32004D0915
L 385/74
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕШЕНИЕ НА КОМИСИЯТА
от 27 декември 2004 година
за изменение на Решение 2001/497/ЕО за въвеждане на алтернативен комплект общи договорни клаузи за прехвърляне на лични данни в трети страни
(нотифицирано под номер С(2004) 5271)
(текст от значение за ЕИП)
(2004/915/ЕО)
КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,
като взе предвид Договора за създаване на Европейската общност,
като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. относно защитата на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 26, параграф 4 от нея,
като има предвид, че:
(1)
С цел улесняване на потоците данни от Общността е желателно лицата, отговарящи за обработката на данните, да могат да извършват прехвърлянето на данни глобално и с прилагане на единен комплект правила за защита на данните. В отсъствието на глобални норми за защита на данните, общите договорни клаузи осигуряват важен инструмент, позволяващ прехвърлянето на лични данни от всички държави-членки при спазване на общ за всички комплект правила. Във връзка с това в Решение 2001/497/ЕО на Комисията от 15 юни 2001 г. относно общите договорни клаузи за трансфера на лични данни към трети страни съгласно Директива 95/46/ЕО (2) се посочва модел на комплект общи договорни клаузи, който осигурява адекватни предпазни мерки за прехвърлянето на данни на трети страни.
(2)
От приемането на посоченото решение е придобит значителен опит. Освен това, с оглед при използването на различни механизми да се осигури ниво на защита на данните, еквивалентно на това, което се осигурява от комплекта общи договорни клаузи, предвидени в Решение 2001/497/ЕО, една група от стопански сдружения (3) представи комплект алтернативни общи договорни клаузи.
(3)
Тъй като използването на общите договорни клаузи за прехвърляне на данни в международен мащаб е доброволно, като общите договорни клаузи са само една от няколкото възможности съгласно Директива 95/46/ЕО за законно прехвърляне на лични данни в трета страна, износителите на данни на територията на Общността и вносителите на данни в трети страни би следвало да разполагат със свободата да избират друг комплект от общи договорни клаузи или друга правна основа за прехвърляне на данни. Тъй като всеки комплект като цяло оформя модел, на износителите на данни не бива да се позволява да променят тези комплекти, нито изцяло, нито частично да ги смесват по какъвто и да било начин.
(4)
Общите договорни клаузи, представени от стопанските сдружения, имат за цел увеличаване на използването на договорни клаузи сред операторите с помощта на някои механизми, като например по-гъвкави изисквания по отношение на ревизиите и по-подробни правила относно правото на достъп.
(5)
Освен това, като алтернатива на системата на солидарна отговорност, предвидена в Решение 2001/497/ЕО, в сега предложения комплект се съдържа режим на отговорност, основан на задълженията за добросъвестно изпълнение на поставените задачи в случаите, в които износителят на данните и вносителят на данните биха били задължени по отношение на субектите на данните за съответно нарушение на своите договорни задължения; освен това износителят на данните отговаря, ако не положи разумни усилия да определи дали вносителят на данните е в състояние да спази своите правни задължения съгласно клаузите (culpa in eligendo), като в този случай субектът на данните може да заведе съдебно дело срещу износителя на данните. Прилагането на клауза I, буква б) от новия комплект общи договорни клаузи е от особено значение в това отношение и в частност във връзка с възможността износителят на данните да провежда ревизии в помещенията на вносителите на данните или да изисква доказателства за достатъчно финансови ресурси, които да покриват изпълнението на неговите отговорности.
(6)
Що се отнася до упражняването от субектите на данните на правата им на бенефициери, се предвижда по-голяма ангажираност на износителя на данните при решаването на жалби от страна на субектите на данните, при което износителят на данните е задължен да влезе в контакт с вносителя на данните и при необходимост да търси принудително изпълнение на договора в рамките на обичайния едномесечен период. В случай че износителят на данните откаже да търси принудително изпълнение на договора, като същевременно нарушението на вносителя на данните все още продължава, субектът на данните може в такъв случай да търси принудително изпълнение на клаузите спрямо вносителя на данните и евентуално да предяви иск срещу него в съда на някоя от държавите-членки. Това приемане на юрисдикция и съгласието за спазване на решение на компетентен съд или орган по защита на данните не накърнява никои процесуални права на вносителите на данните, установени в трети страни, като например правото на обжалване.
(7)
При това обаче, с цел предотвратяване на злоупотребите с тази допълнителна гъвкавост, е целесъобразно да се обезпечи органите за защита на данните да могат по-лесно да забраняват или да отменят прехвърляния на данни, като при това се основават на новия комплект общи договорни клаузи в онези случаи, в които износителят на данните откаже да предприеме целесъобразните стъпки с цел прилагане на договорните задължения срещу вносителя на данните или в случай че последният откаже да сътрудничи доброволно на компетентните надзорни органи за защита на данните.
(8)
Използването на общите договорни клаузи ще се осъществява, без да се засяга прилагането на националните разпоредби, приети в съответствие с Директива 95/46/ЕО или с Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 г. относно обработката на лични данни и защитата на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронните комуникации) (4) и по-специално що се отнася до изпращането на търговски съобщения за целите на директния маркетинг.
(9)
На тази основа предпазните мерки, съдържащи се в представените общи договорни клаузи, могат да се считат за адекватни по смисъла на член 26, параграф 2 от Директива 95/46/ЕО.
(10)
Работната група за защита на физическите лица по отношение на обработката на лични данни, създадена в съответствие с член 29 от Директива 95/46/ЕО, представи своето становище (5) относно нивото на защита, предвидено съгласно представяните общи договорни клаузи, което също бе взето предвид.
(11)
С цел оценка на функционирането на измененията на Решение 2001/497/ЕО, е целесъобразно Комисията да им даде оценка три години след тяхното нотифициране до държавите-членки.
(12)
Решение 2001/497/ЕО следва да бъде съответно изменено.
(13)
Мерките, предвидени в настоящото решение, са в съответствие със становището на комитета, създаден съгласно член 31 от Директива 95/46/ЕО,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Решение 2001/497/ЕО се изменя, както следва:
1.
В член 1 се добавя следният параграф:
„Контролиращите данните органи, , могат да избират между комплект I или комплект II от приложението. При това обаче те не могат да изменят клаузите, нито да комбинират отделни клаузи от различните комплекти или самите комплекти.“
2.
В член 4 параграфи 2 и 3 се заменят със следния текст:
„2. За целите на параграф 1 контролиращият орган, предприема целесъобразни предпазни мерки на базата на общите договорни клаузи, съдържащи се в комплект II от приложението, компетентните власти по защита на данните имат правото да упражняват своите правомощия и да забраняват или спират потоци данни във всеки от следните случаи:
а)
отказ на вносителя на данните да оказва доброволно сътрудничество на органите за защита на данните или да спазва своите ясни задължения съгласно договора;
б)
отказ на износителя на данни да предприеме целесъобразни стъпки по търсене на принудително изпълнение на договора срещу вносителя на данни в рамките на обичайния едномесечен период след уведомлението, изпратено на износителя на данни от компетентния орган за защита на данните.
За целите на първа алинея недобросъвестен отказ или отказ за търсене на принудително изпълнение на договор от страна на вносителя на данни не включва случаите, в които сътрудничеството или принудителното изпълнение на договора би влязло в конфликт с императивните изисквания на националното законодателство, приложими по отношение на вносителя на данни, които не надхвърлят необходимото в демократичното общество на базата на един от интересите, изброени в член 13, параграф 1 от Директива 95/46/ЕО и по-специално санкциите, предвидени в международните и/или националните инструменти, изискванията по отношение на декларирането на данъци или изискванията за докладване на случаи на пране на пари.
За целите на първа алинея, буква а) сътрудничеството, в частност, може да включва предаването от страна на вносителя на данни на техническите средства за обработка с цел извършване на ревизия или задължението да спазва съветите на надзорния орган за защита на данните на територията на Общността.
3. Забраната или прекратяването съгласно параграфи 1 и 2 се отменя, веднага щом причините за забраната или прекратяването престанат да съществуват.
4. Когато държавите-членки приемат мерки в съответствие с параграфи 1, 2 и 3, те незабавно информират Комисията, която изпраща информацията до останалите държави-членки.“.
3.
В член 5 първото изречение се замества със следния текст:
„Комисията дава оценка на функционирането на настоящото решение въз основа на наличната информация три години след неговото нотифициране и нотифицирането на всички негови изменения до държавите-членки.“.
4.
Приложението се изменя, както следва:
1.
След заглавието се добавя терминът „КОМПЛЕКТ I“.
2.
Добавя се текстът, посочен в приложението към настоящото решение.
Член 2
Настоящото решение се прилага от 1 април 2005 г.
Член 3
Адресати на настоящото решение са държавите-членки.
Съставено в Брюксел на 27 декември 2004 година.
DECISÃO DA COMISSÃO
de 27 de Dezembro de 2004
que altera a Decisão 2001/497/CE no que se refere à introdução de um conjunto alternativo de cláusulas contratuais típicas aplicáveis à transferência de dados pessoais para países terceiros
[notificada com o número C(2004) 5271]
(Texto relevante para efeitos do EEE)
(2004/915/CE)
A COMISSÃO DAS COMUNIDADES EUROPEIAS,
Tendo em conta o Tratado que institui a Comunidade Europeia,
Tendo em conta a Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), nomeadamente o n.o 4 do artigo 26.o,
Considerando o seguinte:
(1)
A fim de facilitar o fluxo de dados a partir da Comunidade, é conveniente que os responsáveis pelo tratamento possam realizar transferências globais de dados, ao abrigo de um conjunto único de regras de protecção de dados. Na ausência de normas globais de protecção dos dados, as cláusulas contratuais típicas constituem um importante instrumento que permite a transferência de dados pessoais a partir de todos os Estados-Membros, ao abrigo de um conjunto de regras comuns. Para este efeito, a Decisão 2001/497/CE da Comissão, de 15 de Junho de 2001, relativa às cláusulas contratuais-tipo aplicáveis à transferência de dados pessoais para países terceiros, nos termos da Directiva 95/46/CE (2), estabelece um conjunto de cláusulas contratuais típicas que prevê as garantias adequadas para a transferência de dados para países terceiros.
(2)
Adquiriu-se muita experiência desde a adopção da referida decisão. Além disso, um grupo de associações empresariais (3) apresentou um conjunto de regras contratuais típicas alternativas concebidas de modo a fornecer um nível de protecção de dados equivalente ao assegurado pelas cláusulas contratuais típicas fixadas na Decisão 2001/497/CE, recorrendo a mecanismos diferentes.
(3)
Dado que a utilização de cláusulas contratuais típicas para a transferência internacional de dados é voluntária, constituindo apenas uma das várias alternativas previstas na Directiva 95/46/CE no que se refere à transferência legal de dados pessoais para países terceiros, os exportadores comunitários de dados e os seus importadores em países terceiros devem ter a faculdade de escolher um dos conjuntos de cláusulas contratuais típicas ou outra base legal para a transferência de dados. Uma vez que cada conjunto no seu todo constitui um modelo, os exportadores de dados não devem, por isso, ter legitimidade para os alterar ou fundir, parcialmente ou na íntegra, seja de que modo for.
(4)
As cláusulas contratuais típicas apresentadas pelas associações empresariais visam o aumento da utilização de cláusulas contratuais entre os operadores, através de mecanismos como a maior flexibilidade dos requisitos em matéria de auditorias ou regras mais minuciosas em matéria de direito de acesso.
(5)
Por outro lado, enquanto alternativa ao sistema de responsabilidade conjunta e solidária previsto na Decisão 2001/497/CE, o novo conjunto agora apresentado inclui um regime de responsabilidade baseado em obrigações de diligência devida, segundo as quais o exportador de dados e o seu importador seriam responsáveis perante as pessoas em causa em caso de violação das respectivas obrigações contratuais; o exportador de dados é igualmente responsável por não envidar os esforços razoáveis para que o importador de dados possa cumprir as obrigações legais decorrentes das cláusulas (culpa in eligendo) e as pessoas em causa podem agir judicialmente contra o exportador a este respeito. A aplicação da cláusula I, alínea b), do novo conjunto de cláusulas contratuais típicas é particularmente importante neste caso, em especial ligado à possibilidade de os exportadores de dados realizarem auditorias às instalações dos importadores de dados ou de exigirem provas quanto a recursos financeiros suficientes para cumprimento das respectivas responsabilidades.
(6)
No que se refere ao exercício dos direitos de terceiros beneficiários por parte das pessoas em causa, prevê-se maior participação do exportador de dados na apreciação das queixas daquelas pessoas, sendo o exportador obrigado a contactar o importador de dados e, se for o caso, executar o contrato no prazo normal de um mês. Se o exportador de dados se recusar a executar o contrato e a violação do importador de dados se mantiver, o titular dos dados pode então recorrer às cláusulas para agir contra o importador de dados e até proceder judicialmente contra ele num Estado-Membro. A aceitação desta jurisdição e o acordo no sentido de cumprir uma decisão de um tribunal competente ou de uma autoridade de protecção de dados não prejudicam os eventuais direitos processuais dos importadores de dados previstos em países terceiros, tal como o direito de recurso.
(7)
Todavia, a fim de prevenir abusos decorrentes desta flexibilidade adicional, é conveniente prever que as autoridades de protecção de dados podem, com maior facilidade, proibir ou suspender as transferências de dados com base no novo conjunto de cláusulas contratuais típicas nos casos em que o exportador de dados se recusar a dar os passos necessários para executar as obrigações contratuais contra o importador de dados ou naqueles em que este último se recusar a cooperar de boa fé com as autoridades competentes de supervisão em matéria de protecção de dados.
(8)
A utilização de cláusulas contratuais típicas não afectará a aplicação das disposições nacionais aprovadas nos termos das Directivas 95/46/CE ou 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de Julho de 2002, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das comunicações electrónicas (directiva sobre a privacidade e as comunicações electrónicas) (4), em especial no que toca ao envio de comunicações comerciais a cidadãos da União Europeia.
(9)
Com esta base, as garantias previstas nas cláusulas contratuais típicas apresentadas podem considerar-se adequadas, na acepção do n.o 2 do artigo 26.o da Directiva 95/46/CE.
(10)
O parecer emitido pelo grupo de protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, instituído pelo artigo 29.o da Directiva 95/46/CE (5), relativo ao nível de protecção previsto nas cláusulas contratuais típicas apresentadas foi tido em conta.
(11)
A fim de avaliar a aplicação das alterações à Decisão 2001/497/CE, é conveniente que a Comissão as aprecie três anos após a respectiva notificação aos Estados-Membros.
(12)
A Decisão 2001/497/CE deve ser alterada em conformidade.
(13)
As medidas previstas na presente decisão são conformes com o parecer do comité instituído pelo artigo 31.o da Directiva 95/46/CE,
ADOPTOU A PRESENTE DECISÃO:
Artigo 1.o
A Decisão 2001/497/CE é alterada do seguinte modo:
1.
Ao artigo 1.o, é aditado o seguinte parágrafo:
«Os responsáveis pelo tratamento de dados podem escolher entre os conjuntos I e II constantes do anexo. Não podem, porém, alterar as cláusulas nem combinar separadamente as cláusulas ou os conjuntos.».
2.
No artigo 4.o, os n.os 2 e 3 passam a ter a seguinte redacção:
«2. Para efeitos do n.o 1, sempre que o responsável pelo tratamento de dados alegar garantias adequadas com base nas cláusulas contratuais típicas do conjunto II do anexo, as autoridades competentes para a protecção de dados podem exercer os respectivos poderes previstos para proibir ou suspender os fluxos de dados se:
a)
O importador de dados se recusar a cooperar de boa fé com as autoridades de protecção de dados ou a cumprir as respectivas obrigações que decorrem claramente do contrato;
b)
O exportador de dados se recusar a adoptar as medidas apropriadas para executar o contrato contra o importador de dados no prazo normal de um mês, após o aviso da autoridade competente responsável pela protecção dos dados ao exportador de dados.
Para efeitos da primeira alínea, a recusa de má fé ou a recusa de execução do contrato por parte do importador de dados não inclui os casos em que a cooperação ou a execução entrariam em conflito com as exigências da legislação nacional aplicáveis ao importador de dados, que não ultrapassem o necessário numa sociedade democrática com base num dos interesses enunciados no n.o 1 do artigo 13.o da Directiva 95/46/CE, em especial as sanções, fixadas em instrumentos internacionais e/ou nacionais, a obrigação de apresentar declarações de rendimentos ou relativas ao branqueamento de capitais.
Para efeitos da alínea a) do n.o 1, a cooperação pode incluir, nomeadamente, a apresentação dos meios de processamento de dados do importador para auditoria ou a obrigação de respeitar o parecer da autoridade de controlo da protecção de dados da Comunidade.
3. A proibição ou suspensão, nos termos dos n.os 1 e 2, serão levantadas assim que os seus fundamentos deixem de se verificar.
4. Sempre que os Estados-Membros adoptarem medidas nos termos dos n.os 1, 2 e 3, devem informar sem demora a Comissão, que do facto dará conhecimento aos outros Estados-Membros.».
3.
A primeira frase do artigo 5.o passa a ter a seguinte redacção:
«A Comissão apreciará da aplicação da presente decisão, com base nas informações disponíveis, três anos após a sua notificação e após a notificação das eventuais alterações aos Estados-Membros.».
4.
O anexo é alterado do seguinte modo:
1.
A expressão «CONJUNTO I» é inserida após o título.
2.
É aditado o texto constante do anexo da presente decisão.
Artigo 2.o
A presente decisão é aplicável a partir de 1 de Abril de 2005.
Artigo 3.o
Os Estados-Membros são os destinatários da presente decisão.
Feito em Bruxelas, em 27 de Dezembro de 2004.