KOMMISSIONENS BESLUTNING
af 27. december 2004
om ændring af beslutning 2001/497/EF for at indføre en alternativ standardkontrakt om overførsel af personoplysninger til tredjelande
(meddelt under nummer K(2004) 5271)
(EØS-relevant tekst)
(2004/915/EF)
KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER HAR -
under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 26, stk. 4, og
ud fra følgende betragtninger:
(1)
For at gøre det nemmere at overføre data fra Fællesskabet bør de registeransvarlige være i stand til at foretage internationale dataoverførsler i henhold til et enkelt sæt databeskyttelsesregler. I mangel af sådanne internationalt vedtagne databeskyttelsesregler er standardkontraktbestemmelser imidlertid en god løsning for at overføre personoplysninger fra alle medlemsstater i henhold til et fælles regelsæt. Kommissionens beslutning 2001/497/EF af 15. juni 2001 om standardkontraktbestemmelser for overførsel af personoplysninger til tredjelande i henhold til direktiv 95/46/EF (2) indeholder derfor standardkontraktbestemmelser, der giver en tilstrækkelig beskyttelse ved overførsel af personoplysninger til tredjelande.
(2)
Dels er erfaringerne blevet betydeligt udbygget siden vedtagelsen af denne beslutning, dels har en gruppe erhvervssammenslutninger (3) fremlagt alternative standardkontraktbestemmelser, der ved hjælp af andre metoder skal givesamme databeskyttelsesniveau som de første standardkontraktbestemmelser, der er fastsat i beslutning 2001/497/EF.
(3)
Anvendelsen af standardkontraktbestemmelser i forbindelse med internationale dataoverførsler er frivillig, eftersom sådanne bestemmelser kun er én ud af flere muligheder i henhold til direktiv 95/46/EF for på lovlig vis at overføre personoplysninger til et tredjeland, og dataeksportører i Fællesskabet og dataimportører i tredjelandene bør således frit kunne vælge en af de to standardkontrakter eller et helt tredje retsgrundlag for dataoverførslen. Da hver standardkontrakt udgør et særskilt dokument, bør dataeksportørerne dog ikke kunne foretage ændringer i disse kontrakter eller kombinere alle eller en del af standardkontraktbestemmelserne.
(4)
Formålet med de standardkontraktbestemmelser, der fremlægges af erhvervssammenslutningerne, er at fremme anvendelsen af kontraktbestemmelser blandt de berørte aktører ved hjælp af alternative mekanismer som f.eks. mere fleksible kontrolbestemmelser og mere detaljerede regler om ret til indsigt.
(5)
Som et alternativ til et system baseret på solidarisk hæftelse som foreskrevet i beslutning 2001/497/EF indeholder de standardkontraktbestemmelser, der nu fremlægges, desuden ansvarsregler, der bygger på princippet om fornøden omhu, hvor dataeksportøren og dataimportøren er erstatningsansvarlige over for de registrerede ved overtrædelse af deres respektive kontraktforpligtelser. Dataeksportøren kan også drages til ansvar for ikke på passende vis at have bestræbt sig på at fastslå, om dataimportøren er i stand til at opfylde sine retlige forpligtelser i henhold til bestemmelserne (culpa in eligendo), og den registrerede kan anlægge sag mod dataeksportøren i denne henseende. Håndhævelsen af bestemmelse I, litra b), i de nye standardkontraktbestemmelser er af særlig betydning i denne henseende, især i forbindelse med dataeksportørens mulighed for at foretage kontrol af dataimportørens databehandlingsfaciliteter eller for at anmode om dokumentation for, at dataimportøren råder over tilstrækkelige finansielle ressourcer til at opfylde sine forpligtelser.
(6)
Hvad angår de registreredes påberåbelse af tredjemandsløftet bliver dataeksportøren i højere grad inddraget i behandlingen af de registreredes klager, således at dataeksportøren er forpligtet til at tage kontakt til dataimportøren og om nødvendigt at gennemtvinge kontrakten inden for den normale frist på en måned. Hvis dataeksportøren nægter at gennemtvinge kontrakten, og dataimportørens overtrædelse af standardkontraktbestemmelserne ikke ophører, kan den registrerede påberåbe sig standardkontrakten over for dataimportøren og i sidste instans anlægge sag mod denne i en medlemsstat. Denne accept af værneting og samtykke til at efterkomme en afgørelse, truffet af en kompetent domstol eller databeskyttelsesmyndighed, præjudicerer imidlertid ikke processuelle rettigheder for dataimportører i et tredjeland, f.eks. retten til at indgive appel.
(7)
For imidlertid at undgå, at denne større fleksibilitet misbruges, bør der fastsættes bestemmelser, der giver databeskyttelsesmyndighederne mulighed for nemmere at forbyde eller suspendere dataoverførsler, der foretages på grundlag af de nye standardkontraktbestemmelser, når dataeksportøren nægter på passende vis at gennemtvinge kontrakten over for dataimportøren, eller når dataimportøren nægter at samarbejde efter bedste evne med de kompetente datatilsynsmyndigheder.
(8)
Anvendelsen af standardkontraktbestemmelser berører ikke anvendelsen af nationale bestemmelser, der vedtages i medfør af direktiv 95/46/EF eller direktiv 2002/58/EF (4) om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikation (direktiv om beskyttelse af privatlivets fred og elektronisk kommunikation), især for så vidt angår fremsendelse af kommerciel kommunikation med henblik på direkte markedsføring.
(9)
De garantier, som de fremlagte standardkontraktbestemmelser giver, kan på dette grundlag anses for tilstrækkelige i henhold til artikel 26, stk. 2, i direktiv 95/46/EF.
(10)
Den udtalelse (5), som gruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet om det beskyttelsesniveau, der opnås ved hjælp af de fremlagte standardkontraktbestemmelser, er blevet taget i betragtning ved udarbejdelsen af denne beslutning.
(11)
For at vurdere gennemførelsen af ændringerne til beslutning 2001/497/EF, bør Kommissionen foretage en evaluering heraf tre år efter, at de er blevet meddelt medlemsstaterne.
(12)
Beslutning 2001/497/EF bør ændres i overensstemmelse hermed.
(13)
De i denne beslutning fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 31 i direktiv 95/46/EF -
VEDTAGET FØLGENDE BESLUTNING:
Artikel 1
I beslutning nr. 2001/497/EF foretages følgende ændringer:
(1)
I artikel 1 indsættes følgende stykke:
»Registeransvarlige kan vælge mellem standardkontrakt I eller II i bilaget. De må dog ikke ændre disse bestemmelser eller kombinere bestemte bestemmelser eller de to kontrakter.«
(2)
Artikel 4, stk. 2 og 3, affattes således:
»2. Når den registeransvarlige yder tilstrækkelige garantier på grundlag af standardkontrakt II i bilaget, kan de kompetente databeskyttelsesmyndigheder i forbindelse med stk. 1 gøre brug af deres beføjelser til at forbyde eller suspendere datastrømmen:
a)
når dataimportøren nægter at samarbejde efter bedste evne med databeskyttelsesmyndighederne eller at opfylde de forpligtelser, der tydeligt fremgår af kontrakten
b)
når dataeksportøren nægter på passende vis at gennemtvinge kontrakten over for dataimportøren inden for den normale frist på en måned, efter at dataeksportøren har modtaget en meddelelse fra den kompetente databeskyttelsesmyndighed.
Dataimportøren vil i forbindelse med første afsnit ikke blive anset for at nægte at samarbejde efter bedste evne eller at gennemtvinge kontrakten, når et sådant samarbejde eller en sådan gennemtvingelse er i strid med de obligatoriske krav i den nationale lovgivning, som dataimportøren er underlagt, og som ikke er mere vidtgående end, hvad der er nødvendigt i et demokratisk samfund på basis af en af de grunde, der er nævnt i artikel 13, stk. 1, i direktiv 95/46/EF, særlig sanktioner i henhold til international og/eller national lovgivning, oplysningspligt i skattesager eller oplysningspligt til bekæmpelse af hvidvaskning af penge.
Samarbejde skal i forbindelse med første afsnit, litra a), forstås således, at det især omfatter, at dataimportøren giver adgang til sine databehandlingsfaciliteter med henblik på kontrol eller retter sig efter en anbefaling fra databeskyttelsesmyndigheden i Fællesskabet.
3. Forbud eller suspension i henhold til stk. 1 og 2 ophæves straks, når grundene til forbuddet eller suspenderingen ikke længere eksisterer.
4. Når medlemsstaterne vedtager foranstaltninger i overensstemmelse med stk. 1, 2 og 3, underretter de straks Kommissionen, som underretter de øvrige medlemsstater.«.
(3)
Artikel 5, første punktum, affattes således:
»Kommissionen evaluerer gennemførelsen af denne beslutning på grundlag af alle tilgængelige oplysninger tre år efter, at medlemsstaterne har fået meddelt beslutningen og enhver ændring heraf.«.
(4)
Bilaget ændres således:
1.
Titlen »STANDARDKONTRAKTBESTEMMELSER« erstattes med »STANDARDKONTRAKT I«.
2.
Teksten i bilaget til denne beslutning indsættes.
Artikel 2
Denne beslutning anvendes fra den 1. april 2005.
Artikel 3
Denne beslutning er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 27. december 2004.
32004D0915
L 385/74
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2004 година
за изменение на Решение 2001/497/ЕО за въвеждане на алтернативен комплект общи договорни клаузи за прехвърляне на лични данни в трети страни
(нотифицирано под номер С(2004) 5271)
(текст от значение за ЕИП)
(2004/915/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. относно защитата на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
С цел улесняване на потоците данни от Общността е желателно лицата, отговарящи за обработката на данните, да могат да извършват прехвърлянето на данни глобално и с прилагане на единен комплект правила за защита на данните. В отсъствието на глобални норми за защита на данните, общите договорни клаузи осигуряват важен инструмент, позволяващ прехвърлянето на лични данни от всички държави-членки при спазване на общ за всички комплект правила. Във връзка с това в Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (2) се посочва модел на комплект общи договорни клаузи, който осигурява адекватни предпазни мерки за прехвърлянето на данни на трети страни.
(2)
От приемането на посоченото решение е придобит значителен опит. Освен това, с оглед при използването на различни механизми да се осигури ниво на защита на данните, еквивалентно на това, което се осигурява от комплекта общи договорни клаузи, предвидени в Решение 2001/497/ЕО, една група от стопански сдружения (3) представи комплект алтернативни общи договорни клаузи.
(3)
Тъй като използването на общите договорни клаузи за прехвърляне на данни в международен мащаб е доброволно, като общите договорни клаузи са само една от няколкото възможности съгласно Директива 95/46/ЕО за законно прехвърляне на лични данни в трета страна, износителите на данни на територията на Общността и вносителите на данни в трети страни би следвало да разполагат със свободата да избират друг комплект от общи договорни клаузи или друга правна основа за прехвърляне на данни. Тъй като всеки комплект като цяло оформя модел, на износителите на данни не бива да се позволява да променят тези комплекти, нито изцяло, нито частично да ги смесват по какъвто и да било начин.
(4)
Общите договорни клаузи, представени от стопанските сдружения, имат за цел увеличаване на използването на договорни клаузи сред операторите с помощта на някои механизми, като например по-гъвкави изисквания по отношение на ревизиите и по-подробни правила относно правото на достъп.
(5)
Освен това, като алтернатива на системата на солидарна отговорност, предвидена в Решение 2001/497/ЕО, в сега предложения комплект се съдържа режим на отговорност, основан на задълженията за добросъвестно изпълнение на поставените задачи в случаите, в които износителят на данните и вносителят на данните биха били задължени по отношение на субектите на данните за съответно нарушение на своите договорни задължения; освен това износителят на данните отговаря, ако не положи разумни усилия да определи дали вносителят на данните е в състояние да спази своите правни задължения съгласно клаузите (culpa in eligendo), като в този случай субектът на данните може да заведе съдебно дело срещу износителя на данните. Прилагането на клауза I, буква б) от новия комплект общи договорни клаузи е от особено значение в това отношение и в частност във връзка с възможността износителят на данните да провежда ревизии в помещенията на вносителите на данните или да изисква доказателства за достатъчно финансови ресурси, които да покриват изпълнението на неговите отговорности.
(6)
Що се отнася до упражняването от субектите на данните на правата им на бенефициери, се предвижда по-голяма ангажираност на износителя на данните при решаването на жалби от страна на субектите на данните, при което износителят на данните е задължен да влезе в контакт с вносителя на данните и при необходимост да търси принудително изпълнение на договора в рамките на обичайния едномесечен период. В случай че износителят на данните откаже да търси принудително изпълнение на договора, като същевременно нарушението на вносителя на данните все още продължава, субектът на данните може в такъв случай да търси принудително изпълнение на клаузите спрямо вносителя на данните и евентуално да предяви иск срещу него в съда на някоя от държавите-членки. Това приемане на юрисдикция и съгласието за спазване на решение на компетентен съд или орган по защита на данните не накърнява никои процесуални права на вносителите на данните, установени в трети страни, като например правото на обжалване.
(7)
При това обаче, с цел предотвратяване на злоупотребите с тази допълнителна гъвкавост, е целесъобразно да се обезпечи органите за защита на данните да могат по-лесно да забраняват или да отменят прехвърляния на данни, като при това се основават на новия комплект общи договорни клаузи в онези случаи, в които износителят на данните откаже да предприеме целесъобразните стъпки с цел прилагане на договорните задължения срещу вносителя на данните или в случай че последният откаже да сътрудничи доброволно на компетентните надзорни органи за защита на данните.
(8)
Използването на общите договорни клаузи ще се осъществява, без да се засяга прилагането на националните разпоредби, приети в съответствие с Директива 95/46/ЕО или с Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защитата на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронните комуникации) (4) и по-специално що се отнася до изпращането на търговски съобщения за целите на директния маркетинг.
(9)
На тази основа предпазните мерки, съдържащи се в представените общи договорни клаузи, могат да се считат за адекватни по смисъла на член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Работната група за защита на физическите лица по отношение на обработката на лични данни, създадена в съответствие с член 29 от Директива 95/46/ЕО, представи своето становище (5) относно нивото на защита, предвидено съгласно представяните общи договорни клаузи, което също бе взето предвид.
(11)
С цел оценка на функционирането на измененията на Решение 2001/497/ЕО, е целесъобразно Комисията да им даде оценка три години след тяхното нотифициране до държавите-членки.
(12)
Решение 2001/497/ЕО следва да бъде съответно изменено.
(13)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Решение 2001/497/ЕО се изменя, както следва:
1.
В член 1 се добавя следният параграф:
„Контролиращите данните органи, , могат да избират между комплект I или комплект II от приложението. При това обаче те не могат да изменят клаузите, нито да комбинират отделни клаузи от различните комплекти или самите комплекти.“
2.
В член 4 параграфи 2 и 3 се заменят със следния текст:
„2. За целите на параграф 1 контролиращият орган, предприема целесъобразни предпазни мерки на базата на общите договорни клаузи, съдържащи се в комплект II от приложението, компетентните власти по защита на данните имат правото да упражняват своите правомощия и да забраняват или спират потоци данни във всеки от следните случаи:
а)
отказ на вносителя на данните да оказва доброволно сътрудничество на органите за защита на данните или да спазва своите ясни задължения съгласно договора;
б)
отказ на износителя на данни да предприеме целесъобразни стъпки по търсене на принудително изпълнение на договора срещу вносителя на данни в рамките на обичайния едномесечен период след уведомлението, изпратено на износителя на данни от компетентния орган за защита на данните.
За целите на първа алинея недобросъвестен отказ или отказ за търсене на принудително изпълнение на договор от страна на вносителя на данни не включва случаите, в които сътрудничеството или принудителното изпълнение на договора би влязло в конфликт с императивните изисквания на националното законодателство, приложими по отношение на вносителя на данни, които не надхвърлят необходимото в демократичното общество на базата на един от интересите, изброени в член 13, параграф 1 от Директива 95/46/ЕО и по-специално санкциите, предвидени в международните и/или националните инструменти, изискванията по отношение на декларирането на данъци или изискванията за докладване на случаи на пране на пари.
За целите на първа алинея, буква а) сътрудничеството, в частност, може да включва предаването от страна на вносителя на данни на техническите средства за обработка с цел извършване на ревизия или задължението да спазва съветите на надзорния орган за защита на данните на територията на Общността.
3. Забраната или прекратяването съгласно параграфи 1 и 2 се отменя, веднага щом причините за забраната или прекратяването престанат да съществуват.
4. Когато държавите-членки приемат мерки в съответствие с параграфи 1, 2 и 3, те незабавно информират Комисията, която изпраща информацията до останалите държави-членки.“.
3.
В член 5 първото изречение се замества със следния текст:
„Комисията дава оценка на функционирането на настоящото решение въз основа на наличната информация три години след неговото нотифициране и нотифицирането на всички негови изменения до държавите-членки.“.
4.
Приложението се изменя, както следва:
1.
След заглавието се добавя терминът „КОМПЛЕКТ I“.
2.
Добавя се текстът, посочен в приложението към настоящото решение.
Член 2
Настоящото решение се прилага от 1 април 2005 г.
Член 3
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2004 година.