32002D0016
L 006/52
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2001 година
относно общите договорни клаузи за трансфера на лични данни към лицата, които ги обработват, установени в трети страни, съгласно Директива 95/46/ЕО
(нотифицирано под номер С(2001) 4540)
(текст от значение за ЕИП)
(2002/16/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО държавите-членки се задължават да следят даден трансфер на лични данни към трета страна да се извършва само ако съответната страна гарантира адекватно ниво на защита на данните и ако законите на държавите-членки, които са съобразени с другите разпоредби на директивата, се спазват преди трансфера.
(2)
Въпреки това член 26, параграф 2 от Директива 95/46/ЕО предвижда държавите-членки да могат да разрешават при известни гаранции трансфер или цялостен набор от трансфери на лични данни към трети страни, които не гарантират адекватно ниво на защита. Тези гаранции могат да произтичат главно от съответните договорни клаузи.
(3)
Съгласно Директива 95/46/ЕО нивото на защита на данните трябва да бъде преценено с оглед всички обстоятелства, отнасящи се до трансфер или категория трансфери. Групата за защита на лицата по отношение обработването на личните данни, създадена съгласно настоящата директива (2), публикува насоки за улесняване на оценката (3).
(4)
Общите договорни клаузи се отнасят само до защитата на данните и износителят и вносителят са свободни да въвеждат други клаузи от търговски характер, каквито смятат за необходими за договора при условие че те не противоречат на общите договорни клаузи.
(5)
Настоящото решение не засяга националните разрешения, които държавите-членки могат да издават съгласно националните разпоредби, като прилагат член 26, параграф 2 от Директива 95/46/ЕО. Настоящото решение има за цел единствено да задължи държавите-членки да не отказват да признават, че фигуриращите договорни клаузи предлагат адекватни гаранции и при това положение то няма действие върху други договорни клаузи.
(6)
Обхвата на настоящото решение се ограничава да установи, че клаузите, които са изброени в него, могат да бъдат използвани от администратор на лични данни, установен в Общността, за да се гарантират адекватни гаранции по смисъла на член 26, параграф 2 от Директива 95/46/ЕО за трансфера на лични данни към лице обработващо данните, установено в трета страна.
(7)
Настоящото решение следва да изпълни задължението, предвидено в член 17, параграф 3 от Директива 95/46/ЕО и не накърнява съдържанието на договори или юридически актове, установен съгласно тази разпоредба. Във всеки случай, някои общи договорни клаузи, отнасящи се по-специално към задълженията на износителя на данни, трябва да бъдат включени в целта да се увеличи яснотата относно разпоредбите, които могат да бъдат въведени в договор между администратора и лицето, обработващо данните.
(8)
Надзорните органи на държавите-членки играят ключова роля в този договорен механизъм, като гарантират адекватната защита на личните данни след трансфера. В изключителни случаи, когато износителите на данни откажат или не са в състояние да инструктират по подходящ начин вносителя на данните или когато съществува непосредствен риск от тежка вреда за засегнатите лица, общите договорни клаузи трябва да позволяват на надзорните органи да задължават вносителите на данни да проверяват и когато това се окажеуместно, да предприемат мерки, с които последните трябва да се съобразят. Надзорните органи следва да имат правомощието да забраняват или да отменят временно трансфер на данни или цялостен набор от трансфери на данни, базиран на общи договорни клаузи, в изключителните случаи, когато е установено, че трансфер, базиран на договорни условия, рискува да промени забележимо гаранциите и задълженията, предоставящи адекватно ниво на защита на съответното физическо лице.
(9)
В бъдеще Комисията може също да преценява дали общите договорни клаузи за трансфера на лични данни към лица, обработващи данните, установени в трети страни, които не предоставят адекватно ниво на защита на данните, представени от търговски организации или други заинтересовани страни, предлагат достатъчни гаранции съгласно член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Разкриването на лични данни на лице, обработващо данните, установено извън Общността, представлява защитен международен обмен по силата на Глава IV от Директива 95/46/ЕО. В резултат на това настоящата директива не покрива трансфера на лични данни, осъществяван от администраторите , установени в Общността, към лица, отговорни за обработката, установени извън Общността, които попадат в обхвата на Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (4).
(11)
Общите договорни клаузи следва да предвиждат технически и организационни мерки, гарантиращи равнище на сигурност, адаптирано към рисковете, свързани с обработката и характера на данните, които подлежат на защита, което трябва да прилага лице, обработващо данните, установено в трета страна, който не предоставя адекватно ниво на защита. Страните трябва да предвидят в договора технически и организационни мерки, които с оглед на приложимото право за защита на данните на технологично равнище и с цел прилагане са необходими за защита на личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, или всякаква друга незаконна форма на обработка.
(12)
За да се улесни потокът на данни, идващи от Общността, е желателно лицата, обработващи данните и предоставящи такива услуги на няколко администратори от Общността, да получават разрешения да прилагат същите технически и организационни мерки, свързани със сигурността, независимо от това коя е държавата по произход на трансфера, по-специално в случаите, когато вносителят на данни получи за последваща обработка данни, произхождащи от различни учреждения на вносителя на данни в Общността.
(13)
Подходящо е да се определят минималната информация, която страните трябва да предвидят в договора за трансфера. Държавите-членки следва да запазят възможността за специфициране на информацията, които страните трябва да предоставят. Прилагането на настоящото решение трябва да се преразгледа в светлината на натрупания опит.
(14)
Вносителят на данни трябва да обработва трансферираните лични данни за изключителната сметка на износителя на данни и според инструкциите и задълженията, включени в клаузите. В частност, вносителят на данни не следва да разгласява личните данни на трета страна освен при някои условия. Износителят на данни трябва да изисква от вносителя на данни по време на периода на услугите по обработката на данните да обработва данните съгласно неговите инструкции, съгласно приложимото право за защита на данните и съгласно задълженията, съдържащи се в клаузите. Трансферът на лични данни към лица, които ги обработват, установени извън Общността, не накърнява в никаква степен факта, че дейностите по обработка трябва да бъдат съобразени във всеки случай с прилагащото се право за защита на данните.
(15)
Общите договорни клаузи трябва да бъдат изпълними не само от организациите, страни по договора, но също и от съответните физически лица, в частност когато на последните се нанася вреда поради прекратяване на договора.
(16)
Съответното физическо лице следва да има право да подаде жалба и, ако е целесъобразно, да получи обезщетение от износителя на данни, който е администратор на трансферираните лични данни. В изключителни случаи съответното физическо лице следва също да има правото да подава жалба и, когато това е целесъобразно, да получи обезщетение от вносителя на данните заради неизпълнението от страна на вносителя на данни на едно или друго задължение, посочено във втория параграф на клауза 3, когато износителят на данни фактически е изчезнал или е престанал да съществува юридически или е изпаднал в несъстоятелност.
(17)
Ако спор между съответното физическо лице, който се позовава на клаузата на трето лице - бенефициер, и вносителя на данни не бъде решен по взаимно съгласие, вносителят на данни трябва да се съгласи да предложи на съответното физическо лице да избере между посредничество, арбитраж и съдебен процес. Съответното физическо лице има реална възможност за избор в степен, в която ще може да разполага с надеждни и признати системи за посредничество и на арбитраж. Посредничеството от страна на надзорните органи и по защитата на данните на държавата-членка, в която е установен износителят на данни, трябва да бъде право на избор, когато тези органи предоставят такава услуга.
(18)
Договорът трябва да бъде съобразен с правото на държавата-членка, в която е установен износителят на данни и която позволява на трети бенефициенр да поиска изпълнението на даден договор. Съответните физически лица данни следва да могат да бъдат представлявани от асоциациите или други органи, ако те желаят това и ако националното право го разрешава.
(19)
Работната група за защита на лицата по отношение обработката на личните данни, създадена по силата на член 29 от Директива 95/46/ЕО, излезе със становище за нивото на защита, предвидено от общите договорни клаузи, приложени към настоящото решение. Това становище бе взето предвид при подготвянето на настоящото решение (5).
(20)
Мерките, предвидени в настоящото решение са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Общите договорни клаузи, фигуриращи в приложението, се оценяват като достатъчни гаранции за защитата на личния живот и на основните права на лицата, както и по отношение изпълнението на съответстващите права, както го изисква член 26, параграф 2 от Директива 95/46/ЕО.
Член 2
Настоящото решение се отнася единствено до адекватния характер на защитата, предоставяна чрез общите договорни клаузи за трансфера на лични данни, фигуриращи в приложението. Тя не засяга прилагането на другите национални разпоредби, привеждащи в действие Директива 95/46/ЕО, които се отнасят до обработката на личните данни в държавите-членки.
Настоящото решение се прилага за трансфера на лични данни от администраторите на данни, установени в Общността, до получатели, установени извън територията на Общността, които действат изключително като лица, обработващи данните.
Член 3
По смисъла на настоящото решение:
а)
прилагат се определенията, съдържащи се в Директива 95/46/ЕО;
б)
„особените категории данни“ са данни, посочени в член 8 на тази директива;
в)
„надзорен орган“ е органът, посочен в член 28 на въпросната директива;
г)
„износител на данни“ е администратор на данни, който трансферира личните данни;
д)
„вносител на данни“ е лице, обработващо данните, установено в трета страна, който се съгласява да приеме от износителя на данни лични данни, предназначени да бъдат обработени за сметка на последния след трансфера съгласно неговите инструкции и при условията на настоящото решение, и който не е част от системата на трета страна, гарантираща адекватна защита;
е)
„приложимо право за защита на данните“ е законодателството, защищаващо основните свободи и права на физическите лица, главно правото на личен живот, при обработката на личните данни, и прилагащо се за дадено лице, отговорно за обработката в страната, в който е установен износителят на данни;
ж)
„технически и организационни мерки, свързани със сигурността“ са мерките, предназначени да защищават личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, главно когато обработката предполага превеждането на данни по мрежа, и срещу всяка друга незаконна форма на обработка.
Член 4
1. Без да се засягат правата им да предприемат мерки, целящи гарантирането на спазването на националните разпоредби, изработени съгласно глави II, III, IV, V и VI на Директива 95/46/ЕО, компетентните власти на държавите-членки могат да упражняват правата, с които разполагат, за да забраняват или да отменят временно потоците данни към трети страни, за да защищават лицата във връзка с обработката на техните лични данни, в случай, че:
а)
е установено, че правото, на което е субект вносителят на данни, му налага изискване за дерогиране от приложимото право за защита на данните, което се простира извън необходимите ограничения в демократично общество по една от посочените в член 13 от Директива 96/46/ЕО причини, когато тези задължения създават риска да бъдат забележимо изменени гаранциите, предоставяни от приложимото към защитата на данните право и общите договорни клаузи, или
б)
компетентна власт е установила, че вносителят на данни не е спазил договорните клаузи, фигуриращи в приложението, или
в)
е много вероятно общите договорни клаузи, фигуриращи в приложението, да не са или да не бъдат спазени и продължаването на трансфера да увеличи до висока степен риска на засегнатите лица да бъдат нанесени тежки вреди.
2. Забраната или временната отмяна се вдига веднага след изчезването на причините, които я мотивират.
3. Когато държавите-членки приемат мерки съгласно параграфи 1 и 2, те информират незабавно за това Комисията, която предоставя информацията на другите държави-членки.
Член 5
Комисията оценява прилагането на настоящото решение на базата на наличните информации три години след нотифицирането на държавите-членки. Тя представя на Комитета, създаден съгласно член 31 от Директива 96/46/ЕО доклад за осъществените констатации. Докладът включва всяко свидетелство, който е в състояние на повлияе на оценката, отнасяща се до адекватния характер на общите договорни клаузи, фигуриращи в приложението, както и всяко свидетелство, че настоящото решение се прилага по дискриминативен начин.
Член 6
Настоящото решение се прилага от 3 април 2002 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2001 година.
Commission Decision
of 27 December 2001
on standard contractual clauses for the transfer of personal data to processors established in third countries, under Directive 95/46/EC
(notified under document number C(2001) 4540)
(Text with EEA relevance)
(2002/16/EC)
THE COMMISSION OF THE EUROPEAN COMMUNITIES,
Having regard to the Treaty establishing the European Community,
Having regard to Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data(1), and in particular Article 26(4) thereof,
Whereas:
(1) Pursuant to Directive 95/46/EC Member States are required to provide that a transfer of personal data to a third country may only take place if the third country in question ensures an adequate level of data protection and the Member States' laws, which comply with the other provisions of the Directive, are respected prior to the transfer.
(2) However, Article 26(2) of Directive 95/46/EC provides that Member States may authorise, subject to certain safeguards, a transfer or a set of transfers of personal data to third countries which do not ensure an adequate level of protection. Such safeguards may in particular result from appropriate contractual clauses.
(3) Pursuant to Directive 95/46/EC the level of data protection should be assessed in the light of all the circumstances surrounding the data transfer operation or set of data transfer operations. The Working Party on the Protection of Individuals with regard to the Processing of Personal Data established under that Directive(2) has issued guidelines to aid with the assessment(3).
(4) The standard contractual clauses relate only to data protection. The data exporter and the data importer are free to include any other clauses on business related issues which they consider as being pertinent for the contract as long as they do not contradict the standard contractual clauses.
(5) This Decision should be without prejudice to national authorisations Member States may grant in accordance with national provisions implementing Article 26(2) of Directive 95/46/EC. This Decision only has the effect of requiring the Member States not to refuse to recognise as providing adequate safeguards the contractual clauses set out in it and does not therefore have any effect on other contractual clauses.
(6) The scope of this Decision is limited to establishing that the clauses which it sets out may be used by a data controller established in the Community in order to adduce adequate safeguards within the meaning of Article 26(2) of Directive 95/46/EC for the transfer of personal data to a processor established in a third country.
(7) This Decision should implement the obligation provided for in Article 17(3) of Directive 95/46/EC and does not prejudice the content of the contracts or legal acts established pursuant to that provision. However, some of the standard contractual clauses, in particular as regards the data exporter's obligations, should be included in order to increase clarity as to the provisions which may be contained in a contract between a controller and a processor.
(8) Supervisory authorities of the Member States play a key role in this contractual mechanism in ensuring that personal data are adequately protected after the transfer. In exceptional cases where data exporters refuse or are unable to instruct the data importer properly, with an imminent risk of grave harm to the data subjects, the standard contractual clauses should allow the supervisory authorities to audit data importers and, where appropriate, take decisions which are binding on data importers. The supervisory authorities should have the power to prohibit or suspend a data transfer or a set of transfers based on the standard contractual clauses in those exceptional cases where it is established that a transfer on contractual basis is likely to have a substantial adverse effect on the warranties and obligations providing adequate protection for the data subject.
(9) The Commission may also consider in the future whether standard contractual clauses for the transfer of personal data to data processors established in third countries not offering an adequate level of data protection, submitted by business organisations or other interested parties, offer adequate safeguards in accordance with Article 26(2) of Directive 95/46/EC.
(10) A disclosure of personal data to a data processor established outside the Community is an international transfer protected under Chapter IV of Directive 95/46/EC. Consequently, this Decision does not cover the transfer of personal data by controllers established in the Community to controllers established outside the Community who fall within the scope of Commission Decision 2001/497/EC of 15 June 2001 on standard contractual clauses for the transfer of personal data to third countries, under Directive 95/46/EC(4).
(11) The standard contractual clauses should provide for the technical and organisational security measures ensuring a level of security appropriate to the risks represented by the processing and the nature of the data to be protected that a data processor established in a third country not providing adequate protection must apply. Parties should make provision in the contract for those technical and organisational measures which, having regard to applicable data protection law, the state of the art and the cost of their implementation, are necessary in order to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access or any other unlawful forms of processing.
(12) In order to facilitate data flows from the Community, it is desirable that processors providing data processing services to several data controllers in the Community be allowed to apply the same technical and organisational security measures irrespective of the Member State from which the data transfer originates, in particular in those cases where the data importer receives data for further processing from different establishments of the data exporter in the Community, in which case the law of the designated Member State of establishment should apply.
(13) It is appropriate to lay down the minimum information that the parties must specify in the contract dealing with the transfer. Member States should retain the power to particularise the information the parties are required to provide. The operation of this Decision should be reviewed in the light of experience.
(14) The data importer should process the transferred personal data only on behalf of the data exporter and in accordance with his instructions and the obligations contained in the clauses. In particular the data importer should not disclose the personal data to a third party unless in accordance with certain conditions. The data exporter should instruct the data importer throughout the duration of the data processing Services to process the data in accordance with his instructions, the applicable data protection laws and the obligations contained in the clauses. The transfer of personal data to processors established outside the Community does not prejudice the fact that the processing activities should be governed in any case by the applicable data protection law.
(15) The standard contractual clauses should be enforceable not only by the organisations which are parties to the contract, but also by the data subjects, in particular where the data subjects suffer damage as a consequence of a breach of the contract.
(16) The data subject should be entitled to take action and, where appropriate, receive compensation from the data exporter who is the data controller of the personal data transferred. Exceptionally, the data subject should also be entitled to take action, and, where appropriate, receive compensation from the data importer in those cases, arising out of a breach by the data importer of any of his obligations referred to in the second paragraph of clause 3, where the data exporter has factually disappeared or has ceased to exist in law or has become insolvent.
(17) In the event of a dispute between a data subject, who invokes the third-party beneficiary clause and the data importer, which is not amicably resolved, the data importer should agree to provide the data subject with the choice between mediation, arbitration or litigation. The extent to which the data subject will have an effective choice should depend on the availability of reliable and recognised systems of mediation and arbitration. Mediation by the data protection supervisory authorities of the Member State in which the data exporter is established should be an option where they provide such a service.
(18) The contract should be governed by the law of the Member State in which the data exporter is established enabling a third-party beneficiary to enforce a contract. Data subjects should be allowed to be represented by associations or other bodies if they so wish and if authorised by national law.
(19) The Working Party on the Protection of Individuals with regard to the processing of Personal Data established under Article 29 of Directive 95/46/EC has delivered an opinion on the level of protection provided under the standard contractual clauses annexed to this Decision, which has been taken into account in the preparation of this Decision(5).
(20) The measures provided for in this Decision are in accordance with the opinion of the Committee established under Article 31 of Directive 95/46/EC,
HAS ADOPTED THIS DECISION:
Article 1
The standard contractual clauses set out in the Annex are considered as offering adequate safeguards with respect to the protection of the privacy and fundamental rights and freedoms of individuals and as regards the exercise of the corresponding rights as required by Article 26(2) of Directive 95/46/EC.
Article 2
This Decision concerns only the adequacy of protection provided by the standard contractual clauses set out in the Annex for the transfer of personal data to processors. It does not affect the application of other national provisions implementing Directive 95/46/EC that pertain to the processing of personal data within the Member States.
This Decision shall apply to the transfer of personal data by controllers established in the Community to recipients established outside the territory of the Community who act only as processors.
Article 3
For the purposes of this Decision:
(a) the definitions in Directive 95/46/EC shall apply;
(b) "special categories of data" means the data referred to in Article 8 of that Directive;
(c) "supervisory authority" means the authority referred to in Article 28 of that Directive;
(d) "data exporter" means the controller who transfers the personal data;
(e) "data importer" means the processor established in a third country who agrees to receive from the data exporter personal data intended for processing on the data exporter's behalf after the transfer in accordance with his instructions and the terms of this Decision and who is not subject to a third country's system ensuring adequate protection;
(f) "applicable data protection law" means the legislation protecting the fundamental rights and freedoms of natural persons and, in particular, their right to privacy with respect to the processing of personal data applicable to a data controller in the Member State in which the data exporter is established;
(g) "technical and organisational security measures" means those measures aimed at protecting personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorised disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.
Article 4
1. Without prejudice to their powers to take action to ensure compliance with national provisions adopted pursuant to Chapters II, III, V and VI of Directive 95/46/EC, the competent authorities in the Member States may exercise their existing powers to prohibit or suspend data flows to third countries in order to protect individuals with regard to the processing of their personal data in cases where:
(a) it is established that the law to which the data importer is subject imposes upon him requirements to derogate from the applicable data protection law which go beyond the restrictions necessary in a democratic society as provided for in Article 13 of Directive 95/46/EC where those requirements are likely to have a substantial adverse effect on the guarantees provided by the applicable data protection law and the standard contractual clauses; or
(b) a competent authority has established that the data importer has not respected the contractual clauses in the Annex; or
(c) there is a substantial likelihood that the standard contractual clauses in the Annex are not being or will not be complied with and the continuing transfer would create an imminent risk of grave harm to the data subjects.
2. The prohibition or suspension pursuant to paragraph 1 shall be lifted as soon as the reasons for the suspension or prohibition no longer exist.
3. When Member States adopt measures pursuant to paragraphs 1 and 2, they shall, without delay, inform the Commission which will forward the information to the other Member States.
Article 5
The Commission shall evaluate the operation of this Decision on the basis of available information three years after its notification to the Member States. It shall submit a report on the findings to the Committee established under Article 31 of Directive 95/46/EC. It shall include any evidence that could affect the evaluation concerning the adequacy of the standard contractual clauses in the Annex and any evidence that this Decision is being applied in a discriminatory way.
Article 6
This Decision shall apply from 3 April 2002.
Article 7
This Decision is addressed to the Member States.
Done at Brussels, 27 December 2001.