ROZHODNUTÍ KOMISE
ze dne 27. prosince 2004,
kterým se mění rozhodnutí 2001/497/ES, pokud jde o zavedení alternativního souboru standardních smluvních doložek pro předávání osobních údajů do třetích zemí
(oznámeno pod číslem K(2004) 5271)
(Text s významem pro EHP)
(2004/915/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 26 odst. 4 uvedené směrnice,
vzhledem k těmto důvodům:
(1)
Za účelem usnadnění toků údajů ze Společenství je žádoucí, aby správci údajů byli schopni globálně předávat údaje podle jednotného souboru pravidel ochrany údajů. Neexistují-li normy globální ochrany údajů, poskytují standardní smluvní doložky důležitý nástroj umožňující předávání osobních údajů ze všech členských států podle společného souboru pravidel. Rozhodnutí Komise 2001/497/ES ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES (2) proto stanoví modelový soubor standardních smluvních doložek, který zajišťuje dostatečná ochranná opatření pro předávání údajů do třetích zemí.
(2)
Od přijetí uvedeného rozhodnutí bylo získáno mnoho zkušeností. Navíc koalice podnikatelských asociací (3) předložila soubor alternativních standardních smluvních doložek navržených tak, aby zajišťovaly úroveň ochrany údajů shodnou s úrovní zajišťovanou souborem standardních smluvních doložek stanovených rozhodnutím 2001/497/ES, i když používá odlišné mechanismy.
(3)
Jelikož je používání standardních smluvních doložek pro mezinárodní předávání údajů dobrovolné, neboť standardní smluvní doložky jsou podle směrnice 95/46/ES pouze jednou z několika možností pro zákonné předávání osobních údajů do třetí země, vývozci údajů ve Společenství a dovozci údajů ve třetích zemích by měli mít možnost si svobodně zvolit kterýkoli ze souborů standardních smluvních doložek nebo pro předávání údajů zvolit nějaký jiný právní základ. Jelikož každý soubor jako celek tvoří model, nemělo by však být vývozcům údajů dovoleno tyto soubory měnit, ani je nijak zcela nebo částečně slučovat.
(4)
Standardní smluvní doložky předložené podnikatelskými asociacemi mají za cíl zvýšit používání smluvních doložek ze strany hospodářských subjektů pomocí mechanismů, jako jsou pružnější požadavky na provádění kontrol či podrobnější pravidla pro právo na přístup.
(5)
Mimoto, jako alternativu k systému společné a nerozdílné odpovědnosti podle rozhodnutí 2001/497/ES, obsahuje soubor, který je nyní předkládán, odpovědnostní režim založený na závazcích povinné péče, v němž jsou vývozce údajů a dovozce údajů odpovědni vůči subjektům údajů za vlastní porušení svých smluvních povinností; vývozce údajů je také odpovědný tehdy, pokud nevyvine přiměřené úsilí k tomu, aby určil, že je dovozce údajů schopen dostát svým právním závazkům vyplývajícím z doložek (culpa in eligendo) a subjekt údajů může v této souvislosti věc proti vývozci údajů předložit soudu. Vynucení doložky I písm. b) nového souboru standardních smluvních doložek je v tomto ohledu zvláště důležité, konkrétně ve spojení s možností vývozce údajů provádět kontroly v prostorách dovozců údajů nebo požadovat důkaz o dostatečných finančních zdrojích ke splnění jejich odpovědností.
(6)
Pokud jde o uplatňování práv oprávněné třetí strany ze strany subjektů údajů, je zajištěna větší angažovanost vývozce údajů při řešení stížností subjektů údajů, přičemž vývozce údajů je povinen se spojit s dovozcem údajů a, pokud je to nutné, vynutit splnění smlouvy v průběhu obvyklého období jednoho měsíce. Pokud by vývozce údajů odmítl splnění smlouvy vynutit a porušování smlouvy dovozcem údajů by stále pokračovalo, pak subjekt údajů může vynutit splnění doložek proti dovozci údajů a případně jej žalovat v členském státě. Tímto přijetím soudní příslušnosti a souhlasem dostát rozhodnutí příslušného soudu nebo úřadu pro ochranu údajů nejsou dotčena procesní práva dovozců údajů usazených ve třetích zemích, jako je právo na podání opravných prostředků.
(7)
Aby se však předešlo zneužívání této dodatečné flexibility, je vhodné stanovit, aby úřady pro ochranu údajů mohly snadněji zakázat nebo pozastavit předávání údajů na základě nového souboru standardních smluvních doložek v těch případech, kdy vývozce údajů odmítá přijmout odpovídající opatření k vynucení plnění smluvních závazků ze strany dovozce údajů nebo pokud dovozce údajů odmítá spolupracovat v dobré víře s příslušnými orgány dozoru nad ochranou údajů.
(8)
Standardní smluvní doložky se budou využívat, aniž je dotčeno používání vnitrostátních předpisů přijatých podle směrnice 95/46/ES nebo podle směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (4), zvláště pokud jde o posílání obchodních sdělení pro účely přímého marketingu.
(9)
Na tomto základě mohou být ochranná opatření obsažená v předložených standardních smluvních doložkách považována za dostatečná ve smyslu čl. 26 odst. 2 směrnice 95/46/ES.
(10)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko (5) k úrovni ochrany poskytované podle předložených standardních smluvních doložek, k němuž bylo přihlédnuto.
(11)
V zájmu posouzení uplatňování změn rozhodnutí 2001/497/ES je vhodné, aby je Komise tři roky po jejich oznámení členským státům vyhodnotila.
(12)
Rozhodnutí 2001/497/ES by mělo být odpovídajícím způsobem změněno.
(13)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Rozhodnutí 2001/497/ES se mění takto:
1.
V článku 1 se doplňuje nový odstavec, který zní:
„Správci údajů mohou volit mezi soubory I a II v příloze. Nesmí však měnit doložky ani kombinovat jednotlivé doložky či soubory.“
2.
V článku 4 se odstavce 2 a 3 nahrazují tímto:
„2. Pro účely odstavce 1 jsou příslušné orgány pro ochranu údajů oprávněny, pokud správce údajů stanoví odpovídající ochranná opatření na základě standardních smluvních doložek obsažených v souboru II v příloze, uplatnit svou stávající pravomoc, aby zakázaly nebo pozastavily toky údajů v jednom z následujících případů:
a)
dovozce údajů odmítá spolupracovat v dobré víře s orgány pro ochranu údajů nebo dostát svým jednoznačným závazkům podle smlouvy;
b)
vývozce údajů odmítá přijmout vhodná opatření pro vynucení splnění smlouvy ze strany dovozce údajů v průběhu obvyklého období jednoho měsíce po upozornění vývozce údajů příslušným orgánem pro ochranu údajů.
Pro účely prvního pododstavce nezahrnuje odmítnutí dovozce údajů v rozporu s dobrou vírou nebo odmítnutí dovozce údajů vynutit splnění smlouvy případy, ve kterých by se spolupráce nebo vynucování plnění dostaly do konfliktu se závaznými požadavky vnitrostátních právních předpisů platných pro dovozce údajů, které nepřekračují rámec toho, co je v demokratické společnosti nezbytné na základě jednoho ze zájmů uvedených v čl. 13 odst. 1 směrnice 95/46/ES, přičemž se jedná zejména o sankce stanovené v mezinárodních a/nebo vnitrostátních aktech, požadavků na daňové vykazování nebo požadavků na vykazování v zájmu boje proti praní špinavých peněz.
Pro účely prvního pododstavce bodu a) může spolupráce zahrnovat zejména umožnění kontroly zařízení na zpracování údajů dovozce údajů nebo povinnost řídit se radami orgánu dozoru nad ochranou údajů ve Společenství.
3. Zákaz či pozastavení podle odstavců 1 a 2 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.
4. Jakmile členské státy přijmou opatření podle odstavců 1, 2 a 3, informují neprodleně Komisi, která informace předá ostatním členským státům.“
3.
V článku 5 se první věta nahrazuje tímto:
„Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení a oznámení jeho případných změn členským státům.“
4.
Příloha se mění takto:
1.
Za nadpis se vkládá slovo „SOUBOR I“.
2.
Doplňuje se text uvedený v příloze tohoto rozhodnutí.
Článek 2
Toto rozhodnutí se použije ode dne 1. dubna 2005.
Článek 3
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 27. prosince 2004.
COMMISSION DECISION
of 27 December 2004
amending Decision 2001/497/EC as regards the introduction of an alternative set of standard contractual clauses for the transfer of personal data to third countries
(notified under document number C(2004) 5271)
(Text with EEA relevance)
(2004/915/EC)
THE COMMISSION OF THE EUROPEAN COMMUNITIES,
Having regard to the Treaty establishing the European Community,
Having regard to Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data (1), and in particular Article 26(4) thereof,
Whereas:
(1)
In order to facilitate data flows from the Community, it is desirable for data controllers to be able to perform data transfers globally under a single set of data protection rules. In the absence of global data protection standards, standard contractual clauses provide an important tool allowing the transfer of personal data from all Member States under a common set of rules. Commission Decision 2001/497/EC of 15 June 2001 on standard contractual clauses for the transfer of personal data to third countries under Directive 95/46/EC (2) therefore lays down a model set of standard contractual clauses which ensures adequate safeguards for the transfer of data to third countries.
(2)
Much experience has been gained since the adoption of that Decision. In addition, a coalition of business associations (3) has submitted a set of alternative standard contractual clauses designed to provide a level of data protection equivalent to that provided for by the set of standard contractual clauses laid down in Decision 2001/497/EC while making use of different mechanisms.
(3)
Since the use of standard contractual clauses for international data transfers is voluntary as standard contractual clauses are only one of several possibilities under Directive 95/46/EC, for lawfully transferring personal data to a third country, data exporters in the Community and data importers in third countries should be free to choose any of the sets of standard contractual clauses, or to choose some other legal basis for data transfer. As each set as a whole forms a model, data exporters should not, however, be allowed to amend these sets or totally or partially merge them in any manner.
(4)
The standard contract clauses submitted by the business associations aim at increasing the use of contractual clauses among operators by mechanisms such as more flexible auditing requirements and more detailed rules on the right of access.
(5)
Moreover, as an alternative to the system of joint and several liability provided for in Decision 2001/497/EC, the set now submitted contains a liability regime based on due diligence obligations where the data exporter and the data importer would be liable vis-à-vis the data subjects for their respective breach of their contractual obligations; the data exporter is also liable for not using reasonable efforts to determine that the data importer is able to satisfy its legal obligations under the clauses (culpa in eligendo) and the data subject can take action against the data exporter in this respect. The enforcement of clause I(b) of the new set of standard contractual clauses is of particular importance in this regard, in particular in connection with the possibility for the data exporter to carry out audits on the data importers’ premises or to request evidence of sufficient financial resources to fulfil its responsibilities.
(6)
As regards the exercise of third party beneficiary rights by the data subjects, greater involvement of the data exporter in the resolution of data subjects' complaints is provided for, with the data exporter being obliged to make contact with the data importer and, if necessary, enforce the contract within the normal period of one month. If the data exporter refused to enforce the contract and the breach by the data importer still continues, the data subject may then enforce the clauses against the data importer and eventually sue him in a Member State. This acceptance of jurisdiction and the agreement to comply with a decision of a competent court or data protection authority does not prejudice any procedural rights of data importers established in third countries, such as rights of appeal.
(7)
In order, however, to prevent abuses with this additional flexibility, it is appropriate to provide that data protection authorities can more easily prohibit or suspend data transfers based on the new set of standard contractual clauses in those cases where the data exporter refuses to take appropriate steps to enforce contractual obligations against the data importer or the latter refuses to cooperate in good faith with competent supervisory data protection authorities.
(8)
The use of standard contractual clauses will be made without prejudice to the application of national provisions adopted pursuant to Directive 95/46/EC or to Directive 2002//58/EC of the European Parliament and of the Council concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (4), in particular as far as the sending of commercial communications for the purposes of direct marketing is concerned.
(9)
On that basis, the safeguards contained in the submitted standard contractual clauses can be considered as adequate within the meaning of Article 26(2) of Directive 95/46/EC.
(10)
The Working Party on the Protection of Individuals with regard to the Processing of Personal Data established under Article 29 of Directive 95/46/EC has delivered an opinion (5) on the level of protection provided under the submitted standard contractual clauses which has been taken into account.
(11)
In order to assess the operation of the amendments to Decision 2001/497/EC, it is appropriate that the Commission evaluates them three years after their notification to the Member States
(12)
Decision 2001/497/EC should be amended accordingly.
(13)
The measures provided for in this Decision are in accordance with the opinion of the Committee established under Article 31 of Directive 95/46/EC,
HAS ADOPTED THIS DECISION:
Article 1
Decision 2001/497/EC is amended as follows:
1.
In Article 1 the following paragraph is added:
‘Data controllers may choose either of the sets I or II in the Annex. However, they may not amend the clauses nor combine individual clauses or the sets.’
2.
In Article 4 paragraphs 2 and 3 are replaced by the following:
‘2. For the purposes of paragraph 1, where the data controller adduces adequate safeguards on the basis of the standard contractual clauses contained in set II in the Annex, the competent data protection authorities are entitled to exercise their existing powers to prohibit or suspend data flows in either of the following cases:
(a)
refusal of the data importer to cooperate in good faith with the data protection authorities, or to comply with their clear obligations under the contract;
(b)
refusal of the data exporter to take appropriate steps to enforce the contract against the data importer within the normal period of one month after notice by the competent data protection authority to the data exporter.
For the purposes of the first subparagraph, refusal in bad faith or refusal to enforce the contract by the data importer shall not include cases in which cooperation or enforcement would conflict with mandatory requirements of the national legislation applicable to the data importer which do not go beyond what is necessary in a democratic society on the basis of one of the interests listed in Article 13(1) of Directive 95/46/EC, in particular sanctions as laid down in international and/or national instruments, tax-reporting requirements or anti-money-laundering reporting requirements.
For the purposes of point (a) of the first subparagraph cooperation may include, in particular, the submission of the data importer’s data processing facilities for audit or the obligation to abide by the advice of the data protection supervisory authority in the Community.
3. The prohibition or suspension pursuant to paragraphs 1 and 2 shall be lifted as soon as the reasons for the prohibition or suspension no longer exist.
4. When Member States adopt measures pursuant to paragraphs 1, 2 and 3, they shall without delay inform the Commission which will forward the information to the other Member States.’.
3.
In Article 5 the first sentence is replaced by the following:
‘The Commission shall evaluate the operation of this Decision on the basis of available information three years after its notification and the notification of any amendment thereto to the Member States.’.
4.
The Annex is amended as follows:
1.
After the title the term ‘SET I’ is inserted.
2.
The text set out in the Annex to this Decision is added.
Article 2
This Decision shall apply from 1 April 2005.
Article 3
This Decision is addressed to the Member States.
Done at Brussels, 27 December 2004.