32002D0016
L 006/52
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2001 година
относно общите договорни клаузи за трансфера на лични данни към лицата, които ги обработват, установени в трети страни, съгласно Директива 95/46/ЕО
(нотифицирано под номер С(2001) 4540)
(текст от значение за ЕИП)
(2002/16/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО държавите-членки се задължават да следят даден трансфер на лични данни към трета страна да се извършва само ако съответната страна гарантира адекватно ниво на защита на данните и ако законите на държавите-членки, които са съобразени с другите разпоредби на директивата, се спазват преди трансфера.
(2)
Въпреки това член 26, параграф 2 от Директива 95/46/ЕО предвижда държавите-членки да могат да разрешават при известни гаранции трансфер или цялостен набор от трансфери на лични данни към трети страни, които не гарантират адекватно ниво на защита. Тези гаранции могат да произтичат главно от съответните договорни клаузи.
(3)
Съгласно Директива 95/46/ЕО нивото на защита на данните трябва да бъде преценено с оглед всички обстоятелства, отнасящи се до трансфер или категория трансфери. Групата за защита на лицата по отношение обработването на личните данни, създадена съгласно настоящата директива (2), публикува насоки за улесняване на оценката (3).
(4)
Общите договорни клаузи се отнасят само до защитата на данните и износителят и вносителят са свободни да въвеждат други клаузи от търговски характер, каквито смятат за необходими за договора при условие че те не противоречат на общите договорни клаузи.
(5)
Настоящото решение не засяга националните разрешения, които държавите-членки могат да издават съгласно националните разпоредби, като прилагат член 26, параграф 2 от Директива 95/46/ЕО. Настоящото решение има за цел единствено да задължи държавите-членки да не отказват да признават, че фигуриращите договорни клаузи предлагат адекватни гаранции и при това положение то няма действие върху други договорни клаузи.
(6)
Обхвата на настоящото решение се ограничава да установи, че клаузите, които са изброени в него, могат да бъдат използвани от администратор на лични данни, установен в Общността, за да се гарантират адекватни гаранции по смисъла на член 26, параграф 2 от Директива 95/46/ЕО за трансфера на лични данни към лице обработващо данните, установено в трета страна.
(7)
Настоящото решение следва да изпълни задължението, предвидено в член 17, параграф 3 от Директива 95/46/ЕО и не накърнява съдържанието на договори или юридически актове, установен съгласно тази разпоредба. Във всеки случай, някои общи договорни клаузи, отнасящи се по-специално към задълженията на износителя на данни, трябва да бъдат включени в целта да се увеличи яснотата относно разпоредбите, които могат да бъдат въведени в договор между администратора и лицето, обработващо данните.
(8)
Надзорните органи на държавите-членки играят ключова роля в този договорен механизъм, като гарантират адекватната защита на личните данни след трансфера. В изключителни случаи, когато износителите на данни откажат или не са в състояние да инструктират по подходящ начин вносителя на данните или когато съществува непосредствен риск от тежка вреда за засегнатите лица, общите договорни клаузи трябва да позволяват на надзорните органи да задължават вносителите на данни да проверяват и когато това се окажеуместно, да предприемат мерки, с които последните трябва да се съобразят. Надзорните органи следва да имат правомощието да забраняват или да отменят временно трансфер на данни или цялостен набор от трансфери на данни, базиран на общи договорни клаузи, в изключителните случаи, когато е установено, че трансфер, базиран на договорни условия, рискува да промени забележимо гаранциите и задълженията, предоставящи адекватно ниво на защита на съответното физическо лице.
(9)
В бъдеще Комисията може също да преценява дали общите договорни клаузи за трансфера на лични данни към лица, обработващи данните, установени в трети страни, които не предоставят адекватно ниво на защита на данните, представени от търговски организации или други заинтересовани страни, предлагат достатъчни гаранции съгласно член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Разкриването на лични данни на лице, обработващо данните, установено извън Общността, представлява защитен международен обмен по силата на Глава IV от Директива 95/46/ЕО. В резултат на това настоящата директива не покрива трансфера на лични данни, осъществяван от администраторите , установени в Общността, към лица, отговорни за обработката, установени извън Общността, които попадат в обхвата на Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (4).
(11)
Общите договорни клаузи следва да предвиждат технически и организационни мерки, гарантиращи равнище на сигурност, адаптирано към рисковете, свързани с обработката и характера на данните, които подлежат на защита, което трябва да прилага лице, обработващо данните, установено в трета страна, който не предоставя адекватно ниво на защита. Страните трябва да предвидят в договора технически и организационни мерки, които с оглед на приложимото право за защита на данните на технологично равнище и с цел прилагане са необходими за защита на личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, или всякаква друга незаконна форма на обработка.
(12)
За да се улесни потокът на данни, идващи от Общността, е желателно лицата, обработващи данните и предоставящи такива услуги на няколко администратори от Общността, да получават разрешения да прилагат същите технически и организационни мерки, свързани със сигурността, независимо от това коя е държавата по произход на трансфера, по-специално в случаите, когато вносителят на данни получи за последваща обработка данни, произхождащи от различни учреждения на вносителя на данни в Общността.
(13)
Подходящо е да се определят минималната информация, която страните трябва да предвидят в договора за трансфера. Държавите-членки следва да запазят възможността за специфициране на информацията, които страните трябва да предоставят. Прилагането на настоящото решение трябва да се преразгледа в светлината на натрупания опит.
(14)
Вносителят на данни трябва да обработва трансферираните лични данни за изключителната сметка на износителя на данни и според инструкциите и задълженията, включени в клаузите. В частност, вносителят на данни не следва да разгласява личните данни на трета страна освен при някои условия. Износителят на данни трябва да изисква от вносителя на данни по време на периода на услугите по обработката на данните да обработва данните съгласно неговите инструкции, съгласно приложимото право за защита на данните и съгласно задълженията, съдържащи се в клаузите. Трансферът на лични данни към лица, които ги обработват, установени извън Общността, не накърнява в никаква степен факта, че дейностите по обработка трябва да бъдат съобразени във всеки случай с прилагащото се право за защита на данните.
(15)
Общите договорни клаузи трябва да бъдат изпълними не само от организациите, страни по договора, но също и от съответните физически лица, в частност когато на последните се нанася вреда поради прекратяване на договора.
(16)
Съответното физическо лице следва да има право да подаде жалба и, ако е целесъобразно, да получи обезщетение от износителя на данни, който е администратор на трансферираните лични данни. В изключителни случаи съответното физическо лице следва също да има правото да подава жалба и, когато това е целесъобразно, да получи обезщетение от вносителя на данните заради неизпълнението от страна на вносителя на данни на едно или друго задължение, посочено във втория параграф на клауза 3, когато износителят на данни фактически е изчезнал или е престанал да съществува юридически или е изпаднал в несъстоятелност.
(17)
Ако спор между съответното физическо лице, който се позовава на клаузата на трето лице - бенефициер, и вносителя на данни не бъде решен по взаимно съгласие, вносителят на данни трябва да се съгласи да предложи на съответното физическо лице да избере между посредничество, арбитраж и съдебен процес. Съответното физическо лице има реална възможност за избор в степен, в която ще може да разполага с надеждни и признати системи за посредничество и на арбитраж. Посредничеството от страна на надзорните органи и по защитата на данните на държавата-членка, в която е установен износителят на данни, трябва да бъде право на избор, когато тези органи предоставят такава услуга.
(18)
Договорът трябва да бъде съобразен с правото на държавата-членка, в която е установен износителят на данни и която позволява на трети бенефициенр да поиска изпълнението на даден договор. Съответните физически лица данни следва да могат да бъдат представлявани от асоциациите или други органи, ако те желаят това и ако националното право го разрешава.
(19)
Работната група за защита на лицата по отношение обработката на личните данни, създадена по силата на член 29 от Директива 95/46/ЕО, излезе със становище за нивото на защита, предвидено от общите договорни клаузи, приложени към настоящото решение. Това становище бе взето предвид при подготвянето на настоящото решение (5).
(20)
Мерките, предвидени в настоящото решение са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Общите договорни клаузи, фигуриращи в приложението, се оценяват като достатъчни гаранции за защитата на личния живот и на основните права на лицата, както и по отношение изпълнението на съответстващите права, както го изисква член 26, параграф 2 от Директива 95/46/ЕО.
Член 2
Настоящото решение се отнася единствено до адекватния характер на защитата, предоставяна чрез общите договорни клаузи за трансфера на лични данни, фигуриращи в приложението. Тя не засяга прилагането на другите национални разпоредби, привеждащи в действие Директива 95/46/ЕО, които се отнасят до обработката на личните данни в държавите-членки.
Настоящото решение се прилага за трансфера на лични данни от администраторите на данни, установени в Общността, до получатели, установени извън територията на Общността, които действат изключително като лица, обработващи данните.
Член 3
По смисъла на настоящото решение:
а)
прилагат се определенията, съдържащи се в Директива 95/46/ЕО;
б)
„особените категории данни“ са данни, посочени в член 8 на тази директива;
в)
„надзорен орган“ е органът, посочен в член 28 на въпросната директива;
г)
„износител на данни“ е администратор на данни, който трансферира личните данни;
д)
„вносител на данни“ е лице, обработващо данните, установено в трета страна, който се съгласява да приеме от износителя на данни лични данни, предназначени да бъдат обработени за сметка на последния след трансфера съгласно неговите инструкции и при условията на настоящото решение, и който не е част от системата на трета страна, гарантираща адекватна защита;
е)
„приложимо право за защита на данните“ е законодателството, защищаващо основните свободи и права на физическите лица, главно правото на личен живот, при обработката на личните данни, и прилагащо се за дадено лице, отговорно за обработката в страната, в който е установен износителят на данни;
ж)
„технически и организационни мерки, свързани със сигурността“ са мерките, предназначени да защищават личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, главно когато обработката предполага превеждането на данни по мрежа, и срещу всяка друга незаконна форма на обработка.
Член 4
1. Без да се засягат правата им да предприемат мерки, целящи гарантирането на спазването на националните разпоредби, изработени съгласно глави II, III, IV, V и VI на Директива 95/46/ЕО, компетентните власти на държавите-членки могат да упражняват правата, с които разполагат, за да забраняват или да отменят временно потоците данни към трети страни, за да защищават лицата във връзка с обработката на техните лични данни, в случай, че:
а)
е установено, че правото, на което е субект вносителят на данни, му налага изискване за дерогиране от приложимото право за защита на данните, което се простира извън необходимите ограничения в демократично общество по една от посочените в член 13 от Директива 96/46/ЕО причини, когато тези задължения създават риска да бъдат забележимо изменени гаранциите, предоставяни от приложимото към защитата на данните право и общите договорни клаузи, или
б)
компетентна власт е установила, че вносителят на данни не е спазил договорните клаузи, фигуриращи в приложението, или
в)
е много вероятно общите договорни клаузи, фигуриращи в приложението, да не са или да не бъдат спазени и продължаването на трансфера да увеличи до висока степен риска на засегнатите лица да бъдат нанесени тежки вреди.
2. Забраната или временната отмяна се вдига веднага след изчезването на причините, които я мотивират.
3. Когато държавите-членки приемат мерки съгласно параграфи 1 и 2, те информират незабавно за това Комисията, която предоставя информацията на другите държави-членки.
Член 5
Комисията оценява прилагането на настоящото решение на базата на наличните информации три години след нотифицирането на държавите-членки. Тя представя на Комитета, създаден съгласно член 31 от Директива 96/46/ЕО доклад за осъществените констатации. Докладът включва всяко свидетелство, който е в състояние на повлияе на оценката, отнасяща се до адекватния характер на общите договорни клаузи, фигуриращи в приложението, както и всяко свидетелство, че настоящото решение се прилага по дискриминативен начин.
Член 6
Настоящото решение се прилага от 3 април 2002 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2001 година.
Beschikking van de Commissie
van 27 december 2001
betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens naar in derde landen gevestigde verwerkers krachtens Richtlijn 95/46/EG
(kennisgeving geschied onder nummer C(2001) 4540)
(Voor de EER relevante tekst)
(2002/16/EG)
DE COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN,
Gelet op het Verdrag tot oprichting van de Europese Gemeenschap,
Gelet op Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens(1), en met name op artikel 26, lid 4,
Overwegende hetgeen volgt:
(1) Overeenkomstig Richtlijn 95/46/EG moeten de lidstaten bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven, indien dat land een passend niveau voor de bescherming van gegevens waarborgt en de wetgeving van de lidstaten ter uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd.
(2) Volgens artikel 26, lid 2, van Richtlijn 95/46/EG mogen de lidstaten evenwel, mits bepaalde waarborgen worden geboden, toestemming geven voor een doorgifte of een categorie doorgiften van persoonsgegevens naar een derde land dat geen waarborgen voor een passend beschermingsniveau biedt. Deze waarborgen kunnen met name voortvloeien uit passende contractuele bepalingen.
(3) Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens of op een categorie gegevensdoorgiften van invloed zijn. De bij de richtlijn ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens(2) heeft richtsnoeren voor een dergelijke beoordeling vastgesteld(3).
(4) De modelcontractbepalingen betreffen uitsluitend de gegevensbescherming. Het staat de gegevensexporteur en de gegevensimporteur vrij, andere bepalingen over met de transactie verband houdende vraagstukken die zij voor het contract relevant achten, op te nemen, mits deze niet tegen de modelcontractbepalingen indruisen.
(5) Deze beschikking laat nationale toestemmingen die lidstaten krachtens nationale bepalingen ter uitvoering van artikel 26, lid 2, van Richtlijn 95/46/EG kunnen geven, onverlet. Zij strekt er slechts toe dat de lidstaten niet mogen weigeren de in deze beschikking opgenomen contractbepalingen als passende waarborgen te erkennen en heeft dus voor andere contractbepalingen geen gevolgen.
(6) De werkingssfeer van deze beschikking beperkt zich ertoe vast te stellen dat de erin opgenomen modelcontractbepalingen door voor de gegevensverwerking verantwoordelijken die in de Gemeenschap zijn gevestigd, kunnen worden gebruikt om voldoende waarborgen in de zin van artikel 26, lid 2, van Richtlijn 95/46/EG te bieden voor de doorgifte van persoonsgegevens naar in een derde land gevestigde verwerkers.
(7) Deze beschikking dient uitvoering te geven aan de in artikel 17, lid 3, van Richtlijn 95/46/EG vastgelegde verplichting en laat de inhoud van op grond van die bepaling gesloten contracten of vastgestelde wettelijke besluiten onverlet. Sommige modelcontractbepalingen, met name die met betrekking tot de verplichtingen van de gegevensexporteur, dienen echter te worden opgenomen om meer duidelijkheid te scheppen over de bepalingen die in een contract tussen een voor de verwerking verantwoordelijke en een verwerker kunnen worden opgenomen.
(8) De toezichthoudende autoriteiten van de lidstaten spelen een essentiële rol in dit contractmechanisme, door erop toe te zien dat persoonsgegevens na de doorgifte op passende wijze worden beschermd. In buitengewone gevallen waarin de gegevensimporteurs niet in staat zijn of weigeren de gegevensimporteurs naar behoren te instrueren en het risico van ernstige schade voor de betrokkenen bestaat, dienen de modelcontractbepalingen de toezichthoudende autoriteiten toe te staan de gegevensimporteurs te controleren en zo nodig voor de gegevensimporteurs bindende besluiten te nemen. De toezichthoudende autoriteiten dienen de bevoegdheid te behouden, een op basis van de modelcontractbepalingen gebaseerde doorgifte of categorie doorgiften te verbieden of op te schorten in de uitzonderlijke gevallen waarin wordt vastgesteld dat een doorgifte op contractuele grondslag in aanzienlijke mate afbreuk dreigt te doen aan de waarborgen en verplichtingen die de betrokkene een passende bescherming bieden.
(9) De Commissie zal in de toekomst ook onderzoeken of door bedrijfsorganisaties of andere belanghebbenden ingediende modelcontractbepalingen voor de doorgifte van persoonsgegevens aan verwerkers gevestigd in derde landen die niet een passend niveau voor gegevensbescherming waarborgen, voldoende waarborgen in de zin van artikel 26, lid 2, van Richtlijn 95/46/EG bieden.
(10) De verstrekking van persoonsgegevens aan een buiten de Gemeenschap gevestigde verwerker is een internationale, op grond van hoofdstuk IV van Richtlijn 95/46/EG beschermde doorgifte. Bijgevolg heeft deze beschikking geen betrekking op de doorgifte van persoonsgegevens door een in de Gemeenschap gevestigde voor de verwerking verantwoordelijke aan een buiten de Gemeenschap gevestigde voor de verwerking verantwoordelijke die onder de werkingssfeer van Beschikking 2001/497/EG van de Commissie van 15 juni 2001 betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen krachtens Richtlijn 95/46/EG(4) vallen.
(11) De modelcontractbepalingen dienen de technische en organisatorische beveiligingsmaatregelen vast te stellen die een passend beveiligingsniveau garanderen gelet op de risico's die de verwerking en de aard van de te beschermen gegevens met zich brengen, en die moeten worden getroffen door een verwerker die is gevestigd in een derde land dat geen passende bescherming biedt. De partijen dienen in het contract de technische en organisatorische beveiligingsmaatregelen te regelen die met inachtneming van het toepasselijke recht inzake gegevensbescherming, de stand van de techniek en de kosten van de tenuitvoerlegging noodzakelijk zijn om persoonsgegevens te beveiligen tegen vernietiging, hetzij bij ongeluk, hetzij onrechtmatig, tegen verlies, vervalsing, niet-toegelaten verspreiding of toegang dan wel tegen enige andere vorm van onwettige verwerking.
(12) Teneinde het gegevensverkeer vanuit de Gemeenschap te vergemakkelijken, is het wenselijk dat verwerkers die voor verscheidene voor de verwerking verantwoordelijken in de Gemeenschap gegevens verwerken, dezelfde technische en organisatorische beveiligingsmaatregelen mogen toepassen, ongeacht de lidstaat van oorsprong van de gegevensdoorgifte. Dit geldt vooral wanneer de gegevensimporteur vanuit verscheidene vestigingen van de gegevensexporteur in de Gemeenschap gegevens voor verdere verwerking ontvangt, in welk geval het recht van de aangewezen lidstaat van vestiging van toepassing dient te zijn.
(13) Het is dienstig vast te leggen welke informatie de partijen in ieder geval in het contract betreffende de doorgifte moeten verstrekken. De lidstaten dienen de mogelijkheid te behouden bijzonderheden vast te stellen inzake de informatie die de partijen moeten verstrekken. De werking van de onderhavige beschikking dient in het licht van de ervaring te worden beoordeeld.
(14) De gegevensimporteur dient de doorgegeven persoonsgegevens uitsluitend namens de gegevensexporteur te verwerken en zich daarbij te houden aan zijn instructies en de in de modelcontractbepalingen opgenomen verplichtingen. De gegevensimporteur dient met name geen persoonsgegevens aan een derde te verstrekken, tenzij aan bepaalde voorwaarden is voldaan. De gegevensexporteur dient de gegevensimporteur gedurende de periode waarin hij de gegevens verwerkt, opdracht te geven zich te houden aan zijn instructies, het toepasselijke recht inzake gegevensbescherming en de in de modelcontractbepalingen opgenomen verplichtingen. De doorgifte van persoonsgegevens aan buiten de Gemeenschap gevestigde verwerkers doet geen afbreuk aan het feit dat de gegevensverwerking in elk geval door het toepasselijke recht inzake gegevensbescherming dient te worden beheerst.
(15) De modelcontractbepalingen dienen niet alleen door de organisaties die partij bij het contract zijn afdwingbaar te zijn, maar ook door de betrokkenen, met name wanneer zij ten gevolge van niet-nakoming van het contract schade lijden.
(16) De betrokkene dient het recht te hebben een vordering in te stellen tegen, en indien nodig, vergoeding te ontvangen van de gegevensexporteur die voor de verwerking van de doorgegeven persoonsgegevens verantwoordelijk is. Bij wijze van uitzondering dient de betrokkene ook het recht te hebben een vordering in te stellen tegen, en indien nodig vergoeding te ontvangen van de gegevensimporteur in de gevallen waarin de gegevensimporteur een van zijn in bepaling 3, tweede alinea, bedoelde verplichtingen niet is nagekomen, wanneer de gegevensexporteur feitelijk is verdwenen, heeft opgehouden rechtens te bestaan of insolvent is geworden.
(17) Bij een geschil tussen de betrokkene die zich op het derdenbeding beroept en de gegevensimporteur, dat niet in der minne wordt geschikt, dient de gegevensimporteur ermee in te stemmen aan de betrokkene de keuze te geven tussen bemiddeling, arbitrage of een beroep op de rechter. In hoeverre de betrokkene een daadwerkelijke keuze heeft, dient af te hangen van de beschikbaarheid van betrouwbare en erkende bemiddelings- en arbitrageregelingen. Bemiddeling door de toezichthoudende autoriteit die in de lidstaat van vestiging van de gegevensexporteur over de gegevensbescherming waakt, dient een keuzemogelijkheid te zijn indien zij een dergelijke dienst verleent.
(18) Op het contract dient het recht van de lidstaat van vestiging van de gegevensexporteur van toepassing te zijn dat een derde begunstigde de mogelijkheid biedt de naleving van een contract af te dwingen. De betrokkenen dienen zich door een vereniging of een andere instelling te kunnen doen vertegenwoordigen, indien zij dat wensen en het nationale recht hiertoe de mogelijkheid biedt.
(19) De bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens heeft over het beschermingsniveau dat door de in de bijlage opgenomen modelcontractbepalingen wordt geboden, een advies uitgebracht waarmee bij de voorbereiding van deze beschikking rekening is gehouden(5).
(20) De in deze beschikking vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité,
HEEFT DE VOLGENDE BESCHIKKING GEGEVEN:
Artikel 1
De in de bijlage opgenomen modelcontractbepalingen worden geacht voldoende waarborgen te bieden ten aanzien van de bescherming van de persoonlijke levenssfeer, de fundamentele rechten en vrijheden van personen, alsmede ten aanzien van de uitoefening van de daaraan verbonden rechten in de zin van artikel 26, lid 2, van Richtlijn 95/46/EG.
Artikel 2
Deze beschikking betreft slechts de gepastheid van de bescherming die door de in de bijlage opgenomen modelcontractbepalingen voor de doorgifte van persoonsgegevens aan verwerkers wordt geboden. Zij laat de toepassing van andere nationale bepalingen ter uitvoering van Richtlijn 95/46/EG die betrekking hebben op de verwerking van persoonsgegevens in de lidstaten onverlet.
Deze beschikking is van toepassing op de doorgifte van persoonsgegevens door voor de verwerking verantwoordelijken die in de Gemeenschap zijn gevestigd, aan ontvangers buiten het grondgebied van de Gemeenschap die slechts als verwerkers optreden.
Artikel 3
Voor de toepassing van deze beschikking:
a) gelden de in Richtlijn 95/46/EG gegeven definities;
b) wordt onder "bijzondere categorieën gegevens" verstaan: de in artikel 8 van die richtlijn bedoelde gegevens;
c) wordt onder "toezichthoudende autoriteit" verstaan: de in artikel 28 van die richtlijn bedoelde autoriteit;
d) wordt onder "gegevensexporteur" verstaan: de voor de verwerking verantwoordelijke die de persoonsgegevens doorgeeft;
e) wordt onder "gegevensimporteur" verstaan: de in een derde land gevestigde verwerker die ermee instemt van de gegevensexporteur persoonsgegevens te ontvangen om deze na doorgifte namens de gegevensexporteur in overeenstemming met zijn instructies en de voorwaarden van deze beschikking te verwerken, en die niet aan een regeling van een derde land die passende bescherming biedt, is onderworpen;
f) wordt onder "toepasselijk recht inzake gegevensbescherming" verstaan: de wettelijke bepalingen tot waarborging van de fundamentele rechten en vrijheden van natuurlijke personen, en met name hun recht op bescherming van de persoonlijke levenssfeer ten aanzien van de verwerking van persoonsgegevens, die in de lidstaat van vestiging van de gegevensexporteur van toepassing zijn op een voor de verwerking verantwoordelijke;
g) wordt onder "technische en organisatorische beveiligingsmaatregelen" verstaan: maatregelen die tot doel hebben persoonsgegevens te beveiligen tegen vernietiging, hetzij bij ongeluk hetzij onrechtmatig, tegen verlies, vervalsing, niet-toegelaten verspreiding of toegang, met name wanneer de verwerking de doorzending van gegevens in een netwerk omvat, dan wel tegen enige andere vorm van onwettige verwerking.
Artikel 4
1. Onverminderd hun bevoegdheden maatregelen te treffen ter waarborging van de naleving van de krachtens de hoofdstukken II, III, V en VI van Richtlijn 95/46/EG vastgestelde nationale bepalingen, kunnen de bevoegde autoriteiten in de lidstaten hun bestaande bevoegdheden gebruiken om gegevensstromen naar derde landen te verbieden of op te schorten teneinde natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen, wanneer
a) wordt vastgesteld dat het recht waaraan de gegevensimporteur is onderworpen, hem vereisten waarmee van het toepasselijke recht inzake gegevensbescherming moet worden afgeweken, oplegt die verder gaan dan de beperkingen die in een democratische samenleving noodzakelijk zijn als bedoeld in artikel 13 van Richtlijn 95/46/EG, indien die vereisten in aanzienlijke mate afbreuk dreigen te doen aan de door het toepasselijke recht inzake gegevensbescherming en de modelcontractbepalingen geboden waarborgen, of
b) een bevoegde autoriteit heeft vastgesteld dat de gegevensimporteur de in de bijlage opgenomen contractbepalingen niet is nagekomen, of
c) het in aanzienlijke mate waarschijnlijk is dat de in de bijlage opgenomen modelcontractbepalingen niet worden of zullen worden nageleefd en bij verdere doorgifte het risico bestaat dat de betrokkenen ernstige schade wordt toegebracht.
2. Het verbod of de opschorting wordt opgeheven, zodra de redenen voor het verbod of de opschorting niet meer bestaan.
3. Wanneer een lidstaat op grond van de leden 1 en 2 maatregelen treft, stelt hij de Commissie daarvan onverwijld in kennis, waarna de Commissie de andere lidstaten hiervan in kennis stelt.
Artikel 5
Drie jaar na de kennisgeving van deze beschikking aan de lidstaten beoordeelt de Commissie de werking ervan op basis van de beschikbare informatie. Zij brengt verslag uit over de constateringen aan het krachtens artikel 31 van Richtlijn 95/46/EG ingestelde comité. Dit verslag omvat tevens alle gegevens die van invloed kunnen zijn op de beoordeling van de gepastheid van de modelcontractbepalingen in de bijlage en eventueel het bewijs dat deze beschikking op discriminerende wijze wordt toegepast.
Artikel 6
Deze beschikking is van toepassing met ingang van 3 april 2002.
Artikel 7
Deze beschikking is gericht tot de lidstaten.
Gedaan te Brussel, 27 december 2001.