KOMMISSIONENS BESLUTNING
af 27. december 2004
om ændring af beslutning 2001/497/EF for at indføre en alternativ standardkontrakt om overførsel af personoplysninger til tredjelande
(meddelt under nummer K(2004) 5271)
(EØS-relevant tekst)
(2004/915/EF)
KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER HAR -
under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 26, stk. 4, og
ud fra følgende betragtninger:
(1)
For at gøre det nemmere at overføre data fra Fællesskabet bør de registeransvarlige være i stand til at foretage internationale dataoverførsler i henhold til et enkelt sæt databeskyttelsesregler. I mangel af sådanne internationalt vedtagne databeskyttelsesregler er standardkontraktbestemmelser imidlertid en god løsning for at overføre personoplysninger fra alle medlemsstater i henhold til et fælles regelsæt. Kommissionens beslutning 2001/497/EF af 15. juni 2001 om standardkontraktbestemmelser for overførsel af personoplysninger til tredjelande i henhold til direktiv 95/46/EF (2) indeholder derfor standardkontraktbestemmelser, der giver en tilstrækkelig beskyttelse ved overførsel af personoplysninger til tredjelande.
(2)
Dels er erfaringerne blevet betydeligt udbygget siden vedtagelsen af denne beslutning, dels har en gruppe erhvervssammenslutninger (3) fremlagt alternative standardkontraktbestemmelser, der ved hjælp af andre metoder skal givesamme databeskyttelsesniveau som de første standardkontraktbestemmelser, der er fastsat i beslutning 2001/497/EF.
(3)
Anvendelsen af standardkontraktbestemmelser i forbindelse med internationale dataoverførsler er frivillig, eftersom sådanne bestemmelser kun er én ud af flere muligheder i henhold til direktiv 95/46/EF for på lovlig vis at overføre personoplysninger til et tredjeland, og dataeksportører i Fællesskabet og dataimportører i tredjelandene bør således frit kunne vælge en af de to standardkontrakter eller et helt tredje retsgrundlag for dataoverførslen. Da hver standardkontrakt udgør et særskilt dokument, bør dataeksportørerne dog ikke kunne foretage ændringer i disse kontrakter eller kombinere alle eller en del af standardkontraktbestemmelserne.
(4)
Formålet med de standardkontraktbestemmelser, der fremlægges af erhvervssammenslutningerne, er at fremme anvendelsen af kontraktbestemmelser blandt de berørte aktører ved hjælp af alternative mekanismer som f.eks. mere fleksible kontrolbestemmelser og mere detaljerede regler om ret til indsigt.
(5)
Som et alternativ til et system baseret på solidarisk hæftelse som foreskrevet i beslutning 2001/497/EF indeholder de standardkontraktbestemmelser, der nu fremlægges, desuden ansvarsregler, der bygger på princippet om fornøden omhu, hvor dataeksportøren og dataimportøren er erstatningsansvarlige over for de registrerede ved overtrædelse af deres respektive kontraktforpligtelser. Dataeksportøren kan også drages til ansvar for ikke på passende vis at have bestræbt sig på at fastslå, om dataimportøren er i stand til at opfylde sine retlige forpligtelser i henhold til bestemmelserne (culpa in eligendo), og den registrerede kan anlægge sag mod dataeksportøren i denne henseende. Håndhævelsen af bestemmelse I, litra b), i de nye standardkontraktbestemmelser er af særlig betydning i denne henseende, især i forbindelse med dataeksportørens mulighed for at foretage kontrol af dataimportørens databehandlingsfaciliteter eller for at anmode om dokumentation for, at dataimportøren råder over tilstrækkelige finansielle ressourcer til at opfylde sine forpligtelser.
(6)
Hvad angår de registreredes påberåbelse af tredjemandsløftet bliver dataeksportøren i højere grad inddraget i behandlingen af de registreredes klager, således at dataeksportøren er forpligtet til at tage kontakt til dataimportøren og om nødvendigt at gennemtvinge kontrakten inden for den normale frist på en måned. Hvis dataeksportøren nægter at gennemtvinge kontrakten, og dataimportørens overtrædelse af standardkontraktbestemmelserne ikke ophører, kan den registrerede påberåbe sig standardkontrakten over for dataimportøren og i sidste instans anlægge sag mod denne i en medlemsstat. Denne accept af værneting og samtykke til at efterkomme en afgørelse, truffet af en kompetent domstol eller databeskyttelsesmyndighed, præjudicerer imidlertid ikke processuelle rettigheder for dataimportører i et tredjeland, f.eks. retten til at indgive appel.
(7)
For imidlertid at undgå, at denne større fleksibilitet misbruges, bør der fastsættes bestemmelser, der giver databeskyttelsesmyndighederne mulighed for nemmere at forbyde eller suspendere dataoverførsler, der foretages på grundlag af de nye standardkontraktbestemmelser, når dataeksportøren nægter på passende vis at gennemtvinge kontrakten over for dataimportøren, eller når dataimportøren nægter at samarbejde efter bedste evne med de kompetente datatilsynsmyndigheder.
(8)
Anvendelsen af standardkontraktbestemmelser berører ikke anvendelsen af nationale bestemmelser, der vedtages i medfør af direktiv 95/46/EF eller direktiv 2002/58/EF (4) om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikation (direktiv om beskyttelse af privatlivets fred og elektronisk kommunikation), især for så vidt angår fremsendelse af kommerciel kommunikation med henblik på direkte markedsføring.
(9)
De garantier, som de fremlagte standardkontraktbestemmelser giver, kan på dette grundlag anses for tilstrækkelige i henhold til artikel 26, stk. 2, i direktiv 95/46/EF.
(10)
Den udtalelse (5), som gruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet om det beskyttelsesniveau, der opnås ved hjælp af de fremlagte standardkontraktbestemmelser, er blevet taget i betragtning ved udarbejdelsen af denne beslutning.
(11)
For at vurdere gennemførelsen af ændringerne til beslutning 2001/497/EF, bør Kommissionen foretage en evaluering heraf tre år efter, at de er blevet meddelt medlemsstaterne.
(12)
Beslutning 2001/497/EF bør ændres i overensstemmelse hermed.
(13)
De i denne beslutning fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 31 i direktiv 95/46/EF -
VEDTAGET FØLGENDE BESLUTNING:
Artikel 1
I beslutning nr. 2001/497/EF foretages følgende ændringer:
(1)
I artikel 1 indsættes følgende stykke:
»Registeransvarlige kan vælge mellem standardkontrakt I eller II i bilaget. De må dog ikke ændre disse bestemmelser eller kombinere bestemte bestemmelser eller de to kontrakter.«
(2)
Artikel 4, stk. 2 og 3, affattes således:
»2. Når den registeransvarlige yder tilstrækkelige garantier på grundlag af standardkontrakt II i bilaget, kan de kompetente databeskyttelsesmyndigheder i forbindelse med stk. 1 gøre brug af deres beføjelser til at forbyde eller suspendere datastrømmen:
a)
når dataimportøren nægter at samarbejde efter bedste evne med databeskyttelsesmyndighederne eller at opfylde de forpligtelser, der tydeligt fremgår af kontrakten
b)
når dataeksportøren nægter på passende vis at gennemtvinge kontrakten over for dataimportøren inden for den normale frist på en måned, efter at dataeksportøren har modtaget en meddelelse fra den kompetente databeskyttelsesmyndighed.
Dataimportøren vil i forbindelse med første afsnit ikke blive anset for at nægte at samarbejde efter bedste evne eller at gennemtvinge kontrakten, når et sådant samarbejde eller en sådan gennemtvingelse er i strid med de obligatoriske krav i den nationale lovgivning, som dataimportøren er underlagt, og som ikke er mere vidtgående end, hvad der er nødvendigt i et demokratisk samfund på basis af en af de grunde, der er nævnt i artikel 13, stk. 1, i direktiv 95/46/EF, særlig sanktioner i henhold til international og/eller national lovgivning, oplysningspligt i skattesager eller oplysningspligt til bekæmpelse af hvidvaskning af penge.
Samarbejde skal i forbindelse med første afsnit, litra a), forstås således, at det især omfatter, at dataimportøren giver adgang til sine databehandlingsfaciliteter med henblik på kontrol eller retter sig efter en anbefaling fra databeskyttelsesmyndigheden i Fællesskabet.
3. Forbud eller suspension i henhold til stk. 1 og 2 ophæves straks, når grundene til forbuddet eller suspenderingen ikke længere eksisterer.
4. Når medlemsstaterne vedtager foranstaltninger i overensstemmelse med stk. 1, 2 og 3, underretter de straks Kommissionen, som underretter de øvrige medlemsstater.«.
(3)
Artikel 5, første punktum, affattes således:
»Kommissionen evaluerer gennemførelsen af denne beslutning på grundlag af alle tilgængelige oplysninger tre år efter, at medlemsstaterne har fået meddelt beslutningen og enhver ændring heraf.«.
(4)
Bilaget ændres således:
1.
Titlen »STANDARDKONTRAKTBESTEMMELSER« erstattes med »STANDARDKONTRAKT I«.
2.
Teksten i bilaget til denne beslutning indsættes.
Artikel 2
Denne beslutning anvendes fra den 1. april 2005.
Artikel 3
Denne beslutning er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 27. december 2004.
A BIZOTTSÁG HATÁROZATA
(2004. december 27.)
a 2001/497/EK határozat módosításáról a személyes adatoknak harmadik országokba irányuló továbbadására vonatkozó alternatív általános szerződési feltételek bevezetéséről
(az értesítés a B(2004) 5271 számú dokumentummal történt)
(EGT vonatkozású szöveg)
(2004/915/EK)
AZ EURÓPAI KÖZÖSSÉGEK BIZOTTSÁGÁ,
tekintettel az Európai Közösséget létrehozó szerződésre,
tekintettel a személyes adatok feldolgozása vonatkozásában az egyének védelméről, és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre (1) és különösen annak 26. cikke (4) bekezdésére,
mivel:
(1)
A Közösségből kifelé irányuló adatáramlások megkönnyítése érdekében kívánatos, hogy az adatkezelők az adatok továbbítását globálisan, az adatvédelmi szabályok egyetlen csomagja szerint végezhessék. Globális adatvédelmi szabványok hiányában ezek a feltételek fontos eszközt biztosítanak ahhoz, hogy a személyes adatok továbbítása valamennyi tagállamból egy közös szabálycsomag alapján történjen. A személyes adatok harmadik országokba irányuló, a 95/46/EK irányelv (2) alapján történő továbbadására vonatkozó általános szerződési feltételekről szóló, 2001. június 15-i 2001/497/EK bizottsági határozat ezért mintacsomagot állapít meg az általános szerződési feltételekre, amely kellő biztosítékokat nyújt az adatoknak harmadik országokba történő továbbadásához.
(2)
Jelentős tapasztalat halmozódott fel ennek a határozatnak az elfogadása óta. Ezen kívül üzleti társaságok egy egyesülete (3) az általános szerződési feltételek egy alternatív csomagját terjesztette be, hogy az adatvédelem szintje azonos legyen a 2001/497/EK határozatban megállapított általános szerződési feltételek csomagja által biztosított adatvédelemmel, eltérő mechanizmusokat felhasználva.
(3)
Mivel az általános szerződési feltételek használata a nemzetközi adatátadásoknál önkéntes, lévén, hogy az általános szerződési feltételek a 95/46/EK irányelvben csak a számos lehetőség egyikét jelentik, a személyes adatoknak harmadik országba történő jogszerű továbbításához a Közösségben lévő adatátadók és a harmadik országokban lévő adatátvevők számára szabad választást kell biztosítani az általános szerződési feltételek bármely csomagja, vagy az adatátadás valamely más jogi alapja között. Mivel minden csomag önmagában modellértékű, az adatátadóknak nem szabad azonban ezeket a csomagokat módosítaniuk vagy azokat bármely módon teljes egészükben vagy részben összevonniuk.
(4)
Az üzleti vállalkozások által beterjesztett általános szerződési feltételek a szerződéses feltételek használatának növelését célozzák a szereplők között, olyan mechanizmusok révén, mint a rugalmasabb ellenőrzési követelmények, részletesebb szabályok a hozzáférési jogról.
(5)
Továbbá, a 2001/497/EK határozatban előírt egyetemleges felelősség rendszerének alternatívájaként a most beterjesztett csomag a saját felelősségen alapulna, amely szerint az adatátadó és az adatátvevő felelősségel tartozik az érintettekkel szemben saját szerződéses kötelezettségeik megsértéséért; az adatátadó is felel, ha nem tette meg az indokolt erőfeszítéseket annak megállapítására, hogy az adatátvevő képes-e a feltételek szerinti jogi kötelezettségeit teljesíteni (culpa in eligendo) és az érintett felléphet az adatátadóval szemben ebben a vonatkozásban. Az általános szerződési feltételek új csomagjában az I. feltétel b) pontjának érvényesítése megkülönböztetett jelentőséggel bír ilyen szempontból, különösen azzal kapcsolatban, hogy az adatátadónak lehetősége van ellenőrzéseket végrehajtani az adat átvevőjének helyiségeiben vagy bizonyítékot kérni arról, hogy kellő pénzügyi erőforrásokkal rendelkezik feladatainak teljesítéséhez.
(6)
A kedvezményezett harmadik személy jogainak az érintett által történő gyakorlását illetően, előírás az adatátadó nagyobb mértékű bevonása az érintettek panaszainak rendezésébe, mivel az adatátadónak kötelessége kapcsolatba lépni az adatátvevővel, és - amennyiben szükséges - a szerződést a normális, egy hónapos határidőn belül érvényesítenie kell. Ha az adatátadó visszautasította a szerződés érvényesítését, és az adatátvevő szerződésszegése tovább folytatódik, az érintett a feltételeket az adatátvevővel szemben érvényesítheti, és esetleg EU joghatóság előtt beperelheti. Az, hogy az adatátadó és az adatátvevő a joghatóságot elfogadja és az illetékes bírósági vagy adatvédelmi hatósági határozat betartásába beleegyezik, nem sérelmes a harmadik országban illetékes adatátvevők eljárási jogai - mint például fellebbezési jogai - számára.
(7)
Az ezzel a nagyobb rugalmassággal való visszaélések elkerülése végett azonban célszerű előírni, hogy az adatvédelmi hatóságok könnyebben tilthassák meg vagy függeszthessék fel az általános szerződési feltételek új csomagja alapján végbemenő adatátadásokat azokban az esetekben, amikor az adatátadó megtagadja, hogy megtegye a megfelelő lépéseket az adatátvevővel szemben a szerződési feltételek érvényesítésére vagy az utóbbi megtagadja a jóhiszemű együttműködést az illetékes, felügyeleti adatvédelmi hatóságokkal.
(8)
Az általános szerződési feltételek használata nem érinti a 95/46/EK irányelv vagy a 2002/58/EK irányelv (4) alapján hozott nemzeti rendelkezések alkalmazását a személyes adatok feldolgozásával és a magánélet védelmével kapcsolatban az elektronikus hírközlési ágazatban (a magánéletről és az elektronikus hírközlésről szóló irányelv), különösen nem érinti kereskedelmi kommunikáció küldését az EU állampolgárainak.
(9)
Ezen az alapon a beterjesztett általános szerződési feltételekben szereplő biztosítékok megfelelőnek tekinthetők a 95/46/EK irányelv 26. cikkének (2) bekezdésének értelmében.
(10)
A személyes adatok feldolgozása tekintetében az egyének védelmével foglalkozó munkacsoport, amelyet a 95/46/EK irányelv 29. cikkének megfelelően hoztak létre, előterjesztette véleményét (5) a beterjesztett általános szerződési feltételek által biztosított védelem szintjéről, amely figyelembevételre került.
(11)
Annak érdekében, hogy a helyesbítések érvényesülését a 2001/497/EK határozatra fel lehessen mérni, szükséges, hogy a Bizottság a tagállamoknak megküldött értesítést követő három év elteltével értékelje azokat.
(12)
A 2001/497/EGK határozatot ennek megfelelően módosítani kell.
(13)
Az ebben a határozatban előírt intézkedések összhangban vannak a 95/46/EK irányelv 31. cikkének értelmében létrehozott bizottság véleményével,
ELFOGADTA EZT A HATÁROZATOT:
1. cikk
A 2001/497/EK határozat a következőképpen módosul:
1.
Az 1. cikkbe a következő bekezdés kerül be:
„Az adatkezelők választhatnak a mellékletben szereplő I. és II. csomag között. A feltételeket azonban nem változtathatják meg, illetve nem vonhatnak össze egyes feltételeket, vagy a csomagokat.”
2.
A 4. cikkben a (2) és a (3) bekezdések helyébe a következők lépnek:
„(2) Az (1) bekezdés céljaira, amikor az adatkezelő a melléklet II. csomagjában szereplő általános szerződési feltételek alapján megfelelő biztosítékokat ír elő, az illetékes adatvédelmi hatóságoknak jogukban áll, hogy meglévő felhatalmazásaik gyakorlásával megtiltsák vagy felfüggesszék az adatáramlást a következő esetek bármelyikében:
a)
az adatátvevő megtagadja a jóhiszemű együttműködést az adatvédelmi hatóságokkal, vagy a szerződés szerinti világos kötelezettségeinek teljesítését;
b)
amikor az adatátadó megtagadja, hogy megtegye a megfelelő lépéseket az adatátvevővel szemben a szerződésnek a normális, egy hónapos határidőn belül történő érvényesítésére, az illetékes adatvédelmi hatóság által az adatátadónak küldött értesítésről számítva.
Az első albekezdés céljaira a rosszhiszemű megtagadás, vagy a szerződés érvényesítésének megtagadása az adatátvevő részéről nem tartalmazza azokat az eseteket, amikor az együttműködés vagy az érvényesítés ellentétbe kerülne az adatátvevőre vonatkozó nemzeti szabályozás kötelező érvényű követelményeivel, ha azok nem mennek túl a demokratikus társadalomban szükséges mértéken, a 95/46/EK irányelv 13. cikkének (1) bekezdésében felsorolt valamely érdek alapján, különös tekintettel a nemzetközi és/vagy nemzeti aktusokban megállapított szankciókra, az adóbevallási követelményekre vagy a pénzmosással szembeni fellépéssel összefüggő bejelentési kötelezettségekre.
Az első albekezdés a) pontjának céljaira az együttműködés magában foglalhatja különösen az adatátvevő adatfeldolgozó létesítményeinek megvizsgálásra bocsátását, vagy azt a kötelezettséget, hogy betartja a Közösségen belüli adatvédelmi felügyeleti hatóság tanácsát.
(3) Az 1. és a 2. bekezdés szerinti tiltást vagy felfüggesztést meg kell szüntetni, mihelyt a tiltás vagy felfüggesztés okai többé nem állnak fenn.
(4) Amikor a tagállamok intézkedéseket fogadnak el az 1., a 2. és a 3. bekezdés értelmében, késedelem nélkül tájékoztatniuk kell a Bizottságot, amely a tájékoztatást továbbítja a többi tagállamnak.”
3.
Az 5. cikk első mondata helyébe a következő szöveg lép:
„A Bizottság a tagállamoknak megküldött értesítést követő három év elteltével a rendelkezésre álló információ alapján értékeli e határozat érvényesülését, valamint az azt érintő módosításról szóló értesítést.”
4.
A melléklet a következőképpen módosul:
1.
A cím után az „I CSOMAG” kifejezés beszúrásra kerül.
2.
Az ennek a határozatnak a mellékletében foglalt szöveg hozzáadásra kerül.
2. cikk
Ezt a határozatot 2005. április 1-jétől kell alkalmazni.
3. cikk
Ennek a határozatnak a tagállamok a címzettjei.
Kelt Brüsszelben, 2004. december 27-én.