Rozhodnutí Komise

ze dne 15. června 2001

o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES

(oznámeno pod číslem dokumentu K(2001) 1539)

(Text s významem pro EHP)

(2001/497/ES)

KOMISE EVROPSKÝCH SPOLEČENSTVÍ,

s ohledem na Smlouvu o založení Evropského společenství,

s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1], a zejména na čl. 26 odst. 4 uvedené směrnice,

vzhledem k těmto důvodům:

(1) Podle směrnice 95/46/ES jsou členské státy povinny zajistit, aby se předávání osobních údajů do třetí země mohlo uskutečnit pouze za podmínky, že dotyčná třetí země zaručí odpovídající úroveň ochrany údajů a že před předáváním budou dodrženy právní předpisy členských států, které jsou v souladu s ostatními ustanoveními směrnice.

(2) Čl. 26 odst. 2 směrnice 95/46/ES však stanoví, že členské státy mohou předání nebo předávání osobních údajů do třetích zemí, které nezajišťují odpovídající úroveň ochrany, povolit za předpokladu, že existují určitá ochranná opatření. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek.

(3) Podle směrnice 95/46/ES by měla být úroveň ochrany údajů posuzována s ohledem na veškeré okolnosti doprovázející předání nebo předávání údajů. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů založená podle uvedené směrnice [2] vydala v zájmu usnadnění posuzování pokyny [3].

(4) Čl. 26 odst. 2 směrnice 95/46/ES umožňující organizaci, která si přeje předat údaje do třetích zemí, určitou pružnost a čl. 26 odst. 4 umožňující standardní smluvní doložky jsou zásadní pro zachování nezbytného toku osobních údajů mezi Společenstvím a třetími zeměmi, aniž by byly zbytečně zatěžovány hospodářské subjekty. Tyto články jsou důležité zejména s ohledem na skutečnost, že je nepravděpodobné, že by Komise v krátkodobém nebo dokonce i ve střednědobém časovém horizontu přijala závěry konstatující odpovídající úroveň ochrany údajů podle čl. 25 odst. 6 pro více než jen omezený počet zemí.

(5) Sandardní smluvní doložky jsou pouze jednou z několika možností podle směrnice 95/46/ES, spolu s článkem 25 a čl. 26 odst. 1 a 2, pro zákonné předání osobních údajů do třetích zemí. Pro organizace bude snazší předávat osobní údaje do třetích zemí, jestliže do smlouvy zahrnou standardní smluvní doložky. Standardní smluvní doložky se týkají pouze ochrany údajů. Vývozce údajů a dovozce údajů mohou do smluv libovolně začlenit jakékoli další doložky, které se vztahují k předmětu obchodu, jako třeba doložky o vzájemné pomoci v případě sporů se subjektem údajů nebo orgánem dozoru, které jsou dle jejich názoru pro účely dané smlouvy vhodné, a to za podmínky, že nejsou v rozporu se standardními smluvními doložkami.

(6) Tímto rozhodnutím by neměla být dotčena vnitrostátní oprávnění, která mohou členské státy udělit v souladu s vnitrostátními právními předpisy, kterými se provádí čl. 26 odst. 2 směrnice 95/46/ES. Okolnosti zvláštního předání mohou vyžadovat, aby správci údajů poskytli jiná ochranná opatření ve smyslu čl. 26 odst. 2. V každém případě toto rozhodnutí pouze požaduje po členských státech, aby neodmítaly uznat smluvní doložky popsané v tomto rozhodnutí jako dostatečná ochranná opatření, a nemá tudíž žádný vliv na ostatní smluvní doložky.

(7) Oblast působnosti tohoto rozhodnutí je omezena na stanovení toho, že doložky uvedené v příloze mohou být použity správcem údajů usazeným ve Společenství, aby bylo možno stanovit odpovídající ochranná opatření ve smyslu čl. 26 odst. 2 směrnice 95/46/ES. Předávání osobních údajů do třetích zemí je zpracováním prováděným v členském státě a jeho zákonnost je předmětem vnitrostátního práva. Orgány dozoru nad ochranou údajů v členských státech by při výkonu svých funkcí a pravomocí podle článku 28 směrnice 95/46/ES měly být i nadále oprávněny určit, zda vývozce údajů dodržel vnitrostátní právní předpisy provádějící ustanovení směrnice 95/46/ES, a zejména jakákoli zvláštní pravidla, která se týkají povinnosti poskytovat informace podle této směrnice.

(8) Toto rozhodnutí nezahrnuje předávání osobních údajů správci údajů usazenými ve Společenství příjemcům usazeným mimo území Společenství, kteří působí pouze jako zpracovatelé. Tato předávání nevyžadují stejná ochranná opatření, protože zpracovatel jedná výhradně jménem správce údajů. Komise má v úmyslu zabývat se tímto druhem předávání v pozdějším rozhodnutí.

(9) Je vhodné stanovit minimální rozsah informací, které strany musí uvádět ve smlouvě týkající se předávání. Členské státy by si měly zachovat pravomoc stanovit jednotlivé informace, které se od stran vyžadují. Uplatňování tohoto rozhodnutí se bude přezkoumávat na základě zkušeností.

(10) Komise také v budoucnu zváží, zda standardní smluvní doložky předkládané obchodními organizacemi nebo jinými zainteresovanými osobami nabízejí dostatečná ochranná opatření v souladu se směrnicí 95/46/ES.

(11) Zatímco strany by měly mít možnost se libovolně dohodnout na zásadních pravidlech na ochranu údajů, která musí dovozce údajů dodržovat, určité zásady ochrany údajů by měly platit v každém případě.

(12) Údaje by měly být zpracovávány a následně využívány nebo dále předávány pouze ke stanoveným účelům a měly by být uchovávány jen po dobu nezbytně nutnou.

(13) V souladu s článkem 12 směrnice 95/46 ES by subjekt údajů měl mít právo na přístup ke všem údajům, které se ho týkají, a případně právo na opravu, výmaz nebo blokování určitých údajů.

(14) Další předávání osobních údajů jinému správci údajů usazenému ve třetí zemi by měla být povolena pouze za určitých podmínek, které by zejména zajistily, že subjekty údajů obdrží řádné informace a budou mít příležitost vyslovit námitky nebo v určitých případech odepřít svůj souhlas.

(15) Orgány dozoru by měly kromě hodnocení, zda jsou předávání do třetích zemí v souladu s vnitrostátním právem, hrát v tomto smluvním mechanizmu klíčovou roli při zajišťování toho, aby osobní údaje byly po předání náležitě chráněny. Za určitých okolností by si orgány dozoru členských států měly nadále ponechat pravomoc zakázat nebo pozastavit předání nebo předávání údajů uskutečněné na základě standardních smluvních doložek v takových výjimečných případech, kdy by předávání uskutečněné na smluvním základě mělo pravděpodobně závažný nepříznivý dopad na ochranná opatření poskytující odpovídající ochranu subjektu údajů.

(16) Standardní smluvní doložky by měly být vynutitelné nejen organizacemi, které jsou stranami smlouvy, ale také subjekty údajů, zejména v případech, kdy subjekty údajů utrpí škodu v důsledku porušení smlouvy.

(17) Rozhodné právo smlouvy by mělo být právem členského státu, ve kterém je usazen vývozce údajů, umožňujícím oprávněné třetí straně vynutit splnění smlouvy. Subjekty údajů mohou být zastoupeny sdruženími nebo jinými subjekty, je-li to jejich přání a povoluje-li to vnitrostátní právo.

(18) Aby se zmírnily praktické obtíže, se kterými se mohou subjekty údajů setkat při uplatňování svých práv podle standardních smluvních doložek, vývozce a dovozce údajů by měli být společně a nerozdílně odpovědní za škody plynoucí z jakéhokoli porušení těch ustanovení, na která jsou se vztahuje doložka ve prospěch třetí strany.

(19) Subjekt údajů je oprávněn podat žalobu a obdržet náhradu škody od vývozce nebo dovozce údajů nebo od obou za škodu způsobenou jakýmkoli jednáním, které není v souladu s povinnostmi obsaženými ve standardních smluvních doložkách. Obě strany mohou být zbaveny této odpovědnosti, pokud prokáží, že žádná z nich nebyla odpovědná.

(20) Společná a nerozdílná odpovědnost se netýká těch ustanovení, která nejsou zajištěna doložkou ve prospěch třetí strany, a nemusí vést k tomu, aby jedna strana uhradila škodu vyplývající z protiprávního zpracování druhou stranou. Přestože vzájemné odškodnění mezi stranami není předpokladem pro přiměřenou ochranu subjektů údajů, a může být tedy zrušeno, je zahrnuto do standardních smluvních doložek v zájmu ujasnění, a aby strany nemusely sjednávat doložky o odškodnění pro každý jednotlivý případ.

(21) V případě sporu mezi stranami a subjektem údajů, který není vyřešen smírně a ve kterém se subjekt údajů dovolává doložky ve prospěch třetí strany, se strany zaváží, že nabídnou tomuto subjektu údajů, aby si zvolil mezi mediací, rozhodčím řízením nebo soudním řízením. Rozsah, v jakém si bude moci subjekt údajů skutečně zvolit způsob řešení, závisí na dostupnosti spolehlivých a uznaných systémů mediace a rozhodčího řízení. Mediace prostřednictvím orgánů dozoru členského státu by měla být v případě, že je tato služba k dispozici, jednou z možností.

(22) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko k úrovni ochrany poskytované podle standardních smluvních doložek připojených k tomuto rozhodnutí, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí [4].

(23) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,

PŘIJALA TOTO ROZHODNUTÍ:

Článek 1

Standardní smluvní doložky uvedené v příloze jsou považovány za dostatečná ochranná opatření s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, jakož i s ohledem na výkon odpovídajících práv v souladu s čl. 26 odst. 2 směrnice 9/46/ES.

Článek 2

Toto rozhodnutí se týká pouze dostatečnosti ochrany zajištěné standardními smluvními doložkami pro předávání osobních údajů, které jsou uvedeny v příloze. Nevztahuje se na používání ostatních vnitrostátních předpisů, kterými se provádí směrnice 95/46/ES a které souvisejí se zpracováním osobních údajů v členských státech.

Toto rozhodnutí se nevztahuje na předávání osobních údajů správci usazenými ve Společenství příjemcům usazeným mimo území Společenství, kteří působí pouze jako zpracovatelé.

Článek 3

Pro účely tohoto rozhodnutí se:

a) použijí definice uvedené ve směrnici 95/46/ES;

b) "zvláštními kategoriemi údajů" rozumějí údaje uvedené v článku 8 uvedené směrnice;

c) "orgánem dozoru" rozumí orgán uvedený v článku 28 uvedené směrnice;

d) "vývozcem údajů" rozumí správce, který předává osobní údaje;

e) "dovozcem údajů" rozumí správce údajů, který se zavazuje přijímat od vývozce údajů osobní údaje určené k jejich dalšímu zpracování v souladu s podmínkami tohoto rozhodnutí.

Článek 4

1. Aniž jsou dotčeny jejich pravomoci přijmout opatření k zajištění dodržování vnitrostátních předpisů přijatých podle kapitol II, III, V a VI směrnice 95/46/ES, mohou příslušné orgány členských států vykonávat své stávající pravomoci zakázat nebo pozastavit toky údajů směřující do třetích zemí, aby tak chránily jednotlivce v souvislosti se zpracováním jejich osobních údajů v případech, kdy:

a) je zjištěno, že právní předpisy, kterým dovozce údajů podléhá, po něm vyžadují, aby se odchýlil od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46/ES, a že tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na ochranná opatření poskytovaná standardními smluvními doložkami; nebo

b) příslušný orgán zjistil, že dovozce údajů nedodržoval smluvní doložky; nebo

c) je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.

2. Zákaz či pozastavení podle odstavce 1 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.

3. Jakmile členské státy přijmou opatření podle odstavců 1 a 2, informují neprodleně Komisi, která informace předá ostatním členským státům.

Článek 5

Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení členským státům. Předloží zprávu o zjištěních výboru zřízenému podle článku 31 směrnice 95/46/ES. Zpráva bude obsahovat veškeré důkazy, které by mohly ovlivnit hodnocení dostatečnosti standardních smluvních doložek uvedených v příloze, jakož i veškeré důkazy o tom, že se toto rozhodnutí uplatňuje diskriminačním způsobem.

Článek 6

Toto rozhodnutí se použije ode dne 3. září 2001.

Článek 7

Toto rozhodnutí je určeno členským státům.

V Bruselu dne 15. června 2001.

Za Komisi

Frederik Bolkestein

člen Komise

[1] Úř. věst. L 281, 23.11.1995, s. 31.

[2] Internetová adresa pracovní skupiny je:http://www.europa.eu.intlcomm/internal_market/en/medial/dataport/wpdocs/index.htm.

[3] WP 4 (5020/97) "První orientační informace o předávání osobních údajů do třetích zemí — možné způsoby zlepšení posuzování přiměřenosti", diskusní dokument přijatý pracovní skupinou dne 26. června 1997.WP 7 (5057/97) "Posuzování samoregulace v průmyslu: Kdy smysluplně přispívá k ochraně údajů ve třetí zemi?", pracovní dokument přijatý pracovní skupinou dne 14. ledna 1998.WP 9 (3005/98) "Předběžný pohled na využití smluvních ustanovení ve spojitosti s předáváním osobních údajů do třetích zemí", pracovní dokument přijatý pracovní skupinou dne 22. dubna 1998.WP 12: "Předávání osobních údajů do třetích zemích: Uplatňování článků 25 a 26 směrnice EU o ochraně údajů", pracovní dokument přijatý pracovní skupinou dne 24. července 1998 dostupný na internetových stránkách pracovních dokumentů Evropské komise: "europa.eu.int/comm/internal_markt/en/media.dataprot/wpdocs/index.htm".

[4] Stanovisko č. 1/2001 přijaté pracovní skupinou dne 26. ledna 2001 (DG MARKT 5102/00 WP 38) dostupné na internetové stránce Evropské komise "Europa".

--------------------------------------------------

PŘÍLOHA

+++++ TIFF +++++

+++++ TIFF +++++

+++++ TIFF +++++

+++++ TIFF +++++

--------------------------------------------------