Komisjoni otsus,

15. juuni 2001,

kolmandatesse riikidesse isikuandmete edastamise lepingu tüüptingimuste kohta direktiivi 95/46/EÜ alusel

(teatavaks tehtud numbri K(2001) 1539 all)

(EMPs kohaldatav tekst)

(2001/497/EÜ)

EUROOPA ÜHENDUSTE KOMISJON,

võttes arvesse Euroopa Ühenduse asutamislepingut,

võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta, [1] eriti selle artikli 26 lõiget 4,

ning arvestades järgmist:

(1) Vastavalt direktiivile 95/46/EÜ peavad liikmesriigid sätestama, et isikuandmete edastamine kolmandatesse riikidesse võib toimuda üksnes siis, kui kõnesolev kolmas riik tagab piisava andmekaitse taseme ja kui enne andmete edastamist tunnustatakse liikmesriikide seadusi, mis järgivad kõnealuse direktiivi muid sätteid.

(2) Direktiivi 95/46/EÜ artikli 26 lõige 2 näeb siiski ette, et liikmesriigid võivad teatavate tagatiste korral lubada isikuandmete edastamist või edastamiste kogumit kolmandatesse riikidesse, mis ei taga piisavat kaitsetaset. Sellised tagatised võivad tuleneda eelkõige asjakohastest lepingutingimustest.

(3) Vastavalt direktiivile 95/46/EÜ peaks andmekaitse taset hindama kõiki andmete edastamistoimingu või edastamistoimingute kogumi asjaolusid silmas pidades. Kõnealuse direktiivi alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega [2] on välja andnud juhised hindamise hõlbustamiseks. [3]

(4) Direktiivi 95/46/EÜ artikli 26 lõige 2, mis näeb ette kolmandatesse riikidesse andmeid edastada sooviva organisatsiooni paindlikkust, ning artikli 26 lõige 4, mis sätestab lepingu tüüptingimused, on olulised vajaliku isikuandmete liikumise taseme hoidmiseks ühenduse ja kolmandate riikide vahel ilma asjatute kohustusteta ettevõtjatele. Kõnealused artiklid on eriti tähtsad seda tõsiasja silmas pidades, et tõenäoliselt võtab ühendus artikli 25 lõike 6 alusel piisavuse otsuseid vastu üksnes piiratud arvul riikides lühikese või keskmise tähtaja vältel.

(5) Lepingu tüüptingimused koos direktiivi 95/46/EÜ artikli 25 ning artikli 26 lõikega 1 ja 2 on vaid üks paljudest kõnealuse direktiivi alusel pakutavatest võimalustest, kuidas isikuandmeid seaduslikult kolmandasse riiki edastada. Organisatsioonidel on lihtsam isikuandmeid kolmandatesse riikidesse edastada, kui nad lepingu tüüptingimused oma lepingutesse sisse kirjutavad. Lepingu tüüptingimused on seotud üksnes andmekaitsega. Andmeeksportija ja andmeimportija võivad vabalt lisada mistahes muid ettevõtlusega seotud lepingutingimusi, nagu näiteks punktid vastastikuse abi kohta vaidluste korral andmesubjekti või järelevalveasutusega, mida nad lepingus asjakohaseks peavad, niikaua kui need ei lähe vastuollu lepingu tüüptingimustega.

(6) Käesolev otsus ei tohiks piirata riiklikke lubasid, mida liikmesriigid võivad anda kooskõlas direktiivi 95/46/EÜ artikli 26 lõiget 2 rakendavate siseriiklike õigusnormidega. Konkreetsete edastamiste asjaolud võivad nõuda, et vastutavad andmetöötlejad annavad erinevaid tagatisi artikli 26 lõike 2 tähenduses. Igatahes nõuab käesolev otsus ainult, et liikmesriigid ei keelduks tunnustamast selles kirjeldatud lepingutingimusi kui piisavaid tagatisi pakkuvaid tingimusi ning seepärast ei mõjuta otsus muid lepingutingimusi.

(7) Käesoleva otsuse reguleerimisala on piiratud, kehtestades, et lisas sätestatud tingimusi võib kasutada ühenduses asuv vastutav töötleja, et esitada piisavaid tagatisi direktiivi 95/46/EÜ artikli 26 lõikes 2 määratletud tähenduses. Isikuandmete edastamine kolmandatesse riikidesse on töötlemistoiming liikmesriigis, mille seaduslikkus allub siseriiklikele õigusaktidele. Direktiivi 95/46/EÜ artiklist 28 tulenevate ülesannete täitmisel ja võimu kasutamisel peaksid liikmesriikide andmekaitse järelevalveasutused jääma pädevaks, et hinnata, kas andmeeksportija on järginud direktiivi 95/46/EÜ sätteid rakendavaid siseriiklikke õigusakte ja eelkõige mistahes erireegleid teabe andmise kohustuse suhtes kõnealuse direktiivi alusel.

(8) Käesolev otsus ei hõlma isikuandmete edastamist ühenduses asuvatelt vastutavatelt töötajatelt väljaspool ühenduse territooriumi asuvatele vastuvõtjatele, kes tegutsevad üksnes volitatud töötlejatena. Kõnealused edastamised ei nõua samasuguseid tagatisi, sest volitatud töötleja tegutseb ainult vastutava töötleja nimel. Komisjon kavatseb seda tüüpi edastamist käsitleda ühes järgnevatest otsusest.

(9) On asjakohane sätestada minimaalne teabehulk, mida pooled peavad edastamist käsitlevas lepingus määratlema. Liikmesriikidele peaks jääma õigus detailiseerida teavet, mida pooled peavad esitama. Käesoleva otsuse toimivust peaks läbi vaatama kogemusi silmas pidades.

(10) Samuti kaalub Komisjon tulevikus, kas äriorganisatsioonide või muude huvitatud poolte esitatud lepingu tüüptingimused pakuvad piiisavaid tagatisi vastavalt direktiivile 95/46/EÜ.

(11) Samas kui pooled peaksid olema vabad kokku leppima, milliseid olulisi andmekaitse reegleid andmeimportija järgib, on siiski olemas teatud andmekaitse põhimõtted, mis peaksid igal juhul kehtima.

(12) Andmeid peaks töötlema ning hiljem kasutama või edastama ainult täpselt kehtestatud eesmärkidel ning neid ei peaks säilitama kauem kui vajalik.

(13) Direktiivi 95/46/EÜ artikli 12 kohaselt peaks andmesubjektil olema õigus tutvuda kõikide teda puudutavate andmetega ning vastavalt vajadusele parandada, kustutada või sulgeda teatavaid andmeid.

(14) Isikuandmete edasised edastamised kolmandas riigis asuvale teisele vastutavale töötlejale peaksid olema lubatud üksnes teatavatel tingimustel eelkõige tagamaks, et andmesubjektidele antakse õiget teavet ja et neil on võimalus vastuväiteid esitada või teatavatel juhtudel nõusoleku andmisest keelduda.

(15) Lisaks hindamisele, kas edastamised kolmandatesse riikidesse on kooskõlas siseriikliku õigusega, peaksid järelevalveasutused käesolevas lepingumehhanismis võtmerolli mängima, et tagada isikuandmete piisav kaitse pärast edastamist. Eriasjaoludel peaks liikmesriikide järelevalveasutustele jääma õigus keelata või peatada lepingu tüüptingimustel põhinev andmete edastamine või edastamiste kogum sellistel erandjuhtudel, kui on kindlaks tehtud, et lepinguline edastamine võib tõenäoliselt omada olulist ebasoodsat mõju tagatistele, mis sätestavad andmesubjekti piisava kaitse.

(16) Lepingu tüüptingimusi ei peaks saama täitmisele pöörata mitte ainult lepingupoolteks olevad organisatsioonid, vaid ka andmesubjektid eriti juhul, kui andmesubjektid kannavad kahju lepingu rikkumise tagajärjel.

(17) Lepingu ülimuslik seadus peaks olema selle liikmesriigi õigus, kus andmeeksportija asub, võimaldades soodustatud kolmandal isikul lepingut täitmisele pöörata. Andmesubjektidele peaks olema lubatud lasta ennast esindada ühendustel või muudel organitel, kui nad seda soovivad ja kui see on siseriiklike õigusaktidega lubatud.

(18) Vähendamaks praktilisi raskusi, millega andmesubjektid võivad kokku puutuda, kui nad püüavad lepingu tüüptingimuste alusel oma õigusi teostada, peaksid andmeeksportija ja andmeimportija vastutama solidaarselt kahjude eest, mis tulenevad soodustatud kolmanda isiku sättega hõlmatud lepingupunktide mistahes rikkumisest.

(19) Andmesubjektil on õigus astuda samme ning saada andmeeksportijalt, andmeimportijalt või mõlemalt hüvitist kahju eest, mis tuleneb lepingu tüüptingimustes sisalduvate kohustustega vastuolulisest teost. Mõlemat poolt võib kõnealusest vastutusest vabastada, kui nad tõestavad, et kumbki neist ei olnud vastutav.

(20) Solidaarvastutus ei laiene nendele lepingupunktidele, mida ei hõlma soodustatud kolmanda isiku säte, ning ei kohusta ühte poolt hüvitama kahju, mida põhjustas teise poole ebaseaduslik töötlemine. Ehkki pooltevaheline vastastikune hüvitis ei ole andmesubjektide piisava kaitse tagamise nõue, mille võib seepärast välja jätta, kaasatakse kõnealune säte lepingu tüüptingimustesse selguse huvides ning selleks, et vältida poolte vajadust hüvitise tingimustes eraldi läbi rääkida.

(21) Poolte ja andmesubjekti vahelise vaidluse korral, mida ei ole sõbralikult lahendatud ja mille puhul andmesubjekt tugineb soodustatud kolmanda isiku sättele, nõustuvad pooled andma andmesubjektile valiku lepitamise, vahekohtu või kohtuvaidluse vahel. Andmesubjekti käsutuses oleva tegeliku valiku ulatus sõltub lepitamise ja vahekohtu usaldusväärsete ning tunnustatud süsteemide kättesaadavusest. Liikmesriikide järelevalveasutuste poolne lepitamine peaks olema valikuks siis, kui nad sellist teenust osutavad.

(22) Direktiivi 95/46/EÜ artikli 29 alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega on esitanud arvamuse kaitsetaseme kohta, mida pakuvad käesolevale otsusele lisatud lepingu tüüptingimused ja mida on selle otsuse ettevalmistamisel arvesse võetud. [4]

(23) Käesoleva otsusega ettenähtud meetmed on kooskõlas direktiivi 95/46/EÜ artikli 31 alusel loodud komitee arvamusega,

ON VASTU VÕTNUD KÄESOLEVA OTSUSE:

Artikkel 1

Lisas sätestatud lepingu tüüptingimusi käsitletakse piisavate tagatistena üksikisikute eraelu puutumatuse ning põhiõiguste ja -vabaduste kaitseks ning vastavate õiguste teostamiseks, nagu on nõutud direktiivi 9/46/EÜ artikli 26 lõikes 2.

Artikkel 2

Käesolev otsus käsitleb üksnes kaitse piisavust, mida pakuvad lisas sätestatud isikuandmete edastamise lepingu tüüptingimused. See ei mõjuta muude direktiivi 95/46/EÜ rakendavate siseriiklike õigusnormide kohaldamist, mis on seotud isikuandmete töötlemisega liikmesriikide piires.

Käesolev otsus ei kehti isikuandmete edastamise kohta ühenduses asuvatelt vastutavatelt töötlejatelt väljaspool ühenduse territooriumi asuvatele vastuvõtjatele, kes tegutsevad üksnes volitatud töötlejatena.

Artikkel 3

Käesolevas otsuses kasutatakse järgmisi mõisteid:

a) kehtivad direktiivi 95/46/EÜ mõisted;

b) andmete eriliigid – kõnealuse direktiivi artiklis 8 märgitud andmed;

c) järelevalveasutus – kõnealuse direktiivi artiklis 28 märgitud organ;

d) andmeeksportija – vastutav töötleja, kes edastab isikuandmeid;

e) andmeimportija – vastutav töötleja, kes nõustub võtma andmeeksportijalt vastu isikuandmeid nende edasiseks töötlemiseks kooskõlas käesoleva otsuse tingimustega.

Artikkel 4

1. Ilma et see piiraks nende volitusi võtta meetmeid tagamaks vastavust siseriiklikele õigusnormidele, mis on vastu võetud direktiivi 95/46/EÜ II, III, V ja VI peatüki kohaselt, võivad liikmesriikide pädevad organid kasutada neil olemasolevaid volitusi keelata või peatada andmete liikumine kolmandatesse riikidesse, et kaitsta üksikisikuid seoses nende isikuandmete töötlemisega juhul, kui:

a) on kindlaks tehtud, et andmeimportija kohta kehtiv seadus kehtestab talle nõudeid kalduda kõrvale asjakohastest andmekaitse reeglitest, et kõnealused nõuded lähevad kaugemale direktiivi 95/46/EÜ artiklis 13 sätestatud demokraatlikus ühiskonnas vajalikest piirangutest ja et need nõuded võivad tõenäoliselt omada olulist ebasoodsat mõju lepingu tüüptingimustega ettenähtud tagatistele; või

b) pädev organ on kindlaks teinud, et andmeimportija ei ole järginud lepingutingimusi; või

c) on olemas oluline tõenäosus, et lisas esitatud lepingu tüüptingimusi ei järgita ning et jätkuv edastamine looks ähvardava ohu tõsise kahju tekkimiseks andmesubjektidele.

2. Keelamine või peatamine vastavalt lõikele 1 tühistatakse kohe, kui keelamise või peatamise põhjusi enam pole.

3. Kui liikmesriigid võtavad meetmeid vastavalt lõikele 1 ja 2, peavad nad neist meetmetest viivitamata komisjonile teatama, mis edastab saadud teabe teistele liikmesriikidele.

Artikkel 5

Komisjon hindab käesoleva otsuse toimivust kättesaadava teabe alusel kolme aasta pärast alates otsuse teatavakstegemisest liikmesriikidele. Tulemuste kohta esitab ta aruande direktiivi 95/46/EÜ artikli 31 alusel loodud komiteele. Aruanne sisaldab mistahes tõendusmaterjali, mis võiks mõjutada lisas esitatud lepingu tüüptingimuste piisavuse hindamist, ning mistahes tõendusmaterjali, et käesolevat otsust kohaldatakse diskrimineerivalt.

Artikkel 6

Käesolevat otsust kohaldatakse alates 3. septembrist 2001.

Artikkel 7

Käesolev otsus on adresseeritud liikmesriikidele.

Brüssel, 15. juuni 2001

Komisjoni nimel

komisjoni liige

Frederik Bolkestein

[1] EÜT L 281, 23.11.1995, lk 31.

[2] Töörühma veebiaadress on:http://www.europa.eu.intlcomm/internal_market/en/medial/dataprot/wpdocs/index.htm.

[3] WP 4 (5020/97): "Esimeste suunistega töödokument isikuandmete edastamise kohta kolmandatesse riikidesse – võimalikud edasised sammud piisavuse hindamisel", 26. juunil 1997 töörühma poolt vastuvõetud aruteludokument.WP 7 (5057/97): "Majandusharu eneseregulatsiooni hindamine: millal annab see olulise panuse andmekaitse tasemele kolmandas riigis?", 14. jaanuaril 1998 töörühma poolt vastuvõetud töödokument.WP 9 (3005/98): "Esialgsed arvamused lepinguliste sätete kasutamise kohta isikuandmete kolmandatesse riikidesse edastamise kontekstis", 22. aprillil 1998 töörühma poolt vastuvõetud töödokument.WP 12: "Isikuandmete edastamised kolmandatesse riikidesse: EL-i andmekaitse direktiivi artiklite 25 ja 26 kohaldamine", 24. juulil 1998 töörühma poolt vastuvõetud töödokument, kättesaadav Euroopa Komisjoni hallataval veebipõhisel dokumendisaidil: europa.eu.int/comm/internal_market/en/media.dataprot/wpdocs/wp12/en.

[4] 26. jaanuaril 2001 töörühma poolt vastuvõetud arvamus nr 1/2001 (DG MARKT 5102/00 WP 38), mis on kättesaadav Euroopa Komisjoni hallataval veebilehel "Europa".

--------------------------------------------------

LISA

+++++ TIFF +++++

+++++ TIFF +++++

+++++ TIFF +++++

+++++ TIFF +++++

--------------------------------------------------