32004D0915
L 385/74
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2004 година
за изменение на Решение 2001/497/ЕО за въвеждане на алтернативен комплект общи договорни клаузи за прехвърляне на лични данни в трети страни
(нотифицирано под номер С(2004) 5271)
(текст от значение за ЕИП)
(2004/915/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. относно защитата на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
С цел улесняване на потоците данни от Общността е желателно лицата, отговарящи за обработката на данните, да могат да извършват прехвърлянето на данни глобално и с прилагане на единен комплект правила за защита на данните. В отсъствието на глобални норми за защита на данните, общите договорни клаузи осигуряват важен инструмент, позволяващ прехвърлянето на лични данни от всички държави-членки при спазване на общ за всички комплект правила. Във връзка с това в Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (2) се посочва модел на комплект общи договорни клаузи, който осигурява адекватни предпазни мерки за прехвърлянето на данни на трети страни.
(2)
От приемането на посоченото решение е придобит значителен опит. Освен това, с оглед при използването на различни механизми да се осигури ниво на защита на данните, еквивалентно на това, което се осигурява от комплекта общи договорни клаузи, предвидени в Решение 2001/497/ЕО, една група от стопански сдружения (3) представи комплект алтернативни общи договорни клаузи.
(3)
Тъй като използването на общите договорни клаузи за прехвърляне на данни в международен мащаб е доброволно, като общите договорни клаузи са само една от няколкото възможности съгласно Директива 95/46/ЕО за законно прехвърляне на лични данни в трета страна, износителите на данни на територията на Общността и вносителите на данни в трети страни би следвало да разполагат със свободата да избират друг комплект от общи договорни клаузи или друга правна основа за прехвърляне на данни. Тъй като всеки комплект като цяло оформя модел, на износителите на данни не бива да се позволява да променят тези комплекти, нито изцяло, нито частично да ги смесват по какъвто и да било начин.
(4)
Общите договорни клаузи, представени от стопанските сдружения, имат за цел увеличаване на използването на договорни клаузи сред операторите с помощта на някои механизми, като например по-гъвкави изисквания по отношение на ревизиите и по-подробни правила относно правото на достъп.
(5)
Освен това, като алтернатива на системата на солидарна отговорност, предвидена в Решение 2001/497/ЕО, в сега предложения комплект се съдържа режим на отговорност, основан на задълженията за добросъвестно изпълнение на поставените задачи в случаите, в които износителят на данните и вносителят на данните биха били задължени по отношение на субектите на данните за съответно нарушение на своите договорни задължения; освен това износителят на данните отговаря, ако не положи разумни усилия да определи дали вносителят на данните е в състояние да спази своите правни задължения съгласно клаузите (culpa in eligendo), като в този случай субектът на данните може да заведе съдебно дело срещу износителя на данните. Прилагането на клауза I, буква б) от новия комплект общи договорни клаузи е от особено значение в това отношение и в частност във връзка с възможността износителят на данните да провежда ревизии в помещенията на вносителите на данните или да изисква доказателства за достатъчно финансови ресурси, които да покриват изпълнението на неговите отговорности.
(6)
Що се отнася до упражняването от субектите на данните на правата им на бенефициери, се предвижда по-голяма ангажираност на износителя на данните при решаването на жалби от страна на субектите на данните, при което износителят на данните е задължен да влезе в контакт с вносителя на данните и при необходимост да търси принудително изпълнение на договора в рамките на обичайния едномесечен период. В случай че износителят на данните откаже да търси принудително изпълнение на договора, като същевременно нарушението на вносителя на данните все още продължава, субектът на данните може в такъв случай да търси принудително изпълнение на клаузите спрямо вносителя на данните и евентуално да предяви иск срещу него в съда на някоя от държавите-членки. Това приемане на юрисдикция и съгласието за спазване на решение на компетентен съд или орган по защита на данните не накърнява никои процесуални права на вносителите на данните, установени в трети страни, като например правото на обжалване.
(7)
При това обаче, с цел предотвратяване на злоупотребите с тази допълнителна гъвкавост, е целесъобразно да се обезпечи органите за защита на данните да могат по-лесно да забраняват или да отменят прехвърляния на данни, като при това се основават на новия комплект общи договорни клаузи в онези случаи, в които износителят на данните откаже да предприеме целесъобразните стъпки с цел прилагане на договорните задължения срещу вносителя на данните или в случай че последният откаже да сътрудничи доброволно на компетентните надзорни органи за защита на данните.
(8)
Използването на общите договорни клаузи ще се осъществява, без да се засяга прилагането на националните разпоредби, приети в съответствие с Директива 95/46/ЕО или с Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защитата на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронните комуникации) (4) и по-специално що се отнася до изпращането на търговски съобщения за целите на директния маркетинг.
(9)
На тази основа предпазните мерки, съдържащи се в представените общи договорни клаузи, могат да се считат за адекватни по смисъла на член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Работната група за защита на физическите лица по отношение на обработката на лични данни, създадена в съответствие с член 29 от Директива 95/46/ЕО, представи своето становище (5) относно нивото на защита, предвидено съгласно представяните общи договорни клаузи, което също бе взето предвид.
(11)
С цел оценка на функционирането на измененията на Решение 2001/497/ЕО, е целесъобразно Комисията да им даде оценка три години след тяхното нотифициране до държавите-членки.
(12)
Решение 2001/497/ЕО следва да бъде съответно изменено.
(13)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Решение 2001/497/ЕО се изменя, както следва:
1.
В член 1 се добавя следният параграф:
„Контролиращите данните органи, , могат да избират между комплект I или комплект II от приложението. При това обаче те не могат да изменят клаузите, нито да комбинират отделни клаузи от различните комплекти или самите комплекти.“
2.
В член 4 параграфи 2 и 3 се заменят със следния текст:
„2. За целите на параграф 1 контролиращият орган, предприема целесъобразни предпазни мерки на базата на общите договорни клаузи, съдържащи се в комплект II от приложението, компетентните власти по защита на данните имат правото да упражняват своите правомощия и да забраняват или спират потоци данни във всеки от следните случаи:
а)
отказ на вносителя на данните да оказва доброволно сътрудничество на органите за защита на данните или да спазва своите ясни задължения съгласно договора;
б)
отказ на износителя на данни да предприеме целесъобразни стъпки по търсене на принудително изпълнение на договора срещу вносителя на данни в рамките на обичайния едномесечен период след уведомлението, изпратено на износителя на данни от компетентния орган за защита на данните.
За целите на първа алинея недобросъвестен отказ или отказ за търсене на принудително изпълнение на договор от страна на вносителя на данни не включва случаите, в които сътрудничеството или принудителното изпълнение на договора би влязло в конфликт с императивните изисквания на националното законодателство, приложими по отношение на вносителя на данни, които не надхвърлят необходимото в демократичното общество на базата на един от интересите, изброени в член 13, параграф 1 от Директива 95/46/ЕО и по-специално санкциите, предвидени в международните и/или националните инструменти, изискванията по отношение на декларирането на данъци или изискванията за докладване на случаи на пране на пари.
За целите на първа алинея, буква а) сътрудничеството, в частност, може да включва предаването от страна на вносителя на данни на техническите средства за обработка с цел извършване на ревизия или задължението да спазва съветите на надзорния орган за защита на данните на територията на Общността.
3. Забраната или прекратяването съгласно параграфи 1 и 2 се отменя, веднага щом причините за забраната или прекратяването престанат да съществуват.
4. Когато държавите-членки приемат мерки в съответствие с параграфи 1, 2 и 3, те незабавно информират Комисията, която изпраща информацията до останалите държави-членки.“.
3.
В член 5 първото изречение се замества със следния текст:
„Комисията дава оценка на функционирането на настоящото решение въз основа на наличната информация три години след неговото нотифициране и нотифицирането на всички негови изменения до държавите-членки.“.
4.
Приложението се изменя, както следва:
1.
След заглавието се добавя терминът „КОМПЛЕКТ I“.
2.
Добавя се текстът, посочен в приложението към настоящото решение.
Член 2
Настоящото решение се прилага от 1 април 2005 г.
Член 3
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2004 година.
DÉCISION DE LA COMMISSION
du 27 décembre 2004
modifiant la décision 2001/497/CE en ce qui concerne l’introduction d’un ensemble alternatif de clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers
[notifiée sous le numéro C(2004) 5271]
(Texte présentant de l'intérêt pour l'EEE)
(2004/915/CE)
LA COMMISSION DES COMMUNAUTÉS EUROPÉENNES,
vu le traité instituant la Communauté européenne,
vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1), et notamment son article 26, paragraphe 4,
considérant ce qui suit:
(1)
Afin de faciliter les flux de données provenant de la Communauté, il est souhaitable que les responsables du traitement des données puissent effectuer les transferts de données globalement, conformément à un ensemble unique de règles de protection des données. En l’absence de normes universelles en matière de protection des données, les clauses contractuelles types constituent un outil important pour permettre le transfert des données à caractère personnel provenant de tous les États membres conformément à un ensemble de règles commun. La décision 2001/497/CE de la Commission du 15 juin 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu de la directive 95/46/CE (2) établit à cet effet un ensemble modèle de clauses contractuelles types qui offre des garanties adéquates pour le transfert de données vers des pays tiers.
(2)
Une expérience considérable a été accumulée depuis l’adoption de ladite décision. En outre, une coalition d’associations professionnelles (3) a soumis un autre ensemble de clauses contractuelles types conçu pour offrir un niveau de protection des données équivalent à celui offert par l’ensemble de clauses contractuelles types figurant dans la décision 2001/497/CE mais en recourant à des mécanismes différents.
(3)
Étant donné que l’utilisation de clauses contractuelles types pour les transferts de données internationaux est volontaire et que les clauses contractuelles types ne sont qu’une possibilité parmi d’autres prévues par la directive 95/46/CE pour transférer légalement des données à caractère personnel vers un pays tiers, les exportateurs de données dans la Communauté et les importateurs de données dans les pays tiers devraient avoir la faculté de sélectionner l’un des ensembles de clauses contractuelles types ou de choisir une autre base juridique pour le transfert des données. Comme chaque ensemble complet forme un modèle, les exportateurs de données ne devraient pas être autorisés à modifier ces ensembles ou à la fusionner, en totalité ou en partie, de quelque manière que ce soit.
(4)
Les clauses contractuelles types soumises par les associations professionnelles visent à renforcer l’utilisation de clauses contractuelles par des mécanismes tels que l’assouplissement des exigences de vérification ou l’établissement de règles plus détaillées en ce qui concerne le droit d’accès.
(5)
De plus, en tant qu’alternative au système de responsabilité solidaire prévu dans la décision 2001/497/CE, l’ensemble présentement soumis contient un régime de responsabilité reposant sur des obligations de diligence, selon lequel l’exportateur et l’importateur des données sont responsables, vis-à-vis des personnes concernées, de leurs manquements respectifs à leurs obligations contractuelles; l’exportateur de données est également responsable s’il n’a pas entrepris de démarches raisonnables pour s’assurer que l’importateur de données est à même de satisfaire aux obligations juridiques qui lui incombent en vertu des clauses (culpa in eligendo) et, à ce titre, la personne concernée peut exercer un recours contre l’exportateur de données. L’application de la clause I, point b), du nouvel ensemble de clauses contractuelles types revêt une importance particulière à cet égard, notamment en ce qui concerne la possibilité pour l’exportateur de données de procéder à des vérifications au siège de l’importateur de données ou de demander à celui-ci de prouver qu’il dispose de ressources financières suffisantes pour assumer ses responsabilités.
(6)
En ce qui concerne l’exercice des droits du tiers bénéficiaire par les personnes concernées, une implication plus importante de l’exportateur de données dans le règlement des plaintes des personnes concernées est prévue, l’exportateur de données étant tenu de prendre contact avec l’importateur de données et, si nécessaire, de faire appliquer le contrat dans un délai normal d’un mois. Si l’exportateur de données refuse de faire appliquer le contrat et que le manquement de l’importateur de données se poursuit, la personne concernée peut faire valoir les clauses à l’encontre de l’importateur de données et, en fin de compte, le poursuivre devant une juridiction communautaire. Cette acceptation de juridiction et l’engagement de se conformer à la décision d’un tribunal compétent ou de l’autorité en charge de la protection des données ne remet en cause aucun des droits procéduraux des importateurs de données établis dans des pays tiers, notamment en ce qui concerne les recours.
(7)
Toutefois, afin de prévenir les abus de cette flexibilité accrue, il convient de prévoir que les autorités en charge de la protection des données puissent plus aisément interdire ou suspendre les transferts de données sur la base du nouvel ensemble de clauses contractuelles types dans les cas où l’exportateur de données refuse de prendre des mesures appropriées pour faire valoir les obligations contractuelles à l’encontre de l’importateur de données ou lorsque ce dernier refuse de coopérer de bonne foi avec les autorités compétentes en matière de contrôle de la protection des données.
(8)
L’utilisation des clauses contractuelles types se fera sans préjudice de l’application des dispositions nationales adoptées en vertu de la directive 95/46/CE ou de la directive 2002/58/CE (4) concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), notamment en ce qui concerne l’envoi de communications commerciales aux citoyens de l’Union européenne.
(9)
Sur cette base, les garanties contenues dans les clauses contractuelles types soumises peuvent être considérées comme adéquates au sens de l’article 26, paragraphe 2, de la directive 95/46/CE.
(10)
Le groupe de travail sur la protection des personnes à l’égard du traitement des données à caractère personnel institué en vertu de l’article 29 de la directive 95/46/CE a émis un avis (5) sur le niveau de protection assuré par les clauses contractuelles types soumises, dont il a été tenu compte.
(11)
Afin d'évaluer l'effet des amendements à la décision 2001/497/CE, il convient que la Commission les évaluent trois ans après leur notification aux États membres.
(12)
La décision 2001/497/CE doit être modifiée en conséquence.
(13)
Les mesures prévues par la présente décision sont conformes à l’avis du comité institué en vertu de l’article 31 de la directive 95/46/CE,
A ARRÊTÉ LA PRÉSENTE DÉCISION:
Article premier
La décision 2001/497/CE est modifiée comme suit:
1)
À l’article 1er, le paragraphe suivant est ajouté:
«Les responsables du traitement des données peuvent choisir entre les ensembles I et II de l’annexe. Ils ne peuvent toutefois pas modifier les clauses ni combiner des clauses individuelles ou les ensembles.»
2)
À l’article 4, les paragraphes 2 et 3 sont remplacés par les paragraphes 2 et 3 suivants:
«2. Aux fins du paragraphe 1, lorsque le responsable du traitement des données offre des garanties adéquates sur la base des clauses contractuelles types contenues dans l’ensemble II de l’annexe, les autorités compétentes en matière de protection des données peuvent exercer les pouvoirs dont elles disposent pour interdire ou suspendre les flux de données dans les cas suivants:
a)
refus de l’importateur de données de coopérer de bonne foi avec les autorités compétentes ou de se conformer aux obligations clairement énoncées dans le contrat;
b)
refus de l’exportateur de données de prendre des mesures appropriées pour faire valoir le contrat à l’encontre de l’importateur de données dans le délai normal d’un mois après avoir reçu la notification de l’autorité compétente.
Aux fins du premier alinéa, le refus de mauvaise foi ou le refus d’appliquer le contrat par l’importateur de données ne couvre pas les cas où la coopération ou l’application entrerait en conflit avec les exigences impératives de la législation nationale le concernant et qui ne vont pas au-delà de celles qui sont nécessaires dans une société démocratique sur la base de l’un des intérêts énumérés à l’article 13, paragraphe 1, de la directive 95/46/CE, notamment les sanctions reconnues sur le plan international, les obligations de déclaration fiscale et les obligations de déclaration dans le cadre de la lutte contre le blanchiment d’argent.
Aux fins du point a) du premier alinéa, la coopération peut inclure, en particulier, la soumission pour vérification des moyens de traitement des données de l’importateur de données ou l’obligation de se soumettre à l’avis de l’autorité de contrôle de la protection des données dans la Communauté.
3. L’interdiction ou la suspension visée aux paragraphes 1 et 2 est levée dès que les raisons qui la motivaient disparaissent.
4. Lorsque les États membres adoptent des mesures conformément aux paragraphes 1 et 2, ils en informent sans délai la Commission, qui transmet l’information aux autres États membres.»
3)
À l'article 5, la première phrase est remplacée par le texte suivant:
«La Commission évaluera l'effet de cette décision sur la base des informations disponibles trois ans après sa notification aux États membres ainsi qu'après la notification de tout amendement qui pourrait y être apporté.»
4)
L’annexe est modifiée comme suit:
1.
Après le titre, les termes «ENSEMBLE I» sont insérés.
2.
Le texte figurant à l’annexe de la présente décision est ajouté.
Article 2
La présente décision s’applique à compter du 1er avril 2005.
Article 3
Les États membres sont destinataires de la présente décision.
Fait à Bruxelles, le 27 décembre 2004.