Rozhodnutí Komise
ze dne 26. července 2000
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně poskytované podle zásad "bezpečného přístavu" a s tím souvisejících "často kladených otázek" vydaných Ministerstvem obchodu Spojených států
(oznámeno pod číslem K(2000) 2441)
(Text s významem pro EHP)
(2000/520/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1], a zejména na čl. 25 odst. 6 uvedené směrnice,
vzhledem k těmto důvodům:
(1) V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předání osobních údajů do třetí země docházelo pouze, pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud budou před předáním údajů dodržovány právní předpisy členského státu provádějící ostatní ustanovení směrnice.
(2) Komise může dospět ke zjištění, že třetí země zajišťuje odpovídající úroveň ochrany. V tomto případě lze osobní údaje z členských států předávat, aniž by bylo nezbytné poskytnutí dalších záruk.
(3) V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů a s ohledem na dané podmínky. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená zmíněnou směrnicí [2] vydala pokyny k takovým hodnocením [3].
(4) S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající povahy této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářely skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Společenství.
(5) Odpovídající úrovně ochrany při předávání údajů ze Společenství do Spojených států je podle tohoto rozhodnutí dosaženo tehdy, jestliže organizace dodržují zásady "bezpečného přístavu" pro ochranu osobních údajů předávaných z členského státu do Spojených států (dále jen "zásady") a často kladených otázek (Frequently Asked Questions, dále jen "FAQ"), které představují pokyny pro provádění těchto zásad vydaných vládou Spojených států dne 21. července 2000. Organizace dále musí zveřejnit své zásady pro ochranu soukromí a podléhat pravomoci Federální obchodní komise (Federal Trade Commission, FTC) podle článku 5 zákona Federal Trade Commission Act, který zakazuje nekalé nebo klamavé jednání či praktiky v obchodě nebo související s obchodem, nebo jiného na základě zákona vytvořeného orgánu, který účinně zajistí dodržování zásad prováděných v souladu s FAQ.
(6) Oblasti nebo taková zpracování údajů, jež nepodléhají pravomoci žádného z orgánů veřejné správy Spojených států, které jsou vyjmenovány v příloze VII tohoto rozhodnutí, leží mimo oblast působnosti tohoto rozhodnutí.
(7) Pro zajištění řádného uplatňování tohoto rozhodnutí je nezbytné, aby dotčené osoby, jako např. subjekty údajů, vývozci údajů nebo orgány pro ochranu údajů, mohly rozpoznat organizace, které přijaly zásady a FAQ. Za tímto účelem se Ministerstvu obchodu Spojených států nebo jeho zmocněnci ukládá vést a zpřístupnit veřejnosti seznam organizací, které samy osvědčují, že přijaly zásady prováděné v souladu s FAQ, a které podléhají pravomoci alespoň jednoho orgánu veřejné správy uvedeného v příloze VII tohoto rozhodnutí.
(8) V zájmu průhlednosti a proto, aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést v tomto rozhodnutí výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů bez ohledu na zjištění odpovídající úrovně ochrany.
(9) Je možné, že tzv. "bezpečný přístav" vytvořený zásadami a FAQ bude nutno případně přezkoumávat na základě zkušeností, s ohledem na vývoj v oblasti ochrany soukromí za situace, kdy technologie neustále usnadňují předávání a zpracování osobních údajů, a na základě zpráv orgánů pověřených jeho prosazováním.
(10) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená článkem 29 směrnice 95/46/ES vydala stanoviska k úrovni ochrany poskytované zásadami "bezpečného přístavu" ve Spojených státech, ke kterým se přihlédlo při přípravě tohoto rozhodnutí [4].
(11) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného článkem 31 směrnice 95/46/ES.
(12) V souladu s rozhodnutím Rady 1999/468/ES, a zejména jeho článkem 8, přijal Evropský parlament dne 5. července 2000 usnesení A5-0177/2000 k návrhu rozhodnutí Komise o odpovídající ochraně poskytované podle zásad "bezpečného přístavu" a s tím souvisejících "často kladených otázek" (FAQ) předložených Ministerstvem obchodu Spojených států [5]. Komise návrh rozhodnutí znovu prověřila na základě tohoto usnesení a došla k závěru, že přestože Evropský parlament považuje za nutná některá vylepšení zásad "bezpečného přístavu" a souvisejících FAQ předtím, než bude možno vycházet z toho, že zajišťují "odpovídající ochranu", nezjistil, že by Komise přijetím rozhodnutí překročila své pravomoci,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
1. Pro účely čl. 25 odst. 2 směrnice 95/46/ES se pro všechny činnosti spadající do oblasti působnosti zmíněné směrnice má za to, že "zásady bezpečného přístavu" (dále jen "zásady") uvedené v příloze I tohoto rozhodnutí a prováděné podle pokynů obsažených v často kladených otázkách (dále jen "FAQ") vydaných Ministerstvem obchodu Spojených států dne 21. července 2000, jak jsou uvedeny v příloze II tohoto rozhodnutí, zajišťují odpovídající úroveň ochrany osobních údajů předávaných ze Společenství organizacím usazeným ve Spojených státech, s ohledem na následující dokumenty vydané Ministerstvem obchodu Spojených států:
a) přehled mechanismů pro prosazování zásad bezpečného přístavu uvedený v příloze III;
b) memorandum o náhradách škod způsobených porušením soukromí a o výslovném zmocnění podle práva Spojených států uvedené v příloze IV;
c) dopis Federal Trade Commission uvedený v příloze V;
d) dopis Ministerstva dopravy Spojených států uvedený v příloze VI.
2. Při každém předání údajů musí být splněny následující podmínky:
a) organizace přijímající údaje se jednoznačně a veřejně zavázala dodržovat zásady prováděné v souladu s FAQ a
b) tato organizace podléhá zákonným pravomocím orgánu veřejné správy Spojených států, který je uveden v příloze VII tohoto rozhodnutí a který je oprávněn vyšetřovat stížnosti a v případě nedodržení zásad prováděných v souladu s FAQ poskytnout nápravu proti nekalým nebo klamavým praktikám, jakož i náhradu škody fyzickým osobám bez ohledu na zemi bydliště nebo jejich státní příslušnost.
3. Podmínky uvedené v odstavci 2 se považují za splněné každou organizací, která sama osvědčuje, že přijímá zásady prováděné v souladu s FAQ, dnem, kterým tato organizace oznámí Ministerstvu obchodu Spojených států (nebo jeho zmocněnci) veřejné vyhlášení svého závazku uvedeného v odst. 2 písm. a) a název orgánu veřejné správy uvedeného v odst. 2 písm. b).
Článek 2
Toto rozhodnutí se vztahuje výlučně na odpovídající úroveň ochrany zajišťovanou ve Spojených státech podle zásad prováděných v souladu s FAQ s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se uplatňování ostatních ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech, zejména článku 4 zmíněné směrnice.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byla dodržována vnitrostátní ustanovení přijatá k provedení jiných ustanovení směrnice 95/46/ES než článku 25, mohou tyto orgány vykonávat své stávající pravomoci, aby zastavily toky údajů vůči organizaci, která sama osvědčila, že přistoupila k zásadám prováděným v souladu s FAQ s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a) pokud orgán veřejné správy Spojených států uvedený v příloze VII tohoto rozhodnutí nebo nezávislý odvolací orgán ve smyslu písmene a) zásady provádění uvedené v příloze I tohoto rozhodnutí zjistí, že tato organizace porušuje zásady prováděné v souladu s FAQ; nebo
b) pokud je velmi pravděpodobné, že zásady jsou porušovány; pokud se lze důvodně domnívat, že příslušný výkonný orgán včas nepřijal nebo nepřijme přiměřená opatření nezbytná pro vyřešení sporné věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování organizace a poskytly jí možnost zaujmout stanovisko.
Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování zásad prováděných v souladu s FAQ a jakmile jsou o tom informovány dotčené příslušné orgány ve Společenství.
2. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle odstavce 1.
3. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými zajištěním toho, aby byly dodržovány zásady prováděné v souladu s FAQ ve Spojených státech, nejsou dostatečná.
4. Pokud informace shromážděné podle odstavců 1, 2 a 3 prokáží, že kterýkoli subjekt pověřený zajištěním toho, aby byly dodržovány zásady prováděné v souladu s FAQ ve Spojených státech, neplní účinně svou úlohu, uvědomí o tom Komise Ministerstvo obchodu Spojených států, a bude-li třeba, předloží návrh opatření postupem podle článku 31 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho působnost.
Článek 4
1. Toto rozhodnutí lze kdykoli upravit s ohledem na zkušenosti s jeho uplatňováním nebo jestliže úroveň ochrany poskytovaná zásadami a FAQ bude převýšena požadavky kladenými právem Spojených států.
Komise zhodnotí v každém případě provádění tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení členským státům a veškeré významné poznatky sdělí výboru zřízenému článkem 31 směrnice 95/46/ES a zejména sdělí veškeré důkazy, které by mohly mít vliv na hodnocení, prováděné podle článku 1 tohoto rozhodnutí, zda poskytují odpovídající úroveň ochrany ve smyslu článku 25 směrnice 95/46/ES, a veškeré důkazy, že se toto rozhodnutí uplatňuje diskriminačním způsobem.
2. Komise předloží, je-li to nezbytné, návrhy opatření postupem podle článku 31 směrnice 95/46/ES.
Článek 5
Členské státy přijmou veškerá opatření nezbytná pro dosažení souladu s tímto rozhodnutím nejpozději do 90 dnů ode dne jeho oznámení členským státům.
Článek 6
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 26. července 2000.