12.2.2010   

SK

Úradný vestník Európskej únie

L 39/5

(1)

Podľa smernice 95/46/ES sa od členských štátov vyžaduje, aby stanovili, že prenos osobných údajov do tretej krajiny sa môže uskutočniť, len ak príslušná tretia krajina zabezpečí primeranú úroveň ochrany a ak budú pred prenosom rešpektované zákony členských štátov, ktoré sú v súlade s ostatnými ustanoveniami smernice.

(2)

Avšak článok 26 ods. 2 smernice 95/46/ES stanovuje, že pod podmienkou určitých záruk môžu členské štáty povoliť prenos alebo súbor prenosov osobných údajov do tretích krajín, ktoré nezabezpečujú primeranú úroveň ochrany. Takéto záruky môžu vyplývať najmä z vhodných zmluvných doložiek.

(3)

Podľa smernice 95/46/ES má byť úroveň ochrany údajov zhodnotená z hľadiska všetkých okolností sprevádzajúcich operáciu prenosu údajov alebo súbor operácií prenosu údajov. Pracovná skupina pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov vytvorená podľa tejto smernice vydala usmernenia, ktoré majú pomôcť pri takomto hodnotení.

(4)

Štandardné zmluvné doložky by sa mali vzťahovať iba na ochranu údajov. Vývozcovi a dovozcovi údajov preto nič nebráni začleniť do zmluvy ďalšie doložky týkajúce sa otázok súvisiacich s obchodom, ktoré považujú za vhodné na jej účely, pokiaľ nie sú v rozpore so štandardnými zmluvnými doložkami.

(5)

Toto rozhodnutie sa nemá dotknúť vnútroštátnych oprávnení, ktoré môžu členské štáty udeľovať v súlade s vnútroštátnymi ustanoveniami, ktorými sa vykonáva článok 26 ods. 2 smernice 95/46/ES. Toto rozhodnutie má len ten účinok, že vyžaduje od členských štátov, aby neodmietli uznať, že v ňom stanovené štandardné zmluvné doložky poskytujú primerané záruky a nemá preto žiaden účinok na iné zmluvné doložky.

(6)

Rozhodnutie Komisie 2002/16/ES z 27. decembra 2001 o štandardných zmluvných doložkách pre prenos osobných údajov spracovateľom z tretích krajín podľa smernice 95/46/ES (2) bolo prijaté s cieľom umožniť prenos osobných údajov prevádzkovateľom údajov usadeným v Európskej únii spracovateľovi usadenému v tretej krajine, ktorá nezaručuje primeranú úroveň ochrany.

(7)

Od prijatia rozhodnutia 2002/16/ES bolo získaných veľa skúseností. Navyše správa o vykonávaní rozhodnutí o štandardných zmluvných doložkách pre prenosy osobných údajov do tretích krajín (3) ukázala, že existuje vzrastajúci záujem o podporu používania štandardných zmluvných doložiek pri medzinárodných prenosoch osobných údajov do tretích krajín, ktoré nezaručujú primeranú úroveň ochrany. Zainteresované strany okrem toho predložili návrhy s cieľom aktualizovať štandardné zmluvné doložky stanovené v rozhodnutí 2002/16/ES, aby sa zohľadnil rýchle sa rozširujúci rozsah činností spojených so spracovaním údajov vo svete a vyriešili sa niektoré otázky, na ktoré sa toto rozhodnutie nevzťahovalo (4).

(8)

Rozsah pôsobnosti tohto rozhodnutia by sa mal obmedzovať na stanovenie toho, že doložky, ktoré popisuje, môže prevádzkovateľ údajov usadený v Európskej únii použiť s cieľom uvedenia primeraných záruk v zmysle článku 26 ods. 2 smernice 95/46/ES pre prenos osobných údajov spracovateľovi usadenému v tretej krajine.

(9)

Toto rozhodnutie by sa nemalo týkať prenosu osobných údajov prevádzkovateľmi usadenými v Európskej únii prevádzkovateľom usadeným mimo Európskej únie, ktorí spadajú do pôsobnosti rozhodnutia Komisie 2001/497/ES z 15. júna 2001 o štandardných zmluvných doložkách pre prenos osobných údajov do tretích krajín podľa smernice 95/46/ES (5).

(10)

Toto rozhodnutie by malo zaviesť povinnosť stanovenú v článku 17 ods. 3 smernice 95/46/ES a nemal by ním byť dotknutý obsah zmlúv alebo právnych úkonov vytvorených v súlade s týmto ustanovením. Niektoré zo štandardných zmluvných doložiek, najmä pokiaľ ide o povinnosti vývozcu údajov, by však mali byť začlenené s cieľom zabezpečiť zrozumiteľnosť ustanovení, ktoré môžu byť obsiahnuté v zmluve medzi prevádzkovateľom a spracovateľom.

(11)

Dozorné orgány členských štátov hrajú kľúčovú úlohu v tomto zmluvnom mechanizme, pokiaľ ide o zabezpečenie primeranej ochrany osobných údajov po prenose. Vo výnimočných prípadoch, kedy vývozcovia údajov odmietnu alebo nie sú schopní poskytnúť dovozcovi údajov náležité pokyny, za bezprostredného rizika vážneho poškodenia subjektov údajov, majú štandardné zmluvné doložky umožniť dozorným orgánom audit dovozcov údajov a subdodávateľov spracovateľských operácií a v prípade potreby prijať rozhodnutia, ktoré sú pre dovozcov údajov a subdodávateľov záväzné. Dozorné orgány majú mať právomoc zakázať alebo pozastaviť prenos údajov alebo skupinu prenosov na základe štandardných zmluvných doložiek v tých výnimočných prípadoch, kde sa zistí, že prevod na zmluvnom základe bude mať pravdepodobne závažný nepriaznivý účinok na záruky a záväzky poskytujúce primeranú ochranu subjektu údajov.

(12)

Štandardné zmluvné doložky majú stanovovať technické a organizačné bezpečnostné opatrenia, ktoré majú uplatniť spracovatelia údajov usadení v tretej krajine neposkytujúcej primeranú ochranu, s cieľom zaistiť úroveň bezpečnosti primeranú rizikám, ktoré predstavuje spracovanie a charakter údajov, ktoré sa majú chrániť. Zmluvné strany majú v zmluve stanoviť také technické a organizačné opatrenia, ktoré sú, so zreteľom na použiteľné právo týkajúce sa ochrany údajov, stav techniky a náklady na ich realizáciu, potrebné na ochranu osobných údajov proti neúmyselnému alebo neoprávnenému zničeniu, prípadne neúmyselnej strate, zmene, neoprávnenému prezradeniu alebo prístupu, prípadne akýmkoľvek iným nezákonným formám spracovania.

(13)

S cieľom uľahčenia tokov údajov z Európskej únie je žiaduce, aby sa spracovateľom poskytujúcim služby spracovania údajov viacerým prevádzkovateľom údajov v Európskej únii umožnilo uplatňovať rovnaké technické a organizačné bezpečnostné opatrenia bez ohľadu na členský štát, v ktorom má prenos údajov pôvod, najmä v tých prípadoch, keď dovozcovia údajov prijímajú údaje s cieľom ďalšieho spracovania z rôznych zariadení vývozcu údajov v Európskej únii, pričom v takom prípade sa má uplatniť právo príslušného členského štátu, v ktorom je vývozca údajov usadený.

(14)

Je vhodné stanoviť minimálne informácie, ktoré majú zmluvné strany špecifikovať v zmluve týkajúcej sa prenosu. Členské štáty si majú zachovať právomoc podrobne špecifikovať informácie, ktorých poskytnutie sa od zmluvných strán vyžaduje. Uplatňovanie tohto rozhodnutia by sa malo preskúmať z hľadiska skúseností.

(15)

Dovozca údajov má spracovávať prenesené osobné údaje len v mene vývozcu údajov a v súlade s jeho pokynmi a záväzkami obsiahnutými v doložkách. Dovozca údajov predovšetkým nemá prezradiť osobné údaje tretej strane bez predchádzajúceho písomného súhlasu vývozcu údajov. Vývozca údajov má poučiť dovozcu údajov, aby v priebehu trvania služieb spracovania údajov tieto spracovával v súlade s jeho pokynmi, príslušnými zákonmi na ochranu údajov a záväzkami obsiahnutými v doložkách.

(16)

V správe o vykonávaní rozhodnutí o štandardných zmluvných doložkách pre prenosy osobných údajov do tretích krajín bolo doporučené zaviesť príslušné štandardné zmluvné doložky o ďalších následných prenosoch údajov spracovateľom údajov usadeným v tretej krajine inému spracovateľovi údajov (zadávanie zákaziek na spracovanie údajov subdodávateľom) s cieľom zohľadniť obchodné trendy a postupy stále viac globalizovaných spracovateľských činností.

(17)

Toto rozhodnutie by malo obsahovať osobitné štandardné zmluvné doložky o zadávaní zákaziek na služby spracovania údajov spracovateľmi usadenými v tretej krajine (dovozca údajov) iným spracovateľom (subdodávateľom) usadeným v tretích krajinách. Okrem toho by toto rozhodnutie malo stanoviť podmienky, ktoré by zadávanie zákaziek subdodávateľom malo spĺňať na zabezpečenie toho, že prenášané osobné údaje budú naďalej chránené aj napriek následným prenosom ďalším subdodávateľom.

(18)

Zadávanie zákaziek na spracovanie údajov subdodávateľom by okrem toho malo pozostávať len z operácií dohodnutých v zmluve uzatvorenej medzi vývozcom údajov a dovozcom údajov, do ktorej by sa mali začleniť štandardné zmluvné doložky stanovené v tomto rozhodnutí a nemalo by sa vzťahovať na iné operácie alebo účely spojené so spracovaním údajov, aby bola dodržaná zásada obmedzenia účelu stanovená v smernici 95/46/ES. Navyše, ak si subdodávateľ neplní svoje zmluvné povinnosti súvisiace so spracovaním údajov, dovozca údajov by mal aj naďalej niesť zodpovednosť voči vývozcovi údajov. Prenosom osobných údajov spracovateľom usadeným mimo Európskej únie by nemala byť dotknutá skutočnosť, že činnosti v rámci spracovania sa majú v každom prípade riadiť príslušným právom týkajúcim sa ochrany údajov.

(19)

Štandardné zmluvné doložky majú byť vymáhateľné nielen organizáciami, ktoré sú stranami zmluvy, ale taktiež subjektmi údajov, najmä ak subjekty údajov utrpeli škodu v dôsledku porušenia zmluvy.

(20)

Subjekt údajov má mať nárok na žalobu a v prípade potreby na odškodnenie od vývozcu údajov, ktorý je prevádzkovateľom prenesených osobných údajov. Výnimočne má mať subjekt údajov taktiež nárok na žalobu a v prípade potreby nárok na odškodnenie od vývozcu údajov, pokiaľ došlo k porušeniu akýchkoľvek záväzkov dovozcu údajov alebo jeho subdodávateľa uvedených v odseku 2 doložky 3, ak vývozca údajov fakticky zmizol alebo prestal právne existovať, alebo sa stal platobne neschopným. Výnimočne má mať subjekt údajov taktiež nárok na žalobu a v prípade potreby nárok na odškodnenie od subdodávateľa, pokiaľ vývozca aj dovozca údajov fakticky zmizli, alebo prestali právne existovať, alebo sa stali platobne neschopnými. Táto zodpovednosť subdodávateľa voči tretím stranám by mala byť obmedzená na jeho vlastné operácie súvisiace so spracovaním údajov podľa zmluvných doložiek.

(21)

V prípade sporu medzi subjektom údajov uplatňujúcim doložku o oprávnenosti tretej strany a dovozcom údajov, ktorý sa nevyrieši mimosúdnym urovnaním, dovozca údajov by mal poskytnúť subjektu údajov možnosť voľby medzi sprostredkovaním alebo súdnym sporom. To, do akej miery bude mať subjekt údajov účinnú možnosť voľby, bude závisieť od dostupnosti spoľahlivých a uznaných systémov sprostredkovania. Sprostredkovanie dozornými orgánmi pre ochranu údajov členského štátu, v ktorom vývozca údajov pôsobí, by mala byť jedna z možností v prípade, že dozorné orgány takúto službu poskytujú.

(22)

Zmluva by sa mala riadiť právom členského štátu, v ktorom je vývozca údajov usadený, čím sa oprávnenej tretej strane umožní vymáhanie plnenia zmluvy. Subjektom údajov má byť daná možnosť, aby ich zastupovali združenia alebo iné subjekty, ak si to želajú a ak to vnútroštátne právo povoľuje. Rovnakým právom by sa mali riadiť aj ustanovenia o ochrane údajov zahrnuté v akejkoľvek zmluve so subdodávateľom, ktoré sa týkajú subdodávateľského zabezpečovania činností spojených so spracovaním osobných údajov prenesených vývozcom údajov dovozcovi údajov podľa zmluvných doložiek.

(23)

Vzhľadom na to, že toto rozhodnutie sa vzťahuje len na zadávanie spracovateľských operácií spracovateľom usadeným v tretej krajine subdodávateľovi usadenému v tretej krajine, nemalo by sa uplatňovať na situáciu, keď spracovateľ usadený v Európskej únii a vykonávajúci spracovanie osobných údajov v mene prevádzkovateľa usadeného v Európskej únii zadá svoje spracovateľské operácie subdodávateľovi usadenému v tretej krajine. V takýchto situáciách sa členské štáty môžu rozhodnúť, či zohľadnia skutočnosť, že pri zadaní zákazky subdodávateľovi usadenému v tretej krajine boli uplatnené zásady a záruky podľa štandardných zmluvných doložiek stanovených v tomto rozhodnutí, s cieľom poskytnúť primeranú ochranu práv subjektov údajov, ktorých osobné údaje sú prenášané na spracovateľské operácie subdodávateľom.

(24)

Pracovná skupina pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov ustanovená podľa článku 29 smernice 95/46/ES vyjadrila stanovisko k úrovni ochrany poskytovanej podľa štandardných zmluvných doložiek pripojených k tomuto rozhodnutiu, ktoré bolo zohľadnené pri príprave tohto rozhodnutia.

(25)

Rozhodnutie 2002/16/ES by sa malo zrušiť.

(26)

Opatrenia ustanovené v tomto rozhodnutí sú v súlade so stanoviskom výboru zriadeného podľa článku 31 smernice 95/46/ES,

a)

„osobitné kategórie údajov“ sú údaje uvedené v článku 8 smernice 95/46/ES;

b)

„dozorný orgán“ je bezpečnostný orgán uvedený v článku 28 smernice 95/46/ES;

c)

„vývozca údajov“ je prevádzkovateľ, ktorý prenáša osobné údaje;

d)

„dovozca údajov“ je spracovateľ usadený v tretej krajine, ktorý súhlasí, že bude od vývozcu údajov prijímať osobné údaje určené na spracovanie v mene vývozcu údajov po prenose v súlade s jeho pokynmi a podmienkami tohto rozhodnutia a ktorý nepodlieha systému tretej krajiny zaisťujúcemu primeranú ochranu v zmysle článku 25 ods. 1 smernice 95/46/ES;

e)

„subdodávateľ“ je akýkoľvek spracovateľ najatý dovozcom údajov alebo iným subdodávateľom dovozcu údajov, ktorý sa zaviaže prijímať od dovozcu údajov alebo od iného subdodávateľa dovozcu údajov osobné údaje výhradne určené na spracovateľské činnosti, ktoré sa majú v mene vývozcu údajov vykonať po prenose údajov v súlade s inštrukciami vývozcu, štandardnými zmluvnými doložkami stanovenými v prílohe a podmienkami písomnej zmluvy o spracovaní údajov subdodávateľom;

f)

„príslušné právo týkajúce sa ochrany údajov“ sú právne predpisy chrániace základné práva a slobody jednotlivcov a najmä ich právo vo vzťahu k spracovaniu osobných údajov, uplatniteľné na prevádzkovateľa údajov v členskom štáte, v ktorom je vývozca údajov usadený;

g)

„technické a organizačné bezpečnostné opatrenia“ sú tie opatrenia, ktoré sa zameriavajú na ochranu osobných údajov proti neúmyselnému alebo neoprávnenému zničeniu, prípadne neúmyselnej strate, zmene, neoprávnenému prezradeniu alebo prístupu, najmä ak spracovanie zahŕňa prenos údajov prostredníctvom siete, a proti všetkým ostatným nezákonným formám spracovania.

a)

sa zistí, že právo, ktorému vývozca údajov alebo subdodávateľ podlieha, mu ukladá povinnosti vo forme výnimky z príslušného práva týkajúceho sa ochrany údajov, ktoré presahujú obmedzenia nevyhnutné v demokratickej spoločnosti stanovené v článku 13 smernice 95/46/ES, ak je pravdepodobné, že tieto povinnosti budú mať závažný nepriaznivý účinok na záruky poskytované príslušným právom týkajúcim sa ochrany údajov a štandardnými zmluvnými doložkami;

b)

príslušný orgán zistí, že dovozca údajov alebo subdodávateľ nerešpektoval štandardné zmluvné doložky uvedené v prílohe, alebo

c)

existuje veľká pravdepodobnosť, že štandardné zmluvné doložky uvedené v prílohe nie sú alebo nebudú dodržiavané a pokračujúcim prenosom by vzniklo bezprostredné riziko vážneho poškodenia subjektov údajov.