ROZHODNUTÍ KOMISE
ze dne 27. prosince 2004,
kterým se mění rozhodnutí 2001/497/ES, pokud jde o zavedení alternativního souboru standardních smluvních doložek pro předávání osobních údajů do třetích zemí
(oznámeno pod číslem K(2004) 5271)
(Text s významem pro EHP)
(2004/915/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 26 odst. 4 uvedené směrnice,
vzhledem k těmto důvodům:
(1)
Za účelem usnadnění toků údajů ze Společenství je žádoucí, aby správci údajů byli schopni globálně předávat údaje podle jednotného souboru pravidel ochrany údajů. Neexistují-li normy globální ochrany údajů, poskytují standardní smluvní doložky důležitý nástroj umožňující předávání osobních údajů ze všech členských států podle společného souboru pravidel. Rozhodnutí Komise 2001/497/ES ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES (2) proto stanoví modelový soubor standardních smluvních doložek, který zajišťuje dostatečná ochranná opatření pro předávání údajů do třetích zemí.
(2)
Od přijetí uvedeného rozhodnutí bylo získáno mnoho zkušeností. Navíc koalice podnikatelských asociací (3) předložila soubor alternativních standardních smluvních doložek navržených tak, aby zajišťovaly úroveň ochrany údajů shodnou s úrovní zajišťovanou souborem standardních smluvních doložek stanovených rozhodnutím 2001/497/ES, i když používá odlišné mechanismy.
(3)
Jelikož je používání standardních smluvních doložek pro mezinárodní předávání údajů dobrovolné, neboť standardní smluvní doložky jsou podle směrnice 95/46/ES pouze jednou z několika možností pro zákonné předávání osobních údajů do třetí země, vývozci údajů ve Společenství a dovozci údajů ve třetích zemích by měli mít možnost si svobodně zvolit kterýkoli ze souborů standardních smluvních doložek nebo pro předávání údajů zvolit nějaký jiný právní základ. Jelikož každý soubor jako celek tvoří model, nemělo by však být vývozcům údajů dovoleno tyto soubory měnit, ani je nijak zcela nebo částečně slučovat.
(4)
Standardní smluvní doložky předložené podnikatelskými asociacemi mají za cíl zvýšit používání smluvních doložek ze strany hospodářských subjektů pomocí mechanismů, jako jsou pružnější požadavky na provádění kontrol či podrobnější pravidla pro právo na přístup.
(5)
Mimoto, jako alternativu k systému společné a nerozdílné odpovědnosti podle rozhodnutí 2001/497/ES, obsahuje soubor, který je nyní předkládán, odpovědnostní režim založený na závazcích povinné péče, v němž jsou vývozce údajů a dovozce údajů odpovědni vůči subjektům údajů za vlastní porušení svých smluvních povinností; vývozce údajů je také odpovědný tehdy, pokud nevyvine přiměřené úsilí k tomu, aby určil, že je dovozce údajů schopen dostát svým právním závazkům vyplývajícím z doložek (culpa in eligendo) a subjekt údajů může v této souvislosti věc proti vývozci údajů předložit soudu. Vynucení doložky I písm. b) nového souboru standardních smluvních doložek je v tomto ohledu zvláště důležité, konkrétně ve spojení s možností vývozce údajů provádět kontroly v prostorách dovozců údajů nebo požadovat důkaz o dostatečných finančních zdrojích ke splnění jejich odpovědností.
(6)
Pokud jde o uplatňování práv oprávněné třetí strany ze strany subjektů údajů, je zajištěna větší angažovanost vývozce údajů při řešení stížností subjektů údajů, přičemž vývozce údajů je povinen se spojit s dovozcem údajů a, pokud je to nutné, vynutit splnění smlouvy v průběhu obvyklého období jednoho měsíce. Pokud by vývozce údajů odmítl splnění smlouvy vynutit a porušování smlouvy dovozcem údajů by stále pokračovalo, pak subjekt údajů může vynutit splnění doložek proti dovozci údajů a případně jej žalovat v členském státě. Tímto přijetím soudní příslušnosti a souhlasem dostát rozhodnutí příslušného soudu nebo úřadu pro ochranu údajů nejsou dotčena procesní práva dovozců údajů usazených ve třetích zemích, jako je právo na podání opravných prostředků.
(7)
Aby se však předešlo zneužívání této dodatečné flexibility, je vhodné stanovit, aby úřady pro ochranu údajů mohly snadněji zakázat nebo pozastavit předávání údajů na základě nového souboru standardních smluvních doložek v těch případech, kdy vývozce údajů odmítá přijmout odpovídající opatření k vynucení plnění smluvních závazků ze strany dovozce údajů nebo pokud dovozce údajů odmítá spolupracovat v dobré víře s příslušnými orgány dozoru nad ochranou údajů.
(8)
Standardní smluvní doložky se budou využívat, aniž je dotčeno používání vnitrostátních předpisů přijatých podle směrnice 95/46/ES nebo podle směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (4), zvláště pokud jde o posílání obchodních sdělení pro účely přímého marketingu.
(9)
Na tomto základě mohou být ochranná opatření obsažená v předložených standardních smluvních doložkách považována za dostatečná ve smyslu čl. 26 odst. 2 směrnice 95/46/ES.
(10)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko (5) k úrovni ochrany poskytované podle předložených standardních smluvních doložek, k němuž bylo přihlédnuto.
(11)
V zájmu posouzení uplatňování změn rozhodnutí 2001/497/ES je vhodné, aby je Komise tři roky po jejich oznámení členským státům vyhodnotila.
(12)
Rozhodnutí 2001/497/ES by mělo být odpovídajícím způsobem změněno.
(13)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Rozhodnutí 2001/497/ES se mění takto:
1.
V článku 1 se doplňuje nový odstavec, který zní:
„Správci údajů mohou volit mezi soubory I a II v příloze. Nesmí však měnit doložky ani kombinovat jednotlivé doložky či soubory.“
2.
V článku 4 se odstavce 2 a 3 nahrazují tímto:
„2. Pro účely odstavce 1 jsou příslušné orgány pro ochranu údajů oprávněny, pokud správce údajů stanoví odpovídající ochranná opatření na základě standardních smluvních doložek obsažených v souboru II v příloze, uplatnit svou stávající pravomoc, aby zakázaly nebo pozastavily toky údajů v jednom z následujících případů:
a)
dovozce údajů odmítá spolupracovat v dobré víře s orgány pro ochranu údajů nebo dostát svým jednoznačným závazkům podle smlouvy;
b)
vývozce údajů odmítá přijmout vhodná opatření pro vynucení splnění smlouvy ze strany dovozce údajů v průběhu obvyklého období jednoho měsíce po upozornění vývozce údajů příslušným orgánem pro ochranu údajů.
Pro účely prvního pododstavce nezahrnuje odmítnutí dovozce údajů v rozporu s dobrou vírou nebo odmítnutí dovozce údajů vynutit splnění smlouvy případy, ve kterých by se spolupráce nebo vynucování plnění dostaly do konfliktu se závaznými požadavky vnitrostátních právních předpisů platných pro dovozce údajů, které nepřekračují rámec toho, co je v demokratické společnosti nezbytné na základě jednoho ze zájmů uvedených v čl. 13 odst. 1 směrnice 95/46/ES, přičemž se jedná zejména o sankce stanovené v mezinárodních a/nebo vnitrostátních aktech, požadavků na daňové vykazování nebo požadavků na vykazování v zájmu boje proti praní špinavých peněz.
Pro účely prvního pododstavce bodu a) může spolupráce zahrnovat zejména umožnění kontroly zařízení na zpracování údajů dovozce údajů nebo povinnost řídit se radami orgánu dozoru nad ochranou údajů ve Společenství.
3. Zákaz či pozastavení podle odstavců 1 a 2 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.
4. Jakmile členské státy přijmou opatření podle odstavců 1, 2 a 3, informují neprodleně Komisi, která informace předá ostatním členským státům.“
3.
V článku 5 se první věta nahrazuje tímto:
„Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení a oznámení jeho případných změn členským státům.“
4.
Příloha se mění takto:
1.
Za nadpis se vkládá slovo „SOUBOR I“.
2.
Doplňuje se text uvedený v příloze tohoto rozhodnutí.
Článek 2
Toto rozhodnutí se použije ode dne 1. dubna 2005.
Článek 3
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 27. prosince 2004.
DECISIÓN DE LA COMISIÓN
de 27 de diciembre de 2004
or la que se modifica la Decisión 2001/497/CE en lo relativo a la introducción de un conjunto alternativo de cláusulas contractuales tipo para la transferencia de datos personales a terceros países
[notificada con el número C(2004) 5271]
(Texto pertinente a efectos del EEE)
(2004/915/CE)
LA COMISIÓN DE LAS COMUNIDADES EUROPEAS,
Visto el Tratado constitutivo de la Comunidad Europea,
Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1), y, en particular, el apartado 4 de su artículo 26,
Considerando lo siguiente:
(1)
A fin de facilitar los flujos de datos procedentes de la Comunidad, es conveniente que los responsables del tratamiento estén en condiciones de realizar transferencias de datos a escala mundial ateniéndose a un único conjunto de normas de protección de datos. En ausencia de una normativa internacional en esta materia, las cláusulas contractuales tipo constituyen una herramienta de gran utilidad que permite transferir datos personales desde todos los Estados miembros con arreglo a un conjunto de normas comunes. En este sentido, la Decisión 2001/497/CE de la Comisión, de 15 de junio de 2001, relativa a cláusulas contractuales tipo para la transferencia de datos personales a un tercer país previstas en la Directiva 95/46/CE (2), establece un conjunto de cláusulas contractuales tipo que prevé garantías adecuadas para la transferencia de datos a terceros países.
(2)
Desde la adopción de dicha Decisión se ha adquirido una rica experiencia. Además, un consorcio de asociaciones empresariales (3) ha presentado un conjunto alternativo de cláusulas contractuales tipo, pensado para ofrecer un nivel de protección de datos equivalente al proporcionado por el conjunto de cláusulas adoptado por la Decisión 2001/497/CE, aunque utilizando mecanismos diferentes.
(3)
Dado que el uso de cláusulas contractuales tipo en las transferencias internacionales de datos tiene carácter voluntario (este tipo de cláusulas es sólo una de las distintas posibilidades recogidas en la Directiva 95/46/CE para la transferencia lícita de datos personales a terceros países), los exportadores de datos en la Comunidad y los importadores de datos en terceros países deberían poder optar por cualquiera de los conjuntos de cláusulas contractuales tipo o elegir otro fundamento jurídico para la transferencia de datos. Sin embargo, cada conjunto constituye un todo coherente, por lo que no es recomendable reconocer a los exportadores la posibilidad de modificar total o parcialmente estos conjuntos ni de combinarlos.
(4)
Las cláusulas contractuales tipo propuestas por las asociaciones empresariales tienen por objeto potenciar el uso de cláusulas contractuales entre los operadores, por ejemplo flexibilizando los requisitos en materia de auditoría o precisando las normas que regulan el derecho de acceso.
(5)
Por otra parte, el conjunto que ahora se presenta contiene, como alternativa al sistema de responsabilidad solidaria previsto en la Decisión 2001/497/CE, un régimen de responsabilidad basado en la obligación de diligencia debida, en virtud del cual el exportador y el importador de datos responderían ante los interesados por el incumplimiento de sus obligaciones contractuales respectivas. El exportador es asimismo responsable si no realiza esfuerzos razonables para determinar si el importador es capaz de cumplir las obligaciones jurídicas que le incumben en virtud de las cláusulas (culpa in eligendo), pudiendo el interesado emprender acciones contra el exportador de datos a este respecto. El cumplimiento de la letra b) de la cláusula I del nuevo conjunto de cláusulas contractuales tipo reviste particular importancia a este respecto, sobre todo a la vista de la posibilidad que se reconoce al exportador de datos de efectuar auditorías en las instalaciones del importador de datos o de exigir pruebas que demuestren que dispone de suficientes recursos financieros para cumplir sus responsabilidades.
(6)
En cuanto al ejercicio de los derechos de tercero beneficiario por parte de los interesados, se prevé una mayor intervención del exportador de datos en la resolución de las reclamación de los interesados, estando aquél obligado a ponerse en contacto con el importador de datos y, en su caso, a hacerle cumplir el contrato en el plazo normal de un mes. Si el exportador de datos se niega a esto último y persiste el incumplimiento por parte del importador, el interesado podrá invocar las cláusulas contra el importador de datos y, llegado el caso, demandarlo ante los tribunales de un Estado miembro. Esta aceptación de la jurisdicción y el acuerdo de acatar la decisión de un tribunal o de una autoridad de protección de datos competentes debería entenderse sin perjuicio de cualquier derecho procesal de los importadores de datos establecidos en terceros países, por ejemplo en materia de apelación.
(7)
No obstante, a fin de evitar los abusos a que pudiera dar lugar esta mayor flexibilidad, conviene reconocer a las autoridades de protección de datos la facultad de prohibir o suspender más fácilmente las transferencias de datos basadas en el nuevo conjunto de cláusulas contractuales tipo cuando el exportador de datos rehúse tomar medidas apropiadas contra el importador de datos para hacerle cumplir las obligaciones contractuales o este último se niegue a cooperar de buena fe con las autoridades de control competentes en materia de protección de datos.
(8)
El uso de cláusulas contractuales tipo se hace sin perjuicio de la aplicación de las disposiciones nacionales adoptadas de conformidad con la Directiva 95/46/CE o con la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (4), en especial en lo tocante al envío de comunicaciones comerciales con fines de marketing directo a los ciudadanos de la Unión Europea.
(9)
A la vista de todo lo dicho, las garantías contenidas en las cláusulas contractuales tipo presentadas pueden considerarse suficientes en el sentido del apartado 2 del artículo 26 de la Directiva 95/46/CE.
(10)
El Grupo de protección de las personas en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la Directiva 95/46/CE, ha emitido un dictamen (5) sobre el nivel de protección que ofrecen las cláusulas contractuales tipo que aquí se presentan. Este dictamen se ha tenido en cuenta.
(11)
Con objeto de valorar el funcionamiento de las modificaciones de la Decisión 2001/497/CE, conviene que la Comisión las evalúe tres años después de su notificación a los Estados miembros.
(12)
La Decisión 2001/497/CE debería modificarse en consecuencia.
(13)
Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité establecido de conformidad con el artículo 31 de la Directiva 95/46/CE.
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1
La Decisión 2001/497/CE quedará modificada como sigue:
1)
En el artículo 1 se añadirá el párrafo siguiente:
«Los responsables del tratamiento podrán optar por uno de los conjuntos -I o II- recogidos en el anexo. Sin embargo, no podrán modificar las cláusulas ni combinar elementos de distintas cláusulas ni los conjuntos.»
2)
Los apartados 2 y 3 del artículo 4 se sustituirán por el texto siguiente:
«2. A efectos del apartado 1, cuando el responsable del tratamiento ofrezca garantías suficientes derivadas de las cláusulas contractuales tipo contenidas en el conjunto II del anexo, las autoridades competentes responsables de la protección de datos podrán ejercer sus facultades para prohibir o suspender los flujos de datos en cualquiera de los siguientes casos:
a)
si el importador de datos se niega a cooperar de buena fe con las autoridades responsables de la protección de datos o a cumplir las obligaciones que le incumben claramente en virtud del contrato;
b)
si el exportador de datos se niega a adoptar las medidas necesarias para hacer cumplir el contrato al importador de datos en el plazo normal de un mes a partir del momento en que la autoridad competente responsable de la protección de datos se lo notifique.
A efectos del párrafo anterior, la negativa de mala fe o la negativa a ejecutar el contrato por parte del importador de datos no incluirá los supuestos en que la cooperación o la ejecución entraría en conflicto con las obligaciones impuestas por la legislación nacional aplicable al importador de datos que no vayan más allá de lo que es necesario en una sociedad democrática para la salvaguarda de uno de los intereses enumerados en el apartado 1 del artículo 13 de la Directiva 95/46/CE, por ejemplo las sanciones reconocidas con arreglo a instrumentos nacionales o internacionales o las obligaciones de declaración en materia fiscal o las impuestas por la lucha contra el blanqueo de dinero.
A efectos de la letra a) del primer párrafo, la cooperación podrá concretarse, por ejemplo, en la puesta a disposición por parte del importador de sus instalaciones de tratamiento de datos a efectos de auditoría o en la obligación de seguir los consejos de la autoridad de control en materia de protección de datos en la Comunidad.
3. La prohibición o suspensión con arreglo a los apartados 1 y 2 se levantará tan pronto como desaparezcan las razones para dicha prohibición o suspensión.
4. Cuando los Estados miembros adopten medidas de conformidad con los apartados 1, 2 y 3, informarán inmediatamente a la Comisión, que remitirá la información a los demás Estados miembros.».
3)
En el artículo 5, la primera frase se sustituirá por el texto siguiente:
«La Comisión evaluará el funcionamiento de la presente Decisión basándose en la información disponible tres años después de su notificación y de la notificación de cualquier modificación de la misma a los Estados miembros.».
4)
El anexo quedará modificado como sigue:
1.
Después del título, se insertará la expresión «CONJUNTO I».
2.
Se añadirá el texto establecido en el anexo de la presente Decisión.
Artículo 2
La presente Decisión será aplicable a partir del 1 de abril de 2005.
Artículo 3
Los destinatarios de la presente Decisión serán los Estados miembros.
Hecho en Bruselas, 27 de diciembre de 2004.