12.2.2010   

CS

Úřední věstník Evropské unie

L 39/5

(1)

Podle směrnice 95/46/ES jsou členské státy povinny zajistit, aby se předávání osobních údajů do třetí země mohlo uskutečnit pouze za podmínky, že dotyčná třetí země zaručí odpovídající úroveň ochrany údajů a že před předáváním budou dodrženy právní předpisy členských států, které jsou v souladu s ostatními ustanoveními směrnice.

(2)

Ustanovení čl. 26 odst. 2 směrnice 95/46/ES však stanoví, že členské státy mohou předání nebo předávání osobních údajů do třetích zemí, které nezajišťují odpovídající úroveň ochrany, povolit za předpokladu, že existují určitá ochranná opatření. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek.

(3)

Podle směrnice 95/46/ES by měla být úroveň ochrany údajů posuzována s ohledem na veškeré okolnosti doprovázející předání nebo předávání údajů. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená podle uvedené směrnice vydala v zájmu usnadnění posuzování pokyny.

(4)

Standardní smluvní doložky se týkají pouze ochrany údajů. Vývozce údajů a dovozce údajů proto mohou do smluv libovolně začlenit jakékoli další doložky, které se vztahují k předmětu obchodu a které jsou podle jejich názoru vhodné pro účely dané smlouvy, nejsou-li v rozporu se standardními smluvními doložkami.

(5)

Tímto rozhodnutím by neměla být dotčena vnitrostátní oprávnění, která mohou členské státy udělit v souladu s vnitrostátními právními předpisy, kterými se provádí čl. 26 odst. 2 směrnice 95/46/ES. Toto rozhodnutí po členských státech pouze požaduje, aby neodmítaly uznat zde uvedené standardní smluvní doložky jako dostatečná ochranná opatření, a nemá tudíž žádný vliv na ostatní smluvní doložky.

(6)

Rozhodnutí Komise 2002/16/ES ze dne 27. prosince 2001 o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice 95/46/ES (2) bylo přijato s cílem usnadnit předávání osobních údajů správcem údajů usazeným v Evropské unii zpracovateli usazenému ve třetí zemi, která nezajišťuje odpovídající úroveň ochrany.

(7)

Od přijetí rozhodnutí 2002/16/ES bylo získáno mnoho zkušeností. Zpráva o provádění rozhodnutí o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí (3) mimoto ukázala, že roste zájem o prosazování použití standardních smluvních doložek u mezinárodního předávání osobních údajů do třetích zemí, které nezajišťují odpovídající úroveň ochrany. Zúčastněné strany mimoto předložily návrhy s cílem aktualizovat standardní smluvní doložky stanovené v rozhodnutí 2002/16/ES, aby se přihlédlo k rychle se rozšiřujícímu rozsahu činností spojených se zpracováním údajů ve světě a vyřešily některé záležitosti, na něž se uvedené rozhodnutí nevztahovalo (4).

(8)

Oblast působnosti tohoto rozhodnutí je omezena na stanovení toho, že doložky, které uvádí, mohou být použity správcem údajů usazeným v Evropské unii, aby bylo možno stanovit odpovídající ochranná opatření ve smyslu čl. 26 odst. 2 směrnice 95/46/ES pro předávání osobních údajů zpracovateli usazenému ve třetí zemi.

(9)

Toto rozhodnutí by se nemělo vztahovat na předávání osobních údajů správci usazenými v Evropské unii správcům usazeným mimo Evropskou unii, kteří spadají do oblasti působnosti rozhodnutí Komise 2001/497/ES ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES (5).

(10)

Toto rozhodnutí by mělo provádět povinnost stanovenou v čl. 17 odst. 3 směrnice 95/46/ES a neměl by jím být dotčen obsah smluv nebo právních aktů vzniklých v souladu s tímto ustanovením. Součástí smluv nebo právních aktů by však měly být některé ze standardních smluvních doložek, zejména ve vztahu k povinnostem vývozce údajů, aby byla zajištěna srozumitelnost ustanovení, která mohou být obsažena ve smlouvě mezi správcem a zpracovatelem.

(11)

Orgány dozoru členských států hrají v tomto smluvním mechanismu klíčovou úlohu při zajišťování toho, aby osobní údaje byly po předání náležitě chráněny. Ve výjimečných případech, kdy vývozci údajů odmítnou řádně poučit dovozce údajů nebo kdy jej řádně poučit nemohou a kdy subjektům údajů hrozí bezprostřední riziko závažné újmy, by měly standardní smluvní doložky umožňovat orgánům dovozu prověřit dovozce údajů a dílčí zpracovatele a popřípadě přijmout rozhodnutí, která budou pro dovozce údajů a dílčí zpracovatele závazná. Orgány dozoru by měly mít pravomoc zakázat nebo pozastavit předání nebo předávání údajů uskutečněné na základě standardních smluvních doložek ve výjimečných případech, kdy by předávání uskutečněné na smluvním základě mělo pravděpodobně závažný nepříznivý dopad na ochranná opatření a povinnosti vztahující se k zajištění odpovídající ochrany subjektu údajů.

(12)

Standardní smluvní doložky by měly stanovit technická a organizační bezpečnostní opatření, která by uplatňovali zpracovatelé údajů usazení ve třetích zemích, jež neposkytují odpovídající ochranu, s cílem zajistit úroveň bezpečnosti odpovídající rizikům spojeným se zpracováním a s povahou údajů, jež mají být chráněny. Strany by měly do smlouvy začlenit ustanovení vztahující se k těmto technickým a organizačním opatřením, která jsou s ohledem na právo rozhodné pro ochranu údajů, na stav techniky a na náklady související s jejich prováděním nezbytná v zájmu ochrany osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem nebo před ostatními protiprávními způsoby zpracování.

(13)

V zájmu usnadnění toků údajů směrem z Evropské unie je žádoucí, aby zpracovatelům poskytujícím služby zpracování údajů několika správcům údajů v Evropské unii bylo dovoleno uplatňovat stejná technická a organizační bezpečnostní opatření bez ohledu na to, ze kterého členského státu je předávání údajů prováděno, zejména v případech, kdy dovozce údajů získává údaje pro další zpracování od různých provozoven vývozce údajů v Evropské unii; v takovém případě by mělo být použito právo příslušného členského státu, v němž je usazen vývozce údajů.

(14)

Je vhodné stanovit minimální rozsah informací, který by měly strany ve smlouvě o předávání výslovně uvést. Členské státy by si měly ponechat pravomoc upřesnit, jaké informace musí strany uvést. Uplatňování tohoto rozhodnutí by mělo být přezkoumáno na základě zkušeností.

(15)

Dovozce údajů by měl předávané osobní údaje zpracovávat pouze jménem vývozce údajů a v souladu s jeho pokyny a s povinnostmi obsaženými v doložkách. Dovozce údajů by především neměl zpřístupnit osobní údaje třetí straně bez předchozího písemného souhlasu vývozce údajů. Vývozce údajů by měl dovozce údajů po celou dobu poskytování služeb spojených se zpracováním údajů upozorňovat, že má údaje zpracovávat v souladu s pokyny vývozce údajů, s právem rozhodným pro ochranu údajů a s povinnostmi obsaženými v doložkách.

(16)

Ve zprávě o provádění rozhodnutí o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí bylo doporučeno zavést příslušné standardní smluvní doložky o dalším předávání údajů zpracovatelem údajů usazeným ve třetí zemí dalšímu zpracovateli (dílčí zpracování) s cílem zohlednit obchodní trendy a postupy u stále globalizovanější činnosti spojené se zpracováním údajů.

(17)

Toto rozhodnutí by mělo obsahovat zvláštní standardní smluvní doložky o externím zadávání služeb zpracování údajů zpracovatelem údajů usazeným ve třetí zemi (dovozce údajů) dalším zpracovatelům (dílčím zpracovatelům) usazeným ve třetích zemích. Dále by toto rozhodnutí mělo stanovit podmínky, které by dílčí zpracování mělo splňovat, aby bylo zajištěno, že předávané osobní údaje jsou i nadále chráněny bez ohledu na následné předání dílčímu zpracovateli.

(18)

Dílčí zpracování by mimoto mělo spočívat pouze v činnostech dohodnutých ve smlouvě mezi vývozcem údajů a dovozcem údajů, do níž jsou začleněny standardní smluvní doložky podle tohoto rozhodnutí, a nemělo by se vztahovat na jiné činnosti spojené se zpracováním údajů nebo účely, aby byla respektována zásada dodržení účelu. Pokud dílčí zpracovatel neplní své povinnosti v souvislosti se zpracováním údajů podle písemné dohody, měl by dovozce údajů i nadále nést odpovědnost vůči vývozci údajů. Předáním osobních údajů zpracovatelům usazeným mimo Evropskou unii by neměla být dotčena skutečnost, že by se činnosti spojené se zpracováním údajů měly řídit právem rozhodným pro ochranu údajů.

(19)

Standardní smluvní doložky by měly být vynutitelné nejen organizacemi, které jsou stranami smlouvy, ale také subjekty údajů, zejména v případech, kdy subjekty údajů utrpí škodu v důsledku porušení smlouvy.

(20)

Subjekt údajů by měl být oprávněn podat žalobu a případně obdržet náhradu škody od vývozce údajů, který je správcem předávaných osobních údajů. Ve výjimečných případech by měl být subjekt údajů oprávněn podat žalobu a případně obdržet náhradu škody rovněž od dovozce údajů, došlo-li k porušení některé z povinností dovozce údajů nebo jeho případného dílčího zpracovatele uvedených v druhém odstavci doložky 3, pokud vývozce údajů fakticky zmizel, z právního hlediska zanikl nebo je v platební neschopnosti. Ve výjimečných případech by měl být subjekt údajů oprávněn podat žalobu a případně obdržet náhradu škody rovněž od dílčího zpracovatele, pokud vývozce údajů i dovozce údajů fakticky zmizeli, z právního hlediska zanikli nebo jsou v platební neschopnosti. Tato odpovědnost dílčího zpracovatele vůči třetím stranám by se měla omezovat na jeho vlastní činnosti spojené se zpracováním údajů na základě smluvních doložek.

(21)

V případě sporu mezi subjektem údajů, který se dovolává doložky ve prospěch třetí strany, a dovozcem údajů, který není vyřešen smírně, by měl dovozce údajů nabídnout subjektu údajů výběr mezi mediací nebo soudním řízením. Rozsah, v jakém si bude moci subjekt údajů skutečně zvolit způsob řešení, bude záviset na dostupnosti spolehlivých a uznaných systémů mediace. Mediace prostřednictvím orgánů dozoru pro ochranu údajů v členském státě, ve kterém je usazen vývozce údajů, by měla být v případě, že je tato služba k dispozici, jednou z možností.

(22)

Rozhodným právem smlouvy by mělo být právo členského státu, ve kterém je usazen vývozce údajů, umožňující oprávněné třetí straně vynutit splnění smlouvy. Subjekty údajů mohou být zastoupeny sdruženími nebo jinými subjekty, je-li to jejich přání a povoluje-li to vnitrostátní právo. Stejným právem by se měla řídit rovněž ustanovení o ochraně údajů obsažená v případné smlouvě s dílčím zpracovatelem týkající se subdodavatelského zajišťování činností spojených se zpracováním osobních údajů předaných vývozcem údajů dovozci údajů na základě smluvních doložek.

(23)

Vzhledem k tomu, že se toto rozhodnutí vztahuje pouze na externí zadání služeb zpracování údajů ze strany zpracovatele údajů usazeného ve třetí zemí, se toto rozhodnutí nevztahuje na případy, kdy zpracovatel usazený v Evropské unii, který provádí zpracování osobních údajů jménem správce usazeného v Evropské unii, zadává externě činnosti spojené se zpracováním údajů dílčímu zpracovateli usazenému ve třetí zemi. V těchto případech mohou členské státy přihlédnout ke skutečnosti, že při externím zadání dílčímu zpracovateli usazenému ve třetí zemi byly uplatněny zásady a ochranná opatření podle standardních smluvních doložek stanovených v tomto rozhodnutí s cílem zajistit odpovídající ochranu práv subjektů údajů, jejichž osobní údaje jsou předávány za účelem dílčího zpracování.

(24)

Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko k úrovni ochrany poskytované podle standardních smluvních doložek připojených k tomuto rozhodnutí, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí.

(25)

Rozhodnutí 2002/16/ES je třeba zrušit.

(26)

Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,

a)

„zvláštními kategoriemi údajů“ rozumí údaje uvedené v článku 8 směrnice 95/46/ES;

b)

„orgánem dozoru“ rozumí orgán uvedený v článku 28 směrnice 95/46/ES;

c)

„vývozcem údajů“ rozumí správce, který předává osobní údaje;

d)

„dovozcem údajů“ rozumí zpracovatel usazený ve třetí zemi, který se zavazuje přijímat od vývozce údajů osobní údaje určené ke zpracování jménem vývozce údajů po předání v souladu s jeho pokyny a s podmínkami tohoto rozhodnutí a který nepodléhá systému třetí země zajišťující odpovídající ochranu ve smyslu čl. 25 odst. 1 směrnice 95/46/ES;

e)

„dílčím zpracovatelem“ rozumí zpracovatel najatý dovozcem údajů nebo jiným dílčím zpracovatelem dovozce údajů, který se zavazuje přijímat od dovozce údajů nebo od jiného dílčího zpracovatele dovozce údajů osobní údaje určené výhradně pro činnosti spojené se zpracováním jménem vývozce údajů po předání v souladu s pokyny vývozce údajů, standardními smluvními doložkami stanovenými v příloze a podmínkami písemné smlouvy o dílčím zpracování;

f)

„právem rozhodným pro ochranu údajů“ rozumí právní předpisy ochraňující základní práva a svobody jednotlivců, a zejména jejich právo na soukromí ve vztahu ke zpracování osobních údajů, které se vztahují na správce údajů v členském státě, ve kterém je usazen vývozce údajů;

g)

„technickými a organizačními bezpečnostními opatřeními“ rozumí opatření zaměřená na ochranu osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem, zejména v případech, kdy v souvislosti se zpracováním dochází k předávání údajů po síti, nebo před všemi ostatními protiprávními způsoby zpracování.

a)

je zjištěno, že právní předpisy, kterým dovozce údajů nebo dílčí zpracovatel podléhá, po něm vyžadují, aby se odchýlil od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46/ES, pokud tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na záruky poskytované právem rozhodným pro ochranu údajů a standardními smluvními doložkami;

b)

příslušný orgán zjistil, že dovozce údajů nebo dílčí zpracovatel nedodržel standardní smluvní doložky uvedené v příloze nebo

c)

je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.