12.2.2010   

ET

Euroopa Liidu Teataja

L 39/5


KOMISJONI OTSUS,

5. veebruar 2010,

kolmandates riikides asuvatele volitatud töötlejatele isikuandmete edastamise lepingu tüüptingimuste kohta nõukogu ja Euroopa Parlamendi direktiivi 95/46/EÜ alusel

(teatavaks tehtud numbri K(2010) 593 all)

(EMPs kohaldatav tekst)

(2010/87/EL)

EUROOPA KOMISJON,

võttes arvesse Euroopa Liidu toimimise lepingut,

võttes arvesse Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta, (1) eriti selle artikli 26 lõiget 4,

olles konsulteerinud Euroopa andmekaitseinspektoriga

ning arvestades järgmist:

(1)

Vastavalt direktiivile 95/46/EÜ peavad liikmesriigid sätestama, et isikuandmete edastamine kolmandatesse riikidesse võib toimuda üksnes siis, kui kõnesolev kolmas riik tagab piisava andmekaitse taseme ja kui enne andmete edastamist tunnustatakse liikmesriikide seadusi, mis järgivad kõnealuse direktiivi muid sätteid.

(2)

Direktiivi 95/46/EÜ artikli 26 lõige 2 näeb siiski ette, et liikmesriigid võivad teatavate tagatiste korral lubada isikuandmete edastamist või edastamiste kogumit kolmandatesse riikidesse, mis ei taga piisavat kaitsetaset. Sellised tagatised võivad tuleneda eelkõige asjakohastest lepingutingimustest.

(3)

Vastavalt direktiivile 95/46/EÜ peaks andmekaitse taset hindama kõiki andmete edastamistoimingu või edastamistoimingute kogumi asjaolusid silmas pidades. Kõnealuse direktiivi alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega on välja andnud juhised hindamise hõlbustamiseks.

(4)

Lepingu tüüptingimused peaksid olema seotud üksnes andmekaitsega. Andmeeksportija ja andmeimportija võivad seega vabalt lisada mis tahes muid ettevõtlusega seotud lepingutingimusi, mida nad lepingus asjakohaseks peavad, niikaua kui need ei lähe vastuollu lepingu tüüptingimustega.

(5)

Käesolev otsus ei tohiks piirata riiklikke lubasid, mida liikmesriigid võivad anda kooskõlas direktiivi 95/46/EÜ artikli 26 lõiget 2 rakendavate siseriiklike õigusnormidega. Käesolev otsus peaks nõudma ainult, et liikmesriigid ei keelduks tunnustamast selles sätestatud tüüptingimusi kui piisavaid tagatisi pakkuvaid tingimusi ning seepärast ei peaks see mõjutama muid lepingutingimusi.

(6)

Euroopa Liidus asuvatelt vastutavatelt töötlejatelt piisavat andmekaitse taset mittepakkuvates kolmandates riikides asuvatele töötlejatele isikuandmete edastamise lihtsustamiseks on vastu võetud komisjoni 27. detsembri 2001. aasta otsus 2002/16/EÜ kolmandates riikides asuvatele volitatud töötlejatele isikuandmete edastamise lepingu tüüptingimuste kohta direktiivi 95/46/EÜ alusel (2).

(7)

Alates otsuse 2002/16/EÜ vastuvõtmisest on saadud palju kogemusi. Lisaks on kolmandatesse riikidesse isikuandmete edastamise lepingu tüüptingimusi käsitlevate otsuste rakendamise aruandes (3) väljendatud järjest suuremat huvi piisavat andmekaitse taset mittepakkuvatesse kolmandatesse riikidesse isikuandmete rahvusvahelise edastamise lepingute tüüptingimuste kasutamise soodustamise vastu. Lisaks on sidusrühmad (4) esitanud ettepanekuid, mille eesmärgiks on otsuses 2002/16/EÜ sätestatud lepingu tüüptingimusi ajakohastada, et arvesse võtta andmetöötlustoimingute kiiresti suurenevat mahtu maailmas ja tegeleda küsimustega, mida nimetatud otsuses ei käsitleta.

(8)

Käesoleva otsuse reguleerimisala peaks olema piiratud, kehtestades, et selles sätestatud tingimusi võib kasutada Euroopa Liidus asuv vastutav töötleja, et esitada piisavaid tagatisi direktiivi 95/46/EÜ artikli 26 lõikes 2 määratletud tähenduses isikuandmete edastamisel kolmandas riigis asuvale volitatud töötlejale.

(9)

Käesolevat otsust ei tuleks kohaldada isikuandmete edastamise suhtes Euroopa Liidus asuvatelt vastutavatelt töötlejatelt väljaspool liitu asuvatele vastutavatele töötlejatele, kes jäävad komisjoni 15. juuni 2001. aasta otsuse 2001/497/EÜ (kolmandatesse riikidesse isikuandmete edastamise lepingu tüüptingimuste kohta direktiivi 95/46/EÜ alusel) (5) reguleerimisalasse.

(10)

Käesolev otsus peaks rakendama direktiivi 95/46/EÜ artikli 17 lõikes 3 ettenähtud kohustust ega tohiks piirata vastavalt sellele sättele kehtestatud lepingute või õigusaktide sisu. Mõned lepingu tüüptingimused, eriti andmeeksportija kohustusi puudutavad punktid tuleks siiski sisse viia, suurendamaks sätete selgust, mis võivad sisalduda vastutava töötleja ja volitatud töötleja vahelises lepingus.

(11)

Liikmesriikide järelevalveasutused mängivad käesolevas lepingumehhanismis võtmerolli, et tagada isikuandmete piisav kaitse pärast edastamist. Erandjuhtumitel, kui andmeeksportijad keelduvad andmeimportijat korralikult juhendamast või ei saa seda teha, millega kaasneb ähvardav oht tõsise kahju tekkimiseks andmesubjektidele, peaksid lepingu tüüptingimused lubama järelevalveasutustel andmeimportijaid ja alamtöötlejaid kontrollida ning vajaduse korral andmeimportijatele ja alamtöötlejatele siduvaid otsuseid vastu võtta. Järelevalveasutustel peaks olema õigus keelata või peatada lepingu tüüptingimustel põhinev andmete edastamine või edastamistoimingute kogum sellisel erandjuhul, kui on kindlaks tehtud, et lepinguline edastamine võib tõenäoliselt omada olulist ebasoodsat mõju tagatistele ja kohustustele, mis sätestavad andmesubjekti piisava kaitse.

(12)

Lepingu tüüptingimustes peaksid olema ette nähtud tehnilised ja organisatsioonilised turvameetmed, mida ebapiisavat kaitset pakkuvas kolmandas riigis asuv volitatud andmetöötleja peaks kohaldama, et tagada turvataset, mis vastab töötlemisel tekkivatele riskidele ja kaitsealuste andmete olemusele. Pooled peaksid lisama lepingusse sätte selliste tehniliste ja organisatsiooniliste meetmete kohta, mis on vajalikud isikuandmete kaitsmiseks juhusliku või ebaseadusliku hävitamise või juhusliku kaotsimineku, muutmise, volitamata avalikustamise või juurdepääsu või muude ebaseaduslike töötlemisviiside eest, võttes arvesse kohaldatavat andmekaitseseadust, tehnika taset ning meetmete rakendamise maksumust.

(13)

Hõlbustamaks andmete liikumist Euroopa Liidust on soovitav, et liidus mitmetele vastutavatele andmetöötlejatele andmetöötlusteenuseid osutavatel volitatud töötlejatel oleks võimaldatud kohaldada samu tehnilisi ja organisatsioonilisi turvameetmeid sõltumatult liikmesriigist, kust andmeedastus pärineb, eriti juhul, kui andmeimportija saab edasiseks töötlemiseks andmeid liidu andmeeksportija erinevatest asutustest, millisel puhul peaks kohaldatama määratud asutuse liikmesriigi õigust.

(14)

On asjakohane sätestada minimaalne teabehulk, mida pooled peaksid edastamist käsitlevas lepingus määratlema. Liikmesriikidele peaks jääma õigus detailiseerida teavet, mida pooled peavad esitama. Käesoleva otsuse toimivust peaks läbi vaatama kogemusi silmas pidades.

(15)

Andmeimportija peaks edastatud isikuandmeid töötlema üksnes andmeeksportija nimel ning kooskõlas tema juhiste ja lepingutingimustes sisalduvate kohustustega. Eelkõige andmeimportija ei tohiks avalikustada isikuandmeid kolmandale isikule andmeeksportija eelneva kirjaliku nõusolekuta. Andmeeksportija peaks juhendama andmeimportijat kogu andmetöötlusteenuse osutamise kestel, et andmeid töödeldaks kooskõlas tema juhiste, kohaldatavate andmekaitseseaduste ja lepingutingimustes sisalduvate kohustustega.

(16)

Kolmandatesse riikidesse isikuandmete edastamise lepingu tüüptingimusi käsitlevate otsuste rakendamise aruandes on soovitatud kehtestada asjaomased lepingu tüüptingimused, mis käsitlevad andmete edasist edastamist kolmandas riigis asuvalt andmetöötlejalt teisele andmetöötlejale (alamtöötlemine), et arvesse võtta valdkonna tava ja suundumust aina üleilmsema töötlemise poole.

(17)

Käesolev otsus peaks sisaldama konkreetseid lepingu tüüptingimusi, mis käsitlevad kolmandates riikides asuvate andmetöötlejate (andmeimportijate) poolt pakutavate töötlusteenuste delegeerimist teistele kolmandates riikides asuvatele töötlejatele (alamtöötlejatele). Lisaks tuleks selles sätestada tingimused, millele alamtöötlemine peaks vastama ning millega tagatakse, et edastatavad isikuandmed on hoolimata nende järgnevast edastamisest alamtöötlejale endiselt kaitstud.

(18)

Lisaks peaks alamtöötlemine piirduma üksnes andmeeksportija ja andmeimportija vahelises, käesolevas otsuses ettenähtud tüüptingimusi sisaldavas lepingus sätestatud toimingutega, samuti ei tohiks alamtöötlemine viidata erinevatele töötlustoimingutele ega -eesmärkidele, et kinni pidada direktiivis 95/46/EÜ sätestatud eesmärgi piiramise põhimõttest. Kui alamtöötleja ei täida sellisest lepingust talle tulenevat andmetöötlusega seotud kohustust, peaks andmeeksportija ees vastutama andmeimportija. Isikuandmete edastamine väljaspool Euroopa Liitu asuvatele volitatud töötlejatele ei tohiks mõjutada tõsiasja, et töötlemistegevust peaks reguleerima kohaldatav andmekaitseseadus.

(19)

Lepingu tüüptingimusi ei peaks saama täitmisele pöörata mitte ainult lepingupoolteks olevad organisatsioonid, vaid ka andmesubjektid, eriti juhul, kui andmesubjektid kannavad kahju lepingu rikkumise tagajärjel.

(20)

Andmesubjektil peaks olema õigus astuda samme ning kui see on asjakohane, siis saada hüvitist andmeeksportijalt, kes on edastatud isikuandmete vastutav andmetöötleja. Erandkorras peaks andmesubjektil olema õigus võtta meetmeid ning kui see on asjakohane, siis saada hüvitist andmeimportijalt juhul, mis tuleneb 3. tingimuse lõikes 2 märgitud andmeimportija või temale alluva alamtöötleja mis tahes kohustuste rikkumisest, kui andmeeksportija on teadaolevalt kadunud või on oma seadusejärgse tegevuse lõpetanud või on maksejõuetuks muutunud. Erandkorras peaks andmesubjektil olema õigus võtta meetmeid ning kui see on asjakohane, siis saada hüvitist alamtöötlejalt ka neil juhtudel, kui nii andmeeksportija kui ka andmeimportija on teadaolevalt kadunud või on oma seadusejärgse tegevuse lõpetanud või on maksejõuetuks muutunud. Alamtöötleja kui kolmanda isiku vastutus peaks olema piiratud tema lepingus sätestatud töötlustoimingutega.

(21)

Soodustatud kolmanda isiku sättele tugineva andmesubjekti ja andmeimportija vahelise vaidluse korral, mida ei ole sõbralikult lahendatud, peaks andmeimportija andma andmesubjektile valiku lepitamise või kohtuvaidluse vahel. Andmesubjekti käsutuses oleva tegeliku valiku ulatus sõltub lepitamise usaldusväärsete ning tunnustatud süsteemide kättesaadavusest. Liikmesriikide järelevalveasutuste poolne lepitamine peaks olema valikuks siis, kui nad sellist teenust osutavad.

(22)

Lepingut peaks reguleerima selle liikmesriigi õigus, kus andmeeksportija asub, võimaldades soodustatud kolmandal isikul lepingut täitmisele pöörata. Andmesubjektidele peaks olema lubatud lasta ennast esindada ühendustel või muudel organitel, kui nad seda soovivad ja kui see on siseriiklike õigusaktidega lubatud. Sama õigust tuleks kohaldada ka kõigi selliste lepingute andmekaitsesätete suhtes, mis on sõlmitud alamtöötlejatega andmeeksportijalt andmeimportijale nendevahelise lepingu alusel edastatud isikuandmete alamtöötlemiseks.

(23)

Kuna käesolevat otsust kohaldatakse üksnes juhul, kui kolmandas riigis asuv andmetöötleja osutab andmete töötlemise teenust kolmandas riigis asuvale alamtöötlejale, ei tohiks seda kohaldada olukorras, kus Euroopa Liidus asuv töötleja, kes töötleb isikuandmeid Euroopa Liidus asuva vastutava töötleja nimel, annab oma töötlustoimingud üle kolmandas riigis asuvale alamtöötlejale. Sellistes olukordades on liikmesriikidel vabadus otsustada, kas arvesse võtta asjaolu, et töötlustoimingute andmisel kolmandas riigis asuvale alamtöötlejale on nende andmesubjektide õiguste piisaval tasemel kaitse tagamiseks, kelle isikuandmeid alamtöötlustoiminguteks edastatakse, kasutatud käesolevas otsuses sätestatud lepingu tüüptingimuste põhimõtteid ja kaitsemeetmeid.

(24)

Direktiivi 95/46/EÜ artikli 29 alusel loodud töörühm üksikisikute kaitseks seoses isikuandmete töötlemisega on esitanud arvamuse kaitsetaseme kohta, mida pakuvad käesolevale otsusele lisatud lepingu tüüptingimused ja mida on selle otsuse ettevalmistamisel arvesse võetud.

(25)

Otsus 2002/16/EÜ tuleks tunnistada kehtetuks.

(26)

Käeoleva otsusega ettenähtud meetmed on kooskõlas direktiivi 95/46/EÜ artikli 31 alusel asutatud komitee arvamusega,

ON VASTU VÕTNUD KÄESOLEVA OTSUSE:

Artikkel 1

Lisas sätestatud lepingu tüüptingimusi käsitletakse piisavate tagatistena üksikisikute eraelu puutumatuse ning põhiõiguste ja -vabaduste kaitseks ning vastavate õiguste teostamiseks, nagu on nõutud direktiivi 95/46/EÜ artikli 26 lõikes 2.

Artikkel 2

Käesolev otsus käsitleb üksnes kaitse piisavust, mida pakuvad lisas sätestatud isikuandmete volitatud töötlejatele edastamise lepingu tüüptingimused. See ei mõjuta muude direktiivi 95/46/EÜ rakendavate siseriiklike õigusnormide kohaldamist, mis on seotud isikuandmete töötlemisega liikmesriikide piires.

Käesolev otsus kehtib isikuandmete edastamise kohta Euroopa Liidus asuvatelt vastutavatelt töötlejatelt väljaspool liidu territooriumi asuvatele vastuvõtjatele, kes tegutsevad üksnes volitatud töötlejatena.

Artikkel 3

Käesolevas otsuses kasutatakse järgmisi mõisteid:

a)   andmete eriliigid– direktiivi 95/46/EÜ artiklis 8 märgitud andmed;

b)   järelevalveasutus– direktiivi 95/46/EÜ artiklis 28 märgitud organ;

c)   andmeeksportija– vastutav töötleja, kes edastab isikuandmeid;

d)   andmeimportija– kolmandas riigis asuv volitatud töötleja, kes nõustub võtma andmeeksportijalt vastu isikuandmeid, mis on mõeldud töötlemiseks pärast edastamist andmeeksportija nimel ja kooskõlas tema juhiste ja käesoleva otsuse tingimustega ning kelle kohta ei kehti piisavat kaitset tagav kolmanda riigi süsteem direktiivi 95/46/EÜ artikli 25 lõike 1 tähenduses;

e)   alamtöötleja– andmeimportija või andmeimportija alamtöötleja värvatud töötleja, kes nõustub andmeimportijalt või andmeimportija alamtöötlejalt saama isikuandmeid, mis on ette nähtud üksnes edastamisjärgseteks töötlustoiminguteks, mis teostatakse andmeeksportija nimel vastavalt andmeeksportija antud suunistele, lisas sätestatud lepingu tüüptingimustele ja kirjaliku alamtöötluslepingu tingimustele;

f)   kohaldatav andmekaitseseadus– õigusakt, mis kaitseb üksikisikute põhiõigusi ja -vabadusi ning eriti nende eraelu puutumatuse õigust seoses isikuandmete töötlemisega ning mis on kohaldatav vastutava andmetöötleja suhtes liikmesriigis, kus andmeeksportija asub;

g)   tehnilised ja organisatsioonilised turvameetmed– meetmed isikuandmete kaitsmiseks juhusliku või ebaseadusliku hävitamise või juhusliku kaotsimineku, muutmise, volitamata avalikustamise või juurdepääsu eest eelkõige juhul, kui töötlemine hõlmab andmete edastamist võrgu kaudu, ning igasuguse muu võimaliku ebaseadusliku töötlemise eest.

Artikkel 4

1.   Ilma et see piiraks nende volitusi võtta meetmeid tagamaks vastavust siseriiklikele õigusnormidele, mis on vastu võetud direktiivi 95/46/EÜ II, III, V ja VI peatüki kohaselt, võivad liikmesriikide pädevad organid kasutada neil olemasolevaid volitusi keelata või peatada andmete liikumine kolmandatesse riikidesse, et kaitsta üksikisikuid seoses nende isikuandmete töötlemisega juhul, kui:

a)

on kindlaks tehtud, et andmeimportija või alamtöötleja kohta kehtiv seadus kehtestab talle nõudeid kalduda kõrvale kohaldatavast andmekaitseseadusest, et kõnealused nõuded lähevad kaugemale direktiivi 95/46/EÜ artiklis 13 sätestatud demokraatlikus ühiskonnas vajalikest piirangutest ja et need nõuded võivad tõenäoliselt omada olulist ebasoodsat mõju kohaldatava andmekaitseseaduse ja lepingu tüüptingimustega ettenähtud tagatistele või

b)

pädev organ on kindlaks teinud, et andmeimportija või alamtöötleja ei ole järginud lisas sätestatud lepingu tüüptingimusi või

c)

on olemas oluline tõenäosus, et lisas esitatud lepingu tüüptingimusi ei järgita ning et jätkuv edastamine looks ähvardava ohu tõsise kahju tekkimiseks andmesubjektidele.

2.   Keelamine või peatamine vastavalt lõikele 1 tühistatakse kohe, kui keelamise või peatamise põhjusi enam pole.

3.   Kui liikmesriigid võtavad meetmeid vastavalt lõikele 1 ja 2, peavad nad neist meetmetest viivitamata teatama komisjonile, kes edastab saadud teabe teistele liikmesriikidele.

Artikkel 5

Komisjon hindab käesoleva otsuse toimivust kättesaadava teabe alusel kolme aasta pärast alates otsuse vastuvõtmisest. Tulemuste kohta esitab ta aruande direktiivi 95/46/EÜ artikli 31 alusel loodud komiteele. Aruanne sisaldab mis tahes tõendusmaterjali, mis võiks mõjutada lisas esitatud lepingu tüüptingimuste piisavuse hindamist, ning mis tahes tõendusmaterjali, et käesolevat otsust kohaldatakse diskrimineerivalt.

Artikkel 6

Käesolevat otsust kohaldatakse alates 15. maist 2010.

Artikkel 7

1.   Otsus 2002/16/EÜ tunnistatakse kehtetuks alates 15. maist 2010.

2.   Andmeeksportija ja andmeimportija vahel otsuse 2002/16/EÜ alusel enne 15. maid 2010 sõlmitud leping jääb kehtima ja jõusse seni, kuni lepingu objektiks olevad andmete edastus- ja töötlustoimingud jäävad samaks ja poolte vahel edastatakse käesoleva otsusega hõlmatud isikuandmeid. Kui lepingu pooled otsustavad teha muudatusi või anda edasi lepingu objektiks olevaid töötlustoiminguid, peavad nad sõlmima uue lepingu, mis on kooskõlas lisas sätestatud lepingu tüüptingimustega.

Artikkel 8

Käesolev otsus on adresseeritud liikmesriikidele.

Brüssel, 5. veebruar 2010

Komisjoni nimel

asepresident

Jacques BARROT


(1)  EÜT L 281, 23.11.1995, lk 31.

(2)  EÜT L 6, 10.1.2002, lk 52.

(3)  SEK(2006) 95, 20.1.2006.

(4)  Rahvusvaheline Kaubanduskoda (ICC), Jaapani Ettevõtlusnõukogu Euroopas (JBCE), Belgias asuva Ameerika Kaubanduskoja ELi Komitee (Amcham) ja Euroopa Otseturunduse Assotsiatsioonide Liit (FEDMA).

(5)  EÜT L 181, 4.7.2001, lk 19.


LISA

LEPINGU TÜÜPTINGIMUSED (TÖÖTLEJAD)

Direktiivi 95/46/EÜ artikli 26 lõike 2 kohaldamine isikuandmete edastamiseks töötlejatele, kes asuvad kolmandates riikides, mis ei taga piisavat andmekaitsetaset

Andmeid eksportiva asutuse nimi: …

Aadress: …

Tel: …; faks: …; e-post: …

Asutuse identifitseerimiseks vajalik muu teave:

(andmeeksportija)

ning

Andmeid importiva asutuse nimi: …

Aadress: …

Tel: …;faks: …; e-post: …

Asutuse identifitseerimiseks vajalik muu teave:

(andmeimportija)

eraldi „pool”; üheskoos „pooled”,

ON KOKKU LEPPINUD järgnevates lepingutingimustes (edaspidi „tingimused”), et esitada piisavaid tagatisi üksikisikute eraelu puutumatuse ning põhiõiguste ja -vabaduste kaitseks 1. liites sätestatud isikuandmete edastamisel andmeeksportijalt andmeimportijale.

1.   tingimus

Mõisted

Tingimustes kasutatakse järgmisi mõisteid:

a)

mõisteid „isikuandmed”, „andmete eriliigid”, „töötlema/töötlemine”, „vastutav töötleja”, „volitatud töötleja”, „andmesubjekt” ja „järelevalveasutus” kasutatakse samas tähenduses kui Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivis 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (1);

b)

„andmeeksportija” – vastutav töötleja, kes edastab isikuandmeid;

c)

„andmeimportija” – volitatud töötleja, kes nõustub võtma andmeeksportijalt vastu isikuandmeid, mis on mõeldud töötlemiseks pärast edastamist andmeeksportija nimel ja kooskõlas tema juhiste ja käesolevate tingimustega ja kelle kohta ei kehti piisavat kaitset tagav kolmanda riigi süsteem direktiivi 95/46/EÜ artikli 25 lõike 1 tähenduses;

d)

„alamtöötleja” – andmeimportija või andmeimportija alamtöötleja värvatud töötleja, kes nõustub andmeimportijalt või andmeimportija alamtöötlejalt saama isikuandmeid, mis on ette nähtud üksnes edastamisjärgseteks töötlustoiminguteks, mis teostatakse andmeeksportija nimel vastavalt tema antud suunistele, käesolevatele ja kirjaliku alamtöötluslepingu tingimustele;

e)

„kohaldatav andmekaitseseadus” – õigusakt, mis kaitseb üksikisikute põhiõigusi ja -vabadusi ning eriti nende eraelu puutumatuse õigust seoses isikuandmete töötlemisega ning mis on kohaldatav vastutava andmetöötleja suhtes liikmesriigis, kus andmeeksportija asub;

f)

„tehnilised ja organisatsioonilised turvameetmed” – meetmed isikuandmete kaitsmiseks juhusliku või ebaseadusliku hävitamise või juhusliku kaotsimineku, muutmise, volitamata avalikustamise või juurdepääsu eest eelkõige juhul, kui töötlemine hõlmab andmete edastamist võrgu kaudu, ning igasuguse muu võimaliku ebaseadusliku töötlemise eest.

2.   tingimus

Edastamise üksikasjad

Edastamise üksikasjad ja vajaduse korral eelkõige isikuandmete erikategooriad on esitatud 1. liites, mis moodustab tingimuste lahutamatu osa.

3.   tingimus

Soodustatud kolmandat isikut käsitlev tingimus

1.

Andmesubjekt saab soodustatud kolmanda isikuna andmeeksportija vastu jõustada käesolevat tingimust, 4. tingimuse punkte b–i, 5. tingimuse punkte a–e ja g–j, 6. tingimuse lõikeid 1 ja 2, 7. tingimust, 8. tingimuse lõiget 2 ning 9.–12. tingimust.

2.

Andmesubjekt saab andmeeksportija vastu jõustada käesolevat tingimust, 5. tingimuse punkte a–e ja g, 6. tingimust, 7. tingimust, 8. tingimuse lõiget 2 ning 9.–12. tingimust juhul, kui andmeeksportija on teadaolevalt kadunud või on oma seadusejärgse tegevuse lõpetanud, ning välja arvatud juhul, kui õigusjärglane on andmeeksportija kõik juriidilised kohustused üle võtnud lepingu või õigustoimingu alusel, mille tulemusel ta hakkab täitma andmeeksportija õigusi ja kohustusi, mistõttu võib andmesubjekt eespool loetletud tingimusi jõustada nimetatud õigusjärglase vastu.

3.

Andmesubjekt saab alamtöötleja vastu jõustada käesolevat tingimust, 5. tingimuse punkte a–e ja g, 6. tingimust, 7. tingimust, 8. tingimuse lõiget 2 ning 9.–12. tingimust juhul, kui nii andmeeksportija kui ka andmeimportija on teadaolevalt kadunud või on oma seadusejärgse tegevuse lõpetanud või on maksejõuetuks muutunud, ning välja arvatud juhul, kui õigusjärglane on andmeeksportija kõik juriidilised kohustused üle võtnud lepingu või õigustoimingu alusel ja hakkab selle tulemusena täitma andmeeksportija õigusi ja kohustusi, mistõttu võib andmesubjekt eespool loetletud tingimusi jõustada nimetatud õigusjärglase vastu. Alamtöötleja vastutus kolmanda isiku ees on piiratud käesolevates tingimustes sätestatud töötlustoimingutega.

4.

Pooled nõustuvad sellega, et andmesubjekti esindab mõni ühing või muu institutsioon, kui andmesubjekt seda soovib ja see on riiklike õigusaktidega lubatud.

4.   tingimus

Andmeeksportija kohustused

Andmeeksportija nõustub järgnevaga ja kinnitab, et:

a)

isikuandmete töötlemine, sealhulgas edastamine, on toimunud ja toimub ka tulevikus kooskõlas kohaldatava andmekaitseseaduse asjaomaste sätetega (ja et vajaduse korral on sellest teavitatud asjaomaseid asutusi liikmesriigis, kus andmeeksportija asub) ega riku asjaomase riigi vastavaid sätteid;

b)

ta on juhtinud ja juhib kogu isikuandmete töötlemise teenuse osutamise kestel andmeimportija tähelepanu sellele, et viimati nimetatud töötleks edastatud isikuandmeid üksnes andmeeksportija nimel ja kooskõlas kohaldatava andmekaitseseaduse ja käesolevate tingimustega;

c)

andmeimportija annab piisavad tagatised seoses käesoleva lepingu 2. liites sätestatud tehniliste ja organisatsiooniliste turvameetmetega;

d)

pärast kohaldatava andmekaitseseaduse nõuete hindamist võetakse asjakohased turvameetmed, et kaitsta isikuandmeid juhusliku või ebaseadusliku hävitamise või juhusliku kaotsimineku, muutmise, volitamata avalikustamise või juurdepääsu eest, eelkõige juhul, kui töötlemine hõlmab andmete edastamist võrgu kaudu, ning igasuguse muu võimaliku ebaseadusliku töötlemise eest, ja et need meetmed tagavad turvataseme, mis vastab töötlemisel tekkivatele riskidele ja kaitsealuste andmete olemusele, võttes arvesse tehnika taset ning meetmete rakendamise maksumust;

e)

ta tagab turvameetmete järgimise;

f)

kui edastatakse eriliiki kuuluvaid andmeid, on andmesubjekti teavitatud või seda tehakse kas enne või võimalikult kiiresti pärast edastamist asjaolust, et tema andmed võidakse edastada kolmandasse riiki, milles ei kehti piisavat kaitset tagav süsteem direktiivi 95/46/EÜ tähenduses;

g)

et ta edastab vastavalt 5. tingimuse punktile b ja 8. tingimuse lõikele 3 kõik andmeimportijalt ja kõigilt alamtöötlejatelt saadud teated andmekaitseasutusele, kui andmeeksportija otsustab edastamist jätkata või tühistada andmete edastamise peatamise;

h)

ta annab andmesubjektidele nende taotlusel koopia tingimustest, välja arvatud 2. liide. Samuti on andmesubjektil õigus saada koopia kõigist alamtöötluslepingutest, mis tuleb sõlmida vastavalt käesolevatele tingimustele. Juhul, kui tingimused või leping sisaldab äriteavet, võib andmeeksportija sellise teabe eemaldada;

i)

alamtöötlus toimub vastavalt 11. tingimusele ning seda teeb alamtöötleja, kes tagab isikuandmete ja andmesubjekti õiguste kaitse vähemalt samal tasemel kui käesolevate tingimuste kohaselt peab tagama andmeimportija ning

j)

ta tagab 4. tingimuse punktide a–i täitmise.

5.   tingimus

Andmeimportija kohustused  (2)

Andmeimportija nõustub järgnevaga ja kinnitab, et:

a)

ta töötleb isikuandmeid üksnes andmeeksportija nimel ning kooskõlas tema juhiste ja tingimustega. Kui ta ei suuda sellist kooskõla ükskõik millistel põhjustel tagada, nõustub ta sellest viivitamata teatama andmeeksportijale, kellel on sellisel juhul õigus andmete edastamine peatada ja/või leping lõpetada;

b)

tal ei ole põhjust uskuda, et tema suhtes kohaldatav õigus takistaks tal täita andmeeksportijalt saadud suuniseid ja importijale lepingust tulenevaid kohustusi ning et asjaomastes õigusaktides tehtavate selliste muudatuste korral, mis tõenäoliselt mõjutavad tingimustest tulenevaid tagatisi ja kohustusi negatiivselt, teatab ta muudatustest teada saades neist viivitamata andmeeksportijale, kellel on sellisel juhul õigus andmete edastamine peatada ja/või leping lõpetada;

c)

ta on enne edastatud isikuandmete töötlemist rakendanud 2. liites sätestatud tehnilised ja organisatsioonilised turvameetmed;

d)

ta teatab andmeeksportijale viivitamata järgmistest asjaoludest:

i)

õiguskaitseorganite õiguslikult siduvad taotlused isikuandmete avaldamiseks, välja arvatud taotluste avaldamise keelu korral, mis tuleneb näiteks kriminaalõigusest ja mille eesmärk on kaitsta õiguskaitsealase uurimistoimingu konfidentsiaalsust;

ii)

juhusliku ja volitamata juurdepääsu juhtumid ning

iii)

otse andmesubjektidelt saadud taotlused, millele ta ei vasta, välja arvatud juhul, kui talle on antud õigus sellistele taotlustele vastata;

e)

ta tegeleb kiiresti ja korrektselt andmeeksportija kõigi päringutega, mis seonduvad viimati nimetatu edastatavate isikuandmete töötlemisega ja peab kinni järelevalveasutuse nõuannetest edastatavate andmete töötlemise kohta;

f)

ta esitab andmeeksportija taotlusel oma andmetöötlusvahendid tingimustega reguleeritud töötlustoimingute auditeerimiseks, mille korraldab andmeeksportija või andmeeksportija poolt ja vajaduse korral kokkuleppel järelevalveasutusega valitud kontrolliasutus, mis koosneb sõltumatutest liikmetest, kellel on nõutavad ametioskused ja kellel lasub vaikimiskohustus;

g)

ta annab andmesubjektile viimati nimetatu taotlusel tingimuste ja kõigi olemasolevate alamtöötluslepingute koopia, välja arvatud juhul, kui tingimused või lepingud sisaldavad äriteavet. Sellisel juhul võib andmeimportija äriteabe eemaldada. See ei kehti 2. liite kohta, mida asendab turvameetmete kokkuvõtlik kirjeldus, kui andmesubjektil ei ole võimalik saada koopiat andmeeksportijalt;

h)

alamtöötlemise puhul on ta eelnevalt teavitanud andmeeksportijat ja saanud viimati nimetatult eelneva kirjaliku nõusoleku;

i)

alamtöötleja osutab andmete töötlemise teenust vastavalt 11. tingimusele;

j)

ta saadab andmeeksportijale viivitamata kõigi käesoleva tingimuste alusel sõlmitud alamtöötluslepingute koopia.

6.   tingimus

Vastutus

1.

Pooled lepivad kokku, et kõigil andmesubjektidel, kes on kandnud kahju ükskõik millise poole või alamtöötleja poolt toimepandud 3. või 11. tingimuse mis tahes rikkumise tulemusena, on õigus saada kantud kahju eest hüvitist andmeeksportijalt.

2.

Kui andmesubjektil ei ole võimalik nõuda andmeimportija või tema alamtöötleja poolt toimepandud 3. või 11. tingimuses viidatud kohustuste mis tahes rikkumisega seotud ja käesoleva tingimuse lõikes 1 nimetatud hüvitist andmeeksportijalt, kuna andmeeksportija on teadaolevalt kadunud või on oma seadusejärgse tegevuse lõpetanud või on maksejõuetuks muutunud, nõustub andmeimportija, et andmesubjekt võib nõuda hüvitist temalt kui andmeeksportija asendajalt, välja arvatud juhul, kui õigusjärglane on andmeeksportija kõik juriidilised kohustused üle võtnud lepingu või õigustoimingu alusel, mistõttu võib andmesubjekt oma õigusi jõustada nimetatud õigusjärglase vastu.

Andmeimportija ei või vastutusest hoidumiseks tugineda alamtöötleja poolt toime pandud kohustuste rikkumisele.

3.

Kui andmesubjektil ei ole võimalik nõuda alamtöötleja poolt toimepandud 3. või 11. tingimuses viidatud kohustuste mis tahes rikkumisega seotud ja käesoleva tingimuse lõigetes 1 ja 2 nimetatud hüvitist andmeeksportijalt või andmeimportijalt, kuna nii andmeeksportija kui ka andmeimportija on teadaolevalt kadunud või on oma seadusejärgse tegevuse lõpetanud või on maksejõuetuks muutunud, nõustub alamtöötleja, et andmesubjekt võib käesolevatele tingimustele vastavate alamtöötleja töötlustoimingute küsimuses nõuda hüvitist alamtöötlejalt kui andmeeksportija või andmeimportija asendajalt, välja arvatud juhul, kui õigusjärglane on andmeeksportija või andmeimportija kõik juriidilised kohustused üle võtnud lepingu või õigustoimingu alusel, mistõttu võib andmesubjekt oma õigusi jõustada nimetatud õigusjärglase vastu. Alamtöötleja vastutus on piiratud käesolevates tingimustes sätestatud töötlustoimingutega.

7.   tingimus

Lepitamine ja jurisdiktsioon

1.

Andmeimportija nõustub, et kui andmesubjekt kohaldab tema suhtes soodustatud kolmanda isiku õigusi ja/või nõuab käesolevate tingimuste alusel hüvitist tekitatud kahju eest, austab andmeimportija andmesubjekti otsust:

a)

lahendada vaidlus lepitamise teel, mida vahendab sõltumatu isik või vajaduse korral järelevalveasutus;

b)

esitada hagi andmeeksportija asukohaks oleva liikmesriigi kohtule.

2.

Pooled lepivad kokku, et andmesubjekti valik ei piira tema materiaal- või menetlusõigusi, mis lubavad tal otsida lahendusi kooskõlas riikliku ja rahvusvahelise õiguse muude sätetega.

8.   tingimus

Koostöö järelevalveasutustega

1.

Andmeeksportija nõustub andma käesoleva lepingu koopia hoiule järelevalveasutusele, kui viimati nimetatu seda taotleb või kui koopia hoiuleandmise kohustus tuleneb kohaldatavast andmekaitseseadusest.

2.

Pooled lepivad kokku, et järelevalveasutusel on õigus andmeimportijat ja kõiki alamtöötlejaid auditeerida samas ulatuses ja samadel tingimustel, kui tal on kohaldatava andmekaitseseaduse alusel õigus auditeerida andmeeksportijat.

3.

Andmeimportija teatab andmeeksportijale viivitamata tema või ükskõik millise alamtöötleja suhtes kohaldatavate selliste õigusaktide olemasolust, mis takistavad andmeimportija või ükskõik millise alamtöötleja auditeerimist vastavalt lõikele 2. Sellisel juhul on andmeeksportijal õigus võtta 5. tingimuse punktis b sätestatud meetmeid.

9.   tingimus

Kohaldatav õigus

Tingimusi reguleeritakse selle liikmesriigi õigusega, kus andmeeksportija asub. See liikmesriik on …

10.   tingimus

Lepingu muutmine

Pooled ei muuda tingimusi. See ei takista pooltel vajaduse korral lisada äritegevust käsitlevaid tingimusi, eeldusel et need ei ole vastuolus tingimustega.

11.   tingimus

Alamtöötlemine

1.

Andmeimportija ei anna andmeeksportija nimel vastavalt käesolevatele tingimustele teostatavaid töötlustoiminguid edasi andmeeksportija eelneva kirjaliku nõusolekuta. Kui andmeimportija annab andmeeksportija nõusolekul oma käesolevatest tingimustest tulenevad kohustused edasi, teeb ta seda ainult alamtöötlejaga sõlmitava kirjaliku lepinguga, millega pannakse alamtöötlejale samad kohustused, mis on käesolevate tingimustega pandud andmeimportijale (3). Kui alamtöötleja ei täida sellisest kirjalikust lepingust talle tulenevaid andmekaitsega seotud kohustusi, vastutab andmeimportija andmeeksportija ees täielikult alamtöötlejale sellisest lepingust tulenevate kohustuste täitmise eest.

2.

Eelnevasse andmeimportija ja alamtöötleja kirjalikku lepingusse lisatakse ka 3. tingimuses käsitletud soodustatud kolmanda isiku säte juhuks, kui andmesubjektil ei ole võimalik 6. tingimuse lõikes 1 nimetatud hüvitist nõuda andmeeksportijalt või andmeimportijalt, kuna nad on teadaolevalt kadunud või on oma seadusejärgse tegevuse lõpetanud või on maksejõuetuks muutunud ja kui ükski õigusjärglane ei ole andmeeksportija ega andmeimportija kõiki juriidilisi kohustusi üle võtnud lepingu või õigustoimingu alusel. Alamtöötleja vastutus kolmanda isiku ees on piiratud käesolevates tingimustes sätestatud töötlustoimingutega.

3.

Lõikes 1 osutatud lepingu alusel toimuva alamtöötlemise andmekaitseaspekte käsitlevaid sätteid reguleeritakse selle liikmesriigi õigusega, kus andmeeksportija asub. See liikmesriik on …

4.

Andmeeksportija peab käesolevate tingimuste alusel sõlmitud ja andmeimportija poolt vastavalt 5. tingimuse punktile j teavitatud alamtöötluslepingute registrit, mida uuendatakse vähemalt üks kord aastas. Nimekiri tehakse kättesaadavaks andmeeksportija liikmesriigis andmekaitse üle järelevalvet teostavale asutusele.

12.   tingimus

Isikuandmete töötlusteenuste lõpetamise järgsed kohustused

1.

Pooled lepivad kokku, et andmetöötlusteenuste pakkumise lõpetamisel tagastavad andmeimportija ja alamtöötleja andmeeksportija soovil viimati nimetatule kõik edastatud isikuandmed ja nendest tehtud koopiad või hävitavad kõik isikuandmed ja kinnitavad andmeeksportijale kirjalikult, et nad on seda teinud, välja arvatud juhul, kui andmeimportija suhtes kohaldatavad õigusaktid takistavad tal kõiki edastatud isikuandmeid või osa neist tagastada või hävitada. Sellisel juhul kinnitab andmeimportija, et ta tagab edastatud isikuandmete konfidentsiaalsuse ning lõpetab edastatud isikuandmete töötlemise.

2.

Andmeimportija ja alamtöötleja kinnitavad, et andmeeksportija ja/või järelevalveasutuse taotlusel esitavad nad oma andmetöötlusvahendid lõikes 1 nimetatud meetmete auditeerimiseks.

Andmeeksportija nimel:

Nimi (täielikult välja kirjutatud): …

Ametinimetus: …

Aadress: …

(Vajaduse korral) muu vajalik teave, et leping oleks siduv:

Image

Allkiri …

Andmeimportija nimel:

Nimi (täielikult välja kirjutatud): …

Ametinimetus: …

Aadress: …

(Vajaduse korral) muu vajalik teave, et leping oleks siduv:

Image

Allkiri …


(1)  Kui pooled peavad paremaks piirduda lepinguga, võivad nad käesoleva tingimuse tekstis direktiivi 95/46/EÜ määratlused ja tähendused uuesti esitada.

(2)  Andmeimportija kohta kehtivate siseriiklike õigusaktide kohustuslikud nõuded, mis ei lähe kaugemale demokraatlikus ühiskonnas vajalikest eranditest ja piirangutest direktiivi 95/46/EÜ artikli 13 lõikes 1 loetletud huvide alusel, ei ole lepingu tüüptingimustega vastuolus, kui nad sätestavad vajaliku meetme, et tagada riigi julgeolek ja riigikaitse, avalik kord, kuritegude või reguleeritud kutsealade ametieetika rikkumiste ennetamine, uurimine, avastamine ja nende eest vastutuselevõtmine, riigi oluline majanduslik või rahanduslik huvi või andmesubjekti kaitse või teiste isikute vabaduste ja õiguste kaitse. Mõned näited sellistest kohustuslikest nõuetest, mis ei lähe kaugemale demokraatlikus ühiskonnas vajalikest eranditest ja piirangutest, on muu hulgas rahvusvaheliselt tunnustatud sanktsioonid, maksualased aruandekohustused ja rahapesuvastased aruandekohustused.

(3)  Selle nõude võib täita ka alamtöötleja kaasallkirjaga andmeeksportija ja andmeimportija vahelisel, käesoleva otsuse alusel sõlmitud lepingul.

1. liide

lepingu tüüptingimuste juurde

Käesolev liide on tingimuste osa ning pooled peavad selle täitma ja allkirjastama

Liikmesriigid võivad vastavalt oma riiklikele menetlustele käesolevas liites esitatavat teavet täpsustada või esitada vajalikku lisateavet.

Andmeeksportija

Andmeeksportija on (palun kirjeldage lühidalt oma tegevust seoses edastamisega):

Andmeimportija

Andmeimportija on (palun kirjeldage lühidalt oma tegevust seoses edastamisega):

Andmesubjektid

Edastatavad isikuandmed käsitlevad järgnevaid andmesubjektide liike (palun täpsustage):

Andmete liigid

Edastatavad isikuandmed hõlmavad järgmisi andmeliike (palun täpsustage):

Andmete eriliigid (vajaduse korral)

Edastatavad isikuandmed hõlmavad järgmisi andmete eriliike (palun täpsustage):

Töötlemine

Edastatavate isikuandmetega teostatakse järgmisi põhilisi töötlustoiminguid (palun täpsustage):

 

ANDMEEKSPORTIJA

Nimi: …

Volitatud isiku allkiri …

 

ANDMEIMPORTIJA

Nimi: …

Volitatud isiku allkiri …

2. liide

lepingu tüüptingimuste

Käesolev liide on tingimuste osa ning pooled peavad selle täitma ja allkirjastama

Andmeimportija poolt vastavalt 4. tingimuse punktile d ja 5. tingimuse punktile c (või lisatud dokumendile/õigusaktile) rakendatud tehniliste ja organisatsiooniliste turvameetmete kirjeldus:

NÄITLIK HÜVITAMISTINGIMUS (VABATAHTLIK)

Vastutus

Pooled lepivad kokku, et kui üht poolt peetakse vastutavaks teise poole poolt toimepandud tingimuste rikkumise eest, hüvitab viimati nimetatu oma vastutuse ulatuses esimesele poolele kõik viimati nimetatu poolt kantud kulud, tasud või kahjud.

Hüvitamise tingimuseks on, et:

a)

andmeeksportija teatab nõudest viivitamata andmeimportijale ning

b)

andmeimportijale antakse võimalus teha andmeeksportijaga koostööd kaitsel ja nõude rahuldamisel (1).


(1)  Vastutust käsitlev lõik on vabatahtlik.