32004D0915
L 385/74
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2004 година
за изменение на Решение 2001/497/ЕО за въвеждане на алтернативен комплект общи договорни клаузи за прехвърляне на лични данни в трети страни
(нотифицирано под номер С(2004) 5271)
(текст от значение за ЕИП)
(2004/915/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. относно защитата на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
С цел улесняване на потоците данни от Общността е желателно лицата, отговарящи за обработката на данните, да могат да извършват прехвърлянето на данни глобално и с прилагане на единен комплект правила за защита на данните. В отсъствието на глобални норми за защита на данните, общите договорни клаузи осигуряват важен инструмент, позволяващ прехвърлянето на лични данни от всички държави-членки при спазване на общ за всички комплект правила. Във връзка с това в Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (2) се посочва модел на комплект общи договорни клаузи, който осигурява адекватни предпазни мерки за прехвърлянето на данни на трети страни.
(2)
От приемането на посоченото решение е придобит значителен опит. Освен това, с оглед при използването на различни механизми да се осигури ниво на защита на данните, еквивалентно на това, което се осигурява от комплекта общи договорни клаузи, предвидени в Решение 2001/497/ЕО, една група от стопански сдружения (3) представи комплект алтернативни общи договорни клаузи.
(3)
Тъй като използването на общите договорни клаузи за прехвърляне на данни в международен мащаб е доброволно, като общите договорни клаузи са само една от няколкото възможности съгласно Директива 95/46/ЕО за законно прехвърляне на лични данни в трета страна, износителите на данни на територията на Общността и вносителите на данни в трети страни би следвало да разполагат със свободата да избират друг комплект от общи договорни клаузи или друга правна основа за прехвърляне на данни. Тъй като всеки комплект като цяло оформя модел, на износителите на данни не бива да се позволява да променят тези комплекти, нито изцяло, нито частично да ги смесват по какъвто и да било начин.
(4)
Общите договорни клаузи, представени от стопанските сдружения, имат за цел увеличаване на използването на договорни клаузи сред операторите с помощта на някои механизми, като например по-гъвкави изисквания по отношение на ревизиите и по-подробни правила относно правото на достъп.
(5)
Освен това, като алтернатива на системата на солидарна отговорност, предвидена в Решение 2001/497/ЕО, в сега предложения комплект се съдържа режим на отговорност, основан на задълженията за добросъвестно изпълнение на поставените задачи в случаите, в които износителят на данните и вносителят на данните биха били задължени по отношение на субектите на данните за съответно нарушение на своите договорни задължения; освен това износителят на данните отговаря, ако не положи разумни усилия да определи дали вносителят на данните е в състояние да спази своите правни задължения съгласно клаузите (culpa in eligendo), като в този случай субектът на данните може да заведе съдебно дело срещу износителя на данните. Прилагането на клауза I, буква б) от новия комплект общи договорни клаузи е от особено значение в това отношение и в частност във връзка с възможността износителят на данните да провежда ревизии в помещенията на вносителите на данните или да изисква доказателства за достатъчно финансови ресурси, които да покриват изпълнението на неговите отговорности.
(6)
Що се отнася до упражняването от субектите на данните на правата им на бенефициери, се предвижда по-голяма ангажираност на износителя на данните при решаването на жалби от страна на субектите на данните, при което износителят на данните е задължен да влезе в контакт с вносителя на данните и при необходимост да търси принудително изпълнение на договора в рамките на обичайния едномесечен период. В случай че износителят на данните откаже да търси принудително изпълнение на договора, като същевременно нарушението на вносителя на данните все още продължава, субектът на данните може в такъв случай да търси принудително изпълнение на клаузите спрямо вносителя на данните и евентуално да предяви иск срещу него в съда на някоя от държавите-членки. Това приемане на юрисдикция и съгласието за спазване на решение на компетентен съд или орган по защита на данните не накърнява никои процесуални права на вносителите на данните, установени в трети страни, като например правото на обжалване.
(7)
При това обаче, с цел предотвратяване на злоупотребите с тази допълнителна гъвкавост, е целесъобразно да се обезпечи органите за защита на данните да могат по-лесно да забраняват или да отменят прехвърляния на данни, като при това се основават на новия комплект общи договорни клаузи в онези случаи, в които износителят на данните откаже да предприеме целесъобразните стъпки с цел прилагане на договорните задължения срещу вносителя на данните или в случай че последният откаже да сътрудничи доброволно на компетентните надзорни органи за защита на данните.
(8)
Използването на общите договорни клаузи ще се осъществява, без да се засяга прилагането на националните разпоредби, приети в съответствие с Директива 95/46/ЕО или с Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защитата на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронните комуникации) (4) и по-специално що се отнася до изпращането на търговски съобщения за целите на директния маркетинг.
(9)
На тази основа предпазните мерки, съдържащи се в представените общи договорни клаузи, могат да се считат за адекватни по смисъла на член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Работната група за защита на физическите лица по отношение на обработката на лични данни, създадена в съответствие с член 29 от Директива 95/46/ЕО, представи своето становище (5) относно нивото на защита, предвидено съгласно представяните общи договорни клаузи, което също бе взето предвид.
(11)
С цел оценка на функционирането на измененията на Решение 2001/497/ЕО, е целесъобразно Комисията да им даде оценка три години след тяхното нотифициране до държавите-членки.
(12)
Решение 2001/497/ЕО следва да бъде съответно изменено.
(13)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Решение 2001/497/ЕО се изменя, както следва:
1.
В член 1 се добавя следният параграф:
„Контролиращите данните органи, , могат да избират между комплект I или комплект II от приложението. При това обаче те не могат да изменят клаузите, нито да комбинират отделни клаузи от различните комплекти или самите комплекти.“
2.
В член 4 параграфи 2 и 3 се заменят със следния текст:
„2. За целите на параграф 1 контролиращият орган, предприема целесъобразни предпазни мерки на базата на общите договорни клаузи, съдържащи се в комплект II от приложението, компетентните власти по защита на данните имат правото да упражняват своите правомощия и да забраняват или спират потоци данни във всеки от следните случаи:
а)
отказ на вносителя на данните да оказва доброволно сътрудничество на органите за защита на данните или да спазва своите ясни задължения съгласно договора;
б)
отказ на износителя на данни да предприеме целесъобразни стъпки по търсене на принудително изпълнение на договора срещу вносителя на данни в рамките на обичайния едномесечен период след уведомлението, изпратено на износителя на данни от компетентния орган за защита на данните.
За целите на първа алинея недобросъвестен отказ или отказ за търсене на принудително изпълнение на договор от страна на вносителя на данни не включва случаите, в които сътрудничеството или принудителното изпълнение на договора би влязло в конфликт с императивните изисквания на националното законодателство, приложими по отношение на вносителя на данни, които не надхвърлят необходимото в демократичното общество на базата на един от интересите, изброени в член 13, параграф 1 от Директива 95/46/ЕО и по-специално санкциите, предвидени в международните и/или националните инструменти, изискванията по отношение на декларирането на данъци или изискванията за докладване на случаи на пране на пари.
За целите на първа алинея, буква а) сътрудничеството, в частност, може да включва предаването от страна на вносителя на данни на техническите средства за обработка с цел извършване на ревизия или задължението да спазва съветите на надзорния орган за защита на данните на територията на Общността.
3. Забраната или прекратяването съгласно параграфи 1 и 2 се отменя, веднага щом причините за забраната или прекратяването престанат да съществуват.
4. Когато държавите-членки приемат мерки в съответствие с параграфи 1, 2 и 3, те незабавно информират Комисията, която изпраща информацията до останалите държави-членки.“.
3.
В член 5 първото изречение се замества със следния текст:
„Комисията дава оценка на функционирането на настоящото решение въз основа на наличната информация три години след неговото нотифициране и нотифицирането на всички негови изменения до държавите-членки.“.
4.
Приложението се изменя, както следва:
1.
След заглавието се добавя терминът „КОМПЛЕКТ I“.
2.
Добавя се текстът, посочен в приложението към настоящото решение.
Член 2
Настоящото решение се прилага от 1 април 2005 г.
Член 3
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2004 година.
BESCHIKKING VAN DE COMMISSIE
van 27 december 2004
tot wijziging van Beschikking 2001/497/EG betreffende de invoering van alternatieve modelcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen
(Kennisgeving geschied onder nummer C(2004) 5271)
(Voor de EER relevante tekst)
(2004/915/EG)
DE COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN,
Gelet op het Verdrag tot oprichting van de Europese Gemeenschap,
Gelet op Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1), en met name op artikel 26, lid 4,
Overwegende hetgeen volgt:
(1)
Teneinde het gegevensverkeer vanuit de Gemeenschap te vergemakkelijken, is het wenselijk dat de voor de verwerking verantwoordelijken voor de wereldwijde doorgifte van gegevens over één stel regels inzake gegevensbescherming kunnen beschikken. Bij gebrek aan mondiale normen voor gegevensbescherming zijn modelcontractbepalingen een belangrijk instrument waarmee persoonsgegevens vanuit alle lidstaten volgens een gemeenschappelijk stel regels kunnen worden doorgegeven. In Beschikking 2001/497/EG van de Commissie van 15 juni 2001 betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen krachtens Richtlijn 95/46/EG (2) is daarom een stel modelcontractbepalingen vastgelegd waarmee passende garanties worden geboden voor de doorgifte van gegevens naar derde landen.
(2)
Sinds de goedkeuring van deze beschikking is veel ervaring opgedaan. Daarnaast heeft een coalitie van organisaties uit het bedrijfsleven (3) een stel alternatieve modelcontractbepalingen voorgesteld om te komen tot een zelfde niveau van persoonsgegevensbescherming als dat geboden door de modelcontractbepalingen van Beschikking 2001/497/EG, maar met gebruikmaking van andere mechanismen.
(3)
Aangezien het gebruik van modelcontractbepalingen voor de internationale doorgifte van gegevens vrijwillig is (er zijn volgens Richtlijn 95/46/EG immers nog diverse andere mogelijkheden voor de rechtmatige doorgifte van persoonsgegevens naar een derde land), moeten de gegevensexporteurs in de Gemeenschap en de gegevensimporteurs in een derde land de vrijheid hebben om te kiezen voor om het even welke reeks modelcontractbepalingen, of te opteren voor een andere wettelijke grondslag voor de doorgifte van gegevens. Aangezien echter elke reeks als geheel een model vormt, mogen de gegevensexporteurs deze reeks niet aanpassen en ook niet helemaal of gedeeltelijk met een andere op enigerlei wijze samenvoegen.
(4)
De modelcontractbepalingen die door het bedrijfsleven zijn voorgesteld beogen het gebruik van contractbepalingen door bedrijven aan te moedigen door mechanismen als meer flexibele auditvereisten en gedetailleerdere regels voor het recht van toegang.
(5)
Als alternatief voor het systeem van de hoofdelijke aansprakelijkheid waarin is voorzien bij Beschikking 2001/497/EG, biedt de hier voorgestelde reeks een aansprakelijkheidssysteem op basis van het beginsel van de „nodige zorgvuldigheid” („due diligence”-verplichtingen), waarbij de gegevensexporteur en de gegevensimporteur in geval van een inbreuk op hun contractuele verplichtingen aansprakelijk zijn jegens de betrokkenen; de gegevensexporteur is ook aansprakelijk indien hij geen redelijke inspanning doet om zich ervan te vergewissen dat de gegevensimporteur in staat is om aan zijn wettelijke verplichtingen volgens de contractbepalingen te voldoen („culpa in eligendo”); eventueel kan in dit geval de betrokkene een zaak aanspannen tegen de gegevensexporteur. De handhaving van bepaling I, punt b), van de nieuwe reeks modelcontractbepalingen is in dit verband van bijzonder belang, met name in verband met de mogelijkheid voor de gegevensexporteur om in de kantoren van de gegevensimporteur controles te verrichten of van de gegevensimporteur bewijzen te verlangen dat hij over voldoende financiële middelen beschikt om zijn verplichtingen na te komen.
(6)
Wat de uitoefening betreft van rechten in verband met het derdenbeding door de betrokkenen, is voorzien in een grotere betrokkenheid van de gegevensexporteur bij de behandeling van hun klachten, waarbij de gegevensexporteur verplicht is met de gegevensimporteur contact op te nemen en indien nodig hem te dwingen zich binnen de normale termijn van één maand aan het contract te houden. Indien de gegevensexporteur weigert de gegevensimporteur aan het contract te houden en de schending door de gegevensimporteur voortduurt, kan de betrokkene van de gegevensimporteur eisen dat hij de bepalingen naleeft en hem uiteindelijk in een lidstaat voor de rechtbank dagen. Het aanvaarden van deze jurisdictie en de bereidheid om een besluit van een bevoegde rechtbank of gegevensbeschermingsautoriteit na te leven, doen geen afbreuk aan andere procedurerechten van gegevensimporteurs uit derde landen, zoals het recht om in beroep te gaan.
(7)
Om echter te vermijden dat van deze extra flexibiliteit misbruik wordt gemaakt, moeten de gegevensbeschermingsautoriteiten de doorgifte van gegevens volgens de nieuwe reeks modelcontractbepalingen gemakkelijker kunnen opschorten of verbieden, wanneer de gegevensexporteur geen passende stappen wil ondernemen om de gegevensimporteur aan het contract te houden of deze laatste weigert te goeder trouw samen te werken met de bevoegde toezichthoudende gegevensbeschermingsautoriteiten.
(8)
Het gebruik van modelcontractbepalingen geschiedt onverminderd de toepassing van nationale voorschriften die zijn goedgekeurd krachtens Richtlijn 95/46/EG of Richtlijn 2002/58/EG (4) betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie), met name wat betreft de verzending van commerciële boodschappen aan EU-burgers.
(9)
Op deze basis kunnen de waarborgen van de voorgestelde modelcontractbepalingen als voldoende worden beschouwd overeenkomstig de bepaling van artikel 26, lid 2, van Richtlijn 95/46/EG.
(10)
Er is rekening gehouden met het advies (5) over het niveau van bescherming dat door de voorgestelde modelcontractbepalingen wordt geboden, dat is uitgebracht door de Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens, opgericht krachtens artikel 29 van Richtlijn 95/46/EG.
(11)
Het is aangewezen dat de Commissie drie jaar na de kennisgeving aan de lidstaten de toepassing van de wijzigingen op Beschikking 2001/497/EG evalueert.
(12)
Beschikking 2001/497/EG wordt dienovereenkomstig gewijzigd.
(13)
De in deze beschikking vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31 van Richtlijn 95/46/EG ingestelde Comité,
HEEFT DE VOLGENDE BESCHIKKING GEGEVEN:
Artikel 1
Beschikking 2001/497/EG wordt als volgt gewijzigd:
1)
De volgende alinea wordt toegevoegd aan artikel 1:
„De voor de verwerking verantwoordelijken kunnen kiezen uit reeks I of II uit de bijlage. Zij mogen de bepalingen echter niet wijzigen en ook geen afzonderlijke bepalingen of reeksen bepalingen combineren.”
2)
In artikel 4 worden de leden 2 en 3 vervangen door de volgende tekst:
„2. Indien de voor de verwerking verantwoordelijke passende garanties biedt op basis van de modelcontractbepalingen van reeks II in de bijlage, hebben de bevoegde gegevensbeschermingsautoriteiten, voor de toepassing van lid 1, op grond van hun bestaande bevoegdheid het recht de doorgifte van gegevens te verbieden of op te schorten in een van beide volgende gevallen:
a)
bij weigering van de gegevensimporteur om te goeder trouw samen te werken met de gegevensbeschermingsautoriteiten, of om te voldoen aan de in het contract duidelijk omschreven verplichtingen;
b)
bij weigering van de gegevensexporteur om passende maatregelen te treffen om de gegevensimporteur aan het contract te houden binnen de normale termijn van één maand na kennisgeving aan de gegevensexporteur door de bevoegde gegevensbeschermingsautoriteit.
Voor de toepassing van de eerste alinea houden weigering te kwader trouw of weigering door de gegevensimporteur om het contract na te leven niet die gevallen in waar de samenwerking of naleving in strijd zou zijn met op de gegevensimporteur toepasselijke vereisten van het nationale recht die niet verder gaan dan wat in een democratische samenleving op basis van een van de in artikel 13, lid 1, van Richtlijn 95/46/EG genoemde belangen noodzakelijk is, met name sancties waarin bij internationale en/of nationale instrumenten is voorzien, en vereisten inzake de aangifte van belastingen en de bestrijding van het witwassen van zwart geld.
Voor de toepassing van punt (a) van de eerste alinea kan samenwerking onder meer inhouden dat de gegevensimporteur zijn gegevensverwerkingssysteem openstelt voor controle of dat hij verplicht gehoor geeft aan het advies van de toezichthoudende gegevensbeschermingsautoriteit in de Gemeenschap.
3. Het verbod of de opschorting overeenkomstig de leden 1 en 2 wordt opgeheven, zodra de redenen voor het verbod of de opschorting niet meer bestaan.
4. Wanneer een lidstaat op grond van de leden 1, 2 en 3 maatregelen treft, stelt hij de Commissie onverwijld daarvan in kennis, waarna de Commissie de andere lidstaten hiervan op de hoogte brengt.”.
3)
In artikel 5 wordt de eerste zin vervangen door de volgende tekst:
„De Commissie evalueert de werking van deze beschikking op basis van de beschikbare informatie drie jaar na de kennisgeving ervan en van enige wijziging erop aan de lidstaten.”.
4)
De bijlage wordt als volgt gewijzigd:
1.
Na de titel worden de woorden „REEKS I” ingevoegd.
2.
De tekst in de bijlage bij deze beschikking wordt toegevoegd.
Artikel 2
Deze beschikking is van toepassing met ingang van 1 april 2005.
Artikel 3
Deze beschikking is gericht tot de lidstaten.
Gedaan te Brussel, 27 december 2004.