Kommissionens beslutning
af 27. december 2001
om standardkontraktbestemmelser for overførsel af personoplysninger til registerførere etableret i tredjelande i henhold til direktiv 95/46/EF
(meddelt under nummer K(2001) 4540)
(EØS-relevant tekst)
(2002/16/EF)
KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER HAR -
under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(1), særlig artikel 26, stk. 4, og
ud fra følgende betragtninger:
(1) Medlemsstaterne skal i henhold til direktiv 95/46/EF sørge for, at overførsel af personoplysninger til et tredjeland kun finder sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt databeskyttelsesniveau, og hvis den pågældende medlemsstats lovgivning, der er i overensstemmelse med direktivets andre bestemmelser, overholdes forud for overførslen.
(2) Medlemsstaterne kan dog i henhold til artikel 26, stk. 2, i direktiv 95/46/EF og med forbehold af visse garantier give tilladelse til en overførsel eller en type overførsel af personoplysninger til tredjelande, der ikke sikrer et tilstrækkeligt beskyttelsesniveau. Sådanne garantier kan især fremgå af passende kontraktbestemmelser.
(3) Vurderingen af, om databeskyttelsesniveauet er tilstrækkeligt, bør i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en overførsel eller en type overførsel af oplysninger. Den ved direktivet nedsatte Gruppe vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger(2) har udgivet retningslinjer for, hvorledes denne vurdering skal foretages(3).
(4) Standardkontraktbestemmelserne vedrører kun databeskyttelse. Dataeksportøren og dataimportøren kan frit tilføje enhver anden kommerciel bestemmelse, som de anser for at være af betydning for kontrakten, så længe den pågældende bestemmelse ikke er i strid med standardkontraktbestemmelserne.
(5) Denne beslutning berører ikke nationale tilladelser, som medlemsstaterne måtte give i henhold til nationale bestemmelser til gennemførelse af artikel 26, stk. 2, i direktiv 95/46/EF. Denne beslutning har kun den virkning, at medlemsstaterne ikke må nægte at anerkende, at de heri fastsatte kontraktbestemmelser giver tilstrækkelige garantier, og den har således ingen indvirkning på andre kontraktbestemmelser.
(6) Anvendelsesområdet for denne beslutning er begrænset til at fastslå, at standardbestemmelserne som fastsættes kan anvendes af en registeransvarlig, der er etableret i Fællesskabet, med henblik på at frembyde tilstrækkelige garantier i overensstemmelse med artikel 26, stk. 2, i direktiv 95/46/EF for overførsel af personoplysninger til en registerfører etableret i et tredjeland.
(7) Denne beslutning bør opfylde den i artikel 17, stk. 3, i direktiv 95/46/EF omhandlede forpligtelse og berører ikke indholdet i kontrakterne eller de retligt bindende dokumenter udarbejdet i henhold til denne bestemmelse. Nogle af standardkontrakt-bestemmelserne, særlig med hensyn til dataeksportørens pligter, bør imidlertid indsættes for at præcisere hvilke bestemmelser, der kan være omfattet af en kontrakt mellem en registeransvarlig og en registerfører.
(8) Medlemsstaternes tilsynsmyndigheder spiller en central rolle i denne kontraktbaserede mekanisme ved at sikre, at personoplysninger beskyttes på tilstrækkelig vis efter overførslen. I særlige tilfælde, hvor dataeksportører nægter eller ikke er i stand til at instruere dataimportøren behørigt, med overhængende risiko for alvorlig skade for de registrerede til følge, bør standardkontraktbestemmelserne give tilsynsmyndighederne adgang til at foretage inspektion hos dataimportørerne og i givet fald at træffe beslutninger, som er bindende for dataimportørerne. Tilsynsmyndighederne bør have lov til at forbyde eller suspendere en overførsel eller en type overførsel af personoplysninger, der foregår på grundlag af standardkontraktbestemmelserne, når der foreligger særlige tilfælde, hvor det er konstateret, at en overførsel på grundlag af kontraktbestemmelser kan forventes at have en betydelig negativ effekt på de garantier og forpligtelser, hvormed den registrerede sikres en passende beskyttelse.
(9) Kommissionen kan også på et senere tidspunkt overveje, om standard-kontrakt-bestemmelser for overførsel af personoplysninger til registerførere etableret i tredjelande, der ikke frembyder et tilstrækkeligt databeskyttelsesniveau, som fremlægges af erhvervsdrivende organisationer eller andre interesserede parter, frembyder tilstrækkelige garantier i henhold til artikel 26, stk. 2, i direktiv 95/46/EF.
(10) En videregivelse af personoplysninger til en registerfører etableret i et tredjeland er en international overførsel, som er beskyttet i henhold til kapitel IV i direktiv 95/46/EF. Denne beslutning finder derfor ikke anvendelse på overførslen af personoplysninger fra registeransvarlige etableret i Fællesskabet til registeransvarlige etableret uden for Fællesskabets område, som falder ind under anvendelsesområdet for Kommissionens beslutning 2001/497/EF af 15. juni 2001 om standardkontraktbestemmelser for overførsel af personoplysninger til tredjelande i henhold til direktiv 95/46/EF(4).
(11) Standardkontraktbestemmelserne bør fastsætte de tekniske og organisatoriske sikkerhedsforanstaltninger, som sikrer et passende sikkerhedsniveau i forhold til de risici, behandlingen og arten af de oplysninger, der skal beskyttes, indebærer, og som en registerfører etableret i et tredjeland, som ikke frembyder et tilstrækkeligt beskyttelsesniveau, skal iværksætte. Parterne bør i kontrakten fastsætte de tekniske og organisatoriske foranstaltninger, som under hensyn til den gældende databeskyttelses-lovgivning, det aktuelle tekniske niveau og de omkostninger, som er forbundet med deres iværksættelse, er nødvendige for at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang eller enhver anden form for ulovlig behandling.
(12) For at fremme datastrømmen fra Fællesskabet vil det være hensigtsmæssigt, hvis registerførere, som leverer databehandlingstjenester til flere registeransvarlige i Fællesskabet, får tilladelse til at anvende de samme tekniske og organisatoriske sikkerhedsforanstaltninger, uanset hvilken medlemsstat dataoverførslen stammer fra, især i de tilfælde, hvor dataimportøren modtager data til yderligere behandling fra dataeksportørens forskellige foretagender i Fællesskabet, i hvilket tilfælde lovgivningen i den medlemsstat, som er hjemstedsstaten, finder anvendelse.
(13) Det er hensigtsmæssigt at beskrive de minimumsoplysninger, som parterne skal specificere i kontrakten om overførsel. Medlemsstaterne bør bevare retten til nærmere at specificere, hvilke oplysninger parterne skal give. Denne beslutning bør på grundlag af erfaringerne tages op til fornyet overvejelse.
(14) Dataimportøren bør udelukkende behandle de overførte personoplysninger på vegne af dataeksportøren og i overensstemmelse med dennes instrukser og de forpligtelser, der fremgår af standardkontraktbestemmelserne; dataimportøren bør især ikke videregive personoplysninger til tredjemand, medmindre det sker i henhold til visse betingelser. Dataeksportøren bør under hele databehandlingsforløbet instruere dataimportøren om at behandle oplysningerne i overensstemmelse med hans instrukser, den gældende databeskyttelseslovgivning og de forpligtelser, der fremgår af standardkontrakt-bestemmelserne. Overførslen af personoplysninger til registerførere etableret i et tredjeland berører ikke, at databehandling under alle omstændigheder bør være underlagt den gældende databeskyttelseslovgivning.
(15) Standardkontraktbestemmelserne bør ikke alene kunne håndhæves af de foretagender, der er parter i kontrakten, men også af de registrerede, og dette især, når de registrerede lider skade som følge af kontraktbrud.
(16) Den registrerede bør være berettiget til at anlægge sag og i givet fald modtage erstatning fra dataeksportøren, der er registeransvarlig for de overførte personoplysninger. Den registrerede bør undtagelsesvist også være berettiget til at anlægge sag, og i givet fald modtage erstatning fra dataimportøren, i sager rejst i forbindelse med, at dataimportøren overtræder sine forpligtelser i henhold til standardbestemmelse 3, andet afsnit, når dataeksportøren faktisk eller retligt set er ophørt med at eksistere eller er insolvent.
(17) Såfremt der opstår en tvist mellem den registrerede, som påberåber sig tredjemandsløftet, og dataimportøren, der ikke afgøres i mindelighed, bør dataimportøren indvillige i at give den registrerede valget mellem mægling, voldgift eller retssagsbehandling. Om den registrerede har en egentlig valgmulighed, bør afhænge af, i hvilket omfang der er pålidelige og anerkendte mæglingsinstanser og voldgiftsretter til rådighed. Mægling foretaget af databeskyttelsesmyndighederne i den medlemsstat, hvori dataeksportøren er etableret, bør være en mulighed, når de tilbyder dette.
(18) Kontrakten bør være underlagt lovgivningen i den medlemsstat, hvor dataeksportøren er etableret, hvilket giver tredjemand, der er omfattet af et tredjemandsløfte, mulighed for at håndhæve en kontrakt. De registrerede bør, såfremt de ønsker det og det er tilladt i henhold til den nationale lovgivning, kunne lade sig repræsentere af foreninger eller andre organer.
(19) Den udtalelse, som Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet om beskyttelsesniveauet, der opnås ved hjælp af de i bilaget til denne beslutning anførte standardkontraktbestemmelser, er blevet taget i betragtning ved udarbejdelsen af denne beslutning(5).
(20) De i denne beslutning fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 31 i direktiv 95/46/EF -
VEDTAGET FØLGENDE BESLUTNING:
Artikel 1
De i bilaget fastsatte standardkontraktbestemmelser anses for at tilvejebringe passende garantier med hensyn til beskyttelse af privatlivets fred og de grundlæggende rettigheder og frihedsrettigheder for fysiske personer samt for udøvelsen af de dertil knyttede rettigheder i henhold til artikel 26, stk. 2, i direktiv 95/46/EF.
Artikel 2
Denne beslutning vedrører kun tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af de i bilaget fastsatte standardkontraktbestemmelser for overførsel af personoplysninger. Den har ingen indvirkning på anvendelsen af andre nationale bestemmelser til gennemførelse af direktiv 95/46/EF, som vedrører behandling af personoplysninger i medlemsstaterne.
Denne beslutning finder anvendelse ved overførsel af personoplysninger fra registeransvarlige, der er etableret i Fællesskabet, til modtagere, som er etableret uden for Fællesskabets område, og som blot foretager behandling af disse oplysninger.
Artikel 3
I denne beslutning:
a) finder definitionerne i direktiv 95/46/EF anvendelse
b) forstås ved "særlige kategorier af oplysninger" de oplysninger, der er omhandlet i direktivets artikel 8
c) forstås ved "tilsynsmyndighed" den myndighed, der er omhandlet i direktivets artikel 28
d) forstås ved "dataeksportør" den registeransvarlige, der overfører person-oplysningerne
e) forstås ved "dataimportør" den registerfører etableret i et tredjeland, som indvilliger i at modtage personoplysninger fra dataeksportøren med henblik på efter overførslen at foretage behandling på dataeksportørens vegne i overensstemmelse med dennes instrukser og denne beslutning, og som ikke er underlagt et tredjelands system, der sikrer et tilstrækkeligt beskyttelsesniveau
f) forstås ved "den gældende databeskyttelseslovgivning" lovgivningen til beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til beskyttelse af privatlivets fred med hensyn til behandling af personoplysninger, der gælder for en registeransvarlig i den medlemsstat, hvor dataeksportøren er etableret
g) forstås ved "tekniske og organisatoriske sikkerhedsforanstaltninger" de foran-staltninger, der har til formål at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang, især hvor behandlingen omfatter overførsel af oplysninger i et net, samt mod enhver anden form for ulovlig behandling.
Artikel 4
1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelse til at træffe foranstaltninger for at sikre overholdelse af de nationale bestemmelser, der vedtages i overensstemmelse med kapitel II, III, V og VI i direktiv 95/46/EF, gøre brug af deres beføjelser med henblik på at forbyde eller suspendere datastrømmen til tredjelande for at beskytte fysiske personer med hensyn til behandling af deres personoplysninger:
a) når det er fastslået, at den lovgivning, som dataimportøren er underlagt, pålægger dataimportøren krav om at fravige den gældende databeskyttelses-lovgivning i en grad, som er mere vidtgående end de restriktioner, der er nødvendige i et demokratisk samfund som fastsat i artikel 13 i direktiv 95/46/EF, når disse krav kan formodes at have en betydelig negativ virkning på den sikkerhed, der opnås ved hjælp af den gældende databeskyttelseslovgivning og standardkontraktbestemmelserne
b) når en kompetent myndighed har fastslået, at dataimportøren ikke har overholdt kontraktbestemmelserne i bilaget, eller
c) når der er stor sandsynlighed for, at standardkontraktbestemmelserne i bilaget ikke overholdes eller ikke vil blive overholdt, og at en fortsat overførsel vil kunne skabe en overhængende risiko for alvorlig skade for de registrerede.
2. Forbud eller suspendering efter stk. 1 ophæves straks, når grundene til forbuddet eller suspenderingen ikke længere eksisterer.
3. Når medlemsstaterne vedtager foranstaltninger i overensstemmelse med stk. 1 og 2, underretter de straks Kommissionen, som igen underretter de øvrige medlemsstater.
Artikel 5
Kommissionen evaluerer gennemførelsen af denne beslutning på grundlag af alle tilgængelige oplysninger tre år efter, at medlemsstaterne har fået meddelelse om beslutningen. Den fremlægger en rapport om resultaterne til det ved artikel 31 i direktiv 95/46/EF nedsatte udvalg. Rapporten skal indeholde ethvert relevant forhold, der kan påvirke vurderingen af tilstrækkeligheden af de i bilaget fastsatte standardkontraktbestemmelser, og ethvert forhold, hvoraf det fremgår, at beslutningen gennemføres på en diskriminerende måde.
Artikel 6
Denne beslutning finder anvendelse fra den 3. april 2002.
Artikel 7
Denne beslutning er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 27. december 2001.
Komission päätös,
tehty 27 päivänä joulukuuta 2001,
direktiivin 95/46/EY mukaisista mallisopimuslausekkeista henkilötietojen siirtoa varten kolmansiin maihin sijoittautuneille henkilötietojen käsittelijöille
(tiedoksiannettu numerolla K(2001) 4540)
(ETA:n kannalta merkityksellinen teksti)
(2002/16/EY)
EUROOPAN YHTEISÖJEN KOMISSIO, joka
ottaa huomioon Euroopan yhteisön perustamissopimuksen,
ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY(1) ja erityisesti sen 26 artiklan 4 kohdan,
sekä katsoo seuraavaa:
(1) Direktiivin 95/46/EY mukaisesti jäsenvaltioiden on säädettävä, että henkilötietojen siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso ja jos mainitun direktiivin muiden säännösten mukaisia jäsenvaltioiden lakeja noudatetaan ennen siirtoa.
(2) Kuitenkin direktiivin 95/46/EY 26 artiklan 2 kohdassa säädetään, että jäsenvaltiot voivat hyväksyä, tiettyjä takeita noudattaen, henkilötietojen siirron tai siirtojen sarjan sellaisiin kolmansiin maihin, joissa ei taata tietosuojan riittävää tasoa. Nämä takeet voivat perustua erityisesti asianmukaisiin sopimuslausekkeisiin.
(3) Direktiivin 95/46/EY mukaisesti tietosuojan tasoa olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta. Mainitulla direktiivillä perustettu tietosuojatyöryhmä(2) on laatinut suuntaviivat arvioinnin tueksi(3).
(4) Mallisopimuslausekkeet koskevat ainoastaan tietosuojaa. Tietojen viejä ja tietojen tuoja voivat vapaasti sisällyttää sopimukseen muita lausekkeita yritystoimintaan liittyvistä kysymyksistä, joita ne pitävät sopimuksen kannalta olennaisina, kunhan nämä lausekkeet eivät ole ristiriidassa mallisopimuslausekkeiden kanssa.
(5) Tällä päätöksellä ei rajoiteta jäsenvaltioiden mahdollisuutta antaa sellaisten kansallisten säännösten mukaisia kansallisia lupia, joilla direktiivin 95/46/EY 26 artiklan 2 kohta pannaan täytäntöön. Tämän päätöksen ainoa vaikutus on se, että jäsenvaltiot eivät kieltäydy tunnustamasta päätöksessä tarkoitettujen sopimuslausekkeiden tarjoavan riittävät takeet, ja tällä päätöksellä ei näin ollen ole vaikutusta muihin sopimuslausekkeisiin.
(6) Tämän päätöksen soveltamisala rajoittuu lausekkeiden vahvistamiseen, joita yhteisöön sijoittautunut rekisterinpitäjä voi käyttää direktiivin 95/46/EY 26 artiklan 2 kohdan mukaisten riittävien takeiden antamiseen henkilötietojen siirtämiseksi kolmanteen maahan sijoittautuneelle henkilötietojen käsittelijälle.
(7) Tällä päätöksellä olisi pantava täytäntöön direktiivin 95/46/EY 17 artiklan 3 kohdan mukainen velvoite, eikä tämä päätös vaikuta mainitun säännöksen mukaisesti laaditun sopimuksen tai oikeudellisen asiakirjan sisältöön. Kuitenkin jotkut mallisopimuslausekkeet, erityisesti tietojen viejän velvoitteita koskevat, olisi otettava mukaan sen selkeyttämiseksi, minkälaisia määräyksiä voidaan sisällyttää rekisterinpitäjän ja henkilötietojen käsittelijän väliseen sopimukseen.
(8) Tässä sopimusmenettelyssä jäsenvaltioiden valvontaviranomaisilla on keskeinen tehtävä sen varmistamisessa, että henkilötietoja suojataan riittävästi niiden siirron jälkeen. Mallisopimuslausekkeiden ansiosta valvontaviranomaiset voivat tarkastaa tietojen tuojien toimintaa ja tehdä tietojen tuojia velvoittavia päätöksiä niissä poikkeustapauksissa, joissa tietojen viejä kieltäytyy antamasta tietojen tuojalle ohjeita tai ei kykene antamaan niitä, ja on olemassa välitön vaara vakavasta haitasta rekisteröidyille. Jäsenvaltioiden valvontaviranomaisilla on oikeus kieltää tai lykätä mallisopimuslausekkeisiin perustuva tietojen siirto tai siirtojen sarja tietyin edellytyksin niissä poikkeustapauksissa, joissa sopimusperusteisella siirrolla todetaan todennäköisesti olevan merkittävä haitallinen vaikutus noudatettaviin velvollisuuksiin ja rekisteröidylle annettaviin takeisiin riittävästä tietosuojasta.
(9) Komissio voi myös tarkastella tulevaisuudessa tarjoavatko yritysorganisaatioiden tai muiden asianomaisten esittämät mallisopimuslausekkeet, jotka on laadittu niihin kolmansiin maihin, joissa ei taata tietosuojan riittävää tasoa, sijoittautuneille henkilötietojen käsittelijöille suuntautuvaa henkilötietojen siirtoa varten, direktiivin 95/46/EY 26 artiklan 2 kohdan mukaiset riittävät takeet.
(10) Henkilötietojen luovuttaminen yhteisön ulkopuolelle sijoittautuneelle tietojen käsittelijälle on direktiivin 95/46/EY IV luvun nojalla suojattu kansainvälinen siirto. Sen vuoksi tämä päätös ei koske yhteisöön sijoittautuneiden rekisterinpitäjien suorittamia henkilötietojen siirtoja rekisterinpitäjille, jotka ovat sijoittautuneet yhteisön ulkopuolelle, ja jotka kuuluvat direktiivin 95/46/EY mukaisista mallisopimuslausekkeista henkilötietojen kolmansiin maihin siirtoa varten 15 päivänä kesäkuuta 2001 tehdyn komission päätöksen 2001/497/EY(4) soveltamisalaan.
(11) Mallisopimuslausekkeiden olisi sisällettävä tekniset ja organisatoriset turvatoimet, joilla taataan käsittelyyn liittyviä riskejä ja suojattujen tietojen luonnetta vastaava turvallisuuden taso, jota sellaiseen kolmanteen maahan, jossa ei taata riittävää suojaa, sijoittautuneen tietojen käsittelijän on noudatettava. Kun otetaan huomioon sovellettava tietosuojalainsäädäntö, nykyinen tekninen taso ja toimenpiteiden toteuttamiseen liittyvät kustannukset, sopimuspuolten olisi määrättävä sopimuksessa teknisistä ja organisatorisista toimenpiteistä, jotka ovat tarpeen henkilötietojen suojaamiseksi tahattomalta tai luvattomalta tuhoamiselta, tahattomalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietoihin pääsyltä taikka muulta henkilötietojen luvattomalta käsittelytavalta.
(12) Yhteisöstä tehtävien tiedonsiirtojen helpottamiseksi olisi suotavaa, että tietojen käsittelypalveluja useille yhteisön rekisterinpitäjille tarjoavat käsittelijät voivat ottaa käyttöön samat tekniset ja organisatoriset turvatoimet riippumatta siitä, mistä jäsenvaltiosta tietojen siirto on lähtöisin, erityisesti niissä tapauksissa, joissa tietojen tuoja ottaa vastaan tietoja edelleenkäsittelyä varten tietojen viejän eri toimipaikoista yhteisössä, missä tapauksessa nimetyn toimipaikan jäsenvaltion oikeutta olisi sovellettava.
(13) On asianmukaista vahvistaa vähimmäistiedot, jotka sopimuspuolten on mainittava siirtoa koskevassa sopimuksessa. Jäsenvaltioilla olisi oltava edelleen oikeus täsmentää tiedot, jotka sopimuspuolten on toimitettava. Tämän päätöksen soveltamista olisi tarkasteltava uudelleen saadun kokemuksen perusteella.
(14) Tietojen tuojan on käsiteltävä siirrettyjä henkilötietoja ainoastaan tietojen viejän puolesta ja tämän antamien ohjeiden mukaisesti ja lausekkeiden mukaisia velvollisuuksia noudattaen. Tietojen tuoja ei saa luovuttaa henkilötietoja sivullisille, elleivät tietyt edellytykset täyty. Tietojen viejän on kehotettava tietojen tuojaa käsittelemään tietoja käsittelypalvelujen koko keston ajan tietojen viejän antamien ohjeiden mukaisesti, sovellettavan tietosuojalainsäädännön mukaisesti ja lausekkeiden sisältämiä velvollisuuksia noudattaen. Henkilötietojen siirto yhteisön ulkopuolelle sijoittautuneille käsittelijöille ei vaikuta siihen, että käsittelyn on aina kuuluttava sovellettavan tietosuojalainsäädännön piiriin.
(15) Mallisopimuslausekkeiden olisi oltava täytäntöönpanokelpoisia ei ainoastaan sopimuksen sopimuspuolina olevien organisaatioiden vaan myös rekisteröityjen toimesta erityisesti, jos rekisteröidyille aiheutuu vahinkoa sopimusrikkomuksen seurauksena.
(16) Rekisteröidyllä olisi oltava oikeus ryhtyä toimiin ja tarvittaessa saada korvaus tietojen viejältä, joka on siirrettyjen henkilötietojen rekisterinpitäjä. Poikkeustapauksessa rekisteröidyllä olisi oltava myös oikeus ryhtyä toimiin ja tarvittaessa saada korvaus tietojen tuojalta niissä tapauksissa, joissa tietojen tuoja on rikkonut lausekkeen 3 toista kohtaa ja tietojen viejä on tosiasiallisesti hävinnyt tai oikeudellisesti lakannut taikka maksukyvytön.
(17) Jos rekisteröidyn ja tietojen tuojan välillä syntyy riita, jossa rekisteröity vetoaa sivullista suojaavaan edunsaajalausekkeeseen ja jossa ei päästä sovintoratkaisuun, tietojen tuoja hyväksyy, että rekisteröidyllä on mahdollisuus valita sovittelu- tai välimiesmenettely taikka asian riitauttaminen. Se, missä määrin rekisteröidyllä on käytettävissään vaihtoehtoja, on sidoksissa luotettavien ja tunnustettujen sovittelu- ja välimiesmenettelyjen käyttömahdollisuuksiin. Sen jäsenvaltion, johon tietojen viejä on sijoittautunut, tietosuojaviranomaisten järjestämän välimiesmenettelyn olisi oltava yksi vaihtoehto, jos kyseiset viranomaiset tarjoavat tällaista palvelua.
(18) Sopimukseen olisi sovellettava sen jäsenvaltion lakia, johon tietojen viejä on sijoittautunut ja jonka avulla edunsaajana oleva sivullinen voi panna sopimuksen täytäntöön. Rekisteröityjä olisi voitava edustaa yhteenliittymä tai muu elin, jos rekisteröidyt niin haluavat ja jos se on kansallisen lainsäädännön mukaan sallittua.
(19) Direktiivin 95/46/EY 29 artiklalla perustettu tietosuojatyöryhmä on antanut tämän päätöksen liitteenä olevien mallisopimuslausekkeiden antamasta suojan tasosta lausunnon, joka on otettu huomioon tätä päätöstä valmisteltaessa(5).
(20) Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklalla perustetun komitean lausunnon mukaiset,
ON TEHNYT TÄMÄN PÄÄTÖKSEN:
1 artikla
Liitteessä olevien mallisopimuslausekkeiden katsotaan antavan riittävät takeet yksityisyyden ja yksilöiden perusoikeuksien ja -vapauksien suojaamiseksi ja vastaavien oikeuksien toteutumiseksi direktiivin 95/46/EY 26 artiklan 2 kohdassa edellytetyllä tavalla.
2 artikla
Tämä päätös koskee ainoastaan mallisopimuslausekkeiden antaman suojan riittävyyttä liitteen mukaisesti henkilötietojen siirrossa henkilötietojen käsittelijöille. Se ei vaikuta direktiivin 95/46/EY täytäntöön panemiseksi annettujen muiden kansallisten säännösten soveltamiseen, jotka koskevat henkilötietojen käsittelyä jäsenvaltioissa.
Tätä päätöstä sovelletaan yhteisöön sijoittautuneiden rekisterinpitäjien suorittamaan henkilötietojen siirtoon vastaanottajille, jotka ovat sijoittautuneet yhteisön alueen ulkopuolelle ja jotka toimivat ainoastaan käsittelijöinä.
3 artikla
Tässä päätöksessä:
a) sovelletaan direktiivin 95/46/EY määritelmiä;
b) "erityisillä tietoryhmillä" tarkoitetaan direktiivin 95/46/EY 8 artiklassa tarkoitettuja tietoja;
c) "valvontaviranomaisella" tarkoitetaan direktiivin 95/46/EY 28 artiklassa tarkoitettua viranomaista;
d) "tietojen viejällä" tarkoitetaan rekisterinpitäjää, joka siirtää henkilötiedot;
e) "tietojen tuojalla" tarkoitetaan kolmanteen maahan sijoittautunutta henkilötietojen käsittelijää, joka hyväksyy vastaanottavansa tietojen viejältä henkilötietoja, jotka on siirron jälkeen tarkoitus käsitellä tietojen viejän puolesta tämän antamien ohjeiden mukaisesti ja tämän päätöksen mukaisia edellytyksiä noudattaen, ja jota ei koske riittävän suojan takaava kolmannen maan järjestelmä;
f) "sovellettavalla tietosuojalainsäädännöllä" tarkoitetaan lainsäädäntöä, jolla suojataan luonnollisten henkilöiden perusoikeudet ja -vapaudet ja erityisesti heidän oikeutensa yksityisyyteen henkilötietojen käsittelyssä ja jota sovelletaan rekisterinpitäjään siinä jäsenvaltiossa, johon tietojen viejä on sijoittautunut;
g) "teknisillä ja organisatorisilla turvatoimilla" tarkoitetaan toimenpiteitä, joiden tavoitteena on suojata henkilötietoja tahattomalta tai luvattomalta tuhoamiselta, tahattomalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietoihin pääsyltä erityisesti kun tietoja siirretään verkossa käsittelyn yhteydessä, sekä muulta henkilötietojen luvattomalta käsittelytavalta.
4 artikla
1. Jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan kolmansiin maihin suuntautuvien tiedonsiirtojen kieltämiseksi tai lykkäämiseksi suojatakseen yksityishenkilöitä näiden henkilötietojen käsittelyssä, sanotun kuitenkaan rajoittamatta kyseisten viranomaisten toimivaltuuksia toteuttaa toimenpiteitä direktiivin 95/46/EY II, III, V ja VI luvun nojalla annettujen kansallisten säännösten noudattamisen varmistamiseksi, jos
a) todetaan, että tietojen tuojaan sovellettavaan lainsäädäntöön sisältyy sellaisia vaatimuksia poiketa sovellettavasta tietosuojalaista, jonka rajoitukset menevät pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa direktiivin 95/46/EY 13 artiklan mukaan, jos kyseisillä vaatimuksilla on todennäköisesti merkittävä haitallinen vaikutus sovellettavassa tietosuojalaissa ja mallisopimuslausekkeissa annettaviin takeisiin; tai
b) toimivaltainen viranomainen on todennut, ettei tietojen tuoja ole noudattanut liitteessä annettuja sopimuslausekkeita; taikka
c) on hyvin todennäköistä, että liitteessä olevia mallisopimuslausekkeita ei noudateta tai ei tulla noudattamaan ja siirron jatkaminen merkitsisi välitöntä vaaraa vakavan haitan aiheutumisesta rekisteröidyille.
2. Edellä 1 kohdan mukainen kielto tai lykkäys poistetaan heti kun lykkäyksen tai kiellon syyt ovat poistuneet.
3. Toteuttaessaan 1 ja 2 kohdan mukaisia toimenpiteitä jäsenvaltioiden on ilmoitettava siitä viipymättä komissiolle, joka välittää tiedon muille jäsenvaltioille.
5 artikla
Komissio arvioi tämän päätöksen soveltamista käytettävissä olevien tietojen pohjalta kolmen vuoden kuluttua sen tiedoksiantamisesta jäsenvaltioille. Se antaa kertomuksen direktiivin 95/46/EY 31 artiklalla perustetulle komitealle. Kertomus sisältää havainnot, jotka voivat vaikuttaa liitteessä olevien mallisopimuslausekkeiden riittävyyden arviointiin, sekä havainnot tämän päätöksen mahdollisesti syrjivästä soveltamisesta.
6 artikla
Tätä päätöstä sovelletaan 3 päivästä huhtikuuta 2002.
7 artikla
Tämä päätös on osoitettu kaikille jäsenvaltioille.
Tehty Brysselissä 27 päivänä joulukuuta 2001.