Komisijas Lēmums

( 2004. gada 27. decembris),

ar ko groza Lēmumu 2001/497/EK attiecībā uz alternatīvu līguma standartklauzulu ieviešanu personas datu nosūtīšanai trešām valstīm

(izziņots ar dokumenta numuru K(2004) 5271)

(Dokuments attiecas uz EEZ)

(2004/915/EK)

EIROPAS KOPIENU KOMISIJA,

ņemot vērā Eiropas Kopienas dibināšanas līgumu,

ņemot vērā Eiropas Parlamenta un Padomes 1995. gada 24. oktobra Direktīvu 95/46/EK par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti [1], un jo īpaši tās 26. panta 4. punktu,

tā kā:

(1) Lai atvieglotu datu plūsmu no Kopienas, vēlams, lai atbildīgajiem par datu apstrādi būtu iespējams veikt datu nosūtīšanu globālā mērogā, ievērojot vienotu datu aizsardzības noteikumu kopumu. Laikā, kad nepastāv globāli datu aizsardzības standarti, līguma standartklauzulas ir svarīgs instruments, kas ļauj nosūtīt personas datus no visām dalībvalstīm, ievērojot vienotu noteikumu kopumu. Tādēļ Komisijas 2001. gada 15. jūnija Lēmums 2001/497/EK par līguma standartklauzulām attiecībā uz personas datu nosūtīšanu trešām valstīm saskaņā ar Direktīvu 95/46/EK [2] ievieš līguma standartklauzulu modeli-kopumu, kas nodrošina atbilstošu drošību datu nosūtīšanai trešām valstīm.

(2) Kopš šā lēmuma pieņemšanas ir iegūta liela pieredze. Turklāt biznesa asociāciju koalīcija [3] iesniegusi alternatīvu līguma standartklauzulu kopumu, kas sastādītas, lai sniegtu datu aizsardzības līmeni, kas līdzvērtīgs tam, ko nodrošina līguma standartklauzulu kopums, kas iekļautas Lēmumā 2001/497/EK, tajā pašā laikā izmantojot dažādus mehānismus.

(3) Tā kā līguma standartklauzulu izmantošana starptautiskai datu nosūtīšanai ir brīvprātīga, jo līguma standartklauzulas ir tikai viena no vairākām iespējām, ko Direktīva 95/46/EK paredz likumīgai personas datu nosūtīšanai trešām valstīm, datu nosūtītājiem Kopienā un datu saņēmējiem trešajās valstīs jābūt tiesībām brīvi izvēlēties jebkuru no līguma standartklauzulu kopumiem vai izvēlēties kādu citu juridisku pamatu datu nosūtīšanai. Tā kā katrs kopums veido atsevišķu modeli, datu nosūtītājiem nedrīkst atļaut šos kopumus grozīt vai jebkādā veidā pilnīgi vai daļēji apvienot.

(4) Biznesa asociāciju iesniegto līguma standartklauzulu mērķis ir palielināt līguma klauzulu izmantojumu operatoru starpā ar tādu mehānismu palīdzību, kā elastīgākas pārbaudes prasības, sīkāk izstrādāti noteikumi par piekļuves tiesībām.

(5) Turklāt kā alternatīvu solidārās atbildības sistēmai, kas paredzēta Lēmumā 2001/497/EK, tagad iesniegtais kopums paredz atbildības sistēmu, kam pamatā ir pienākums ievērot pienācīgu rūpīgumu, saskaņā ar ko datu nosūtītājs un datu saņēmējs vis-a-vis būtu atbildīgs pret datu subjektiem par savu līgumsaistību neizpildi; datu nosūtītājs atbild arī par saprātīgi nepieciešamo pasākumu veikšanu, lai noskaidrotu, vai datu saņēmējs spēj pildīt savas līgumā paredzētās saistības (culpa in eligendo), un datu subjekts šajā saistībā var sniegt prasību pret datu nosūtītāju. Jaunā līguma standartklauzulu kopuma I klauzulas b) punkta izpilde šajā sakarībā ir īpaši svarīga saistībā ar datu nosūtītāja iespēju veikt pārbaudes datu saņēmēja telpās vai pieprasīt pierādījumus par pietiekamu finanšu resursu esamību, lai izpildītu savas saistības.

(6) Kas attiecas uz gadījumu, kad datu subjekts savas tiesības realizē kā ieinteresētā trešā persona, datu nosūtītājam tiek paredzēta lielāka iesaistīšanās datu subjektu sūdzību izskatīšanā – datu nosūtītājam ir pienākums sazināties ar datu saņēmēju un, ja nepieciešams, panākt līguma izpildi termiņā, kas parasti ir viens mēnesis. Ja datu nosūtītājs atsakās panākt līguma izpildi un datu saņēmējs turpina nepildīt tam līgumā noteiktos pienākumus, datu subjekts var prasīt līguma izpildi no datu saņēmēja un iesūdzēt to tiesā kādā dalībvalstī. Šī tiesas jurisdikcijas atzīšana un piekrišana pildīt piekritīgās tiesas vai datu aizsardzības iestādes lēmumu neskar trešā valstī dibinātu datu saņēmēju procesuālās tiesības, piemēram, lēmuma pārsūdzības tiesības.

(7) Tomēr, lai novērstu šā papildu elastīguma ļaunprātīgu izmantošanu, nepieciešams nodrošināt, lai datu aizsardzības iestādes vienkāršāk varētu aizliegt vai apturēt datu nosūtīšanu, pamatojoties uz jauno līguma standartklauzulu kopumu tajos gadījumos, kad datu nosūtītāji atsakās veikt atbilstošus pasākumus, lai panāktu līguma saistību izpildi no datu saņēmēja vai pēdējais atsakās labticīgi sadarboties ar kompetentām datu aizsardzības uzraudzības iestādēm.

(8) Līguma standartklauzulas tiks izmantotas, neskarot valsts iekšējo tiesību aktu piemērošanu, kas pieņemti saskaņā ar Direktīvu 95/46/EK vai Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK ( 2002. gada 12. jūlijs) attiecībā uz personas datu apstrādi un privātās dzīves aizsardzību elektroniskās komunikācijas nozarē (Direktīva par privāto dzīvi un elektronisko komunikāciju) [4], jo īpaši tādā mērā, cik tas attiecas uz komerciāla rakstura informācijas nosūtīšanu ES pilsoņiem.

(9) Pamatojoties uz to, līguma standartklauzulās iekļautie drošības mehānismi var tikt uzskatīti par atbilstošiem Direktīvas 95/46/EK 26. panta 2. punkta nozīmē.

(10) Darba grupa personu aizsardzībai attiecībā uz personas datu apstrādi, kas izveidota saskaņā ar Direktīvas 95/46/EK 29. punktu, ir sniegusi atzinumu [5] par aizsardzības līmeni, kas tiek nodrošināts ar ierosinātajām līguma standartklauzulām un kas tika ņemts vērā.

(11) Lai novērtētu Lēmuma 2001/497/EK grozījumu piemērošanu, būtu lietderīgi, ka Komisija to izvērtē trīs gadus pēc grozījumu paziņošanas dalībvalstīm.

(12) Lēmums 2001/497/EK attiecīgi jāgroza.

(13) Lēmuma vajadzībām piedāvātie pasākumi ir saskaņā ar komitejas, kas izveidota saskaņā ar Direktīvas 95/46/EK 31. pantu, viedokli,

IR PIEŅĒMUSI ŠO LĒMUMU.

1. pants

Lēmumu 2001/497/EK groza šādi:

1) Ar šādu rindkopu papildina 1. pantu:

"Atbildīgie par datu apstrādi drīkst izvēlēties pielikumā iekļauto I vai II modeli. Tomēr tie nedrīkst grozīt klauzulas vai kombinēt klauzulas vai modeļus."

2) Ar šādu tekstu aizstāj 4. panta 2. un 3. punktu:

"2. Pirmā punkta nolūkiem, ja atbildīgie par datu apstrādi izmanto atbilstošus drošības mehānismus, pamatojoties uz līguma standartklauzulām, kas iekļautas pielikuma II modelī, kompetentās datu aizsardzības iestādes ir tiesīgas izmantot tām piešķirtās tiesības, lai aizliegtu vai apturētu datu nosūtīšanu jebkurā no šādiem gadījumiem:

a) datu saņēmēja atteikšanās labā ticībā sadarboties ar datu aizsardzības iestādēm vai pildīt saistības, kas tam tieši noteiktas līgumā;

b) datu nosūtītāja atteikšanās labā ticībā veikt atbilstošus pasākumus līguma izpildes panākšanai no datu saņēmēja viena mēneša laikā pēc kompetentās datu aizsardzības iestādes paziņojuma datu nosūtītājam.

Pirmā apakšpunkta nolūkiem atteikšanās ļaunā ticībā vai datu saņēmēja atteikums panākt līguma izpildi neietver gadījumus, kur sadarbība vai līguma izpildes panākšana būtu pretrunā ar tās valsts likumdošanu, kas saistoša datu saņēmējam, ja tā nepārsniedz demokrātiskai sabiedrībai nepieciešamo, pamatojoties uz kādu no interesēm, kas uzskaitītas Direktīvas 95/46/EK 13. panta 1. punktā, jo īpaši sankcijām, kas noteiktas starptautiskos un/vai valstu tiesību aktos, informēšanas pienākumu nodokļu tiesībās vai tiesību aktos par nelikumīgi iegūto līdzekļu legalizāciju.

Pirmā apakšpunkta a) punkta nolūkiem sadarbība ietver it īpaši datu saņēmēja datu apstrādes aprīkojuma nodošanu pārbaudei vai pienākumu pakļauties Kopienas datu aizsardzības uzraudzības iestādes norādēm.

3. Aizliegums vai apturējums, kas noteikts saskaņā ar 1. un 2. punktu, tiek atcelts, tiklīdz vairs nepastāv iemesli šim aizliegumam vai apturējumam.

4. Tiklīdz dalībvalstis pieņem pasākumus saskaņā ar 1., 2. un 3. punktu, tās nekavējoties informē Komisiju, kura informāciju nosūta citām dalībvalstīm.".

3) Ar šādu tekstu aizstāj 5. panta pirmo teikumu:

"Komisija, pamatojoties uz pieejamo informāciju, izvērtē šā lēmuma piemērošanu trīs gadus pēc tā un jebkuru tā grozījumu paziņošanas dalībvalstīm."

4) Pielikumu groza šādi:

1. Aiz nosaukuma iekļauj vārdus "I MODELIS".

2. Pielikumā iekļauto tekstu pievieno šim lēmumam.

2. pants

Šo lēmumu piemēro no 2005. gada 1. aprīļa.

3. pants

Šis lēmums ir adresēts dalībvalstīm.

Briselē, 2004. gada 27. decembrī

Komisijas vārdā —

Komisijas loceklis

Charlie McCreevy

--------------------------------------------------

[1] OV L 281, 23.11.1995., 31. lpp. Direktīva grozīta ar Regulu (EK) Nr. 1883/2003 (OV L 284, 31.10.2003., 1. lpp).

[2] OV L 181, 4.7.2001., 19. lpp.

[3] Starptautiskā tirdzniecības palāta (ICC), Japānas Biznesa Padome Eiropā (JBCE), Eiropas Informācijas un komunikācijas tehnoloģiju asociācija (EICTA), Amerikas tirdzniecības palātas ES komiteja Beļģijā (Amcham), Lielbritānijas Rūpniecības konfederācija (CBI), Starptautiskais Komunikāciju apaļais galds (ICRT) un Eiropas Tiešās tirgdarbības asociāciju federācija (FEDMA).

[4] OV L 201, 31.7.2002., 37. lpp.

[5] Atzinums Nr. 8/2003, kas pieejams http://europa.eu.int/comm/privacy

--------------------------------------------------

+++++ ANNEX 1 +++++