32004D0915
L 385/74
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2004 година
за изменение на Решение 2001/497/ЕО за въвеждане на алтернативен комплект общи договорни клаузи за прехвърляне на лични данни в трети страни
(нотифицирано под номер С(2004) 5271)
(текст от значение за ЕИП)
(2004/915/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. относно защитата на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
С цел улесняване на потоците данни от Общността е желателно лицата, отговарящи за обработката на данните, да могат да извършват прехвърлянето на данни глобално и с прилагане на единен комплект правила за защита на данните. В отсъствието на глобални норми за защита на данните, общите договорни клаузи осигуряват важен инструмент, позволяващ прехвърлянето на лични данни от всички държави-членки при спазване на общ за всички комплект правила. Във връзка с това в Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (2) се посочва модел на комплект общи договорни клаузи, който осигурява адекватни предпазни мерки за прехвърлянето на данни на трети страни.
(2)
От приемането на посоченото решение е придобит значителен опит. Освен това, с оглед при използването на различни механизми да се осигури ниво на защита на данните, еквивалентно на това, което се осигурява от комплекта общи договорни клаузи, предвидени в Решение 2001/497/ЕО, една група от стопански сдружения (3) представи комплект алтернативни общи договорни клаузи.
(3)
Тъй като използването на общите договорни клаузи за прехвърляне на данни в международен мащаб е доброволно, като общите договорни клаузи са само една от няколкото възможности съгласно Директива 95/46/ЕО за законно прехвърляне на лични данни в трета страна, износителите на данни на територията на Общността и вносителите на данни в трети страни би следвало да разполагат със свободата да избират друг комплект от общи договорни клаузи или друга правна основа за прехвърляне на данни. Тъй като всеки комплект като цяло оформя модел, на износителите на данни не бива да се позволява да променят тези комплекти, нито изцяло, нито частично да ги смесват по какъвто и да било начин.
(4)
Общите договорни клаузи, представени от стопанските сдружения, имат за цел увеличаване на използването на договорни клаузи сред операторите с помощта на някои механизми, като например по-гъвкави изисквания по отношение на ревизиите и по-подробни правила относно правото на достъп.
(5)
Освен това, като алтернатива на системата на солидарна отговорност, предвидена в Решение 2001/497/ЕО, в сега предложения комплект се съдържа режим на отговорност, основан на задълженията за добросъвестно изпълнение на поставените задачи в случаите, в които износителят на данните и вносителят на данните биха били задължени по отношение на субектите на данните за съответно нарушение на своите договорни задължения; освен това износителят на данните отговаря, ако не положи разумни усилия да определи дали вносителят на данните е в състояние да спази своите правни задължения съгласно клаузите (culpa in eligendo), като в този случай субектът на данните може да заведе съдебно дело срещу износителя на данните. Прилагането на клауза I, буква б) от новия комплект общи договорни клаузи е от особено значение в това отношение и в частност във връзка с възможността износителят на данните да провежда ревизии в помещенията на вносителите на данните или да изисква доказателства за достатъчно финансови ресурси, които да покриват изпълнението на неговите отговорности.
(6)
Що се отнася до упражняването от субектите на данните на правата им на бенефициери, се предвижда по-голяма ангажираност на износителя на данните при решаването на жалби от страна на субектите на данните, при което износителят на данните е задължен да влезе в контакт с вносителя на данните и при необходимост да търси принудително изпълнение на договора в рамките на обичайния едномесечен период. В случай че износителят на данните откаже да търси принудително изпълнение на договора, като същевременно нарушението на вносителя на данните все още продължава, субектът на данните може в такъв случай да търси принудително изпълнение на клаузите спрямо вносителя на данните и евентуално да предяви иск срещу него в съда на някоя от държавите-членки. Това приемане на юрисдикция и съгласието за спазване на решение на компетентен съд или орган по защита на данните не накърнява никои процесуални права на вносителите на данните, установени в трети страни, като например правото на обжалване.
(7)
При това обаче, с цел предотвратяване на злоупотребите с тази допълнителна гъвкавост, е целесъобразно да се обезпечи органите за защита на данните да могат по-лесно да забраняват или да отменят прехвърляния на данни, като при това се основават на новия комплект общи договорни клаузи в онези случаи, в които износителят на данните откаже да предприеме целесъобразните стъпки с цел прилагане на договорните задължения срещу вносителя на данните или в случай че последният откаже да сътрудничи доброволно на компетентните надзорни органи за защита на данните.
(8)
Използването на общите договорни клаузи ще се осъществява, без да се засяга прилагането на националните разпоредби, приети в съответствие с Директива 95/46/ЕО или с Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защитата на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронните комуникации) (4) и по-специално що се отнася до изпращането на търговски съобщения за целите на директния маркетинг.
(9)
На тази основа предпазните мерки, съдържащи се в представените общи договорни клаузи, могат да се считат за адекватни по смисъла на член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Работната група за защита на физическите лица по отношение на обработката на лични данни, създадена в съответствие с член 29 от Директива 95/46/ЕО, представи своето становище (5) относно нивото на защита, предвидено съгласно представяните общи договорни клаузи, което също бе взето предвид.
(11)
С цел оценка на функционирането на измененията на Решение 2001/497/ЕО, е целесъобразно Комисията да им даде оценка три години след тяхното нотифициране до държавите-членки.
(12)
Решение 2001/497/ЕО следва да бъде съответно изменено.
(13)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Решение 2001/497/ЕО се изменя, както следва:
1.
В член 1 се добавя следният параграф:
„Контролиращите данните органи, , могат да избират между комплект I или комплект II от приложението. При това обаче те не могат да изменят клаузите, нито да комбинират отделни клаузи от различните комплекти или самите комплекти.“
2.
В член 4 параграфи 2 и 3 се заменят със следния текст:
„2. За целите на параграф 1 контролиращият орган, предприема целесъобразни предпазни мерки на базата на общите договорни клаузи, съдържащи се в комплект II от приложението, компетентните власти по защита на данните имат правото да упражняват своите правомощия и да забраняват или спират потоци данни във всеки от следните случаи:
а)
отказ на вносителя на данните да оказва доброволно сътрудничество на органите за защита на данните или да спазва своите ясни задължения съгласно договора;
б)
отказ на износителя на данни да предприеме целесъобразни стъпки по търсене на принудително изпълнение на договора срещу вносителя на данни в рамките на обичайния едномесечен период след уведомлението, изпратено на износителя на данни от компетентния орган за защита на данните.
За целите на първа алинея недобросъвестен отказ или отказ за търсене на принудително изпълнение на договор от страна на вносителя на данни не включва случаите, в които сътрудничеството или принудителното изпълнение на договора би влязло в конфликт с императивните изисквания на националното законодателство, приложими по отношение на вносителя на данни, които не надхвърлят необходимото в демократичното общество на базата на един от интересите, изброени в член 13, параграф 1 от Директива 95/46/ЕО и по-специално санкциите, предвидени в международните и/или националните инструменти, изискванията по отношение на декларирането на данъци или изискванията за докладване на случаи на пране на пари.
За целите на първа алинея, буква а) сътрудничеството, в частност, може да включва предаването от страна на вносителя на данни на техническите средства за обработка с цел извършване на ревизия или задължението да спазва съветите на надзорния орган за защита на данните на територията на Общността.
3. Забраната или прекратяването съгласно параграфи 1 и 2 се отменя, веднага щом причините за забраната или прекратяването престанат да съществуват.
4. Когато държавите-членки приемат мерки в съответствие с параграфи 1, 2 и 3, те незабавно информират Комисията, която изпраща информацията до останалите държави-членки.“.
3.
В член 5 първото изречение се замества със следния текст:
„Комисията дава оценка на функционирането на настоящото решение въз основа на наличната информация три години след неговото нотифициране и нотифицирането на всички негови изменения до държавите-членки.“.
4.
Приложението се изменя, както следва:
1.
След заглавието се добавя терминът „КОМПЛЕКТ I“.
2.
Добавя се текстът, посочен в приложението към настоящото решение.
Член 2
Настоящото решение се прилага от 1 април 2005 г.
Член 3
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2004 година.
DECISIONE DELLA COMISSIONE
del 27 dicembre 2004
che modifica la decisione 2001/497/CE per quanto riguarda l’introduzione di un insieme alternativo di clausole contrattuali tipo per il trasferimento di dati personali a paesi terzi
[notificata con il numero C(2004) 5271]
(Testo rilevante ai fini del SEE)
(2004/915/CE)
LA COMMISSIONE DELLE COMUNITÀ EUROPEE,
visto il trattato che istituisce la Comunità europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), e in particolare l’articolo 26, paragrafo 4,
considerando quanto segue:
(1)
Al fine di facilitare i flussi di dati provenienti dalla Comunità, è opportuno che i responsabili del trattamento di dati siano in grado di realizzare trasferimenti di dati su scala mondiale attenendosi a un unico insieme di norme di protezione dei dati. In mancanza di una normativa internazionale in materia, le clausole contrattuali tipo costituiscono uno strumento estremamente utile, dal momento che consentono di trasferire dati personali provenienti da tutti gli Stati membri facendo riferimento ad un insieme comune di norme. La decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi a norma della direttiva 95/46/CE (2) stabilisce un insieme modello di clausole contrattuali tipo che prevede garanzie adeguate per il trasferimento di dati verso paesi terzi.
(2)
Dal momento dell’adozione di questa decisione si è acquisita una ricca esperienza. Inoltre, un consorzio di associazioni imprenditoriali (3) ha presentato un insieme alternativo di clausole contrattuali, destinato ad offrire un livello di protezione di dati comparabile a quello offerto dall’insieme di clausole adottato nella decisione 2001/497/CE, pur utilizzando meccanismi diversi.
(3)
Considerando che l’uso di clausole contrattuali tipo nei trasferimenti internazionali ha carattere volontario (questo tipo di clausole è solo una delle varie possibilità previste dalla direttiva 95/46/CE per il trasferimento legittimo di dati personali verso paesi terzi), gli esportatori di dati nella Comunità e gli importatori di dati in paesi terzi dovrebbero poter optare per uno degli insiemi di clausole contrattuali tipo o scegliere un altro fondamento giuridico per il trasferimento di dati. Tuttavia, dal momento che ciascun gruppo costituisce un insieme coerente, non deve essere riconosciuta agli esportatori la possibilità di modificare totalmente o parzialmente tali insiemi né di combinarli in alcun modo.
(4)
Le clausole contrattuali tipo proposte dalle associazioni imprenditoriali hanno lo scopo di rafforzare l’uso di clausole contrattuali tra gli operatori, ad esempio rendendo flessibili i requisiti in materia di verifica o precisando le norme che disciplinano il diritto di accesso.
(5)
D’altro canto, l'insieme che qui si presenta contiene, come alternativa al sistema di responsabilità solidale previsto dalla decisione 2001/497/CE, un regime di responsabilità basato sugli obblighi di normale diligenza, in virtù del quale l’esportatore e l’importatore di dati dovrebbero rispondere dinnanzi agli interessati per la violazione degli obblighi contrattuali. L’esportatore è inoltre responsabile se non compie sforzi ragionevoli al fine di determinare se l’importatore è in grado di rispettare i suoi obblighi giuridici derivati dalle clausole (culpa in eligendo), avendo l’interessato la possibilità a questo titolo di avviare azioni contro l’esportatore di dati. L’applicazione della lettera b) della clausola I del nuovo insieme di clausole contrattuali tipo riveste particolare importanza al riguardo, soprattutto considerando la possibilità riconosciuta all’esportatore di dati di effettuare verifiche degli impianti dell’importatore di dati o di esigere prove che dimostrino la disponibilità di risorse finanziarie sufficienti per far fronte alle sue responsabilità.
(6)
Quanto all’esercizio dei diritti del terzo beneficiario da parte degli interessati, si prevede un maggior coinvolgimento dell’esportatore di dati nella risoluzione dei reclami degli interessati, essendo l’esportatore di dati obbligato a mettersi in contatto con l’importatore di dati se necessario ad eseguire il contratto entro il termine normale di un mese. Se l’esportatore di dati rifiuta di eseguire il contratto e persiste il mancato rispetto degli obblighi da parte dell’importatore, l’interessato potrà invocare le clausole contro l’importatore di dati ed infine avviare un’azione dinnanzi ai tribunali di uno Stato membro. Questa accettazione della giurisdizione e l’accordo di conformarsi alla decisione di un tribunale o di un’autorità di protezione di dati competenti non reca pregiudizio agli eventuali diritti processuali degli importatori di dati stabiliti in paesi terzi, ad esempio in materia di appello.
(7)
Al fine tuttavia di evitare gli abusi cui potrebbe dare luogo questo regime più flessibile, è opportuno riconoscere alle autorità competenti per la protezione dei dati la facoltà di vietare o sospendere più facilmente i trasferimenti di dati basati sul nuovo insieme di clausole contrattuali tipo quando l’esportatore di dati rifiuti di adottare misure adeguate contro l’importatore di dati per fargli rispettare gli obblighi contrattuali o quest’ultimo rifiuti di collaborare in buona fede con le autorità di controllo competenti in materia di protezione dei dati.
(8)
L’uso di clausole contrattuali tipo sarà fatto mantenendo salva l’applicazione delle disposizioni nazionali adottate in conformità con la direttiva 95/46/CE o con la direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (4), in particolare per quanto riguarda l’invio di comunicazioni commerciali ai cittadini dell’UE.
(9)
Su questa base, le garanzie contenute nelle clausole contrattuali tipo presentate possono essere considerate sufficienti nel senso dell’articolo 26, paragrafo 2, della direttiva 95/46/CE.
(10)
l gruppo per la tutela delle persone con riguardo al trattamento di dati personali, creato dall’articolo 29 della direttiva 95/46/CE, ha emesso un parere (5) sul livello di tutela che offrono le clausole contrattuali tipo qui presentate. Di tale parere si è tenuto debito conto.
(11)
Al fine di valutare le modalità di applicazione degli emendamenti alla decisione 2001/497/CE, è opportuno che la Commissione effettui una valutazione tre anni dopo la loro notifica agli Stati membri.
(12)
La decisione 2001/497/CE deve essere modificata in modo conforme.
(13)
Le misure previste nella presente decisione sono conformi al parere del comitato creato dall’articolo 31 della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
La decisione 2001/497/CE è modificata come segue:
1)
All’articolo 1 è aggiunto il seguente paragrafo:
«I responsabili del trattamento potranno optare per uno degli insiemi - I o II - contenuti nell’allegato. Tuttavia, non potranno modificare le clausole né combinare singole clausole, né gli insiemi.»
2)
I paragrafi 2 e 3 dell’articolo 4 sono sostituiti dal testo seguente:
«2. Agli effetti del paragrafo 1, quando il responsabile del trattamento affermi l’esistenza di garanzie sufficienti derivate dalle clausole contrattuali tipo contenute nell’insieme II dell’allegato, le autorità competenti in materia di protezione dei dati potranno esercitare i poteri di cui dispongono per proibire o sospendere i flussi di dati in entrambi i seguenti casi:
a)
se l’importatore di dati rifiuta di collaborare in buona fede con le autorità competenti in materia di protezione dei dati o di rispettare gli obblighi che gli incombono chiaramente in virtù del contratto;
b)
se l’esportatore di dati, dopo aver ricevuto una notifica delle autorità competenti in materia di protezione dei dati, rifiuta di adottare misure adeguate contro l’importatore di dati per far rispettare il contratto entro il termine normale di un mese.
Agli effetti del precedente paragrafo, il rifiuto di cooperazione in buona fede o di esecuzione del contratto da parte dell’importatore non comprende i casi in cui tale cooperazione o esecuzione confligga con gli obblighi imposti dalla legislazione nazionale applicabile all’importatore di dati che non vadano al di là dei limiti necessari in una società democratica per la salvaguardia degli interessi elencati al paragrafo 1 dell’articolo 13 della direttiva 95/46/CE, in particolare le sanzioni previste in strumenti nazionali e/o internazionali, gli obblighi di dichiarazione in materia fiscale o in materia di lotta contro il riciclaggio di denaro.
Agli effetti della lettera a) del primo paragrafo, la cooperazione potrà comprendere, in particolare, la messa a disposizione da parte dell’importatore delle sue installazioni per il trattamento di dati a fini di verifica o l’obbligo di conformarsi ai pareri dell’autorità di controllo della protezione di dati nella Comunità.
3. Il divieto o la sospensione ai sensi dei paragrafi 1 e 2 saranno soppressi non appena cesseranno di esistere i motivi del divieto o della sospensione.
4. Quando gli Stati membri adottano misure in conformità con i paragrafi 1, 2 e 3, ne informano immediatamente la Commissione, che trasmette l’informazione agli altri Stati membri.»
3)
All’articolo 5 la prima frase è sostituita dalla seguente:
«La Commissione valuterà le modalità di applicazione della presente decisione sulla base delle informazioni disponibili tre anni dopo la sua notifica e dopo la notifica degli eventuali emendamenti agli Stati membri.».
4)
L’allegato è modificato come segue:
1.
dopo il titolo, viene inserita l’espressione «INSIEME I»;
2.
è inserito il testo contenuto nell’allegato alla presente decisione.
Articolo 2
La presente decisione è applicabile a decorrere dal 1o aprile 2005.
Articolo 3
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 27 dicembre 2004.