KOMISJONI OTSUS,

15. juuni 2001,

kolmandatesse riikidesse isikuandmete edastamise lepingu tüüptingimuste kohta direktiivi 95/46/EÜ alusel

(teatavaks tehtud numbri K(2001) 1539 all)

(EMPs kohaldatav tekst)

(2001/497/EÜ)

EUROOPA ÜHENDUSTE KOMISJON,

võttes arvesse Euroopa Ühenduse asutamislepingut,

võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta,[1] eriti selle artikli 26 lõiget 4,

ning arvestades järgmist:

(1) Vastavalt direktiivile 95/46/EÜ peavad liikmesriigid sätestama, et isikuandmete edastamine kolmandatesse riikidesse võib toimuda üksnes siis, kui kõnesolev kolmas riik tagab piisava andmekaitse taseme ja kui enne andmete edastamist tunnustatakse liikmesriikide seadusi, mis järgivad kõnealuse direktiivi muid sätteid.

(2) Direktiivi 95/46/EÜ artikli 26 lõige 2 näeb siiski ette, et liikmesriigid võivad teatavate tagatiste korral lubada isikuandmete edastamist või edastamiste kogumit kolmandatesse riikidesse, mis ei taga piisavat kaitsetaset. Sellised tagatised võivad tuleneda eelkõige asjakohastest lepingutingimustest.

(3) Vastavalt direktiivile 95/46/EÜ peaks andmekaitse taset hindama kõiki andmete edastamistoimingu või edastamistoimingute kogumi asjaolusid silmas pidades. Kõnealuse direktiivi alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega[2] on välja andnud juhised hindamise hõlbustamiseks.[3]

-

-

-

(4) Direktiivi 95/46/EÜ artikli 26 lõige 2, mis näeb ette kolmandatesse riikidesse andmeid edastada sooviva organisatsiooni paindlikkust, ning artikli 26 lõige 4, mis sätestab lepingu tüüptingimused, on olulised vajaliku isikuandmete liikumise taseme hoidmiseks ühenduse ja kolmandate riikide vahel ilma asjatute kohustusteta ettevõtjatele. Kõnealused artiklid on eriti tähtsad seda tõsiasja silmas pidades, et tõenäoliselt võtab ühendus artikli 25 lõike 6 alusel piisavuse otsuseid vastu üksnes piiratud arvul riikides lühikese või keskmise tähtaja vältel.

(5) Lepingu tüüptingimused koos direktiivi 95/46/EÜ artikli 25 ning artikli 26 lõikega 1 ja 2 on vaid üks paljudest kõnealuse direktiivi alusel pakutavatest võimalustest, kuidas isikuandmeid seaduslikult kolmandasse riiki edastada. Organisatsioonidel on lihtsam isikuandmeid kolmandatesse riikidesse edastada, kui nad lepingu tüüptingimused oma lepingutesse sisse kirjutavad. Lepingu tüüptingimused on seotud üksnes andmekaitsega. Andmeeksportija ja andmeimportija võivad vabalt lisada mistahes muid ettevõtlusega seotud lepingutingimusi, nagu näiteks punktid vastastikuse abi kohta vaidluste korral andmesubjekti või järelevalveasutusega, mida nad lepingus asjakohaseks peavad, niikaua kui need ei lähe vastuollu lepingu tüüptingimustega.

(6) Käesolev otsus ei tohiks piirata riiklikke lubasid, mida liikmesriigid võivad anda kooskõlas direktiivi 95/46/EÜ artikli 26 lõiget 2 rakendavate siseriiklike õigusnormidega. Konkreetsete edastamiste asjaolud võivad nõuda, et vastutavad andmetöötlejad annavad erinevaid tagatisi artikli 26 lõike 2 tähenduses. Igatahes nõuab käesolev otsus ainult, et liikmesriigid ei keelduks tunnustamast selles kirjeldatud lepingutingimusi kui piisavaid tagatisi pakkuvaid tingimusi ning seepärast ei mõjuta otsus muid lepingutingimusi.

(7) Käesoleva otsuse reguleerimisala on piiratud, kehtestades, et lisas sätestatud tingimusi võib kasutada ühenduses asuv vastutav töötleja, et esitada piisavaid tagatisi direktiivi 95/46/EÜ artikli 26 lõikes 2 määratletud tähenduses. Isikuandmete edastamine kolmandatesse riikidesse on töötlemistoiming liikmesriigis, mille seaduslikkus allub siseriiklikele õigusaktidele. Direktiivi 95/46/EÜ artiklist 28 tulenevate ülesannete täitmisel ja võimu kasutamisel peaksid liikmesriikide andmekaitse järelevalveasutused jääma pädevaks, et hinnata, kas andmeeksportija on järginud direktiivi 95/46/EÜ sätteid rakendavaid siseriiklikke õigusakte ja eelkõige mistahes erireegleid teabe andmise kohustuse suhtes kõnealuse direktiivi alusel.

(8) Käesolev otsus ei hõlma isikuandmete edastamist ühenduses asuvatelt vastutavatelt töötajatelt väljaspool ühenduse territooriumi asuvatele vastuvõtjatele, kes tegutsevad üksnes volitatud töötlejatena. Kõnealused edastamised ei nõua samasuguseid tagatisi, sest volitatud töötleja tegutseb ainult vastutava töötleja nimel. Komisjon kavatseb seda tüüpi edastamist käsitleda ühes järgnevatest otsusest.

(9) On asjakohane sätestada minimaalne teabehulk, mida pooled peavad edastamist käsitlevas lepingus määratlema. Liikmesriikidele peaks jääma õigus detailiseerida teavet, mida pooled peavad esitama. Käesoleva otsuse toimivust peaks läbi vaatama kogemusi silmas pidades.

(10) Samuti kaalub Komisjon tulevikus, kas äriorganisatsioonide või muude huvitatud poolte esitatud lepingu tüüptingimused pakuvad piiisavaid tagatisi vastavalt direktiivile 95/46/EÜ.

(11) Samas kui pooled peaksid olema vabad kokku leppima, milliseid olulisi andmekaitse reegleid andmeimportija järgib, on siiski olemas teatud andmekaitse põhimõtted, mis peaksid igal juhul kehtima.

(12) Andmeid peaks töötlema ning hiljem kasutama või edastama ainult täpselt kehtestatud eesmärkidel ning neid ei peaks säilitama kauem kui vajalik.

(13) Direktiivi 95/46/EÜ artikli 12 kohaselt peaks andmesubjektil olema õigus tutvuda kõikide teda puudutavate andmetega ning vastavalt vajadusele parandada, kustutada või sulgeda teatavaid andmeid.

(14) Isikuandmete edasised edastamised kolmandas riigis asuvale teisele vastutavale töötlejale peaksid olema lubatud üksnes teatavatel tingimustel eelkõige tagamaks, et andmesubjektidele antakse õiget teavet ja et neil on võimalus vastuväiteid esitada või teatavatel juhtudel nõusoleku andmisest keelduda.

(15) Lisaks hindamisele, kas edastamised kolmandatesse riikidesse on kooskõlas siseriikliku õigusega, peaksid järelevalveasutused käesolevas lepingumehhanismis võtmerolli mängima, et tagada isikuandmete piisav kaitse pärast edastamist. Eriasjaoludel peaks liikmesriikide järelevalveasutustele jääma õigus keelata või peatada lepingu tüüptingimustel põhinev andmete edastamine või edastamiste kogum sellistel erandjuhtudel, kui on kindlaks tehtud, et lepinguline edastamine võib tõenäoliselt omada olulist ebasoodsat mõju tagatistele, mis sätestavad andmesubjekti piisava kaitse.

(16) Lepingu tüüptingimusi ei peaks saama täitmisele pöörata mitte ainult lepingupoolteks olevad organisatsioonid, vaid ka andmesubjektid eriti juhul, kui andmesubjektid kannavad kahju lepingu rikkumise tagajärjel.

(17) Lepingu ülimuslik seadus peaks olema selle liikmesriigi õigus, kus andmeeksportija asub, võimaldades soodustatud kolmandal isikul lepingut täitmisele pöörata. Andmesubjektidele peaks olema lubatud lasta ennast esindada ühendustel või muudel organitel, kui nad seda soovivad ja kui see on siseriiklike õigusaktidega lubatud.

(18) Vähendamaks praktilisi raskusi, millega andmesubjektid võivad kokku puutuda, kui nad püüavad lepingu tüüptingimuste alusel oma õigusi teostada, peaksid andmeeksportija ja andmeimportija vastutama solidaarselt kahjude eest, mis tulenevad soodustatud kolmanda isiku sättega hõlmatud lepingupunktide mistahes rikkumisest.

(19) Andmesubjektil on õigus astuda samme ning saada andmeeksportijalt, andmeimportijalt või mõlemalt hüvitist kahju eest, mis tuleneb lepingu tüüptingimustes sisalduvate kohustustega vastuolulisest teost. Mõlemat poolt võib kõnealusest vastutusest vabastada, kui nad tõestavad, et kumbki neist ei olnud vastutav.

(20) Solidaarvastutus ei laiene nendele lepingupunktidele, mida ei hõlma soodustatud kolmanda isiku säte, ning ei kohusta ühte poolt hüvitama kahju, mida põhjustas teise poole ebaseaduslik töötlemine. Ehkki pooltevaheline vastastikune hüvitis ei ole andmesubjektide piisava kaitse tagamise nõue, mille võib seepärast välja jätta, kaasatakse kõnealune säte lepingu tüüptingimustesse selguse huvides ning selleks, et vältida poolte vajadust hüvitise tingimustes eraldi läbi rääkida.

(21) Poolte ja andmesubjekti vahelise vaidluse korral, mida ei ole sõbralikult lahendatud ja mille puhul andmesubjekt tugineb soodustatud kolmanda isiku sättele, nõustuvad pooled andma andmesubjektile valiku lepitamise, vahekohtu või kohtuvaidluse vahel. Andmesubjekti käsutuses oleva tegeliku valiku ulatus sõltub lepitamise ja vahekohtu usaldusväärsete ning tunnustatud süsteemide kättesaadavusest. Liikmesriikide järelevalveasutuste poolne lepitamine peaks olema valikuks siis, kui nad sellist teenust osutavad.

(22) Direktiivi 95/46/EÜ artikli 29 alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega on esitanud arvamuse kaitsetaseme kohta, mida pakuvad käesolevale otsusele lisatud lepingu tüüptingimused ja mida on selle otsuse ettevalmistamisel arvesse võetud.[4]

(23) Käesoleva otsusega ettenähtud meetmed on kooskõlas direktiivi 95/46/EÜ artikli 31 alusel loodud komitee arvamusega,

ON VASTU VÕTNUD KÄESOLEVA OTSUSE:

Artikkel 1

Lisas sätestatud lepingu tüüptingimusi käsitletakse piisavate tagatistena üksikisikute eraelu puutumatuse ning põhiõiguste ja -vabaduste kaitseks ning vastavate õiguste teostamiseks,nagu on nõutud direktiivi 9/46/EÜ artikli 26 lõikes 2.

Artikkel 2

Käesolev otsus käsitleb üksnes kaitse piisavust, mida pakuvad lisas sätestatud isikuandmete edastamise lepingu tüüptingimused. See ei mõjuta muude direktiivi 95/46/EÜ rakendavate siseriiklike õigusnormide kohaldamist, mis on seotud isikuandmete töötlemisega liikmesriikide piires.

Käesolev otsus ei kehti isikuandmete edastamise kohta ühenduses asuvatelt vastutavatelt töötlejatelt väljaspool ühenduse territooriumi asuvatele vastuvõtjatele, kes tegutsevad üksnes volitatud töötlejatena.

Artikkel 3

Käesolevas otsuses kasutatakse järgmisi mõisteid:

a) kehtivad direktiivi 95/46/EÜ mõisted;

b) andmete eriliigid - kõnealuse direktiivi artiklis 8 märgitud andmed;

c) järelevalveasutus - kõnealuse direktiivi artiklis 28 märgitud organ;

d) andmeeksportija - vastutav töötleja, kes edastab isikuandmeid;

e) andmeimportija - vastutav töötleja, kes nõustub võtma andmeeksportijalt vastu isikuandmeid nende edasiseks töötlemiseks kooskõlas käesoleva otsuse tingimustega.

Artikkel 4

1. Ilma et see piiraks nende volitusi võtta meetmeid tagamaks vastavust siseriiklikele õigusnormidele, mis on vastu võetud direktiivi 95/46/EÜ II, III, V ja VI peatüki kohaselt, võivad liikmesriikide pädevad organid kasutada neil olemasolevaid volitusi keelata või peatada andmete liikumine kolmandatesse riikidesse, et kaitsta üksikisikuid seoses nende isikuandmete töötlemisega juhul, kui:

a) on kindlaks tehtud, et andmeimportija kohta kehtiv seadus kehtestab talle nõudeid kalduda kõrvale asjakohastest andmekaitse reeglitest, et kõnealused nõuded lähevad kaugemale direktiivi 95/46/EÜ artiklis 13 sätestatud demokraatlikus ühiskonnas vajalikest piirangutest ja et need nõuded võivad tõenäoliselt omada olulist ebasoodsat mõju lepingu tüüptingimustega ettenähtud tagatistele; või

b) pädev organ on kindlaks teinud, et andmeimportija ei ole järginud lepingutingimusi; või

c) on olemas oluline tõenäosus, et lisas esitatud lepingu tüüptingimusi ei järgita ning et jätkuv edastamine looks ähvardava ohu tõsise kahju tekkimiseks andmesubjektidele.

2. Keelamine või peatamine vastavalt lõikele 1 tühistatakse kohe, kui keelamise või peatamise põhjusi enam pole.

3. Kui liikmesriigid võtavad meetmeid vastavalt lõikele 1 ja 2, peavad nad neist meetmetest viivitamata komisjonile teatama, mis edastab saadud teabe teistele liikmesriikidele.

Artikkel 5

Komisjon hindab käesoleva otsuse toimivust kättesaadava teabe alusel kolme aasta pärast alates otsuse teatavakstegemisest liikmesriikidele. Tulemuste kohta esitab ta aruande direktiivi 95/46/EÜ artikli 31 alusel loodud komiteele. Aruanne sisaldab mistahes tõendusmaterjali, mis võiks mõjutada lisas esitatud lepingu tüüptingimuste piisavuse hindamist, ning mistahes tõendusmaterjali, et käesolevat otsust kohaldatakse diskrimineerivalt.

Artikkel 6

Käesolevat otsust kohaldatakse alates 3. septembrist 2001.

Artikkel 7

Käesolev otsus on adresseeritud liikmesriikidele.

Brüssel, 15. juuni 2001

Komisjoni nimel

komisjoni liige

Frederik BOLKESTEIN

LISA

LEPINGU TÜÜPTINGIMUSED

direktiivi 95/46/EÜ artikli 26 lõike 2 kohaldamisel isikuandmete edastamiseks kolmandatesse riikidesse, mis ei taga piisavat kaitsetaset

Andmeid eksportiva organisatsiooni nimetus:

Aadress:

Telefon: Faks: E-post:

Muu organisatsiooni identifitseerimiseks vajalik informatsioon:

(andmeeksportija)

ja

Andmeid importiva organisatsiooni nimetus:

Aadress:

Telefon: Faks: E-post:

Muu organisatsiooni identifitseerimiseks vajalik informatsioon:

(andmeimportija)

ON KOKKU LEPPINUD järgmistes lepingutingimustes (edaspidi "Tingimused"), et esitada piisavaid tagatisi üksikisikute eraelu puutumatuse ning põhiõiguste ja -vabaduste kaitseks 1. liites nimetatud isikuandmete edastamisel andmeeksportijalt andmeimportijale:

Klausel 1

Mõisted

Käesolevates Tingimustes kasutatakse järgmisi mõisteid:

a) mõistetel isikuandmed, andmete eriliigid, töötlus/töötlemine, vastutav töötleja, andmesubjekt ja järelevalveasutus on sama tähendus nagu Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivis 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (edaspidi "direktiiv");

b) andmeeksportija - vastutav töötleja, kes edastab isikuandmeid;

c) andmeimportija - vastutav töötleja, kes nõustub võtma andmeeksportijalt vastu isikuandmeid nende edasiseks töötlemiseks kooskõlas käesolevate lepingutingimustega ning kelle kohta ei kehti piisavat kaitset tagav kolmanda riigi süsteem.

Klausel 2

Edastamise üksikasjad

Edastamise üksikasjad, eelkõige isikuandmete liigid ning nende edastamise eesmärgid on määratletud 1. liites, mis moodustab Tingimuste lahutamatu osa.

Klausel 3

Soodustatud kolmanda isiku säte

Soodustatud kolmandate isikutena võivad andmesubjektid pöörata täitmisele käesoleva punkti, punkti 4 alapunktid b, c ja d, punkti 5 alapunktid a, b, c ja e, punkti 6 lõiked 1 ja 2 ning punktid 7, 9 ja 11. Pooled ei ole vastu, kui andmesubjekte esindab ühendus või mõni muu organ juhul, kui nad seda soovivad ning kui see on siseriiklike õigusaktidega lubatud.

Klausel 4

Andmeeksportija kohustused

Andmeeksportija nõustub ja tagab:

a) et temapoolne isikuandmete töötlemine, sealhulgas nende edastamine toimub kuni edastamise hetkeni kooskõlas selle liikmesriigi asjakohaste õigusnormidega, kus andmeeksportija asub (ja võimaluse korral on teatatud kõnealuse riigi asjakohastele organitele) ning ei riku kõnealuse riigi asjakohaseid õigusnorme;

b) et kui edastamine hõlmab andmete eriliike, on andmesubjektile teatatud või talle teatatakse enne edastamist, et neid andmeid võidakse edastada kolmandasse riiki, mis ei paku piisavat kaitset;

c) tegema andmesubjektide taotluse korral neile kättesaadavaks Tingimuste koopia; ja

d) vastama mõistliku aja jooksul ja mõistlikul määral järelevalveasutuse järelepärimistele andmeimportija poolt teostatava asjakohaste isikuandmete töötlemise kohta ning andmesubjekti mistahes järelepärimistele andmeimportija poolt teostatava isikuandmete töötlemise kohta.

Klausel 5

Andmeimportija kohustused

Andmeimportija nõustub ja tagab:

a) et tal pole mingit põhjust uskuda, et tema suhtes kohaldatavad õigusaktid takistavad tal tema lepingujärgsete kohustuste täitmist ning et juhul, kui neid õigusakte muudetakse viisil, millel on tõenäoliselt ebasoodne mõju Tingimustega ettenähtud tagatistele, peab ta muudatusest teatama andmeeksportijale ja selle riigi järelevalveasutusele, kus andmeeksportija asub, millisel juhul on andmeeksportijal õigus andmete edastamine peatada ja/või leping lõpetada;

b) töötlema isikuandmeid kooskõlas 2. liites sätestatud kohustuslike andmekaitse põhimõtetega;

või kui pooled on otsesõnu kokku leppinud ja selle allpool ära märkinud, ning alludes 3. liites sätestatud kohustuslikele andmekaitse põhimõtetele, töötlema andmeid kõigis punktides kooskõlas:

siseriikliku õiguse asjakohaste sätetega (lisatud käesolevatele Tingimustele), mis kaitsevad füüsiliste isikute põhiõigusi ja -vabadusi ning eriti nende eraelu puutumatuse õigust seoses isikuandmete töötlemisega ning mis on kohaldatavad vastutava andmetöötleja suhtes riigis, kus andmeeksportija asub, või

direktiivi 95/46/EÜ artikli 25 lõike 6 alusel vastuvõetud komisjoni mistahes otsuse asjakohaste sätetega, kus leitakse, et kolmas riik pakub teatavates tegevussektorites piisavat kaitset ainult siis, kui andmeimportija asub kõnealuses kolmandas riigis ja ta ei ole nende sätetega hõlmatud, kuivõrd kõnesolevad sätted on sellist laadi, mis muudab nad edastamissektoris kohaldatavaks;

c) tegelema kiiresti ja nõuetekohaselt kõigi andmeeksportija või andmesubjekti põhjendatud järelepärimistega, mis on seotud isikuandmete töötlemisega edastamise jaoks, tegema koostööd pädeva järelevalveasutusega kõikide temapoolsete järelepärimiste kestel ning pidama kinni järelevalveasutuse nõuannetest edastatud andmete töötlemise kohta;

d) esitama andmeeksportija taotluse korral oma andmetöötlusvahendid auditeerimiseks, mille teostab andmeeksportija või vajalikku professionaalset kvalifikatsiooni omavatest sõltumatutest liikmetest koosnev inspekteerimisasutus, kelle on välja valinud andmeeksportija, kooskõlastades võimaluse korral oma valiku järelevalveasutusega;

e) tegema andmesubjektide taotluse korral neile kättesaadavaks Tingimuste koopia ning viitama kaebustega tegelevale asutusele.

Klausel 6

Vastutus

1. Pooled nõustuvad, et andmesubjektil, kellele on tekitatud kahju punktis 3 viidatud sätete mistahes rikkumise tõttu, on õigus pooltelt talle tekitatud kahju eest hüvitist saada. Pooled nõustuvad, et neid võib sellest kohustusest vabastada üksnes siis, kui nad tõestavad, et kumbki neist ei ole kõnealuste sätete rikkumise eest vastutav.

2. Andmeeksportija ja andmeimportija nõustuvad, et nad vastutavad solidaarselt andmesubjektile tekitatud kahju eest, mis tuleneb lõikes 1 viidatud mistahes rikkumisest. Sellise rikkumise korral võib andmesubjekt esitada kohtusse hagi kas andmeeksportija või andmeimportija või mõlema vastu.

3. Pooled nõustuvad, et kui üks pool võetakse vastutusele lõikes 1 viidatud rikkumise eest, mille on toime pannud teine pool, siis viimane hüvitab oma vastutuse piires esimesele poolele tema poolt tekitatud mistahes kulud, maksud või kahjud.(

Klausel 7

Lepitamine ja jurisdiktsioon

1. Pooled nõustuvad, et andmesubjekti ja ükskõik kumma poole vahelise vaidluse korral, mida ei ole sõbralikult lahendatud ning mille puhul andmesubjekt tugineb punkti 3 soodustatud kolmanda isiku sättele, aktsepteerivad nad andmesubjekti otsust:

a) suunata vaidlus lepitamiseks sõltumatule isikule või kui see on võimalik, siis järelevalveasutusele;

b) suunata vaidlus selle liikmesriigi kohtutele, kus andmeeksportija asub.

2. Pooled nõustuvad, et andmesubjekti ja asjakohase poole vahelisel kokkuleppel võib vaidluse suunata vahekohtu organile, kui kõnealune pool asub riigis, mis on ratifitseerinud New Yorki konventsiooni vahekohtu otsuste jõustamise kohta.

3. Pooled nõustuvad, et lõike 1 ja 2 kohaldatakse ilma, et need piiraks andmesubjekti sisulisi või protsessiõigusi otsida abi kooskõlas siseriikliku või rahvusvahelise õiguse muude sätetega.

Klausel 8

Koostöö järelevalveasutustega

Pooled nõustuvad käesoleva lepingu koopia järelevalveasutusele hoiule andma, kui järelevalveasutus seda taotleb või kui hoiuleandmist nõuab siseriiklik õigus.

Klausel 9

Lepingu lõpetamine

Pooled nõustuvad, et lepingu lõpetamine mistahes ajal, mistahes asjaoludel ja mistahes põhjusel ei vabasta neid lepingujärgsetest kohustustest ja/või tingimustest edastatud andmete töötlemise suhtes.

Klausel 10

Ülimuslik seadus

Tingimusi reguleerib liikmesriigi õigus, kus andmeeksportija asub, nimelt

Klausel 11

Lepingu muutmine

Pooled kohustuvad lepingutingimusi mitte muutma.

Andmeeksportija nimel:

Nimi (täielikult välja kirjutatud):

Ametikoht:

Aadress:

Muu teave, mis on vajalik lepingu siduvuse tagamiseks (olemasolul):

(allkiri)

(organisatsiooni pitsat)

Andmeimportija nimel:

Nimi (täielikult välja kirjutatud):

Ametikoht:

Aadress:

Muu teave, mis on vajalik lepingu siduvuse tagamiseks (olemasolul):

(allkiri)

(organisatsiooni pitsat)

1. liide

lepingu tüüptingimuste juurde

Käesolev liide on osa Tingimustest ning pooled peavad selle täitma ja allkirjastama.

(Vastavalt oma siseriiklikele menetlustele võivad liikmesriigid käesolevat liidet vajaliku lisateabega täiendada või täpsustada.)

Andmeeksportija

Andmeeksportija on (palun lühidalt määratleda edastamisse puutuvad tegevusalad):

Andmeimportija

Andmeimportija on (palun lühidalt määratleda edastamisse puutuvad tegevusalad):

Andmesubjektid

Edastatud isikuandmed puudutavad järgmisi andmesubjektide liike (palun täpsustada):

Edastamise eesmärgid

Edastamine on vajalik järgmistel eesmärkidel (palun täpsustada):

Andmete liigid

Edastatud isikuandmed jagunevad järgmistesse andmete liikidesse (palun täpsustada):

Delikaatsed andmed (kui vajalik):

Edastatud isikuandmed jagunevad järgmistesse delikaatsete andmete liikidesse (palun täpsustada):

Vastuvõtjad

Edastatud isikuandmeid võib avalikustada vaid järgmistele vastuvõtjatele või vastuvõtjate liikidele (palun täpsustada):

Andmete säilitamise ajapiirang

Edastatud isikuandmeid võib säilitada mitte kauem kui (palun täpsustada): (kuud/aastat)

Andmeeksportija Nimi: (Volitatud esindaja allkiri) Andmeimportija Nimi: (Volitatud esindaja allkiri)

2. liide

lepingu tüüptingimuste juurde

Punkti 5 alapunkti b esimeses lõigus märgitud kohustuslikud andmekaitse põhimõtted

Käesolevaid andmekaitse põhimõtteid peaks mõistma ja tõlgendama direktiivi 95/46/EÜ sätteid (põhimõtted ja asjakohased erandid) silmas pidades.

Neid kohaldatakse vastavalt andmeimportija kohta kehtivate siseriiklike õigusaktide kohustuslikele nõuetele, mis ei lähe kaugemale demokraatlikus ühiskonnas vajalikest eranditest ja piirangutest direktiivi 95/46/EÜ artikli 13 lõikes 1 loetletud huvide alusel, s.o kui nad sätestavad vajaliku meetme, et tagada riigi julgeolek ja riigikaitse, avalik kord, kuritegude või reguleeritud kutsealade ametieetika rikkumiste ennetamine, uurimine, avastamine ja nende eest vastutuselevõtmine, riigi oluline majanduslik või rahanduslik huvi või andmesubjekti kaitse või teiste isikute vabaduste ja õiguste kaitse.

1. Otstarbe piirang: andmeid tuleb töödelda ja järgnevalt kasutada või edastada üksnes Tingimuste 1. liites määratletud konkreetsetel eesmärkidel. Andmeid ei tohi säilitada kauem, kui on vajalik nende edastamise otstarbel.

2. Andmete kvaliteet ja proportsionaalsus: andmed peavad olema täpsed ja vajaduse korral ajakohastatud. Andmed peavad olema piisavad, asjakohased ega tohi ületada määra, mis on vajalik nende edastamise ja järgneva töötlemise otstarbel.

3. Läbipaistvus: andmesubjektidele tuleb anda teavet töötlemise eesmärkide ja kolmanda riigi vastutava andmetöötleja isiku kohta ning muud teavet, kuivõrd see on vajalik õiglase töötlemise tagamiseks, välja arvatud juhul, kui kõnealuse teabe on andmeeksportija juba edastanud.

4. Turvalisus ja konfidentsiaalsus: vastutav andmetöötleja peab rakendama tehnilisi ja organisatsioonilisi turvameetmeid, mis vastavad töötlemise käigus tekkivatele riskidele, nagu näiteks volitamata juurdepääs. Vastutava andmetöötleja volitusel tegutsev mistahes isik, sealhulgas volitatud töötleja, ei tohi andmeid töödelda muidu kui vastutava andmetöötleja juhiste alusel.

5. Juurdepääsuõigused, andmete parandamine, kustutamine ja sulgemine: nagu direktiivi 95/46/EÜ artiklis 12 on ette nähtud, peab andmesubjektil olema õigus pääseda juurde kõigile temaga seotud töödeldavatele andmetele ning vastavalt vajadusele parandada, kustutada ja sulgeda andmeid, mille töötlemisel ei järgita käesolevas liites sätestatud põhimõtteid, eriti kui andmed on ebatäielikud või vigased. Samuti peaks andmesubjekt saama temaga seotud andmete töötlemisele vastuväiteid esitada, tuues aluseks tema konkreetsest olukorrast lähtuvad õigustatud põhjused.

6. Edasiste edastamiste piirangud: isikuandmete edasised edastamised andmeimportijalt teisele vastutavale töötlejale, kes asub kolmandas riigis, mis ei paku piisavat kaitset või mida ei hõlma direktiivi 95/46/EÜ artikli 25 lõike 6 (edasine edastamine) alusel komisjoni poolt vastuvõetud otsus, võivad aset leida üksnes ühel järgmistest juhtudest:

a) andmete eriliikide korral on andmesubjektid andnud oma selgesõnalise nõusoleku edasise edastamise kohta või muudel juhtudel on antud neile võimalus vastuväiteid esitada.

Andmesubjektidele esitatav minimaalne teabehulk peab sisaldama neile arusaadavas keeles:

edasise edastamise eesmärke,

ühenduses asuva andmeeksportija andmeid,

andmete edasiste vastuvõtjate liike ja sihtriike, ning

selgitust, et pärast edasist edastamist võib andmeid töödelda vastutav töötleja, kes asub riigis, kus puudub piisav üksikisikute eraelu puutumatuse kaitse; või

b) andmeeksportija ja andmeimportija nõustuvad kinni pidama teise vastutava töötleja Tingimustest, kes seetõttu muutub Tingimuste pooleks ning võtab samad kohustused nagu andmeimportija.

7. Andmete eriliigid: kui töödeldakse rassilist või etnilist päritolu, poliitilisi vaateid, religioosseid või filosoofilisi veendumusi või ametiühingu liikmelisust avalikustavaid andmeid ja tervist või seksuaalelu puudutavaid andmeid ning kuritegude, süüdimõistmiste või turvameetmetega seotud andmeid, peaks võtma kasutusele lisatagatisi direktiivis 95/46/EÜ määratletud tähenduses, eelkõige asjakohaseid turvameetmeid, nagu edastamise kindel krüpteerimine või delikaatsete andmete juurdepääsu registri pidamine.

8. Otseturundus: kui andmeid töödeldakse otseturunduse otstarbel, peaksid eksisteerima efektiivsed menetlused, mis võimaldavad andmesubjektil loobuda mistahes ajahetkel teda puudutavate andmete kasutamisest kõnealusel otstarbel.

9. Automatiseeritud otsused üksikisikute kohta: andmesubjektidel on õigus mitte alluda üksnes andmete automatiseeritud töötlemisel põhinevale otsusele, välja arvatud juhul, kui võetakse kasutusele muid meetmeid üksikisikute õigustatud huvide kaitseks, nagu on ette nähtud direktiivi 95/46/EÜ artikli 15 lõikes 2. Kui edastamise eesmärk on direktiivi 95/46/EÜ artiklis 15 märgitud automatiseeritud otsuse vastuvõtmine, mis loob üksikisikut puudutavaid õiguslikke tagajärgi või teda märkimisväärselt mõjutab ning mis toetub ainult selliste andmete automatiseeritud töötlemisele, mille eesmärk on anda hinnang andmesubjekti teatavatele isikuomadustele, näiteks tööjõudlusele, krediidivõimele, usaldusväärsusele, käitumisele jne, siis peaks üksikisikul olema õigus teada selle otsuse põhjendusi.

3. liide

lepingu tüüptingimuste juurde

Punkti 5 alapunkti b teises lõigus märgitud kohustuslikud andmekaitse põhimõtted

1. Otstarbe piirang: andmeid tuleb töödelda ja järgnevalt kasutada või edastada üksnes Tingimuste 1. liites määratletud konkreetsetel eesmärkidel. Andmeid ei tohi säilitada kauem, kui on vajalik nende edastamise otstarbel.

2. Juurdepääsuõigused, andmete parandamine, kustutamine ja sulgemine: nagu direktiivi 95/46/EÜ artiklis 12 on ette nähtud, peab andmesubjektil olema õigus pääseda juurde kõigile temaga seotud töödeldavatele andmetele ning vastavalt vajadusele parandada, kustutada ja sulgeda andmeid, mille töötlemisel ei järgita käesolevas liites sätestatud põhimõtteid, eriti kui andmed on ebatäielikud või vigased. Samuti peaks andmesubjekt saama temaga seotud andmete töötlemisele vastuväiteid esitada, tuues aluseks tema konkreetsest olukorrast lähtuvad õigustatud põhjused.

3. Edasiste edastamiste piirangud: isikuandmete edasised edastamised andmeimportijalt teisele vastutavale töötlejale, kes asub kolmandas riigis, mis ei paku piisavat kaitset või mida ei hõlma direktiivi 95/46/EÜ artikli 25 lõike 6 (edasine edastamine) alusel komisjoni poolt vastuvõetud otsus, võivad aset leida üksnes ühel järgmistest juhtudest:

a) andmete eriliikide korral on andmesubjektid andnud oma selgesõnalise nõusoleku edasise edastamise kohta või muudel juhtudel on antud neile võimalus vastuväiteid esitada.

Andmesubjektidele esitatav minimaalne teabehulk peab sisaldama neile arusaadavas keeles:

edasise edastamise eesmärke,

ühenduses asuva andmeeksportija andmeid,

andmete edasiste vastuvõtjate liike ja sihtriike, ning

selgitust, et pärast edasist edastamist võib andmeid töödelda vastutav töötleja, kes asub riigis, kus puudub piisav üksikisikute eraelu puutumatuse kaitse; või

b) andmeeksportija ja andmeimportija nõustuvad kinni pidama teise vastutava töötleja Tingimustest, kes seetõttu muutub Tingimuste pooleks ning võtab samad kohustused nagu andmeimportija.

[1] EÜT L 281, 23.11.1995, lk 31.

[2] Töörühma veebiaadress on: http://www.europa.eu.intlcomm/internal_market/en/medial/dataprot/wpdocs/index.htm.

[3] WP 4 (5020/97): "Esimeste suunistega töödokument isikuandmete edastamise kohta kolmandatesse riikidesse - võimalikud edasised sammud piisavuse hindamisel", 26. juunil 1997 töörühma poolt vastuvõetud aruteludokument.

WP 7 (5057/97): "Majandusharu eneseregulatsiooni hindamine: millal annab see olulise panuse andmekaitse tasemele kolmandas riigis?", 14. jaanuaril 1998 töörühma poolt vastuvõetud töödokument.

WP 9 (3005/98): "Esialgsed arvamused lepinguliste sätete kasutamise kohta isikuandmete kolmandatesse riikidesse edastamise kontekstis", 22. aprillil 1998 töörühma poolt vastuvõetud töödokument.

WP 12: "Isikuandmete edastamised kolmandatesse riikidesse: EL-i andmekaitse direktiivi artiklite 25 ja 26 kohaldamine", 24. juulil 1998 töörühma poolt vastuvõetud töödokument, kättesaadav Euroopa Komisjoni hallataval veebipõhisel dokumendisaidil: europa.eu.int/comm/internal_market/en/media.dataprot/wpdocs/wp12/en.

[4] 26. jaanuaril 2001 töörühma poolt vastuvõetud arvamus nr 1/2001 (DG MARKT 5102/00 WP 38), mis on kättesaadav Euroopa Komisjoni hallataval veebilehel "Europa".

( Lõige 3 on valikuline.