32002D0016
L 006/52
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2001 година
относно общите договорни клаузи за трансфера на лични данни към лицата, които ги обработват, установени в трети страни, съгласно Директива 95/46/ЕО
(нотифицирано под номер С(2001) 4540)
(текст от значение за ЕИП)
(2002/16/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО държавите-членки се задължават да следят даден трансфер на лични данни към трета страна да се извършва само ако съответната страна гарантира адекватно ниво на защита на данните и ако законите на държавите-членки, които са съобразени с другите разпоредби на директивата, се спазват преди трансфера.
(2)
Въпреки това член 26, параграф 2 от Директива 95/46/ЕО предвижда държавите-членки да могат да разрешават при известни гаранции трансфер или цялостен набор от трансфери на лични данни към трети страни, които не гарантират адекватно ниво на защита. Тези гаранции могат да произтичат главно от съответните договорни клаузи.
(3)
Съгласно Директива 95/46/ЕО нивото на защита на данните трябва да бъде преценено с оглед всички обстоятелства, отнасящи се до трансфер или категория трансфери. Групата за защита на лицата по отношение обработването на личните данни, създадена съгласно настоящата директива (2), публикува насоки за улесняване на оценката (3).
(4)
Общите договорни клаузи се отнасят само до защитата на данните и износителят и вносителят са свободни да въвеждат други клаузи от търговски характер, каквито смятат за необходими за договора при условие че те не противоречат на общите договорни клаузи.
(5)
Настоящото решение не засяга националните разрешения, които държавите-членки могат да издават съгласно националните разпоредби, като прилагат член 26, параграф 2 от Директива 95/46/ЕО. Настоящото решение има за цел единствено да задължи държавите-членки да не отказват да признават, че фигуриращите договорни клаузи предлагат адекватни гаранции и при това положение то няма действие върху други договорни клаузи.
(6)
Обхвата на настоящото решение се ограничава да установи, че клаузите, които са изброени в него, могат да бъдат използвани от администратор на лични данни, установен в Общността, за да се гарантират адекватни гаранции по смисъла на член 26, параграф 2 от Директива 95/46/ЕО за трансфера на лични данни към лице обработващо данните, установено в трета страна.
(7)
Настоящото решение следва да изпълни задължението, предвидено в член 17, параграф 3 от Директива 95/46/ЕО и не накърнява съдържанието на договори или юридически актове, установен съгласно тази разпоредба. Във всеки случай, някои общи договорни клаузи, отнасящи се по-специално към задълженията на износителя на данни, трябва да бъдат включени в целта да се увеличи яснотата относно разпоредбите, които могат да бъдат въведени в договор между администратора и лицето, обработващо данните.
(8)
Надзорните органи на държавите-членки играят ключова роля в този договорен механизъм, като гарантират адекватната защита на личните данни след трансфера. В изключителни случаи, когато износителите на данни откажат или не са в състояние да инструктират по подходящ начин вносителя на данните или когато съществува непосредствен риск от тежка вреда за засегнатите лица, общите договорни клаузи трябва да позволяват на надзорните органи да задължават вносителите на данни да проверяват и когато това се окажеуместно, да предприемат мерки, с които последните трябва да се съобразят. Надзорните органи следва да имат правомощието да забраняват или да отменят временно трансфер на данни или цялостен набор от трансфери на данни, базиран на общи договорни клаузи, в изключителните случаи, когато е установено, че трансфер, базиран на договорни условия, рискува да промени забележимо гаранциите и задълженията, предоставящи адекватно ниво на защита на съответното физическо лице.
(9)
В бъдеще Комисията може също да преценява дали общите договорни клаузи за трансфера на лични данни към лица, обработващи данните, установени в трети страни, които не предоставят адекватно ниво на защита на данните, представени от търговски организации или други заинтересовани страни, предлагат достатъчни гаранции съгласно член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Разкриването на лични данни на лице, обработващо данните, установено извън Общността, представлява защитен международен обмен по силата на Глава IV от Директива 95/46/ЕО. В резултат на това настоящата директива не покрива трансфера на лични данни, осъществяван от администраторите , установени в Общността, към лица, отговорни за обработката, установени извън Общността, които попадат в обхвата на Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (4).
(11)
Общите договорни клаузи следва да предвиждат технически и организационни мерки, гарантиращи равнище на сигурност, адаптирано към рисковете, свързани с обработката и характера на данните, които подлежат на защита, което трябва да прилага лице, обработващо данните, установено в трета страна, който не предоставя адекватно ниво на защита. Страните трябва да предвидят в договора технически и организационни мерки, които с оглед на приложимото право за защита на данните на технологично равнище и с цел прилагане са необходими за защита на личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, или всякаква друга незаконна форма на обработка.
(12)
За да се улесни потокът на данни, идващи от Общността, е желателно лицата, обработващи данните и предоставящи такива услуги на няколко администратори от Общността, да получават разрешения да прилагат същите технически и организационни мерки, свързани със сигурността, независимо от това коя е държавата по произход на трансфера, по-специално в случаите, когато вносителят на данни получи за последваща обработка данни, произхождащи от различни учреждения на вносителя на данни в Общността.
(13)
Подходящо е да се определят минималната информация, която страните трябва да предвидят в договора за трансфера. Държавите-членки следва да запазят възможността за специфициране на информацията, които страните трябва да предоставят. Прилагането на настоящото решение трябва да се преразгледа в светлината на натрупания опит.
(14)
Вносителят на данни трябва да обработва трансферираните лични данни за изключителната сметка на износителя на данни и според инструкциите и задълженията, включени в клаузите. В частност, вносителят на данни не следва да разгласява личните данни на трета страна освен при някои условия. Износителят на данни трябва да изисква от вносителя на данни по време на периода на услугите по обработката на данните да обработва данните съгласно неговите инструкции, съгласно приложимото право за защита на данните и съгласно задълженията, съдържащи се в клаузите. Трансферът на лични данни към лица, които ги обработват, установени извън Общността, не накърнява в никаква степен факта, че дейностите по обработка трябва да бъдат съобразени във всеки случай с прилагащото се право за защита на данните.
(15)
Общите договорни клаузи трябва да бъдат изпълними не само от организациите, страни по договора, но също и от съответните физически лица, в частност когато на последните се нанася вреда поради прекратяване на договора.
(16)
Съответното физическо лице следва да има право да подаде жалба и, ако е целесъобразно, да получи обезщетение от износителя на данни, който е администратор на трансферираните лични данни. В изключителни случаи съответното физическо лице следва също да има правото да подава жалба и, когато това е целесъобразно, да получи обезщетение от вносителя на данните заради неизпълнението от страна на вносителя на данни на едно или друго задължение, посочено във втория параграф на клауза 3, когато износителят на данни фактически е изчезнал или е престанал да съществува юридически или е изпаднал в несъстоятелност.
(17)
Ако спор между съответното физическо лице, който се позовава на клаузата на трето лице - бенефициер, и вносителя на данни не бъде решен по взаимно съгласие, вносителят на данни трябва да се съгласи да предложи на съответното физическо лице да избере между посредничество, арбитраж и съдебен процес. Съответното физическо лице има реална възможност за избор в степен, в която ще може да разполага с надеждни и признати системи за посредничество и на арбитраж. Посредничеството от страна на надзорните органи и по защитата на данните на държавата-членка, в която е установен износителят на данни, трябва да бъде право на избор, когато тези органи предоставят такава услуга.
(18)
Договорът трябва да бъде съобразен с правото на държавата-членка, в която е установен износителят на данни и която позволява на трети бенефициенр да поиска изпълнението на даден договор. Съответните физически лица данни следва да могат да бъдат представлявани от асоциациите или други органи, ако те желаят това и ако националното право го разрешава.
(19)
Работната група за защита на лицата по отношение обработката на личните данни, създадена по силата на член 29 от Директива 95/46/ЕО, излезе със становище за нивото на защита, предвидено от общите договорни клаузи, приложени към настоящото решение. Това становище бе взето предвид при подготвянето на настоящото решение (5).
(20)
Мерките, предвидени в настоящото решение са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Общите договорни клаузи, фигуриращи в приложението, се оценяват като достатъчни гаранции за защитата на личния живот и на основните права на лицата, както и по отношение изпълнението на съответстващите права, както го изисква член 26, параграф 2 от Директива 95/46/ЕО.
Член 2
Настоящото решение се отнася единствено до адекватния характер на защитата, предоставяна чрез общите договорни клаузи за трансфера на лични данни, фигуриращи в приложението. Тя не засяга прилагането на другите национални разпоредби, привеждащи в действие Директива 95/46/ЕО, които се отнасят до обработката на личните данни в държавите-членки.
Настоящото решение се прилага за трансфера на лични данни от администраторите на данни, установени в Общността, до получатели, установени извън територията на Общността, които действат изключително като лица, обработващи данните.
Член 3
По смисъла на настоящото решение:
а)
прилагат се определенията, съдържащи се в Директива 95/46/ЕО;
б)
„особените категории данни“ са данни, посочени в член 8 на тази директива;
в)
„надзорен орган“ е органът, посочен в член 28 на въпросната директива;
г)
„износител на данни“ е администратор на данни, който трансферира личните данни;
д)
„вносител на данни“ е лице, обработващо данните, установено в трета страна, който се съгласява да приеме от износителя на данни лични данни, предназначени да бъдат обработени за сметка на последния след трансфера съгласно неговите инструкции и при условията на настоящото решение, и който не е част от системата на трета страна, гарантираща адекватна защита;
е)
„приложимо право за защита на данните“ е законодателството, защищаващо основните свободи и права на физическите лица, главно правото на личен живот, при обработката на личните данни, и прилагащо се за дадено лице, отговорно за обработката в страната, в който е установен износителят на данни;
ж)
„технически и организационни мерки, свързани със сигурността“ са мерките, предназначени да защищават личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, главно когато обработката предполага превеждането на данни по мрежа, и срещу всяка друга незаконна форма на обработка.
Член 4
1. Без да се засягат правата им да предприемат мерки, целящи гарантирането на спазването на националните разпоредби, изработени съгласно глави II, III, IV, V и VI на Директива 95/46/ЕО, компетентните власти на държавите-членки могат да упражняват правата, с които разполагат, за да забраняват или да отменят временно потоците данни към трети страни, за да защищават лицата във връзка с обработката на техните лични данни, в случай, че:
а)
е установено, че правото, на което е субект вносителят на данни, му налага изискване за дерогиране от приложимото право за защита на данните, което се простира извън необходимите ограничения в демократично общество по една от посочените в член 13 от Директива 96/46/ЕО причини, когато тези задължения създават риска да бъдат забележимо изменени гаранциите, предоставяни от приложимото към защитата на данните право и общите договорни клаузи, или
б)
компетентна власт е установила, че вносителят на данни не е спазил договорните клаузи, фигуриращи в приложението, или
в)
е много вероятно общите договорни клаузи, фигуриращи в приложението, да не са или да не бъдат спазени и продължаването на трансфера да увеличи до висока степен риска на засегнатите лица да бъдат нанесени тежки вреди.
2. Забраната или временната отмяна се вдига веднага след изчезването на причините, които я мотивират.
3. Когато държавите-членки приемат мерки съгласно параграфи 1 и 2, те информират незабавно за това Комисията, която предоставя информацията на другите държави-членки.
Член 5
Комисията оценява прилагането на настоящото решение на базата на наличните информации три години след нотифицирането на държавите-членки. Тя представя на Комитета, създаден съгласно член 31 от Директива 96/46/ЕО доклад за осъществените констатации. Докладът включва всяко свидетелство, който е в състояние на повлияе на оценката, отнасяща се до адекватния характер на общите договорни клаузи, фигуриращи в приложението, както и всяко свидетелство, че настоящото решение се прилага по дискриминативен начин.
Член 6
Настоящото решение се прилага от 3 април 2002 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2001 година.
Decisione della Commissione
del 27 dicembre 2001
relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento residenti in paesi terzi, a norma della direttiva 95/46/CE
[notificata con il numero C(2001) 4540]
(Testo rilevante ai fini del SEE)
(2002/16/CE)
LA COMMISSIONE DELLE COMUNITÀ EUROPEE,
visto il trattato che istituisce la Comunità europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati(1), in particolare l'articolo 26, paragrafo 4,
considerando quanto segue:
(1) In base alla direttiva 95/46/CE, gli Stati membri devono provvedere affinché il trasferimento di dati personali verso un determinato paese terzo possa avere luogo soltanto se tale paese garantisce un livello adeguato di protezione dei dati, e se vengono osservate, previamente al trasferimento, le disposizioni adottate dagli Stati membri in attuazione di altre norme della direttiva.
(2) L'articolo 26, paragrafo 2, della direttiva 95/46/CE prevede che gli Stati membri possano autorizzare, subordinatamente a talune garanzie, il trasferimento di dati personali verso paesi terzi che non garantiscono un livello adeguato di protezione dei dati. Tali garanzie possono essere costituite in particolare da apposite clausole contrattuali.
(3) A norma della direttiva 95/46/CE, il livello di protezione dei dati deve essere valutato alla luce di tutte le circostanze relative all'operazione di trasferimento. Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali costituito in forza della direttiva(2) ha elaborato una serie di orientamenti per tale valutazione(3).
(4) Le clausole contrattuali tipo riguardano soltanto la protezione dei dati. Ma gli esportatori e gli importatori dei dati sono liberi di inserire qualsiasi altra clausola commerciale ritenuta pertinente ai fini del contratto, purché non incompatibile con le clausole tipo.
(5) La presente decisione non incide sulle autorizzazioni nazionali che gli Stati membri possono concedere in base alle disposizioni nazionali adottate in attuazione dell'articolo 26, paragrafo 2, della direttiva 95/46/CE. Essa prevede semplicemente che gli Stati membri riconoscano come garanzie sufficienti le clausole contrattuali in essa contenute e non produce alcun effetto sulle clausole contrattuali di altra natura.
(6) La presente decisione si limita a stabilire che le clausole da essa previste possano essere utilizzate dal responsabile del trattamento con sede nella Comunità come garanzie sufficienti per il trasferimento di dati personali a incaricati del trattamento residenti in paesi terzi ai sensi dell'articolo 26, paragrafo 2, della direttiva 95/46/CE.
(7) Essa attua pertanto l'articolo 17, paragrafo 3, della direttiva e non pregiudica il contenuto dei contratti o degli atti giuridici adottati in materia. Appare tuttavia opportuno prevedere determinate clausole tipo, riguardanti in particolare gli obblighi dell'esportatore, affinché vi sia maggiore chiarezza sulle disposizioni che possono essere inserite nei contratti fra i responsabili e gli incaricati del trattamento.
(8) Le autorità di controllo degli Stati membri svolgono un ruolo fondamentale in tale ambito garantendo che i dati personali siano adeguatamente tutelati in seguito al trasferimento. Nei casi eccezionali in cui gli esportatori si rifiutino o non siano in grado di impartire le istruzioni necessarie agli importatori, e le persone cui si riferiscono i dati siano esposte ad un imminente rischio di gravi danni, le clausole tipo devono consentire alle autorità di controllo di vigilare sugli importatori dei dati ed adottare, se del caso, decisioni vincolanti nei loro confronti. Le autorità di controllo devono avere la facoltà di vietare o sospendere i trasferimenti di dati effettuati in base alle clausole contrattuali tipo nei casi eccezionali in cui il trasferimento su base contrattuale possa pregiudicare le garanzie e gli obblighi destinati a fornire adeguata protezione alle persone interessate dai dati.
(9) La Commissione potrà valutare in futuro se le garanzie sufficienti ai sensi dell'articolo 26, paragrafo 2, della direttiva 95/46/CE possano altresì essere costituite da altre clausole contrattuali tipo, proposte da organizzazioni di categoria o da altri soggetti interessati per il trasferimento di dati personali ad incaricati del trattamento residenti in paesi terzi che non garantiscono un livello adeguato di protezione.
(10) La comunicazione di dati personali ad incaricati del trattamento residenti al di fuori della Comunità costituisce un trasferimento internazionale protetto ai sensi del capo IV della direttiva 95/46/CE. La presente decisione non riguarda il trasferimento di dati personali da responsabili del trattamento residenti nella Comunità a responsabili del trattamento residenti al di fuori della Comunità. Tale trasferimento rientra nel campo di applicazione della decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati a caratteri personale verso paesi terzi a norma della direttiva 95/46/CE(4).
(11) Le clausole contrattuali tipo devono prevedere le misure tecniche e organizzative di sicurezza che devono essere applicate dall'incaricato del trattamento, residente in un paese terzo che non garantisce un livello di protezione adeguato, affinché il livello di sicurezza sia commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare. Nel contratto le parti devono prevedere le misure tecniche e organizzative che, tenuto conto della normativa sulla protezione dei dati, della più recente tecnologia e dei costi di attuazione, sono necessarie allo scopo di proteggere i dati personali contro la distruzione accidentale o illecita, la perdita accidentale, l'alterazione, l'accesso o la rivelazione non autorizzati, e qualsiasi altra forma di trattamento illecito.
(12) Allo scopo di agevolare i flussi di dati in uscita dalla Comunità deve essere consentito agli incaricati del trattamento, che forniscano servizi di trattamento a più responsabili nella Comunità, d'applicare le stesse misure tecniche e organizzative di sicurezza indipendentemente dallo Stato membro da cui si effettua il trasferimento, in particolare nel caso in cui l'importatore riceva i dati ai fini dell'ulteriore trattamento da diverse sedi dell'esportatore situate nella Comunità. In questa ipotesi deve applicarsi la legge dello Stato designato.
(13) Devono essere previste le informazioni minime che le parti devono includere nel contratto relativo al trasferimento. Gli Stati membri hanno comunque la facoltà di specificare in termini più particolareggiati le informazioni che le parti sono tenute a fornire. Il funzionamento del sistema istituito dalla presente decisione sarà valutato alla luce dell'esperienza futura.
(14) L'importatore è tenuto a trattare i dati personali trasferiti esclusivamente per conto dell'esportatore e in conformità alle istruzioni da questi impartite, nonché in ottemperanza agli obblighi stabiliti dalle clausole stesse. L'importatore deve astenersi segnatamente dal rivelare i dati personali a terzi, salvo che sussistano determinate circostanze. L'esportatore è tenuto a trasmettere opportune istruzioni all'importatore durante l'intero periodo in cui vengano prestati i servizi di trattamento affinché i dati siano trattati conformemente alle istruzioni impartite, alla normativa sulla protezione dei dati e agli obblighi contenuti nelle clausole tipo. Il trasferimento di dati personali a incaricati del trattamento residenti al di fuori della Comunità lascia impregiudicato il fatto che le attività di trattamento debbano comunque essere conformi alla normativa sulla protezione dei dati.
(15) È opportuno che le clausole contrattuali tipo possano essere fatte valere non solo dalle organizzazioni che stipulano il contratto ma anche dalle persone interessate dai dati, in particolare laddove l'eventuale violazione del contratto rechi ad esse pregiudizio.
(16) Le persone interessate dai dati devono poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell'esportatore che è il responsabile del trattamento dei dati personali trasferiti. Eccezionalmente le persone interessate dai dati devono potere agire in giudizio nei confronti dell'importatore, anche ai fini del risarcimento dei danni, per la violazione degli obblighi stabiliti dalla clausola 3, qualora l'esportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente.
(17) Nelle controversie sorte con persone interessate dai dati che si avvalgano della clausola del terzo beneficiario, l'importatore, ove non sia possibile la composizione in via amichevole, deve consentire all'interessato di scegliere fra la mediazione, l'arbitrato o l'azione legale. L'effettiva possibilità di scelta dipenderà dall'esistenza di sistemi di mediazione ed arbitrato affidabili e riconosciuti. La mediazione ad opera delle autorità di controllo dello Stato membro in cui ha sede l'esportatore deve essere ammessa, sempre che dette autorità prestino tale servizio.
(18) Il contratto deve essere soggetto alla legge dello Stato membro in cui ha sede l'esportatore, di modo che il terzo beneficiario possa far valere le disposizioni contrattuali. È opportuno che le persone interessate dai dati possano essere rappresentate da associazioni o altre organizzazioni, qualora lo desiderino e qualora ciò sia ammesso dalla normativa nazionale.
(19) Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali istituito in forza dell'articolo 29 della direttiva 95/46/CE ha emesso un parere sul livello di protezione garantito dalle clausole contrattuali tipo allegate alla presente decisione, che è stato preso in considerazione nella stesura della decisione stessa(5).
(20) Le misure previste dalla presente decisione sono conformi al parere del comitato istituito in forza dell'articolo 31 della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Le clausole contrattuali tipo riportate in allegato costituiscono garanzie sufficienti ai fini della tutela della riservatezza, dei diritti fondamentali e della libertà delle persone nonché per l'esercizio dei relativi diritti ai sensi dell'articolo 26, paragrafo 2, della direttiva 95/46/CE.
Articolo 2
La presente decisione concerne esclusivamente l'adeguatezza della tutela conferita dalle clausole contrattuali tipo per il trasferimento di dati personali riportate in allegato. Essa lascia impregiudicata l'applicazione delle disposizioni nazionali sul trattamento dei dati personali negli Stati membri adottate in attuazione della direttiva 95/46/CE.
La presente decisione si applica al trasferimento dei dati personali effettuato da responsabili del trattamento residenti nella Comunità a destinatari residenti al di fuori della Comunità che agiscano esclusivamente in veste di incaricati del trattamento.
Articolo 3
Ai fini della presente decisione:
a) si applicano le definizioni di cui alla direttiva 95/46/CE; inoltre
b) per "speciali categorie di dati" s'intendono i dati di cui all'articolo 8 di detta direttiva;
c) per "autorità di controllo" s'intende l'autorità di cui all'articolo 28 di detta direttiva;
d) per "esportatore" s'intende il responsabile del trattamento che trasferisce i dati personali;
e) per "importatore" s'intende l'incaricato del trattamento residente in un paese terzo, che s'impegni a ricevere dall'esportatore dati personali al fine di trattarli per conto e secondo le istruzioni dell'esportatore stesso nonché a norma della presente decisione e che non sia assoggettato dal paese terzo ad un sistema che garantisca una protezione adeguata;
f) per "normativa sulla protezione dei dati" s'intende la normativa che protegge i diritti e le libertà fondamentali delle persone fisiche e in particolare il diritto alla riservatezza riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui ha sede l'esportatore;
g) per "misure tecniche e organizzative di sicurezza" s'intendono le misure destinate a proteggere i dati personali contro la distruzione accidentale o illecita, la perdita accidentale, l'alterazione e la rivelazione o l'accesso non autorizzati, in particolare ove il trattamento comporti la trasmissione di dati su rete, nonché contro qualsiasi altra forma di trattamento illecito.
Articolo 4
1. Fatto salvo il potere di provvedere all'osservanza delle disposizioni nazionali adottate in attuazione dei capi II, III, V e VI della direttiva 95/46/CE, le autorità competenti degli Stati membri possono avvalersi dei poteri loro attribuiti per vietare o sospendere i flussi di dati verso paesi terzi allo scopo di proteggere le persone con riguardo al trattamento dei dati personali, qualora:
a) sia accertato che, in base alla legge ad esso applicabile, l'importatore è tenuto ad applicare deroghe alla normativa sulla protezione dei dati che eccedano le restrizioni ritenute necessarie in una società democratica ai sensi dell'articolo 13 della direttiva 95/46/CE, e pregiudichino significativamente le garanzie previste dalla normativa sulla protezione dei dati e dalle clausole contrattuali tipo, oppure
b) un'autorità competente abbia accertato che l'importatore non ha rispettato le clausole contrattuali riportate in allegato, oppure
c) sia probabile che le clausole contrattuali tipo in allegato non vengano rispettate, e che la prosecuzione del trasferimento determini un imminente rischio di gravi danni per le persone interessate dai dati.
2. Il divieto o la sospensione ai sensi del paragrafo 1 sono revocati non appena ne vengano meno le ragioni.
3. Quando prende i provvedimenti di cui ai paragrafi 1 e 2, lo Stato membro informa senza indugio la Commissione; questa trasmette l'informazione agli altri Stati membri.
Articolo 5
Decorsi tre anni dalla notificazione della presente decisione agli Stati membri, la Commissione valuta il funzionamento del sistema previsto dalla decisione stessa sulla base delle informazioni disponibili. Essa riferisce in merito alle risultanze della valutazione al comitato istituito in forza dell'articolo 31 della direttiva 95/46/CE. La relazione comprende qualsiasi circostanza rilevante ai fini della valutazione dell'adeguatezza delle clausole contrattuali tipo riportate in allegato nonché qualsiasi eventuale circostanza indicante che la presente decisione viene applicata in maniera discriminatoria.
Articolo 6
La presente decisione si applica a decorrere dal 3 aprile 2002.
Articolo 7
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 27 dicembre 2001.