Rozhodnutí Komise
ze dne 27. prosince 2001
o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice 95/46/ES
(oznámeno pod číslem K(2001) 4540)
(Text s významem pro EHP)
(2002/16/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1], a zejména na čl. 26 odst. 4 uvedené směrnice,
vzhledem k těmto důvodům:
(1) Podle směrnice 95/46/ES jsou členské státy povinny zajistit, aby se předávání osobních údajů do třetí země mohlo uskutečnit pouze za podmínky, že dotyčná třetí země zaručí odpovídající úroveň ochrany údajů a že před předáváním budou dodrženy právní předpisy členských států, které jsou v souladu s ostatními ustanoveními směrnice.
(2) Čl. 26 odst. 2 směrnice 95/46/ES však stanoví, že členské státy mohou předání nebo předávání osobních údajů do třetích zemí, které nezajišťují odpovídající úroveň ochrany, povolit za předpokladu, že existují určitá ochranná opatření. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek.
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů posuzována s ohledem na veškeré okolnosti doprovázející předání nebo předávání údajů. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů založená podle uvedené směrnice [2] vydala v zájmu usnadnění posuzování pokyny [3].
(4) Standardní smluvní doložky se týkají pouze ochrany údajů. Vývozce údajů a dovozce údajů mohou do smluv libovolně začlenit jakékoli další doložky, které se vztahují k předmětu obchodu, které jsou dle jejich názoru pro účely dané smlouvy vhodné, a to za podmínky, že nejsou v rozporu se standardními smluvními doložkami.
(5) Tímto rozhodnutím by neměla být dotčena vnitrostátních oprávnění, která mohou členské státy udělit v souladu s vnitrostátními právními předpisy, kterými se provádí čl. 26 odst. 2 směrnice 95/46/ES. Toto rozhodnutí pouze požaduje po členských státech, aby neodmítaly uznat smluvní doložky uvedené v tomto rozhodnutí jako dostatečná ochranná opatření, a nemá tudíž žádný vliv na ostatní smluvní doložky.
(6) Oblast působnosti tohoto rozhodnutí je omezena na stanovení toho, že doložky, které uvádí, mohou být použity správcem údajů usazeným ve Společenství, aby bylo možno stanovit odpovídající ochranná opatření ve smyslu čl. 26 odst. 2 směrnice 95/46/ES pro předávání osobních údajů zpracovateli usazenému ve třetí zemi.
(7) Toto rozhodnutí by mělo provádět povinnost uvedenou v čl. 17 odst. 3 směrnice 95/46/ES a není jím dotčen obsah smluv nebo právních aktů vzniklých v souladu s tímto ustanovením. Součástí smluv nebo právních aktů by však měly být některé ze standardních smluvních doložek, zejména ve vztahu k povinnostem vývozce údajů, aby byla zajištěna srozumitelnost ustanovení, která mohou být obsažena ve smlouvě mezi správcem a zpracovatelem.
(8) Orgány dozoru členských států hrají v tomto smluvním mechanizmu klíčovou roli při zajišťování toho, aby osobní údaje byly po předání náležitě chráněny. Ve výjimečných případech, kdy vývozci údajů odmítnou řádně poučit dovozce údajů nebo kdy jej řádně poučit nemohou a kdy subjektům údajů hrozí bezprostřední riziko závažné újmy, by měly standardní smluvní doložky umožňovat orgánům dovozu prověřit dovozce údajů a popřípadě přijmout rozhodnutí, která budou pro dovozce údajů závazná. Orgány dozoru by měly mít pravomoc zakázat nebo pozastavit předání nebo předávání údajů uskutečněné na základě standardních smluvních doložek v takových výjimečných případech, kdy by předávání uskutečněné na smluvním základě mělo pravděpodobně závažný nepříznivý dopad na ochranná opatření a povinnosti vztahující se k zajištění odpovídající ochrany subjektu údajů.
(9) Komise by také mohla v budoucnu zvážit, zda standardní smluvní doložky předkládané obchodními organizacemi nebo jinými zainteresovanými osobami pro předávání osobních údajů zpracovatelům údajů usazeným ve třetích zemích, které neposkytují odpovídající úroveň ochrany údajů, nabízejí dostatečná ochranná opatření v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
(10) Zpřístupnění osobních údajů zpracovateli údajů usazenému mimo Společenství přestavuje mezinárodní předávání chráněné podle kapitoly IV směrnice 95/46/ES. Toto rozhodnutí se proto nevztahuje na předávání osobních údajů správci usazenému ve Společenství správcům usazeným mimo Společenství, kteří spadají do oblasti působnosti rozhodnutí Komise 2001/497/ES ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES [4].
(11) Standardní smluvní doložky by měly stanovit technická a organizační bezpečnostní opatření, která by zajistila úroveň bezpečnosti odpovídající rizikům spojeným se zpracováním a s povahou údajů, jež mají být chráněny, a která musejí být uplatňována zpracovatelem údajů usazeným ve třetí zemi, která neposkytuje dostatečnou ochranu. Strany by měly do smlouvy začlenit ustanovení vztahující se k těmto technickým a organizačním opatřením, která s ohledem na právo rozhodné pro ochranu údajů, na stav techniky a na náklady související s jejich prováděním jsou nezbytná v zájmu ochrany osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem nebo před ostatními protiprávními způsoby zpracování.
(12) V zájmu usnadnění toků údajů směrem ze Společenství je žádoucí, aby zpracovatelům poskytujícím služby zpracování údajů několika správcům údajů ve Společenství bylo dovoleno uplatňovat stejná technická a organizační bezpečnostní opatření bez ohledu na to, ze kterého členského státu je předávání údajů prováděno, zejména v případech, kdy dovozce údajů získává údaje pro další zpracování od různých provozoven vývozce údajů ve Společenství; v takovém případě by mělo být použito právo příslušného členského státu, v němž je vývozce údajů usazen.
(13) Je vhodné stanovit minimální rozsah informací, který musejí strany ve smlouvě o předávání výslovně uvést. Členské státy by si měly ponechat pravomoc upřesnit, jaké informace musejí strany uvést. Uplatňování tohoto rozhodnutí by mělo být přezkoumáno na základě zkušeností.
(14) Dovozce údajů by měl předávané osobní údaje zpracovávat pouze jménem vývozce údajů a v souladu s jeho pokyny a s povinnostmi obsaženými v doložkách. Dovozce údajů by především neměl zpřístupnit osobní údaje třetí straně, pokud to není v souladu s určitými podmínkami. Vývozce údajů by měl dovozce údajů po celou dobu poskytování služeb spojených se zpracováním údajů upozorňovat, že má údaje zpracovávat v souladu s pokyny vývozce údajů, s právem rozhodným pro ochranu údajů a s povinnostmi obsaženými v doložkách. Předávání osobních údajů zpracovateli se sídlem mimo Společenství nijak neovlivňuje skutečnost, že činnosti spojené se zpracováním údajů by se měly v každém případě řídit právem rozhodným pro ochranu údajů.
(15) Standardní smluvní doložky by měly být vynutitelné nejen organizacemi, které jsou stranami smlouvy, ale také subjekty údajů, zejména v případech, kdy subjekty údajů utrpí škodu v důsledku porušení smlouvy.
(16) Subjekt údajů by měl být oprávněn podat žalobu a případně obdržet náhradu škody od vývozce údajů, který je správcem předávaných osobních údajů. Ve výjimečných případech by měl být subjekt údajů oprávněn podat žalobu a případně obdržet náhradu škody od dovozce údajů, pokud došlo k porušení některé z povinností dovozce údajů uvedených v druhém odstavci doložky 3, pokud vývozce údajů fakticky zmizel, z právního hlediska zanikl nebo je v platební neschopnosti.
(17) V případě sporu mezi subjektem údajů, který se dovolává doložky ve prospěch třetí strany, a dovozcem údajů, který není vyřešen smírně, by se měl dovozce údajů zavázat, že nabídne subjektu údajů, aby si zvolil mezi mediací, rozhodčím řízením nebo soudním řízením. Rozsah, v jakém si bude moci subjekt údajů skutečně zvolit způsob řešení, by měl záviset na dostupnosti spolehlivých a uznaných systémů mediace a rozhodčího řízení. Mediace prostřednictvím orgánů dozoru pro ochranu údajů v členském státě, ve kterém je usazen vývozce údajů, by měla být v případě, že je tato služba k dispozici, jednou z možností.
(18) Rozhodné právo smlouvy by mělo být právem členského státu, ve kterém je usazen vývozce údajů, umožňujícím oprávněné třetí straně vynutit splnění smlouvy. Subjekty údajů mohou být zastoupeny sdruženími nebo jinými subjekty, je-li to jejich přání a povoluje-li to vnitrostátní právo.
(19) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko k úrovni ochrany poskytované podle standardních smluvních doložek připojených k tomuto rozhodnutí, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí [5].
(20) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Standardní smluvní doložky uvedené v příloze jsou považovány za dostatečná ochranná opatření s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, jakož i s ohledem na výkon odpovídajících práv v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
Článek 2
Toto rozhodnutí se týká pouze dostatečnosti ochrany zajištěné standardními smluvními doložkami pro předávání osobních údajů zpracovatelům, které jsou uvedeny v příloze. Nevztahuje se na používání ostatních vnitrostátních předpisů, kterými se provádí směrnice 95/46/ES a které souvisejí se zpracováním osobních údajů v členských státech.
Toto rozhodnutí se vztahuje na předávání osobních údajů správci usazenými ve Společenství příjemcům usazeným mimo území Společenství, kteří působí pouze jako zpracovatelé.
Článek 3
Pro účely tohoto rozhodnutí se:
a) použijí definice uvedené ve směrnici 95/46/ES;
b) "zvláštními kategoriemi údajů" rozumějí údaje uvedené v článku 8 uvedené směrnice;
c) "orgánem dozoru" rozumí orgán uvedený v článku 28 uvedené směrnice;
d) "vývozcem údajů" rozumí správce, který předává osobní údaje;
e) "dovozcem údajů" rozumí zpracovatel usazený ve třetí zemi, který se zavazuje přijímat od vývozce údajů osobní údaje určené ke zpracování jménem vývozce údajů po předání v souladu s jeho pokyny a s podmínkami tohoto rozhodnutí a který nepodléhá systému třetí země zajišťující odpovídající ochranu;
f) "právem rozhodným pro ochranu údajů" rozumí právní předpisy ochraňující základní práva a svobody fyzických osob, a zejména jejich právo na soukromí ve vztahu ke zpracování osobních údajů, které se použijí na správce údajů v členském státě, ve kterém je usazen vývozce údajů;
g) "technickými a organizačními bezpečnostními opatřeními" rozumějí opatření zaměřená na ochranu osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem, zejména v případech, kdy v souvislosti se zpracováním dochází k přenosu údajů po síti, a před všemi ostatními protiprávními způsoby zpracování.
Článek 4
1. Aniž jsou dotčeny jejich pravomoci přijmout opatření k zajištění dodržování vnitrostátních předpisů přijatých podle kapitol II, III, V a VI směrnice 95/46/ES, mohou příslušné orgány členských států vykonávat své stávající pravomoci zakázat nebo pozastavit toky údajů směřující do třetích zemí, aby tak chránily jednotlivce v souvislosti se zpracováním jejich osobních údajů v případech, kdy:
a) je zjištěno, že právní předpisy, kterým dovozce údajů podléhá, po něm vyžadují, aby se odchýlil se od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46/ES, a že tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na ochranná opatření poskytovaná právem rozhodným pro ochranu údajů a standardními smluvními doložkami, nebo
b) příslušný orgán zjistil, že dovozce údajů nedodržoval smluvní doložky uvedené v příloze, nebo
c) je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.
2. Zákaz či pozastavení podle odstavce 1 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.
3. Jakmile členské státy přijmou opatření podle odstavců 1 a 2, informují neprodleně Komisi, která informace předá ostatním členským státům.
Článek 5
Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení členským státům. Předloží zprávu o zjištěních výboru zřízenému podle článku 31 směrnice 95/46/ES. Zpráva bude obsahovat veškeré důkazy, které by mohly ovlivnit hodnocení dostatečnosti standardních smluvních doložek uvedených v příloze, jakož i veškeré důkazy o tom, že se toto rozhodnutí uplatňuje diskriminačním způsobem.
Článek 6
Toto rozhodnutí se použije ode dne 3. dubna 2002.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 27. prosince 2001.
Décision de la Commission
du 27 décembre 2001
relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu de la directive 95/46/CE
[notifiée sous le numéro C(2001) 4540]
(Texte présentant de l'intérêt pour l'EEE)
(2002/16/CE)
LA COMMISSION DES COMMUNAUTÉS EUROPÉENNES,
vu le traité instituant la Communauté européenne,
vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données(1), et notamment son article 26, paragraphe 4,
considérant ce qui suit:
(1) Conformément à la directive 95/46/CE, les États membres sont tenus de veiller à ce qu'un transfert de données à caractère personnel vers un pays tiers n'ait lieu que si le pays en question assure un niveau de protection adéquat des données et si les lois des États membres, qui sont conformes aux autres dispositions de la directive, sont respectées avant le transfert.
(2) Toutefois, l'article 26, paragraphe 2, de la directive 95/46/CE prévoit que les États membres peuvent autoriser, sous certaines garanties, un transfert, ou un ensemble de transferts, de données à caractère personnel vers des pays tiers n'assurant pas un niveau de protection adéquat. Ces garanties peuvent notamment résulter de clauses contractuelles appropriées.
(3) Conformément à la directive 95/46/CE, le niveau de protection des données doit s'apprécier au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts. Le groupe de protection des personnes à l'égard du traitement des données à caractère personnel instauré au titre de ladite directive(2) a publié des lignes directrices afin de faciliter l'évaluation(3).
(4) Les clauses contractuelles types ne concernent que la protection des données et l'exportateur et l'importateur sont libres d'inclure d'autres clauses à caractère commercial qu'ils jugent pertinentes pour le contrat à condition qu'elles ne contredisent pas les clauses contractuelles types.
(5) La présente décision ne doit pas affecter les autorisations nationales que les États membres peuvent délivrer conformément aux dispositions nationales mettant en oeuvre l'article 26, paragraphe 2, de la directive 95/46/CE. La présente décision a pour seul effet d'obliger les États membres à ne pas refuser de reconnaître que les clauses contractuelles qui y figurent offrent des garanties adéquates et elle n'a donc aucun effet sur d'autres clauses contractuelles.
(6) Le champ d'application de la présente décision se limite à établir que les clauses qu'elle énonce peuvent être utilisées par un responsable du traitement de données établi dans la Communauté pour offrir des garanties adéquates, au sens de l'article 26, paragraphe 2, de la directive 95/46/CE, pour le transfert de données à caractère personnel vers un sous-traitant établi dans un pays tiers.
(7) La présente décision doit mettre en oeuvre l'obligation prévue à l'article 17, paragraphe 3, de la directive 95/46/CE et n'affecte pas le contenu d'un contrat ou acte juridique établi conformément à cette disposition. Toutefois, certaines clauses contractuelles types, relatives en particulier aux obligations de l'exportateur de données, doivent être incluses dans le but d'accroître la clarté en ce qui concerne les dispositions qui peuvent être introduites dans un contrat entre un responsable du traitement des données et un sous-traitant.
(8) Les autorités de contrôle des États membres jouent un rôle clé dans ce mécanisme contractuel en garantissant la protection adéquate des données à caractère personnel après le transfert. Dans les cas exceptionnels où les exportateurs de données refusent ou ne sont pas en mesure d'instruire convenablement l'importateur de données et où il existe un risque imminent de dommage grave pour les personnes concernées, les clauses contractuelles types doivent permettre aux autorités de contrôle de soumettre les importateurs de données à des vérifications et, lorsque cela se révèle approprié, de prendre des décisions auxquelles ces derniers devront se plier. Les autorités de contrôle doivent avoir la faculté d'interdire ou de suspendre un transfert de données ou un ensemble de transferts basé sur les clauses contractuelles types dans les cas exceptionnels où il est établi qu'un transfert basé sur des termes contractuels risque d'altérer considérablement les garanties et les obligations offrant un niveau de protection adéquat à la personne concernée.
(9) À l'avenir, la Commission pourra également examiner si les clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants de données établis dans des pays tiers n'offrant pas un niveau adéquat de protection des données, présentées par des organisations commerciales ou d'autres parties concernées, offrent des garanties suffisantes conformément à l'article 26, paragraphe 2, de la directive 95/46/CE.
(10) La divulgation de données à caractère personnel à un sous-traitant de données établi en dehors de la Communauté constitue un échange international protégé en vertu du chapitre IV de la directive 95/46/CE. En conséquence, la présente décision ne couvre pas le transfert de données à caractère personnel effectué par des responsables du traitement établis dans la Communauté vers des responsables du traitement établis en dehors de la Communauté qui relèvent du champ d'application de la décision 2001/497/CE de la Commission du 15 juin 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu de la directive 95/46/CE(4).
(11) Les clauses contractuelles types doivent prévoir les mesures techniques et d'organisation assurant un niveau de sécurité adapté aux risques liés au traitement et à la nature des données à protéger que doit mettre en oeuvre un sous-traitant établi dans un pays tiers n'offrant pas un niveau de protection adéquat. Les parties doivent prévoir dans le contrat les mesures techniques et d'organisation qui, eu égard au droit applicable à la protection des données, au niveau technologique et au coût de mise en oeuvre, sont nécessaires pour protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte fortuite, une altération, une divulgation ou un accès non autorisé ou toute autre forme illicite de traitement.
(12) Afin de faciliter les flux de données provenant de la Communauté, il est souhaitable que les sous-traitants offrant des services de traitement des données à plusieurs responsables du traitement des données de la Communauté soient autorisés à appliquer les mêmes mesures techniques et d'organisation liées à la sécurité, quel que soit l'État membre d'où provient le transfert de données, notamment dans les cas où l'importateur de données reçoit, pour un traitement ultérieur, des données originaires de différents établissements de l'exportateur de données dans la Communauté.
(13) Il convient de définir les informations minimales que les parties doivent prévoir dans le contrat relatif au transfert. Les États membres doivent conserver la faculté de spécifier les informations que les parties doivent fournir. L'application de la présente décision doit être évaluée à la lumière de l'expérience acquise.
(14) L'importateur de données doit traiter les données à caractère personnel transférées pour le compte exclusif de l'exportateur de données et selon ses instructions et les obligations incluses dans les clauses. En particulier, l'importateur de données ne doit divulguer les données à caractère personnel à un tiers que conformément à certaines conditions. L'exportateur de données doit charger l'importateur de données, pendant la durée des services de traitement des données, de traiter les données conformément à ses instructions, au droit applicable à la protection des données et aux obligations contenues dans les clauses. Le transfert de données à caractère personnel vers des sous-traitants établis en dehors de la Communauté n'enlève rien au fait que les activités de traitement doivent être régies en tout état de cause par le droit applicable à la protection des données.
(15) Les clauses contractuelles types doivent être exécutoires non seulement par les organisations parties au contrat mais également par les personnes concernées, en particulier lorsque ces dernières subissent un dommage en raison d'une rupture du contrat.
(16) La personne concernée doit avoir le droit d'exercer un recours et, lorsque cela se révèle approprié, d'obtenir réparation de l'exportateur de données qui est le responsable du traitement des données à caractère personnel transférées. À titre exceptionnel, la personne concernée doit aussi avoir le droit d'exercer un recours et, lorsque cela se révèle approprié, d'obtenir réparation de l'importateur de données pour manquement par l'importateur de données à l'une ou à l'autre de ses obligations visées à la clause 3, deuxième alinéa, dans les cas où l'exportateur de données a matériellement disparu ou a cessé d'exister en droit ou est devenu insolvable.
(17) Si un litige entre la personne concernée qui invoque la clause du tiers bénéficiaire et l'importateur de données n'est pas résolu à l'amiable, l'importateur de données doit convenir de proposer à la personne concernée de choisir entre la médiation, l'arbitrage et la procédure judiciaire. La personne concernée aura réellement le choix dans la mesure où elle pourra disposer de systèmes de médiation et d'arbitrage fiables et reconnus. La médiation par les autorités de contrôle de la protection des données de l'État membre dans lequel est établi l'exportateur de données doit être une option lorsqu'elles fournissent un tel service.
(18) Le contrat doit être régi par le droit de l'État membre dans lequel l'exportateur de données est établi et qui permet à un tiers bénéficiaire de faire exécuter un contrat. Les personnes concernées devront pouvoir être représentées par des associations ou d'autres organismes si elles le souhaitent et si le droit national l'autorise.
(19) Le groupe de protection des personnes à l'égard du traitement des données à caractère personnel institué en vertu de l'article 29 de la directive 95/46/CE a émis un avis sur le niveau de protection prévu par les clauses contractuelles types annexées à la présente décision. Cet avis a été pris en considération dans la préparation de la présente décision(5).
(20) Les mesures prévues dans la présente décision sont conformes à l'avis du comité institué en vertu de l'article 31 de la directive 95/46/CE,
A ARRÊTÉ LA PRÉSENTE DÉCISION:
Article premier
Les clauses contractuelles types figurant en annexe sont considérées comme offrant des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu'à l'égard de l'exercice des droits correspondants comme l'exige l'article 26, paragraphe 2, de la directive 95/46/CE.
Article 2
La présente décision concerne uniquement le caractère adéquat de la protection fournie par les clauses contractuelles types figurant en annexe pour le transfert de données à caractère personnel. Elle n'affecte pas l'application d'autres dispositions nationales mettant en oeuvre la directive 95/46/CE qui se rapportent au traitement de données à caractère personnel dans les États membres.
La présente décision s'applique au transfert de données à caractère personnel par des responsables du traitement établis dans la Communauté à des destinataires établis en dehors du territoire de la Communauté qui agissent exclusivement en tant que sous-traitants.
Article 3
Aux fins de la présente décision:
a) les définitions contenues dans la directive 95/46/CE s'appliquent;
b) les "catégories particulières de données" sont les données visées à l'article 8 de ladite directive;
c) l'"autorité de contrôle" est l'autorité visée à l'article 28 de ladite directive;
d) l'"exportateur de données" est le responsable du traitement qui transfère les données à caractère personnel;
e) l'"importateur de données" est le sous-traitant établi dans un pays tiers qui accepte de recevoir de l'exportateur de données des données à caractère personnel destinées à être traitées pour le compte de ce dernier après le transfert conformément à ses instructions et aux conditions de la présente décision et qui n'est pas soumis au système d'un pays tiers assurant une protection adéquate;
f) le "droit applicable à la protection des données" est la législation protégeant les libertés et les droits fondamentaux des personnes physiques, notamment le droit à la vie privée à l'égard du traitement des données à caractère personnel, et s'appliquant à un responsable du traitement dans le pays où l'exportateur de données est établi;
g) les "mesures techniques et d'organisation liées à la sécurité" sont les mesures destinées à protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte fortuite, une altération, une divulgation ou un accès non autorisé, notamment lorsque le traitement suppose la transmission de données par réseau, et contre toute autre forme illicite de traitement.
Article 4
1. Sans préjudice de leurs pouvoirs de prendre des mesures visant à assurer le respect des dispositions nationales adoptées conformément aux chapitres II, III, V et VI de la directive 95/46/CE, les autorités compétentes des États membres peuvent exercer les pouvoirs dont elles disposent pour interdire ou suspendre les flux de données vers des pays tiers afin de protéger les individus à l'égard du traitement de leurs données à caractère personnel, et ce dans les cas où:
a) il est établi que le droit auquel l'importateur de données est soumis oblige ce dernier à déroger au droit applicable à la protection des données au-delà des limitations nécessaires dans une société démocratique pour l'une des raisons énoncées à l'article 13 de la directive 95/46/CE lorsque ces obligations risquent d'altérer considérablement les garanties offertes par le droit applicable à la protection des données et les clauses contractuelles types, ou
b) une autorité compétente a établi que l'importateur de données n'a pas respecté les clauses contractuelles figurant en annexe, ou
c) il est fort probable que les clauses contractuelles types figurant en annexe ne sont pas ou ne seront pas respectées et que la poursuite du transfert ferait courir aux personnes concernées un risque imminent de subir des dommages graves.
2. L'interdiction ou la suspension est levée dès que les raisons qui la motivaient disparaissent.
3. Lorsque les États membres adoptent des mesures conformément aux paragraphes 1 et 2, ils en informent sans délai la Commission, qui transmet l'information aux autres États membres.
Article 5
La Commission évalue l'application de la présente décision, sur la base des informations disponibles, trois ans après sa notification aux États membres. Elle présente au comité institué au titre de l'article 31 de la directive 95/46/CE un rapport sur les constatations effectuées. Le rapport comprend tout élément susceptible d'influer sur l'évaluation concernant le caractère adéquat des clauses contractuelles types figurant en annexe et tout élément indiquant que la présente décision est appliquée de manière discriminatoire.
Article 6
La présente décision s'applique à partir du 3 avril 2002.
Article 7
Les États membres sont destinataires de la présente décision.
Fait à Bruxelles, le 27 décembre 2001.