ROZHODNUTÍ KOMISE
ze dne 27. prosince 2004,
kterým se mění rozhodnutí 2001/497/ES, pokud jde o zavedení alternativního souboru standardních smluvních doložek pro předávání osobních údajů do třetích zemí
(oznámeno pod číslem K(2004) 5271)
(Text s významem pro EHP)
(2004/915/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 26 odst. 4 uvedené směrnice,
vzhledem k těmto důvodům:
(1)
Za účelem usnadnění toků údajů ze Společenství je žádoucí, aby správci údajů byli schopni globálně předávat údaje podle jednotného souboru pravidel ochrany údajů. Neexistují-li normy globální ochrany údajů, poskytují standardní smluvní doložky důležitý nástroj umožňující předávání osobních údajů ze všech členských států podle společného souboru pravidel. Rozhodnutí Komise 2001/497/ES ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES (2) proto stanoví modelový soubor standardních smluvních doložek, který zajišťuje dostatečná ochranná opatření pro předávání údajů do třetích zemí.
(2)
Od přijetí uvedeného rozhodnutí bylo získáno mnoho zkušeností. Navíc koalice podnikatelských asociací (3) předložila soubor alternativních standardních smluvních doložek navržených tak, aby zajišťovaly úroveň ochrany údajů shodnou s úrovní zajišťovanou souborem standardních smluvních doložek stanovených rozhodnutím 2001/497/ES, i když používá odlišné mechanismy.
(3)
Jelikož je používání standardních smluvních doložek pro mezinárodní předávání údajů dobrovolné, neboť standardní smluvní doložky jsou podle směrnice 95/46/ES pouze jednou z několika možností pro zákonné předávání osobních údajů do třetí země, vývozci údajů ve Společenství a dovozci údajů ve třetích zemích by měli mít možnost si svobodně zvolit kterýkoli ze souborů standardních smluvních doložek nebo pro předávání údajů zvolit nějaký jiný právní základ. Jelikož každý soubor jako celek tvoří model, nemělo by však být vývozcům údajů dovoleno tyto soubory měnit, ani je nijak zcela nebo částečně slučovat.
(4)
Standardní smluvní doložky předložené podnikatelskými asociacemi mají za cíl zvýšit používání smluvních doložek ze strany hospodářských subjektů pomocí mechanismů, jako jsou pružnější požadavky na provádění kontrol či podrobnější pravidla pro právo na přístup.
(5)
Mimoto, jako alternativu k systému společné a nerozdílné odpovědnosti podle rozhodnutí 2001/497/ES, obsahuje soubor, který je nyní předkládán, odpovědnostní režim založený na závazcích povinné péče, v němž jsou vývozce údajů a dovozce údajů odpovědni vůči subjektům údajů za vlastní porušení svých smluvních povinností; vývozce údajů je také odpovědný tehdy, pokud nevyvine přiměřené úsilí k tomu, aby určil, že je dovozce údajů schopen dostát svým právním závazkům vyplývajícím z doložek (culpa in eligendo) a subjekt údajů může v této souvislosti věc proti vývozci údajů předložit soudu. Vynucení doložky I písm. b) nového souboru standardních smluvních doložek je v tomto ohledu zvláště důležité, konkrétně ve spojení s možností vývozce údajů provádět kontroly v prostorách dovozců údajů nebo požadovat důkaz o dostatečných finančních zdrojích ke splnění jejich odpovědností.
(6)
Pokud jde o uplatňování práv oprávněné třetí strany ze strany subjektů údajů, je zajištěna větší angažovanost vývozce údajů při řešení stížností subjektů údajů, přičemž vývozce údajů je povinen se spojit s dovozcem údajů a, pokud je to nutné, vynutit splnění smlouvy v průběhu obvyklého období jednoho měsíce. Pokud by vývozce údajů odmítl splnění smlouvy vynutit a porušování smlouvy dovozcem údajů by stále pokračovalo, pak subjekt údajů může vynutit splnění doložek proti dovozci údajů a případně jej žalovat v členském státě. Tímto přijetím soudní příslušnosti a souhlasem dostát rozhodnutí příslušného soudu nebo úřadu pro ochranu údajů nejsou dotčena procesní práva dovozců údajů usazených ve třetích zemích, jako je právo na podání opravných prostředků.
(7)
Aby se však předešlo zneužívání této dodatečné flexibility, je vhodné stanovit, aby úřady pro ochranu údajů mohly snadněji zakázat nebo pozastavit předávání údajů na základě nového souboru standardních smluvních doložek v těch případech, kdy vývozce údajů odmítá přijmout odpovídající opatření k vynucení plnění smluvních závazků ze strany dovozce údajů nebo pokud dovozce údajů odmítá spolupracovat v dobré víře s příslušnými orgány dozoru nad ochranou údajů.
(8)
Standardní smluvní doložky se budou využívat, aniž je dotčeno používání vnitrostátních předpisů přijatých podle směrnice 95/46/ES nebo podle směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (4), zvláště pokud jde o posílání obchodních sdělení pro účely přímého marketingu.
(9)
Na tomto základě mohou být ochranná opatření obsažená v předložených standardních smluvních doložkách považována za dostatečná ve smyslu čl. 26 odst. 2 směrnice 95/46/ES.
(10)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko (5) k úrovni ochrany poskytované podle předložených standardních smluvních doložek, k němuž bylo přihlédnuto.
(11)
V zájmu posouzení uplatňování změn rozhodnutí 2001/497/ES je vhodné, aby je Komise tři roky po jejich oznámení členským státům vyhodnotila.
(12)
Rozhodnutí 2001/497/ES by mělo být odpovídajícím způsobem změněno.
(13)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Rozhodnutí 2001/497/ES se mění takto:
1.
V článku 1 se doplňuje nový odstavec, který zní:
„Správci údajů mohou volit mezi soubory I a II v příloze. Nesmí však měnit doložky ani kombinovat jednotlivé doložky či soubory.“
2.
V článku 4 se odstavce 2 a 3 nahrazují tímto:
„2. Pro účely odstavce 1 jsou příslušné orgány pro ochranu údajů oprávněny, pokud správce údajů stanoví odpovídající ochranná opatření na základě standardních smluvních doložek obsažených v souboru II v příloze, uplatnit svou stávající pravomoc, aby zakázaly nebo pozastavily toky údajů v jednom z následujících případů:
a)
dovozce údajů odmítá spolupracovat v dobré víře s orgány pro ochranu údajů nebo dostát svým jednoznačným závazkům podle smlouvy;
b)
vývozce údajů odmítá přijmout vhodná opatření pro vynucení splnění smlouvy ze strany dovozce údajů v průběhu obvyklého období jednoho měsíce po upozornění vývozce údajů příslušným orgánem pro ochranu údajů.
Pro účely prvního pododstavce nezahrnuje odmítnutí dovozce údajů v rozporu s dobrou vírou nebo odmítnutí dovozce údajů vynutit splnění smlouvy případy, ve kterých by se spolupráce nebo vynucování plnění dostaly do konfliktu se závaznými požadavky vnitrostátních právních předpisů platných pro dovozce údajů, které nepřekračují rámec toho, co je v demokratické společnosti nezbytné na základě jednoho ze zájmů uvedených v čl. 13 odst. 1 směrnice 95/46/ES, přičemž se jedná zejména o sankce stanovené v mezinárodních a/nebo vnitrostátních aktech, požadavků na daňové vykazování nebo požadavků na vykazování v zájmu boje proti praní špinavých peněz.
Pro účely prvního pododstavce bodu a) může spolupráce zahrnovat zejména umožnění kontroly zařízení na zpracování údajů dovozce údajů nebo povinnost řídit se radami orgánu dozoru nad ochranou údajů ve Společenství.
3. Zákaz či pozastavení podle odstavců 1 a 2 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.
4. Jakmile členské státy přijmou opatření podle odstavců 1, 2 a 3, informují neprodleně Komisi, která informace předá ostatním členským státům.“
3.
V článku 5 se první věta nahrazuje tímto:
„Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení a oznámení jeho případných změn členským státům.“
4.
Příloha se mění takto:
1.
Za nadpis se vkládá slovo „SOUBOR I“.
2.
Doplňuje se text uvedený v příloze tohoto rozhodnutí.
Článek 2
Toto rozhodnutí se použije ode dne 1. dubna 2005.
Článek 3
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 27. prosince 2004.
DECISIONE DELLA COMISSIONE
del 27 dicembre 2004
che modifica la decisione 2001/497/CE per quanto riguarda l’introduzione di un insieme alternativo di clausole contrattuali tipo per il trasferimento di dati personali a paesi terzi
[notificata con il numero C(2004) 5271]
(Testo rilevante ai fini del SEE)
(2004/915/CE)
LA COMMISSIONE DELLE COMUNITÀ EUROPEE,
visto il trattato che istituisce la Comunità europea,
vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (1), e in particolare l’articolo 26, paragrafo 4,
considerando quanto segue:
(1)
Al fine di facilitare i flussi di dati provenienti dalla Comunità, è opportuno che i responsabili del trattamento di dati siano in grado di realizzare trasferimenti di dati su scala mondiale attenendosi a un unico insieme di norme di protezione dei dati. In mancanza di una normativa internazionale in materia, le clausole contrattuali tipo costituiscono uno strumento estremamente utile, dal momento che consentono di trasferire dati personali provenienti da tutti gli Stati membri facendo riferimento ad un insieme comune di norme. La decisione 2001/497/CE della Commissione, del 15 giugno 2001, relativa alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi a norma della direttiva 95/46/CE (2) stabilisce un insieme modello di clausole contrattuali tipo che prevede garanzie adeguate per il trasferimento di dati verso paesi terzi.
(2)
Dal momento dell’adozione di questa decisione si è acquisita una ricca esperienza. Inoltre, un consorzio di associazioni imprenditoriali (3) ha presentato un insieme alternativo di clausole contrattuali, destinato ad offrire un livello di protezione di dati comparabile a quello offerto dall’insieme di clausole adottato nella decisione 2001/497/CE, pur utilizzando meccanismi diversi.
(3)
Considerando che l’uso di clausole contrattuali tipo nei trasferimenti internazionali ha carattere volontario (questo tipo di clausole è solo una delle varie possibilità previste dalla direttiva 95/46/CE per il trasferimento legittimo di dati personali verso paesi terzi), gli esportatori di dati nella Comunità e gli importatori di dati in paesi terzi dovrebbero poter optare per uno degli insiemi di clausole contrattuali tipo o scegliere un altro fondamento giuridico per il trasferimento di dati. Tuttavia, dal momento che ciascun gruppo costituisce un insieme coerente, non deve essere riconosciuta agli esportatori la possibilità di modificare totalmente o parzialmente tali insiemi né di combinarli in alcun modo.
(4)
Le clausole contrattuali tipo proposte dalle associazioni imprenditoriali hanno lo scopo di rafforzare l’uso di clausole contrattuali tra gli operatori, ad esempio rendendo flessibili i requisiti in materia di verifica o precisando le norme che disciplinano il diritto di accesso.
(5)
D’altro canto, l'insieme che qui si presenta contiene, come alternativa al sistema di responsabilità solidale previsto dalla decisione 2001/497/CE, un regime di responsabilità basato sugli obblighi di normale diligenza, in virtù del quale l’esportatore e l’importatore di dati dovrebbero rispondere dinnanzi agli interessati per la violazione degli obblighi contrattuali. L’esportatore è inoltre responsabile se non compie sforzi ragionevoli al fine di determinare se l’importatore è in grado di rispettare i suoi obblighi giuridici derivati dalle clausole (culpa in eligendo), avendo l’interessato la possibilità a questo titolo di avviare azioni contro l’esportatore di dati. L’applicazione della lettera b) della clausola I del nuovo insieme di clausole contrattuali tipo riveste particolare importanza al riguardo, soprattutto considerando la possibilità riconosciuta all’esportatore di dati di effettuare verifiche degli impianti dell’importatore di dati o di esigere prove che dimostrino la disponibilità di risorse finanziarie sufficienti per far fronte alle sue responsabilità.
(6)
Quanto all’esercizio dei diritti del terzo beneficiario da parte degli interessati, si prevede un maggior coinvolgimento dell’esportatore di dati nella risoluzione dei reclami degli interessati, essendo l’esportatore di dati obbligato a mettersi in contatto con l’importatore di dati se necessario ad eseguire il contratto entro il termine normale di un mese. Se l’esportatore di dati rifiuta di eseguire il contratto e persiste il mancato rispetto degli obblighi da parte dell’importatore, l’interessato potrà invocare le clausole contro l’importatore di dati ed infine avviare un’azione dinnanzi ai tribunali di uno Stato membro. Questa accettazione della giurisdizione e l’accordo di conformarsi alla decisione di un tribunale o di un’autorità di protezione di dati competenti non reca pregiudizio agli eventuali diritti processuali degli importatori di dati stabiliti in paesi terzi, ad esempio in materia di appello.
(7)
Al fine tuttavia di evitare gli abusi cui potrebbe dare luogo questo regime più flessibile, è opportuno riconoscere alle autorità competenti per la protezione dei dati la facoltà di vietare o sospendere più facilmente i trasferimenti di dati basati sul nuovo insieme di clausole contrattuali tipo quando l’esportatore di dati rifiuti di adottare misure adeguate contro l’importatore di dati per fargli rispettare gli obblighi contrattuali o quest’ultimo rifiuti di collaborare in buona fede con le autorità di controllo competenti in materia di protezione dei dati.
(8)
L’uso di clausole contrattuali tipo sarà fatto mantenendo salva l’applicazione delle disposizioni nazionali adottate in conformità con la direttiva 95/46/CE o con la direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (4), in particolare per quanto riguarda l’invio di comunicazioni commerciali ai cittadini dell’UE.
(9)
Su questa base, le garanzie contenute nelle clausole contrattuali tipo presentate possono essere considerate sufficienti nel senso dell’articolo 26, paragrafo 2, della direttiva 95/46/CE.
(10)
l gruppo per la tutela delle persone con riguardo al trattamento di dati personali, creato dall’articolo 29 della direttiva 95/46/CE, ha emesso un parere (5) sul livello di tutela che offrono le clausole contrattuali tipo qui presentate. Di tale parere si è tenuto debito conto.
(11)
Al fine di valutare le modalità di applicazione degli emendamenti alla decisione 2001/497/CE, è opportuno che la Commissione effettui una valutazione tre anni dopo la loro notifica agli Stati membri.
(12)
La decisione 2001/497/CE deve essere modificata in modo conforme.
(13)
Le misure previste nella presente decisione sono conformi al parere del comitato creato dall’articolo 31 della direttiva 95/46/CE,
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
La decisione 2001/497/CE è modificata come segue:
1)
All’articolo 1 è aggiunto il seguente paragrafo:
«I responsabili del trattamento potranno optare per uno degli insiemi - I o II - contenuti nell’allegato. Tuttavia, non potranno modificare le clausole né combinare singole clausole, né gli insiemi.»
2)
I paragrafi 2 e 3 dell’articolo 4 sono sostituiti dal testo seguente:
«2. Agli effetti del paragrafo 1, quando il responsabile del trattamento affermi l’esistenza di garanzie sufficienti derivate dalle clausole contrattuali tipo contenute nell’insieme II dell’allegato, le autorità competenti in materia di protezione dei dati potranno esercitare i poteri di cui dispongono per proibire o sospendere i flussi di dati in entrambi i seguenti casi:
a)
se l’importatore di dati rifiuta di collaborare in buona fede con le autorità competenti in materia di protezione dei dati o di rispettare gli obblighi che gli incombono chiaramente in virtù del contratto;
b)
se l’esportatore di dati, dopo aver ricevuto una notifica delle autorità competenti in materia di protezione dei dati, rifiuta di adottare misure adeguate contro l’importatore di dati per far rispettare il contratto entro il termine normale di un mese.
Agli effetti del precedente paragrafo, il rifiuto di cooperazione in buona fede o di esecuzione del contratto da parte dell’importatore non comprende i casi in cui tale cooperazione o esecuzione confligga con gli obblighi imposti dalla legislazione nazionale applicabile all’importatore di dati che non vadano al di là dei limiti necessari in una società democratica per la salvaguardia degli interessi elencati al paragrafo 1 dell’articolo 13 della direttiva 95/46/CE, in particolare le sanzioni previste in strumenti nazionali e/o internazionali, gli obblighi di dichiarazione in materia fiscale o in materia di lotta contro il riciclaggio di denaro.
Agli effetti della lettera a) del primo paragrafo, la cooperazione potrà comprendere, in particolare, la messa a disposizione da parte dell’importatore delle sue installazioni per il trattamento di dati a fini di verifica o l’obbligo di conformarsi ai pareri dell’autorità di controllo della protezione di dati nella Comunità.
3. Il divieto o la sospensione ai sensi dei paragrafi 1 e 2 saranno soppressi non appena cesseranno di esistere i motivi del divieto o della sospensione.
4. Quando gli Stati membri adottano misure in conformità con i paragrafi 1, 2 e 3, ne informano immediatamente la Commissione, che trasmette l’informazione agli altri Stati membri.»
3)
All’articolo 5 la prima frase è sostituita dalla seguente:
«La Commissione valuterà le modalità di applicazione della presente decisione sulla base delle informazioni disponibili tre anni dopo la sua notifica e dopo la notifica degli eventuali emendamenti agli Stati membri.».
4)
L’allegato è modificato come segue:
1.
dopo il titolo, viene inserita l’espressione «INSIEME I»;
2.
è inserito il testo contenuto nell’allegato alla presente decisione.
Articolo 2
La presente decisione è applicabile a decorrere dal 1o aprile 2005.
Articolo 3
Gli Stati membri sono destinatari della presente decisione.
Fatto a Bruxelles, il 27 dicembre 2004.