32004D0915
L 385/74
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2004 година
за изменение на Решение 2001/497/ЕО за въвеждане на алтернативен комплект общи договорни клаузи за прехвърляне на лични данни в трети страни
(нотифицирано под номер С(2004) 5271)
(текст от значение за ЕИП)
(2004/915/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. относно защитата на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
С цел улесняване на потоците данни от Общността е желателно лицата, отговарящи за обработката на данните, да могат да извършват прехвърлянето на данни глобално и с прилагане на единен комплект правила за защита на данните. В отсъствието на глобални норми за защита на данните, общите договорни клаузи осигуряват важен инструмент, позволяващ прехвърлянето на лични данни от всички държави-членки при спазване на общ за всички комплект правила. Във връзка с това в Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (2) се посочва модел на комплект общи договорни клаузи, който осигурява адекватни предпазни мерки за прехвърлянето на данни на трети страни.
(2)
От приемането на посоченото решение е придобит значителен опит. Освен това, с оглед при използването на различни механизми да се осигури ниво на защита на данните, еквивалентно на това, което се осигурява от комплекта общи договорни клаузи, предвидени в Решение 2001/497/ЕО, една група от стопански сдружения (3) представи комплект алтернативни общи договорни клаузи.
(3)
Тъй като използването на общите договорни клаузи за прехвърляне на данни в международен мащаб е доброволно, като общите договорни клаузи са само една от няколкото възможности съгласно Директива 95/46/ЕО за законно прехвърляне на лични данни в трета страна, износителите на данни на територията на Общността и вносителите на данни в трети страни би следвало да разполагат със свободата да избират друг комплект от общи договорни клаузи или друга правна основа за прехвърляне на данни. Тъй като всеки комплект като цяло оформя модел, на износителите на данни не бива да се позволява да променят тези комплекти, нито изцяло, нито частично да ги смесват по какъвто и да било начин.
(4)
Общите договорни клаузи, представени от стопанските сдружения, имат за цел увеличаване на използването на договорни клаузи сред операторите с помощта на някои механизми, като например по-гъвкави изисквания по отношение на ревизиите и по-подробни правила относно правото на достъп.
(5)
Освен това, като алтернатива на системата на солидарна отговорност, предвидена в Решение 2001/497/ЕО, в сега предложения комплект се съдържа режим на отговорност, основан на задълженията за добросъвестно изпълнение на поставените задачи в случаите, в които износителят на данните и вносителят на данните биха били задължени по отношение на субектите на данните за съответно нарушение на своите договорни задължения; освен това износителят на данните отговаря, ако не положи разумни усилия да определи дали вносителят на данните е в състояние да спази своите правни задължения съгласно клаузите (culpa in eligendo), като в този случай субектът на данните може да заведе съдебно дело срещу износителя на данните. Прилагането на клауза I, буква б) от новия комплект общи договорни клаузи е от особено значение в това отношение и в частност във връзка с възможността износителят на данните да провежда ревизии в помещенията на вносителите на данните или да изисква доказателства за достатъчно финансови ресурси, които да покриват изпълнението на неговите отговорности.
(6)
Що се отнася до упражняването от субектите на данните на правата им на бенефициери, се предвижда по-голяма ангажираност на износителя на данните при решаването на жалби от страна на субектите на данните, при което износителят на данните е задължен да влезе в контакт с вносителя на данните и при необходимост да търси принудително изпълнение на договора в рамките на обичайния едномесечен период. В случай че износителят на данните откаже да търси принудително изпълнение на договора, като същевременно нарушението на вносителя на данните все още продължава, субектът на данните може в такъв случай да търси принудително изпълнение на клаузите спрямо вносителя на данните и евентуално да предяви иск срещу него в съда на някоя от държавите-членки. Това приемане на юрисдикция и съгласието за спазване на решение на компетентен съд или орган по защита на данните не накърнява никои процесуални права на вносителите на данните, установени в трети страни, като например правото на обжалване.
(7)
При това обаче, с цел предотвратяване на злоупотребите с тази допълнителна гъвкавост, е целесъобразно да се обезпечи органите за защита на данните да могат по-лесно да забраняват или да отменят прехвърляния на данни, като при това се основават на новия комплект общи договорни клаузи в онези случаи, в които износителят на данните откаже да предприеме целесъобразните стъпки с цел прилагане на договорните задължения срещу вносителя на данните или в случай че последният откаже да сътрудничи доброволно на компетентните надзорни органи за защита на данните.
(8)
Използването на общите договорни клаузи ще се осъществява, без да се засяга прилагането на националните разпоредби, приети в съответствие с Директива 95/46/ЕО или с Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защитата на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронните комуникации) (4) и по-специално що се отнася до изпращането на търговски съобщения за целите на директния маркетинг.
(9)
На тази основа предпазните мерки, съдържащи се в представените общи договорни клаузи, могат да се считат за адекватни по смисъла на член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Работната група за защита на физическите лица по отношение на обработката на лични данни, създадена в съответствие с член 29 от Директива 95/46/ЕО, представи своето становище (5) относно нивото на защита, предвидено съгласно представяните общи договорни клаузи, което също бе взето предвид.
(11)
С цел оценка на функционирането на измененията на Решение 2001/497/ЕО, е целесъобразно Комисията да им даде оценка три години след тяхното нотифициране до държавите-членки.
(12)
Решение 2001/497/ЕО следва да бъде съответно изменено.
(13)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Решение 2001/497/ЕО се изменя, както следва:
1.
В член 1 се добавя следният параграф:
„Контролиращите данните органи, , могат да избират между комплект I или комплект II от приложението. При това обаче те не могат да изменят клаузите, нито да комбинират отделни клаузи от различните комплекти или самите комплекти.“
2.
В член 4 параграфи 2 и 3 се заменят със следния текст:
„2. За целите на параграф 1 контролиращият орган, предприема целесъобразни предпазни мерки на базата на общите договорни клаузи, съдържащи се в комплект II от приложението, компетентните власти по защита на данните имат правото да упражняват своите правомощия и да забраняват или спират потоци данни във всеки от следните случаи:
а)
отказ на вносителя на данните да оказва доброволно сътрудничество на органите за защита на данните или да спазва своите ясни задължения съгласно договора;
б)
отказ на износителя на данни да предприеме целесъобразни стъпки по търсене на принудително изпълнение на договора срещу вносителя на данни в рамките на обичайния едномесечен период след уведомлението, изпратено на износителя на данни от компетентния орган за защита на данните.
За целите на първа алинея недобросъвестен отказ или отказ за търсене на принудително изпълнение на договор от страна на вносителя на данни не включва случаите, в които сътрудничеството или принудителното изпълнение на договора би влязло в конфликт с императивните изисквания на националното законодателство, приложими по отношение на вносителя на данни, които не надхвърлят необходимото в демократичното общество на базата на един от интересите, изброени в член 13, параграф 1 от Директива 95/46/ЕО и по-специално санкциите, предвидени в международните и/или националните инструменти, изискванията по отношение на декларирането на данъци или изискванията за докладване на случаи на пране на пари.
За целите на първа алинея, буква а) сътрудничеството, в частност, може да включва предаването от страна на вносителя на данни на техническите средства за обработка с цел извършване на ревизия или задължението да спазва съветите на надзорния орган за защита на данните на територията на Общността.
3. Забраната или прекратяването съгласно параграфи 1 и 2 се отменя, веднага щом причините за забраната или прекратяването престанат да съществуват.
4. Когато държавите-членки приемат мерки в съответствие с параграфи 1, 2 и 3, те незабавно информират Комисията, която изпраща информацията до останалите държави-членки.“.
3.
В член 5 първото изречение се замества със следния текст:
„Комисията дава оценка на функционирането на настоящото решение въз основа на наличната информация три години след неговото нотифициране и нотифицирането на всички негови изменения до държавите-членки.“.
4.
Приложението се изменя, както следва:
1.
След заглавието се добавя терминът „КОМПЛЕКТ I“.
2.
Добавя се текстът, посочен в приложението към настоящото решение.
Член 2
Настоящото решение се прилага от 1 април 2005 г.
Член 3
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2004 година.
DECISIÓN DE LA COMISIÓN
de 27 de diciembre de 2004
or la que se modifica la Decisión 2001/497/CE en lo relativo a la introducción de un conjunto alternativo de cláusulas contractuales tipo para la transferencia de datos personales a terceros países
[notificada con el número C(2004) 5271]
(Texto pertinente a efectos del EEE)
(2004/915/CE)
LA COMISIÓN DE LAS COMUNIDADES EUROPEAS,
Visto el Tratado constitutivo de la Comunidad Europea,
Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1), y, en particular, el apartado 4 de su artículo 26,
Considerando lo siguiente:
(1)
A fin de facilitar los flujos de datos procedentes de la Comunidad, es conveniente que los responsables del tratamiento estén en condiciones de realizar transferencias de datos a escala mundial ateniéndose a un único conjunto de normas de protección de datos. En ausencia de una normativa internacional en esta materia, las cláusulas contractuales tipo constituyen una herramienta de gran utilidad que permite transferir datos personales desde todos los Estados miembros con arreglo a un conjunto de normas comunes. En este sentido, la Decisión 2001/497/CE de la Comisión, de 15 de junio de 2001, relativa a cláusulas contractuales tipo para la transferencia de datos personales a un tercer país previstas en la Directiva 95/46/CE (2), establece un conjunto de cláusulas contractuales tipo que prevé garantías adecuadas para la transferencia de datos a terceros países.
(2)
Desde la adopción de dicha Decisión se ha adquirido una rica experiencia. Además, un consorcio de asociaciones empresariales (3) ha presentado un conjunto alternativo de cláusulas contractuales tipo, pensado para ofrecer un nivel de protección de datos equivalente al proporcionado por el conjunto de cláusulas adoptado por la Decisión 2001/497/CE, aunque utilizando mecanismos diferentes.
(3)
Dado que el uso de cláusulas contractuales tipo en las transferencias internacionales de datos tiene carácter voluntario (este tipo de cláusulas es sólo una de las distintas posibilidades recogidas en la Directiva 95/46/CE para la transferencia lícita de datos personales a terceros países), los exportadores de datos en la Comunidad y los importadores de datos en terceros países deberían poder optar por cualquiera de los conjuntos de cláusulas contractuales tipo o elegir otro fundamento jurídico para la transferencia de datos. Sin embargo, cada conjunto constituye un todo coherente, por lo que no es recomendable reconocer a los exportadores la posibilidad de modificar total o parcialmente estos conjuntos ni de combinarlos.
(4)
Las cláusulas contractuales tipo propuestas por las asociaciones empresariales tienen por objeto potenciar el uso de cláusulas contractuales entre los operadores, por ejemplo flexibilizando los requisitos en materia de auditoría o precisando las normas que regulan el derecho de acceso.
(5)
Por otra parte, el conjunto que ahora se presenta contiene, como alternativa al sistema de responsabilidad solidaria previsto en la Decisión 2001/497/CE, un régimen de responsabilidad basado en la obligación de diligencia debida, en virtud del cual el exportador y el importador de datos responderían ante los interesados por el incumplimiento de sus obligaciones contractuales respectivas. El exportador es asimismo responsable si no realiza esfuerzos razonables para determinar si el importador es capaz de cumplir las obligaciones jurídicas que le incumben en virtud de las cláusulas (culpa in eligendo), pudiendo el interesado emprender acciones contra el exportador de datos a este respecto. El cumplimiento de la letra b) de la cláusula I del nuevo conjunto de cláusulas contractuales tipo reviste particular importancia a este respecto, sobre todo a la vista de la posibilidad que se reconoce al exportador de datos de efectuar auditorías en las instalaciones del importador de datos o de exigir pruebas que demuestren que dispone de suficientes recursos financieros para cumplir sus responsabilidades.
(6)
En cuanto al ejercicio de los derechos de tercero beneficiario por parte de los interesados, se prevé una mayor intervención del exportador de datos en la resolución de las reclamación de los interesados, estando aquél obligado a ponerse en contacto con el importador de datos y, en su caso, a hacerle cumplir el contrato en el plazo normal de un mes. Si el exportador de datos se niega a esto último y persiste el incumplimiento por parte del importador, el interesado podrá invocar las cláusulas contra el importador de datos y, llegado el caso, demandarlo ante los tribunales de un Estado miembro. Esta aceptación de la jurisdicción y el acuerdo de acatar la decisión de un tribunal o de una autoridad de protección de datos competentes debería entenderse sin perjuicio de cualquier derecho procesal de los importadores de datos establecidos en terceros países, por ejemplo en materia de apelación.
(7)
No obstante, a fin de evitar los abusos a que pudiera dar lugar esta mayor flexibilidad, conviene reconocer a las autoridades de protección de datos la facultad de prohibir o suspender más fácilmente las transferencias de datos basadas en el nuevo conjunto de cláusulas contractuales tipo cuando el exportador de datos rehúse tomar medidas apropiadas contra el importador de datos para hacerle cumplir las obligaciones contractuales o este último se niegue a cooperar de buena fe con las autoridades de control competentes en materia de protección de datos.
(8)
El uso de cláusulas contractuales tipo se hace sin perjuicio de la aplicación de las disposiciones nacionales adoptadas de conformidad con la Directiva 95/46/CE o con la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (4), en especial en lo tocante al envío de comunicaciones comerciales con fines de marketing directo a los ciudadanos de la Unión Europea.
(9)
A la vista de todo lo dicho, las garantías contenidas en las cláusulas contractuales tipo presentadas pueden considerarse suficientes en el sentido del apartado 2 del artículo 26 de la Directiva 95/46/CE.
(10)
El Grupo de protección de las personas en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la Directiva 95/46/CE, ha emitido un dictamen (5) sobre el nivel de protección que ofrecen las cláusulas contractuales tipo que aquí se presentan. Este dictamen se ha tenido en cuenta.
(11)
Con objeto de valorar el funcionamiento de las modificaciones de la Decisión 2001/497/CE, conviene que la Comisión las evalúe tres años después de su notificación a los Estados miembros.
(12)
La Decisión 2001/497/CE debería modificarse en consecuencia.
(13)
Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité establecido de conformidad con el artículo 31 de la Directiva 95/46/CE.
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1
La Decisión 2001/497/CE quedará modificada como sigue:
1)
En el artículo 1 se añadirá el párrafo siguiente:
«Los responsables del tratamiento podrán optar por uno de los conjuntos -I o II- recogidos en el anexo. Sin embargo, no podrán modificar las cláusulas ni combinar elementos de distintas cláusulas ni los conjuntos.»
2)
Los apartados 2 y 3 del artículo 4 se sustituirán por el texto siguiente:
«2. A efectos del apartado 1, cuando el responsable del tratamiento ofrezca garantías suficientes derivadas de las cláusulas contractuales tipo contenidas en el conjunto II del anexo, las autoridades competentes responsables de la protección de datos podrán ejercer sus facultades para prohibir o suspender los flujos de datos en cualquiera de los siguientes casos:
a)
si el importador de datos se niega a cooperar de buena fe con las autoridades responsables de la protección de datos o a cumplir las obligaciones que le incumben claramente en virtud del contrato;
b)
si el exportador de datos se niega a adoptar las medidas necesarias para hacer cumplir el contrato al importador de datos en el plazo normal de un mes a partir del momento en que la autoridad competente responsable de la protección de datos se lo notifique.
A efectos del párrafo anterior, la negativa de mala fe o la negativa a ejecutar el contrato por parte del importador de datos no incluirá los supuestos en que la cooperación o la ejecución entraría en conflicto con las obligaciones impuestas por la legislación nacional aplicable al importador de datos que no vayan más allá de lo que es necesario en una sociedad democrática para la salvaguarda de uno de los intereses enumerados en el apartado 1 del artículo 13 de la Directiva 95/46/CE, por ejemplo las sanciones reconocidas con arreglo a instrumentos nacionales o internacionales o las obligaciones de declaración en materia fiscal o las impuestas por la lucha contra el blanqueo de dinero.
A efectos de la letra a) del primer párrafo, la cooperación podrá concretarse, por ejemplo, en la puesta a disposición por parte del importador de sus instalaciones de tratamiento de datos a efectos de auditoría o en la obligación de seguir los consejos de la autoridad de control en materia de protección de datos en la Comunidad.
3. La prohibición o suspensión con arreglo a los apartados 1 y 2 se levantará tan pronto como desaparezcan las razones para dicha prohibición o suspensión.
4. Cuando los Estados miembros adopten medidas de conformidad con los apartados 1, 2 y 3, informarán inmediatamente a la Comisión, que remitirá la información a los demás Estados miembros.».
3)
En el artículo 5, la primera frase se sustituirá por el texto siguiente:
«La Comisión evaluará el funcionamiento de la presente Decisión basándose en la información disponible tres años después de su notificación y de la notificación de cualquier modificación de la misma a los Estados miembros.».
4)
El anexo quedará modificado como sigue:
1.
Después del título, se insertará la expresión «CONJUNTO I».
2.
Se añadirá el texto establecido en el anexo de la presente Decisión.
Artículo 2
La presente Decisión será aplicable a partir del 1 de abril de 2005.
Artículo 3
Los destinatarios de la presente Decisión serán los Estados miembros.
Hecho en Bruselas, 27 de diciembre de 2004.