Rozhodnutí Komise
ze dne 27. prosince 2001
o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice 95/46/ES
(oznámeno pod číslem K(2001) 4540)
(Text s významem pro EHP)
(2002/16/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1], a zejména na čl. 26 odst. 4 uvedené směrnice,
vzhledem k těmto důvodům:
(1) Podle směrnice 95/46/ES jsou členské státy povinny zajistit, aby se předávání osobních údajů do třetí země mohlo uskutečnit pouze za podmínky, že dotyčná třetí země zaručí odpovídající úroveň ochrany údajů a že před předáváním budou dodrženy právní předpisy členských států, které jsou v souladu s ostatními ustanoveními směrnice.
(2) Čl. 26 odst. 2 směrnice 95/46/ES však stanoví, že členské státy mohou předání nebo předávání osobních údajů do třetích zemí, které nezajišťují odpovídající úroveň ochrany, povolit za předpokladu, že existují určitá ochranná opatření. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek.
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů posuzována s ohledem na veškeré okolnosti doprovázející předání nebo předávání údajů. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů založená podle uvedené směrnice [2] vydala v zájmu usnadnění posuzování pokyny [3].
(4) Standardní smluvní doložky se týkají pouze ochrany údajů. Vývozce údajů a dovozce údajů mohou do smluv libovolně začlenit jakékoli další doložky, které se vztahují k předmětu obchodu, které jsou dle jejich názoru pro účely dané smlouvy vhodné, a to za podmínky, že nejsou v rozporu se standardními smluvními doložkami.
(5) Tímto rozhodnutím by neměla být dotčena vnitrostátních oprávnění, která mohou členské státy udělit v souladu s vnitrostátními právními předpisy, kterými se provádí čl. 26 odst. 2 směrnice 95/46/ES. Toto rozhodnutí pouze požaduje po členských státech, aby neodmítaly uznat smluvní doložky uvedené v tomto rozhodnutí jako dostatečná ochranná opatření, a nemá tudíž žádný vliv na ostatní smluvní doložky.
(6) Oblast působnosti tohoto rozhodnutí je omezena na stanovení toho, že doložky, které uvádí, mohou být použity správcem údajů usazeným ve Společenství, aby bylo možno stanovit odpovídající ochranná opatření ve smyslu čl. 26 odst. 2 směrnice 95/46/ES pro předávání osobních údajů zpracovateli usazenému ve třetí zemi.
(7) Toto rozhodnutí by mělo provádět povinnost uvedenou v čl. 17 odst. 3 směrnice 95/46/ES a není jím dotčen obsah smluv nebo právních aktů vzniklých v souladu s tímto ustanovením. Součástí smluv nebo právních aktů by však měly být některé ze standardních smluvních doložek, zejména ve vztahu k povinnostem vývozce údajů, aby byla zajištěna srozumitelnost ustanovení, která mohou být obsažena ve smlouvě mezi správcem a zpracovatelem.
(8) Orgány dozoru členských států hrají v tomto smluvním mechanizmu klíčovou roli při zajišťování toho, aby osobní údaje byly po předání náležitě chráněny. Ve výjimečných případech, kdy vývozci údajů odmítnou řádně poučit dovozce údajů nebo kdy jej řádně poučit nemohou a kdy subjektům údajů hrozí bezprostřední riziko závažné újmy, by měly standardní smluvní doložky umožňovat orgánům dovozu prověřit dovozce údajů a popřípadě přijmout rozhodnutí, která budou pro dovozce údajů závazná. Orgány dozoru by měly mít pravomoc zakázat nebo pozastavit předání nebo předávání údajů uskutečněné na základě standardních smluvních doložek v takových výjimečných případech, kdy by předávání uskutečněné na smluvním základě mělo pravděpodobně závažný nepříznivý dopad na ochranná opatření a povinnosti vztahující se k zajištění odpovídající ochrany subjektu údajů.
(9) Komise by také mohla v budoucnu zvážit, zda standardní smluvní doložky předkládané obchodními organizacemi nebo jinými zainteresovanými osobami pro předávání osobních údajů zpracovatelům údajů usazeným ve třetích zemích, které neposkytují odpovídající úroveň ochrany údajů, nabízejí dostatečná ochranná opatření v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
(10) Zpřístupnění osobních údajů zpracovateli údajů usazenému mimo Společenství přestavuje mezinárodní předávání chráněné podle kapitoly IV směrnice 95/46/ES. Toto rozhodnutí se proto nevztahuje na předávání osobních údajů správci usazenému ve Společenství správcům usazeným mimo Společenství, kteří spadají do oblasti působnosti rozhodnutí Komise 2001/497/ES ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES [4].
(11) Standardní smluvní doložky by měly stanovit technická a organizační bezpečnostní opatření, která by zajistila úroveň bezpečnosti odpovídající rizikům spojeným se zpracováním a s povahou údajů, jež mají být chráněny, a která musejí být uplatňována zpracovatelem údajů usazeným ve třetí zemi, která neposkytuje dostatečnou ochranu. Strany by měly do smlouvy začlenit ustanovení vztahující se k těmto technickým a organizačním opatřením, která s ohledem na právo rozhodné pro ochranu údajů, na stav techniky a na náklady související s jejich prováděním jsou nezbytná v zájmu ochrany osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem nebo před ostatními protiprávními způsoby zpracování.
(12) V zájmu usnadnění toků údajů směrem ze Společenství je žádoucí, aby zpracovatelům poskytujícím služby zpracování údajů několika správcům údajů ve Společenství bylo dovoleno uplatňovat stejná technická a organizační bezpečnostní opatření bez ohledu na to, ze kterého členského státu je předávání údajů prováděno, zejména v případech, kdy dovozce údajů získává údaje pro další zpracování od různých provozoven vývozce údajů ve Společenství; v takovém případě by mělo být použito právo příslušného členského státu, v němž je vývozce údajů usazen.
(13) Je vhodné stanovit minimální rozsah informací, který musejí strany ve smlouvě o předávání výslovně uvést. Členské státy by si měly ponechat pravomoc upřesnit, jaké informace musejí strany uvést. Uplatňování tohoto rozhodnutí by mělo být přezkoumáno na základě zkušeností.
(14) Dovozce údajů by měl předávané osobní údaje zpracovávat pouze jménem vývozce údajů a v souladu s jeho pokyny a s povinnostmi obsaženými v doložkách. Dovozce údajů by především neměl zpřístupnit osobní údaje třetí straně, pokud to není v souladu s určitými podmínkami. Vývozce údajů by měl dovozce údajů po celou dobu poskytování služeb spojených se zpracováním údajů upozorňovat, že má údaje zpracovávat v souladu s pokyny vývozce údajů, s právem rozhodným pro ochranu údajů a s povinnostmi obsaženými v doložkách. Předávání osobních údajů zpracovateli se sídlem mimo Společenství nijak neovlivňuje skutečnost, že činnosti spojené se zpracováním údajů by se měly v každém případě řídit právem rozhodným pro ochranu údajů.
(15) Standardní smluvní doložky by měly být vynutitelné nejen organizacemi, které jsou stranami smlouvy, ale také subjekty údajů, zejména v případech, kdy subjekty údajů utrpí škodu v důsledku porušení smlouvy.
(16) Subjekt údajů by měl být oprávněn podat žalobu a případně obdržet náhradu škody od vývozce údajů, který je správcem předávaných osobních údajů. Ve výjimečných případech by měl být subjekt údajů oprávněn podat žalobu a případně obdržet náhradu škody od dovozce údajů, pokud došlo k porušení některé z povinností dovozce údajů uvedených v druhém odstavci doložky 3, pokud vývozce údajů fakticky zmizel, z právního hlediska zanikl nebo je v platební neschopnosti.
(17) V případě sporu mezi subjektem údajů, který se dovolává doložky ve prospěch třetí strany, a dovozcem údajů, který není vyřešen smírně, by se měl dovozce údajů zavázat, že nabídne subjektu údajů, aby si zvolil mezi mediací, rozhodčím řízením nebo soudním řízením. Rozsah, v jakém si bude moci subjekt údajů skutečně zvolit způsob řešení, by měl záviset na dostupnosti spolehlivých a uznaných systémů mediace a rozhodčího řízení. Mediace prostřednictvím orgánů dozoru pro ochranu údajů v členském státě, ve kterém je usazen vývozce údajů, by měla být v případě, že je tato služba k dispozici, jednou z možností.
(18) Rozhodné právo smlouvy by mělo být právem členského státu, ve kterém je usazen vývozce údajů, umožňujícím oprávněné třetí straně vynutit splnění smlouvy. Subjekty údajů mohou být zastoupeny sdruženími nebo jinými subjekty, je-li to jejich přání a povoluje-li to vnitrostátní právo.
(19) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko k úrovni ochrany poskytované podle standardních smluvních doložek připojených k tomuto rozhodnutí, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí [5].
(20) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Standardní smluvní doložky uvedené v příloze jsou považovány za dostatečná ochranná opatření s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, jakož i s ohledem na výkon odpovídajících práv v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
Článek 2
Toto rozhodnutí se týká pouze dostatečnosti ochrany zajištěné standardními smluvními doložkami pro předávání osobních údajů zpracovatelům, které jsou uvedeny v příloze. Nevztahuje se na používání ostatních vnitrostátních předpisů, kterými se provádí směrnice 95/46/ES a které souvisejí se zpracováním osobních údajů v členských státech.
Toto rozhodnutí se vztahuje na předávání osobních údajů správci usazenými ve Společenství příjemcům usazeným mimo území Společenství, kteří působí pouze jako zpracovatelé.
Článek 3
Pro účely tohoto rozhodnutí se:
a) použijí definice uvedené ve směrnici 95/46/ES;
b) "zvláštními kategoriemi údajů" rozumějí údaje uvedené v článku 8 uvedené směrnice;
c) "orgánem dozoru" rozumí orgán uvedený v článku 28 uvedené směrnice;
d) "vývozcem údajů" rozumí správce, který předává osobní údaje;
e) "dovozcem údajů" rozumí zpracovatel usazený ve třetí zemi, který se zavazuje přijímat od vývozce údajů osobní údaje určené ke zpracování jménem vývozce údajů po předání v souladu s jeho pokyny a s podmínkami tohoto rozhodnutí a který nepodléhá systému třetí země zajišťující odpovídající ochranu;
f) "právem rozhodným pro ochranu údajů" rozumí právní předpisy ochraňující základní práva a svobody fyzických osob, a zejména jejich právo na soukromí ve vztahu ke zpracování osobních údajů, které se použijí na správce údajů v členském státě, ve kterém je usazen vývozce údajů;
g) "technickými a organizačními bezpečnostními opatřeními" rozumějí opatření zaměřená na ochranu osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem, zejména v případech, kdy v souvislosti se zpracováním dochází k přenosu údajů po síti, a před všemi ostatními protiprávními způsoby zpracování.
Článek 4
1. Aniž jsou dotčeny jejich pravomoci přijmout opatření k zajištění dodržování vnitrostátních předpisů přijatých podle kapitol II, III, V a VI směrnice 95/46/ES, mohou příslušné orgány členských států vykonávat své stávající pravomoci zakázat nebo pozastavit toky údajů směřující do třetích zemí, aby tak chránily jednotlivce v souvislosti se zpracováním jejich osobních údajů v případech, kdy:
a) je zjištěno, že právní předpisy, kterým dovozce údajů podléhá, po něm vyžadují, aby se odchýlil se od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46/ES, a že tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na ochranná opatření poskytovaná právem rozhodným pro ochranu údajů a standardními smluvními doložkami, nebo
b) příslušný orgán zjistil, že dovozce údajů nedodržoval smluvní doložky uvedené v příloze, nebo
c) je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.
2. Zákaz či pozastavení podle odstavce 1 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.
3. Jakmile členské státy přijmou opatření podle odstavců 1 a 2, informují neprodleně Komisi, která informace předá ostatním členským státům.
Článek 5
Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení členským státům. Předloží zprávu o zjištěních výboru zřízenému podle článku 31 směrnice 95/46/ES. Zpráva bude obsahovat veškeré důkazy, které by mohly ovlivnit hodnocení dostatečnosti standardních smluvních doložek uvedených v příloze, jakož i veškeré důkazy o tom, že se toto rozhodnutí uplatňuje diskriminačním způsobem.
Článek 6
Toto rozhodnutí se použije ode dne 3. dubna 2002.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 27. prosince 2001.
Kommissionens beslut
av den 27 december 2001
om standardavtalsklausuler för överföring av personuppgifter till registerförare etablerade i tredje land i enlighet med direktiv 95/46/EG
[delgivet med nr K(2001) 4540]
(Text av betydelse för EES)
(2002/16/EG)
EUROPEISKA GEMENSKAPERNAS KOMMISSION HAR FATTAT DETTA BESLUT
med beaktande av Fördraget om upprättandet av Europeiska gemenskapen,
med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter(1), särskilt artikel 26.4 i detta, och
av följande skäl:
(1) Enligt direktiv 95/46/EG är medlemsstaterna skyldiga att se till att överföring av personuppgifter till tredje land endast får ske om det tredje landet garanterar en adekvat skyddsnivå och om medlemsstaternas lagar, vilka följer direktivets övriga bestämmelser, iakttas före överföringen.
(2) Enligt artikel 26.2 i direktiv 95/46/EG får dock medlemsstaterna, förutsatt att vissa garantier ställs, tillåta en överföring eller en gruppserie överföringar av personuppgifter till länder som inte säkerställer en adekvat skyddsnivå av uppgifter. Sådana garantier kan särskilt framgå av lämpliga avtalsklausuler.
(3) Enligt direktiv 95/46/EG skall bedömningen av skyddsnivån ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp överföringar av personuppgifter. Arbetsgruppen för skydd av enskilda med avseende på behandling av personuppgifter som inrättats genom det direktivet(2) har utfärdat riktlinjer för sådana bedömningar(3).
(4) Standardavtalsklausulerna rör endast uppgiftsskydd. Uppgiftsutföraren och uppgiftsinföraren får ta med sådana andra klausuler om affärsrelaterade frågor som de anser av betydelselämpliga för avtalet, under förutsättning att de så länge som dessa inte strider mot standardavtalsklausulerna.
(5) Beslutet bör inte påverkar de nationella tillstånd som medlemsstaterna kan komma att bevilja i enlighet med nationella bestämmelser om genomförande av artikel 26.2 i direktiv 95/46/EG. Det här beslutet har endast som verkan att medlemsstaterna inte får vägra att erkänna att de angivna avtalsklausulerna som här anges ger tillräckliga garantier och beslutet påverkar således inte andra avtalsklausuler.
(6) Beslutet skall endast fastställa att de angivna klausulerna i bilagan får användas av en registeransvarig etablerad i gemenskapen i syfte att ställa tillräckliga garantier i den mening som avses i artikel 26.2 i direktiv 95/46/EG vid överföringen av personuppgifter till en registerförare etablerad i tredje land.
(7) Beslutet bör fullgöra skyldigheten i artikel 17.3 i direktiv 95/46/EG och påverkar inte innehållet i ett sådant avtal eller en sådan rättsakt som upprättats i enlighet med den bestämmelsen. Några av standardavtalsklausulerna, i synnerhet de om uppgiftsutförarens skyldigheter, bör ingå för att klargöra vilka klausuler som kan tas med i ett avtal mellan en registeransvarig och en registerförare.
(8) Tillsynsmyndigheterna i medlemsstaterna har en nyckelroll i samband med denna avtalsmekanism för att se till att personuppgifter skyddas adekvat efter överföring. I de undantagsfall då uppgiftsutföraren vägrar eller inte kan ge uppgiftsinföraren korrekta instruktioner och det finns en överhängande risk för att de registrerade skadas, bör standardavtalsklausulerna medge tillsynsmyndigheterna rätten att utföra revision hos uppgiftsinförare och i förekommande fall fatta beslut som är bindande uppgiftsinföraren. Tillsynsmyndigheterna bör ha rätt att förbjuda eller avbryta en uppgiftsöverföring eller en serie överföringar som sker enligt standardavtalsklasuler i de undantagsfall där det fastställts att en överföring på avtalsbasis sannolikt har en avsevärt skadlig inverkan på de garantier och åtaganden som skall säkerställa adekvat skydd för den registrerade.
(9) Kommissionen kan senare komma att ta ställning till om standardavtalsklausuler avseende överföring av personuppgifter till registerförare i tredje land där adekvat skydd av personuppgifter saknas, som utarbetas av branschorganisationer eller andra berörda parter, erbjuder tillräckliga garantier i enlighet med artikel 26.2 i direktiv 95/46/EG.
(10) Utlämnande av personuppgifter till en registerförare etablerad utanför gemenskapen är en internationell överföring som skyddas i enlighet med bestämmelserna i kapitel IV i direktiv 95/46/EG. Det här beslutet omfattar inte överföring av personuppgifter från sådana registeransvariga som är etablerade i gemenskapen till sådana registerförare som är etablerade utanför gemenskapen och som inte omfattas av tillämpningsområdet för kommissionens beslut 2001/497/EG av den 15 juni 2001 om standardavtalsklausuler för överföring av personuppgifter till tredje land enligt direktiv 95/46/EG(4).
(11) Standardavtalsklausulerna bör innehålla bestämmelser om de tekniska och organisatoriska säkerhetsåtgärder som en registerförare, som är etablerad i ett tredje land utan adekvat skydd, måste vidta för att garantera en säkerhetsnivå som är anpassad till de risker behandlingen medför och till karaktären hos de uppgifter som skall behandlas. Parterna bör i avtalet ange de tekniska och organisatoriska åtgärder som, med hänsyn tagen till tillämplig uppgiftsskyddslagstiftning, den senaste tekniken och kostnaden för att vidta dem, är erforderliga för att skydda personuppgifter mot oavsiktlig eller olaglig utplåning, oavsiktlig förlust, ändring, otillåtet utlämnande eller otillåten tillgång eller varje annan form av olaglig behandling.
(12) För att underlätta flödet av uppgifter från gemenskapen bör registerförare som förser flera registeransvariga i gemenskapen med uppgiftsbehandlingstjänster tillåtas vidta samma tekniska och organisatoriska säkerhetsåtgärder, oavsett från vilken medlemsstat uppgiftsöverföringen kommer, i synnerhet i sådana fall där uppgiftsinföraren tar emot uppgifter för vidare behandling från flera av uppgiftsutförarens driftsställen i gemenskapen, varvid lagen i den ifrågavarande medlemsstat där driftsstället är beläget skall tillämpas.
(13) Det är lämpligt att fastställa vilka upplysningar parterna minst måste ange i avtalet om överföring. Medlemsstaterna bör ha befogenhet att närmare bestämma vilka upplysningar parterna måste lämna. Tillämpningen av det här beslutet bör ses över med ledning av erfarenheterna.
(14) Uppgiftsinföraren skall behandla överförda personuppgifter endast för uppgiftsutförarens räkning och i enlighet med hans instruktioner och de villkor som anges i klausulerna. I synnerhet bör uppgiftsinföraren inte lämna ut personuppgifterna till tredje man utom i enlighet med vissa villkor. Uppgiftsutföraren bör lämna instruktioner till uppgiftsinföraren under det att uppgiftsbehandlingen pågår om att uppgifterna skall behandlas i enlighet med hans instruktioner, tillämplig uppgiftsskyddslagstiftning och villkoren i klausulerna. Överföring av personuppgifter till registerförare som är etablerade utanför gemenskapen påverkar inte det förhållandet att behandling under alla omständigheter bör ske i enlighet med tillämplig uppgiftsskyddslagstiftning.
(15) Standardavtalsklausulerna måste kunna åberopas inte bara av de organisationer som är parter i avtalet utan även av de registrerade, i synnerhet om de registrerade vållas skada till följd av avtalsbrott.
(16) Den registrerade bör har rätt att väcka talan mot och om så är lämplig få skadestånd från den uppgiftsutförare som är registeransvarig för de personuppgifter som överförts. I undantagsfall bör den registrerade också få väcka talan och, om så är lämpligt, få skadestånd från uppgiftsinföraren, om denne inte fullgjort sina förpliktelser enligt klausul 3 andra stycket, i de fall uppgiftsutföraren har upphört att existera i faktisk eller rättslig mening.
(17) Om en tvist mellan parterna och den registrerade inte kan lösas i godo och den registrerade åberopar klausulen om tredjepartsberättigande, bör datainföraren låta parterna den registrerade får välja mellan medling, skiljeförfarande och att väcka talan vid domstol. För att den registrerade skall ha en faktisk valmöjlighet bör det finnas tillgång till tillförlitliga och erkända system för medling och skiljeförfarandedom. Medling utförd av tillsynsmyndigheten med ansvar för uppgiftsskydd i den medlemsstat där uppgiftsutföraren är etablerad bör vara ett alternativ, i de fall där en sådan tjänst erbjuds.
(18) Den lag som skall tillämpas på avtalet bör vara lagen i det land där uppgiftsutföraren är etablerad, så att en berättigad tredje part skall ha möjlighet att åberopa ett avtal. De registrerade bör ha möjlighet att företrädas av sammanslutningar eller andra organ, om de så önskar och om nationell lag medger det.
(19) Den arbetsgrupp för skydd av enskilda med avseende på behandlingen av personuppgifter som inrättats enligt artikel 29 i direktiv 95/46/EG har avgett ett yttrande om den skyddsnivå som ges av de standardavtalsklausuler som bifogas detta beslut, vilket beaktats vid utarbetandet av detta beslut(5).
(20) Åtgärderna i detta beslut överensstämmer med yttrandet från den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
Artikel 1
De standardavtalsklausuler som anges i bilagan skall anses ge tillräckliga garantier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas samt för utövandet av motsvarande rättigheter, i enlighet med artikel 26.2 i direktiv 95/46/EG.
Artikel 2
Detta beslut skall endast tillgodose att standardavtalsklausulerna i bilagan erbjuder ett tillräckligt skydd för överföring av personuppgifter till registerförare. Det påverkar inte tillämpningen av andra nationella bestämmelser som antagits för genomförande av direktiv 95/46/EG och som rör behandling av personuppgifter inom medlemsstaterna.
Detta beslut skall tillämpas på överföring av personuppgifter från sådana registeransvariga som är etablerade i gemenskapen till sådana mottagare som är etablerade utanför gemenskapens territorium och som endast verkar som registerförare.
Artikel 3
I detta beslut används följande beteckningar med de betydelser som här anges:
a) definitionerna i direktiv 95/46/EG skall följas,
b) särskilda kategorier av uppgifter: de uppgifter som avses i artikel 8 i direktivet,
c) tillsynsmyndighet: de myndigheter som avses i artikel 28 i direktivet,
d) uppgiftsutförare: den registeransvarige som överför personuppgifterna,
e) uppgiftsinförare: den registerförare som är etablerad i ett tredje land och som samtycker till att från uppgiftsutföraren ta emot personuppgifter avsedda för behandling för uppgiftsutförarens räkning efter överföringen, enligt dennes instruktioner och i enlighet med detta beslut, förutsatt att uppgiftsinföraren inte omfattas av ett system i tredje land som garanterar ett adekvat skydd,
f) tillämplig uppgiftsskyddslaglagstiftning: sådan lagstiftning som avser att skydda fysiska personers grundläggande fri- och rättigheter, särskilt deras personliga integritet i samband med behandling av personuppgifter, och som är tillämplig på registeransvariga i den medlemsstat där uppgiftsutföraren är etablerad.
g) tekniska och organisatoriska säkerhetsåtgärder: åtgärder avsedda att skydda personuppgifter mot oavsiktlig eller olaglig utplåning, oavsiktlig förlust, ändring, otillåtet utlämnande eller otillåten tillgång, i synnerhet när behandlingen inbegriper överföring av uppgifter över ett nät, och mot varje annan form av olaglig behandling.
Artikel 4
1. Utan att det påverkar rätten för medlemsstaternas behöriga myndigheter att se till att nationella bestämmelser som antagits i enlighet med bestämmelserna i kapitlen II, III, V och VI i direktiv 95/46/EG följs, får de utöva sina befintliga befogenheter för att förbjuda eller avbryta flöden av uppgifter till tredje land för att skydda enskilda från behandling av personuppgifter om dem i fall där
a) det fastställs att den lag som är tillämplig på uppgiftsinföraren föreskriver att denne skall frångå tillämplig uppgiftsskyddslagstiftning och som går utöver de restriktioner som krävs i ett demokratiskt samhälle enligt artikel 13 i direktiv 95/46/EG, om dessa föreskrifter sannolikt har en avsevärt skadlig inverkan på de garantier som ställs i tillämplig uppgiftsskyddslagstiftning eller i standardavtalsklausulerna, eller
b) en behörig myndighet har fastställt att uppgiftsinföraren inte har följt avtalsklausulerna i bilagan, eller
c) det finns skälig grund att tro att standardavtalsklausulerna i bilagan inte följs eller inte kommer att följas och att fortsatt överföring skulle medföra en överhängande risk för allvarlig skada hos de registrerade.
2. Förbudet eller avbrottet enligt punkt 1 skall upphöra så snart som skälen för förbudet eller avbrottet inte längre föreligger.
3. När medlemsstaterna vidtar åtgärder i enlighet med punkterna 1 och 2 skall de utan dröjsmål underrätta kommissionen, som skall vidarebefordra underrättelsen till de andra medlemsstaterna.
Artikel 5
Kommissionen skall utvärdera genomförandet av detta beslut med ledning av tillgänglig information tre år efter det att det delgetts medlemsstaterna. Den skall lämna en rapport om resultaten till den kommitté som inrättats enligt artikel 31 i direktiv 95/46/EG. Den skall ta med alla omständigheter som kan påverka bedömningen att de bifogade standardavtalsklausulerna ger ett adekvat skydd och alla omständigheter som tyder på att detta beslut tillämpas på ett diskriminerande sätt.
Artikel 6
Detta beslut skall tillämpas från och med den 3 april 2002.
Artikel 7
Detta beslut riktar sig till medlemsstaterna.
Utfärdat i Bryssel den 27 december 2001.