12.2.2010   

SL

Uradni list Evropske unije

L 39/5

(1)

V skladu z Direktivo 95/46/ES morajo države članice zagotoviti, da se lahko prenos osebnih podatkov v tretjo državo izvede le, če zadevna tretja država zagotovi primerno raven varstva podatkov in če se pred prenosom upoštevajo zakoni držav članic, ki so v skladu z drugimi določbami Direktive.

(2)

Vendar pa člen 26(2) Direktive 95/46/ES določa, da lahko države članice ob upoštevanju nekaterih zaščitnih ukrepov odobrijo prenos ali niz prenosov osebnih podatkov v tretje države, ki ne zagotavljajo primerne ravni varstva. Taki zaščitni ukrepi lahko izhajajo zlasti iz ustreznih pogodbenih klavzul.

(3)

V skladu z Direktivo 95/46/ES je treba raven varstva podatkov ocenjevati z vidika vseh okoliščin, ki spremljajo postopek prenosa podatkov ali niz postopkov prenosa podatkov. Delovna skupina o varstvu posameznikov pri obdelavi osebnih podatkov, ustanovljena v skladu z navedeno direktivo, je izdala smernice, ki so v pomoč pri ocenjevanju.

(4)

Standardne pogodbene klavzule se nanašajo le na varstvo podatkov. Zato lahko izvoznik in uvoznik podatkov vključita katere koli druge klavzule o vprašanjih poslovanja, ki so po njunem mnenju primerne za pogodbo, če le niso v nasprotju s standardnimi pogodbenimi klavzulami.

(5)

Ta sklep ne sme posegati v nacionalna dovoljenja, ki jih države članice lahko odobrijo v skladu z nacionalnimi predpisi za izvajanje člena 26(2) Direktive 95/46/ES. Učinek tega sklepa je le, da od držav članic zahteva, da v njem določene standardne pogodbene klavzule priznajo kot takšne, ki zagotavljajo ustrezne zaščitne ukrepe, in torej nima nobenega vpliva na druge pogodbene klavzule.

(6)

Odločba Komisije 2002/16/ES z dne 27. decembra 2001 o standardnih pogodbenih klavzulah za prenos osebnih podatkov obdelovalcem s sedežem v tretjih državah v skladu z Direktivo 95/46/ES (2) je bila sprejeta z namenom olajšanja prenosa osebnih podatkov od upravljavca podatkov s sedežem v Evropski uniji obdelovalcu s sedežem v tretji državi, ki ne zagotavlja primerne ravni varstva.

(7)

Po sprejetju Odločbe 2002/16/ES so bile pridobljene številne izkušnje. Poročilo o izvajanju odločb o standardnih pogodbenih klavzulah za prenos osebnih podatkov v tretje države (3) je pokazalo, da obstaja vse večje zanimanje za spodbujanje uporabe standardnih pogodbenih klavzul za mednarodni prenos osebnih podatkov v tretje države, ki ne zagotavljajo primerne ravni varstva. Poleg tega so zainteresirane strani predložile predloge za posodobitev standardnih pogodbenih klavzul iz Odločbe 2002/16/ES, da bi se upošteval hitro naraščajoč obseg dejavnosti obdelave podatkov na svetu in obravnavala nekatera vprašanja, ki jih navedena odločba ne ureja (4).

(8)

Področje uporabe tega sklepa je omejeno na določitev, da lahko klavzule, ki jih opredeljuje, uporabi upravljavec podatkov s sedežem v Evropski uniji, da bi navedel ustrezne zaščitne ukrepe v smislu člena 26(2) Direktive 95/46/ES za prenos osebnih podatkov obdelovalcu s sedežem v tretji državi.

(9)

Ta sklep se ne uporablja za prenos osebnih podatkov s strani upravljavcev s sedežem v Evropski uniji upravljavcem s sedežem zunaj Evropske unije, ki sodijo v področje uporabe Odločbe Komisije 2001/497/ES z dne 15. junija 2001 o standardnih pogodbenih klavzulah za prenos osebnih podatkov v tretje države v skladu z Direktivo 95/46/ES (5).

(10)

Ta sklep naj izpolnjuje obveznost iz člena 17(3) Direktive 95/46/ES in ne vpliva na vsebino pogodb ali pravnih aktov, sestavljenih v skladu z navedeno določbo. Vendar pa morajo biti vključene nekatere standardne pogodbene klavzule, zlasti v zvezi z obveznostmi izvoznika podatkov, da bi se povečala jasnost glede določb, ki jih lahko vsebuje pogodba med upravljavcem in obdelovalcem.

(11)

Nadzorni organi držav članic imajo v tem pogodbenem mehanizmu ključno vlogo pri zagotavljanju primernega varstva osebnih podatkov po prenosu. V izjemnih primerih, kadar izvozniki podatkov odklonijo dajanje primernih navodil uvozniku podatkov ali pa so jih nesposobni dati, ter kadar obstaja neizbežna nevarnost resne škode za posameznike, na katere se nanašajo osebni podatki, naj standardne pogodbene klavzule dovolijo nadzornim organom pregled uvoznikov podatkov in podobdelovalcev ter, kjer je to primerno, sprejemanje odločitev, zavezujočih za uvoznike in podobdelovalce. Nadzorni organi naj bi imeli pooblastilo za prepoved ali začasno ustavitev prenosa podatkov ali niza prenosov, ki temelji na standardnih pogodbenih klavzulah v tistih izjemnih primerih, kjer se ugotovi verjetnost, da ima lahko prenos na pogodbeni podlagi precej škodljivih posledic za jamstva in obveznosti, ki zagotavljajo primerno varstvo posameznika, na katerega se nanašajo osebni podatki.

(12)

Standardne pogodbene klavzule naj predvidijo tehnične in organizacijske varnostne ukrepe, ki jih morajo uporabiti obdelovalci podatkov s sedežem v tretji državi, ki ne zagotavlja primernega varstva, da bi se zagotovila raven varnosti, primerna tveganju, ki ga predstavljata obdelava in narava podatkov, ki jih je treba varovati. Pogodbenici morata v pogodbi predvideti tiste tehnične in organizacijske varnostne ukrepe, ki so ob upoštevanju veljavnega prava o varstvu podatkov, najsodobnejše tehnologije in stroškov njihovega izvajanja, potrebni za varstvo osebnih podatkov pred naključnim ali nezakonitim uničenjem ali naključno izgubo, spreminjanjem, nepooblaščenim posredovanjem ali dostopom ali katerim koli drugim nezakonitim načinom obdelave.

(13)

Za pospešitev prenosa podatkov iz Evropske unije je zaželeno, da je obdelovalcem, ki zagotavljajo storitve obdelave podatkov različnim upravljavcem podatkov v Evropski uniji, dovoljeno uporabljati enake tehnične in organizacijske varnostne ukrepe ne glede na državo članico, iz katere izvira prenos podatkov, zlasti v tistih primerih, ko uvoznik podatkov prejme podatke za nadaljnjo obdelavo z različnih sedežev izvoznika podatkov v Evropski uniji; v tem primeru pa naj se uporabi zakonodaja namembne države članice, v kateri je sedež.

(14)

Primerno je določiti najmanjšo količino informacij, ki jih morata pogodbenici navesti v pogodbi o prenosu. Države članice naj ohranijo pooblastilo za podrobno določanje informacij, ki jih morata priskrbeti pogodbenici. Izvajanje tega sklepa je treba proučiti glede na izkušnje.

(15)

Uvoznik podatkov naj prenesene osebne podatke obdeluje samo v imenu izvoznika podatkov in v skladu z njegovimi navodili ter obveznostmi iz klavzul. Zlasti naj uvoznik podatkov ne posreduje osebnih podatkov tretji stranki brez predhodnega pisnega soglasja izvoznika podatkov. Izvoznik podatkov naj uvoznika podatkov med trajanjem obdelave podatkov pouči, da naj obdeluje podatke v skladu z njegovimi navodili, veljavnim pravom o varstvu podatkov in obveznostmi iz klavzul.

(16)

V poročilu o izvajanju odločb o standardnih pogodbenih klavzulah za prenos osebnih podatkov v tretje države je bila predlagana uvedba primernih standardnih pogodbenih klavzul o nadaljnjih prenosih od obdelovalca podatkov s sedežem v tretji državi drugim obdelovalcem podatkov (podobdelava), da bi se upoštevali poslovni trendi in prakse na področju vse bolj globalizirane obdelave podatkov.

(17)

Ta sklep naj vsebuje posebne standardne pogodbene klavzule o oddaji storitev obdelave podatkov v podobdelavo drugim obdelovalcem podatkov s sedežem v tretjih državah (podobdelovalci) s strani obdelovalca podatkov s sedežem v tretji državi (uvoznik podatkov). Poleg tega naj določi pogoje, ki morajo biti izpolnjeni pri podobdelavi, da se varstvo osebnih podatkov, ki se prenašajo, zagotovi tudi ob nadaljnjem prenosu podobdelovalcu.

(18)

Poleg tega naj podobdelavo sestavljajo samo postopki obdelave, ki so bili dogovorjeni v pogodbi, sklenjeni med izvoznikom in uvoznikom podatkov, ki vključuje standardne pogodbene klavzule iz tega sklepa, in nobeni drugi postopki ali nameni obdelave, tako da bo spoštovano načelo omejitve namena iz Direktive 95/46/ES. Če podobdelovalec ne izpolnjuje svojih pogodbenih obveznosti glede obdelave podatkov, je uvoznik podatkov še vedno odgovoren izvozniku podatkov. Prenos osebnih podatkov obdelovalcem s sedežem zunaj Evropske unije naj ne vpliva na dejstvo, da naj bodo dejavnosti obdelave podatkov v skladu z veljavnim pravom o varstvu podatkov.

(19)

Standardne pogodbene klavzule naj bodo izvršljive ne le s strani organizacij, ki so stranke pogodbe, ampak tudi s strani posameznikov, na katere se nanašajo osebni podatki, zlasti če so posamezniki, na katere se nanašajo osebni podatki, oškodovani zaradi kršitve pogodbe.

(20)

Posameznik, na katerega se nanašajo osebni podatki, naj bo upravičen do ukrepanja ter, kjer je to primerno, do prejetja odškodnine od izvoznika podatkov, ki je upravljavec prenesenih osebnih podatkov. Izjemoma naj bo posameznik, na katerega se nanašajo osebni podatki, upravičen tudi do ukrepanja ter, kjer je to primerno, do prejetja odškodnine od uvoznika podatkov v tistih primerih, ki izhajajo iz morebitne kršitve katere od obveznosti iz odstavka 2 klavzule 3 s strani uvoznika podatkov ali katerega koli podobdelovalca, če izvoznik podatkov dejansko izgine, pravno preneha obstajati ali pa postane insolventen. Izjemoma naj bo posameznik, na katerega se nanašajo osebni podatki, upravičen tudi do ukrepanja ter, kjer je to primerno, do prejetja odškodnine od podobdelovalca, če izvoznik in uvoznik podatkov dejansko izgineta, pravno prenehata obstajati ali pa postaneta insolventna. Takšna odgovornost podobdelovalca naj bo omejena na njegove postopke obdelave iz pogodbenih klavzul.

(21)

V primeru spora med posameznikom, na katerega se nanašajo osebni podatki in ki se sklicuje na klavzulo v korist tretjega, ter uvoznikom podatkov, ki se ne razreši po mirni poti, naj uvoznik podatkov soglaša, da posamezniku, na katerega se nanašajo osebni podatki, da na izbiro mediacijo ali sodni postopek. Obseg dejanske izbire posameznika, na katerega se nanašajo osebni podatki, bo odvisen od dostopnosti zanesljivih in priznanih sistemov mediacije. Ena od možnosti naj bo mediacija s strani nadzornih organov za varstvo podatkov države članice, v kateri je sedež izvoznika podatkov, če ti organi takšno storitev opravljajo.

(22)

Za pogodbo naj velja pravo države članice, v kateri je sedež izvoznika podatkov, s čimer se upravičeni tretji stranki omogoči izvrševanje pogodbe. Posameznikom, na katere se nanašajo osebni podatki, naj bo dovoljeno, da jih predstavljajo združenja ali drugi organi, če to želijo in če je to dovoljeno z nacionalno zakonodajo. Ta zakonodaja naj ureja tudi določbe o varstvu podatkov katere koli pogodbe s podobdelovalcem glede podobdelave osebnih podatkov, ki jih je izvoznik podatkov v skladu s pogodbenimi klavzulami prenesel uvozniku podatkov.

(23)

Ker se ta sklep uporablja samo v primerih, ko obdelovalec podatkov s sedežem v tretji državi odda izvajanje storitev obdelave podobdelovalcu s sedežem v tretji državi, naj se ne uporablja v primeru, ko obdelovalec s sedežem v Evropski uniji, ki obdeluje osebne podatke v imenu upravljavca s sedežem v Evropski uniji, odda izvajanje postopkov obdelave podobdelovalcu s sedežem v tretji državi. V takih primerih je državam članicam prepuščeno, ali bodo upoštevale dejstvo, da so bila pri oddaji dela podobdelovalcu s sedežem v tretji državi upoštevana načela in jamstva iz standardnih pogodbenih klavzul, določenih v tem sklepu, z namenom zagotavljanja primernega varstva pravic posameznikov, na katere se nanašajo osebni podatki, ki se prenašajo zaradi postopkov podobdelave.

(24)

Delovna skupina o varstvu posameznikov pri obdelavi osebnih podatkov, ustanovljena v skladu s členom 29 Direktive 95/46/ES, je dala mnenje o ravni varstva, zagotovljeni s standardnimi pogodbenimi klavzulami, priloženimi temu sklepu, ki je bilo upoštevano pri pripravi tega sklepa.

(25)

Odločbo 2002/16/ES je treba razveljaviti.

(26)

Ukrepi iz tega sklepa so v skladu z mnenjem odbora, ustanovljenega v skladu s členom 31 Direktive 95/46/ES –

(a)

„posebne vrste podatkov“ pomenijo podatke iz člena 8 Direktive 95/46/ES;

(b)

„nadzorni organ“ pomeni organ iz člena 28 Direktive 95/46/ES;

(c)

„izvoznik podatkov“ pomeni upravljavca, ki prenaša osebne podatke;

(d)

„uvoznik podatkov“ pomeni obdelovalca s sedežem v tretji državi, ki soglaša, da od izvoznika podatkov prejema osebne podatke, namenjene za obdelavo v imenu izvoznika podatkov po prenosu v skladu z njegovimi navodili in pogoji tega sklepa, ter ki ni podvržen sistemu tretje države za zagotovitev primernega varstva v smislu člena 25(1) Direktive 95/46/ES;

(e)

„podobdelovalec“ pomeni obdelovalca, ki ga zaposli uvoznik podatkov ali kateri koli drug podobdelovalec pri uvozniku podatkov in ki soglaša, da od uvoznika podatkov ali katerega koli drugega podobdelovalca pri uvozniku podatkov prejema osebne podatke, namenjene izključno za obdelavo v imenu izvoznika podatkov po prenosu v skladu z navodili izvoznika podatkov, standardnimi pogodbenimi klavzulami iz Priloge in pogoji pisne pogodbe o podobdelavi;

(f)

„veljavno pravo o varstvu podatkov“ pomeni zakonodajo, ki varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do zasebnosti glede obdelave osebnih podatkov, ki jo uporablja upravljavec podatkov v državi članici, v kateri je sedež izvoznika podatkov;

(g)

„tehnični in organizacijski varnostni ukrepi“ pomenijo tiste ukrepe, usmerjene k varstvu osebnih podatkov pred naključnim ali nezakonitim uničenjem ali naključno izgubo, spreminjanjem, nepooblaščenim posredovanjem ali dostopom, zlasti kadar obdelava vključuje prenos podatkov prek omrežja, ter pred katero koli drugo nezakonito obliko obdelave.

(a)

je ugotovljeno, da zakonodaja, ki velja za uvoznika podatkov ali podobdelovalca, temu nalaga zahteve po odstopanju od veljavnega prava o varstvu podatkov, ki presegajo omejitve, potrebne v demokratični družbi, kakor jih predvideva člen 13 Direktive 95/46/ES, če zaradi teh zahtev obstaja verjetnost precejšnjih škodljivih posledic za jamstva, zagotovljena z veljavnim pravom o varstvu podatkov in standardnimi pogodbenimi klavzulami;

(b)

pristojni organ ugotovi, da uvoznik podatkov ali podobdelovalec ni spoštoval standardnih pogodbenih klavzul iz Priloge, ali

(c)

obstaja precejšnja verjetnost, da standardne pogodbene klavzule iz Priloge niso ali ne bodo izpolnjene ter da bi nadaljnji prenos povzročil neposredno tveganje z resno škodo za posameznike, na katere se nanašajo osebni podatki.