12.2.2010   

FI

Euroopan unionin virallinen lehti

L 39/5

(1)

Jäsenvaltioiden on direktiivin 95/46/EY nojalla säädettävä siitä, että henkilötietojen siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso ja jos direktiivin muiden säännösten mukaisia jäsenvaltioiden lakeja noudatetaan ennen siirtoa.

(2)

Kuitenkin direktiivin 95/46/EY 26 artiklan 2 kohdassa säädetään, että jäsenvaltiot voivat hyväksyä tiettyjä takeita noudattaen henkilötietojen siirron tai siirtojen sarjan sellaisiin kolmansiin maihin, joissa ei taata tietosuojan riittävää tasoa. Nämä takeet voivat perustua erityisesti asianmukaisiin sopimuslausekkeisiin.

(3)

Direktiivin 95/46/EY mukaan tietosuojan tasoa olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen sarjaan liittyvien olosuhteiden osalta. Mainitulla direktiivillä perustettu tietosuojatyöryhmä on laatinut suuntaviivat arvioinnin tueksi.

(4)

Mallisopimuslausekkeiden olisi koskettava ainoastaan tietosuojaa. Tietojen viejä ja tietojen tuoja voivat vapaasti sisällyttää sopimukseen muita yritystoimintaan liittyviä kysymyksiä koskevia lausekkeita, joita ne pitävät sopimuksen kannalta olennaisina, kunhan nämä lausekkeet eivät ole ristiriidassa mallisopimuslausekkeiden kanssa.

(5)

Tällä päätöksellä ei pitäisi rajoittaa jäsenvaltioiden mahdollisuutta antaa sellaisten kansallisten säännösten mukaisia kansallisia lupia, joilla direktiivin 95/46/EY 26 artiklan 2 kohta pannaan täytäntöön. Tämän päätöksen ainoana vaikutuksena olisi oltava se, että jäsenvaltiot eivät kieltäydy tunnustamasta siinä esitettyjen mallisopimuslausekkeiden tarjoavan riittävät takeet, eikä päätöksellä näin ollen pitäisi olla vaikutusta muihin sopimuslausekkeisiin.

(6)

Direktiivin 95/46/EY mukaisista mallisopimuslausekkeista henkilötietojen siirtoa varten kolmansiin maihin sijoittautuneille henkilötietojen käsittelijöille 27 päivänä joulukuuta 2001 tehdyn komission päätöksen 2002/16/EY (2) tarkoituksena on helpottaa henkilötietojen siirtoa Euroopan unioniin sijoittautuneelta rekisterinpitäjältä sellaiseen kolmanteen maahan sijoittautuneelle käsittelijälle, jossa ei taata tietosuojan riittävää tasoa.

(7)

Päätöksen 2002/16/EY tekemisen jälkeen on saatu runsaasti kokemusta. Lisäksi kertomus, joka koskee mallisopimuslausekkeista henkilötietojen siirtoa varten kolmansiin maihin tehtyjen päätösten täytäntöönpanoa (3), on osoittanut, että havaittavissa on yhä suurempaa kiinnostusta edistää mallisopimuslausekkeiden käyttöä henkilötietojen kansainvälisiä siirtoja varten kolmansiin maihin, joissa ei taata tietosuojan riittävää tasoa. Myös sidosryhmät ovat esittäneet ehdotuksia päätöksessä 2002/16/EY esitettyjen mallisopimuslausekkeiden saattamisesta ajan tasalle, jotta voitaisiin ottaa huomioon tietojenkäsittelytoiminnan nopea kasvu maailmassa ja eräitä kysymyksiä, joita kyseinen päätös ei kattanut (4).

(8)

Tämän päätöksen soveltamisalan olisi rajoituttava sen vahvistamiseen, että Euroopan unioniin sijoittautunut rekisterinpitäjä voi käyttää siinä esitettyjä lausekkeita direktiivin 95/46/EY 26 artiklan 2 kohdan mukaisten riittävien takeiden antamiseen henkilötietojen siirtämiseksi käsittelijälle, joka on sijoittautunut kolmanteen maahan.

(9)

Tätä päätöstä ei pitäisi soveltaa Euroopan unioniin sijoittautuneen rekisterinpitäjän suorittamaan henkilötietojen siirtoon Euroopan unionin ulkopuolelle sijoittautuneille rekisterinpitäjille, jotka kuuluvat direktiivin 95/46/EY mukaisista mallisopimuslausekkeista henkilötietojen kolmansiin maihin siirtoa varten 15 päivänä kesäkuuta 2001 tehdyn komission päätöksen 2001/497/EY (5) soveltamisalaan.

(10)

Tällä päätöksellä olisi pantava täytäntöön direktiivin 95/46/EY 17 artiklan 3 kohdassa säädetty velvoite, eikä sen pitäisi vaikuttaa kyseisen säännöksen mukaisesti laadittujen sopimusten tai säädösten sisältöön. Siihen olisi kuitenkin sisällytettävä joitakin, varsinkin tietojen viejän velvoitteita koskevia mallisopimuslausekkeita, tilanteen selkeyttämiseksi niiden säännösten osalta, jotka voidaan sisällyttää rekisterinpitäjän ja käsittelijän väliseen sopimukseen.

(11)

Tässä sopimusmenettelyssä jäsenvaltioiden valvontaviranomaisilla on keskeinen tehtävä sen varmistamisessa, että henkilötietoja suojataan riittävästi niiden siirron jälkeen. Poikkeustapauksissa, joissa tietojen viejä kieltäytyy antamasta tietojen tuojalle ohjeita tai ei kykene antamaan niitä asianmukaisesti, ja on olemassa välitön vaara vakavasta haitasta rekisteröidyille, mallisopimuslausekkeiden olisi mahdollistettava se, että valvontaviranomaiset voivat tarkastaa tietojen tuojien ja alihankkijoina toimivien käsittelijöiden toimintaa ja tarvittaessa tehdä tietojen tuojia ja alihankkijana toimivia käsittelijöitä velvoittavia päätöksiä. Valvontaviranomaisilla olisi oltava oikeus kieltää tai lykätä mallisopimuslausekkeisiin perustuva tietojen siirto tai siirtojen sarja tietyin edellytyksin niissä poikkeustapauksissa, joissa sopimusperusteisella siirrolla todennäköisesti on merkittävä haitallinen vaikutus takeisiin ja velvoitteisiin, joilla rekisteröidylle annetaan riittävä tietosuoja.

(12)

Mallisopimuslausekkeiden olisi sisällettävä tekniset ja organisatoriset turvatoimet, joita sellaiseen kolmanteen maahan, jossa ei taata riittävää suojaa, sijoittautuneen tietojen käsittelijän olisi sovellettava, jotta taataan käsittelyyn liittyviä riskejä ja suojattujen tietojen luonnetta vastaava turvallisuuden taso. Kun otetaan huomioon sovellettava tietosuojalainsäädäntö, nykyinen tekninen taso ja toimenpiteiden toteuttamiseen liittyvät kustannukset, sopimuspuolten olisi määrättävä sopimuksessa teknisistä ja organisatorisista toimenpiteistä, jotka ovat tarpeen henkilötietojen suojaamiseksi tahattomalta tai laittomalta tuhoamiselta, tahattomalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietoihin pääsyltä tai muulta henkilötietojen laittomalta käsittelytavalta.

(13)

Euroopan unionista tehtävien tiedonsiirtojen helpottamiseksi olisi suotavaa, että tietojen käsittelypalveluja useille Euroopan unionin rekisterinpitäjille tarjoavat käsittelijät voivat soveltaa samoja teknisiä ja organisatorisia turvatoimia riippumatta siitä, mistä jäsenvaltiosta tietojen siirto on lähtöisin, erityisesti niissä tapauksissa, joissa tietojen tuoja ottaa vastaan tietoja edelleenkäsittelyä varten tietojen viejän eri toimipaikoista Euroopan unionissa, missä tapauksessa olisi sovellettava nimetyn sijoittautumisjäsenvaltion lainsäädäntöä.

(14)

On tarpeen vahvistaa vähimmäistiedot, jotka sopimuspuolten olisi mainittava siirtoa koskevassa sopimuksessa. Jäsenvaltioilla olisi oltava edelleen oikeus täsmentää tiedot, jotka sopimuspuolten on toimitettava. Tämän päätöksen soveltamista olisi tarkasteltava uudelleen saadun kokemuksen perusteella.

(15)

Tietojen tuojan olisi käsiteltävä siirrettyjä henkilötietoja ainoastaan tietojen viejän puolesta ja tämän antamien ohjeiden mukaisesti ja lausekkeiden mukaisia velvoitteita noudattaen. Tietojen tuojan ei varsinkaan pitäisi luovuttaa henkilötietoja kolmannelle osapuolelle ilman tietojen viejän ennakkoon antamaa kirjallista suostumusta. Tietojen viejän olisi kehotettava tietojen tuojaa käsittelemään tietoja käsittelypalvelujen koko keston ajan tietojen viejän antamien ohjeiden mukaisesti, sovellettavan tietosuojalainsäädännön mukaisesti ja lausekkeiden sisältämiä velvoitteita noudattaen.

(16)

Kertomuksessa, joka koskee mallisopimuslausekkeista henkilötietojen siirtoa varten kolmansiin maihin tehtyjen päätösten täytäntöönpanoa, suositeltiin, että laadittaisiin asianmukaisia mallisopimuslausekkeita, jotka koskevat myöhempiä edelleen siirtoja kolmanteen maahan sijoittautuneelta tietojen käsittelijältä toiselle tietojen käsittelijälle (alihankintana suoritettava käsittely). Näin otettaisiin huomioon liiketoiminnan suuntaukset ja käytännöt yhä pitemmälle globalisoituvassa käsittelytoiminnassa.

(17)

Tämän päätöksen olisi sisällettävä erityisiä mallisopimuslausekkeita, jotka koskevat kolmanteen maahan sijoittautuneen tietojen käsittelijän (tietojen tuoja) alihankintana kolmanteen maahan sijoittautuneilla muilla tietojen käsittelijöillä (alihankkijoina toimivat käsittelijät) teettämää tietojen käsittelypalvelua. Lisäksi tässä päätöksessä olisi esitettävä edellytykset, jotka alihankintana suoritettavan käsittelyn olisi täytettävä siitä huolehtimiseksi, että siirrettävät henkilötiedot ovat edelleen suojattuja huolimatta myöhemmästä siirrosta alihankkijana toimivalle käsittelijälle.

(18)

Lisäksi alihankintana suoritettavan käsittelyn olisi koostuttava ainoastaan toiminnoista, joista on sovittu tässä päätöksessä säädetyt mallisopimuslausekkeet sisältävässä, tietojen viejän ja tietojen tuojan välisessä sopimuksessa, eikä siinä pitäisi viitata muihin käsittelytoimintoihin tai -tarkoituksiin, jotta direktiivissä 95/46/EY esitettyä tarkoituksen rajoittamisen periaatetta noudatetaan. Jos alihankkijana toimiva käsittelijä ei täytä omia sopimuksen mukaisia tietojenkäsittelyvelvoitteitaan, tietojen tuojan olisi oltava edelleen vastuussa suhteessa tietojen viejään. Henkilötietojen siirron Euroopan unionin ulkopuolelle sijoittautuneille käsittelijöille ei pitäisi vaikuttaa siihen, että käsittelyn on kuuluttava sovellettavan tietosuojalainsäädännön piiriin.

(19)

Mallisopimuslausekkeiden olisi oltava täytäntöönpanokelpoisia sekä sopimuspuolina olevien organisaatioiden että rekisteröityjen toimesta erityisesti, jos rekisteröidyille aiheutuu vahinkoa sopimusrikkomuksen seurauksena.

(20)

Rekisteröidyllä olisi oltava oikeus ryhtyä toimenpiteisiin ja tarvittaessa saada korvausta tietojen viejältä, joka on siirrettyjen henkilötietojen rekisterinpitäjä. Poikkeuksellisesti rekisteröidyllä olisi myös oltava oikeus ryhtyä toimenpiteisiin ja tarvittaessa saada korvausta tietojen tuojalta tapauksissa, joissa tietojen tuoja tai jokin sen alaisena alihankkijana toimiva käsittelijä rikkoo jotakin lausekkeen 3 kohdassa 2 tarkoitetuista velvoitteistaan, kun tietojen viejä on tosiasiallisesti lakkautettu tai on lakannut oikeudellisesti olemasta taikka on menettänyt maksukykynsä. Poikkeuksellisesti rekisteröidyllä olisi myös oltava oikeus ryhtyä toimenpiteisiin ja tarvittaessa saada korvausta alihankkijana toimivalta käsittelijältä tapauksissa, joissa sekä tietojen viejä että tietojen tuoja on tosiasiallisesti lakkautettu tai ne ovat lakanneet oikeudellisesti olemasta taikka ovat menettäneet maksukykynsä. Tällaisen alihankkijana toimivan käsittelijän yksityisoikeudellisen vastuun olisi koskettava ainoastaan sen omaa sopimuslausekkeiden mukaista käsittelytoimintaa.

(21)

Jos rekisteröidyn ja tietojen tuojan välillä syntyy riita, jossa rekisteröity vetoaa kolmatta osapuolta suojaavaan edunsaajalausekkeeseen ja jossa ei päästä sovintoratkaisuun, tietojen tuojan olisi tarjottava rekisteröidylle mahdollisuus valita sovittelumenettely tai asian riitauttaminen. Se, missä määrin rekisteröidyllä on käytettävissään vaihtoehtoja, on sidoksissa luotettavien ja tunnustettujen sovittelumenettelyjen saatavuuteen. Sen jäsenvaltion, johon tietojen viejä on sijoittautunut, tietosuojaviranomaisten järjestämän sovittelumenettelyn olisi oltava yhtenä vaihtoehtona, mikäli kyseiset viranomaiset tarjoavat tällaista palvelua.

(22)

Sopimukseen olisi sovellettava sen jäsenvaltion lakia, johon tietojen viejä on sijoittautunut ja jonka avulla edunsaajana oleva kolmas osapuoli voi panna sopimuksen täytäntöön. Yhteenliittymän tai muun elimen olisi voitava edustaa rekisteröityjä, jos rekisteröidyt niin haluavat ja jos se on kansallisen lainsäädännön mukaan sallittua. Samaa lakia olisi sovellettava myös tietosuojaa koskeviin säännöksiin kaikissa alihankkijana toimivan käsittelijän kanssa tehdyissä sopimuksissa, jotka koskevat tietojen viejän sopimuslausekkeiden mukaisesti tietojen tuojalle siirtämien henkilötietojen käsittelytoiminnan suorittamista alihankintana.

(23)

Koska tätä päätöstä sovelletaan ainoastaan kolmanteen maahan sijoittautuneen tietojen käsittelijän käsittelypalvelujen teettämiseen alihankintana kolmanteen maahan sijoittautuneella alihankkijana toimivalla käsittelijällä, sitä ei pitäisi soveltaa tilanteeseen, jossa Euroopan unioniin sijoittautunut käsittelijä, joka käsittelee henkilötietoja Euroopan unioniin sijoittautuneen rekisterinpitäjän puolesta, antaa käsittelytoimintansa tehtäväksi alihankintana kolmanteen maahan sijoittautuneelle alihankkijana toimivalle käsittelijälle. Tällaisessa tilanteessa jäsenvaltioilla on mahdollisuus valita, ottavatko ne huomioon sen, että alihankintatyön antamisen yhteydessä kolmanteen maahan sijoittautuneelle alihankkijana toimivalle käsittelijälle on käytetty tässä päätöksessä esitettyjä mallisopimuslausekkeiden periaatteita ja takeita, kun tarkoitus on suojata asianmukaisesti niiden rekisteröityjen oikeuksia, joiden henkilötietoja siirretään alihankintana suoritettavaa käsittelytoimintaa varten.

(24)

Direktiivin 95/46/EY 29 artiklalla perustettu tietosuojatyöryhmä on antanut tämän päätöksen liitteenä olevien mallisopimuslausekkeiden antamasta suojan tasosta lausunnon, joka on otettu huomioon tätä päätöstä valmisteltaessa.

(25)

Päätös 2002/16/EY olisi kumottava.

(26)

Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklalla perustetun komitean lausunnon mukaiset,

a)

’erityisillä tietoryhmillä’ tarkoitetaan direktiivin 95/46/EY 8 artiklassa tarkoitettuja tietoja;

b)

’valvontaviranomaisella’ tarkoitetaan direktiivin 95/46/EY 28 artiklassa tarkoitettua viranomaista;

c)

’tietojen viejällä’ tarkoitetaan rekisterinpitäjää, joka siirtää henkilötietoja;

d)

’tietojen tuojalla’ tarkoitetaan kolmanteen maahan sijoittautunutta henkilötietojen käsittelijää, joka hyväksyy vastaanottavansa tietojen viejältä henkilötietoja, jotka on siirron jälkeen tarkoitus käsitellä tietojen viejän puolesta tämän antamien ohjeiden mukaisesti ja tämän päätöksen mukaisia edellytyksiä noudattaen, ja jota ei koske direktiivin 95/46/EY 25 artiklan 1 kohdassa tarkoitettu riittävän tietosuojan takaava kolmannen maan järjestelmä;

e)

’alihankkijana toimivalla käsittelijällä’ tarkoitetaan tietojen tuojan tai jonkin muun alihankkijana toimivan käsittelijän toimeksiannosta toimivaa käsittelijää, joka hyväksyy vastaanottavansa tietojen tuojalta tai joltakin muulta tietojen tuojan alihankkijana toimivalta käsittelijältä henkilötietoja, jotka on siirron jälkeen tarkoitettu ainoastaan käsiteltäviksi tietojen viejän puolesta tämän antamien ohjeiden, liitteessä esitettyjen mallisopimuslausekkeiden ja alihankintana suoritettavaa käsittelyä koskevan kirjallisen sopimuksen ehtojen mukaisesti;

f)

’sovellettavalla tietosuojalainsäädännöllä’ tarkoitetaan lainsäädäntöä, jolla suojataan yksilöiden perusoikeudet ja -vapaudet ja erityisesti näiden yksilöiden oikeus yksityisyyteen henkilötietojen käsittelyssä ja jota sovelletaan rekisterinpitäjään siinä jäsenvaltioissa, johon tietojen viejä on sijoittautunut;

g)

’teknisillä ja organisatorisilla turvatoimilla’ tarkoitetaan toimenpiteitä, joiden tavoitteena on suojata henkilötietoja tahattomalta tai laittomalta tuhoamiselta, tahattomalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietoihin pääsyltä erityisesti, kun tietoja siirretään verkossa käsittelyn yhteydessä, sekä muulta henkilötietojen laittomalta käsittelytavalta.

a)

todetaan, että tietojen tuojaan tai alihankkijana toimivaan käsittelijään sovellettavaan lainsäädäntöön sisältyy sellaisia vaatimuksia poiketa sovellettavasta tietosuojalainsäädännöstä, joiden rajoitukset menevät pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa direktiivin 95/46/EY 13 artiklan mukaan, kun kyseisillä vaatimuksilla on todennäköisesti merkittävä haitallinen vaikutus mallisopimuslausekkeilla annettaviin takeisiin;

b)

toimivaltainen viranomainen on todennut, ettei tietojen tuoja tai alihankkijana toimiva käsittelijä ole noudattanut liitteessä olevia mallisopimuslausekkeita; tai

c)

on hyvin todennäköistä, että liitteessä olevia mallisopimuslausekkeita ei noudateta tai ei tulla noudattamaan, ja siirron jatkaminen merkitsisi välitöntä vaaraa vakavan haitan aiheutumisesta rekisteröidyille.