32002D0016
L 006/52
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2001 година
относно общите договорни клаузи за трансфера на лични данни към лицата, които ги обработват, установени в трети страни, съгласно Директива 95/46/ЕО
(нотифицирано под номер С(2001) 4540)
(текст от значение за ЕИП)
(2002/16/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
Съгласно Директива 95/46/ЕО държавите-членки се задължават да следят даден трансфер на лични данни към трета страна да се извършва само ако съответната страна гарантира адекватно ниво на защита на данните и ако законите на държавите-членки, които са съобразени с другите разпоредби на директивата, се спазват преди трансфера.
(2)
Въпреки това член 26, параграф 2 от Директива 95/46/ЕО предвижда държавите-членки да могат да разрешават при известни гаранции трансфер или цялостен набор от трансфери на лични данни към трети страни, които не гарантират адекватно ниво на защита. Тези гаранции могат да произтичат главно от съответните договорни клаузи.
(3)
Съгласно Директива 95/46/ЕО нивото на защита на данните трябва да бъде преценено с оглед всички обстоятелства, отнасящи се до трансфер или категория трансфери. Групата за защита на лицата по отношение обработването на личните данни, създадена съгласно настоящата директива (2), публикува насоки за улесняване на оценката (3).
(4)
Общите договорни клаузи се отнасят само до защитата на данните и износителят и вносителят са свободни да въвеждат други клаузи от търговски характер, каквито смятат за необходими за договора при условие че те не противоречат на общите договорни клаузи.
(5)
Настоящото решение не засяга националните разрешения, които държавите-членки могат да издават съгласно националните разпоредби, като прилагат член 26, параграф 2 от Директива 95/46/ЕО. Настоящото решение има за цел единствено да задължи държавите-членки да не отказват да признават, че фигуриращите договорни клаузи предлагат адекватни гаранции и при това положение то няма действие върху други договорни клаузи.
(6)
Обхвата на настоящото решение се ограничава да установи, че клаузите, които са изброени в него, могат да бъдат използвани от администратор на лични данни, установен в Общността, за да се гарантират адекватни гаранции по смисъла на член 26, параграф 2 от Директива 95/46/ЕО за трансфера на лични данни към лице обработващо данните, установено в трета страна.
(7)
Настоящото решение следва да изпълни задължението, предвидено в член 17, параграф 3 от Директива 95/46/ЕО и не накърнява съдържанието на договори или юридически актове, установен съгласно тази разпоредба. Във всеки случай, някои общи договорни клаузи, отнасящи се по-специално към задълженията на износителя на данни, трябва да бъдат включени в целта да се увеличи яснотата относно разпоредбите, които могат да бъдат въведени в договор между администратора и лицето, обработващо данните.
(8)
Надзорните органи на държавите-членки играят ключова роля в този договорен механизъм, като гарантират адекватната защита на личните данни след трансфера. В изключителни случаи, когато износителите на данни откажат или не са в състояние да инструктират по подходящ начин вносителя на данните или когато съществува непосредствен риск от тежка вреда за засегнатите лица, общите договорни клаузи трябва да позволяват на надзорните органи да задължават вносителите на данни да проверяват и когато това се окажеуместно, да предприемат мерки, с които последните трябва да се съобразят. Надзорните органи следва да имат правомощието да забраняват или да отменят временно трансфер на данни или цялостен набор от трансфери на данни, базиран на общи договорни клаузи, в изключителните случаи, когато е установено, че трансфер, базиран на договорни условия, рискува да промени забележимо гаранциите и задълженията, предоставящи адекватно ниво на защита на съответното физическо лице.
(9)
В бъдеще Комисията може също да преценява дали общите договорни клаузи за трансфера на лични данни към лица, обработващи данните, установени в трети страни, които не предоставят адекватно ниво на защита на данните, представени от търговски организации или други заинтересовани страни, предлагат достатъчни гаранции съгласно член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Разкриването на лични данни на лице, обработващо данните, установено извън Общността, представлява защитен международен обмен по силата на Глава IV от Директива 95/46/ЕО. В резултат на това настоящата директива не покрива трансфера на лични данни, осъществяван от администраторите , установени в Общността, към лица, отговорни за обработката, установени извън Общността, които попадат в обхвата на Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (4).
(11)
Общите договорни клаузи следва да предвиждат технически и организационни мерки, гарантиращи равнище на сигурност, адаптирано към рисковете, свързани с обработката и характера на данните, които подлежат на защита, което трябва да прилага лице, обработващо данните, установено в трета страна, който не предоставя адекватно ниво на защита. Страните трябва да предвидят в договора технически и организационни мерки, които с оглед на приложимото право за защита на данните на технологично равнище и с цел прилагане са необходими за защита на личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, или всякаква друга незаконна форма на обработка.
(12)
За да се улесни потокът на данни, идващи от Общността, е желателно лицата, обработващи данните и предоставящи такива услуги на няколко администратори от Общността, да получават разрешения да прилагат същите технически и организационни мерки, свързани със сигурността, независимо от това коя е държавата по произход на трансфера, по-специално в случаите, когато вносителят на данни получи за последваща обработка данни, произхождащи от различни учреждения на вносителя на данни в Общността.
(13)
Подходящо е да се определят минималната информация, която страните трябва да предвидят в договора за трансфера. Държавите-членки следва да запазят възможността за специфициране на информацията, които страните трябва да предоставят. Прилагането на настоящото решение трябва да се преразгледа в светлината на натрупания опит.
(14)
Вносителят на данни трябва да обработва трансферираните лични данни за изключителната сметка на износителя на данни и според инструкциите и задълженията, включени в клаузите. В частност, вносителят на данни не следва да разгласява личните данни на трета страна освен при някои условия. Износителят на данни трябва да изисква от вносителя на данни по време на периода на услугите по обработката на данните да обработва данните съгласно неговите инструкции, съгласно приложимото право за защита на данните и съгласно задълженията, съдържащи се в клаузите. Трансферът на лични данни към лица, които ги обработват, установени извън Общността, не накърнява в никаква степен факта, че дейностите по обработка трябва да бъдат съобразени във всеки случай с прилагащото се право за защита на данните.
(15)
Общите договорни клаузи трябва да бъдат изпълними не само от организациите, страни по договора, но също и от съответните физически лица, в частност когато на последните се нанася вреда поради прекратяване на договора.
(16)
Съответното физическо лице следва да има право да подаде жалба и, ако е целесъобразно, да получи обезщетение от износителя на данни, който е администратор на трансферираните лични данни. В изключителни случаи съответното физическо лице следва също да има правото да подава жалба и, когато това е целесъобразно, да получи обезщетение от вносителя на данните заради неизпълнението от страна на вносителя на данни на едно или друго задължение, посочено във втория параграф на клауза 3, когато износителят на данни фактически е изчезнал или е престанал да съществува юридически или е изпаднал в несъстоятелност.
(17)
Ако спор между съответното физическо лице, който се позовава на клаузата на трето лице - бенефициер, и вносителя на данни не бъде решен по взаимно съгласие, вносителят на данни трябва да се съгласи да предложи на съответното физическо лице да избере между посредничество, арбитраж и съдебен процес. Съответното физическо лице има реална възможност за избор в степен, в която ще може да разполага с надеждни и признати системи за посредничество и на арбитраж. Посредничеството от страна на надзорните органи и по защитата на данните на държавата-членка, в която е установен износителят на данни, трябва да бъде право на избор, когато тези органи предоставят такава услуга.
(18)
Договорът трябва да бъде съобразен с правото на държавата-членка, в която е установен износителят на данни и която позволява на трети бенефициенр да поиска изпълнението на даден договор. Съответните физически лица данни следва да могат да бъдат представлявани от асоциациите или други органи, ако те желаят това и ако националното право го разрешава.
(19)
Работната група за защита на лицата по отношение обработката на личните данни, създадена по силата на член 29 от Директива 95/46/ЕО, излезе със становище за нивото на защита, предвидено от общите договорни клаузи, приложени към настоящото решение. Това становище бе взето предвид при подготвянето на настоящото решение (5).
(20)
Мерките, предвидени в настоящото решение са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Общите договорни клаузи, фигуриращи в приложението, се оценяват като достатъчни гаранции за защитата на личния живот и на основните права на лицата, както и по отношение изпълнението на съответстващите права, както го изисква член 26, параграф 2 от Директива 95/46/ЕО.
Член 2
Настоящото решение се отнася единствено до адекватния характер на защитата, предоставяна чрез общите договорни клаузи за трансфера на лични данни, фигуриращи в приложението. Тя не засяга прилагането на другите национални разпоредби, привеждащи в действие Директива 95/46/ЕО, които се отнасят до обработката на личните данни в държавите-членки.
Настоящото решение се прилага за трансфера на лични данни от администраторите на данни, установени в Общността, до получатели, установени извън територията на Общността, които действат изключително като лица, обработващи данните.
Член 3
По смисъла на настоящото решение:
а)
прилагат се определенията, съдържащи се в Директива 95/46/ЕО;
б)
„особените категории данни“ са данни, посочени в член 8 на тази директива;
в)
„надзорен орган“ е органът, посочен в член 28 на въпросната директива;
г)
„износител на данни“ е администратор на данни, който трансферира личните данни;
д)
„вносител на данни“ е лице, обработващо данните, установено в трета страна, който се съгласява да приеме от износителя на данни лични данни, предназначени да бъдат обработени за сметка на последния след трансфера съгласно неговите инструкции и при условията на настоящото решение, и който не е част от системата на трета страна, гарантираща адекватна защита;
е)
„приложимо право за защита на данните“ е законодателството, защищаващо основните свободи и права на физическите лица, главно правото на личен живот, при обработката на личните данни, и прилагащо се за дадено лице, отговорно за обработката в страната, в който е установен износителят на данни;
ж)
„технически и организационни мерки, свързани със сигурността“ са мерките, предназначени да защищават личните данни срещу непредумишлено или незаконно унищожаване, неволно загубване, промяна, разгласяване или неразрешен достъп, главно когато обработката предполага превеждането на данни по мрежа, и срещу всяка друга незаконна форма на обработка.
Член 4
1. Без да се засягат правата им да предприемат мерки, целящи гарантирането на спазването на националните разпоредби, изработени съгласно глави II, III, IV, V и VI на Директива 95/46/ЕО, компетентните власти на държавите-членки могат да упражняват правата, с които разполагат, за да забраняват или да отменят временно потоците данни към трети страни, за да защищават лицата във връзка с обработката на техните лични данни, в случай, че:
а)
е установено, че правото, на което е субект вносителят на данни, му налага изискване за дерогиране от приложимото право за защита на данните, което се простира извън необходимите ограничения в демократично общество по една от посочените в член 13 от Директива 96/46/ЕО причини, когато тези задължения създават риска да бъдат забележимо изменени гаранциите, предоставяни от приложимото към защитата на данните право и общите договорни клаузи, или
б)
компетентна власт е установила, че вносителят на данни не е спазил договорните клаузи, фигуриращи в приложението, или
в)
е много вероятно общите договорни клаузи, фигуриращи в приложението, да не са или да не бъдат спазени и продължаването на трансфера да увеличи до висока степен риска на засегнатите лица да бъдат нанесени тежки вреди.
2. Забраната или временната отмяна се вдига веднага след изчезването на причините, които я мотивират.
3. Когато държавите-членки приемат мерки съгласно параграфи 1 и 2, те информират незабавно за това Комисията, която предоставя информацията на другите държави-членки.
Член 5
Комисията оценява прилагането на настоящото решение на базата на наличните информации три години след нотифицирането на държавите-членки. Тя представя на Комитета, създаден съгласно член 31 от Директива 96/46/ЕО доклад за осъществените констатации. Докладът включва всяко свидетелство, който е в състояние на повлияе на оценката, отнасяща се до адекватния характер на общите договорни клаузи, фигуриращи в приложението, както и всяко свидетелство, че настоящото решение се прилага по дискриминативен начин.
Член 6
Настоящото решение се прилага от 3 април 2002 г.
Член 7
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2001 година.
Decisão da Comissão
de 27 de Dezembro de 2001
relativa a cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para subcontratantes estabelecidos em países terceiros, nos termos da Directiva 95/46/CE
[notificada com o número C(2001) 4540]
(Texto relevante para efeitos do EEE)
(2002/16/CE)
A COMISSÃO DAS COMUNIDADES EUROPEIAS,
Tendo em conta o Tratado que institui a Comunidade Europeia,
Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados(1), e, nomeadamente, o n.o 4 do seu artigo 26.o,
Considerando o seguinte:
(1) Nos termos da Directiva 95/46/CE, os Estados-Membros devem assegurar que a transferência de dados pessoais para um país terceiro só possa realizar-se se o país terceiro em questão garantir um nível adequado de protecção de dados e se a legislação dos Estados-Membros, que é conforme às outras disposições da directiva, tiver sido respeitada antes de efectuada a transferência.
(2) Contudo, o n.o 2 do artigo 26.o da Directiva 95/46/CE estipula que os Estados-Membros podem autorizar, sujeitos a determinadas garantias, uma transferência ou um conjunto de transferências de dados pessoais para países terceiros que não assegurem um nível de protecção adequado. Essas garantias podem, designadamente, resultar de cláusulas contratuais adequadas.
(3) Nos termos da Directiva 95/46/CE, o nível de protecção dos dados pessoais deve ser apreciado em função de todas as circunstâncias que rodeiem a transferência ou o conjunto de transferências de dados. O grupo de trabalho de protecção das pessoas no que diz respeito ao tratamento de dados pessoais, instituído pela referida directiva(2), apresentou orientações destinadas a contribuir para essa apreciação(3).
(4) As cláusulas contratuais-tipo só se referem à protecção dos dados. O exportador de dados e o importador de dados podem incluir outras cláusulas sobre questões correlacionadas comercialmente que considerem pertinentes para o contrato desde que não contradigam as cláusulas contratuais-tipo.
(5) A presente decisão não deve impedir as autorizações nacionais que os Estados-Membros possam conceder em conformidade com as disposições nacionais nos termos do n.o 2 do artigo 26.o da Directiva 95/46/CE. A presente decisão apenas tem o efeito de requerer que os Estados-Membros não se recusem a reconhecer que as cláusulas contratuais nela estabelecidas oferecem garantias adequadas, não tendo, portanto, qualquer efeito sobre outras cláusulas contratuais.
(6) O âmbito da presente decisão limita-se a estipular que as cláusulas nela estabelecidas podem ser utilizadas por um responsável pelo tratamento de dados estabelecido na Comunidade, de modo a apresentar garantias adequadas, na acepção do n.o 2 do artigo 26.o da Directiva 95/46/CE, aquando de uma transferência de dados pessoais para um subcontratante estabelecido num país terceiro.
(7) A presente decisão deve executar a obrigação prevista no n.o 3 do artigo 17.o da Directiva 95/46/CE e não prejudica o conteúdo dos contratos ou actos jurídicos celebrados nos termos daquela disposição. Todavia, algumas das cláusulas contratuais-tipo, em especial no que respeita às obrigações do exportador de dados, devem ser introduzidas para aumentar a clareza no que se refere às disposições que podem ser incluídas num contrato entre um responsável pelo tratamento de dados e um subcontratante.
(8) As autoridades de controlo dos Estados-Membros desempenham um papel fundamental neste mecanismo contratual, assegurando a protecção adequada dos dados após a sua transferência. Nos casos excepcionais em que os exportadores de dados se recusem ou não possam dar instruções adequadas aos importadores de dados, podendo, dessa forma, prejudicar gravemente os titulares dos dados, as cláusulas contratuais-tipo devem permitir às autoridades de controlo realizar auditorias e, se for caso disso, tomar decisões vinculativas para os importadores de dados. As autoridades de controlo dos Estados-Membros devem ter o poder de proibir ou suspender uma transferência ou um conjunto de transferências de dados baseadas nas cláusulas contratuais-tipo, nos casos excepcionais em que se determine que uma transferência de base contratual possa ter um efeito adverso substancial nas garantias e obrigações que fornecem uma protecção adequada ao titular dos dados.
(9) No futuro, a Comissão também pode considerar se as cláusulas contratuais-tipo para a transferência de dados pessoais para subcontratantes estabelecidos em países terceiros que não ofereçam um nível adequado de protecção de dados, apresentadas pelas organizações empresariais e por outras partes interessadas, oferecem garantias adequadas em conformidade com o n.o 2 do artigo 26.o da Directiva 95/46/CE.
(10) A divulgação de dados pessoais a um subcontratante estabelecido fora da Comunidade é considerada uma transferência internacional protegida nos termos do capítulo IV da Directiva 95/46/CE. Por conseguinte, a presente decisão não abrange a transferência de dados pessoais efectuada por responsáveis pelo tratamento de dados estabelecidos na Comunidade para responsáveis pelo tratamento de dados estabelecidos fora da Comunidade que estejam abrangidos pelo âmbito de aplicação da Decisão 2001/497/CE da Comissão, de 15 de Junho de 2001, relativa às cláusulas contratuais-tipo aplicáveis às transferências de dados pessoais para países terceiros, nos termos da Directiva 95/46/CE(4).
(11) As cláusulas contratuais-tipo devem definir quais são as medidas de segurança técnicas e organizativas que um subcontratante estabelecido num país terceiro que não assegure uma protecção adequada deve aplicar para garantir um nível de segurança adequado em relação aos riscos que o tratamento representa e à natureza dos dados pessoais a proteger. As partes devem incluir uma disposição no contrato relativa às medidas técnicas e organizativas que, atendendo à legislação sobre protecção de dados aplicável, aos conhecimentos técnicos disponíveis e aos custos resultantes da sua aplicação, sejam necessárias para proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados e contra qualquer outra forma de tratamento ilícito.
(12) Por forma a facilitar o fluxo de dados da Comunidade, é desejável que os subcontratantes que prestem serviços de tratamento de dados a vários responsáveis pelo tratamento de dados na Comunidade sejam autorizados a aplicar as mesmas medidas de segurança técnicas e organizativas qualquer que seja o Estado-Membro de onde provenha a transferência dos dados, em particular nos casos em que o importador de dados receba dados para tratamento posterior provenientes de diferentes estabelecimentos do exportador de dados na Comunidade, caso em que deve aplicar-se a legislação do Estado-Membro de estabelecimento designado.
(13) Convém estabelecer a informação mínima que as partes devem especificar no contrato relativo à transferência. Os Estados-Membros devem conservar o poder de especificar quais as informações que as partes devem fornecer. O funcionamento da presente decisão deve ser revisto à luz da experiência adquirida.
(14) O importador de dados deve tratar os dados pessoais transferidos apenas por conta do exportador de dados, mediante as suas instruções e as obrigações contidas nas cláusulas. Em particular, o importador de dados não deve comunicar os dados pessoais a terceiros, excepto em conformidade com determinadas condições. O exportador de dados deve dar instruções ao importador de dados ao longo da duração dos serviços de tratamento de dados para proceder ao tratamento dos dados de acordo com as suas instruções, a legislação sobre protecção de dados aplicável e as obrigações contidas nas cláusulas. A transferência de dados pessoais para subcontratantes estabelecidos fora da Comunidade não invalida o facto de as actividades de tratamento serem regidas, de qualquer modo, pela legislação sobre protecção de dados aplicável.
(15) As cláusulas contratuais-tipo devem ser passíveis de execução não apenas pelas organizações signatárias do contrato, mas também pelos titulares dos dados, em particular quando os titulares dos dados sofrerem danos em consequência de uma violação do contrato.
(16) O titular dos dados deve ter o direito de intentar uma acção e de, se for caso disso, obter uma indemnização do exportador de dados que é o responsável pelo tratamento dos dados pessoais transferidos. A título excepcional, o titular dos dados deve também ter o direito de intentar uma acção e, se for caso disso, obter uma indemnização do importador de dados, nos casos em que, com base numa violação por parte do importador de dados de qualquer das suas obrigações referidas no segundo parágrafo da cláusula 3, o exportador de dados tenha desaparecido de facto ou tenha sido legalmente extinto ou se tenha tornado insolvente.
(17) Em caso de conflito que não possa ser resolvido de forma amigável entre o titular dos dados, invocando a cláusula do terceiro beneficiário, e o importador de dados, o importador de dados deve acordar em conceder ao titular dos dados a escolha entre a mediação, a arbitragem e o litígio. Até que ponto o titular dos dados terá uma escolha efectiva deve depender da disponibilidade de sistemas fiáveis reconhecidos de mediação e arbitragem. A mediação das autoridades de controlo responsáveis pela protecção dos dados do Estado-Membro em que o exportador de dados está estabelecido deve ser uma opção, sempre que tal entidade faculte esses serviços.
(18) A lei aplicável ao contrato deve ser a do Estado-Membro em que o exportador de dados está estabelecido quando permita a um terceiro beneficiário executar um contrato. Os titulares dos dados devem poder ser representados por associações ou outros organismos se assim o desejarem e se a legislação nacional o permitir.
(19) O grupo de trabalho de protecção das pessoas no que diz respeito ao tratamento de dados pessoais, instituído em conformidade com o artigo 29.o da Directiva 95/46/CE, emitiu um parecer sobre o nível de protecção oferecido pelas cláusulas contratuais-tipo anexadas à presente decisão, o qual foi tomado em consideração na elaboração da mesma(5).
(20) As medidas previstas na presente decisão estão em conformidade com o parecer do comité instituído pelo artigo 31.o da Directiva 95/46/CE,
ADOPTOU A PRESENTE DECISÃO:
Artigo 1.o
Considera-se que as cláusulas contratuais-tipo constantes do anexo oferecem garantias adequadas de protecção da vida privada e dos direitos e liberdades fundamentais das pessoas, assim como do exercício dos respectivos direitos, na acepção do n.o 2 do artigo 26.o da Directiva 95/46/CE.
Artigo 2.o
A presente decisão diz apenas respeito à adequação do nível de protecção concedido pelas cláusulas contratuais-tipo estabelecidas no anexo aplicáveis à transferência de dados pessoais para os subcontratantes. Não afecta a aplicação de outras disposições nacionais de transposição da Directiva 95/46/CE relativas ao tratamento de dados pessoais nos Estados-Membros.
A presente decisão aplica-se à transferência de dados pessoais efectuada por responsáveis pelo tratamento de dados estabelecidos na Comunidade para destinatários estabelecidos fora do território da Comunidade que actuem apenas como subcontratates.
Artigo 3.o
Para efeitos da presente decisão:
a) Aplicam-se as definições da Directiva 95/46/CE;
b) "Categorias especiais de dados" significa os dados a que se refere o artigo 8.o da citada directiva;
c) "Autoridade de controlo" significa a autoridade a que se refere o artigo 28.o da citada directiva;
d) "Exportador de dados" significa o responsável pelo tratamento que transfere os dados pessoais;
e) "Importador de dados" significa o subcontratante estabelecido num país terceiro que concorda em receber, do exportador, dados pessoais para serem tratados por conta deste depois da transferência, em conformidade com as suas instruções e nos termos da presente decisão e que não está sujeito a um sistema de um país terceiro que assegure uma protecção adequada;
f) "Legislação sobre protecção de dados aplicável" significa a legislação que protege os direitos e as liberdades fundamentais das pessoas singulares e, em particular, o seu direito à protecção da vida privada no que diz respeito ao tratamento dos seus dados pessoais, aplicável a um responsável pelo tratamento dos dados no Estado-Membro em que o exportador de dados está estabelecido;
g) "Medidas de segurança técnicas e organizativas" significa as medidas destinadas a proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito.
Artigo 4.o
1. Sem prejuízo das suas competências para tomar medidas que garantam o cumprimento das disposições nacionais adoptadas por força dos capítulos II, III, V e VI da Directiva 95/46/CE, as autoridades competentes dos Estados-Membros podem exercer as suas competências existentes para proibir ou suspender o fluxo de dados para países terceiros por forma a proteger as pessoas no que diz respeito ao tratamento dos seus dados pessoais, nos casos em que:
a) Seja determinado que a legislação a que o importador de dados está sujeito lhe impõe requisitos que lhe permitem derrogar a legislação sobre protecção de dados aplicável e que ultrapassam as restrições necessárias ao funcionamento de uma sociedade democrática tal como disposto no artigo 13.o da Directiva 95/46/CE, quando estes requisitos possam ter um efeito adverso substancial nas garantias fornecidas pela legislação sobre protecção de dados aplicável e pelas cláusulas contratuais-tipo, ou
b) Seja determinado, por uma entidade competente, que o importador de dados não respeitou as cláusulas contratuais em anexo, ou
c) Existam fortes probabilidades para supor que as cláusulas contratuais-tipo em anexo não estão a ser ou não virão a ser cumpridas e que a continuação da transferência dos dados pode causar graves prejuízos aos titulares dos dados.
2. A proibição ou suspensão, nos termos no n.o 1, serão levantadas assim que as razões para a suspensão ou proibição deixem de existir.
3. Quando os Estados-Membros adoptarem medidas em conformidade com o n.o 1 e o n.o 2, informarão o mais rapidamente possível a Comissão, a qual, por sua vez, informará os outros Estados-Membros.
Artigo 5.o
A Comissão avaliará o funcionamento da presente decisão com base na informação disponível três anos após a sua notificação aos Estados-Membros e apresentará um relatório sobre as conclusões do comité instituído pelo artigo 31.o da Directiva 95/46/CE, incluindo qualquer prova que possa afectar a avaliação no que diz respeito à adequação das cláusulas contratuais-tipo contidas no anexo e qualquer prova de que a presente decisão esteja a ser aplicada de forma discriminatória.
Artigo 6.o
A presente decisão aplica-se a partir de 3 de Abril de 2002.
Artigo 7.o
Os Estados-Membros são os destinatários da presente decisão.
Feito em Bruxelas, em 27 de Dezembro de 2001.