Kommissionens beslutning
af 27. december 2001
om standardkontraktbestemmelser for overførsel af personoplysninger til registerførere etableret i tredjelande i henhold til direktiv 95/46/EF
(meddelt under nummer K(2001) 4540)
(EØS-relevant tekst)
(2002/16/EF)
KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER HAR -
under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab,
under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(1), særlig artikel 26, stk. 4, og
ud fra følgende betragtninger:
(1) Medlemsstaterne skal i henhold til direktiv 95/46/EF sørge for, at overførsel af personoplysninger til et tredjeland kun finder sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt databeskyttelsesniveau, og hvis den pågældende medlemsstats lovgivning, der er i overensstemmelse med direktivets andre bestemmelser, overholdes forud for overførslen.
(2) Medlemsstaterne kan dog i henhold til artikel 26, stk. 2, i direktiv 95/46/EF og med forbehold af visse garantier give tilladelse til en overførsel eller en type overførsel af personoplysninger til tredjelande, der ikke sikrer et tilstrækkeligt beskyttelsesniveau. Sådanne garantier kan især fremgå af passende kontraktbestemmelser.
(3) Vurderingen af, om databeskyttelsesniveauet er tilstrækkeligt, bør i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en overførsel eller en type overførsel af oplysninger. Den ved direktivet nedsatte Gruppe vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger(2) har udgivet retningslinjer for, hvorledes denne vurdering skal foretages(3).
(4) Standardkontraktbestemmelserne vedrører kun databeskyttelse. Dataeksportøren og dataimportøren kan frit tilføje enhver anden kommerciel bestemmelse, som de anser for at være af betydning for kontrakten, så længe den pågældende bestemmelse ikke er i strid med standardkontraktbestemmelserne.
(5) Denne beslutning berører ikke nationale tilladelser, som medlemsstaterne måtte give i henhold til nationale bestemmelser til gennemførelse af artikel 26, stk. 2, i direktiv 95/46/EF. Denne beslutning har kun den virkning, at medlemsstaterne ikke må nægte at anerkende, at de heri fastsatte kontraktbestemmelser giver tilstrækkelige garantier, og den har således ingen indvirkning på andre kontraktbestemmelser.
(6) Anvendelsesområdet for denne beslutning er begrænset til at fastslå, at standardbestemmelserne som fastsættes kan anvendes af en registeransvarlig, der er etableret i Fællesskabet, med henblik på at frembyde tilstrækkelige garantier i overensstemmelse med artikel 26, stk. 2, i direktiv 95/46/EF for overførsel af personoplysninger til en registerfører etableret i et tredjeland.
(7) Denne beslutning bør opfylde den i artikel 17, stk. 3, i direktiv 95/46/EF omhandlede forpligtelse og berører ikke indholdet i kontrakterne eller de retligt bindende dokumenter udarbejdet i henhold til denne bestemmelse. Nogle af standardkontrakt-bestemmelserne, særlig med hensyn til dataeksportørens pligter, bør imidlertid indsættes for at præcisere hvilke bestemmelser, der kan være omfattet af en kontrakt mellem en registeransvarlig og en registerfører.
(8) Medlemsstaternes tilsynsmyndigheder spiller en central rolle i denne kontraktbaserede mekanisme ved at sikre, at personoplysninger beskyttes på tilstrækkelig vis efter overførslen. I særlige tilfælde, hvor dataeksportører nægter eller ikke er i stand til at instruere dataimportøren behørigt, med overhængende risiko for alvorlig skade for de registrerede til følge, bør standardkontraktbestemmelserne give tilsynsmyndighederne adgang til at foretage inspektion hos dataimportørerne og i givet fald at træffe beslutninger, som er bindende for dataimportørerne. Tilsynsmyndighederne bør have lov til at forbyde eller suspendere en overførsel eller en type overførsel af personoplysninger, der foregår på grundlag af standardkontraktbestemmelserne, når der foreligger særlige tilfælde, hvor det er konstateret, at en overførsel på grundlag af kontraktbestemmelser kan forventes at have en betydelig negativ effekt på de garantier og forpligtelser, hvormed den registrerede sikres en passende beskyttelse.
(9) Kommissionen kan også på et senere tidspunkt overveje, om standard-kontrakt-bestemmelser for overførsel af personoplysninger til registerførere etableret i tredjelande, der ikke frembyder et tilstrækkeligt databeskyttelsesniveau, som fremlægges af erhvervsdrivende organisationer eller andre interesserede parter, frembyder tilstrækkelige garantier i henhold til artikel 26, stk. 2, i direktiv 95/46/EF.
(10) En videregivelse af personoplysninger til en registerfører etableret i et tredjeland er en international overførsel, som er beskyttet i henhold til kapitel IV i direktiv 95/46/EF. Denne beslutning finder derfor ikke anvendelse på overførslen af personoplysninger fra registeransvarlige etableret i Fællesskabet til registeransvarlige etableret uden for Fællesskabets område, som falder ind under anvendelsesområdet for Kommissionens beslutning 2001/497/EF af 15. juni 2001 om standardkontraktbestemmelser for overførsel af personoplysninger til tredjelande i henhold til direktiv 95/46/EF(4).
(11) Standardkontraktbestemmelserne bør fastsætte de tekniske og organisatoriske sikkerhedsforanstaltninger, som sikrer et passende sikkerhedsniveau i forhold til de risici, behandlingen og arten af de oplysninger, der skal beskyttes, indebærer, og som en registerfører etableret i et tredjeland, som ikke frembyder et tilstrækkeligt beskyttelsesniveau, skal iværksætte. Parterne bør i kontrakten fastsætte de tekniske og organisatoriske foranstaltninger, som under hensyn til den gældende databeskyttelses-lovgivning, det aktuelle tekniske niveau og de omkostninger, som er forbundet med deres iværksættelse, er nødvendige for at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang eller enhver anden form for ulovlig behandling.
(12) For at fremme datastrømmen fra Fællesskabet vil det være hensigtsmæssigt, hvis registerførere, som leverer databehandlingstjenester til flere registeransvarlige i Fællesskabet, får tilladelse til at anvende de samme tekniske og organisatoriske sikkerhedsforanstaltninger, uanset hvilken medlemsstat dataoverførslen stammer fra, især i de tilfælde, hvor dataimportøren modtager data til yderligere behandling fra dataeksportørens forskellige foretagender i Fællesskabet, i hvilket tilfælde lovgivningen i den medlemsstat, som er hjemstedsstaten, finder anvendelse.
(13) Det er hensigtsmæssigt at beskrive de minimumsoplysninger, som parterne skal specificere i kontrakten om overførsel. Medlemsstaterne bør bevare retten til nærmere at specificere, hvilke oplysninger parterne skal give. Denne beslutning bør på grundlag af erfaringerne tages op til fornyet overvejelse.
(14) Dataimportøren bør udelukkende behandle de overførte personoplysninger på vegne af dataeksportøren og i overensstemmelse med dennes instrukser og de forpligtelser, der fremgår af standardkontraktbestemmelserne; dataimportøren bør især ikke videregive personoplysninger til tredjemand, medmindre det sker i henhold til visse betingelser. Dataeksportøren bør under hele databehandlingsforløbet instruere dataimportøren om at behandle oplysningerne i overensstemmelse med hans instrukser, den gældende databeskyttelseslovgivning og de forpligtelser, der fremgår af standardkontrakt-bestemmelserne. Overførslen af personoplysninger til registerførere etableret i et tredjeland berører ikke, at databehandling under alle omstændigheder bør være underlagt den gældende databeskyttelseslovgivning.
(15) Standardkontraktbestemmelserne bør ikke alene kunne håndhæves af de foretagender, der er parter i kontrakten, men også af de registrerede, og dette især, når de registrerede lider skade som følge af kontraktbrud.
(16) Den registrerede bør være berettiget til at anlægge sag og i givet fald modtage erstatning fra dataeksportøren, der er registeransvarlig for de overførte personoplysninger. Den registrerede bør undtagelsesvist også være berettiget til at anlægge sag, og i givet fald modtage erstatning fra dataimportøren, i sager rejst i forbindelse med, at dataimportøren overtræder sine forpligtelser i henhold til standardbestemmelse 3, andet afsnit, når dataeksportøren faktisk eller retligt set er ophørt med at eksistere eller er insolvent.
(17) Såfremt der opstår en tvist mellem den registrerede, som påberåber sig tredjemandsløftet, og dataimportøren, der ikke afgøres i mindelighed, bør dataimportøren indvillige i at give den registrerede valget mellem mægling, voldgift eller retssagsbehandling. Om den registrerede har en egentlig valgmulighed, bør afhænge af, i hvilket omfang der er pålidelige og anerkendte mæglingsinstanser og voldgiftsretter til rådighed. Mægling foretaget af databeskyttelsesmyndighederne i den medlemsstat, hvori dataeksportøren er etableret, bør være en mulighed, når de tilbyder dette.
(18) Kontrakten bør være underlagt lovgivningen i den medlemsstat, hvor dataeksportøren er etableret, hvilket giver tredjemand, der er omfattet af et tredjemandsløfte, mulighed for at håndhæve en kontrakt. De registrerede bør, såfremt de ønsker det og det er tilladt i henhold til den nationale lovgivning, kunne lade sig repræsentere af foreninger eller andre organer.
(19) Den udtalelse, som Gruppen vedrørende Beskyttelse af Personer i forbindelse med Behandling af Personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet om beskyttelsesniveauet, der opnås ved hjælp af de i bilaget til denne beslutning anførte standardkontraktbestemmelser, er blevet taget i betragtning ved udarbejdelsen af denne beslutning(5).
(20) De i denne beslutning fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det udvalg, der er nedsat ved artikel 31 i direktiv 95/46/EF -
VEDTAGET FØLGENDE BESLUTNING:
Artikel 1
De i bilaget fastsatte standardkontraktbestemmelser anses for at tilvejebringe passende garantier med hensyn til beskyttelse af privatlivets fred og de grundlæggende rettigheder og frihedsrettigheder for fysiske personer samt for udøvelsen af de dertil knyttede rettigheder i henhold til artikel 26, stk. 2, i direktiv 95/46/EF.
Artikel 2
Denne beslutning vedrører kun tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af de i bilaget fastsatte standardkontraktbestemmelser for overførsel af personoplysninger. Den har ingen indvirkning på anvendelsen af andre nationale bestemmelser til gennemførelse af direktiv 95/46/EF, som vedrører behandling af personoplysninger i medlemsstaterne.
Denne beslutning finder anvendelse ved overførsel af personoplysninger fra registeransvarlige, der er etableret i Fællesskabet, til modtagere, som er etableret uden for Fællesskabets område, og som blot foretager behandling af disse oplysninger.
Artikel 3
I denne beslutning:
a) finder definitionerne i direktiv 95/46/EF anvendelse
b) forstås ved "særlige kategorier af oplysninger" de oplysninger, der er omhandlet i direktivets artikel 8
c) forstås ved "tilsynsmyndighed" den myndighed, der er omhandlet i direktivets artikel 28
d) forstås ved "dataeksportør" den registeransvarlige, der overfører person-oplysningerne
e) forstås ved "dataimportør" den registerfører etableret i et tredjeland, som indvilliger i at modtage personoplysninger fra dataeksportøren med henblik på efter overførslen at foretage behandling på dataeksportørens vegne i overensstemmelse med dennes instrukser og denne beslutning, og som ikke er underlagt et tredjelands system, der sikrer et tilstrækkeligt beskyttelsesniveau
f) forstås ved "den gældende databeskyttelseslovgivning" lovgivningen til beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til beskyttelse af privatlivets fred med hensyn til behandling af personoplysninger, der gælder for en registeransvarlig i den medlemsstat, hvor dataeksportøren er etableret
g) forstås ved "tekniske og organisatoriske sikkerhedsforanstaltninger" de foran-staltninger, der har til formål at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang, især hvor behandlingen omfatter overførsel af oplysninger i et net, samt mod enhver anden form for ulovlig behandling.
Artikel 4
1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelse til at træffe foranstaltninger for at sikre overholdelse af de nationale bestemmelser, der vedtages i overensstemmelse med kapitel II, III, V og VI i direktiv 95/46/EF, gøre brug af deres beføjelser med henblik på at forbyde eller suspendere datastrømmen til tredjelande for at beskytte fysiske personer med hensyn til behandling af deres personoplysninger:
a) når det er fastslået, at den lovgivning, som dataimportøren er underlagt, pålægger dataimportøren krav om at fravige den gældende databeskyttelses-lovgivning i en grad, som er mere vidtgående end de restriktioner, der er nødvendige i et demokratisk samfund som fastsat i artikel 13 i direktiv 95/46/EF, når disse krav kan formodes at have en betydelig negativ virkning på den sikkerhed, der opnås ved hjælp af den gældende databeskyttelseslovgivning og standardkontraktbestemmelserne
b) når en kompetent myndighed har fastslået, at dataimportøren ikke har overholdt kontraktbestemmelserne i bilaget, eller
c) når der er stor sandsynlighed for, at standardkontraktbestemmelserne i bilaget ikke overholdes eller ikke vil blive overholdt, og at en fortsat overførsel vil kunne skabe en overhængende risiko for alvorlig skade for de registrerede.
2. Forbud eller suspendering efter stk. 1 ophæves straks, når grundene til forbuddet eller suspenderingen ikke længere eksisterer.
3. Når medlemsstaterne vedtager foranstaltninger i overensstemmelse med stk. 1 og 2, underretter de straks Kommissionen, som igen underretter de øvrige medlemsstater.
Artikel 5
Kommissionen evaluerer gennemførelsen af denne beslutning på grundlag af alle tilgængelige oplysninger tre år efter, at medlemsstaterne har fået meddelelse om beslutningen. Den fremlægger en rapport om resultaterne til det ved artikel 31 i direktiv 95/46/EF nedsatte udvalg. Rapporten skal indeholde ethvert relevant forhold, der kan påvirke vurderingen af tilstrækkeligheden af de i bilaget fastsatte standardkontraktbestemmelser, og ethvert forhold, hvoraf det fremgår, at beslutningen gennemføres på en diskriminerende måde.
Artikel 6
Denne beslutning finder anvendelse fra den 3. april 2002.
Artikel 7
Denne beslutning er rettet til medlemsstaterne.
Udfærdiget i Bruxelles, den 27. december 2001.
A Bizottság határozata
(2001. december 27.)
a 95/46/EK irányelv alapján a személyes adatoknak harmadik országbeli adatfeldolgozók részére történő továbbítására vonatkozó általános szerződési feltételekről
(az értesítés a C(2001) 4540. számú dokumentummal történt)
(EGT vonatkozású szöveg)
(2002/16/EK)
AZ EURÓPAI KÖZÖSSÉGEK BIZOTTSÁGA,
tekintettel az Európai Közösséget létrehozó szerződésre,
tekintettel a személyesadat-kezelés vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre [1] és különösen annak 26. cikke (4) bekezdésére,
mivel:
(1) A 95/46/EK irányelv értelmében a tagállamoknak biztosítani kell, hogy a személyes adatoknak egy harmadik országba történő továbbítására csak abban az esetben kerülhessen sor, ha az érintett harmadik állam gondoskodik a megfelelő szintű adatvédelemről, és ha az adatok továbbítása előtt a tagállamoknak az irányelv egyéb rendelkezéseivel összhangban álló jogszabályait tiszteletben tartják.
(2) A 95/46/EK irányelv 26. cikkének (2) bekezdése rendelkezik azonban arról, hogy a tagállamok bizonyos biztosítékok mellett engedélyezhetik a személyes adatoknak olyan harmadik országokba történő továbbítását vagy továbbításait, amelyek nem biztosítanak megfelelő szintű védelmet. Az ilyen biztosítékok különösen megfelelő szerződési feltételekből következhetnek.
A 95/46/EK irányelv értelmében az adatvédelem szintjét az adattovábbítás vagy adattovábbítások valamennyi körülményének ismeretében kell értékelni. Az említett irányelv [2] által létrehozott, a személyesadat-kezelés vonatkozásában az egyének védelmével foglalkozó munkacsoport útmutatót bocsátott ki az ilyen értékelések segítése céljából [3].
(4) Az általános szerződési feltételek csak az adatvédelemre vonatkoznak. Az adatátadó, illetve adatátvevő kiegészítheti a szerződést egyéb, üzleti vonatkozású feltételekkel, amelyeket a szerződés szempontjából relevánsnak tartanak, amennyiben ezek nem ellentétesek az általános szerződési feltételekkel.
(5) Ez a határozat nem érinti azokat a nemzeti engedélyeket, amelyeket a 95/46/EK irányelv 26. cikkének (2) bekezdését átültető nemzeti jogszabályokkal összhangban adhatnak ki a tagállamok. Ez a határozat csak arra terjed ki, hogy a tagállamok az e határozatban megállapított szerződési feltételek megfelelő biztosíték jellegét elismerjék; így tehát ez a határozat nem érinti az egyéb szerződési feltételeket.
(6) Ennek a határozatnak a hatálya annak a megállapítására korlátozódik, hogy a Közösségben letelepedett adatkezelő az e határozatban megállapított szerződési feltételeket használhatja, hogy a 95/46/EK irányelv 26. cikke (2) bekezdésének értelmében a személyes adatoknak egy harmadik országban letelepedett feldolgozó felé történő továbbítására vonatkozó, megfelelő garancia biztosítva legyen.
(7) Ennek a határozatnak végre kell hajtania a 95/46/EK határozat 17. cikkének (3) bekezdésében megállapított kötelezettséget, és nem érinti az említett rendelkezés értelmében létrejött szerződések vagy jogi aktusok tartalmát. Néhány általános szerződési feltételt azonban, különösen az adatátadó kötelezettségeire vonatkozóan, bele kell foglalni azért, hogy pontosabbá váljanak azok a rendelkezések, amelyek az adatkezelő és a feldolgozó között létrejövő szerződésbe bekerülhetnek.
(8) A tagállamok felügyeleti hatóságai kulcsfontosságú szerepet játszanak ebben a szerződéses mechanizmusban, mivel ők biztosítják, hogy továbbításukat követően a személyes adatok megfelelő védelemben részesüljenek. Kivételes esetekben, amikor az adatátadók nem hajlandók vagy nem képesek megfelelő módon tájékoztatni az adatátvevőket - és fennáll a közvetlen veszélye annak, hogy az érintettek számára súlyos károk keletkeznek -, az általános szerződési feltételeknek lehetővé kell tenniük, hogy a felügyeleti hatóságok ellenőrizzék az adatátvevőket, és - adott esetben - rájuk nézve kötelező határozatokat hozzanak. A felügyeleti hatóságoknak rendelkezniük kell megfelelő hatáskörrel, hogy az általános szerződési feltételek alapján megtiltsanak vagy felfüggesszenek adattovábbítást vagy adattovábbításokat azokban a kivételes esetekben, amikor megállapítást nyer, hogy egy szerződés alapján teljesített adattovábbításnak vélhetően súlyosan hátrányos hatása lesz az érintettek számára megfelelő védelmet biztosító garanciákra és kötelezettségekre.
(9) A Bizottság a jövőben vizsgálhatja, hogy a nem megfelelő szintű adatvédelemmel rendelkező harmadik országokban letelepedett feldolgozónak továbbított személyes adatokra vonatkozó, az üzleti szervezetek és más érdekeltek által előterjesztett általános szerződési feltételek - a 95/46/EK irányelv 26. cikkének (2) bekezdésével összhangban - megfelelő biztosítékot nyújtanak-e.
(10) A személyes adatok közlése egy, a Közösségen kívül letelepedett adatfeldolgozóval nemzetközi adattovábbításnak minősül, amely a 95/46/EK irányelv IV. fejezetének védelme alatt áll. Ennek következményeként ez a határozat nem vonatkozik a Közösségben letelepedett adatkezelők által a Közösségen kívül letelepedett adatkezelőknek továbbított adatokra, akik a 95/46/EK irányelv alapján a személyes adatoknak harmadik országok számára történő továbbítására vonatkozó általános szerződési feltételekről szóló, 2001. június 15-i 2001/497/EK bizottsági határozat [4] hatálya alá esnek.
(11) Az általános szerződési feltételeknek rendelkezniük kell azokról a technikai és szervezési biztonsági intézkedésekről, amelyek - a védelmet igénylő adatok természetére és a feldolgozásban rejlő kockázatra való tekintettel - megfelelő szintű biztonságot nyújtanak, és amelyeket a nem megfelelő védelmet biztosító harmadik országban letelepedett feldolgozónak alkalmaznia kell. A feleknek a szerződésben rendelkezniük kell azokról a technikai és szervezeti intézkedésekről, amelyek - az alkalmazandó adatvédelmi jogra, a technika mindenkori állására és a végrehajtás költségeire való tekintettel - szükségesek a személyes adatok véletlen vagy jogellenes megsemmisülése, véletlen elvesztése, megváltoztatása, jogosulatlan közlése vagy azokhoz való jogosulatlan hozzáférés, illetve az adatfeldolgozás egyéb jogellenes formái elleni védelemhez.
(12) A Közösségből kifelé történő adatáramlás megkönnyítése érdekében célszerű gondoskodni arról, hogy a Közösségben több adatkezelő számára adatfeldolgozást végző feldolgozók azonos technikai és szervezési biztonsági intézkedéseket alkalmazzanak, függetlenül attól, hogy melyik tagállam az adattovábbítás kezdeményezője, különösen azokban az esetekben, ahol az adatátvevő az adatátadónak a Közösség területén levő különböző intézményeitől kap adatokat további feldolgozásra, amely esetben annak a tagállamnak a jogát kell alkalmazni, ahol az intézmény található.
(13) Helyénvaló meghatározni azt a minimális információt, amelyet a feleknek az adattovábbításra vonatkozó szerződésben meg kell határozniuk. A tagállamok hatáskörében marad a felek által közlendő információk részletezése. A tapasztalatok ismeretében ennek a határozatnak az alkalmazását felül kell vizsgálni.
(14) Az adatátvevő csak az adatátadó megbízásából, az általa adott utasításokkal és az általános szerződési feltételekben szereplő kötelezettségekkel összhangban dolgozhatja fel az átadott személyes adatokat. Az adatátvevő a személyes adatokat harmadik személyeknek csak bizonyos feltételek között adhatja át. Az adatátadónak az adatfeldolgozási szolgáltatás során utasítania kell az adatátvevőt, hogy az adatokat az utasításaival, az alkalmazandó adatvédelmi jogszabályokkal és az általános szerződési feltételekben megfogalmazott kötelezettségekkel összhangban dolgozza fel. A személyes adatoknak a Közösségen kívül letelepedett feldolgozók felé történő továbbítása nem befolyásolja azt a tényt, hogy az adatfeldolgozás minden esetben az alkalmazandó adatvédelmi jogszabályok hatálya alá esik.
(15) Az általános szerződési feltételeknek nem csak a szerződő intézmények számára, de az érintett személyek számára is érvényesíthetőknek kell lenniük, különösen azokban az esetekben, amikor az érintetteknek a szerződésszegés kárt okoz.
(16) Az érintetteket fel kell jogosítani arra, hogy felléphessenek az adatátadóval szemben, aki a továbbított személyes adatok feldolgozásáért felelős, és - adott esetben - kártérítést kapjanak tőle. Az érintettet kivételes esetben fel kell jogosítani arra is, hogy felléphessen az adatátvevővel szemben és - adott esetben - kártérítést kapjon tőle azokban az esetekben, ha az adatátadó vállalkozása ténylegesen megszűnik, jogilag megszűnik létezni, vagy fizetésképtelenné válik az adatátvevőnek a 3. általános szerződési feltétel második bekezdésében előírt bármely kötelezettségének megszegése következtében.
(17) A kedvezményezett harmadik személyre vonatkozó klauzulával élni szándékozó érintett és az adatátvevő közötti, egyezséggel nem lezárt jogvita esetében az adatátadónak hozzá kell járulnia ahhoz, hogy az érintett a közvetítés, a választott bírósági vagy a peres eljárás közül választhasson. Az, hogy az érintettnek mennyiben lesz tényleges választási lehetősége, attól is függ, mennyire állnak rendelkezésre a közvetítés és a választott bíráskodás megbízható és elismert rendszerei. Amennyiben az adatátadó letelepedési helye szerinti tagállam adatvédelmi felügyelő hatósága közvetítő szolgáltatást is végez, ezt a választási lehetőséget is fel kell kínálni.
(18) A szerződésre az adatátadó letelepedési helye szerinti tagállam joga az irányadó, lehetővé téve azt, hogy egy kedvezményezett harmadik személy a szerződés betartását érvényre juttassa. Az érintettek számára lehetővé kell tenni, hogy - amennyiben élni kívánnak vele, és a nemzeti jog erre lehetőséget biztosít - egyesületek vagy egyéb szervek képviseljék érdekeiket.
(19) A 95/46/EK irányelv 29. cikke által létrehozott, a személyesadat-kezelés vonatkozásában az egyének védelmével foglalkozó munkacsoport véleményt nyilvánított az e határozathoz mellékelt általános szerződési feltételek alapján biztosított védelem szintjéről, amelyet ennek a határozatnak az előkészítése során figyelembe vettek [5].
(20) Az ebben a határozatban előírt intézkedések összhangban vannak a 95/46/EK irányelv 31. cikke alapján létrehozott bizottság véleményével,
ELFOGADTA EZT A HATÁROZATOT:
1. cikk
A mellékletben meghatározott általános szerződési feltételek megfelelő biztosítékokat kínálnak a magánélet tiszteletben tartásához való jog, az egyének alapvető jogainak és szabadságjogainak védelme tekintetében, valamint a 95/46/EK irányelv 26. cikke (2) bekezdése értelmében meghatározott, ezekhez kapcsolódó jogok érvényesítése tekintetében.
2. cikk
Ez a határozat csak a mellékletben meghatározott, a személyes adatoknak az adatfeldolgozók részére történő továbbítására vonatkozó általános szerződési feltételek által nyújtott megfelelő védelemre vonatkozik. A határozat a személyes adatok tagállamokon belül végzett feldolgozására vonatkozó, a 95/46/EK irányelv végrehajtását szolgáló egyéb nemzeti rendelkezések alkalmazását nem érinti.
Ez a határozat a személyes adatok továbbításának azon eseteire vonatkozik, amikor a Közösségben letelepedett adatkezelők a személyes adatokat olyan, a Közösségen kívül letelepedett adatátvevőknek továbbítják, akik csak adatfeldolgozói feladatokat látnak el.
3. cikk
E határozat alkalmazásában:
a) a 95/46/EK irányelv meghatározásait kell alkalmazni;
b) az "adatok különleges kategóriái" kifejezés az említett irányelvnek a 8. cikkében szereplő adatokat jelenti;
c) a "felügyelő hatóság" kifejezés az említett irányelv 28. cikkében szereplő hatóságot jelenti;
d) az "adatátadó" kifejezés arra az adatkezelőre vonatkozik, aki továbbítja a személyes adatokat;
e) az "adatátvevő" kifejezés egy harmadik országban letelepedett feldolgozót jelöl, aki vállalja, hogy az adatátadó utasításaival és e határozat feltételeivel összhangban történt adattovábbítást követően átveszi az adatátadótól a személyes adatokat - annak nevében történő - adatfeldolgozás céljából, és aki nem tartozik egy harmadik ország megfelelő védelmet biztosító rendszerének hatálya alá;
f) az "alkalmazandó adatvédelmi jog" kifejezés a természetes személyek alapvető jogainak és szabadságjogainak, különösen - a személyes adatok feldolgozásával kapcsolatban - a magánélet tiszteletben tartásához való jogainak védelméről szóló, az adatátadó letelepedési helye szerinti tagállamban tevékenykedő adatkezelőre vonatkozó jogszabályt jelenti;
g) a "technikai és szervezési biztonsági intézkedések" kifejezés a személyes adatok véletlen vagy jogellenes megsemmisülése, véletlen elvesztése, megváltoztatása, az adatok jogosulatlan közlése vagy az azokhoz történő jogosulatlan hozzáférés ellen védelmet nyújtó intézkedéseket jelenti, különösen azokban az esetekben, ahol az adatfeldolgozásnak része az adatok hálózaton keresztül történő továbbítása, valamint az adatfeldolgozás valamennyi egyéb jogellenes formája ellen védelmet nyújtó intézkedéseket jelenti.
4. cikk
(1) A 95/46/EK irányelv II., III., V. és VI. fejezete alapján elfogadott nemzeti rendelkezéseknek való megfelelés céljából tett intézkedésekre vonatkozó hatásköröket nem érintve, a tagállamok illetékes hatóságai a magánszemélyek - személyes adatainak feldolgozására tekintettel történő - védelme érdekében élhetnek azzal a jogukkal, hogy megtiltsák vagy felfüggesszék a harmadik országokba történő adattovábbítást olyan esetekben, ha:
a) megállapítják, hogy az adatátvevőre irányadó jog olyan követelményeket támaszt vele szemben, hogy el kell térnie az alkalmazandó adatvédelmi jogtól, ami - a 95/46/EK irányelv 13. cikke rendelkezéseinek megfelelően - túlmegy a demokratikus társadalomban szükséges korlátozásokon; és amennyiben ezek a követelmények vélhetően jelentős hátrányos hatással lesznek az alkalmazandó adatvédelmi jog és az általános szerződési feltételek által nyújtott garanciákra; vagy
b) az illetékes hatóság megállapította, hogy az adatátvevő nem tartotta be a mellékletben szereplő szerződési feltételeket; vagy
c) nagy a valószínűsége annak, hogy a mellékletben szereplő általános szerződési feltételek nem teljesülnek, vagy nem fognak teljesülni, és ilyen módon a további adattovábbítás jelentős kárt okozhat az érintettek számára.
(2) Az (1) bekezdésben említett tilalmat vagy felfüggesztést azonnal megszüntetik, amint a felfüggesztés vagy tilalom okai megszűnnek.
(3) A tagállamok késedelem nélkül tájékoztatják a Bizottságot az (1) és (2) bekezdés értelmében elfogadott intézkedésekről, amely továbbítja ezt az információt a többi tagállamnak.
5. cikk
A Bizottság a tagállamok e határozatról történő értesítésétől számított három évet követően a rendelkezésére álló információk alapján értékeli e határozatnak a végrehajtását. Megállapításairól a Bizottság jelentést terjeszt a 95/46/EK irányelv 31. cikke alapján létrehozott bizottság elé. A jelentésében a Bizottság ismerteti azokat a tényeket, amelyek befolyásolhatják a mellékletben található általános szerződési feltételeknek való megfelelés értékelését, továbbá minden olyan tényt, amely a határozat diszkriminatív végrehajtását bizonyítja.
6. cikk
Ezt a határozatot 2002. április 3-tól kell alkalmazni.
7. cikk
Ennek a határozatnak a tagállamok a címzettjei.
Kelt Brüsszelben, 2001. december 27-én.