13/Volumul 31

RO

Jurnalul Ofícial al Uniunii Europene

70

L 181/19

JURNALUL OFÍCIAL AL UNIUNII EUROPENE

(1)

În temeiul Directivei 95/46/CE, statele membre sunt obligate să vegheze ca transferul de date cu caracter personal către o țară terță să nu poată avea loc decât dacă țara terță în cauză asigură un nivel adecvat de protecție a datelor și dacă legislațiile statelor membre, care sunt conforme celorlalte dispoziții ale directivei, sunt respectate înainte de transfer.

(2)

Cu toate acestea, articolul 26 alineatul (2) din Directiva 95/46/CE prevede că statele membre pot autoriza, sub rezerva anumitor garanții, transferul sau o serie de transferuri de date cu caracter personal către țări terțe care nu asigură un nivel de protecție adecvat. Aceste garanții trebuie să rezulte mai ales din clauze contractuale corespunzătoare.

(3)

Conform Directivei 95/46/CE, nivelul de protecție a datelor trebuie evaluat ținând seama de toate circumstanțele referitoare la un transfer sau o categorie de transferuri. Grupul de protecție a persoanelor în ceea ce privește prelucrarea datelor cu caracter personal instituit în temeiul directivei menționate anterior (2) a publicat orientări pentru a facilita evaluarea (3).

(4)

Articolul 26 alineatul (2) din Directiva 95/46/CE, care asigură flexibilitate unei organizații care dorește să transfere date către țări terțe, precum și articolul 26 alineatul (4), care prevede clauzele contractuale standard, sunt esențiale pentru asigurarea fluxului necesar de date cu caracter personal între Comunitate și țările terțe fără să impună sarcini inutile agenților economici. Articolele menționate sunt importante în special pentru faptul că mecanismele care să ateste nivelul adecvat de protecție a datelor nu vor fi probabil adoptate de Comisie, conform articolului 25 alineatul (6), decât pentru un număr limitat de țări pe termen scurt sau chiar pe termen mediu.

(5)

Clauzele contractuale standard nu constituie decât una dintre diversele posibilități prevăzute de Directiva 95/46/CE pentru transferul legal al datelor cu caracter personal coroborat cu articolul 25 și articolul 26 alineatele (1) și (2). Prin includerea în contract a acestor clauze contractuale, organizațiile vor putea transfera mult mai ușor datele cu caracter personal către țări terțe. Clauzele contractuale standard nu privesc decât protecția datelor, iar exportatorul și importatorul sunt liberi să includă și alte clauze cu caracter comercial, cum ar fi clauze de asistență reciprocă în caz de litigii cu o persoană vizată sau cu o autoritate de supraveghere, pe care ei le consideră ca fiind relevante pentru contract atât timp cât ele nu contrazic clauzele contractuale standard.

(6)

Prezenta decizie nu trebuie să aducă atingere autorizațiilor naționale pe care statele membre le pot acorda în conformitate cu dispozițiile de drept intern de aplicare a articolului 26 alineatul (2) din Directiva 95/46/CE. Circumstanțele transferurilor specifice îi pot determina pe operatori să prevadă garanții diferite în sensul articolului 26 alineatul (2). În orice caz, prezenta decizie are unicul efect de a obliga statele membre să nu refuze recunoașterea faptului că clauzele contractuale descrise în decizie oferă garanții adecvate și, prin urmare, aceasta nu are nici un efect asupra altor clauze contractuale.

(7)

Domeniul de aplicare al prezentei decizii se limitează la a constata că clauzele prevăzute în anexă pot fi folosite de un operator stabilit în Comunitate pentru a oferi garanții suficiente în sensul articolului 26 alineatul (2) din Directiva 95/46/CE. Transferul de date cu caracter personal către țări terțe constituie o operațiune de prelucrare într-un stat membru, a cărei legalitate este reglementată de legislația internă. În exercitarea funcțiilor și competențelor conferite prin articolul 28 din Directiva 95/46/CE, autoritățile de supraveghere ale statelor membre au competența de a evalua dacă exportatorul de date a respectat legislația internă punând în aplicare dispozițiile Directivei 95/46/CE și, în special, orice normă specială referitoare la obligația de a furniza informații în temeiul directivei.

(8)

Prezenta decizie nu reglementează transferul de date cu caracter personal efectuat de operatori stabiliți în Comunitate către destinatari stabiliți în afara teritoriului Comunității care acționează doar în calitate de persoane împuternicite de către operator. Aceste transferuri nu necesită aceleași garanții pentru că persoana împuternicită acționează exclusiv pe seama operatorului. Comisia estimează că este necesar să abordeze acest transfer într-o decizie ulterioară.

(9)

Este oportun să se stabilească datele minime pe care părțile trebuie să le prevadă în contractul cu privire la transfer. Statele membre trebuie să-și mențină capacitatea de a specifica informațiile pe care trebuie să le furnizeze părțile. Aplicarea prezentei decizii va fi reexaminată în lumina experienței dobândite.

(10)

Comisia va constata în viitor dacă clauzele contractuale standard prezentate de organizațiile comerciale sau de alte părți vizate oferă suficiente garanții în conformitate cu articolul 26 alineatul (2) din Directiva 95/46/CE.

(11)

În timp ce părțile trebuie să aibă libertatea de a conveni asupra normelor de protecție a datelor de fond pe care trebuie să le respecte importatorul de date, anumite principii de protecție a datelor trebuie să se aplice în orice situație.

(12)

Datele nu trebuie să fie prelucrate și utilizate ulterior sau comunicate altora decât în scopuri determinate și nu trebuie păstrate mai mult decât este necesar.

(13)

În conformitate cu articolul 12 din Directiva 95/46/CE, persoana în cauză trebuie să aibă dreptul de acces la toate datele care o privesc și, dacă este cazul, dreptul de rectificare, de ștergere sau de opoziție în ceea ce privește prelucrarea anumitor date.

(14)

Alte transferuri de date cu caracter personal către un alt operator stabilit într-o țară terță nu trebuie permise decât în anumite condiții, în special pentru a se garanta că persoanele vizate primesc informații corecte și au posibilitatea de a se opune sau în anumite cazuri de a-și retrage consimțământul.

(15)

Pe lângă evaluarea conformității transferurilor către țări terțe cu legislația internă, autoritățile de supraveghere trebuie să joace, de asemenea, un rol cheie în acest mecanism contractual garantând protecția adecvată a datelor cu caracter personal după transfer. În circumstanțe speciale, autoritățile de supraveghere ale statelor membre trebuie să-și mențină capacitatea de a interzice sau suspenda un transfer de date sau o serie de transferuri întemeiate pe clauze contractuale standard în cazuri excepționale sau dacă se stabilește că un transfer întemeiat pe condiții contractuale riscă să modifice considerabil garanțiile care oferă un nivel de protecție adecvat persoanei în cauză.

(16)

Clauzele contractuale standard trebuie să fie executorii, nu numai de către organizațiile care sunt părți la contract, ci și de persoanele în cauză, în special atunci când acestea suferă un prejudiciu ca urmare a nerespectării contractului.

(17)

Dreptul care guvernează contractul trebuie să fie dreptul statului membru în care exportatorul de date este stabilit, care autorizează un terț beneficiar să execute un contract. Persoanele vizate trebuie să poată fi reprezentate de către asociații sau alte organisme, dacă doresc și dacă faptul este autorizat de legislația internă.

(18)

Pentru a reduce dificultățile de ordin practic cu care persoanele vizate s-ar putea confrunta atunci când încearcă să-și pună în aplicare drepturile lor în temeiul clauzelor contractuale standard, exportatorul și importatorul de date trebuie să răspundă solidar pentru prejudiciile care rezultă din încălcarea dispozițiilor care fac obiectul clauzei terțului beneficiar.

(19)

Persoana vizată are dreptul de a introduce o acțiune și de a obține reparații de la exportatorul de date, importatorul de date sau de la ambii pentru orice prejudiciu care rezultă din orice acțiune incompatibilă cu obligațiile prevăzute de clauzele contractuale standard. Cele două părți pot fi exonerate de această răspundere dacă dovedesc că nici una dintre ele nu a fost răspunzătoare.

(20)

Răspunderea solidară nu se întinde asupra dispozițiilor nereglementate de clauza terțului beneficiar și nu poate face o parte răspunzătoare de prelucrarea ilegală efectuată de cealaltă parte. Deși despăgubirea reciprocă între părți nu este obligatorie pentru garantarea nivelului adecvat de protecție a persoanelor vizate și pentru ca această dispoziție să poată fi prin urmare eliminată, aceasta este inclusă în clauzele contractuale standard în interesul clarificării și pentru a evita ca părțile să fie nevoite să negocieze clauzele de despăgubire separat.

(21)

Dacă un litigiu între părți și persoana vizată nu este rezolvat pe cale amiabilă și dacă persoana vizată invocă clauza terțului beneficiar, părțile convin să propună persoanei vizate posibilitatea de a alege între mediere, arbitraj sau proces. Persoana vizată va avea posibilitatea efectivă de a alege în măsura în care va putea dispune de sisteme de mediere și de arbitraj de încredere și recunoscute. Medierea de către autoritățile de supraveghere ale unui stat membru trebuie să fie o opțiune atunci când furnizează un astfel de serviciu.

(22)

Grupul de protecție a persoanelor în ceea ce privește prelucrarea datelor cu caracter personal, instituit în temeiul articolului 29 din Directiva 95/46/CE a emis un aviz cu privire la nivelul de protecție prevăzut în clauzele contractuale standard anexate la prezenta decizie. Acest aviz a fost luat în considerare la pregătirea prezentei decizii (4).

(23)

Măsurile prevăzute în prezenta decizie sunt în conformitate cu avizul comitetului instituit în temeiul articolului 31 din Directiva 95/46/CE,

(a)

se aplică definițiile din Directiva 95/46/CE;

(b)

„categorii speciale de date” înseamnă datele prevăzute la articolul 8 din directiva menționată;

(c)

„autorități de supraveghere” înseamnă autoritățile prevăzute la articolul 28 din directiva menționată;

(d)

„exportator de date” înseamnă operatorul care transferă datele cu caracter personal;

(e)

„importator de date” înseamnă operatorul care acceptă să primească date cu caracter personal de la exportatorul de date în vederea prelucrării lor ulterioare în conformitate cu condițiile din prezenta decizie.

(a)

s-a stabilit că legislația căreia i se supune importatorul de date îl obligă pe acesta să deroge de la normele relevante de protecție a datelor care depășesc restricțiile necesare într-o societate democratică, așa cum prevede articolul 13 din Directiva 95/46/CE, atunci când aceste obligații riscă să modifice considerabil garanțiile oferite de clauzele contractuale standard sau

(b)

o autoritate competentă a stabilit că importatorul de date nu a respectat clauzele contractuale sau

(c)

există o probabilitate mare că clauzele contractuale standard din anexă nu sunt sau nu vor fi respectate și că transferarea în continuare ar comporta un risc iminent de prejudicii grave aduse persoanelor vizate.

1.

Limitarea scopului: datele trebuie prelucrate și folosite sau comunicate ulterior doar în scopurile specificate în apendicele 1 la prezentele clauze. Datele nu trebuie păstrate mai mult decât este necesar în scopurile pentru care sunt transferate.

2.

Calitatea și proporționalitatea datelor: datele trebuie să fie exacte și, dacă este cazul, actualizate. Datele trebuie să fie adecvate, relevante și neexcesive în raport cu scopul în care au fost transferate și prelucrate ulterior.

3.

Transparență: persoanele vizate trebuie să primească informații cu privire la scopurile prelucrării și identitatea operatorului din țara terță, precum și alte informații în măsura în care acestea sunt necesare pentru asigurarea unei prelucrări corecte, dacă astfel de date nu au fost deja furnizate de către exportatorul de date.

4.

Securitatea și confidențialitatea: operatorul trebuie să adopte măsuri tehnice și organizatorice de securitate corespunzătoare în ceea ce privește riscurile pe care le prezintă prelucrarea, cum ar fi accesul neautorizat. Orice persoană care acționează sub autoritatea operatorului, inclusiv persoana împuternicită, nu trebuie să prelucreze datele decât conform instrucțiunilor operatorului.

5.

Drepturile de acces, rectificare, ștergere și opoziție: în conformitate cu articolul 12 din Directiva 95/46/CE, persoana vizată trebuie să aibă drept de acces la toate datele care o privesc și, dacă este cazul, să obțină dreptul de rectificare, ștergere sau opoziție în ceea ce privește datele a căror prelucrare nu respectă principiile stabilite în prezentul apendice, în special datele incomplete sau inexacte. Trebuie, de asemenea, să aibă posibilitatea să se opună prelucrării datelor care o privesc din motive valabile și legitime care țin de situația sa personală.

6.

Limitarea transferurilor ulterioare: transferurile ulterioare de date cu caracter personal efectuate de importatorul de date către alt operator stabilit într-o țară terță care nu oferă un nivel de protecție adecvat sau care nu sunt reglementate printr-o decizie adoptată de Comisie în conformitate cu articolul 25 alineatul (6) din Directiva 95/46/CE (transferuri ulterioare) pot fi autorizate numai dacă:

7.

Categorii speciale de date: atunci când sunt prelucrate date cu privire la originea rasială sau etnică, opinii politice, convingeri religioase sau filozofice, apartenența sindicală, date referitoare la sănătate și la viața sexuală și date referitoare la infracțiuni, condamnări penale sau măsuri de siguranță, trebuie să fie prevăzute precauții suplimentare în sensul Directivei 95/46/CE, în special măsuri de securitate corespunzătoare, cum ar fi transmiterea criptată sau ținerea unei evidențe cu privire la orice acces la datele sensibile.

8.

Marketingul direct: atunci când datele sunt prelucrate în vederea marketingului direct trebuie să existe proceduri eficace care să permită persoanei vizate „să se opună” ca datele care o privesc să fie, într-un moment sau altul, utilizate în asemenea scopuri.

9.

Decizii individuale automatizate: persoanele vizate au dreptul să nu se supună unei decizii luate numai pe baza prelucrării automatizate a datelor cu excepția cazului în care nu s-au luat alte măsuri pentru apărarea intereselor legitime ale persoanei conform articolului 15 alineatul (2) din Directiva 95/46/CE. Atunci când scopul transferului este luarea unei decizii automatizate, în sensul articolului 15 din Directiva 95/46/CE, care produce efecte juridice în ceea ce privește persoana sau care o afectează în mod semnificativ și care se bazează numai pe prelucrarea automatizată a datelor menite să evalueze anumite aspecte ale personalității sale, cum ar fi randamentul profesional, credibilitatea, încrederea, conduita etc., persoana trebuie să aibă dreptul să cunoască raționamentul care stă la baza acestei decizii.

1.

Limitarea scopului: datele trebuie prelucrate și folosite sau comunicate ulterior doar în scopurile specificate în apendicele 1 la prezentele clauze. Datele nu trebuie păstrate mai mult decât este necesar în scopurile pentru care sunt transferate.

2.

Drepturile de acces, rectificare, ștergere și opoziție: în conformitate cu articolul 12 din Directiva 95/46/CE, persoana vizată trebuie să aibă drept de acces la toate datele care o privesc și, dacă este cazul, să obțină dreptul de rectificare, ștergere sau opoziție în ceea ce privește datele a căror prelucrare nu respectă principiile stabilite în prezentul apendice, în special datele incomplete sau inexacte. Trebuie, de asemenea, să aibă posibilitatea să se opună prelucrării datelor care o privesc din motive valabile și legitime care țin de situația sa personală.

3.

Limitarea transferurilor ulterioare: transferurile ulterioare de date cu caracter personal efectuate de importatorul de date către alt operator stabilit într-o țară terță care nu oferă un nivel de protecție adecvat sau care nu fac obiectul unei decizii adoptate de Comisie în conformitate cu articolul 25 alineatul (6) din Directiva 95/46/CE (transferuri ulterioare) pot fi autorizate numai dacă: