Odločba Komisije

z dne 27. decembra 2004

o spremembi Odločbe 2001/497/ES glede uvedbe alternativnega sklopa standardnih pogodbenih klavzul za prenos osebnih podatkov v tretje države

(notificirana pod dokumentarno številko K(2004) 5271)

(Besedilo velja za EGP)

(2004/915/ES)

KOMISIJA EVROPSKIH SKUPNOSTI JE –

ob upoštevanju Pogodbe o ustanovitvi Evropske skupnosti,

ob upoštevanju Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov [1] ter zlasti člena 26(4) Direktive,

ob upoštevanju naslednjega:

(1) Da bi pospešili prenos podatkov iz Skupnosti je zaželeno, da upravljavci zagotovijo globalen prenos podatkov po enotnem sklopu pravil o varstvu podatkov. Če ni globalnih standardov za varstvo podatkov, zagotovijo standardne pogodbene klavzule pomembno orodje, ki omogoča prenos osebnih podatkov iz vseh držav članic po skupnem sklopu pravil. Odločba Komisije 2001/497/ES z dne 15. junija 2001 o standardnih pogodbenih klavzulah za prenos osebnih podatkov v tretje države v skladu z Direktivo 95/46/ES [2] zato določa vzorec sklopa standardnih pogodbenih klavzul, ki zagotavlja ustrezno zaščito prenosa podatkov v tretje države.

(2) Po sprejetju te odločbe je bilo pridobljenih veliko izkušenj. Poleg tega je koalicija poslovnih združenj [3] predložila sklop alternativnih standardnih pogodbenih klavzul, ki so oblikovane tako, da lahko zagotavljajo enakovredno raven varstva podatkov kot jo določajo standardne pogodbene klavzule iz Odločbe 2001/497/ES, čeprav uporabljajo različne mehanizme.

(3) Ker je uporaba standardnih pogodbenih klavzul za mednarodne prenose podatkov prostovoljna, saj so standardne pogodbene klavzule le ena od več možnosti, ki jih predvideva Direktiva 95/46/ES, je treba, da lahko za zakonito prenašanje osebnih podatkov v tretjo državo izvozniki podatkov v Skupnosti in uvozniki podatkov v tretjih državah svobodno izbirajo med sklopi standardnih pogodbenih klavzul ali kako drugo pravno podlago za prenos podatkov. Vendar, ker je vzorec vsak sklop kot celota, izvoznikom podatkov ni dovoljeno spreminjati teh sklopov ali jih popolnoma ali delno združevati na kakršen koli način.

(4) Standardne pogodbene klavzule, ki so jih predložila poslovna združenja, si prizadevajo povečati uporabo pogodbenih klavzul med izvajalci z mehanizmi, kot so bolj prilagodljive zahteve pri pregledih, natančnejša pravila v zvezi s pravico do dostopa.

(5) Sedaj predloženi sklep vsebuje poleg tega, kot alternativo k sistemu solidarne odgovornosti, določene v Odločbi 2001/497/ES, režim odgovornosti, ki temelji na obveznostih primerne skrbnosti, pri čemer sta izvoznik podatkov in uvoznik podatkov odgovorna za svoje kršitve pogodbenih obveznosti v razmerju do posameznikov, na katere se nanašajo osebni podatki. Izvoznik podatkov je odgovoren tudi za neprizadevnost pri ugotavljanju, ali je uvoznik podatkov zmožen izpolniti svoje pravne obveznosti po klavzulah (odgovornost za skrbnost pri izbiri, culpa in eligendo), in s tem v zvezi lahko oseba, na katero se nanašajo osebni podatki, ukrepa proti izvozniku podatkov. Izvajanje točke (b) klavzule I novega sklopa standardnih pogodbenih klavzul je s tega vidika posebej pomembna, še zlasti v zvezi z možnostjo izvoznika podatkov, da pregleda prostore uvoznika podatkov ali da zahteva dokaze o zadostnih finančnih sredstvih za izpolnjevanje njegovih obveznosti.

(6) Posamezniki, na katere se nanašajo osebni podatki, imajo pri uveljavljanju pravice v korist tretjega zagotovljeno večjo udeležbo izvoznika podatkov pri razreševanju pritožb posameznikov, na katere se nanašajo osebni podatki, pri čemer je izvoznik podatkov dolžan stopiti v stik z uvoznikom podatkov in uresničiti pogodbo v razumnem roku enega meseca, če je to potrebno. Če izvoznik podatkov zavrne izvajanje pogodbe in če uvoznik podatkov še naprej nadaljuje s kršitvijo lahko posameznik, na katerega se nanašajo osebni podatki, uveljavlja klavzule proti uvozniku podatkov in ga nazadnje toži v državi članici. To sprejetje pristojnosti in soglasje v zvezi z izpolnjevanjem odločbe pristojnega sodišča ali organa za varstvo podatkov ne posega v postopkovne pravice uvoznikov podatkov, uveljavljene v tretjih državah, kot je pravica do pritožbe.

(7) Vendar pa je zaradi preprečevanja zlorabljanja te dodatne prilagodljivosti organom za varovanje podatkov primerno zagotoviti lažjo prepoved ali zaustavitev prenosa podatkov na podlagi novega sklopa standardnih pogodbenih klavzul v tistih primerih, ko izvoznik podatkov zavrne sprejetje vseh primernih ukrepov za izvajanje obveznosti pogodbenih klavzul do uvoznika podatkov ali ko slednji v dobri veri noče sodelovati s pristojnimi nadzornimi organi za varovanje podatkov.

(8) Uporaba standardnih pogodbenih klavzul ne posega v uveljavljanje nacionalnih predpisov, sprejetih v skladu z Direktivo 95/46/ES ali Direktivo 2002//58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 [4], o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah), še zlasti v zvezi s posredovanjem poslovnih komunikacij za namene neposrednega trženja.

(9) Na podlagi omenjenega se lahko varnostni ukrepi, navedeni v predloženih standardnih pogodbenih klavzulah, štejejo kot primerni v smislu člena 26(2) Direktive 95/46/ES.

(10) Delovna skupina za varstvo posameznikov pri obdelavi osebnih podatkov, ustanovljena v skladu s členom 29 Direktive 95/46/ES, je posredovala mnenje [5] o ravni varstva, zagotovljeni s standardnimi pogodbenimi klavzulami, priloženimi k tej odločbi, ki je bilo upoštevano pri pripravi te odločbe.

(11) Da bi se vrednotilo izvajanje sprememb Odločbe 2001/497/ES, je primerno, da jih Komisija oceni tri leta po tem, ko so bile države članice o njih obveščene.

(12) Odločbo 2001/497/ES je treba ustrezno spremeniti.

(13) Ukrepi, predvideni s to odločbo, so v skladu z mnenjem Odbora, ustanovljenega v skladu s členom 31 Direktive 95/46/ES –

SPREJELA NASLEDNJO ODLOČBO:

Člen 1

Odločba 2001/497/ES se spremeni:

1. V členu 1 se doda naslednji odstavek:

"Upravljavci podatkov lahko izberejo katerega koli od sklopov I ali II v Prilogi. Vendar pa ne smejo niti spreminjati klavzul niti kombinirati posameznih klavzul ali sklopov."

2. V členu 4 se odstavka 2 in 3 nadomestita z naslednjim besedilom:

"2. Za namene odstavka 1, ko upravljavec podatkov navaja primerne varnostne ukrepe na podlagi standardnih pogodbenih klavzul iz sklopa II v Prilogi, imajo pristojni organi za varstvo podatkov pravico do izvajanja svojih obstoječih pooblastil, da prepovejo ali začasno ustavijo prenos podatkov v katerem koli od naslednjih primerov:

(a) zavrnitev uvoznika podatkov, da v dobri veri sodeluje z organi za varstvo podatkov ali izpolnjuje čiste obveznosti po pogodbi;

(b) zavrnitev izvoznika podatkov, da sprejme vse primerne ukrepe za izvajanje pogodbe proti uvozniku podatkov v razumnem roku enega meseca od trenutka, ko pristojni organ za varstvo podatkov obvesti izvoznika podatkov.

Za namene prvega pododstavka, zlonamerna zavrnitev ali zavrnitev izvajanja pogodbe s strani uvoznika podatkov ne vključuje primerov, v katerih je sodelovanje ali izvajanje v nasprotju z obveznimi zahtevami nacionalne zakonodaje, veljavne za uvoznika podatkov, ki ne presegajo tega, kar je potrebno v demokratični družbi na podlagi enega od interesov iz člena 13(1) Direktive 95/46/ES, še zlasti sankcije iz mednarodnih in/ali nacionalnih instrumentov, zahteve za prijavo davka ali zahteve za poročanje o boju proti pranju denarja.

Za namene točke (a) prvega pododstavka lahko sodelovanje zajema zlasti predložitev opreme za obdelavo podatkov uvoznika podatkov v pregled ali obveznost upoštevanja nasvetov nadzornega organa za varstvo podatkov v Skupnosti.

3. Prepoved ali začasna ustavitev v skladu z odstavkoma 1 in 2 preneha veljati takoj, ko so odstranjeni razlogi za prepoved ali začasno ustavitev.

4. Potem ko države članice sprejmejo ukrepe v skladu z odstavki 1, 2 in 3, nemudoma obvestijo Komisijo, ta pa bo posredovala informacije drugim državam članicam."

3. V členu 5 se prvi stavek nadomesti z naslednjim:

"Komisija oceni izvajanje te odločbe na podlagi razpoložljivih informacij tri leta po njeni notifikaciji in po notifikaciji katere koli njene spremembe državam članicam.".

4. V Prilogi se spremeni naslednje:

1. Za naslovom se vstavi izraz "SKLOP I".

2. K tej odločbi se doda besedilo iz Priloge.

Člen 2

Ta odločba se uporablja od 1. aprila 2005.

Člen 3

Ta odločba je naslovljena na države članice.

V Bruslju, 27. decembra 2004

Za Komisijo

Charlie McCreevy

Član Komisije

--------------------------------------------------

[1] UL L 281, 23.11.1995, str. 31. Direktiva, kakor je bila nazadnje spremenjena z Uredbo (ES) št. 1883/2003 (UL L 284, 31.10.2003, str. 1).

[2] UL L 181, 4.7.2001, str. 19.

[3] Mednarodna trgovinska zbornica (ICC), Poslovni svet Japonske v Evropi (JBCE), Evropsko združenje industrije informacijske in komunikacijske tehnike in tehnologije (EICTA), Odbor za EU Ameriške gospodarske zbornice v Belgiji (Amcham), Združenje britanske industrije (CBI), Okrogla miza za mednarodno komunikacijo (ICRT) in Evropska federacija združenj za direktni marketing (FEDMA).

[4] UL L 201, 31.7.2002, str. 37.

[5] Mnenje št. 8/2003, dostopno na spletni strani: http://europa.eu.int/comm/privacy

--------------------------------------------------

+++++ ANNEX 1 +++++