Rozhodnutí Komise
ze dne 27. prosince 2001
o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice 95/46/ES
(oznámeno pod číslem K(2001) 4540)
(Text s významem pro EHP)
(2002/16/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1], a zejména na čl. 26 odst. 4 uvedené směrnice,
vzhledem k těmto důvodům:
(1) Podle směrnice 95/46/ES jsou členské státy povinny zajistit, aby se předávání osobních údajů do třetí země mohlo uskutečnit pouze za podmínky, že dotyčná třetí země zaručí odpovídající úroveň ochrany údajů a že před předáváním budou dodrženy právní předpisy členských států, které jsou v souladu s ostatními ustanoveními směrnice.
(2) Čl. 26 odst. 2 směrnice 95/46/ES však stanoví, že členské státy mohou předání nebo předávání osobních údajů do třetích zemí, které nezajišťují odpovídající úroveň ochrany, povolit za předpokladu, že existují určitá ochranná opatření. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek.
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů posuzována s ohledem na veškeré okolnosti doprovázející předání nebo předávání údajů. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů založená podle uvedené směrnice [2] vydala v zájmu usnadnění posuzování pokyny [3].
(4) Standardní smluvní doložky se týkají pouze ochrany údajů. Vývozce údajů a dovozce údajů mohou do smluv libovolně začlenit jakékoli další doložky, které se vztahují k předmětu obchodu, které jsou dle jejich názoru pro účely dané smlouvy vhodné, a to za podmínky, že nejsou v rozporu se standardními smluvními doložkami.
(5) Tímto rozhodnutím by neměla být dotčena vnitrostátních oprávnění, která mohou členské státy udělit v souladu s vnitrostátními právními předpisy, kterými se provádí čl. 26 odst. 2 směrnice 95/46/ES. Toto rozhodnutí pouze požaduje po členských státech, aby neodmítaly uznat smluvní doložky uvedené v tomto rozhodnutí jako dostatečná ochranná opatření, a nemá tudíž žádný vliv na ostatní smluvní doložky.
(6) Oblast působnosti tohoto rozhodnutí je omezena na stanovení toho, že doložky, které uvádí, mohou být použity správcem údajů usazeným ve Společenství, aby bylo možno stanovit odpovídající ochranná opatření ve smyslu čl. 26 odst. 2 směrnice 95/46/ES pro předávání osobních údajů zpracovateli usazenému ve třetí zemi.
(7) Toto rozhodnutí by mělo provádět povinnost uvedenou v čl. 17 odst. 3 směrnice 95/46/ES a není jím dotčen obsah smluv nebo právních aktů vzniklých v souladu s tímto ustanovením. Součástí smluv nebo právních aktů by však měly být některé ze standardních smluvních doložek, zejména ve vztahu k povinnostem vývozce údajů, aby byla zajištěna srozumitelnost ustanovení, která mohou být obsažena ve smlouvě mezi správcem a zpracovatelem.
(8) Orgány dozoru členských států hrají v tomto smluvním mechanizmu klíčovou roli při zajišťování toho, aby osobní údaje byly po předání náležitě chráněny. Ve výjimečných případech, kdy vývozci údajů odmítnou řádně poučit dovozce údajů nebo kdy jej řádně poučit nemohou a kdy subjektům údajů hrozí bezprostřední riziko závažné újmy, by měly standardní smluvní doložky umožňovat orgánům dovozu prověřit dovozce údajů a popřípadě přijmout rozhodnutí, která budou pro dovozce údajů závazná. Orgány dozoru by měly mít pravomoc zakázat nebo pozastavit předání nebo předávání údajů uskutečněné na základě standardních smluvních doložek v takových výjimečných případech, kdy by předávání uskutečněné na smluvním základě mělo pravděpodobně závažný nepříznivý dopad na ochranná opatření a povinnosti vztahující se k zajištění odpovídající ochrany subjektu údajů.
(9) Komise by také mohla v budoucnu zvážit, zda standardní smluvní doložky předkládané obchodními organizacemi nebo jinými zainteresovanými osobami pro předávání osobních údajů zpracovatelům údajů usazeným ve třetích zemích, které neposkytují odpovídající úroveň ochrany údajů, nabízejí dostatečná ochranná opatření v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
(10) Zpřístupnění osobních údajů zpracovateli údajů usazenému mimo Společenství přestavuje mezinárodní předávání chráněné podle kapitoly IV směrnice 95/46/ES. Toto rozhodnutí se proto nevztahuje na předávání osobních údajů správci usazenému ve Společenství správcům usazeným mimo Společenství, kteří spadají do oblasti působnosti rozhodnutí Komise 2001/497/ES ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES [4].
(11) Standardní smluvní doložky by měly stanovit technická a organizační bezpečnostní opatření, která by zajistila úroveň bezpečnosti odpovídající rizikům spojeným se zpracováním a s povahou údajů, jež mají být chráněny, a která musejí být uplatňována zpracovatelem údajů usazeným ve třetí zemi, která neposkytuje dostatečnou ochranu. Strany by měly do smlouvy začlenit ustanovení vztahující se k těmto technickým a organizačním opatřením, která s ohledem na právo rozhodné pro ochranu údajů, na stav techniky a na náklady související s jejich prováděním jsou nezbytná v zájmu ochrany osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem nebo před ostatními protiprávními způsoby zpracování.
(12) V zájmu usnadnění toků údajů směrem ze Společenství je žádoucí, aby zpracovatelům poskytujícím služby zpracování údajů několika správcům údajů ve Společenství bylo dovoleno uplatňovat stejná technická a organizační bezpečnostní opatření bez ohledu na to, ze kterého členského státu je předávání údajů prováděno, zejména v případech, kdy dovozce údajů získává údaje pro další zpracování od různých provozoven vývozce údajů ve Společenství; v takovém případě by mělo být použito právo příslušného členského státu, v němž je vývozce údajů usazen.
(13) Je vhodné stanovit minimální rozsah informací, který musejí strany ve smlouvě o předávání výslovně uvést. Členské státy by si měly ponechat pravomoc upřesnit, jaké informace musejí strany uvést. Uplatňování tohoto rozhodnutí by mělo být přezkoumáno na základě zkušeností.
(14) Dovozce údajů by měl předávané osobní údaje zpracovávat pouze jménem vývozce údajů a v souladu s jeho pokyny a s povinnostmi obsaženými v doložkách. Dovozce údajů by především neměl zpřístupnit osobní údaje třetí straně, pokud to není v souladu s určitými podmínkami. Vývozce údajů by měl dovozce údajů po celou dobu poskytování služeb spojených se zpracováním údajů upozorňovat, že má údaje zpracovávat v souladu s pokyny vývozce údajů, s právem rozhodným pro ochranu údajů a s povinnostmi obsaženými v doložkách. Předávání osobních údajů zpracovateli se sídlem mimo Společenství nijak neovlivňuje skutečnost, že činnosti spojené se zpracováním údajů by se měly v každém případě řídit právem rozhodným pro ochranu údajů.
(15) Standardní smluvní doložky by měly být vynutitelné nejen organizacemi, které jsou stranami smlouvy, ale také subjekty údajů, zejména v případech, kdy subjekty údajů utrpí škodu v důsledku porušení smlouvy.
(16) Subjekt údajů by měl být oprávněn podat žalobu a případně obdržet náhradu škody od vývozce údajů, který je správcem předávaných osobních údajů. Ve výjimečných případech by měl být subjekt údajů oprávněn podat žalobu a případně obdržet náhradu škody od dovozce údajů, pokud došlo k porušení některé z povinností dovozce údajů uvedených v druhém odstavci doložky 3, pokud vývozce údajů fakticky zmizel, z právního hlediska zanikl nebo je v platební neschopnosti.
(17) V případě sporu mezi subjektem údajů, který se dovolává doložky ve prospěch třetí strany, a dovozcem údajů, který není vyřešen smírně, by se měl dovozce údajů zavázat, že nabídne subjektu údajů, aby si zvolil mezi mediací, rozhodčím řízením nebo soudním řízením. Rozsah, v jakém si bude moci subjekt údajů skutečně zvolit způsob řešení, by měl záviset na dostupnosti spolehlivých a uznaných systémů mediace a rozhodčího řízení. Mediace prostřednictvím orgánů dozoru pro ochranu údajů v členském státě, ve kterém je usazen vývozce údajů, by měla být v případě, že je tato služba k dispozici, jednou z možností.
(18) Rozhodné právo smlouvy by mělo být právem členského státu, ve kterém je usazen vývozce údajů, umožňujícím oprávněné třetí straně vynutit splnění smlouvy. Subjekty údajů mohou být zastoupeny sdruženími nebo jinými subjekty, je-li to jejich přání a povoluje-li to vnitrostátní právo.
(19) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko k úrovni ochrany poskytované podle standardních smluvních doložek připojených k tomuto rozhodnutí, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí [5].
(20) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Standardní smluvní doložky uvedené v příloze jsou považovány za dostatečná ochranná opatření s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, jakož i s ohledem na výkon odpovídajících práv v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
Článek 2
Toto rozhodnutí se týká pouze dostatečnosti ochrany zajištěné standardními smluvními doložkami pro předávání osobních údajů zpracovatelům, které jsou uvedeny v příloze. Nevztahuje se na používání ostatních vnitrostátních předpisů, kterými se provádí směrnice 95/46/ES a které souvisejí se zpracováním osobních údajů v členských státech.
Toto rozhodnutí se vztahuje na předávání osobních údajů správci usazenými ve Společenství příjemcům usazeným mimo území Společenství, kteří působí pouze jako zpracovatelé.
Článek 3
Pro účely tohoto rozhodnutí se:
a) použijí definice uvedené ve směrnici 95/46/ES;
b) "zvláštními kategoriemi údajů" rozumějí údaje uvedené v článku 8 uvedené směrnice;
c) "orgánem dozoru" rozumí orgán uvedený v článku 28 uvedené směrnice;
d) "vývozcem údajů" rozumí správce, který předává osobní údaje;
e) "dovozcem údajů" rozumí zpracovatel usazený ve třetí zemi, který se zavazuje přijímat od vývozce údajů osobní údaje určené ke zpracování jménem vývozce údajů po předání v souladu s jeho pokyny a s podmínkami tohoto rozhodnutí a který nepodléhá systému třetí země zajišťující odpovídající ochranu;
f) "právem rozhodným pro ochranu údajů" rozumí právní předpisy ochraňující základní práva a svobody fyzických osob, a zejména jejich právo na soukromí ve vztahu ke zpracování osobních údajů, které se použijí na správce údajů v členském státě, ve kterém je usazen vývozce údajů;
g) "technickými a organizačními bezpečnostními opatřeními" rozumějí opatření zaměřená na ochranu osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem, zejména v případech, kdy v souvislosti se zpracováním dochází k přenosu údajů po síti, a před všemi ostatními protiprávními způsoby zpracování.
Článek 4
1. Aniž jsou dotčeny jejich pravomoci přijmout opatření k zajištění dodržování vnitrostátních předpisů přijatých podle kapitol II, III, V a VI směrnice 95/46/ES, mohou příslušné orgány členských států vykonávat své stávající pravomoci zakázat nebo pozastavit toky údajů směřující do třetích zemí, aby tak chránily jednotlivce v souvislosti se zpracováním jejich osobních údajů v případech, kdy:
a) je zjištěno, že právní předpisy, kterým dovozce údajů podléhá, po něm vyžadují, aby se odchýlil se od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46/ES, a že tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na ochranná opatření poskytovaná právem rozhodným pro ochranu údajů a standardními smluvními doložkami, nebo
b) příslušný orgán zjistil, že dovozce údajů nedodržoval smluvní doložky uvedené v příloze, nebo
c) je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.
2. Zákaz či pozastavení podle odstavce 1 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.
3. Jakmile členské státy přijmou opatření podle odstavců 1 a 2, informují neprodleně Komisi, která informace předá ostatním členským státům.
Článek 5
Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení členským státům. Předloží zprávu o zjištěních výboru zřízenému podle článku 31 směrnice 95/46/ES. Zpráva bude obsahovat veškeré důkazy, které by mohly ovlivnit hodnocení dostatečnosti standardních smluvních doložek uvedených v příloze, jakož i veškeré důkazy o tom, že se toto rozhodnutí uplatňuje diskriminačním způsobem.
Článek 6
Toto rozhodnutí se použije ode dne 3. dubna 2002.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 27. prosince 2001.
Komission päätös,
tehty 27 päivänä joulukuuta 2001,
direktiivin 95/46/EY mukaisista mallisopimuslausekkeista henkilötietojen siirtoa varten kolmansiin maihin sijoittautuneille henkilötietojen käsittelijöille
(tiedoksiannettu numerolla K(2001) 4540)
(ETA:n kannalta merkityksellinen teksti)
(2002/16/EY)
EUROOPAN YHTEISÖJEN KOMISSIO, joka
ottaa huomioon Euroopan yhteisön perustamissopimuksen,
ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY(1) ja erityisesti sen 26 artiklan 4 kohdan,
sekä katsoo seuraavaa:
(1) Direktiivin 95/46/EY mukaisesti jäsenvaltioiden on säädettävä, että henkilötietojen siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso ja jos mainitun direktiivin muiden säännösten mukaisia jäsenvaltioiden lakeja noudatetaan ennen siirtoa.
(2) Kuitenkin direktiivin 95/46/EY 26 artiklan 2 kohdassa säädetään, että jäsenvaltiot voivat hyväksyä, tiettyjä takeita noudattaen, henkilötietojen siirron tai siirtojen sarjan sellaisiin kolmansiin maihin, joissa ei taata tietosuojan riittävää tasoa. Nämä takeet voivat perustua erityisesti asianmukaisiin sopimuslausekkeisiin.
(3) Direktiivin 95/46/EY mukaisesti tietosuojan tasoa olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta. Mainitulla direktiivillä perustettu tietosuojatyöryhmä(2) on laatinut suuntaviivat arvioinnin tueksi(3).
(4) Mallisopimuslausekkeet koskevat ainoastaan tietosuojaa. Tietojen viejä ja tietojen tuoja voivat vapaasti sisällyttää sopimukseen muita lausekkeita yritystoimintaan liittyvistä kysymyksistä, joita ne pitävät sopimuksen kannalta olennaisina, kunhan nämä lausekkeet eivät ole ristiriidassa mallisopimuslausekkeiden kanssa.
(5) Tällä päätöksellä ei rajoiteta jäsenvaltioiden mahdollisuutta antaa sellaisten kansallisten säännösten mukaisia kansallisia lupia, joilla direktiivin 95/46/EY 26 artiklan 2 kohta pannaan täytäntöön. Tämän päätöksen ainoa vaikutus on se, että jäsenvaltiot eivät kieltäydy tunnustamasta päätöksessä tarkoitettujen sopimuslausekkeiden tarjoavan riittävät takeet, ja tällä päätöksellä ei näin ollen ole vaikutusta muihin sopimuslausekkeisiin.
(6) Tämän päätöksen soveltamisala rajoittuu lausekkeiden vahvistamiseen, joita yhteisöön sijoittautunut rekisterinpitäjä voi käyttää direktiivin 95/46/EY 26 artiklan 2 kohdan mukaisten riittävien takeiden antamiseen henkilötietojen siirtämiseksi kolmanteen maahan sijoittautuneelle henkilötietojen käsittelijälle.
(7) Tällä päätöksellä olisi pantava täytäntöön direktiivin 95/46/EY 17 artiklan 3 kohdan mukainen velvoite, eikä tämä päätös vaikuta mainitun säännöksen mukaisesti laaditun sopimuksen tai oikeudellisen asiakirjan sisältöön. Kuitenkin jotkut mallisopimuslausekkeet, erityisesti tietojen viejän velvoitteita koskevat, olisi otettava mukaan sen selkeyttämiseksi, minkälaisia määräyksiä voidaan sisällyttää rekisterinpitäjän ja henkilötietojen käsittelijän väliseen sopimukseen.
(8) Tässä sopimusmenettelyssä jäsenvaltioiden valvontaviranomaisilla on keskeinen tehtävä sen varmistamisessa, että henkilötietoja suojataan riittävästi niiden siirron jälkeen. Mallisopimuslausekkeiden ansiosta valvontaviranomaiset voivat tarkastaa tietojen tuojien toimintaa ja tehdä tietojen tuojia velvoittavia päätöksiä niissä poikkeustapauksissa, joissa tietojen viejä kieltäytyy antamasta tietojen tuojalle ohjeita tai ei kykene antamaan niitä, ja on olemassa välitön vaara vakavasta haitasta rekisteröidyille. Jäsenvaltioiden valvontaviranomaisilla on oikeus kieltää tai lykätä mallisopimuslausekkeisiin perustuva tietojen siirto tai siirtojen sarja tietyin edellytyksin niissä poikkeustapauksissa, joissa sopimusperusteisella siirrolla todetaan todennäköisesti olevan merkittävä haitallinen vaikutus noudatettaviin velvollisuuksiin ja rekisteröidylle annettaviin takeisiin riittävästä tietosuojasta.
(9) Komissio voi myös tarkastella tulevaisuudessa tarjoavatko yritysorganisaatioiden tai muiden asianomaisten esittämät mallisopimuslausekkeet, jotka on laadittu niihin kolmansiin maihin, joissa ei taata tietosuojan riittävää tasoa, sijoittautuneille henkilötietojen käsittelijöille suuntautuvaa henkilötietojen siirtoa varten, direktiivin 95/46/EY 26 artiklan 2 kohdan mukaiset riittävät takeet.
(10) Henkilötietojen luovuttaminen yhteisön ulkopuolelle sijoittautuneelle tietojen käsittelijälle on direktiivin 95/46/EY IV luvun nojalla suojattu kansainvälinen siirto. Sen vuoksi tämä päätös ei koske yhteisöön sijoittautuneiden rekisterinpitäjien suorittamia henkilötietojen siirtoja rekisterinpitäjille, jotka ovat sijoittautuneet yhteisön ulkopuolelle, ja jotka kuuluvat direktiivin 95/46/EY mukaisista mallisopimuslausekkeista henkilötietojen kolmansiin maihin siirtoa varten 15 päivänä kesäkuuta 2001 tehdyn komission päätöksen 2001/497/EY(4) soveltamisalaan.
(11) Mallisopimuslausekkeiden olisi sisällettävä tekniset ja organisatoriset turvatoimet, joilla taataan käsittelyyn liittyviä riskejä ja suojattujen tietojen luonnetta vastaava turvallisuuden taso, jota sellaiseen kolmanteen maahan, jossa ei taata riittävää suojaa, sijoittautuneen tietojen käsittelijän on noudatettava. Kun otetaan huomioon sovellettava tietosuojalainsäädäntö, nykyinen tekninen taso ja toimenpiteiden toteuttamiseen liittyvät kustannukset, sopimuspuolten olisi määrättävä sopimuksessa teknisistä ja organisatorisista toimenpiteistä, jotka ovat tarpeen henkilötietojen suojaamiseksi tahattomalta tai luvattomalta tuhoamiselta, tahattomalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietoihin pääsyltä taikka muulta henkilötietojen luvattomalta käsittelytavalta.
(12) Yhteisöstä tehtävien tiedonsiirtojen helpottamiseksi olisi suotavaa, että tietojen käsittelypalveluja useille yhteisön rekisterinpitäjille tarjoavat käsittelijät voivat ottaa käyttöön samat tekniset ja organisatoriset turvatoimet riippumatta siitä, mistä jäsenvaltiosta tietojen siirto on lähtöisin, erityisesti niissä tapauksissa, joissa tietojen tuoja ottaa vastaan tietoja edelleenkäsittelyä varten tietojen viejän eri toimipaikoista yhteisössä, missä tapauksessa nimetyn toimipaikan jäsenvaltion oikeutta olisi sovellettava.
(13) On asianmukaista vahvistaa vähimmäistiedot, jotka sopimuspuolten on mainittava siirtoa koskevassa sopimuksessa. Jäsenvaltioilla olisi oltava edelleen oikeus täsmentää tiedot, jotka sopimuspuolten on toimitettava. Tämän päätöksen soveltamista olisi tarkasteltava uudelleen saadun kokemuksen perusteella.
(14) Tietojen tuojan on käsiteltävä siirrettyjä henkilötietoja ainoastaan tietojen viejän puolesta ja tämän antamien ohjeiden mukaisesti ja lausekkeiden mukaisia velvollisuuksia noudattaen. Tietojen tuoja ei saa luovuttaa henkilötietoja sivullisille, elleivät tietyt edellytykset täyty. Tietojen viejän on kehotettava tietojen tuojaa käsittelemään tietoja käsittelypalvelujen koko keston ajan tietojen viejän antamien ohjeiden mukaisesti, sovellettavan tietosuojalainsäädännön mukaisesti ja lausekkeiden sisältämiä velvollisuuksia noudattaen. Henkilötietojen siirto yhteisön ulkopuolelle sijoittautuneille käsittelijöille ei vaikuta siihen, että käsittelyn on aina kuuluttava sovellettavan tietosuojalainsäädännön piiriin.
(15) Mallisopimuslausekkeiden olisi oltava täytäntöönpanokelpoisia ei ainoastaan sopimuksen sopimuspuolina olevien organisaatioiden vaan myös rekisteröityjen toimesta erityisesti, jos rekisteröidyille aiheutuu vahinkoa sopimusrikkomuksen seurauksena.
(16) Rekisteröidyllä olisi oltava oikeus ryhtyä toimiin ja tarvittaessa saada korvaus tietojen viejältä, joka on siirrettyjen henkilötietojen rekisterinpitäjä. Poikkeustapauksessa rekisteröidyllä olisi oltava myös oikeus ryhtyä toimiin ja tarvittaessa saada korvaus tietojen tuojalta niissä tapauksissa, joissa tietojen tuoja on rikkonut lausekkeen 3 toista kohtaa ja tietojen viejä on tosiasiallisesti hävinnyt tai oikeudellisesti lakannut taikka maksukyvytön.
(17) Jos rekisteröidyn ja tietojen tuojan välillä syntyy riita, jossa rekisteröity vetoaa sivullista suojaavaan edunsaajalausekkeeseen ja jossa ei päästä sovintoratkaisuun, tietojen tuoja hyväksyy, että rekisteröidyllä on mahdollisuus valita sovittelu- tai välimiesmenettely taikka asian riitauttaminen. Se, missä määrin rekisteröidyllä on käytettävissään vaihtoehtoja, on sidoksissa luotettavien ja tunnustettujen sovittelu- ja välimiesmenettelyjen käyttömahdollisuuksiin. Sen jäsenvaltion, johon tietojen viejä on sijoittautunut, tietosuojaviranomaisten järjestämän välimiesmenettelyn olisi oltava yksi vaihtoehto, jos kyseiset viranomaiset tarjoavat tällaista palvelua.
(18) Sopimukseen olisi sovellettava sen jäsenvaltion lakia, johon tietojen viejä on sijoittautunut ja jonka avulla edunsaajana oleva sivullinen voi panna sopimuksen täytäntöön. Rekisteröityjä olisi voitava edustaa yhteenliittymä tai muu elin, jos rekisteröidyt niin haluavat ja jos se on kansallisen lainsäädännön mukaan sallittua.
(19) Direktiivin 95/46/EY 29 artiklalla perustettu tietosuojatyöryhmä on antanut tämän päätöksen liitteenä olevien mallisopimuslausekkeiden antamasta suojan tasosta lausunnon, joka on otettu huomioon tätä päätöstä valmisteltaessa(5).
(20) Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklalla perustetun komitean lausunnon mukaiset,
ON TEHNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
Liitteessä olevien mallisopimuslausekkeiden katsotaan antavan riittävät takeet yksityisyyden ja yksilöiden perusoikeuksien ja -vapauksien suojaamiseksi ja vastaavien oikeuksien toteutumiseksi direktiivin 95/46/EY 26 artiklan 2 kohdassa edellytetyllä tavalla.
2 artikla
Tämä päätös koskee ainoastaan mallisopimuslausekkeiden antaman suojan riittävyyttä liitteen mukaisesti henkilötietojen siirrossa henkilötietojen käsittelijöille. Se ei vaikuta direktiivin 95/46/EY täytäntöön panemiseksi annettujen muiden kansallisten säännösten soveltamiseen, jotka koskevat henkilötietojen käsittelyä jäsenvaltioissa.
Tätä päätöstä sovelletaan yhteisöön sijoittautuneiden rekisterinpitäjien suorittamaan henkilötietojen siirtoon vastaanottajille, jotka ovat sijoittautuneet yhteisön alueen ulkopuolelle ja jotka toimivat ainoastaan käsittelijöinä.
3 artikla
Tässä päätöksessä:
a) sovelletaan direktiivin 95/46/EY määritelmiä;
b) "erityisillä tietoryhmillä" tarkoitetaan direktiivin 95/46/EY 8 artiklassa tarkoitettuja tietoja;
c) "valvontaviranomaisella" tarkoitetaan direktiivin 95/46/EY 28 artiklassa tarkoitettua viranomaista;
d) "tietojen viejällä" tarkoitetaan rekisterinpitäjää, joka siirtää henkilötiedot;
e) "tietojen tuojalla" tarkoitetaan kolmanteen maahan sijoittautunutta henkilötietojen käsittelijää, joka hyväksyy vastaanottavansa tietojen viejältä henkilötietoja, jotka on siirron jälkeen tarkoitus käsitellä tietojen viejän puolesta tämän antamien ohjeiden mukaisesti ja tämän päätöksen mukaisia edellytyksiä noudattaen, ja jota ei koske riittävän suojan takaava kolmannen maan järjestelmä;
f) "sovellettavalla tietosuojalainsäädännöllä" tarkoitetaan lainsäädäntöä, jolla suojataan luonnollisten henkilöiden perusoikeudet ja -vapaudet ja erityisesti heidän oikeutensa yksityisyyteen henkilötietojen käsittelyssä ja jota sovelletaan rekisterinpitäjään siinä jäsenvaltiossa, johon tietojen viejä on sijoittautunut;
g) "teknisillä ja organisatorisilla turvatoimilla" tarkoitetaan toimenpiteitä, joiden tavoitteena on suojata henkilötietoja tahattomalta tai luvattomalta tuhoamiselta, tahattomalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietoihin pääsyltä erityisesti kun tietoja siirretään verkossa käsittelyn yhteydessä, sekä muulta henkilötietojen luvattomalta käsittelytavalta.
4 artikla
1. Jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan kolmansiin maihin suuntautuvien tiedonsiirtojen kieltämiseksi tai lykkäämiseksi suojatakseen yksityishenkilöitä näiden henkilötietojen käsittelyssä, sanotun kuitenkaan rajoittamatta kyseisten viranomaisten toimivaltuuksia toteuttaa toimenpiteitä direktiivin 95/46/EY II, III, V ja VI luvun nojalla annettujen kansallisten säännösten noudattamisen varmistamiseksi, jos
a) todetaan, että tietojen tuojaan sovellettavaan lainsäädäntöön sisältyy sellaisia vaatimuksia poiketa sovellettavasta tietosuojalaista, jonka rajoitukset menevät pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa direktiivin 95/46/EY 13 artiklan mukaan, jos kyseisillä vaatimuksilla on todennäköisesti merkittävä haitallinen vaikutus sovellettavassa tietosuojalaissa ja mallisopimuslausekkeissa annettaviin takeisiin; tai
b) toimivaltainen viranomainen on todennut, ettei tietojen tuoja ole noudattanut liitteessä annettuja sopimuslausekkeita; taikka
c) on hyvin todennäköistä, että liitteessä olevia mallisopimuslausekkeita ei noudateta tai ei tulla noudattamaan ja siirron jatkaminen merkitsisi välitöntä vaaraa vakavan haitan aiheutumisesta rekisteröidyille.
2. Edellä 1 kohdan mukainen kielto tai lykkäys poistetaan heti kun lykkäyksen tai kiellon syyt ovat poistuneet.
3. Toteuttaessaan 1 ja 2 kohdan mukaisia toimenpiteitä jäsenvaltioiden on ilmoitettava siitä viipymättä komissiolle, joka välittää tiedon muille jäsenvaltioille.
5 artikla
Komissio arvioi tämän päätöksen soveltamista käytettävissä olevien tietojen pohjalta kolmen vuoden kuluttua sen tiedoksiantamisesta jäsenvaltioille. Se antaa kertomuksen direktiivin 95/46/EY 31 artiklalla perustetulle komitealle. Kertomus sisältää havainnot, jotka voivat vaikuttaa liitteessä olevien mallisopimuslausekkeiden riittävyyden arviointiin, sekä havainnot tämän päätöksen mahdollisesti syrjivästä soveltamisesta.
6 artikla
Tätä päätöstä sovelletaan 3 päivästä huhtikuuta 2002.
7 artikla
Tämä päätös on osoitettu kaikille jäsenvaltioille.
Tehty Brysselissä 27 päivänä joulukuuta 2001.