Rozhodnutie Komisie

z 15. júna 2001

o štandardných zmluvných doložkách na prenos osobných údajov do tretích krajín podľa smernice 95/46/ES

(oznámené pod číslom dokumentu C(2001) 1539)

(Text s významom pre EHP)

(2001/497/ES)

KOMISIA EURÓPSKYCH SPOLOČENSTIEV,

so zreteľom na Zmluvu o založení Európskeho spoločenstva,

so zreteľom na smernicu 95/46/ES Európskeho parlamentu a Rady z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov [1], a najmä na jej článok 26 ods. 4,

keďže:

(1) Podľa smernice 95/46/ES sa od členských štátov požaduje, aby zabezpečili, že prenos osobných údajov do tretej krajiny sa môže uskutočniť iba vtedy, ak uvedená tretia krajina zabezpečí primeranú úroveň ochrany údajov a pred uskutočnením prenosu údajov sa budú rešpektovať zákony členských štátov, ktoré sú v súlade s ostatnými ustanoveniami tejto smernice.

(2) Avšak článok 26 ods. 2 smernice 95/46/ES stanovuje, že pod podmienkou určitých záruk môžu členské štáty povoliť prenos alebo súbor prenosov osobných údajov do tretích krajín, ktoré nezabezpečujú primeranú úroveň ochrany. Takéto záruky môžu vyplynúť najmä z vhodných zmluvných doložiek.

(3) Podľa smernice 95/46/ES sa má úroveň ochrany údajov hodnotiť v zmysle všetkých okolností súvisiacich s operáciou prenosu údajov alebo so súborom operácií prenosu údajov. Pracovná skupina pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov založená podľa tejto smernice [2] vydala smernice na pomoc pri tomto hodnotení [3].

(4) Pre zachovanie potrebného toku osobných údajov medzi spoločenstvom a tretími krajinami bez zbytočných ekonomických nákladov pre ekonomických prevádzkovateľov je veľmi dôležitý článok 26 ods. 2 smernice 95/46/ES, ktorý stanovuje flexibilitu pre organizáciu, ktorá chce uskutočňovať prenos údajov do tretích krajín, a článok 26 ods. 4 ustanovujúci štandardné zmluvné doložky. Tieto články sú obzvlášť dôležité kvôli skutočnosti, že je málo pravdepodobné, aby Komisia prijala zistenia o primeranosti podľa článku 25 ods. 6 pre viac ako obmedzený počet krajín v krátkodobom alebo dokonca v strednodobom termíne.

(5) Štandardné zmluvné doložky sú podľa smernice 95/46/ES spolu s článkom 25 a článkom 26 ods. 1 a 2 iba jednou z niekoľkých možností pre zákonný prenos osobných údajov do tretej krajiny. Pre organizácie bude jednoduchšie prenášať osobné údaje do tretích krajín začlenením štandardných zmluvných doložiek do zmluvy. Štandardné zmluvné doložky sa vzťahujú iba na ochranu údajov. Vývozca údajov a dovozca údajov môžu slobodne začleniť akékoľvek iné doložky týkajúce sa obchodných záležitostí, ako sú doložky o vzájomnej pomoci v prípadoch sporov s dotknutou osobou alebo dozorným orgánom, ak ich považujú za súvisiace so zmluvou a ak tieto nie sú v rozpore so štandardnými zmluvnými doložkami.

(6) Toto rozhodnutie sa nemá dotknúť vnútroštátnych oprávnení, ktoré môžu členské štáty udeľovať v súlade s vnútroštátnymi ustanoveniami, ktorými sa vykonáva článok 26 ods. 2 smernice 95/46/ES. Okolnosti špecifických prenosov si môžu vyžadovať, aby prevádzkovatelia údajov zabezpečili odlišné záruky v zmysle článku 26 ods. 2. V každom prípade má toto rozhodnutie iba ten účinok, že od členských sa požaduje, aby neodmietli uznať, že zmluvné doložky poskytujú primerané záruky popísané v ňom, a teda nemá žiadny iný účinok na ostatné zmluvné doložky.

(7) Pôsobnosť tohto rozhodnutia je obmedzená na ustanovenie toho, že prevádzkovateľ ustanovený spoločenstvom môže použiť doložky v prílohe, aby uviedol dostatočné záruky v zmysle článku 26 ods. 2 smernice 95/46/ES. Prenos osobných údajov do tretích krajín je spracovateľská operácia v členskom štáte, ktorej zákonnosť podlieha vnútroštátnym právnym predpisom. Dozorné orgány na ochranu údajov v členskom štáte majú pri výkone svojich funkcií a právomocí podľa článku 28 smernice 95/46/ES zostať zodpovedné za zhodnotenie toho, či vývozca údajov dodržal vnútroštátne právne predpisy, ktorými sa vykonávajú ustanovenia smernice 95/46/ES, a najmä akékoľvek špecifické pravidlá, pokiaľ ide o povinnosť poskytnúť informácie podľa tejto smernice.

(8) Toto rozhodnutie sa nevzťahuje na prenos osobných údajov prevádzkovateľmi ustanovenými v spoločenstve recipientom so sídlom mimo územia spoločenstva, ktorí konajú iba ako spracovatelia. Takéto prenosy si nevyžadujú také isté záruky, pretože spracovateľ koná výlučne v mene prevádzkovateľa. Komisia má v úmysle venovať sa tomuto typu prenosu v ďalšom rozhodnutí.

(9) Je vhodné stanoviť minimálne informácie, ktoré musia zmluvné strany špecifikovať v zmluve týkajúcej sa prenosu. Členské štáty si majú ponechať právomoc podrobne špecifikovať informácie, ktorých poskytnutie sa vyžaduje od zmluvných strán. Účinnosť tohto rozhodnutia sa má preskúmať so zreteľom na prax.

(10) Komisia v budúcnosti tiež posúdi, či štandardné zmluvné doložky predložené obchodnými organizáciami alebo inými zainteresovanými zmluvnými stranami ponúkajú primerané záruky podľa smernice 95/46/ES.

(11) Hoci zmluvné strany majú mať voľnosť v tom, aby sa dohodli na podstatných pravidlách ochrany údajov, ktorými sa má podriadiť dovozca údajov, existujú určité zásady ochrany údajov, ktoré sa v každom prípade majú uplatniť.

(12) Údaje sa majú spracovávať a následne používať alebo ďalej oznamovať iba pre určené účely a nemajú sa uchovávať dlhšie, ako je nevyhnutné.

(13) Podľa článku 12 smernice 95/46/ES má mať dotknutá osoba právo prístupu ku všetkým údajom, ktoré sa jej týkajú a podľa potreby právo na opravu, vymazanie alebo zablokovanie určitých údajov.

(14) Ďalšie prenosy osobných údajov inému prevádzkovateľovi ustanovenému v tretej krajine sa majú povoliť iba s výhradou určitých podmienok, najmä zabezpečenia toho, aby dotknuté osoby dostali správne informácie a mali možnosť vzniesť námietku alebo v určitých prípadoch odoprieť súhlas.

(15) Dozorné orgány, okrem zhodnotenia toho, či sú prenosy do tretích krajín v súlade s vnútroštátnym právom, majú zohrávať kľúčovú úlohu v tomto zmluvnom mechanizme v zabezpečovaní toho, aby boli osobné údaje primerane chránené po prenose. Za špecifických okolností si dozorné orgány členských štátov majú ponechať právomoc zakázať alebo pozastaviť prenos údajov alebo súbor prenosov založených na štandardných zmluvných doložkách v tých výnimočných prípadoch, keď sa zistí, že prenos na zmluvnom základe bude mať pravdepodobne značný škodlivý účinok na záruky poskytujúce primeranú ochranu pre dotknutú osobu.

(16) Štandardné zmluvné doložky majú byť vynútiteľné nielen organizáciami, ktoré sú zmluvnými stranami zmluvy, ale aj dotknutými osobami, a to najmä vtedy, keď dotknutá osoba utrpí škodu v dôsledku porušenia zmluvy.

(17) Právom, ktoré upravuje zmluvu, má byť právo členského štátu, v ktorom má vývozca údajov sídlo, umožňujúce oprávnenej tretej strane vymáhať plnenie zmluvy. Dotknutým osobám má byť daná možnosť, aby ich zastupovali združenia alebo iné orgány, ak si to želajú a ak to vnútroštátne právo pripúšťa.

(18) Aby sa zmenšili praktické ťažkosti, s ktorými by sa mohli stretnúť dotknuté osoby pri vymáhaní svojich práv podľa štandardných zmluvných doložiek, vývozca údajov a dovozca údajov majú mať spoločnú a nerozdielnu zodpovednosť za škody v dôsledku akéhokoľvek porušenia tých ustanovení, ktoré sú zahrnuté do doložky o oprávnenosti tretej strany.

(19) Dotknutá osoba je oprávnená podniknúť opatrenia a dostať odškodnenie od vývozcu údajov, dovozcu údajov, alebo od oboch za akúkoľvek škodu v dôsledku akéhokoľvek konania, ktoré je v rozpore so záväzkami obsiahnutými v štandardných zmluvných doložkách. Obe zmluvné strany môžu byť zbavené zodpovednosti, ak preukážu, že žiadna z nich nebola zodpovedná.

(20) Spoločná a nerozdielna zodpovednosť sa nerozširuje na tie ustanovenia, ktoré nie sú zahrnuté do doložky o oprávnenosti tretej strany, a nenecháva platiť jednu zmluvnú stranu za škodu v dôsledku protiprávneho spracovania druhou stranou. Hoci vzájomné odškodnenie medzi zmluvnými stranami netvorí požiadavku pre primeranosť ochrany pre dotknuté osoby, a teda je možné ju vypustiť, je zahrnuté do štandardných zmluvných doložiek kvôli objasneniu a kvôli tomu, aby zmluvné strany nemuseli samostatne vyjednávať o doložkách o odškodnení.

(21) V prípade sporu medzi zmluvnými stranami a dotknutou osobou, ktorý sa nevyrieši mimosúdnym urovnaním a keď sa dotknutá osoba dovolá doložky o oprávnenosti tretej strany, zmluvné strany sa dohodnú, že poskytnú dotknutej osobe možnosť voľby medzi sprostredkovaním, rozhodcovským konaním a súdnym sporom. To, do akej miery bude mať dotknutá osoba možnosť platnej voľby, bude závisieť od dostupnosti spoľahlivých a uznaných systémov sprostredkovania a rozhodcovského konania. Sprostredkovanie prostredníctvom dozorných orgánov členského štátu by malo byť možnosťou výberu tam, kde tieto poskytujú takúto službu.

(22) Pracovná skupina pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov ustanovená podľa článku 29 smernice 95/46/ES doručila stanovisko k úrovni ochrany poskytovanej podľa štandardných zmluvných doložiek pripojených k tomuto rozhodnutiu, ktoré sa zohľadnili pri príprave tohto rozhodnutia [4].

(23) Opatrenia ustanovené v tomto rozhodnutí sú v súlade so stanoviskom výboru zriadeného podľa článku 31 smernice 95/46/ES,

PRIJALA TOTO ROZHODNUTIE:

Článok 1

Štandardné zmluvné doložky vysvetlené v prílohe sa považujú za doložky, ktoré poskytujú primerané záruky s ohľadom na ochranu súkromia a základných práv a slobôd jednotlivcov a pokiaľ ide o uplatnenie príslušných práv, ako to požaduje článok 26 ods. 2 smernice 9/46/ES.

Článok 2

Toto rozhodnutie sa týka iba primeranosti ochrany zabezpečovanej štandardnými zmluvnými doložkami pre prenos osobných údajov, ktoré sú vysvetlené v prílohe. Nedotkne sa uplatňovania iných vnútroštátnych ustanovení vykonávajúcich smernicu 95/46/ES, ktoré sa vzťahujú na spracovanie osobných údajov v rámci členských štátov.

Toto rozhodnutie sa neuplatní na prenos osobných údajov prevádzkovateľmi ustanovenými v spoločenstve dovozcom ustanoveným mimo územia spoločenstva, ktorí konajú iba ako spracovatelia.

Článok 3

Na účely tohto rozhodnutia:

a) platia definície v smernici 95/46/ES;

b) "osobitné kategórie údajov" znamenajú údaje uvedené v článku 8 tejto smernice;

c) "dozorný orgán" znamená orgán uvedený v článku 28 tejto smernice;

d) "vývozca údajov" je prevádzkovateľ, ktorý prenáša osobné údaje;

e) "dovozca údajov" je prevádzkovateľ, ktorý súhlasí prijať od vývozcu údajov osobné údaje na ďalšie spracovanie v súlade s podmienkami tohto rozhodnutia.

Článok 4

1. Príslušné orgány v členských štátoch bez toho, aby bola dotknutá ich právomoc, podniknú opatrenia na zabezpečenie súladu s vnútroštátnymi ustanoveniami prijatými podľa kapitol II, III, V a VI smernice 95/46/ES, môžu vykonávať právomoci na zakázanie alebo pozastavenie toku údajov do tretích krajín, aby chránili jednotlivcov so zreteľom na spracovanie ich osobných údajov v prípadoch, keď:

a) sa zistí, že právny predpis, ktorému podlieha vývozca údajov, mu stanovuje požiadavky na odchýlku z relevantných pravidiel na ochranu údajov, ktoré sú nad rámec obmedzení nevyhnutných v demokratickej spoločnosti, ako je stanovené v článku 13 smernice 95/46/ES, keď budú mať tieto požiadavky pravdepodobne podstatný negatívny účinok na záruky stanovené štandardnými zmluvnými doložkami, alebo

b) príslušný orgán zistí, že dovozca údajov nerešpektoval zmluvné doložky, alebo

c) existuje veľká pravdepodobnosť, že štandardné zmluvné doložky v prílohe sa nedodržiavajú alebo sa nebudú dodržiavať a že pokračovanie prenosu by vytvorilo bezprostredné riziko závažnej ujmy dotknutým osobám.

2. Zákaz alebo pozastavenie podľa odseku 1 sa zruší, akonáhle pominú dôvody na zákaz alebo pozastavenie.

3. Keď členský štát prijme opatrenia podľa odsekov 1 a 2, bezodkladne o tom informuje Komisiu, ktorá odošle tieto informácie ostatným členským štátom.

Článok 5

Komisia zhodnotí účinnosť tohto rozhodnutia na základe dostupných informácií tri roky po ich oznámení členským štátom. Predloží správu o záveroch výboru zriadenému podľa článku 31 smernice 95/46/ES. Táto obsahuje všetky dôkazné údaje, ktoré by mohli negatívne ovplyvniť hodnotenie týkajúce sa primeranosti štandardných zmluvných doložiek v prílohe a všetky dôkazy o tom, že toto rozhodnutie sa uplatňuje diskriminačným spôsobom.

Článok 6

Toto rozhodnutie nadobudne účinnosť od 3. septembra 2001.

Článok 7

Toto rozhodnutie je adresované členským štátom.

V Bruseli 15. júna 2001

Za Komisiu

Frederik Bolkestein

člen Komisie

[1] Ú. v. ES L 281, 23.11.1995, s. 31.

[2] Internetová adresa tejto pracovnej skupiny je:http://www.europa.eu.intlcomm/internal_market/en/medial/dataprot/wpdocs/index/htm.

[3] WP 4(5020/97) "Pracovný dokument o prvých orientáciách na prenosy osobných údajov do tretích krajín — možné spôsoby, ktoré sú perspektívne pri hodnotení primeranosti", diskusný dokument prijatý pracovnou skupinou 26. júna 1997.WP 7 (5057/97) "Posudzovanie samoregulácie priemyslu: kedy tento zmysluplne prispieva k úrovni ochrany údajov v tretej krajine?", pracovný dokument: prijatý pracovnou skupinou 14. januára 1998.WP 9 (3005/98) "Predbežné názory na využitie zmluvných doložiek v súvislosti s prenosom osobných údajov do tretích krajín", pracovný dokument: prijatý pracovnou skupinou 22. apríla 1998.WP 12: "Prenosy osobných údajov do tretích krajín: uplatňovanie článkov 25 a 26 smernice EÚ o ochrane údajov", pracovný dokument prijatý pracovnou skupinou 24. júla 1998, dostupný na webovej stránke pracovných dokumentov "europa.eu.int/comm/internal_market/en/medial/dataprot/wpdocs/wp12/en" na domovskej stránke Európskej komisie.

[4] Stanovisko č. 1/2001 prijaté pracovnou skupinou 26. januára 2001 (DG MARKT 5102/00 WP 38), dostupné na webovej stránke "Europa", ktorú spravuje Európska Komisia.

--------------------------------------------------

PRÍLOHA

+++++ TIFF +++++

+++++ TIFF +++++

+++++ TIFF +++++

+++++ TIFF +++++

--------------------------------------------------