die Begriffsbestimmungen der Richtlinie 95/46/EG;
b) bezeichnet der Begriff "besondere Datenkategorien" die in Artikel 8 dieser Richtlinie genannten Daten;
c) bezeichnet der Begriff "Kontrollstelle" die in Artikel 28 dieser Richtlinie genannte Stelle;
d) bezeichnet der Begriff "Datenexporteur" den für die Verarbeitung Verantwortlichen, der die personenbezogenen Daten übermittelt;
e) bezeichnet der Begriff "Datenimporteur" den in einem Drittland ansässigen Verarbeiter, der sich bereit erklärt, vom Datenexporteur dessen Anweisungen und den Vorschriften dieser Entscheidung entsprechend Daten entgegenzunehmen, die nach der Übermittlung in dessen Auftrag verarbeitet werden sollen, und der nicht dem System eines Drittlands unterliegt, das ein angemessenes Schutzniveau bietet;
f) bezeichnet der Begriff "anwendbares Datenschutzrecht" die Vorschriften zum Schutz der Grundrechte und -freiheiten natürlicher Personen, insbesondere des Rechts auf Schutz der Privatsphäre im Hinblick auf die Verarbeitung personenbezogener Daten, die in dem Land, in dem der Datenexporteur ansässig ist, auf den für die Verarbeitung Verantwortlichen anzuwenden sind;
g) bezeichnet der Begriff "technische und organisatorische Sicherheitsmaßnahmen" Maßnahmen, die personenbezogene Daten vor der zufälligen oder unrechtmäßigen Zerstörung, dem zufälligen Verlust, der Änderung, der unberechtigten Weitergabe oder dem unberechtigten Zugang, insbesondere wenn die Verarbeitung die Übermittlung der Daten über ein Netzwerk umfasst, und gegen jede andere Form der unrechtmäßigen Verarbeitung schützen sollen.
Artikel 4
(1) Unbeschadet ihrer Befugnisse, tätig zu werden, um die Einhaltung nationaler Vorschriften gemäß den Kapiteln II, III, V und VI der Richtlinie 95/46/EG zu gewährleisten, können die zuständigen Kontrollstellen in den Mitgliedstaaten ihre bestehenden Befugnisse ausüben, indem sie zum Schutz von Privatpersonen in Bezug auf die Verarbeitung ihrer personenbezogenen Daten die Datenübermittlung in Drittländer verbieten oder aussetzen, wenn
a) feststeht, dass der Datenimporteur nach den für ihn geltenden Rechtsvorschriften Anforderungen unterliegt, die ihn zwingen, vom anwendbaren Datenschutzrecht in einem Maß abzuweichen, das über die Beschränkungen hinausgeht, die im Sinne von Artikel 13 der Richtlinie 95/46/EG für eine demokratische Gesellschaft erforderlich sind, und dass sich diese Anforderungen wahrscheinlich sehr nachteilig auf die Garantien auswirken würden, die das anwendbare Datenschutzrecht und die Standardvertragsklauseln bieten, oder
b) eine zuständige Behörde festgestellt hat, dass der Datenimporteur die Vertragsklauseln im Anhang nicht einhält, oder
c) eine hohe Wahrscheinlichkeit besteht, dass die im Anhang enthaltenen Standardvertragsklauseln derzeit oder künftig nicht eingehalten werden und die Fortsetzung der Übermittlung den betroffenen Personen einen schwerwiegenden Schaden zufügen würde.
(2) Das Verbot oder die Aussetzung gemäß Absatz 1 wird aufgehoben, sobald die Gründe für das Verbot oder die Aussetzung nicht mehr vorliegen.
(3) Sobald die Mitgliedstaaten Maßnahmen gemäß den Absätzen 1 und 2 ergreifen, informieren sie unverzüglich die Kommission, die ihrerseits die Informationen an die anderen Mitgliedstaaten weiterleitet.
Artikel 5
Die Kommission bewertet drei Jahre, nachdem sie den Mitgliedstaaten diese Entscheidung bekannt gegeben hat, anhand der verfügbaren Informationen ihre Durchführung. Sie legt dem durch Artikel 31 der Richtlinie 95/46/EG eingesetzten Ausschuss einen Bericht über ihre Feststellungen vor. Hierzu gehören auch sämtliche Erkenntnisse, die die Beurteilung der Angemessenheit der im Anhang enthaltenen Standardvertragsklauseln berühren könnten sowie etwaige Belege dafür, dass die Entscheidung in diskriminierender Weise angewandt wird.
Artikel 6
Diese Entscheidung gilt ab dem 3. April 2002.
Artikel 7
Diese Entscheidung ist an alle Mitgliedstaaten gerichtet.
Brüssel, den 27. Dezember 2001
Id-Deċiżjoni tal-Kummissjoni
tas-27 ta' Diċembru 2001
dwar klawsoli kuntrattwali standard għat-trasferiment ta' data personali għall-proċessuri stabbiliti f'pajjiżi terzi, taħt id-Direttiva 95/46/KE
(notifikata taħt id-dokument numru K(2001) 4540)
(Test b'relevanza għaż-ŻEE)
(2002/16/KE)
IL-KUMMISSJONI TAL-KOMUNITAJIET EWROPEJ
Wara li kkunsidrat it-Trattat li jistabbilixxi l-Komunità Ewropea,
Wara li kkunsidrat id-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill ta' l-24 ta' Ottubru 1995 dwar il-ħarsien ta' individwi fir-rigward ta' l-ipproċessar ta' data personali u l-moviment liberu ta' dik id-data [1], u b'mod partikolari Artikolu 26(4) tagħha,
Billi:
(1) Skond id-Direttiva 95/46/KE l-Istati Membri huma meħtieġa jistabbilixxu li t-trasferiment ta' data personali lejn pajjiż terz jista’ jseħħ biss jekk il-pajjiż terz in kwistjoni jiżgura livell adegwat ta' protezzjoni tad-data u kemm-il darba l-liġijiet ta' l-Istati Membri, li għandhom jikkonformaw mad-dispożizzjonijiet l-oħrajn tad-Direttiva, jiġu rispettati qabel ma jsir it-trasferiment.
(2) Madanakollu, Artikolu 26(2) tad-Direttiva 95/46/KE jistabbilixxi li l-Istati Membri jistgħu jawtorizzaw, suġġett għal ċerti salvagwardji, it-trasferiment jew għadd ta' trasferimenti ta' data personali lejn pajjiżi terzi li ma jiżgurawx livell adegwat ta' protezzjoni. Dawn is-salvagwardji jistgħu b'mod partikolari jirriżultaw minn klawsoli kuntrattwali approprjati.
Skond id-Direttiva 95/46/KE il-livell ta' protezzjoni ta' data għandu jiġi evalwat fid-dawl taċ-ċirkostanzi kollha madwar l-operazzjoni ta' trasferiment ta' data jew għadd ta' operazzjonijiet ta' trasferiment ta' data. Il-Grupp tax-Xogħol dwar il-Protezzjoni ta' l-Individwi għar-rigward ta' l-Ipproċessar ta' Data Personali stabbilit taħt dik id-Direttiva [2] ħarġet linji ta' gwida sabiex tgħin bl-evalwazzjoni [3].
(4) Il-klawsoli kuntrattwali standard għandhom x'jaqsmu biss mal-protezzjoni tad-data. L-esportatur tad-data u l-importatur tad-data huma ħielsa li jinkludu kull klawsola oħra dwar ħwejjeġ li għandhom x'jaqsmu man-negozju li huma jqisu bħala pertinenti għall-kuntratt kemm-il darba dawn ma jmorrux kontra l-klawsoli kuntrattwali standard.
(5) Din id-Deċiżjoni għandha tkun mingħajr preġudizzju għall-awtorizzazzjonijiet nazzjonali li l-Istati Membri jistgħu jagħtu skond id-dispożizzjonijiet nazzjonali li jimplimentaw Artikolu 26(2) tad-Direttiva 95/46/KE. Din id-Deċiżjoni għandha biss l-effett li teħtieġ li l-Istati Membri ma jirrifjutawx li jagħrfu li l-klawsoli kuntrattwali li jinsabu fiha jagħtu salvagwardji adegwati u għaldaqstant m'għandha ebda effett fuq klawsoli kuntrattwali oħrajn.
(6) Il-qasam ta' applikazzjoni ta' din id-Deċiżjoni huma illimitat biex jistabbilixxi li l-klawsoli li hija tistabbilixxi jistgħu jintużaw minn kontrollur tad-data stabbilit ġewwa l-Komunità sabiex idaħħal salvagwardji adegwati skond it-tifsira ta' Artikolu 26(2) tad-Direttiva 95/46/KE għat-trasferiment ta' data personali lil proċessur stabbilit f'pajjiż terz.
(7) Din id-Deċiżjoni għandha timplimenta l-obbligu stabbilit f'Artikolu 17(3) tad-Direttiva 95/46/KE u ma tippreġudikax il-kontenut tal-kuntratti jew l-atti legali stabbiliti skond dik id-dispożizzjoni. Madanakollu, xi wħud mill-klawsoli kuntrattwali standard, b'mod partikolari fir-rigward ta' l-obbligi ta' l-esportatur tad-data, għandhom jiġu inklużi sabiex tiżdied iċ-ċarezza dwar id-dispożizzjonijiet li jistgħu jkunu jinsabu f'kuntratt bejn kontrollur u proċessur.
(8) L-awtoritajiet ta' sorveljanza ta' l-Istati Membri għandhom sehem essenzjali f'dan il-mekkaniżmu kuntrattwali sabiex jiżguraw li d-data personali tiġi mħarsa b'mod adegwat wara t-trasferiment. F'każijiet eċċezzjonali meta l-esportaturi tad-data ma jkunux kapaċi jagħtu struzzjonijiet kif suppost lill-importatur tad-data, bir-riskju imminenti ta' ħsara serja lis-soġġetti tad-data, il-klawsoli kuntrattwali standard għandhom jippermettu lill-awtoritajiet kuntrattwali sabiex jivverifikaw lill-importaturi tad-data u, fejn xieraq, jieħdu deċisjonijiet li jorbtu lill-importaturi tad-data. L-awtoritajiet ta' sorveljanza għandu jkollhom is-setgħa li jipprojbixxu jew jissospendu t-trasferiment ta' data jew għadd ta' trasferimenti ibbażati fuq il-klawsoli kuntrattwali standard f'dawk il-każijiet eċċezzjonali meta jiġi stabbilit li trasferiment fuq bażi kuntrattwali aktarx ikollu effett negattiv fuq il-garanziji u l-obbligi li jipprovdu protezzjoni adegwata għas-soġġett tad-data.
(9) Il-Kummissjoni tista’ tikkunsidra wkoll fil-ġejjieni jekk il-klawsoli kuntrattwali standard għat-trasferiment ta' data personali lill-proċessuri ta' data stabbiliti f'pajjiżi terzi li ma joffrux livell adegwat ta' protezzjoni ta' data, sottomessi minn organizzazzjonijiet kummerċjali jew partijiet interessati oħrajn, joffrux salvagwardji adegwati skond Artikolu 26(2) tad-Direttiva 95/46/KE.
(10) Il-kxif ta' data personali lil proċessur tad-data stabbilit barra l-Komunità huwa trasferiment internazzjonali protett taħt il-Kapitolu IV tad-Direttiva 95/46/KE. Għaldaqstant, din id-Deċiżjoni ma tkoprix it-trasferiment ta' data personali minn kontrolluri stabbiliti ġewwa l-Komunità lil kontrolluri stabbiliti barra l-Komunità li jaqgħu taħt id-Deċiżjoni tal-Kummissjoni 2001/497/KE tal-15 ta' Ġunju 2001 dwar klawsoli kuntrattwali standard għat-trasferiment ta' data personali lil pajjiżi terzi, taħt id-Direttiva 95/46/KE [4].
(11) Il-klawsoli kuntrattwali standard għandhom jistabbilixxu miżuri ta' sigurtà tekniċi u organizzattivi li jiżguraw livell ta' sigurtà approprjat għar-riskji li jinħolqu mill-ipproċessar u n-natura tad-data li trid tiġi protetta li għandhom jiġu applikati mill-proċessur tad-data stabbilit f'pajjiż terz li ma jipprovdix protezzjoni adegwata.
(12) Sabiex titħaffef ċ-ċirkolazzjoni ta' data mill-Komunità, huwa mixtieq li l-proċessuri li jipprovdu servizzi ta' l-ipproċessar tad-data lil bosta kontrolluri tad-data fil-Komunità jitħallew japplikaw l-istess miżuri ta' sigurtà tekniċi u organizzattivi irrispettivament mill-Istat Membru li minnu joriġina t-trasferiment tad-data, b'mod partikolari f'dawk il-każijiet meta l-importatur tad-data jirċievi data għall-ipproċessar ulterjuri minn diversi stabbilimenti ta' l-esportatur tad-data ġewwa l-Komunità, f'liema każ għandha tapplika l-liġi ta' l-Istat Membru ta' l-istabbiliment nominat.
(13) Huwa xieraq li tiġi stabbilita l-informazzjoni minima li l-partijiet għandhom jispeċifikaw fil-kuntratt tat-trasferiment. L-Istati Membri għandhom iżommu s-setgħa li jippartikularizzaw l-informazzjoni li l-partijiet huma meħtieġa jipprovdu. Il-mod kif taħdem din id-Deċiżjoni għandu jiġi rivedut fid-dawl ta' l-esperjenza.
(14) L-importatur tad-data għandu jipproċessa d-data personali trasferita biss f'isem l-esportatur tad-data biss u skond l-istruzzjonijiet tiegħu u l-obbligi li jinsabu fil-klawsoli. B'mod partikolari l-importatur tad-data m'għandux jikxef d-data personali lil parti terza ħlief jekk mhux skond ċerti kondizzjonijiet. L-esportatur tad-data għandu jagħti struzzjonijiet lill-importatur tad-data matul il-ħin meta jkunu qegħdin jingħataw is-servizzi ta' l-ipproċessar tad-data sabiex jipproċessa d-data skond l-istruzzjonijiet tiegħu, skond il-liġijiet tal-protezzjoni tad-data applikabbli u l-obbligi li jinsabu fil-klawsoli. It-trasferiment ta' data personali lil proċessuri stabbiliti barra l-Komunità ma jippreġudikax il-fatt li l-attivitajiet ta' l-ipproċessar għandhom ikunu f'kull każ regolati mill-liġi tal-protezzjoni tad-data applikabbli.
(15) Il-klawsoli kuntrattwali standard għandhom ikunu inforzabbli mhux biss mill-organizzazzjonijiet li huma partijiet kontraenti, imma wkoll mis-suġġetti tad-data, b'mod partikolari meta s-suġġetti tad-data jsofru danni b'konsegwenza ta' ksur tal-kuntratt.
(16) Is-suġġett tad-data għandu jkun intitolat jieħu azzjoni u, fejn approprjat, jirċievi kumpens mingħand l-esportatur tad-data li huwa l-kontrollur tad-data personali trasferita. F'każijiet eċċezzjonali, is-suġġett tad-data għandu jkun intitolat ukoll biex jieħu azzjoni, u fejn approprjat, jirċievi kumpens mingħand l-importatur tad-data f'dawk il-każijiet, li jirriżultaw minn ksur minn naħa ta' l-importatur tad-data ta' xi wieħed mill-obbligi tiegħu msemmija fit-tieni paragrafu tal-klawsola 3, meta l-esportatur tad-data jkun fil-fatt għeb jew ma jkunx għadu jeżisti legalment jew ikun falla.
(17) F'każ ta' tilwima bejn suġġett tad-data, li jiċċita l-klawsola tal-parti terza benefiċjarja u l-importatur tad-data, meta ma jintlaħaqx ftehim bonarju, l-importatur tad-data għandu jaqbel li jipprovdi lis-suġġett tad-data b'għażla bejn medjazzjoni, arbitraġġ jew litigazzjoni. L-għażla tas-suġġett tkun effettiva skond kemm huma disponibbli sistemi affidabbli u rikonoxxuti ta' medjazzjoni u arbitraġġ. Il-medjazzjoni mill-awtoritajiet ta' sorveljanza tal-protezzjoni tad-data fejn l-esportatur tad-data huwa stabbilit għandha tkun possibiltà meta dawn jipprovdu dan is-servizz.
(18) Il-kuntratt għandu jkun irregolat mil-liġi ta' l-Istat Membru fejn l-esportatur tad-data huwa stabbilit b’mod li parti terza benefiċjarja tkun tista tinforza kuntratt. Is-suġġetti tad-data għandhom jitħallew jiġi rappreżentati minn assoċjazzjonijiet jew korpi oħrajn jekk huma jkunu jixtiequ hekk u jekk dan ikun awtorizzat mill-liġi nazzjonali.
(19) Il-Grupp tax-Xogħol dwar il-Protezzjoni ta' l-Individwi għar-rigward ta' l-ipproċessar ta' Data Personali stabbilit taħt Artikolu 29 tad-Direttiva 95/46/KE ħareġ opinjoni dwar il-livell ta' protezzjoni mogħti taħt il-klawsoli kuntrattwali standard annessi ma’ din id-Deċiżjoni, li ġiet meqjusa waqt it-tħejjija ta' din id-Deċiżjoni [5].
(20) Il-miżuri stabbiliti minn din id-Deċiżjoni huma skond l-opinjoni tal-Kumitat stabbilit taħt Artikolu 31 tad-Direttiva 95/46/KE,
ADOTTAT DIN ID-DEĊIŻJONI:
Artikolu 1
Il-klawsoli kuntrattwali standard stabbiliti fl-Anness huma meqjusa li joffru salvagwardji adegwati fir-rigward tal-protezzjoni tal-privatezza u d-drittijiet u l-libertajiet fundamentali ta' l-individwi fir-rigward ta' l-eżerċizzju tad-drittijiet relativi kif meħtieġ minn Artikolu 26(2) tad-Direttiva 95/46/KE.
Artikolu 2
Din id-Deċiżjoni tirrigwarda biss l-adegwatezza tal-protezzjoni mogħtija mill-klawsoli kuntrattwali standard stabbiliti fl-Anness għat-trasferiment ta' data personali lill-proċessuri. Ma taffettwax l-applikazzjoni ta' dispożizzjonijiet nazzjonali oħrajn li jimplimentaw id-Direttiva 95/46/KE li huma relatati ma’ l-ipproċessar ta' data personali ġewwa l-Istati Membri.
Din id-Deċiżjoni għandha tapplika għat-trasferiment ta' data personali minn kontrolluri stabbiliti ġewwa l-Komunità lil reċipjenti stabbiliti barra t-territorju tal-Komunità li jaġixxu biss bħala proċessuri.
Artikolu 3
Għall-għanijiet ta' din id-Deċiżjoni:
(a) id-definizzjonijiet fid-Direttiva 95/46/KE għandhom japplikaw;
(b) "kategoriji speċjali ta' data" tfisser id-data msemmija f'Artikolu 8 ta' dik id-Direttiva;
(ċ) "awtorità ta' sorveljanza" tfisser l-awtorità msemmija f'Artikolu 28 ta' dik id-Direttiva;
(d) "esportatur tad-data" tfisser il-kontrollur li jitrasferixxi d-data personali;
(e) "importatur tad-data" tfisser il-proċessur stabbilit f'pajjiż terz li jaqbel li jirċievi data personali mingħand l-esportatur tad-data li hija maħsuba għall-ipproċessar f'isem l-esportatur tad-data wara t-trasferiment skond l-istruzzjonijiet tiegħu u skond din id-Deċiżjoni u li m'huwiex soġġett għal sistema ta' pajjiż terzi li tiżgura protezzjoni adegwata;
(f) "liġi tal-protezzjoni tad-data applikabbli" tfisser il-leġislazzjoni li tipproteġi d-drittijiet u l-libertajiet fundamentali ta' persuni fisiċi u, b'mod partikolari, id-dritt tagħhom għall-privatezza fir-rigward ta' l-ipproċessar ta' data personali applikabbli għal kontrollur tad-data fl-Istat Membru fejn l-esportatur tad-data huwa stabbilit;
(ġ) "miżuri ta' sigurtà tekniċi u organizzattivi" tfisser dawk il-miżuri mmirati biex jipproteġu d-data personali kontra l-qerda aċċidentali jew illegali jew kontra t-telf, il-bdil, il-kxif mingħajr awtorizzazzjoni jew l-aċċess aċċidentali, b'mod partikolari meta l-ipproċessar jinvolvi t-trasmissjoni ta' data fuq network, u kontra kull forma oħra proċessar illegali.
Artikolu 4
1. Mingħajr preġudizzju għall-poteri tagħhom biex jieħdu azzjoni sabiex jiżguraw konformità mad-dispożizzjonijiet nazzjonali adottati skond il-Kapitoli II, III, V u VI tad-Direttiva 95/46/KE, l-awtoritajiet kompetenti fl-Istati Membri jistgħu jeżerċitaw il-poteri eżistenti tagħhom biex jipprojbixxu jew jissospendu ċ-ċirkolazzjoni ta' data lil pajjiżi terzi sabiex jipproteġu lill-individwi fir-rigward ta' l-ipproċessar tad-data personali tagħhom f'każijiet fejn:
(a) huwa stabbilit li l-liġi li għaliha l-importatur tad-data huwa soġġett timponi fuqu rekwiżiti li jidderoga mil-liġi dwar il-protezzjoni tad-data applikabbli li jmorru lil hinn mir-restrizzjonijiet meħtieġa f'soċjetà demokratika kif stabbilit f'Artikolu 13 tad-Direttiva 95/46/KE meta dawk ir-restrizzjonijiet aktarx ikollhom effett negattiv sostanzjali fuq il-garanziji mogħtija mil-liġi dwar il-protezzjoni tad-data applikabbli u l-klawsoli kuntrattwali standard; jew
(b) awtorità kompetenti tkun stabbiliet li l-importatur tad-data ma jkunx irrispetta l-klawsoli kuntrattwali fl-Anness; jew
(ċ) ikun hemm probbabiltà sostanzjali li l-klawsoli kuntrattwali standard fl-Anness m'humiex qegħdin jiġu mħarsa jew m'humiex sejrin jiġu mħarsa u l-issoktar tat-trasferiment jista’ joħloq riskju imminenti ta' ħsara gravi lis-suġġetti tad-data.
2. Il-projbizzjoni jew is-sospenzjoni skond il-paragrafu 1 għandhom jitneħħew malli r-raġunijiet għas-sospenzjoni jew għal-projbizzjoni ma jibqgħux jeżistu.
3. Meta l-Istati Membri jadottaw miżuri skond il-paragrafi 1 u 2, huma għandhom, mingħajr dewmien, jgħarrfu lill-Kummissjoni li għandha tgħaddi l-informazzjoni lill-Istati Membri l-oħra.
Artikolu 5
Il-Kummissjoni għandha tevalwa l-mod kif taħdem din id-Deċiżjoni fuq il-bażi ta' l-informazzjoni disponibbli tlett snin wara li tiġi notifikata lill-Istati Membri. Hija għandha tissottometti rapport dwar is-sejbiet tagħha lill-Kumitat stabbilit taħt Artikolu 31 tad-Direttiva 95/46/KE. Hija għandha tinkludi kull xiehda li tista’ taffettwa l-evalwazzjoni li tirrigwarda l-adegwatezza tal-klawsoli kuntrattwali standard fl-Anness u kull xiehda li din id-Deċiżjoni qiegħda tiġi applikata b'mod diskriminatorju.
Artikolu 6
Din id-Deċiżjoni għandha tapplika mit-3 ta' April 2002.
Artikolu 7
Din id-Deċiżjoni hija indirizzata lill-Istati Membri.
Magħmula fi Brussel, fis-27 ta' Diċembru 2001.