Rozhodnutí Komise
ze dne 27. prosince 2001
o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice 95/46/ES
(oznámeno pod číslem K(2001) 4540)
(Text s významem pro EHP)
(2002/16/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1], a zejména na čl. 26 odst. 4 uvedené směrnice,
vzhledem k těmto důvodům:
(1) Podle směrnice 95/46/ES jsou členské státy povinny zajistit, aby se předávání osobních údajů do třetí země mohlo uskutečnit pouze za podmínky, že dotyčná třetí země zaručí odpovídající úroveň ochrany údajů a že před předáváním budou dodrženy právní předpisy členských států, které jsou v souladu s ostatními ustanoveními směrnice.
(2) Čl. 26 odst. 2 směrnice 95/46/ES však stanoví, že členské státy mohou předání nebo předávání osobních údajů do třetích zemí, které nezajišťují odpovídající úroveň ochrany, povolit za předpokladu, že existují určitá ochranná opatření. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek.
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů posuzována s ohledem na veškeré okolnosti doprovázející předání nebo předávání údajů. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů založená podle uvedené směrnice [2] vydala v zájmu usnadnění posuzování pokyny [3].
(4) Standardní smluvní doložky se týkají pouze ochrany údajů. Vývozce údajů a dovozce údajů mohou do smluv libovolně začlenit jakékoli další doložky, které se vztahují k předmětu obchodu, které jsou dle jejich názoru pro účely dané smlouvy vhodné, a to za podmínky, že nejsou v rozporu se standardními smluvními doložkami.
(5) Tímto rozhodnutím by neměla být dotčena vnitrostátních oprávnění, která mohou členské státy udělit v souladu s vnitrostátními právními předpisy, kterými se provádí čl. 26 odst. 2 směrnice 95/46/ES. Toto rozhodnutí pouze požaduje po členských státech, aby neodmítaly uznat smluvní doložky uvedené v tomto rozhodnutí jako dostatečná ochranná opatření, a nemá tudíž žádný vliv na ostatní smluvní doložky.
(6) Oblast působnosti tohoto rozhodnutí je omezena na stanovení toho, že doložky, které uvádí, mohou být použity správcem údajů usazeným ve Společenství, aby bylo možno stanovit odpovídající ochranná opatření ve smyslu čl. 26 odst. 2 směrnice 95/46/ES pro předávání osobních údajů zpracovateli usazenému ve třetí zemi.
(7) Toto rozhodnutí by mělo provádět povinnost uvedenou v čl. 17 odst. 3 směrnice 95/46/ES a není jím dotčen obsah smluv nebo právních aktů vzniklých v souladu s tímto ustanovením. Součástí smluv nebo právních aktů by však měly být některé ze standardních smluvních doložek, zejména ve vztahu k povinnostem vývozce údajů, aby byla zajištěna srozumitelnost ustanovení, která mohou být obsažena ve smlouvě mezi správcem a zpracovatelem.
(8) Orgány dozoru členských států hrají v tomto smluvním mechanizmu klíčovou roli při zajišťování toho, aby osobní údaje byly po předání náležitě chráněny. Ve výjimečných případech, kdy vývozci údajů odmítnou řádně poučit dovozce údajů nebo kdy jej řádně poučit nemohou a kdy subjektům údajů hrozí bezprostřední riziko závažné újmy, by měly standardní smluvní doložky umožňovat orgánům dovozu prověřit dovozce údajů a popřípadě přijmout rozhodnutí, která budou pro dovozce údajů závazná. Orgány dozoru by měly mít pravomoc zakázat nebo pozastavit předání nebo předávání údajů uskutečněné na základě standardních smluvních doložek v takových výjimečných případech, kdy by předávání uskutečněné na smluvním základě mělo pravděpodobně závažný nepříznivý dopad na ochranná opatření a povinnosti vztahující se k zajištění odpovídající ochrany subjektu údajů.
(9) Komise by také mohla v budoucnu zvážit, zda standardní smluvní doložky předkládané obchodními organizacemi nebo jinými zainteresovanými osobami pro předávání osobních údajů zpracovatelům údajů usazeným ve třetích zemích, které neposkytují odpovídající úroveň ochrany údajů, nabízejí dostatečná ochranná opatření v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
(10) Zpřístupnění osobních údajů zpracovateli údajů usazenému mimo Společenství přestavuje mezinárodní předávání chráněné podle kapitoly IV směrnice 95/46/ES. Toto rozhodnutí se proto nevztahuje na předávání osobních údajů správci usazenému ve Společenství správcům usazeným mimo Společenství, kteří spadají do oblasti působnosti rozhodnutí Komise 2001/497/ES ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES [4].
(11) Standardní smluvní doložky by měly stanovit technická a organizační bezpečnostní opatření, která by zajistila úroveň bezpečnosti odpovídající rizikům spojeným se zpracováním a s povahou údajů, jež mají být chráněny, a která musejí být uplatňována zpracovatelem údajů usazeným ve třetí zemi, která neposkytuje dostatečnou ochranu. Strany by měly do smlouvy začlenit ustanovení vztahující se k těmto technickým a organizačním opatřením, která s ohledem na právo rozhodné pro ochranu údajů, na stav techniky a na náklady související s jejich prováděním jsou nezbytná v zájmu ochrany osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem nebo před ostatními protiprávními způsoby zpracování.
(12) V zájmu usnadnění toků údajů směrem ze Společenství je žádoucí, aby zpracovatelům poskytujícím služby zpracování údajů několika správcům údajů ve Společenství bylo dovoleno uplatňovat stejná technická a organizační bezpečnostní opatření bez ohledu na to, ze kterého členského státu je předávání údajů prováděno, zejména v případech, kdy dovozce údajů získává údaje pro další zpracování od různých provozoven vývozce údajů ve Společenství; v takovém případě by mělo být použito právo příslušného členského státu, v němž je vývozce údajů usazen.
(13) Je vhodné stanovit minimální rozsah informací, který musejí strany ve smlouvě o předávání výslovně uvést. Členské státy by si měly ponechat pravomoc upřesnit, jaké informace musejí strany uvést. Uplatňování tohoto rozhodnutí by mělo být přezkoumáno na základě zkušeností.
(14) Dovozce údajů by měl předávané osobní údaje zpracovávat pouze jménem vývozce údajů a v souladu s jeho pokyny a s povinnostmi obsaženými v doložkách. Dovozce údajů by především neměl zpřístupnit osobní údaje třetí straně, pokud to není v souladu s určitými podmínkami. Vývozce údajů by měl dovozce údajů po celou dobu poskytování služeb spojených se zpracováním údajů upozorňovat, že má údaje zpracovávat v souladu s pokyny vývozce údajů, s právem rozhodným pro ochranu údajů a s povinnostmi obsaženými v doložkách. Předávání osobních údajů zpracovateli se sídlem mimo Společenství nijak neovlivňuje skutečnost, že činnosti spojené se zpracováním údajů by se měly v každém případě řídit právem rozhodným pro ochranu údajů.
(15) Standardní smluvní doložky by měly být vynutitelné nejen organizacemi, které jsou stranami smlouvy, ale také subjekty údajů, zejména v případech, kdy subjekty údajů utrpí škodu v důsledku porušení smlouvy.
(16) Subjekt údajů by měl být oprávněn podat žalobu a případně obdržet náhradu škody od vývozce údajů, který je správcem předávaných osobních údajů. Ve výjimečných případech by měl být subjekt údajů oprávněn podat žalobu a případně obdržet náhradu škody od dovozce údajů, pokud došlo k porušení některé z povinností dovozce údajů uvedených v druhém odstavci doložky 3, pokud vývozce údajů fakticky zmizel, z právního hlediska zanikl nebo je v platební neschopnosti.
(17) V případě sporu mezi subjektem údajů, který se dovolává doložky ve prospěch třetí strany, a dovozcem údajů, který není vyřešen smírně, by se měl dovozce údajů zavázat, že nabídne subjektu údajů, aby si zvolil mezi mediací, rozhodčím řízením nebo soudním řízením. Rozsah, v jakém si bude moci subjekt údajů skutečně zvolit způsob řešení, by měl záviset na dostupnosti spolehlivých a uznaných systémů mediace a rozhodčího řízení. Mediace prostřednictvím orgánů dozoru pro ochranu údajů v členském státě, ve kterém je usazen vývozce údajů, by měla být v případě, že je tato služba k dispozici, jednou z možností.
(18) Rozhodné právo smlouvy by mělo být právem členského státu, ve kterém je usazen vývozce údajů, umožňujícím oprávněné třetí straně vynutit splnění smlouvy. Subjekty údajů mohou být zastoupeny sdruženími nebo jinými subjekty, je-li to jejich přání a povoluje-li to vnitrostátní právo.
(19) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko k úrovni ochrany poskytované podle standardních smluvních doložek připojených k tomuto rozhodnutí, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí [5].
(20) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Standardní smluvní doložky uvedené v příloze jsou považovány za dostatečná ochranná opatření s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, jakož i s ohledem na výkon odpovídajících práv v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
Článek 2
Toto rozhodnutí se týká pouze dostatečnosti ochrany zajištěné standardními smluvními doložkami pro předávání osobních údajů zpracovatelům, které jsou uvedeny v příloze. Nevztahuje se na používání ostatních vnitrostátních předpisů, kterými se provádí směrnice 95/46/ES a které souvisejí se zpracováním osobních údajů v členských státech.
Toto rozhodnutí se vztahuje na předávání osobních údajů správci usazenými ve Společenství příjemcům usazeným mimo území Společenství, kteří působí pouze jako zpracovatelé.
Článek 3
Pro účely tohoto rozhodnutí se:
a) použijí definice uvedené ve směrnici 95/46/ES;
b) "zvláštními kategoriemi údajů" rozumějí údaje uvedené v článku 8 uvedené směrnice;
c) "orgánem dozoru" rozumí orgán uvedený v článku 28 uvedené směrnice;
d) "vývozcem údajů" rozumí správce, který předává osobní údaje;
e) "dovozcem údajů" rozumí zpracovatel usazený ve třetí zemi, který se zavazuje přijímat od vývozce údajů osobní údaje určené ke zpracování jménem vývozce údajů po předání v souladu s jeho pokyny a s podmínkami tohoto rozhodnutí a který nepodléhá systému třetí země zajišťující odpovídající ochranu;
f) "právem rozhodným pro ochranu údajů" rozumí právní předpisy ochraňující základní práva a svobody fyzických osob, a zejména jejich právo na soukromí ve vztahu ke zpracování osobních údajů, které se použijí na správce údajů v členském státě, ve kterém je usazen vývozce údajů;
g) "technickými a organizačními bezpečnostními opatřeními" rozumějí opatření zaměřená na ochranu osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem, zejména v případech, kdy v souvislosti se zpracováním dochází k přenosu údajů po síti, a před všemi ostatními protiprávními způsoby zpracování.
Článek 4
1. Aniž jsou dotčeny jejich pravomoci přijmout opatření k zajištění dodržování vnitrostátních předpisů přijatých podle kapitol II, III, V a VI směrnice 95/46/ES, mohou příslušné orgány členských států vykonávat své stávající pravomoci zakázat nebo pozastavit toky údajů směřující do třetích zemí, aby tak chránily jednotlivce v souvislosti se zpracováním jejich osobních údajů v případech, kdy:
a) je zjištěno, že právní předpisy, kterým dovozce údajů podléhá, po něm vyžadují, aby se odchýlil se od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46/ES, a že tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na ochranná opatření poskytovaná právem rozhodným pro ochranu údajů a standardními smluvními doložkami, nebo
b) příslušný orgán zjistil, že dovozce údajů nedodržoval smluvní doložky uvedené v příloze, nebo
c) je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.
2. Zákaz či pozastavení podle odstavce 1 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.
3. Jakmile členské státy přijmou opatření podle odstavců 1 a 2, informují neprodleně Komisi, která informace předá ostatním členským státům.
Článek 5
Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení členským státům. Předloží zprávu o zjištěních výboru zřízenému podle článku 31 směrnice 95/46/ES. Zpráva bude obsahovat veškeré důkazy, které by mohly ovlivnit hodnocení dostatečnosti standardních smluvních doložek uvedených v příloze, jakož i veškeré důkazy o tom, že se toto rozhodnutí uplatňuje diskriminačním způsobem.
Článek 6
Toto rozhodnutí se použije ode dne 3. dubna 2002.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 27. prosince 2001.
Decisione della Commissione
del 27 dicembre 2001
relativa alle clausole contrattuali tipo per il trasferimento di dati personali a incaricati del trattamento residenti in paesi terzi, a norma della direttiva 95/46/CE
[notificata con il numero C(2001) 4540]
(Testo rilevante ai fini del SEE)
(2002/16/CE)
LA COMMISSIONE DELLE COMUNITÀ EUROPEE,
visto il trattato che istituisce la Comunità europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati(1), in particolare l'articolo 26, paragrafo 4,
considerando quanto segue:
(1) In base alla direttiva 95/46/CE, gli Stati membri devono provvedere affinché il trasferimento di dati personali verso un determinato paese terzo possa avere luogo soltanto se tale paese garantisce un livello adeguato di protezione dei dati, e se vengono osservate, previamente al trasferimento, le disposizioni adottate dagli Stati membri in attuazione di altre norme della direttiva.
(2) L'articolo 26, paragrafo 2, della direttiva 95/46/CE prevede che gli Stati membri possano autorizzare, subordinatamente a talune garanzie, il trasferimento di dati personali verso paesi terzi che non garantiscono un livello adeguato di protezione dei dati. Tali garanzie possono essere costituite in particolare da apposite clausole contrattuali.
(3) A norma della direttiva 95/46/CE, il livello di protezione dei dati deve essere valutato alla luce di tutte le circostanze relative all'operazione di trasferimento. Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali costituito in forza della direttiva(2) ha elaborato una serie di orientamenti per tale valutazione(3).
(4) Le clausole contrattuali tipo riguardano soltanto la protezione dei dati. Ma gli esportatori e gli importatori dei dati sono liberi di inserire qualsiasi altra clausola commerciale ritenuta pertinente ai fini del contratto, purché non incompatibile con le clausole tipo.
(5) La presente decisione non incide sulle autorizzazioni nazionali che gli Stati membri possono concedere in base alle disposizioni nazionali adottate in attuazione dell'articolo 26, paragrafo 2, della direttiva 95/46/CE. Essa prevede semplicemente che gli Stati membri riconoscano come garanzie sufficienti le clausole contrattuali in essa contenute e non produce alcun effetto sulle clausole contrattuali di altra natura.
(6) La presente decisione si limita a stabilire che le clausole da essa previste possano essere utilizzate dal responsabile del trattamento con sede nella Comunità come garanzie sufficienti per il trasferimento di dati personali a incaricati del trattamento residenti in paesi terzi ai sensi dell'articolo 26, paragrafo 2, della direttiva 95/46/CE.
(7) Essa attua pertanto l'articolo 17, paragrafo 3, della direttiva e non pregiudica il contenuto dei contratti o degli atti giuridici adottati in materia. Appare tuttavia opportuno prevedere determinate clausole tipo, riguardanti in particolare gli obblighi dell'esportatore, affinché vi sia maggiore chiarezza sulle disposizioni che possono essere inserite nei contratti fra i responsabili e gli incaricati del trattamento.
(8) Le autorità di controllo degli Stati membri svolgono un ruolo fondamentale in tale ambito garantendo che i dati personali siano adeguatamente tutelati in seguito al trasferimento. Nei casi eccezionali in cui gli esportatori si rifiutino o non siano in grado di impartire le istruzioni necessarie agli importatori, e le persone cui si riferiscono i dati siano esposte ad un imminente rischio di gravi danni, le clausole tipo devono consentire alle autorità di controllo di vigilare sugli importatori dei dati ed adottare, se del caso, decisioni vincolanti nei loro confronti. Le autorità di controllo devono avere la facoltà di vietare o sospendere i trasferimenti di dati effettuati in base alle clausole contrattuali tipo nei casi eccezionali in cui il trasferimento su base contrattuale possa pregiudicare le garanzie e gli obblighi destinati a fornire adeguata protezione alle persone interessate dai dati.
(9) La Commissione potrà valutare in futuro se le garanzie sufficienti ai sensi dell'articolo 26, paragrafo 2, della direttiva 95/46/CE possano altresì essere costituite da altre clausole contrattuali tipo, proposte da organizzazioni di categoria o da altri soggetti interessati per il trasferimento di dati personali ad incaricati del trattamento residenti in paesi terzi che non garantiscono un livello adeguato di protezione.
(10) La comunicazione di dati personali ad incaricati del trattamento residenti al di fuori della Comunità costituisce un trasferimento internazionale protetto ai sensi del capo IV della direttiva 95/46/CE. La presente decisione non riguarda il trasferimento di dati personali da responsabili del trattamento residenti nella Comunità a responsabili del trattamento residenti al di fuori della Comunità. Tale trasferimento rientra nel campo di applicazione della decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati a caratteri personale verso paesi terzi a norma della direttiva 95/46/CE(4).
(11) Le clausole contrattuali tipo devono prevedere le misure tecniche e organizzative di sicurezza che devono essere applicate dall'incaricato del trattamento, residente in un paese terzo che non garantisce un livello di protezione adeguato, affinché il livello di sicurezza sia commisurato ai rischi inerenti al trattamento e alla natura dei dati da tutelare. Nel contratto le parti devono prevedere le misure tecniche e organizzative che, tenuto conto della normativa sulla protezione dei dati, della più recente tecnologia e dei costi di attuazione, sono necessarie allo scopo di proteggere i dati personali contro la distruzione accidentale o illecita, la perdita accidentale, l'alterazione, l'accesso o la rivelazione non autorizzati, e qualsiasi altra forma di trattamento illecito.
(12) Allo scopo di agevolare i flussi di dati in uscita dalla Comunità deve essere consentito agli incaricati del trattamento, che forniscano servizi di trattamento a più responsabili nella Comunità, d'applicare le stesse misure tecniche e organizzative di sicurezza indipendentemente dallo Stato membro da cui si effettua il trasferimento, in particolare nel caso in cui l'importatore riceva i dati ai fini dell'ulteriore trattamento da diverse sedi dell'esportatore situate nella Comunità. In questa ipotesi deve applicarsi la legge dello Stato designato.
(13) Devono essere previste le informazioni minime che le parti devono includere nel contratto relativo al trasferimento. Gli Stati membri hanno comunque la facoltà di specificare in termini più particolareggiati le informazioni che le parti sono tenute a fornire. Il funzionamento del sistema istituito dalla presente decisione sarà valutato alla luce dell'esperienza futura.
(14) L'importatore è tenuto a trattare i dati personali trasferiti esclusivamente per conto dell'esportatore e in conformità alle istruzioni da questi impartite, nonché in ottemperanza agli obblighi stabiliti dalle clausole stesse. L'importatore deve astenersi segnatamente dal rivelare i dati personali a terzi, salvo che sussistano determinate circostanze. L'esportatore è tenuto a trasmettere opportune istruzioni all'importatore durante l'intero periodo in cui vengano prestati i servizi di trattamento affinché i dati siano trattati conformemente alle istruzioni impartite, alla normativa sulla protezione dei dati e agli obblighi contenuti nelle clausole tipo. Il trasferimento di dati personali a incaricati del trattamento residenti al di fuori della Comunità lascia impregiudicato il fatto che le attività di trattamento debbano comunque essere conformi alla normativa sulla protezione dei dati.
(15) È opportuno che le clausole contrattuali tipo possano essere fatte valere non solo dalle organizzazioni che stipulano il contratto ma anche dalle persone interessate dai dati, in particolare laddove l'eventuale violazione del contratto rechi ad esse pregiudizio.
(16) Le persone interessate dai dati devono poter agire in giudizio, anche ai fini del risarcimento dei danni, nei confronti dell'esportatore che è il responsabile del trattamento dei dati personali trasferiti. Eccezionalmente le persone interessate dai dati devono potere agire in giudizio nei confronti dell'importatore, anche ai fini del risarcimento dei danni, per la violazione degli obblighi stabiliti dalla clausola 3, qualora l'esportatore sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente.
(17) Nelle controversie sorte con persone interessate dai dati che si avvalgano della clausola del terzo beneficiario, l'importatore, ove non sia possibile la composizione in via amichevole, deve consentire all'interessato di scegliere fra la mediazione, l'arbitrato o l'azione legale. L'effettiva possibilità di scelta dipenderà dall'esistenza di sistemi di mediazione ed arbitrato affidabili e riconosciuti. La mediazione ad opera delle autorità di controllo dello Stato membro in cui ha sede l'esportatore deve essere ammessa, sempre che dette autorità prestino tale servizio.
(18) Il contratto deve essere soggetto alla legge dello Stato membro in cui ha sede l'esportatore, di modo che il terzo beneficiario possa far valere le disposizioni contrattuali. È opportuno che le persone interessate dai dati possano essere rappresentate da associazioni o altre organizzazioni, qualora lo desiderino e qualora ciò sia ammesso dalla normativa nazionale.
(19) Il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali istituito in forza dell'articolo 29 della direttiva 95/46/CE ha emesso un parere sul livello di protezione garantito dalle clausole contrattuali tipo allegate alla presente decisione, che è stato preso in considerazione nella stesura della decisione stessa(5).
(20) Le misure previste dalla presente decisione sono conformi al parere del comitato istituito in forza dell'articolo 31 della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Le clausole contrattuali tipo riportate in allegato costituiscono garanzie sufficienti ai fini della tutela della riservatezza, dei diritti fondamentali e della libertà delle persone nonché per l'esercizio dei relativi diritti ai sensi dell'articolo 26, paragrafo 2, della direttiva 95/46/CE.
Articolo 2
La presente decisione concerne esclusivamente l'adeguatezza della tutela conferita dalle clausole contrattuali tipo per il trasferimento di dati personali riportate in allegato. Essa lascia impregiudicata l'applicazione delle disposizioni nazionali sul trattamento dei dati personali negli Stati membri adottate in attuazione della direttiva 95/46/CE.
La presente decisione si applica al trasferimento dei dati personali effettuato da responsabili del trattamento residenti nella Comunità a destinatari residenti al di fuori della Comunità che agiscano esclusivamente in veste di incaricati del trattamento.
Articolo 3
Ai fini della presente decisione:
a) si applicano le definizioni di cui alla direttiva 95/46/CE; inoltre
b) per "speciali categorie di dati" s'intendono i dati di cui all'articolo 8 di detta direttiva;
c) per "autorità di controllo" s'intende l'autorità di cui all'articolo 28 di detta direttiva;
d) per "esportatore" s'intende il responsabile del trattamento che trasferisce i dati personali;
e) per "importatore" s'intende l'incaricato del trattamento residente in un paese terzo, che s'impegni a ricevere dall'esportatore dati personali al fine di trattarli per conto e secondo le istruzioni dell'esportatore stesso nonché a norma della presente decisione e che non sia assoggettato dal paese terzo ad un sistema che garantisca una protezione adeguata;
f) per "normativa sulla protezione dei dati" s'intende la normativa che protegge i diritti e le libertà fondamentali delle persone fisiche e in particolare il diritto alla riservatezza riguardo al trattamento di dati personali, applicabile ai responsabili del trattamento nello Stato membro in cui ha sede l'esportatore;
g) per "misure tecniche e organizzative di sicurezza" s'intendono le misure destinate a proteggere i dati personali contro la distruzione accidentale o illecita, la perdita accidentale, l'alterazione e la rivelazione o l'accesso non autorizzati, in particolare ove il trattamento comporti la trasmissione di dati su rete, nonché contro qualsiasi altra forma di trattamento illecito.
Articolo 4
1. Fatto salvo il potere di provvedere all'osservanza delle disposizioni nazionali adottate in attuazione dei capi II, III, V e VI della direttiva 95/46/CE, le autorità competenti degli Stati membri possono avvalersi dei poteri loro attribuiti per vietare o sospendere i flussi di dati verso paesi terzi allo scopo di proteggere le persone con riguardo al trattamento dei dati personali, qualora:
a) sia accertato che, in base alla legge ad esso applicabile, l'importatore è tenuto ad applicare deroghe alla normativa sulla protezione dei dati che eccedano le restrizioni ritenute necessarie in una società democratica ai sensi dell'articolo 13 della direttiva 95/46/CE, e pregiudichino significativamente le garanzie previste dalla normativa sulla protezione dei dati e dalle clausole contrattuali tipo, oppure
b) un'autorità competente abbia accertato che l'importatore non ha rispettato le clausole contrattuali riportate in allegato, oppure
c) sia probabile che le clausole contrattuali tipo in allegato non vengano rispettate, e che la prosecuzione del trasferimento determini un imminente rischio di gravi danni per le persone interessate dai dati.
2. Il divieto o la sospensione ai sensi del paragrafo 1 sono revocati non appena ne vengano meno le ragioni.
3. Quando prende i provvedimenti di cui ai paragrafi 1 e 2, lo Stato membro informa senza indugio la Commissione; questa trasmette l'informazione agli altri Stati membri.
Articolo 5
Decorsi tre anni dalla notificazione della presente decisione agli Stati membri, la Commissione valuta il funzionamento del sistema previsto dalla decisione stessa sulla base delle informazioni disponibili. Essa riferisce in merito alle risultanze della valutazione al comitato istituito in forza dell'articolo 31 della direttiva 95/46/CE. La relazione comprende qualsiasi circostanza rilevante ai fini della valutazione dell'adeguatezza delle clausole contrattuali tipo riportate in allegato nonché qualsiasi eventuale circostanza indicante che la presente decisione viene applicata in maniera discriminatoria.
Articolo 6
La presente decisione si applica a decorrere dal 3 aprile 2002.
Articolo 7
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 27 dicembre 2001.