Rozhodnutí Komise
ze dne 27. prosince 2001
o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice 95/46/ES
(oznámeno pod číslem K(2001) 4540)
(Text s významem pro EHP)
(2002/16/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1], a zejména na čl. 26 odst. 4 uvedené směrnice,
vzhledem k těmto důvodům:
(1) Podle směrnice 95/46/ES jsou členské státy povinny zajistit, aby se předávání osobních údajů do třetí země mohlo uskutečnit pouze za podmínky, že dotyčná třetí země zaručí odpovídající úroveň ochrany údajů a že před předáváním budou dodrženy právní předpisy členských států, které jsou v souladu s ostatními ustanoveními směrnice.
(2) Čl. 26 odst. 2 směrnice 95/46/ES však stanoví, že členské státy mohou předání nebo předávání osobních údajů do třetích zemí, které nezajišťují odpovídající úroveň ochrany, povolit za předpokladu, že existují určitá ochranná opatření. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek.
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů posuzována s ohledem na veškeré okolnosti doprovázející předání nebo předávání údajů. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů založená podle uvedené směrnice [2] vydala v zájmu usnadnění posuzování pokyny [3].
(4) Standardní smluvní doložky se týkají pouze ochrany údajů. Vývozce údajů a dovozce údajů mohou do smluv libovolně začlenit jakékoli další doložky, které se vztahují k předmětu obchodu, které jsou dle jejich názoru pro účely dané smlouvy vhodné, a to za podmínky, že nejsou v rozporu se standardními smluvními doložkami.
(5) Tímto rozhodnutím by neměla být dotčena vnitrostátních oprávnění, která mohou členské státy udělit v souladu s vnitrostátními právními předpisy, kterými se provádí čl. 26 odst. 2 směrnice 95/46/ES. Toto rozhodnutí pouze požaduje po členských státech, aby neodmítaly uznat smluvní doložky uvedené v tomto rozhodnutí jako dostatečná ochranná opatření, a nemá tudíž žádný vliv na ostatní smluvní doložky.
(6) Oblast působnosti tohoto rozhodnutí je omezena na stanovení toho, že doložky, které uvádí, mohou být použity správcem údajů usazeným ve Společenství, aby bylo možno stanovit odpovídající ochranná opatření ve smyslu čl. 26 odst. 2 směrnice 95/46/ES pro předávání osobních údajů zpracovateli usazenému ve třetí zemi.
(7) Toto rozhodnutí by mělo provádět povinnost uvedenou v čl. 17 odst. 3 směrnice 95/46/ES a není jím dotčen obsah smluv nebo právních aktů vzniklých v souladu s tímto ustanovením. Součástí smluv nebo právních aktů by však měly být některé ze standardních smluvních doložek, zejména ve vztahu k povinnostem vývozce údajů, aby byla zajištěna srozumitelnost ustanovení, která mohou být obsažena ve smlouvě mezi správcem a zpracovatelem.
(8) Orgány dozoru členských států hrají v tomto smluvním mechanizmu klíčovou roli při zajišťování toho, aby osobní údaje byly po předání náležitě chráněny. Ve výjimečných případech, kdy vývozci údajů odmítnou řádně poučit dovozce údajů nebo kdy jej řádně poučit nemohou a kdy subjektům údajů hrozí bezprostřední riziko závažné újmy, by měly standardní smluvní doložky umožňovat orgánům dovozu prověřit dovozce údajů a popřípadě přijmout rozhodnutí, která budou pro dovozce údajů závazná. Orgány dozoru by měly mít pravomoc zakázat nebo pozastavit předání nebo předávání údajů uskutečněné na základě standardních smluvních doložek v takových výjimečných případech, kdy by předávání uskutečněné na smluvním základě mělo pravděpodobně závažný nepříznivý dopad na ochranná opatření a povinnosti vztahující se k zajištění odpovídající ochrany subjektu údajů.
(9) Komise by také mohla v budoucnu zvážit, zda standardní smluvní doložky předkládané obchodními organizacemi nebo jinými zainteresovanými osobami pro předávání osobních údajů zpracovatelům údajů usazeným ve třetích zemích, které neposkytují odpovídající úroveň ochrany údajů, nabízejí dostatečná ochranná opatření v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
(10) Zpřístupnění osobních údajů zpracovateli údajů usazenému mimo Společenství přestavuje mezinárodní předávání chráněné podle kapitoly IV směrnice 95/46/ES. Toto rozhodnutí se proto nevztahuje na předávání osobních údajů správci usazenému ve Společenství správcům usazeným mimo Společenství, kteří spadají do oblasti působnosti rozhodnutí Komise 2001/497/ES ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES [4].
(11) Standardní smluvní doložky by měly stanovit technická a organizační bezpečnostní opatření, která by zajistila úroveň bezpečnosti odpovídající rizikům spojeným se zpracováním a s povahou údajů, jež mají být chráněny, a která musejí být uplatňována zpracovatelem údajů usazeným ve třetí zemi, která neposkytuje dostatečnou ochranu. Strany by měly do smlouvy začlenit ustanovení vztahující se k těmto technickým a organizačním opatřením, která s ohledem na právo rozhodné pro ochranu údajů, na stav techniky a na náklady související s jejich prováděním jsou nezbytná v zájmu ochrany osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem nebo před ostatními protiprávními způsoby zpracování.
(12) V zájmu usnadnění toků údajů směrem ze Společenství je žádoucí, aby zpracovatelům poskytujícím služby zpracování údajů několika správcům údajů ve Společenství bylo dovoleno uplatňovat stejná technická a organizační bezpečnostní opatření bez ohledu na to, ze kterého členského státu je předávání údajů prováděno, zejména v případech, kdy dovozce údajů získává údaje pro další zpracování od různých provozoven vývozce údajů ve Společenství; v takovém případě by mělo být použito právo příslušného členského státu, v němž je vývozce údajů usazen.
(13) Je vhodné stanovit minimální rozsah informací, který musejí strany ve smlouvě o předávání výslovně uvést. Členské státy by si měly ponechat pravomoc upřesnit, jaké informace musejí strany uvést. Uplatňování tohoto rozhodnutí by mělo být přezkoumáno na základě zkušeností.
(14) Dovozce údajů by měl předávané osobní údaje zpracovávat pouze jménem vývozce údajů a v souladu s jeho pokyny a s povinnostmi obsaženými v doložkách. Dovozce údajů by především neměl zpřístupnit osobní údaje třetí straně, pokud to není v souladu s určitými podmínkami. Vývozce údajů by měl dovozce údajů po celou dobu poskytování služeb spojených se zpracováním údajů upozorňovat, že má údaje zpracovávat v souladu s pokyny vývozce údajů, s právem rozhodným pro ochranu údajů a s povinnostmi obsaženými v doložkách. Předávání osobních údajů zpracovateli se sídlem mimo Společenství nijak neovlivňuje skutečnost, že činnosti spojené se zpracováním údajů by se měly v každém případě řídit právem rozhodným pro ochranu údajů.
(15) Standardní smluvní doložky by měly být vynutitelné nejen organizacemi, které jsou stranami smlouvy, ale také subjekty údajů, zejména v případech, kdy subjekty údajů utrpí škodu v důsledku porušení smlouvy.
(16) Subjekt údajů by měl být oprávněn podat žalobu a případně obdržet náhradu škody od vývozce údajů, který je správcem předávaných osobních údajů. Ve výjimečných případech by měl být subjekt údajů oprávněn podat žalobu a případně obdržet náhradu škody od dovozce údajů, pokud došlo k porušení některé z povinností dovozce údajů uvedených v druhém odstavci doložky 3, pokud vývozce údajů fakticky zmizel, z právního hlediska zanikl nebo je v platební neschopnosti.
(17) V případě sporu mezi subjektem údajů, který se dovolává doložky ve prospěch třetí strany, a dovozcem údajů, který není vyřešen smírně, by se měl dovozce údajů zavázat, že nabídne subjektu údajů, aby si zvolil mezi mediací, rozhodčím řízením nebo soudním řízením. Rozsah, v jakém si bude moci subjekt údajů skutečně zvolit způsob řešení, by měl záviset na dostupnosti spolehlivých a uznaných systémů mediace a rozhodčího řízení. Mediace prostřednictvím orgánů dozoru pro ochranu údajů v členském státě, ve kterém je usazen vývozce údajů, by měla být v případě, že je tato služba k dispozici, jednou z možností.
(18) Rozhodné právo smlouvy by mělo být právem členského státu, ve kterém je usazen vývozce údajů, umožňujícím oprávněné třetí straně vynutit splnění smlouvy. Subjekty údajů mohou být zastoupeny sdruženími nebo jinými subjekty, je-li to jejich přání a povoluje-li to vnitrostátní právo.
(19) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko k úrovni ochrany poskytované podle standardních smluvních doložek připojených k tomuto rozhodnutí, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí [5].
(20) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Standardní smluvní doložky uvedené v příloze jsou považovány za dostatečná ochranná opatření s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, jakož i s ohledem na výkon odpovídajících práv v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
Článek 2
Toto rozhodnutí se týká pouze dostatečnosti ochrany zajištěné standardními smluvními doložkami pro předávání osobních údajů zpracovatelům, které jsou uvedeny v příloze. Nevztahuje se na používání ostatních vnitrostátních předpisů, kterými se provádí směrnice 95/46/ES a které souvisejí se zpracováním osobních údajů v členských státech.
Toto rozhodnutí se vztahuje na předávání osobních údajů správci usazenými ve Společenství příjemcům usazeným mimo území Společenství, kteří působí pouze jako zpracovatelé.
Článek 3
Pro účely tohoto rozhodnutí se:
a) použijí definice uvedené ve směrnici 95/46/ES;
b) "zvláštními kategoriemi údajů" rozumějí údaje uvedené v článku 8 uvedené směrnice;
c) "orgánem dozoru" rozumí orgán uvedený v článku 28 uvedené směrnice;
d) "vývozcem údajů" rozumí správce, který předává osobní údaje;
e) "dovozcem údajů" rozumí zpracovatel usazený ve třetí zemi, který se zavazuje přijímat od vývozce údajů osobní údaje určené ke zpracování jménem vývozce údajů po předání v souladu s jeho pokyny a s podmínkami tohoto rozhodnutí a který nepodléhá systému třetí země zajišťující odpovídající ochranu;
f) "právem rozhodným pro ochranu údajů" rozumí právní předpisy ochraňující základní práva a svobody fyzických osob, a zejména jejich právo na soukromí ve vztahu ke zpracování osobních údajů, které se použijí na správce údajů v členském státě, ve kterém je usazen vývozce údajů;
g) "technickými a organizačními bezpečnostními opatřeními" rozumějí opatření zaměřená na ochranu osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem, zejména v případech, kdy v souvislosti se zpracováním dochází k přenosu údajů po síti, a před všemi ostatními protiprávními způsoby zpracování.
Článek 4
1. Aniž jsou dotčeny jejich pravomoci přijmout opatření k zajištění dodržování vnitrostátních předpisů přijatých podle kapitol II, III, V a VI směrnice 95/46/ES, mohou příslušné orgány členských států vykonávat své stávající pravomoci zakázat nebo pozastavit toky údajů směřující do třetích zemí, aby tak chránily jednotlivce v souvislosti se zpracováním jejich osobních údajů v případech, kdy:
a) je zjištěno, že právní předpisy, kterým dovozce údajů podléhá, po něm vyžadují, aby se odchýlil se od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46/ES, a že tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na ochranná opatření poskytovaná právem rozhodným pro ochranu údajů a standardními smluvními doložkami, nebo
b) příslušný orgán zjistil, že dovozce údajů nedodržoval smluvní doložky uvedené v příloze, nebo
c) je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.
2. Zákaz či pozastavení podle odstavce 1 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.
3. Jakmile členské státy přijmou opatření podle odstavců 1 a 2, informují neprodleně Komisi, která informace předá ostatním členským státům.
Článek 5
Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení členským státům. Předloží zprávu o zjištěních výboru zřízenému podle článku 31 směrnice 95/46/ES. Zpráva bude obsahovat veškeré důkazy, které by mohly ovlivnit hodnocení dostatečnosti standardních smluvních doložek uvedených v příloze, jakož i veškeré důkazy o tom, že se toto rozhodnutí uplatňuje diskriminačním způsobem.
Článek 6
Toto rozhodnutí se použije ode dne 3. dubna 2002.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 27. prosince 2001.
Decisión de la Comisión
de 27 de diciembre de 2001
relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, de conformidad con la Directiva 95/46/CE
[notificada con el número C(2001) 4540]
(Texto pertinente a efectos del EEE)
(2002/16/CE)
LA COMISIÓN DE LAS COMUNIDADES EUROPEAS,
Visto el Tratado constitutivo de la Comunidad Europea,
Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos(1), y, en particular, el apartado 4 de su artículo 26,
Considerando lo siguiente:
(1) Con arreglo a la Directiva 95/46/CE, los Estados miembros dispondrán que la transferencia a un tercer país de datos personales únicamente pueda efectuarse cuando el tercer país de que se trate garantice un nivel de protección de datos adecuado y las disposiciones de Derecho nacional de los Estados miembros, adoptadas con arreglo a los demás preceptos de la presente Directiva, se cumplan con anterioridad a la transferencia.
(2) No obstante, el apartado 2 del artículo 26 de la Directiva 95/46/CE establece que los Estados miembros podrán autorizar, con sujeción a determinadas garantías, una transferencia o una serie de transferencias de datos personales a terceros países que no garanticen un nivel de protección adecuado. Dichas garantías podrán derivarse, en particular, de cláusulas contractuales apropiadas.
(3) De conformidad con la Directiva 95/46/CE, el nivel de protección de los datos debe apreciarse teniendo en cuenta todas las circunstancias relacionadas con la transferencia o la serie de transferencias. El Grupo de trabajo de protección de las personas en lo que respecta al tratamiento de datos personales creado por dicha Directiva(2) ha emitido directrices que ayudan a realizar la evaluación(3).
(4) Las cláusulas contractuales tipo solamente están relacionadas con la protección de datos. El exportador de datos y el importador de datos tienen plena libertad para incluir cualquier otra cláusula sobre cuestiones relacionadas con sus negocios que consideren pertinentes para el contrato, siempre que no contradiga las cláusulas contractuales tipo.
(5) La presente Decisión debe entenderse sin perjuicio de las autorizaciones nacionales que puedan conceder los Estados miembros de conformidad con las disposiciones nacionales de aplicación del apartado 2 del artículo 26 de la Directiva 95/46/CE. La presente Decisión tendrá como efecto únicamente exigir a los Estados miembros que no se nieguen a reconocer que las cláusulas contractuales establecidas en ella proporcionan las garantías adecuadas, por lo que no afectará de ninguna manera a otras cláusulas contractuales.
(6) El ámbito de la presente Decisión se limita a establecer que las cláusulas que contiene pueden ser utilizadas por un responsable del tratamiento de datos establecido en la Comunidad para ofrecer garantías suficientes a efectos del apartado 2 del artículo 26 de la Directiva 95/46/CE para la transferencia de datos personales a un encargado del tratamiento establecido en un tercer país.
(7) La presente Decisión debe aplicar la obligación impuesta en el apartado 3 del artículo 17 de la Directiva 95/46/CE, sin perjuicio del contenido de contratos o actos jurídicos establecidos con arreglo a dicha disposición. Sin embargo, algunas de las cláusulas contractuales tipo, en particular las relativas a las obligaciones del exportador de datos, deberían incluirse para aumentar la claridad de las cláusulas que se inserten en los contratos entre responsables y encargados del tratamiento.
(8) Las autoridades de control desempeñan una función esencial en este mecanismo contractual al garantizar la adecuada protección de los datos personales una vez realizada la transferencia. En casos excepcionales en que los exportadores de los datos no quieran o no puedan informar adecuadamente a los importadores de los datos y exista un riesgo inminente de que los interesados sufran un daño grave, las cláusulas contractuales tipo permitirán a las autoridades de control realizar la auditoría de los importadores de los datos y, en su caso, adoptar decisiones vinculantes para éstos. Las autoridades de control de los Estados miembros tendrán la facultad de prohibir o suspender una transferencia o serie de transferencias que se fundamenten en las cláusulas contractuales tipo, en aquellos casos excepcionales en que se demuestre que una transferencia de este género podría tener efectos negativos considerables en las garantías y obligaciones de prestar la adecuada protección al interesado.
(9) La Comisión Europea considerará asimismo en el futuro si las cláusulas contractuales tipo remitidas por las organizaciones empresariales u otras partes interesadas, referidas a las transferencias de datos destinadas a los encargados del tratamiento establecidos en terceros países que no ofrecen un nivel adecuado de protección, ofrecen garantías adecuadas de conformidad con el apartado 2 del artículo 26 de la Directiva 95/46/CE.
(10) La divulgación de datos personales a los encargados del tratamiento establecidos fuera de la Comunidad es una transferencia internacional protegida por el capítulo IV de la Directiva 95/46/CE. Por consiguiente, la presente Decisión no abarca las transferencias de datos personales realizadas por los responsables del tratamiento establecidos en la Comunidad a los responsables del tratamiento establecidos fuera de la Comunidad comprendidas en el ámbito de aplicación de la Decisión 2001/497/CE, de 15 de junio de 2001, relativa a cláusulas contractuales tipo para la transferencia de datos personales a un tercer país previstas en la Directiva 95/46/CE(4).
(11) Las cláusulas contractuales tipo deben estipular las medidas de seguridad técnicas y organizativas necesarias, que han de aplicar los encargados del tratamiento establecidos en un tercer país que no ofrece la protección adecuada, con el fin de garantizar el nivel de seguridad apropiado para los riesgos que entraña el tratamiento y a la naturaleza de los datos que han de protegerse. Las partes estipularán en el contrato aquellas medidas de seguridad técnicas y organizativas que, habida cuenta de la legislación sobre protección de datos aplicable, el estado de la técnica y el coste de su aplicación, resulten necesarias para proteger los datos personales contra su destrucción accidental o ilícita o su pérdida accidental, alteración, divulgación o acceso no autorizados o cualquier otra forma ilícita de tratamiento.
(12) Con el fin de facilitar los flujos de datos procedentes de la Comunidad, es deseable que quienes prestan servicios de tratamiento a varios responsables del tratamiento en la Comunidad puedan aplicar las mismas medidas de seguridad técnicas y organizativas, independientemente del Estado miembro del que emane la transferencia, especialmente en aquellos casos en que el importador reciba datos para efectuar nuevos tratamientos desde distintos establecimientos del exportador de datos situados en la Comunidad, en cuyo caso será aplicable la legislación del Estado miembro de establecimiento designado.
(13) Resulta oportuno establecer los detalles mínimos que deberán especificar las partes en el contrato sobre la transferencia. Los Estados miembros deben conservar la capacidad de adaptar la información exigida a las partes. El funcionamiento de la presente Decisión será revisado a la luz de la experiencia adquirida.
(14) El importador de datos tratará los datos personales transferidos sólo en nombre del exportador de datos y de conformidad con las instrucciones que reciba y las obligaciones impuestas en las cláusulas. En particular, el importador de datos no revelará los datos personales a terceros salvo en determinadas circunstancias. El exportador de datos dará instrucciones al importador de datos durante la prestación de los servicios de tratamiento de los datos para que se lleve a cabo de conformidad con sus instrucciones, la legislación vigente de protección de datos y las obligaciones impuestas en las cláusulas. La transferencia de datos personales a los encargados del tratamiento establecidos fuera de la Comunidad se hará sin perjuicio de que las actividades de tratamiento se rijan en cualquier caso por la legislación de protección de datos aplicable.
(15) Las cláusulas contractuales tipo deben ser exigibles no solamente por las organizaciones que sean parte en el contrato, sino también por los interesados, en particular cuando éstos sufran un daño como consecuencia del incumplimiento del contrato.
(16) El interesado tendrá derecho a emprender acciones y, en su caso, percibir una indemnización del exportador de datos que sea el responsable del tratamiento de los datos personales transferidos. Excepcionalmente, también tendrá derecho a emprender una acción y, en su caso, percibir una indemnización del importador de datos en aquellos casos, surgidos del incumplimiento por el importador de datos de cualquiera de sus obligaciones mencionadas en el apartado 2 de la cláusula 3, en que el exportador de datos haya desaparecido de facto, haya cesado de existir jurídicamente o sea insolvente.
(17) En caso de conflicto que no se resuelva de manera amistosa entre el interesado, que invoca la cláusula de tercero beneficiario, y el importador de datos, éste aceptará ofrecer al interesado la elección entre mediación, arbitraje o procedimiento judicial. La amplitud de elección real del interesado dependerá de la disponibilidad de sistemas fiables y reconocidos de mediación y arbitraje. La mediación por parte de las autoridades de control de los Estados miembros debe constituir una opción posible, en caso de que éstas presten tal servicio.
(18) El contrato se regirá por la legislación del Estado miembro de establecimiento del exportador de datos que permita al tercero beneficiario exigir el cumplimiento de un contrato. Los interesados podrán ser representados por asociaciones u otros organismos si así lo desean y lo permite la legislación interna.
(19) El Grupo de trabajo de protección de las personas en lo que respecta al tratamiento de datos personales, creado por el artículo 29 de la Directiva 95/46/CE, ha emitido un dictamen sobre el nivel de protección que ofrecen las cláusulas contractuales tipo incluidas en el anexo, dictamen que se ha tenido en cuenta para la preparación de la presente Decisión(5).
(20) Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité previsto en el artículo 31 de la Directiva 95/46/CE.
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1
Se considera que las cláusulas contractuales tipo incluidas en el anexo ofrecen las garantías adecuadas con respecto a la protección de la vida privada y de los derechos y libertades fundamentales de las personas, así como respecto al ejercicio de los correspondientes derechos, según exige el apartado 2 del artículo 26 de la Directiva 95/46/CE.
Artículo 2
La presente Decisión aborda únicamente la adecuación de la protección otorgada por las cláusulas contractuales tipo establecidas en el anexo para la transferencia de datos personales a los encargados del tratamiento. No afecta a la aplicación de otras disposiciones nacionales por las que se aplique la Directiva 95/46/CE, relacionadas con el tratamiento de datos personales en los Estados miembros.
La presente Decisión no se aplica a la transferencia de datos personales por responsables del tratamiento establecidos en la Comunidad a destinatarios establecidos fuera del territorio comunitario que actúen solamente como encargados del tratamiento.
Artículo 3
A efectos de la presente Decisión:
a) serán aplicables las definiciones contenidas en la Directiva 95/46/CE;
b) se entenderá por "categorías especiales de datos" los datos contemplados en el artículo 8 de dicha Directiva;
c) se entenderá por "autoridad de control" la autoridad contemplada en el artículo 28 de dicha Directiva;
d) se entenderá por "exportador de datos" el responsable del tratamiento que transfiera los datos personales;
e) se entenderá por "importador de datos" el encargado del tratamiento establecido en un tercer país que convenga en recibir del exportador de datos personales para su posterior tratamiento en nombre de éste, de conformidad con sus instrucciones y los términos de la presente Decisión, y que no esté sujeto al sistema de un tercer país por el que se garantice la protección adecuada;
f) se entenderá por "legislación de protección de datos aplicable" la legislación que protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la vida privada respecto del tratamiento de los datos personales, aplicable al responsable del tratamiento en el Estado miembro en que está establecido el exportador de datos;
g) se entenderá por "medidas de seguridad técnicas y organizativas" las destinadas a proteger los datos personales contra su destrucción accidental o ilícita o su pérdida accidental, su alteración, divulgación o acceso no autorizados, especialmente cuando el tratamiento suponga la transmisión de los datos por redes, o cualquier otra forma ilícita de tratamiento.
Artículo 4
1. Las autoridades competentes de los Estados miembros, sin perjuicio de su facultad para iniciar acciones destinadas a garantizar el cumplimiento de las disposiciones Derecho nacional adoptadas con arreglo a los capítulos II, III, V y VI de la Directiva 95/46/CE, podrán ejercer sus facultades para prohibir o suspender los flujos de datos hacia terceros países con objeto de proteger a las personas físicas en relación con el tratamiento de sus datos personales en los casos siguientes:
a) si se determina que la legislación a la que está sujeto el importador de datos le impone desviaciones de la legislación de protección de datos aplicable que vayan más allá de las restricciones necesarias en una sociedad democrática, como establece el artículo 13 de la Directiva 95/46/CE, cuando tales exigencias puedan tener un importante efecto negativo sobre las garantías proporcionadas por las cláusulas contractuales tipo;
b) si una autoridad competente decide que el importador de datos no ha respetado las cláusulas contractuales del anexo, o
c) si existe la probabilidad sustancial de que las cláusulas contractuales tipo contenidas en el anexo no se estén respetando, o no se respeten en el futuro, y la continuación de la transferencia provoque un riesgo inminente de daños graves para los interesados.
2. La prohibición o suspensión con arreglo al apartado 1 se levantará tan pronto como desaparezcan las razones para dicha prohibición o suspensión.
3. Cuando los Estados miembros adopten medidas de conformidad con los apartados 1 y 2, informarán inmediatamente de ello a la Comisión, que remitirá la información a los demás Estados miembros.
Artículo 5
La Comisión evaluará el funcionamiento de la presente Decisión basándose en la información disponible tres años después de su notificación a los Estados miembros. Informará de los resultados al Comité creado en virtud del artículo 31 de la Directiva 95/46/CE. Incluirá cualquier prueba que pudiera afectar a la evaluación relativa a la adecuación de las cláusulas contractuales tipo y cualquier prueba de que la presente Decisión se esté aplicando de manera discriminatoria.
Artículo 6
La presente Decisión será aplicable a partir del 3 de abril de 2002.
Artículo 7
Los destinatarios de la presente Decisión serán los Estados miembros.
Hecho en Bruselas, el 27 de diciembre de 2001.