32004D0915
L 385/74
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2004 година
за изменение на Решение 2001/497/ЕО за въвеждане на алтернативен комплект общи договорни клаузи за прехвърляне на лични данни в трети страни
(нотифицирано под номер С(2004) 5271)
(текст от значение за ЕИП)
(2004/915/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. относно защитата на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
С цел улесняване на потоците данни от Общността е желателно лицата, отговарящи за обработката на данните, да могат да извършват прехвърлянето на данни глобално и с прилагане на единен комплект правила за защита на данните. В отсъствието на глобални норми за защита на данните, общите договорни клаузи осигуряват важен инструмент, позволяващ прехвърлянето на лични данни от всички държави-членки при спазване на общ за всички комплект правила. Във връзка с това в Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (2) се посочва модел на комплект общи договорни клаузи, който осигурява адекватни предпазни мерки за прехвърлянето на данни на трети страни.
(2)
От приемането на посоченото решение е придобит значителен опит. Освен това, с оглед при използването на различни механизми да се осигури ниво на защита на данните, еквивалентно на това, което се осигурява от комплекта общи договорни клаузи, предвидени в Решение 2001/497/ЕО, една група от стопански сдружения (3) представи комплект алтернативни общи договорни клаузи.
(3)
Тъй като използването на общите договорни клаузи за прехвърляне на данни в международен мащаб е доброволно, като общите договорни клаузи са само една от няколкото възможности съгласно Директива 95/46/ЕО за законно прехвърляне на лични данни в трета страна, износителите на данни на територията на Общността и вносителите на данни в трети страни би следвало да разполагат със свободата да избират друг комплект от общи договорни клаузи или друга правна основа за прехвърляне на данни. Тъй като всеки комплект като цяло оформя модел, на износителите на данни не бива да се позволява да променят тези комплекти, нито изцяло, нито частично да ги смесват по какъвто и да било начин.
(4)
Общите договорни клаузи, представени от стопанските сдружения, имат за цел увеличаване на използването на договорни клаузи сред операторите с помощта на някои механизми, като например по-гъвкави изисквания по отношение на ревизиите и по-подробни правила относно правото на достъп.
(5)
Освен това, като алтернатива на системата на солидарна отговорност, предвидена в Решение 2001/497/ЕО, в сега предложения комплект се съдържа режим на отговорност, основан на задълженията за добросъвестно изпълнение на поставените задачи в случаите, в които износителят на данните и вносителят на данните биха били задължени по отношение на субектите на данните за съответно нарушение на своите договорни задължения; освен това износителят на данните отговаря, ако не положи разумни усилия да определи дали вносителят на данните е в състояние да спази своите правни задължения съгласно клаузите (culpa in eligendo), като в този случай субектът на данните може да заведе съдебно дело срещу износителя на данните. Прилагането на клауза I, буква б) от новия комплект общи договорни клаузи е от особено значение в това отношение и в частност във връзка с възможността износителят на данните да провежда ревизии в помещенията на вносителите на данните или да изисква доказателства за достатъчно финансови ресурси, които да покриват изпълнението на неговите отговорности.
(6)
Що се отнася до упражняването от субектите на данните на правата им на бенефициери, се предвижда по-голяма ангажираност на износителя на данните при решаването на жалби от страна на субектите на данните, при което износителят на данните е задължен да влезе в контакт с вносителя на данните и при необходимост да търси принудително изпълнение на договора в рамките на обичайния едномесечен период. В случай че износителят на данните откаже да търси принудително изпълнение на договора, като същевременно нарушението на вносителя на данните все още продължава, субектът на данните може в такъв случай да търси принудително изпълнение на клаузите спрямо вносителя на данните и евентуално да предяви иск срещу него в съда на някоя от държавите-членки. Това приемане на юрисдикция и съгласието за спазване на решение на компетентен съд или орган по защита на данните не накърнява никои процесуални права на вносителите на данните, установени в трети страни, като например правото на обжалване.
(7)
При това обаче, с цел предотвратяване на злоупотребите с тази допълнителна гъвкавост, е целесъобразно да се обезпечи органите за защита на данните да могат по-лесно да забраняват или да отменят прехвърляния на данни, като при това се основават на новия комплект общи договорни клаузи в онези случаи, в които износителят на данните откаже да предприеме целесъобразните стъпки с цел прилагане на договорните задължения срещу вносителя на данните или в случай че последният откаже да сътрудничи доброволно на компетентните надзорни органи за защита на данните.
(8)
Използването на общите договорни клаузи ще се осъществява, без да се засяга прилагането на националните разпоредби, приети в съответствие с Директива 95/46/ЕО или с Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защитата на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронните комуникации) (4) и по-специално що се отнася до изпращането на търговски съобщения за целите на директния маркетинг.
(9)
На тази основа предпазните мерки, съдържащи се в представените общи договорни клаузи, могат да се считат за адекватни по смисъла на член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Работната група за защита на физическите лица по отношение на обработката на лични данни, създадена в съответствие с член 29 от Директива 95/46/ЕО, представи своето становище (5) относно нивото на защита, предвидено съгласно представяните общи договорни клаузи, което също бе взето предвид.
(11)
С цел оценка на функционирането на измененията на Решение 2001/497/ЕО, е целесъобразно Комисията да им даде оценка три години след тяхното нотифициране до държавите-членки.
(12)
Решение 2001/497/ЕО следва да бъде съответно изменено.
(13)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Решение 2001/497/ЕО се изменя, както следва:
1.
В член 1 се добавя следният параграф:
„Контролиращите данните органи, , могат да избират между комплект I или комплект II от приложението. При това обаче те не могат да изменят клаузите, нито да комбинират отделни клаузи от различните комплекти или самите комплекти.“
2.
В член 4 параграфи 2 и 3 се заменят със следния текст:
„2. За целите на параграф 1 контролиращият орган, предприема целесъобразни предпазни мерки на базата на общите договорни клаузи, съдържащи се в комплект II от приложението, компетентните власти по защита на данните имат правото да упражняват своите правомощия и да забраняват или спират потоци данни във всеки от следните случаи:
а)
отказ на вносителя на данните да оказва доброволно сътрудничество на органите за защита на данните или да спазва своите ясни задължения съгласно договора;
б)
отказ на износителя на данни да предприеме целесъобразни стъпки по търсене на принудително изпълнение на договора срещу вносителя на данни в рамките на обичайния едномесечен период след уведомлението, изпратено на износителя на данни от компетентния орган за защита на данните.
За целите на първа алинея недобросъвестен отказ или отказ за търсене на принудително изпълнение на договор от страна на вносителя на данни не включва случаите, в които сътрудничеството или принудителното изпълнение на договора би влязло в конфликт с императивните изисквания на националното законодателство, приложими по отношение на вносителя на данни, които не надхвърлят необходимото в демократичното общество на базата на един от интересите, изброени в член 13, параграф 1 от Директива 95/46/ЕО и по-специално санкциите, предвидени в международните и/или националните инструменти, изискванията по отношение на декларирането на данъци или изискванията за докладване на случаи на пране на пари.
За целите на първа алинея, буква а) сътрудничеството, в частност, може да включва предаването от страна на вносителя на данни на техническите средства за обработка с цел извършване на ревизия или задължението да спазва съветите на надзорния орган за защита на данните на територията на Общността.
3. Забраната или прекратяването съгласно параграфи 1 и 2 се отменя, веднага щом причините за забраната или прекратяването престанат да съществуват.
4. Когато държавите-членки приемат мерки в съответствие с параграфи 1, 2 и 3, те незабавно информират Комисията, която изпраща информацията до останалите държави-членки.“.
3.
В член 5 първото изречение се замества със следния текст:
„Комисията дава оценка на функционирането на настоящото решение въз основа на наличната информация три години след неговото нотифициране и нотифицирането на всички негови изменения до държавите-членки.“.
4.
Приложението се изменя, както следва:
1.
След заглавието се добавя терминът „КОМПЛЕКТ I“.
2.
Добавя се текстът, посочен в приложението към настоящото решение.
Член 2
Настоящото решение се прилага от 1 април 2005 г.
Член 3
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2004 година.
KOMISSION PÄÄTÖS,
tehty 27 päivänä joulukuuta 2004,
päätöksen 2001/497/EY muuttamisesta vaihtoehtoisten mallisopimuslausekkeiden ottamiseksi käyttöön henkilötietojen kolmansiin maihin siirtoa varten
(tiedoksiannettu numerolla K(2004) 5271)
(ETA:n kannalta merkityksellinen teksti)
(2004/915/EY)
EUROOPAN YHTEISÖJEN KOMISSIO, joka
ottaa huomioon Euroopan yhteisön perustamissopimuksen,
ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (1) ja erityisesti sen 26 artiklan 4 kohdan,
sekä katsoo seuraavaa:
(1)
Yhteisöstä tapahtuvien tiedonsiirtojen helpottamiseksi on toivottavaa, että rekisterinpitäjät voivat siirtää tietoja kaikkialla maailmassa samojen tietoturvasääntöjen mukaisesti. Maailmanlaajuisten tietoturvastandardien puuttuessa mallisopimuslausekkeet ovat tärkeä väline, joka mahdollistaa henkilötietojen siirron kaikista jäsenvaltioista yhteisten sääntöjen mukaisesti. Direktiivin 95/46/EY mukaisista mallisopimuslausekkeista henkilötietojen kolmansiin maihin siirtoa varten 15 päivänä kesäkuuta 2001 tehdyssä komission päätöksessä 2001/497/EY (2) säädetään tämän vuoksi mallisopimuslausekkeista, joilla taataan riittävät takeet tietojen kolmansiin maihin siirtoa varten.
(2)
Päätöksen hyväksymisen jälkeen on saatu paljon kokemuksia. Lisäksi elinkeinonharjoittajien järjestöjen yhteenliittymä (3) on esittänyt vaihtoehtoisia mallisopimuslausekkeita, jotka on suunniteltu tarjoamaan päätöksessä 2001/497/EY säädettyjä mallisopimuslausekkeita vastaava tietosuojan taso mutta eri mekanismeja hyödyntäen.
(3)
Mallisopimuslausekkeiden käyttö kansainvälisissä tiedonsiirroissa on vapaaehtoista, koska ne ovat vain yksi direktiivin 95/46/EY tarjoamista useista mahdollisuuksista henkilötietojen siirtämiseen kolmansiin maihin laillisesti, ja tämän vuoksi tietojen viejillä yhteisössä ja tietojen tuojilla kolmansissa maissa pitäisi olla vapaus valita mikä tahansa mallisopimuslausekkeiden kokonaisuus tai jokin muu laillinen perusta tiedonsiirroille. Koska kukin lausekekokonaisuus muodostaa mallin, tietojen viejät eivät kuitenkaan saa muuttaa näitä kokonaisuuksia tai yhdistellä niitä kokonaan tai osittain millään tavoin.
(4)
Elinkeinonharjoittajien järjestöjen esittämillä mallisopimuslausekkeilla pyritään lisäämään sopimuslausekkeiden käyttöä toimijoiden parissa esimerkiksi joustavampien tarkastusvaatimusten tai tietojen saantioikeutta koskevien yksityiskohtaisempien sääntöjen kaltaisilla mekanismeilla.
(5)
Lisäksi päätöksessä 2001/497/EY säädetyn yhteisvastuujärjestelmän vaihtoehtona nyt esitettävään kokonaisuuteen sisältyy riittävän huolellisuuden velvoitteeseen perustuva vahinkovastuujärjestelmä, jossa tietojen viejä ja tietojen tuoja vastaavat kukin rekisteröidylle sopimusvelvoitteidensa rikkomisesta; lisäksi tietojen viejä on vastuussa, ellei se ole pyrkinyt parhaansa mukaan varmistamaan, että tietojen tuoja kykenee täyttämään näiden lausekkeiden mukaiset oikeudelliset velvoitteensa (culpa in eligendo), ja rekisteröity voi ryhtyä oikeustoimiin tietojen viejää vastaan tämän asian osalta. Uusien mallisopimuslausekkeiden lausekkeen I kohdan b täytäntöönpano on erityisen tärkeää tässä suhteessa, etenkin kun otetaan huomioon tietojen viejän mahdollisuus tehdä tarkastuksia tietojen tuojan tiloissa tai pyytää tietojen tuojalta todisteita riittävistä varoista velvoitteiden hoitamiseksi.
(6)
Rekisteröityjen harjoittamien kolmannen osapuolen etua suojaavien oikeuksien osalta määrätään tietojen viejän tiiviimmästä osallistumisesta rekisteröityjen tekemien valitusten ratkaisuun niin, että tietojen viejän on otettava yhteyttä tietojen tuojaan ja tarvittaessa vaadittava sopimuksen täytäntöönpanoa tavanomaisessa yhden kuukauden ajassa. Jos tietojen viejä kieltäytyy vaatimasta sopimuksen täytäntöönpanoa ja tietojen tuojan rikkomus jatkuu edelleen, rekisteröity voi vaatia tietojen tuojaa panemaan lausekkeet täytäntöön ja viime kädessä haastaa tämän oikeuteen jossakin jäsenvaltiossa. Se, että tietojen tuoja hyväksyy tuomiovallan ja suostuu noudattamaan toimivaltaisen tuomioistuimen tai viranomaisen päätöstä, ei estä kolmansiin maihin sijoittautuneita tietojen tuojia käyttämästä oikeuskeinoja, kuten valitusoikeutta.
(7)
Jotta kuitenkin voitaisiin torjua lisääntyneestä joustavuudesta johtuvat väärinkäytökset, on asianmukaista määrätä, että tietosuojaviranomaiset voivat helpommin kieltää tai keskeyttää uuteen mallisopimuslausekkeiden kokonaisuuteen perustuvat tiedonsiirrot tapauksissa, joissa tietojen viejä kieltäytyy toteuttamasta asianmukaisia toimia tietojen tuojan sopimusvelvoitteiden täytäntöönpanoa varten tai tietojen tuoja kieltäytyy tekemästä lojaalia yhteistyötä toimivaltaisten tietosuojavalvontaviranomaisten kanssa.
(8)
Mallisopimuslausekkeiden käytöllä ei rajoiteta direktiivin 95/46/EY tai henkilötietojen käsittelystä ja yksityisyyden suojasta sähköisen viestinnän alalla (sähköisen viestinnän tietosuojadirektiivi) 12 päivänä heinäkuuta 2002 annetun Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY (4) täytäntöönpanemiseksi annettujen kansallisten säännösten soveltamista, etenkään niiltä osin, jotka koskevat kaupallisten viestien lähettämistä suoramarkkinointitarkoituksiin.
(9)
Esitettyihin mallisopimuslausekkeisiin sisältyviä takeita voidaan tällä perusteella pitää riittävinä direktiivin 95/46/EY 26 artiklan 2 kohdan mukaisesti.
(10)
Direktiivin 95/46/EY 29 artiklalla perustettu tietosuojatyöryhmä on antanut liitteenä olevien mallisopimuslausekkeiden antamasta suojan tasosta lausunnon (5), joka on otettu huomioon.
(11)
Voidakseen arvioida muutosten vaikutusta päätökseen 2001/497/EY komission on aiheellista tarkastella niitä kolmen vuoden kuluttua niiden tiedoksiantamisesta jäsenvaltioille.
(12)
Päätös 2001/497/EY olisi muutettava vastaavasti.
(13)
Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklalla perustetun komitean lausunnon mukaiset,
ON TEHNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
Muutetaan päätös 2001/497/EY seuraavasti:
1)
Lisätään 1 artiklaan seuraava kohta:
”Rekisterinpitäjät voivat valita kumman tahansa liitteessä olevista lausekekokonaisuuksista I tai II. Ne eivät kuitenkaan voi muuttaa lausekkeita eivätkä yhdistää yksittäisiä lausekkeita tai lausekekokonaisuuksia.”
2)
Korvataan 4 artiklan 2 ja 3 kohta seuraavasti:
”2. Jos 1 kohtaa sovellettaessa rekisterinpitäjä esittää riittävät takeet liitteessä olevaan kokonaisuuteen II sisältyvien mallisopimuslausekkeiden perusteella, toimivaltaiset tietosuojaviranomaiset voivat harjoittaa toimivaltaansa ja kieltää tai keskeyttää tiedonsiirrot seuraavissa tapauksissa:
a)
tietojen tuoja kieltäytyy tekemästä vilpitöntä yhteistyötä tietosuojaviranomaisten kanssa tai noudattamasta selkeästi sopimuksen mukaisia velvoitteitaan;
b)
tietojen viejä kieltäytyy ryhtymästä asianmukaisiin toimenpiteisiin tietojen tuojaa vastaan sopimuksen täytäntöönpanemiseksi tavanomaisessa yhden kuukauden ajassa siitä, kun toimivaltainen tietosuojaviranomainen on huomauttanut asiasta tietojen viejälle.
Ensimmäistä alakohtaa sovellettaessa tietojen tuojan ei katsota kieltäytyvän vilpillisessä mielessä tai kieltäytyvän sopimuksen täytäntöönpanosta tapauksissa, joissa yhteistyö tai täytäntöönpano olisi sellaisten tietojen tuojaan sovellettavien kansallisen lainsäädännön pakollisten vaatimusten vastaista, jotka eivät mene pidemmälle kuin on tarpeen demokraattisessa yhteiskunnassa jonkin direktiivin 95/46/EY 13 artiklan 1 kohdassa luetellun perusteen kannalta; tällaisia vaatimuksia ovat erityisesti kansainvälisten ja/tai kansallisten sopimusten mukaiset pakotteet, raportointivaatimukset verotusta varten ja raportointivaatimukset rahanpesun torjumiseksi.
Ensimmäisen alakohdan a alakohtaa sovellettaessa yhteistyöhön voi sisältyä erityisesti tietojen tuojan tietojenkäsittelyjärjestelmien tarkastusten salliminen tai velvoite noudattaa yhteisön tietosuojaviranomaisten ohjeita.
3. Edellä 1 ja 2 kohdan mukainen kielto tai keskeytys poistetaan heti kun kiellon tai keskeytyksen syyt ovat poistuneet.
4. Toteuttaessaan 1, 2 ja 3 kohdan mukaisia toimenpiteitä jäsenvaltioiden on ilmoitettava siitä viipymättä komissiolle, joka välittää tiedon edelleen muille jäsenvaltioille.”
3)
Korvataan 5 artiklan ensimmäinen virke seuraavasti:
”Komissio arvioi tämän päätöksen toimintaa käytettävissä olevien tietojen pohjalta kolmen vuoden kuluttua sen ja sitä koskevien muutosten tiedoksiantamisesta jäsenvaltioille.”
4)
Muutetaan liite seuraavasti:
1.
Lisätään otsikon jälkeen sanat ”KOKONAISUUS I”.
2.
Lisätään tämän päätöksen liitteen teksti.
2 artikla
Tätä päätöstä sovelletaan 1 päivästä huhtikuuta 2005.
3 artikla
Tämä päätös on osoitettu kaikille jäsenvaltioille.
Tehty Brysselissä 27 päivänä joulukuuta 2004.