ENTSCHEIDUNG DER KOMMISSION
vom 27. Dezember 2004
zur Änderung der Entscheidung 2001/497/EG bezüglich der Einführung alternativer Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer
(Bekannt gegeben unter Aktenzeichen K(2004) 5271)
(Text von Bedeutung für den EWR)
(2004/915/EG)
DIE KOMMISSION DER EUROPÄISCHEN GEMEINSCHAFTEN -
gestützt auf den Vertrag zur Gründung der Europäischen Gemeinschaft,
gestützt auf die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (1), insbesondere auf Artikel 26 Absatz 4,
in Erwägung nachstehender Gründe:
(1)
Um die Aufrechterhaltung der Datenströme aus der Gemeinschaft zu erleichtern, ist es wünschenswert, dass die für die Verarbeitung Verantwortlichen in der Gemeinschaft Daten weltweit auf der Grundlage derselben Datenschutzregeln übermitteln können. Solange es keine globalen Datenschutznormen gibt, sind Standardvertragsklauseln ein wichtiges Instrument, das die Übermittlung personenbezogener Daten aus allen Mitgliedstaaten nach denselben Regeln ermöglicht. Die Entscheidung 2001/497/EG der Kommission vom 15. Juni 2001 hinsichtlich Standardvertragsklauseln für die Übermittlung personenbezogener Daten in Drittländer nach der Richtlinie 95/46/EG (2) legt daher Standardvertragsklauseln fest, die angemessene Garantien für die Übermittlung von Daten in Drittländer bieten.
(2)
Seit Verabschiedung dieser Entscheidung wurden viele Erfahrungen gesammelt. Darüber hinaus haben mehrere Wirtschaftsverbände (3) gemeinsam alternative Standardvertragsklauseln entworfen, die ein Datenschutzniveau gewährleisten sollen, das dem Niveau der Standardvertragsklauseln in der Entscheidung 2001/497/EG vergleichbar ist, auch wenn dabei andere Instrumente eingesetzt werden.
(3)
Da die Verwendung von Standardvertragsklauseln bei internationalen Datenübermittlungen freiwillig erfolgt und nur eine Möglichkeit gemäß der Richtlinie 95/46/EG darstellt, personenbezogene Daten auf rechtlich zulässige Weise in ein Drittland zu übermitteln, sollte es Datenexporteuren in der Gemeinschaft und Datenimporteuren in Drittländern freistehen, Daten unter Verwendung eines der Standardverträge zu übermitteln oder aber sich auf eine andere Rechtsgrundlage zu stützen. Da jeder Standardvertrag in sich geschlossen ist, sollte es den Datenexporteuren allerdings nicht erlaubt werden, die Standardverträge zu ändern bzw. verschiedene Standardverträge miteinander zu kombinieren.
(4)
Die Standardvertragsklauseln der Wirtschaftsverbände sollen die Wirtschaftsteilnehmer zur intensiveren Nutzung von Vertragsklauseln veranlassen; zu diesem Zweck setzen sie auf Instrumente wie flexiblere Prüfungspflichten oder präzisere Regelung des Auskunftsrechts.
(5)
Als Alternative zur gesamtschuldnerischen Haftung gemäß der Entscheidung 2001/497/EG beinhaltet der nun vorgelegte Standardvertrag außerdem ein auf die Sorgfaltspflicht abstellendes Haftungssystem, das Datenexporteur und Datenimporteur gegenüber der betroffenen Person für die Verletzung ihrer jeweiligen Vertragspflichten haftbar macht; ebenso ist der Datenexporteur haftbar, wenn er sich nicht im Rahmen des Zumutbaren davon überzeugt, dass der Datenimporteur seine Rechtspflichten aus den Klauseln zu erfüllen in der Lage ist (Auswahlverschulden - culpa in eligendo), in welchem Fall die betroffene Person gerichtlich gegen den Datenexporteur vorgehen kann. Die Durchsetzung von Klausel I Buchstabe b) des neuen Standardvertrags ist in dieser Hinsicht besonders wichtig, vor allem im Hinblick auf das Recht des Datenexporteurs, Prüfungen in den Räumlichkeiten des Datenimporteurs durchzuführen oder Nachweise zu verlangen, dass dieser über genügend Finanzmittel verfügt, um seinen Verpflichtungen nachzukommen.
(6)
Für den Fall, dass die betroffene Person ihre Rechte als Drittbegünstigte ausübt, wird der Datenexporteur bei der Beschwerdeabhilfe stärker zur Verantwortung gezogen; der Datenexporteur ist nämlich verpflichtet, Kontakt zum Datenimporteur aufzunehmen und die Einhaltung der Vertragspflichten nötigenfalls innerhalb der Standardfrist von einem Monat durchzusetzen. Falls der Datenexporteur sich weigert, die Einhaltung der Vertragspflichten durchzusetzen, und der Datenimporteur seine Vertragspflichten weiter verletzt, kann die betroffene Person die Einhaltung der Klauseln gegenüber dem Datenimporteur erzwingen und ihn in einem Mitgliedstaat gerichtlich belangen. Die Anerkennung einer gerichtlichen Zuständigkeit und der Entscheidung des zuständigen Gerichts oder einer Kontrollstelle schmälert in keiner Weise die prozessualen Rechte des in einem Drittland ansässigen Datenimporteurs, z. B. sein Recht auf Einlegung von Rechtsmitteln.
(7)
Damit diese zusätzliche Flexibilität jedoch nicht missbraucht wird, erscheint es angebracht, dass die Datenschutzkontrollstellen auf der Grundlage des neuen Standardvertragsklauseltyps Datenübermittlungen leichter verbieten oder aussetzen können, falls sich der Datenexporteur weigert, gegenüber dem Datenimporteur geeignete Maßnahmen zur Durchsetzung der Vertragspflichten zu ergreifen, oder der Datenimporteur sich weigert, redlich mit den zuständigen Datenschutzkontrollstellen zusammenzuarbeiten.
(8)
Die aufgrund der Richtlinie 95/46/EG oder der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates vom 12. Juli 2002 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (4) erlassenen Vorschriften bleiben von den Standardvertragsklauseln unberührt, insbesondere was den Versand kommerzieller Kommunikation für Direktmarketingzwecke betrifft.
(9)
Auf dieser Grundlage können die Garantien, die die vorgelegten Standardvertragsklauseln beinhalten, als angemessen im Sinne von Artikel 26 Absatz 2 der Richtlinie 95/46/EG angesehen werden.
(10)
Die Gruppe für den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, die nach Artikel 29 der Richtlinie 95/46/EG eingesetzt wurde, hat eine Stellungnahme (5) zu dem Schutzniveau abgegeben, das die vorgelegten Standardvertragsklauseln bieten; diese Stellungnahme wurde bei der Ausarbeitung dieser Entscheidung berücksichtigt.
(11)
Um die Anwendung der Änderungen an der Entscheidung 2001/497/EG bewerten zu können, sollte die Kommission diese drei Jahre, nachdem sie die Mitgliedstaaten davon in Kenntnis gesetzt hat, bewerten.
(12)
Die Entscheidung 2001/497/EG sollte entsprechend geändert werden.
(13)
Die in dieser Entscheidung vorgesehenen Maßnahmen entsprechen der Stellungnahme des Ausschusses, der gemäß Artikel 31 der Richtlinie 95/46/EG eingesetzt wurde -
HAT FOLGENDE ENTSCHEIDUNG ERLASSEN:
Artikel 1
Die Entscheidung 2001/497/EG wird wie folgt geändert:
1.
In Artikel 1 wird folgender Absatz hinzugefügt:
„Die für die Verarbeitung Verantwortlichen haben die Wahl zwischen Standardvertrag I und II im Anhang. Sie dürfen die Klauseln weder ändern noch Klauseln aus beiden Verträgen miteinander kombinieren.“
2.
Artikel 4 Absätze 2 und 3 erhalten folgende Fassung:
„(2) Für die Zwecke von Absatz 1 können die zuständigen Kontrollstellen, sofern der für die Verarbeitung Verantwortliche angemessene Garantien auf der Grundlage des Standardvertrags II im Anhang geltend macht, im Rahmen ihrer Befugnisse Datenübermittlungen verbieten oder aussetzen, wenn
a)
der Datenimporteur sich weigert, mit den Datenschutzkontrollstellen redlich zusammenzuarbeiten oder eindeutige Vertragspflichten zu erfüllen;
b)
der Datenexporteur sich weigert, binnen der Regelfrist von einem Monat nach entsprechender Aufforderung durch die zuständige Kontrollstelle geeignete Maßnahmen zur Durchsetzung der Vertragspflichten gegenüber dem Datenimporteur zu ergreifen.
Eine Weigerung des Datenimporteurs zur redlichen Zusammenarbeit oder zur Durchsetzung der Vertragspflichten im Sinne von Unterabsatz 1 besteht nicht, wenn die Zusammenarbeit oder Durchsetzung zu einer Kollision mit nationalen, für den Datenimporteur verbindlichen Rechtsvorschriften führen würde und diese Vorschriften nicht über das hinausgehen, was in einer demokratischen Gesellschaft unter Zugrundelegung der in Artikel 13 Absatz 1 der Richtlinie 95/46/EG aufgeführten Interessen erforderlich ist; hierunter fallen insbesondere die Androhung von Sanktionen nach internationalem und/oder nationalem Recht, steuerrechtliche Anzeigepflichten oder Anzeigepflichten zur Bekämpfung der Geldwäsche.
Die Pflicht zur Zusammenarbeit im Sinne von Unterabsatz 1 Buchstabe a) beinhaltet für den Datenimporteur insbesondere die Bereitschaft, seine Datenverarbeitungseinrichtungen überprüfen zu lassen oder den Empfehlungen der Datenschutzkontrollstelle in der Gemeinschaft Folge zu leisten.
(3) Das Verbot oder die Aussetzung im Sinne der Absätze 1 und 2 wird aufgehoben, sobald die Gründe für das Verbot oder die Aussetzung nicht mehr vorliegen.
(4) Wenn die Mitgliedstaaten Maßnahmen gemäß den Absätzen 1, 2 und 3 ergreifen, informieren sie unverzüglich die Kommission, die ihrerseits die Informationen an die anderen Mitgliedstaaten weiterleitet.“.
3.
Artikel 5 Satz 1 erhält folgende Fassung:
„Die Kommission bewertet drei Jahre, nachdem sie den Mitgliedstaaten diese Entscheidung und etwaige Änderungen an dieser Entscheidung bekannt gegeben hat, ihre Durchführung anhand der verfügbaren Informationen.“.
4.
Der Anhang wird wie folgt geändert:
1.
Nach der Überschrift wird „STANDARDVERTRAG I“ eingefügt.
2.
Der Wortlaut des Anhangs zu dieser Entscheidung wird angefügt.
Artikel 2
Diese Entscheidung gilt ab dem 1. April 2005.
Artikel 3
Diese Entscheidung ist an die Mitgliedstaaten gerichtet.
Brüssel, den 27. Dezember 2004
DEĊIŻJONI TAL-KUMMISSJONI
tas-27 ta’ Diċembru 2004
li temenda d-Deċiżjoni 2001/497/KE fir-rigward ta’ l-introduzzjoni ta’ sett alternattiv ta’ klawżoli standard kontrattwali għat-trasferiment ta' data personali lil pajjiżi terzi
(notifikata taħt id-dokument numru C(2004) 5271)
(2004/915/KE)
IL-KUMMISSJONI TAL-KOMUNITAJIET EWROPEJ,
Wara li kkunsidrat it-Trattat li jistabbilixxi l-Komunità Ewropea,
Wara li kkunsidrat id-Direttiva 95/46/KE tal-Parlament Ewropew u tal-Kunsill ta’ l-24 ta’ Ottubru 1995 dwar il-protezzjoni ta' individwi fir-rigward tal-ipproċessar ta' data personali u dwar il-moviment liberu ta' din id-data (1), u b'mod partikolari l-Artikolu 26(4) tagħha,
Billi:
(1)
Sabiex jiġu faċilitati flussi ta’ data mill-Komunità, huwa mixtieq li kontrolluri tad-data jkunu jistgħu jwettqu trasferimenti tad-data globalment taħt sett uniku ta’ regoli ta’ protezzjoni tad-data. Fl-assenza ta’ standards għall-protezzjoni tad-data globali, klawżoli standard kontrattwali jipprovdu għodda importanti li tippermetti t-trasferiment ta’ data personali mill-Istati Membri kollha taħt sett ta’ regoli komuni. Għalhekk id-Deċiżjoni tal-Kummissjoni 2001/497/KE tal-15 ta’ Ġunju 2001 dwar klawżoli standard kontrattwali għat-trasferiment ta’ data personali lil pajjiżi terzi skond id-Direttiva 95/46/KE (2) tistabbilixxi sett mudell ta’ klawżoli standard kontrattwali li jiżgura protezzjoni adegwata għat-trasferiment ta’ data lil pajjiżi terzi.
(2)
Inkisbet ħafna esperjenza mill-adozzjoni ta’ dik id-Deċiżjoni. Barra minn hekk, koalizzjoni ta’ assoċjazzjonijiet kummerċjali (3) issottomettiet sett ta’ klawżoli standard kontrattwali alternattivi ddisinjati sabiex jipprovdu livell ta’ protezzjoni tad-data ekwivalenti għal dik provduta mis-sett ta’ klawżoli standard kontrattwali stabbilita fid-Deċiżjoni 2001/497/KE filwaqt li jużaw mekkaniżmi differenti.
(3)
Minħabba li l-użu ta’ klawżoli standard kontrattwali għal trasferimenti internazzjonali tad-data huwa volontarju minħabba li klawżoli standard kontrattwali huma possibbiltà waħda biss minn diversi possibbiltajiet skond id-Direttiva 95/46/KE, għat-trasferimenti legali ta’ data personali lejn pajjiż terz, esportaturi tad-data fil-Komunità u l-importaturi tad-data fil-pajjiżi terzi għandhom ikunu liberi li jagħżlu kwalunkwe waħda mis-settijiet tal-klawżoli standard kontrattwali, jew jagħżlu xi bażi legali oħra għat-trasferiment tad-data. Minħabba li kull sett fl-intier tiegħu jifforma mudell, l-esportaturi tad-data m’għandhomx, madankollu, jitħallew jemendaw dawn is-settijiet jew jamalgamawhom totalment jew parzjalment bi kwalunkwe mod.
(4)
Il-klawżoli standard kontrattwali sottomessi mill-assoċjazzjonijiet kummerċjali jimmiraw sabiex iżidu l-użu ta’ klawżoli kontrattwali fost l-operaturi permezz ta’ mekkaniżmi bħal rekwiżiti ta’ verifika aktar flessibbli, regoli aktar dettaljati dwar id-dritt għall-aċċess.
(5)
Barra minn hekk, bħala alternattiva għas-sistema tar-responsabbiltà in solidum provvduta fid-Deċiżjoni 2001/497/KE, is-sett sottomess issa jinkludi reġim ta’ responsabbiltà bbażat fuq obbligi tad-diliġenza kollha meħtieġa fejn l-esportatur tad-data u l-importatur tad-data jkunu responsabbli vis-à-vis is-suġġetti tad-data għall-ksur rispettiv tagħhom ta’ l-obbligi kontrattwali tagħhom; l-esportatur tad-data huwa responsabbli wkoll li ma jużax sforzi raġonevoli sabiex jiddetermina li l-importatur tad-data jista’ jissodisfa l-obbligi legali tiegħu taħt il-klawżoli (culpa in eligendo) u s-suġġett tad-data jista’ jieħu azzjoni kontra l-esportatur tad-data f’dan ir-rigward. L-infurzar ta’ klawżola I punt (b) tas-sett il-ġdid ta’ klawżoli standard kontrattwali huwa ta’ importanza partikolari f’dan ir-rigward, b’mod partikolari f’konnessjoni mal-possibbiltà li l-esportatur tad-data jwettaq verifiki fuq il-bini ta’ l-importaturi tad-data jew li jitlob evidenza ta’ risorsi finanzjarji suffiċjenti sabiex jissodisfa r-responsabbiltajiet tiegħu.
(6)
Fir-rigward ta’ l-eżerċizzju tad-drittijiet tal-parti terza benefiċjarja mis-suġġetti tad-data, involviment akbar ta’ l-esportatur tad-data fir-riżoluzzjoni ta’ l-ilmenti tas-suġġetti tad-data hija provvduta, fejn l-esportatur tad-data jkun obbligat li jagħmel kuntatt ma’ l-importatur tad-data u, jekk ikun meħtieġ, jinforza l-kuntratt fil-perjodu normali ta’ xahar. Jekk l-esportatur tad-data jirrifjuta li jinforza l-kuntratt u l-ksur mill-importatur tad-data jkompli, is-suġġett tad-data jista’ mbagħad jinforza l-klawżoli kontra l-importatur tad-data u eventwalment ifittxu fi Stat Membru. Din l-aċċettazzjoni ta’ ġuriżdizzjoni u l-ftehim ta’ konformità ma’ deċiżjoni ta’ qorti kompetenti jew awtorità ta’ protezzjoni tad-data ma tippreġudikax kwalunkwe dritt proċedurali ta’ l-importaturi tad-data stabbiliti f’pajjiżi terzi, bħal m’huma d-drittijiet ta’ appell.
(7)
Sabiex, madankollu, jiġu evitati abbużi minħabba f’din il-flessibbiltà addizzjonali, huwa xieraq li jiġi provdut li l-awtoritajiet tal-protezzjoni tad-data jistgħu jipprojbixxu jew jissospendu aktar faċilment trasferimenti tad-data ibbażati fuq is-sett ġdid ta’ klawżoli standard kontrattwali f’dawk il-każijiet fejn l-esportatur tad-data jirrifjuta lil jieħu l-passi xierqa sabiex jinforza l-obbligi kontrattwali kontra l-importatur tad-data jew dan ta’ l-aħħar jirrifjuta li jikkoopera f’bona fede ma’ l-awtoritajiet ta’ sorveljanza kompetenti tal-protezzjoni tad-data.
(8)
L-użu tal-klawżoli standard kontrattwali ser isir bla preġudizzju għall-applikazzjoni tad-dispożizzjonijiet nazzjonali adottati skond id-Direttiva 95/46/KE jew id-Direttiva 2002/58/KE (4) dwar l-ipproċessar tad-data personali u l-protezzjoni tal-privatezza fis-settur tal-komunikazzjoni elettronika (Direttiva dwar il-privatezza u l-komunikazzjoni elettronika), b’mod partikolari safejn huwa kkonċernat komunikazzjonijiet kummerċjali meta jintbagħtu għall-finijiet ta’ marketing dirett.
(9)
Fuq dik il-bażi, is-salvagwardji li jinsabu fil-klawżoli standard kontrattwali jistgħu jitqiesu bħala adegwati fis-sens ta’ l-Artikolu 26(2) tad-Direttiva 95/46/KE.
(10)
Il-Kumitat ta’ Ħidma għall-Protezzjoni ta' Individwi fir-rigward ta' l-ipproċessar ta' Data Personali stabbilit taħt l-Artikolu 29 tad-Direttiva 95/46/KE ta opinjoni (5) fuq il-livell ta' protezzjoni provdut taħt il-klawżoli standard kontrattwali sottomessi li ġew ikkunsidrati.
(11)
Sabiex jiġi stmat it-tħaddim ta’ l-emendi għad-Deċiżjoni 2001/497/KE, huwa xieraq li l-Kummissjoni tevalwahom tliet snin wara n-notifika tagħhom lill-Istati Membri.
(12)
Id-Deċiżjoni 2001/497/KE għandha tiġi emendata skond dan.
(13)
Il-miżuri previsti f'din id-Deċiżjoni huma skond l-opinjoni tal-Kumitat stabbilit taħt l-Artikolu 31 tad-Direttiva 95/46/KE,
ADOTTAT DIN ID-DEĊIŻJONI:
Artikolu 1
Id-Deċiżjoni 2001/497/KE tiġi emendata kif ġej:
1.
Fl-Artikolu 1 għandu jiżdied il-paragrafu li ġej:
“Il-kontrolluri tad-data jistgħu jagħżlu wieħed mis-settijiet I jew II fl-Anness. Madankollu, ma jistgħux jemendaw il-klawżoli jew igħaqqdu klawżoli individwali jew is-settijiet.”
2.
Fl-Artikolu 4 il-paragrafi 2 u 3 għandhom jinbidlu b’dan li ġej:
“2. Għall-finijiet ta’ paragrafu 1, fejn il-kontrollur tad-data jressaq salvagwardji adegwati fuq il-bażi tal-klawżoli standard kontrattwali inklużi fis-set II fl-Anness, l-awtoritajiet kompetenti tal-protezzjoni tad-data huma intitolati li jeżerċitaw il-poteri eżistenti tagħhom sabiex jipprojbixxu jew jissospendu flussi ta’ data f’waħda mill-każijiet li ġejjin:
(a)
ir-rifjut min-naħa ta’ l-importatur tad-data li jikkoopera f’bona fede ma’ l-awtoritajiet tal-protezzjoni tad-data, jew li jikkonforma ma’ l-obbligi ċari tagħhom skond il-kuntratt;
(b)
ir-rifjut min-naħa ta’ l-esportatur tad-data li jieħu l-passi xierqa li jinforza l-kuntratt kontra l-importatur tad-data fil-perjodu normali ta’ xahar wara avviż mill-awtorità kompetenti tal-protezzjoni tad-data lill-esportatur tad-data.
Għall-finijiet ta’ l-ewwel sottoparagrafu r-rifjut in male fede jew ir-rifjut min-naħa ta’ l-importatur tad-data li jinforza l-kuntratt m’għandux jinkludi każijiet li fihom il-kooperazzjoni jew l-infurzar ikunu f’kunflitt ma’ rekwiżiti mandatorji tal-leġiżlazzjoni nazzjonali applikabbli għall-Importatur tad-Data li ma jmorrux lil hinn minn dak li huwa meħtieġ f’soċjetà demokratika fuq il-bażi ta’ wieħed mill-interessi elenkati fl-Artikolu 13(1) tad-Direttiva 95/46/KE, b’mod partikolari sanzjonijiet kif stabbiliti fl-għodod internazzjonali u/jew nazzjonali, ir-rekwiżiti tar-rappurtar tat-taxxa jew ir-rekwiżiti tar-rappurtar kontra l-ħasil tal-flus.
Għall-finijiet tal-punt (a) ta’ l-ewwel sottoparagrafu il-kooperazzjoni tista’ tinkludi, b’mod partikolari, is-sottomissjoni tal-faċilitajiet ta’ l-ipproċessar tad-data ta’ l-importatur tad-data għall-verifika jew l-obbligu li josserva l-parir ta’ l-awtorità ta’ sorveljanza tal-protezzjoni tad-data fil-Komunità.
3. Il-projbizzjoni jew is-sospensjoni skond il-paragrafi 1 u 2 għandhom jitneħħew malli r-raġunijiet għall-projbizzjoni jew is-sospensjoni ma jibqgħux jeżistu aktar.
4. Meta l-Istati Membri jadotta miżuri skond il-paragrafi 1, 2 u 3, huma għandhom, mingħajr dewmien, jgħarrfu lill-Kummissjoni li għandha tgħaddi l-informazzjoni lill-Istati Membri l-oħra.”
3.
Fl-Artikolu 5 l-ewwel sentenza għandha tinbidel b’dan li ġej:
“Il-Kummissjoni għandha tevalwa l-mod kif taħdem din id-Deċiżjoni fuq il-bażi ta' l-informazzjoni disponibbli tlett snin wara n-notifika tagħha u n-notifika ta’ kwalunkwe emenda għaliha lill-Istati Membri.”
4.
L-Anness jiġi emendat kif ġej:
1.
Wara t-titolu jiddaħħlu t-termini “SETT I”.
2.
Jiżdied it-test stipulat fl-Anness għal din id-Deċiżjoni.
Artikolu 2
Din id-Deċiżjoni għandha tapplika mill-1 ta’ April 2005.
Artikolu 3
Din id-Deċiżjoni hija indirizzata lill-Istati Membri.
Magħmula fi Brussell, 27 ta’ Diċembru 2004.