32002D0016
L 006/52
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2001 година
относно общите договорни клаузи за трансфера на лични данни към лицата, които ги обработват, установени в трети страни, съгласно Директива 95/46/ЕО
(нотифицирано под номер С(2001) 4540)
(текст от значение за ЕИП)
(2002/16/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО държавите-членки се задължават да следят даден трансфер на лични данни към трета страна да се извършва само ако съответната страна гарантира адекватно ниво на защита на данните и ако законите на държавите-членки, които са съобразени с другите разпоредби на директивата, се спазват преди трансфера.
(2)
Въпреки това член 26, параграф 2 от Директива 95/46/ЕО предвижда държавите-членки да могат да разрешават при известни гаранции трансфер или цялостен набор от трансфери на лични данни към трети страни, които не гарантират адекватно ниво на защита. Тези гаранции могат да произтичат главно от съответните договорни клаузи.
(3)
Съгласно Директива 95/46/ЕО нивото на защита на данните трябва да бъде преценено с оглед всички обстоятелства, отнасящи се до трансфер или категория трансфери. Групата за защита на лицата по отношение обработването на личните данни, създадена съгласно настоящата директива (2), публикува насоки за улесняване на оценката (3).
(4)
Общите договорни клаузи се отнасят само до защитата на данните и износителят и вносителят са свободни да въвеждат други клаузи от търговски характер, каквито смятат за необходими за договора при условие че те не противоречат на общите договорни клаузи.
(5)
Настоящото решение не засяга националните разрешения, които държавите-членки могат да издават съгласно националните разпоредби, като прилагат член 26, параграф 2 от Директива 95/46/ЕО. Настоящото решение има за цел единствено да задължи държавите-членки да не отказват да признават, че фигуриращите договорни клаузи предлагат адекватни гаранции и при това положение то няма действие върху други договорни клаузи.
(6)
Обхвата на настоящото решение се ограничава да установи, че клаузите, които са изброени в него, могат да бъдат използвани от администратор на лични данни, установен в Общността, за да се гарантират адекватни гаранции по смисъла на член 26, параграф 2 от Директива 95/46/ЕО за трансфера на лични данни към лице обработващо данните, установено в трета страна.
(7)
Настоящото решение следва да изпълни задължението, предвидено в член 17, параграф 3 от Директива 95/46/ЕО и не накърнява съдържанието на договори или юридически актове, установен съгласно тази разпоредба. Във всеки случай, някои общи договорни клаузи, отнасящи се по-специално към задълженията на износителя на данни, трябва да бъдат включени в целта да се увеличи яснотата относно разпоредбите, които могат да бъдат въведени в договор между администратора и лицето, обработващо данните.
(8)
Надзорните органи на държавите-членки играят ключова роля в този договорен механизъм, като гарантират адекватната защита на личните данни след трансфера. В изключителни случаи, когато износителите на данни откажат или не са в състояние да инструктират по подходящ начин вносителя на данните или когато съществува непосредствен риск от тежка вреда за засегнатите лица, общите договорни клаузи трябва да позволяват на надзорните органи да задължават вносителите на данни да проверяват и когато това се окажеуместно, да предприемат мерки, с които последните трябва да се съобразят. Надзорните органи следва да имат правомощието да забраняват или да отменят временно трансфер на данни или цялостен набор от трансфери на данни, базиран на общи договорни клаузи, в изключителните случаи, когато е установено, че трансфер, базиран на договорни условия, рискува да промени забележимо гаранциите и задълженията, предоставящи адекватно ниво на защита на съответното физическо лице.
(9)
В бъдеще Комисията може също да преценява дали общите договорни клаузи за трансфера на лични данни към лица, обработващи данните, установени в трети страни, които не предоставят адекватно ниво на защита на данните, представени от търговски организации или други заинтересовани страни, предлагат достатъчни гаранции съгласно член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Разкриването на лични данни на лице, обработващо данните, установено извън Общността, представлява защитен международен обмен по силата на Глава IV от Директива 95/46/ЕО. В резултат на това настоящата директива не покрива трансфера на лични данни, осъществяван от администраторите , установени в Общността, към лица, отговорни за обработката, установени извън Общността, които попадат в обхвата на Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (4).
(11)
Общите договорни клаузи следва да предвиждат технически и организационни мерки, гарантиращи равнище на сигурност, адаптирано към рисковете, свързани с обработката и характера на данните, които подлежат на защита, което трябва да прилага лице, обработващо данните, установено в трета страна, който не предоставя адекватно ниво на защита. Страните трябва да предвидят в договора технически и организационни мерки, които с оглед на приложимото право за защита на данните на технологично равнище и с цел прилагане са необходими за защита на личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, или всякаква друга незаконна форма на обработка.
(12)
За да се улесни потокът на данни, идващи от Общността, е желателно лицата, обработващи данните и предоставящи такива услуги на няколко администратори от Общността, да получават разрешения да прилагат същите технически и организационни мерки, свързани със сигурността, независимо от това коя е държавата по произход на трансфера, по-специално в случаите, когато вносителят на данни получи за последваща обработка данни, произхождащи от различни учреждения на вносителя на данни в Общността.
(13)
Подходящо е да се определят минималната информация, която страните трябва да предвидят в договора за трансфера. Държавите-членки следва да запазят възможността за специфициране на информацията, които страните трябва да предоставят. Прилагането на настоящото решение трябва да се преразгледа в светлината на натрупания опит.
(14)
Вносителят на данни трябва да обработва трансферираните лични данни за изключителната сметка на износителя на данни и според инструкциите и задълженията, включени в клаузите. В частност, вносителят на данни не следва да разгласява личните данни на трета страна освен при някои условия. Износителят на данни трябва да изисква от вносителя на данни по време на периода на услугите по обработката на данните да обработва данните съгласно неговите инструкции, съгласно приложимото право за защита на данните и съгласно задълженията, съдържащи се в клаузите. Трансферът на лични данни към лица, които ги обработват, установени извън Общността, не накърнява в никаква степен факта, че дейностите по обработка трябва да бъдат съобразени във всеки случай с прилагащото се право за защита на данните.
(15)
Общите договорни клаузи трябва да бъдат изпълними не само от организациите, страни по договора, но също и от съответните физически лица, в частност когато на последните се нанася вреда поради прекратяване на договора.
(16)
Съответното физическо лице следва да има право да подаде жалба и, ако е целесъобразно, да получи обезщетение от износителя на данни, който е администратор на трансферираните лични данни. В изключителни случаи съответното физическо лице следва също да има правото да подава жалба и, когато това е целесъобразно, да получи обезщетение от вносителя на данните заради неизпълнението от страна на вносителя на данни на едно или друго задължение, посочено във втория параграф на клауза 3, когато износителят на данни фактически е изчезнал или е престанал да съществува юридически или е изпаднал в несъстоятелност.
(17)
Ако спор между съответното физическо лице, който се позовава на клаузата на трето лице - бенефициер, и вносителя на данни не бъде решен по взаимно съгласие, вносителят на данни трябва да се съгласи да предложи на съответното физическо лице да избере между посредничество, арбитраж и съдебен процес. Съответното физическо лице има реална възможност за избор в степен, в която ще може да разполага с надеждни и признати системи за посредничество и на арбитраж. Посредничеството от страна на надзорните органи и по защитата на данните на държавата-членка, в която е установен износителят на данни, трябва да бъде право на избор, когато тези органи предоставят такава услуга.
(18)
Договорът трябва да бъде съобразен с правото на държавата-членка, в която е установен износителят на данни и която позволява на трети бенефициенр да поиска изпълнението на даден договор. Съответните физически лица данни следва да могат да бъдат представлявани от асоциациите или други органи, ако те желаят това и ако националното право го разрешава.
(19)
Работната група за защита на лицата по отношение обработката на личните данни, създадена по силата на член 29 от Директива 95/46/ЕО, излезе със становище за нивото на защита, предвидено от общите договорни клаузи, приложени към настоящото решение. Това становище бе взето предвид при подготвянето на настоящото решение (5).
(20)
Мерките, предвидени в настоящото решение са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Общите договорни клаузи, фигуриращи в приложението, се оценяват като достатъчни гаранции за защитата на личния живот и на основните права на лицата, както и по отношение изпълнението на съответстващите права, както го изисква член 26, параграф 2 от Директива 95/46/ЕО.
Член 2
Настоящото решение се отнася единствено до адекватния характер на защитата, предоставяна чрез общите договорни клаузи за трансфера на лични данни, фигуриращи в приложението. Тя не засяга прилагането на другите национални разпоредби, привеждащи в действие Директива 95/46/ЕО, които се отнасят до обработката на личните данни в държавите-членки.
Настоящото решение се прилага за трансфера на лични данни от администраторите на данни, установени в Общността, до получатели, установени извън територията на Общността, които действат изключително като лица, обработващи данните.
Член 3
По смисъла на настоящото решение:
а)
прилагат се определенията, съдържащи се в Директива 95/46/ЕО;
б)
„особените категории данни“ са данни, посочени в член 8 на тази директива;
в)
„надзорен орган“ е органът, посочен в член 28 на въпросната директива;
г)
„износител на данни“ е администратор на данни, който трансферира личните данни;
д)
„вносител на данни“ е лице, обработващо данните, установено в трета страна, който се съгласява да приеме от износителя на данни лични данни, предназначени да бъдат обработени за сметка на последния след трансфера съгласно неговите инструкции и при условията на настоящото решение, и който не е част от системата на трета страна, гарантираща адекватна защита;
е)
„приложимо право за защита на данните“ е законодателството, защищаващо основните свободи и права на физическите лица, главно правото на личен живот, при обработката на личните данни, и прилагащо се за дадено лице, отговорно за обработката в страната, в който е установен износителят на данни;
ж)
„технически и организационни мерки, свързани със сигурността“ са мерките, предназначени да защищават личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, главно когато обработката предполага превеждането на данни по мрежа, и срещу всяка друга незаконна форма на обработка.
Член 4
1. Без да се засягат правата им да предприемат мерки, целящи гарантирането на спазването на националните разпоредби, изработени съгласно глави II, III, IV, V и VI на Директива 95/46/ЕО, компетентните власти на държавите-членки могат да упражняват правата, с които разполагат, за да забраняват или да отменят временно потоците данни към трети страни, за да защищават лицата във връзка с обработката на техните лични данни, в случай, че:
а)
е установено, че правото, на което е субект вносителят на данни, му налага изискване за дерогиране от приложимото право за защита на данните, което се простира извън необходимите ограничения в демократично общество по една от посочените в член 13 от Директива 96/46/ЕО причини, когато тези задължения създават риска да бъдат забележимо изменени гаранциите, предоставяни от приложимото към защитата на данните право и общите договорни клаузи, или
б)
компетентна власт е установила, че вносителят на данни не е спазил договорните клаузи, фигуриращи в приложението, или
в)
е много вероятно общите договорни клаузи, фигуриращи в приложението, да не са или да не бъдат спазени и продължаването на трансфера да увеличи до висока степен риска на засегнатите лица да бъдат нанесени тежки вреди.
2. Забраната или временната отмяна се вдига веднага след изчезването на причините, които я мотивират.
3. Когато държавите-членки приемат мерки съгласно параграфи 1 и 2, те информират незабавно за това Комисията, която предоставя информацията на другите държави-членки.
Член 5
Комисията оценява прилагането на настоящото решение на базата на наличните информации три години след нотифицирането на държавите-членки. Тя представя на Комитета, създаден съгласно член 31 от Директива 96/46/ЕО доклад за осъществените констатации. Докладът включва всяко свидетелство, който е в състояние на повлияе на оценката, отнасяща се до адекватния характер на общите договорни клаузи, фигуриращи в приложението, както и всяко свидетелство, че настоящото решение се прилага по дискриминативен начин.
Член 6
Настоящото решение се прилага от 3 април 2002 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2001 година.
Απόφαση της Επιτροπής
της 27ης Δεκεμβρίου 2001
σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντες επεξεργασία εγκατεστημένους σε τρίτες χώρες, βάσει της οδηγίας 95/46/ΕΚ
[κοινοποιηθείσα υπό τον αριθμό Ε(2001) 4540]
(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)
(2002/16/ΕΚ)
Η ΕΠΙΤΡΟΠΗ ΤΩΝ ΕΥΡΩΠΑΪΚΩΝ ΚΟΙΝΟΤΗΤΩΝ,
Έχοντας υπόψη:
τη συνθήκη για την ίδρυση της Ευρωπαϊκής Κοινότητας,
την οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών(1), και ιδίως το άρθρο 26 παράγραφος 4,
Εκτιμώντας τα ακόλουθα:
(1) Δυνάμει της οδηγίας 95/46/EΚ, τα κράτη μέλη πρέπει να προβλέπουν ότι η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα επιτρέπεται μόνον εάν η εν λόγω τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας των δεδομένων και οι νόμοι των κρατών μελών που συνάδουν με τις λοιπές διατάξεις της εν λόγω οδηγίας έχουν τηρηθεί πριν από τη διαβίβαση.
(2) Ωστόσο, το άρθρο 26 παράγραφος 2 της οδηγίας 95/46/EΚ ορίζει ότι τα κράτη μέλη μπορούν να επιτρέπουν, τηρουμένων ορισμένων εγγυήσεων, μία ή πλείονες διαβιβάσεις δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα η οποία δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας, εφόσον παρέχονται ορισμένες εγγυήσεις. Οι εν λόγω εγγυήσεις μπορούν ιδίως να απορρέουν από κατάλληλες συμβατικές ρήτρες.
(3) Σύμφωνα με την οδηγία 95/46/EΚ, το επίπεδο προστασίας των δεδομένων πρέπει να σταθμίζεται και να αξιολογείται λαμβανομένων υπόψη όλων των περιστάσεων που επηρεάζουν μια διαβίβαση ή κατηγορία διαβιβάσεων δεδομένων. Η ομάδα εργασίας για την προστασία των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, που συστάθηκε βάσει της εν λόγω οδηγίας(2), έχει εκδώσει κατευθυντήριες γραμμές προκειμένου να διευκολύνει την αξιολόγηση αυτή(3).
(4) Οι τυποποιημένες συμβατικές ρήτρες αφορούν μόνο την προστασία των δεδομένων. Ο εξαγωγέας των δεδομένων και ο εισαγωγέας των δεδομένων είναι ελεύθεροι να συμπεριλάβουν οποιεσδήποτε άλλες ρήτρες για επιχειρηματικά ζητήματα τις οποίες θεωρούν κατάλληλες για τη σύμβαση, εφόσον οι ρήτρες αυτές δεν αντιφάσκουν με τις τυποποιημένες συμβατικές ρήτρες.
(5) Η παρούσα απόφαση δεν θίγει τις εθνικές άδειες που δύνανται να χορηγούν τα κράτη μέλη σύμφωνα με εθνικές διατάξεις εφαρμογής του άρθρου 26 παράγραφος 2 της οδηγίας 95/46/EΚ. Η μόνη συνέπεια της παρούσας απόφασης είναι ότι απαιτεί από τα κράτη μέλη να μην αρνούνται να αναγνωρίζουν ότι οι τυποποιημένες συμβατικές ρήτρες που περιγράφονται σ' αυτήν παρέχουν επαρκείς εγγυήσεις και, επομένως, δεν έχει καμία συνέπεια σε τυχόν άλλες συμβατικές ρήτρες.
(6) Το πεδίο εφαρμογής της παρούσας απόφασης περιορίζεται στη διαπίστωση ότι οι ρήτρες του παραρτήματος μπορούν να χρησιμοποιηθούν από έναν υπεύθυνο επεξεργασίας που είναι εγκατεστημένος στην Κοινότητα προκειμένου να υπάρξουν επαρκείς εγγυήσεις, κατά την έννοια του άρθρου 26 παράγραφος 2 της οδηγίας 95/46/ΕΚ, για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντα επεξεργασία εγκατεστημένο σε τρίτη χώρα.
(7) Η παρούσα απόφαση υλοποιεί την υποχρέωση που προβλέπεται στο άρθρο 17 παράγραφος 3 της οδηγίας και δεν προδικάζει το περιεχόμενο μιας τέτοιας σύμβασης ή άλλης δικαιοπραξίας που έχει συνταχθεί βάσει αυτής της διατάξεως. Ωστόσο, ορισμένες από τις τυποποιημένες συμβατικές ρήτρες, ιδίως οι σχετικές με τις υποχρεώσεις του εξαγωγέα των δεδομένων, πρέπει να περιληφθούν προκειμένου να υπάρξει μεγαλύτερη σαφήνεια όσον αφορά τις διατάξεις οι οποίες μπορούν να περιέχονται σε σύμβαση μεταξύ ενός υπεύθυνου επεξεργασίας και ενός εκτελούντος επεξεργασία.
(8) Οι αρχές ελέγχου των κρατών μελών διαδραματίζουν καθοριστικό ρόλο στα πλαίσια αυτού του συμβατικού μηχανισμού μεριμνώντας ώστε τα δεδομένα προσωπικού χαρακτήρα να προστατεύονται επαρκώς μετά τη διαβίβαση. Στις εξαιρετικές περιπτώσεις που οι εξαγωγείς των δεδομένων αρνούνται ή δεν είναι σε θέση να καθοδηγήσουν δεόντως τον εισαγωγέα των δεδομένων, οι τυποποιημένες συμβατικές ρήτρες πρέπει να επιτρέπουν στις αρχές ελέγχου να ελέγχουν τους εισαγωγείς των δεδομένων και ενδεχομένως να λαμβάνουν αποφάσεις δεσμευτικές για τους εισαγωγείς των δεδομένων. Οι αρχές ελέγχου πρέπει να έχουν το δικαίωμα να απαγορεύουν ή να αναστέλλουν μια διαβίβαση ή μια κατηγορία διαβιβάσεων δεδομένων που βασίζεται στις τυποποιημένες συμβατικές ρήτρες στις εξαιρετικές περιπτώσεις στις οποίες αποδεικνύεται ότι μια διαβίβαση που πραγματοποιείται σε συμβατική βάση ενδέχεται να έχει σημαντικό αρνητικό αντίκτυπο στις εγγυήσεις και τις υποχρεώσεις που παρέχουν ικανοποιητική προστασία στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα.
(9) Η Επιτροπή δύναται επίσης να εξετάζει στο μέλλον αν και κατά πόσον τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντες επεξεργασία εγκατεστημένους σε τρίτες χώρες οι οποίες δεν παρέχουν ικανοποιητικό επίπεδο προστασίας των δεδομένων, ρήτρες που υποβάλλονται από επιχειρηματικές οργανώσεις ή άλλα ενδιαφερόμενα μέρη, παρέχουν επαρκείς εγγυήσεις, κατά την έννοια του άρθρου 26 παράγραφος 2 της οδηγίας 95/46/ΕΚ.
(10) Η κοινολόγηση δεδομένων προσωπικού χαρακτήρα σε εκτελούντα επεξεργασία εγκατεστημένο εκτός της Κοινότητας συνιστά διεθνή διαβίβαση η οποία προστατεύεται βάσει του κεφαλαίου IV της οδηγίας 95/46/ΕΚ. Κατά συνέπεια η παρούσα απόφαση δεν καλύπτει τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από υπεύθυνους επεξεργασίας εγκατεστημένους στην Κοινότητα προς υπεύθυνους επεξεργασίας εγκατεστημένους εκτός της Κοινότητας οι οποίοι εμπίπτουν στο πεδίο εφαρμογής της απόφασης 2001/497/ΕΚ της Επιτροπής, της 15ης Ιουνίου 2001, σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες δυνάμει του άρθρου 26 παράγραφος 4 της οδηγίας 95/46/ΕΚ(4).
(11) Οι τυποποιημένες συμβατικές ρήτρες πρέπει να προβλέπουν τα τεχνικά και οργανωτικά μέτρα ασφαλείας τα οποία πρέπει να εφαρμόζει ένας εκτελών επεξεργασία δεδομένων εγκατεστημένος σε τρίτη χώρα η οποία δεν παρέχει ικανοποιητική προστασία, ούτως ώστε να διασφαλίζεται το ενδεδειγμένο επίπεδο ασφάλειας έναντι των κινδύνων που συνεπάγεται η επεξεργασία και η φύση των προς προστασία δεδομένων. Τα συμβαλλόμενα μέρη πρέπει να προβλέπουν στη σύμβαση εκείνα τα τεχνικά και οργανωτικά μέτρα τα οποία, λαμβανομένου υπόψη του εφαρμοστέου δικαίου προστασίας των δεδομένων, του τεχνολογικού επιπέδου και του κόστους εφαρμογής τους, είναι απαραίτητα προκειμένου να προστατεύονται τα δεδομένα προσωπικού χαρακτήρα από την τυχαία ή παράνομη καταστροφή ή την τυχαία απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση ή πρόσβαση ή από οποιαδήποτε άλλη παράνομη μορφή επεξεργασίας.
(12) Για να διευκολυνθούν οι ροές δεδομένων από την Κοινότητα, είναι ευκταίο οι εκτελούντες επεξεργασία οι οποίοι παρέχουν υπηρεσίες επεξεργασίας δεδομένων σε διάφορους υπεύθυνους επεξεργασίας δεδομένων στην Κοινότητα να έχουν το δικαίωμα να λαμβάνουν τα ίδια τεχνικά και οργανωτικά μέτρα ασφαλείας ανεξαρτήτως του κράτους μέλους από το οποίο γίνεται η διαβίβαση των δεδομένων, ιδίως στις περιπτώσεις στις οποίες ο εισαγωγέας των δεδομένων λαμβάνει δεδομένα για περαιτέρω επεξεργασία από διάφορες εγκαταστάσεις του εξαγωγέα των δεδομένων στην Κοινότητα, οπότε πρέπει να εφαρμόζεται το δίκαιο του αναφερόμενου στις συμβατικές ρήτρες κράτους μέλους εγκατάστασης.
(13) Πρέπει να καθοριστούν τα ελάχιστα πληροφοριακά στοιχεία τα οποία οφείλουν να προσδιορίζουν τα συμβαλλόμενα μέρη στη σύμβαση που διέπει τη διαβίβαση. Τα κράτη μέλη πρέπει να διατηρούν το δικαίωμα να εξειδικεύουν τα πληροφοριακά στοιχεία τα οποία απαιτείται να παρέχουν τα συμβαλλόμενα μέρη. Η εφαρμογή της παρούσας απόφασης πρέπει να αναθεωρηθεί με βάση την πείρα που θα αποκτηθεί.
(14) Ο εισαγωγέας των δεδομένων πρέπει να επεξεργάζεται τα διαβιβαζόμενα δεδομένα προσωπικού χαρακτήρα μόνο για λογαριασμό του εξαγωγέα των δεδομένων και σύμφωνα με τις οδηγίες του και τις υποχρεώσεις που περιέχονται στις ρήτρες. Ειδικότερα, ο εισαγωγέας των δεδομένων δεν θα πρέπει να αποκαλύπτει τα δεδομένα προσωπικού χαρακτήρα σε τρίτους, παρά μόνο σύμφωνα με ορισμένους όρους. Ο εξαγωγέας των δεδομένων, καθ' όλη τη διάρκεια των υπηρεσιών επεξεργασίας των δεδομένων, θα πρέπει να υποδεικνύει στον εισαγωγέα των δεδομένων να επεξεργάζεται τα δεδομένα σύμφωνα με τις οδηγίες του, το εφαρμοστέο δίκαιο περί προστασίας των δεδομένων και τις υποχρεώσεις που περιέχονται στις ρήτρες. Η διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντες επεξεργασία εγκατεστημένους εκτός της Κοινότητας δεν επηρεάζει το γεγονός ότι οι δραστηριότητες επεξεργασίας πρέπει να διέπονται σε κάθε περίπτωση από το εφαρμοστέο δίκαιο περί προστασίας των δεδομένων.
(15) Τις τυποποιημένες συμβατικές ρήτρες πρέπει να μπορούν να επικαλούνται όχι μόνο οι φορείς που είναι συμβαλλόμενα μέρη, αλλά και τα πρόσωπα στα οποία αναφέρονται τα δεδομένα, ιδίως όταν τα πρόσωπα αυτά υφίστανται ζημία συνεπεία παραβίασης της σύμβασης.
(16) Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να δικαιούται να εναγάγει και, ενδεχομένως, να λάβει αποζημίωση από τον εξαγωγέα των δεδομένων που είναι ο υπεύθυνος επεξεργασίας των διαβιβαζομένων δεδομένων προσωπικού χαρακτήρα. Κατ' εξαίρεση, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει επίσης να δικαιούται να εναγάγει και ενδεχομένως να λάβει αποζημίωση από τον εισαγωγέα των δεδομένων στις περιπτώσεις που ανακύπτουν από τη μη εκπλήρωση εκ μέρους του εισαγωγέα δεδομένων κάποιας από τις υποχρεώσεις που προβλέπονται από τη δεύτερη παράγραφο της ρήτρας 3, όταν ο εξαγωγέας των δεδομένων έπαυσε να υφίσταται πραγματικά ή νομικά ή κατέστη αφερέγγυος.
(17) Σε περίπτωση που μεταξύ του προσώπου στο οποίο αναφέρονται τα δεδομένα, που επικαλείται τη ρήτρα δικαιούχου τρίτου, και του εισαγωγέα των δεδομένων, ανακύπτει διαφορά που δεν επιλύεται με φιλικό διακανονισμό, ο εισαγωγέας των δεδομένων συμφωνεί να παράσχει στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα την επιλογή μεταξύ διαμεσολάβησης, διαιτησίας ή παραπομπής στα δικαστήρια. Ο βαθμός στον οποίο το πρόσωπο στο οποίο αναφέρονται τα δεδομένα θα έχει πραγματική επιλογή εξαρτάται από την ύπαρξη αξιόπιστων και αναγνωρισμένων συστημάτων διαμεσολάβησης και διαιτησίας. Η διαμεσολάβηση των αρχών ελέγχου προστασίας δεδομένων του κράτους μέλους στο οποίο είναι εγκατεστημένος ο εξαγωγέας των δεδομένων πρέπει να συγκαταλέγεται μεταξύ των εναλλακτικών επιλογών, όταν οι εν λόγω αρχές παρέχουν τέτοια υπηρεσία.
(18) Η σύμβαση πρέπει να διέπεται από το δίκαιο του κράτους μέλους στο οποίο είναι εγκατεστημένος ο εξαγωγέας των δεδομένων και το οποίο επιτρέπει σε δικαιούχο τρίτο να επικαλεσθεί τη σύμβαση. Τα πρόσωπα στα οποία αναφέρονται τα δεδομένα πρέπει να έχουν το δικαίωμα να εκπροσωπούνται από ένωση ή άλλους φορείς εάν το επιθυμούν και εφόσον αυτό επιτρέπεται από το εθνικό δίκαιο.
(19) Η ομάδα εργασίας για την προστασία των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, που συστάθηκε βάσει του άρθρου 29 της οδηγίας 95/46/EΚ, εξέδωσε γνωμοδότηση σχετικά με το επίπεδο προστασίας που παρέχουν οι τυποποιημένες συμβατικές ρήτρες που επισυνάπτονται στην παρούσα απόφαση, γνωμοδότηση η οποία ελήφθη υπόψη κατά την εκπόνιση της παρούσας απόφασης(5).
(20) Τα μέτρα που προβλέπονται στην παρούσα απόφαση είναι σύμφωνα με τη γνώμη της επιτροπής που συστάθηκε βάσει του άρθρου 31 της οδηγίας 95/46/EΚ,
ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:
Άρθρο 1
Οι τυποποιημένες συμβατικές ρήτρες που παρατίθενται στο παράρτημα της παρούσας απόφασης θεωρείται ότι παρέχουν επαρκείς εγγυήσεις για την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των ατόμων και για την άσκηση των σχετικών δικαιωμάτων, όπως επιβάλλει το άρθρο 26 παράγραφος 2 της οδηγίας 95/46/EΚ.
Άρθρο 2
Η παρούσα απόφαση αφορά μόνο το ικανοποιητικό επίπεδο της προστασίας που παρέχουν οι τυποποιημένες συμβατικές ρήτρες που παρατίθενται στο παράρτημα για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντες επεξεργασία δεδομένων. Δεν επηρεάζει την εφαρμογή άλλων εθνικών διατάξεων εφαρμογής της οδηγίας 95/46/ΕΚ που αφορούν την επεξεργασία δεδομένων προσωπικού χαρακτήρα στα κράτη μέλη.
Η παρούσα απόφαση εφαρμόζεται στη διαβίβαση δεδομένων προσωπικού χαρακτήρα από υπεύθυνους επεξεργασίας εγκατεστημένους στην Κοινότητα προς αποδέκτες εγκατεστημένους εκτός της Κοινότητας οι οποίοι ενεργούν αποκλειστικά ως εκτελούντες επεξεργασία.
Άρθρο 3
Για τους σκοπούς της παρούσας απόφασης:
α) εφαρμόζονται οι ορισμοί της οδηγίας 95/46/EΚ·
β) ως "ειδικές κατηγορίες δεδομένων" νοούνται τα δεδομένα που αναφέρονται στο άρθρο 8 της οδηγίας 95/46/EΚ·
γ) ως "αρχή ελέγχου" νοείται η αρχή που αναφέρεται στο άρθρο 28 της οδηγίας 95/46/EΚ·
δ) ως "εξαγωγέας των δεδομένων" νοείται ο υπεύθυνος επεξεργασίας ο οποίος διαβιβάζει τα δεδομένα προσωπικού χαρακτήρα·
ε) ως "εισαγωγέας των δεδομένων" νοείται ο εκτελών επεξεργασία που είναι εγκατεστημένος σε τρίτη χώρα και ο οποίος συμφωνεί να παραλάβει από τον εξαγωγέα των δεδομένων δεδομένα προσωπικού χαρακτήρα που προορίζονται, μετά τη διαβίβαση, για επεξεργασία για λογαριασμό του εξαγωγέα των δεδομένων, σύμφωνα με τις οδηγίες του και τους όρους της παρούσας απόφασης, και ο οποίος δεν υπόκειται σε σύστημα τρίτης χώρας που διασφαλίζει ικανοποιητική προστασία·
στ) ως "εφαρμοστέο δίκαιο περί προστασίας των δεδομένων" νοείται η νομοθεσία που προστατεύει τα θεμελιώδη δικαιώματα και ελευθερίες των φυσικών προσώπων, και ιδίως το δικαίωμα προστασίας της ιδιωτικής τους ζωής από την επεξεργασία δεδομένων προσωπικού χαρακτήρα, η οποία εφαρμόζεται στον υπεύθυνο επεξεργασίας δεδομένων στο κράτος μέλος στο οποίο είναι εγκατεστημένος ο εξαγωγέας των δεδομένων·
ζ) ως "τεχνικά και οργανωτικά μέτρα ασφαλείας" νοούνται τα μέτρα που αποσκοπούν στην προστασία των δεδομένων προσωπικού χαρακτήρα από την τυχαία ή παράνομη καταστροφή ή την τυχαία απώλεια, αλλοίωση, άνευ αδείας κοινοποίηση ή πρόσβαση, ιδίως όταν η επεξεργασία συνεπάγεται τη διαβίβαση δεδομένων μέσω δικτύου, καθώς και στην προστασία από κάθε άλλη παράνομη μορφή επεξεργασίας.
Άρθρο 4
1. Με την επιφύλαξη των εξουσιών τους να αναλαμβάνουν δράση προκειμένου να εξασφαλίζουν την τήρηση των εθνικών διατάξεων που εκδίδονται σύμφωνα με τα κεφάλαια II, III, V και VI της οδηγίας 95/46/ΕΚ, οι αρμόδιες αρχές των κρατών μελών δύνανται να ασκούν τις υφιστάμενες εξουσίες τους για να απαγορεύουν ή να αναστέλλουν τη ροή δεδομένων προς τρίτες χώρες προκειμένου να προστατεύουν τα φυσικά πρόσωπα από την επεξεργασία δεδομένων προσωπικού χαρακτήρα που τα αφορούν στις περιπτώσεις κατά τις οποίες:
α) είναι αποδεδειγμένο ότι η νομοθεσία στην οποία υπόκειται ο εισαγωγέας των δεδομένων του επιβάλλει υποχρεώσεις παρέκκλισης από το εφαρμοστέο δίκαιο προστασίας των δεδομένων οι οποίες υπερβαίνουν το αναγκαίο σε μια δημοκρατική κοινωνία μέτρο, όπως ορίζεται στο άρθρο 13 της οδηγίας 95/46/EΚ, υποχρεώσεις που ενδέχεται να έχουν σημαντικό αρνητικό αντίκτυπο στις εγγυήσεις που παρέχονται από το εφαρμοστέο δίκαιο προστασίας των δεδομένων και τις τυποποιημένες συμβατικές ρήτρες, ή
β) αρμόδια αρχή απέδειξε ότι ο εισαγωγέας των δεδομένων δεν τήρησε τις συμβατικές ρήτρες του παραρτήματος ή
γ) υπάρχει σοβαρή πιθανότητα ότι οι τυποποιημένες συμβατικές ρήτρες του παραρτήματος δεν τηρούνται ή δεν θα τηρηθούν και ότι η συνέχιση της διαβίβασης δημιουργεί άμεσο κίνδυνο πρόκλησης σοβαρής ζημίας στα πρόσωπα στα οποία αναφέρονται τα δεδομένα.
2. Η απαγόρευση ή η αναστολή, βάσει της παραγράφου 1, αίρονται αμέσως μόλις παύσουν να υφίστανται οι λόγοι της αναστολής ή της απαγόρευσης.
3. Τα κράτη μέλη, όταν λαμβάνουν μέτρα σύμφωνα με τις παραγράφους 1 και 2, ενημερώνουν, χωρίς καθυστέρηση, την Επιτροπή, η οποία διαβιβάζει την πληροφορία αυτή στα υπόλοιπα κράτη μέλη.
Άρθρο 5
Η Επιτροπή αξιολογεί την εφαρμογή της παρούσας απόφασης βάσει των διαθέσιμων πληροφοριών τρία έτη μετά την κοινοποίησή της στα κράτη μέλη. Υποβάλει έκθεση για τα σχετικά πορίσματά της στην επιτροπή που συστάθηκε βάσει του άρθρου 31 της οδηγίας 95/46/ΕΚ. Η έκθεση συμπεριλαμβάνει κάθε στοιχείο το οποίο μπορεί να επηρεάσει την εκτίμηση σχετικά με την επάρκεια των τυποποιημένων συμβατικών ρητρών του παραρτήματος, καθώς και κάθε στοιχείο περί του ότι η απόφαση εφαρμόζεται κατά τρόπο που επιφέρει διακρίσεις.
Άρθρο 6
Η παρούσα απόφαση εφαρμόζεται από τις 3 Απριλίου 2002.
Άρθρο 7
Η παρούσα απόφαση απευθύνεται στα κράτη μέλη.
Βρυξέλλες, 27 Δεκεμβρίου 2001.