Rozhodnutí Komise
ze dne 27. prosince 2001
o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice 95/46/ES
(oznámeno pod číslem K(2001) 4540)
(Text s významem pro EHP)
(2002/16/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1], a zejména na čl. 26 odst. 4 uvedené směrnice,
vzhledem k těmto důvodům:
(1) Podle směrnice 95/46/ES jsou členské státy povinny zajistit, aby se předávání osobních údajů do třetí země mohlo uskutečnit pouze za podmínky, že dotyčná třetí země zaručí odpovídající úroveň ochrany údajů a že před předáváním budou dodrženy právní předpisy členských států, které jsou v souladu s ostatními ustanoveními směrnice.
(2) Čl. 26 odst. 2 směrnice 95/46/ES však stanoví, že členské státy mohou předání nebo předávání osobních údajů do třetích zemí, které nezajišťují odpovídající úroveň ochrany, povolit za předpokladu, že existují určitá ochranná opatření. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek.
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů posuzována s ohledem na veškeré okolnosti doprovázející předání nebo předávání údajů. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů založená podle uvedené směrnice [2] vydala v zájmu usnadnění posuzování pokyny [3].
(4) Standardní smluvní doložky se týkají pouze ochrany údajů. Vývozce údajů a dovozce údajů mohou do smluv libovolně začlenit jakékoli další doložky, které se vztahují k předmětu obchodu, které jsou dle jejich názoru pro účely dané smlouvy vhodné, a to za podmínky, že nejsou v rozporu se standardními smluvními doložkami.
(5) Tímto rozhodnutím by neměla být dotčena vnitrostátních oprávnění, která mohou členské státy udělit v souladu s vnitrostátními právními předpisy, kterými se provádí čl. 26 odst. 2 směrnice 95/46/ES. Toto rozhodnutí pouze požaduje po členských státech, aby neodmítaly uznat smluvní doložky uvedené v tomto rozhodnutí jako dostatečná ochranná opatření, a nemá tudíž žádný vliv na ostatní smluvní doložky.
(6) Oblast působnosti tohoto rozhodnutí je omezena na stanovení toho, že doložky, které uvádí, mohou být použity správcem údajů usazeným ve Společenství, aby bylo možno stanovit odpovídající ochranná opatření ve smyslu čl. 26 odst. 2 směrnice 95/46/ES pro předávání osobních údajů zpracovateli usazenému ve třetí zemi.
(7) Toto rozhodnutí by mělo provádět povinnost uvedenou v čl. 17 odst. 3 směrnice 95/46/ES a není jím dotčen obsah smluv nebo právních aktů vzniklých v souladu s tímto ustanovením. Součástí smluv nebo právních aktů by však měly být některé ze standardních smluvních doložek, zejména ve vztahu k povinnostem vývozce údajů, aby byla zajištěna srozumitelnost ustanovení, která mohou být obsažena ve smlouvě mezi správcem a zpracovatelem.
(8) Orgány dozoru členských států hrají v tomto smluvním mechanizmu klíčovou roli při zajišťování toho, aby osobní údaje byly po předání náležitě chráněny. Ve výjimečných případech, kdy vývozci údajů odmítnou řádně poučit dovozce údajů nebo kdy jej řádně poučit nemohou a kdy subjektům údajů hrozí bezprostřední riziko závažné újmy, by měly standardní smluvní doložky umožňovat orgánům dovozu prověřit dovozce údajů a popřípadě přijmout rozhodnutí, která budou pro dovozce údajů závazná. Orgány dozoru by měly mít pravomoc zakázat nebo pozastavit předání nebo předávání údajů uskutečněné na základě standardních smluvních doložek v takových výjimečných případech, kdy by předávání uskutečněné na smluvním základě mělo pravděpodobně závažný nepříznivý dopad na ochranná opatření a povinnosti vztahující se k zajištění odpovídající ochrany subjektu údajů.
(9) Komise by také mohla v budoucnu zvážit, zda standardní smluvní doložky předkládané obchodními organizacemi nebo jinými zainteresovanými osobami pro předávání osobních údajů zpracovatelům údajů usazeným ve třetích zemích, které neposkytují odpovídající úroveň ochrany údajů, nabízejí dostatečná ochranná opatření v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
(10) Zpřístupnění osobních údajů zpracovateli údajů usazenému mimo Společenství přestavuje mezinárodní předávání chráněné podle kapitoly IV směrnice 95/46/ES. Toto rozhodnutí se proto nevztahuje na předávání osobních údajů správci usazenému ve Společenství správcům usazeným mimo Společenství, kteří spadají do oblasti působnosti rozhodnutí Komise 2001/497/ES ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES [4].
(11) Standardní smluvní doložky by měly stanovit technická a organizační bezpečnostní opatření, která by zajistila úroveň bezpečnosti odpovídající rizikům spojeným se zpracováním a s povahou údajů, jež mají být chráněny, a která musejí být uplatňována zpracovatelem údajů usazeným ve třetí zemi, která neposkytuje dostatečnou ochranu. Strany by měly do smlouvy začlenit ustanovení vztahující se k těmto technickým a organizačním opatřením, která s ohledem na právo rozhodné pro ochranu údajů, na stav techniky a na náklady související s jejich prováděním jsou nezbytná v zájmu ochrany osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem nebo před ostatními protiprávními způsoby zpracování.
(12) V zájmu usnadnění toků údajů směrem ze Společenství je žádoucí, aby zpracovatelům poskytujícím služby zpracování údajů několika správcům údajů ve Společenství bylo dovoleno uplatňovat stejná technická a organizační bezpečnostní opatření bez ohledu na to, ze kterého členského státu je předávání údajů prováděno, zejména v případech, kdy dovozce údajů získává údaje pro další zpracování od různých provozoven vývozce údajů ve Společenství; v takovém případě by mělo být použito právo příslušného členského státu, v němž je vývozce údajů usazen.
(13) Je vhodné stanovit minimální rozsah informací, který musejí strany ve smlouvě o předávání výslovně uvést. Členské státy by si měly ponechat pravomoc upřesnit, jaké informace musejí strany uvést. Uplatňování tohoto rozhodnutí by mělo být přezkoumáno na základě zkušeností.
(14) Dovozce údajů by měl předávané osobní údaje zpracovávat pouze jménem vývozce údajů a v souladu s jeho pokyny a s povinnostmi obsaženými v doložkách. Dovozce údajů by především neměl zpřístupnit osobní údaje třetí straně, pokud to není v souladu s určitými podmínkami. Vývozce údajů by měl dovozce údajů po celou dobu poskytování služeb spojených se zpracováním údajů upozorňovat, že má údaje zpracovávat v souladu s pokyny vývozce údajů, s právem rozhodným pro ochranu údajů a s povinnostmi obsaženými v doložkách. Předávání osobních údajů zpracovateli se sídlem mimo Společenství nijak neovlivňuje skutečnost, že činnosti spojené se zpracováním údajů by se měly v každém případě řídit právem rozhodným pro ochranu údajů.
(15) Standardní smluvní doložky by měly být vynutitelné nejen organizacemi, které jsou stranami smlouvy, ale také subjekty údajů, zejména v případech, kdy subjekty údajů utrpí škodu v důsledku porušení smlouvy.
(16) Subjekt údajů by měl být oprávněn podat žalobu a případně obdržet náhradu škody od vývozce údajů, který je správcem předávaných osobních údajů. Ve výjimečných případech by měl být subjekt údajů oprávněn podat žalobu a případně obdržet náhradu škody od dovozce údajů, pokud došlo k porušení některé z povinností dovozce údajů uvedených v druhém odstavci doložky 3, pokud vývozce údajů fakticky zmizel, z právního hlediska zanikl nebo je v platební neschopnosti.
(17) V případě sporu mezi subjektem údajů, který se dovolává doložky ve prospěch třetí strany, a dovozcem údajů, který není vyřešen smírně, by se měl dovozce údajů zavázat, že nabídne subjektu údajů, aby si zvolil mezi mediací, rozhodčím řízením nebo soudním řízením. Rozsah, v jakém si bude moci subjekt údajů skutečně zvolit způsob řešení, by měl záviset na dostupnosti spolehlivých a uznaných systémů mediace a rozhodčího řízení. Mediace prostřednictvím orgánů dozoru pro ochranu údajů v členském státě, ve kterém je usazen vývozce údajů, by měla být v případě, že je tato služba k dispozici, jednou z možností.
(18) Rozhodné právo smlouvy by mělo být právem členského státu, ve kterém je usazen vývozce údajů, umožňujícím oprávněné třetí straně vynutit splnění smlouvy. Subjekty údajů mohou být zastoupeny sdruženími nebo jinými subjekty, je-li to jejich přání a povoluje-li to vnitrostátní právo.
(19) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko k úrovni ochrany poskytované podle standardních smluvních doložek připojených k tomuto rozhodnutí, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí [5].
(20) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Standardní smluvní doložky uvedené v příloze jsou považovány za dostatečná ochranná opatření s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, jakož i s ohledem na výkon odpovídajících práv v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
Článek 2
Toto rozhodnutí se týká pouze dostatečnosti ochrany zajištěné standardními smluvními doložkami pro předávání osobních údajů zpracovatelům, které jsou uvedeny v příloze. Nevztahuje se na používání ostatních vnitrostátních předpisů, kterými se provádí směrnice 95/46/ES a které souvisejí se zpracováním osobních údajů v členských státech.
Toto rozhodnutí se vztahuje na předávání osobních údajů správci usazenými ve Společenství příjemcům usazeným mimo území Společenství, kteří působí pouze jako zpracovatelé.
Článek 3
Pro účely tohoto rozhodnutí se:
a) použijí definice uvedené ve směrnici 95/46/ES;
b) "zvláštními kategoriemi údajů" rozumějí údaje uvedené v článku 8 uvedené směrnice;
c) "orgánem dozoru" rozumí orgán uvedený v článku 28 uvedené směrnice;
d) "vývozcem údajů" rozumí správce, který předává osobní údaje;
e) "dovozcem údajů" rozumí zpracovatel usazený ve třetí zemi, který se zavazuje přijímat od vývozce údajů osobní údaje určené ke zpracování jménem vývozce údajů po předání v souladu s jeho pokyny a s podmínkami tohoto rozhodnutí a který nepodléhá systému třetí země zajišťující odpovídající ochranu;
f) "právem rozhodným pro ochranu údajů" rozumí právní předpisy ochraňující základní práva a svobody fyzických osob, a zejména jejich právo na soukromí ve vztahu ke zpracování osobních údajů, které se použijí na správce údajů v členském státě, ve kterém je usazen vývozce údajů;
g) "technickými a organizačními bezpečnostními opatřeními" rozumějí opatření zaměřená na ochranu osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem, zejména v případech, kdy v souvislosti se zpracováním dochází k přenosu údajů po síti, a před všemi ostatními protiprávními způsoby zpracování.
Článek 4
1. Aniž jsou dotčeny jejich pravomoci přijmout opatření k zajištění dodržování vnitrostátních předpisů přijatých podle kapitol II, III, V a VI směrnice 95/46/ES, mohou příslušné orgány členských států vykonávat své stávající pravomoci zakázat nebo pozastavit toky údajů směřující do třetích zemí, aby tak chránily jednotlivce v souvislosti se zpracováním jejich osobních údajů v případech, kdy:
a) je zjištěno, že právní předpisy, kterým dovozce údajů podléhá, po něm vyžadují, aby se odchýlil se od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46/ES, a že tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na ochranná opatření poskytovaná právem rozhodným pro ochranu údajů a standardními smluvními doložkami, nebo
b) příslušný orgán zjistil, že dovozce údajů nedodržoval smluvní doložky uvedené v příloze, nebo
c) je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.
2. Zákaz či pozastavení podle odstavce 1 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.
3. Jakmile členské státy přijmou opatření podle odstavců 1 a 2, informují neprodleně Komisi, která informace předá ostatním členským státům.
Článek 5
Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení členským státům. Předloží zprávu o zjištěních výboru zřízenému podle článku 31 směrnice 95/46/ES. Zpráva bude obsahovat veškeré důkazy, které by mohly ovlivnit hodnocení dostatečnosti standardních smluvních doložek uvedených v příloze, jakož i veškeré důkazy o tom, že se toto rozhodnutí uplatňuje diskriminačním způsobem.
Článek 6
Toto rozhodnutí se použije ode dne 3. dubna 2002.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 27. prosince 2001.
Decisão da Comissão
de 27 de Dezembro de 2001
relativa a cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para subcontratantes estabelecidos em países terceiros, nos termos da Directiva 95/46/CE
[notificada com o número C(2001) 4540]
(Texto relevante para efeitos do EEE)
(2002/16/CE)
A COMISSÃO DAS COMUNIDADES EUROPEIAS,
Tendo em conta o Tratado que institui a Comunidade Europeia,
Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados(1), e, nomeadamente, o n.o 4 do seu artigo 26.o,
Considerando o seguinte:
(1) Nos termos da Directiva 95/46/CE, os Estados-Membros devem assegurar que a transferência de dados pessoais para um país terceiro só possa realizar-se se o país terceiro em questão garantir um nível adequado de protecção de dados e se a legislação dos Estados-Membros, que é conforme às outras disposições da directiva, tiver sido respeitada antes de efectuada a transferência.
(2) Contudo, o n.o 2 do artigo 26.o da Directiva 95/46/CE estipula que os Estados-Membros podem autorizar, sujeitos a determinadas garantias, uma transferência ou um conjunto de transferências de dados pessoais para países terceiros que não assegurem um nível de protecção adequado. Essas garantias podem, designadamente, resultar de cláusulas contratuais adequadas.
(3) Nos termos da Directiva 95/46/CE, o nível de protecção dos dados pessoais deve ser apreciado em função de todas as circunstâncias que rodeiem a transferência ou o conjunto de transferências de dados. O grupo de trabalho de protecção das pessoas no que diz respeito ao tratamento de dados pessoais, instituído pela referida directiva(2), apresentou orientações destinadas a contribuir para essa apreciação(3).
(4) As cláusulas contratuais-tipo só se referem à protecção dos dados. O exportador de dados e o importador de dados podem incluir outras cláusulas sobre questões correlacionadas comercialmente que considerem pertinentes para o contrato desde que não contradigam as cláusulas contratuais-tipo.
(5) A presente decisão não deve impedir as autorizações nacionais que os Estados-Membros possam conceder em conformidade com as disposições nacionais nos termos do n.o 2 do artigo 26.o da Directiva 95/46/CE. A presente decisão apenas tem o efeito de requerer que os Estados-Membros não se recusem a reconhecer que as cláusulas contratuais nela estabelecidas oferecem garantias adequadas, não tendo, portanto, qualquer efeito sobre outras cláusulas contratuais.
(6) O âmbito da presente decisão limita-se a estipular que as cláusulas nela estabelecidas podem ser utilizadas por um responsável pelo tratamento de dados estabelecido na Comunidade, de modo a apresentar garantias adequadas, na acepção do n.o 2 do artigo 26.o da Directiva 95/46/CE, aquando de uma transferência de dados pessoais para um subcontratante estabelecido num país terceiro.
(7) A presente decisão deve executar a obrigação prevista no n.o 3 do artigo 17.o da Directiva 95/46/CE e não prejudica o conteúdo dos contratos ou actos jurídicos celebrados nos termos daquela disposição. Todavia, algumas das cláusulas contratuais-tipo, em especial no que respeita às obrigações do exportador de dados, devem ser introduzidas para aumentar a clareza no que se refere às disposições que podem ser incluídas num contrato entre um responsável pelo tratamento de dados e um subcontratante.
(8) As autoridades de controlo dos Estados-Membros desempenham um papel fundamental neste mecanismo contratual, assegurando a protecção adequada dos dados após a sua transferência. Nos casos excepcionais em que os exportadores de dados se recusem ou não possam dar instruções adequadas aos importadores de dados, podendo, dessa forma, prejudicar gravemente os titulares dos dados, as cláusulas contratuais-tipo devem permitir às autoridades de controlo realizar auditorias e, se for caso disso, tomar decisões vinculativas para os importadores de dados. As autoridades de controlo dos Estados-Membros devem ter o poder de proibir ou suspender uma transferência ou um conjunto de transferências de dados baseadas nas cláusulas contratuais-tipo, nos casos excepcionais em que se determine que uma transferência de base contratual possa ter um efeito adverso substancial nas garantias e obrigações que fornecem uma protecção adequada ao titular dos dados.
(9) No futuro, a Comissão também pode considerar se as cláusulas contratuais-tipo para a transferência de dados pessoais para subcontratantes estabelecidos em países terceiros que não ofereçam um nível adequado de protecção de dados, apresentadas pelas organizações empresariais e por outras partes interessadas, oferecem garantias adequadas em conformidade com o n.o 2 do artigo 26.o da Directiva 95/46/CE.
(10) A divulgação de dados pessoais a um subcontratante estabelecido fora da Comunidade é considerada uma transferência internacional protegida nos termos do capítulo IV da Directiva 95/46/CE. Por conseguinte, a presente decisão não abrange a transferência de dados pessoais efectuada por responsáveis pelo tratamento de dados estabelecidos na Comunidade para responsáveis pelo tratamento de dados estabelecidos fora da Comunidade que estejam abrangidos pelo âmbito de aplicação da Decisão 2001/497/CE da Comissão, de 15 de Junho de 2001, relativa às cláusulas contratuais-tipo aplicáveis às transferências de dados pessoais para países terceiros, nos termos da Directiva 95/46/CE(4).
(11) As cláusulas contratuais-tipo devem definir quais são as medidas de segurança técnicas e organizativas que um subcontratante estabelecido num país terceiro que não assegure uma protecção adequada deve aplicar para garantir um nível de segurança adequado em relação aos riscos que o tratamento representa e à natureza dos dados pessoais a proteger. As partes devem incluir uma disposição no contrato relativa às medidas técnicas e organizativas que, atendendo à legislação sobre protecção de dados aplicável, aos conhecimentos técnicos disponíveis e aos custos resultantes da sua aplicação, sejam necessárias para proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados e contra qualquer outra forma de tratamento ilícito.
(12) Por forma a facilitar o fluxo de dados da Comunidade, é desejável que os subcontratantes que prestem serviços de tratamento de dados a vários responsáveis pelo tratamento de dados na Comunidade sejam autorizados a aplicar as mesmas medidas de segurança técnicas e organizativas qualquer que seja o Estado-Membro de onde provenha a transferência dos dados, em particular nos casos em que o importador de dados receba dados para tratamento posterior provenientes de diferentes estabelecimentos do exportador de dados na Comunidade, caso em que deve aplicar-se a legislação do Estado-Membro de estabelecimento designado.
(13) Convém estabelecer a informação mínima que as partes devem especificar no contrato relativo à transferência. Os Estados-Membros devem conservar o poder de especificar quais as informações que as partes devem fornecer. O funcionamento da presente decisão deve ser revisto à luz da experiência adquirida.
(14) O importador de dados deve tratar os dados pessoais transferidos apenas por conta do exportador de dados, mediante as suas instruções e as obrigações contidas nas cláusulas. Em particular, o importador de dados não deve comunicar os dados pessoais a terceiros, excepto em conformidade com determinadas condições. O exportador de dados deve dar instruções ao importador de dados ao longo da duração dos serviços de tratamento de dados para proceder ao tratamento dos dados de acordo com as suas instruções, a legislação sobre protecção de dados aplicável e as obrigações contidas nas cláusulas. A transferência de dados pessoais para subcontratantes estabelecidos fora da Comunidade não invalida o facto de as actividades de tratamento serem regidas, de qualquer modo, pela legislação sobre protecção de dados aplicável.
(15) As cláusulas contratuais-tipo devem ser passíveis de execução não apenas pelas organizações signatárias do contrato, mas também pelos titulares dos dados, em particular quando os titulares dos dados sofrerem danos em consequência de uma violação do contrato.
(16) O titular dos dados deve ter o direito de intentar uma acção e de, se for caso disso, obter uma indemnização do exportador de dados que é o responsável pelo tratamento dos dados pessoais transferidos. A título excepcional, o titular dos dados deve também ter o direito de intentar uma acção e, se for caso disso, obter uma indemnização do importador de dados, nos casos em que, com base numa violação por parte do importador de dados de qualquer das suas obrigações referidas no segundo parágrafo da cláusula 3, o exportador de dados tenha desaparecido de facto ou tenha sido legalmente extinto ou se tenha tornado insolvente.
(17) Em caso de conflito que não possa ser resolvido de forma amigável entre o titular dos dados, invocando a cláusula do terceiro beneficiário, e o importador de dados, o importador de dados deve acordar em conceder ao titular dos dados a escolha entre a mediação, a arbitragem e o litígio. Até que ponto o titular dos dados terá uma escolha efectiva deve depender da disponibilidade de sistemas fiáveis reconhecidos de mediação e arbitragem. A mediação das autoridades de controlo responsáveis pela protecção dos dados do Estado-Membro em que o exportador de dados está estabelecido deve ser uma opção, sempre que tal entidade faculte esses serviços.
(18) A lei aplicável ao contrato deve ser a do Estado-Membro em que o exportador de dados está estabelecido quando permita a um terceiro beneficiário executar um contrato. Os titulares dos dados devem poder ser representados por associações ou outros organismos se assim o desejarem e se a legislação nacional o permitir.
(19) O grupo de trabalho de protecção das pessoas no que diz respeito ao tratamento de dados pessoais, instituído em conformidade com o artigo 29.o da Directiva 95/46/CE, emitiu um parecer sobre o nível de protecção oferecido pelas cláusulas contratuais-tipo anexadas à presente decisão, o qual foi tomado em consideração na elaboração da mesma(5).
(20) As medidas previstas na presente decisão estão em conformidade com o parecer do comité instituído pelo artigo 31.o da Directiva 95/46/CE,
ADOPTOU A PRESENTE DECISÃO:
Artigo 1.o
Considera-se que as cláusulas contratuais-tipo constantes do anexo oferecem garantias adequadas de protecção da vida privada e dos direitos e liberdades fundamentais das pessoas, assim como do exercício dos respectivos direitos, na acepção do n.o 2 do artigo 26.o da Directiva 95/46/CE.
Artigo 2.o
A presente decisão diz apenas respeito à adequação do nível de protecção concedido pelas cláusulas contratuais-tipo estabelecidas no anexo aplicáveis à transferência de dados pessoais para os subcontratantes. Não afecta a aplicação de outras disposições nacionais de transposição da Directiva 95/46/CE relativas ao tratamento de dados pessoais nos Estados-Membros.
A presente decisão aplica-se à transferência de dados pessoais efectuada por responsáveis pelo tratamento de dados estabelecidos na Comunidade para destinatários estabelecidos fora do território da Comunidade que actuem apenas como subcontratates.
Artigo 3.o
Para efeitos da presente decisão:
a) Aplicam-se as definições da Directiva 95/46/CE;
b) "Categorias especiais de dados" significa os dados a que se refere o artigo 8.o da citada directiva;
c) "Autoridade de controlo" significa a autoridade a que se refere o artigo 28.o da citada directiva;
d) "Exportador de dados" significa o responsável pelo tratamento que transfere os dados pessoais;
e) "Importador de dados" significa o subcontratante estabelecido num país terceiro que concorda em receber, do exportador, dados pessoais para serem tratados por conta deste depois da transferência, em conformidade com as suas instruções e nos termos da presente decisão e que não está sujeito a um sistema de um país terceiro que assegure uma protecção adequada;
f) "Legislação sobre protecção de dados aplicável" significa a legislação que protege os direitos e as liberdades fundamentais das pessoas singulares e, em particular, o seu direito à protecção da vida privada no que diz respeito ao tratamento dos seus dados pessoais, aplicável a um responsável pelo tratamento dos dados no Estado-Membro em que o exportador de dados está estabelecido;
g) "Medidas de segurança técnicas e organizativas" significa as medidas destinadas a proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito.
Artigo 4.o
1. Sem prejuízo das suas competências para tomar medidas que garantam o cumprimento das disposições nacionais adoptadas por força dos capítulos II, III, V e VI da Directiva 95/46/CE, as autoridades competentes dos Estados-Membros podem exercer as suas competências existentes para proibir ou suspender o fluxo de dados para países terceiros por forma a proteger as pessoas no que diz respeito ao tratamento dos seus dados pessoais, nos casos em que:
a) Seja determinado que a legislação a que o importador de dados está sujeito lhe impõe requisitos que lhe permitem derrogar a legislação sobre protecção de dados aplicável e que ultrapassam as restrições necessárias ao funcionamento de uma sociedade democrática tal como disposto no artigo 13.o da Directiva 95/46/CE, quando estes requisitos possam ter um efeito adverso substancial nas garantias fornecidas pela legislação sobre protecção de dados aplicável e pelas cláusulas contratuais-tipo, ou
b) Seja determinado, por uma entidade competente, que o importador de dados não respeitou as cláusulas contratuais em anexo, ou
c) Existam fortes probabilidades para supor que as cláusulas contratuais-tipo em anexo não estão a ser ou não virão a ser cumpridas e que a continuação da transferência dos dados pode causar graves prejuízos aos titulares dos dados.
2. A proibição ou suspensão, nos termos no n.o 1, serão levantadas assim que as razões para a suspensão ou proibição deixem de existir.
3. Quando os Estados-Membros adoptarem medidas em conformidade com o n.o 1 e o n.o 2, informarão o mais rapidamente possível a Comissão, a qual, por sua vez, informará os outros Estados-Membros.
Artigo 5.o
A Comissão avaliará o funcionamento da presente decisão com base na informação disponível três anos após a sua notificação aos Estados-Membros e apresentará um relatório sobre as conclusões do comité instituído pelo artigo 31.o da Directiva 95/46/CE, incluindo qualquer prova que possa afectar a avaliação no que diz respeito à adequação das cláusulas contratuais-tipo contidas no anexo e qualquer prova de que a presente decisão esteja a ser aplicada de forma discriminatória.
Artigo 6.o
A presente decisão aplica-se a partir de 3 de Abril de 2002.
Artigo 7.o
Os Estados-Membros são os destinatários da presente decisão.
Feito em Bruxelas, em 27 de Dezembro de 2001.