Rozhodnutí Komise
ze dne 27. prosince 2001
o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemích podle směrnice 95/46/ES
(oznámeno pod číslem K(2001) 4540)
(Text s významem pro EHP)
(2002/16/ES)
KOMISE EVROPSKÝCH SPOLEČENSTVÍ,
s ohledem na Smlouvu o založení Evropského společenství,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů [1], a zejména na čl. 26 odst. 4 uvedené směrnice,
vzhledem k těmto důvodům:
(1) Podle směrnice 95/46/ES jsou členské státy povinny zajistit, aby se předávání osobních údajů do třetí země mohlo uskutečnit pouze za podmínky, že dotyčná třetí země zaručí odpovídající úroveň ochrany údajů a že před předáváním budou dodrženy právní předpisy členských států, které jsou v souladu s ostatními ustanoveními směrnice.
(2) Čl. 26 odst. 2 směrnice 95/46/ES však stanoví, že členské státy mohou předání nebo předávání osobních údajů do třetích zemí, které nezajišťují odpovídající úroveň ochrany, povolit za předpokladu, že existují určitá ochranná opatření. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek.
Podle směrnice 95/46/ES by měla být úroveň ochrany údajů posuzována s ohledem na veškeré okolnosti doprovázející předání nebo předávání údajů. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů založená podle uvedené směrnice [2] vydala v zájmu usnadnění posuzování pokyny [3].
(4) Standardní smluvní doložky se týkají pouze ochrany údajů. Vývozce údajů a dovozce údajů mohou do smluv libovolně začlenit jakékoli další doložky, které se vztahují k předmětu obchodu, které jsou dle jejich názoru pro účely dané smlouvy vhodné, a to za podmínky, že nejsou v rozporu se standardními smluvními doložkami.
(5) Tímto rozhodnutím by neměla být dotčena vnitrostátních oprávnění, která mohou členské státy udělit v souladu s vnitrostátními právními předpisy, kterými se provádí čl. 26 odst. 2 směrnice 95/46/ES. Toto rozhodnutí pouze požaduje po členských státech, aby neodmítaly uznat smluvní doložky uvedené v tomto rozhodnutí jako dostatečná ochranná opatření, a nemá tudíž žádný vliv na ostatní smluvní doložky.
(6) Oblast působnosti tohoto rozhodnutí je omezena na stanovení toho, že doložky, které uvádí, mohou být použity správcem údajů usazeným ve Společenství, aby bylo možno stanovit odpovídající ochranná opatření ve smyslu čl. 26 odst. 2 směrnice 95/46/ES pro předávání osobních údajů zpracovateli usazenému ve třetí zemi.
(7) Toto rozhodnutí by mělo provádět povinnost uvedenou v čl. 17 odst. 3 směrnice 95/46/ES a není jím dotčen obsah smluv nebo právních aktů vzniklých v souladu s tímto ustanovením. Součástí smluv nebo právních aktů by však měly být některé ze standardních smluvních doložek, zejména ve vztahu k povinnostem vývozce údajů, aby byla zajištěna srozumitelnost ustanovení, která mohou být obsažena ve smlouvě mezi správcem a zpracovatelem.
(8) Orgány dozoru členských států hrají v tomto smluvním mechanizmu klíčovou roli při zajišťování toho, aby osobní údaje byly po předání náležitě chráněny. Ve výjimečných případech, kdy vývozci údajů odmítnou řádně poučit dovozce údajů nebo kdy jej řádně poučit nemohou a kdy subjektům údajů hrozí bezprostřední riziko závažné újmy, by měly standardní smluvní doložky umožňovat orgánům dovozu prověřit dovozce údajů a popřípadě přijmout rozhodnutí, která budou pro dovozce údajů závazná. Orgány dozoru by měly mít pravomoc zakázat nebo pozastavit předání nebo předávání údajů uskutečněné na základě standardních smluvních doložek v takových výjimečných případech, kdy by předávání uskutečněné na smluvním základě mělo pravděpodobně závažný nepříznivý dopad na ochranná opatření a povinnosti vztahující se k zajištění odpovídající ochrany subjektu údajů.
(9) Komise by také mohla v budoucnu zvážit, zda standardní smluvní doložky předkládané obchodními organizacemi nebo jinými zainteresovanými osobami pro předávání osobních údajů zpracovatelům údajů usazeným ve třetích zemích, které neposkytují odpovídající úroveň ochrany údajů, nabízejí dostatečná ochranná opatření v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
(10) Zpřístupnění osobních údajů zpracovateli údajů usazenému mimo Společenství přestavuje mezinárodní předávání chráněné podle kapitoly IV směrnice 95/46/ES. Toto rozhodnutí se proto nevztahuje na předávání osobních údajů správci usazenému ve Společenství správcům usazeným mimo Společenství, kteří spadají do oblasti působnosti rozhodnutí Komise 2001/497/ES ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES [4].
(11) Standardní smluvní doložky by měly stanovit technická a organizační bezpečnostní opatření, která by zajistila úroveň bezpečnosti odpovídající rizikům spojeným se zpracováním a s povahou údajů, jež mají být chráněny, a která musejí být uplatňována zpracovatelem údajů usazeným ve třetí zemi, která neposkytuje dostatečnou ochranu. Strany by měly do smlouvy začlenit ustanovení vztahující se k těmto technickým a organizačním opatřením, která s ohledem na právo rozhodné pro ochranu údajů, na stav techniky a na náklady související s jejich prováděním jsou nezbytná v zájmu ochrany osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem nebo před ostatními protiprávními způsoby zpracování.
(12) V zájmu usnadnění toků údajů směrem ze Společenství je žádoucí, aby zpracovatelům poskytujícím služby zpracování údajů několika správcům údajů ve Společenství bylo dovoleno uplatňovat stejná technická a organizační bezpečnostní opatření bez ohledu na to, ze kterého členského státu je předávání údajů prováděno, zejména v případech, kdy dovozce údajů získává údaje pro další zpracování od různých provozoven vývozce údajů ve Společenství; v takovém případě by mělo být použito právo příslušného členského státu, v němž je vývozce údajů usazen.
(13) Je vhodné stanovit minimální rozsah informací, který musejí strany ve smlouvě o předávání výslovně uvést. Členské státy by si měly ponechat pravomoc upřesnit, jaké informace musejí strany uvést. Uplatňování tohoto rozhodnutí by mělo být přezkoumáno na základě zkušeností.
(14) Dovozce údajů by měl předávané osobní údaje zpracovávat pouze jménem vývozce údajů a v souladu s jeho pokyny a s povinnostmi obsaženými v doložkách. Dovozce údajů by především neměl zpřístupnit osobní údaje třetí straně, pokud to není v souladu s určitými podmínkami. Vývozce údajů by měl dovozce údajů po celou dobu poskytování služeb spojených se zpracováním údajů upozorňovat, že má údaje zpracovávat v souladu s pokyny vývozce údajů, s právem rozhodným pro ochranu údajů a s povinnostmi obsaženými v doložkách. Předávání osobních údajů zpracovateli se sídlem mimo Společenství nijak neovlivňuje skutečnost, že činnosti spojené se zpracováním údajů by se měly v každém případě řídit právem rozhodným pro ochranu údajů.
(15) Standardní smluvní doložky by měly být vynutitelné nejen organizacemi, které jsou stranami smlouvy, ale také subjekty údajů, zejména v případech, kdy subjekty údajů utrpí škodu v důsledku porušení smlouvy.
(16) Subjekt údajů by měl být oprávněn podat žalobu a případně obdržet náhradu škody od vývozce údajů, který je správcem předávaných osobních údajů. Ve výjimečných případech by měl být subjekt údajů oprávněn podat žalobu a případně obdržet náhradu škody od dovozce údajů, pokud došlo k porušení některé z povinností dovozce údajů uvedených v druhém odstavci doložky 3, pokud vývozce údajů fakticky zmizel, z právního hlediska zanikl nebo je v platební neschopnosti.
(17) V případě sporu mezi subjektem údajů, který se dovolává doložky ve prospěch třetí strany, a dovozcem údajů, který není vyřešen smírně, by se měl dovozce údajů zavázat, že nabídne subjektu údajů, aby si zvolil mezi mediací, rozhodčím řízením nebo soudním řízením. Rozsah, v jakém si bude moci subjekt údajů skutečně zvolit způsob řešení, by měl záviset na dostupnosti spolehlivých a uznaných systémů mediace a rozhodčího řízení. Mediace prostřednictvím orgánů dozoru pro ochranu údajů v členském státě, ve kterém je usazen vývozce údajů, by měla být v případě, že je tato služba k dispozici, jednou z možností.
(18) Rozhodné právo smlouvy by mělo být právem členského státu, ve kterém je usazen vývozce údajů, umožňujícím oprávněné třetí straně vynutit splnění smlouvy. Subjekty údajů mohou být zastoupeny sdruženími nebo jinými subjekty, je-li to jejich přání a povoluje-li to vnitrostátní právo.
(19) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko k úrovni ochrany poskytované podle standardních smluvních doložek připojených k tomuto rozhodnutí, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí [5].
(20) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Standardní smluvní doložky uvedené v příloze jsou považovány za dostatečná ochranná opatření s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, jakož i s ohledem na výkon odpovídajících práv v souladu s čl. 26 odst. 2 směrnice 95/46/ES.
Článek 2
Toto rozhodnutí se týká pouze dostatečnosti ochrany zajištěné standardními smluvními doložkami pro předávání osobních údajů zpracovatelům, které jsou uvedeny v příloze. Nevztahuje se na používání ostatních vnitrostátních předpisů, kterými se provádí směrnice 95/46/ES a které souvisejí se zpracováním osobních údajů v členských státech.
Toto rozhodnutí se vztahuje na předávání osobních údajů správci usazenými ve Společenství příjemcům usazeným mimo území Společenství, kteří působí pouze jako zpracovatelé.
Článek 3
Pro účely tohoto rozhodnutí se:
a) použijí definice uvedené ve směrnici 95/46/ES;
b) "zvláštními kategoriemi údajů" rozumějí údaje uvedené v článku 8 uvedené směrnice;
c) "orgánem dozoru" rozumí orgán uvedený v článku 28 uvedené směrnice;
d) "vývozcem údajů" rozumí správce, který předává osobní údaje;
e) "dovozcem údajů" rozumí zpracovatel usazený ve třetí zemi, který se zavazuje přijímat od vývozce údajů osobní údaje určené ke zpracování jménem vývozce údajů po předání v souladu s jeho pokyny a s podmínkami tohoto rozhodnutí a který nepodléhá systému třetí země zajišťující odpovídající ochranu;
f) "právem rozhodným pro ochranu údajů" rozumí právní předpisy ochraňující základní práva a svobody fyzických osob, a zejména jejich právo na soukromí ve vztahu ke zpracování osobních údajů, které se použijí na správce údajů v členském státě, ve kterém je usazen vývozce údajů;
g) "technickými a organizačními bezpečnostními opatřeními" rozumějí opatření zaměřená na ochranu osobních údajů před náhodným či protiprávním zničením nebo před náhodnou ztrátou, úpravou, neoprávněným zveřejněním či přístupem, zejména v případech, kdy v souvislosti se zpracováním dochází k přenosu údajů po síti, a před všemi ostatními protiprávními způsoby zpracování.
Článek 4
1. Aniž jsou dotčeny jejich pravomoci přijmout opatření k zajištění dodržování vnitrostátních předpisů přijatých podle kapitol II, III, V a VI směrnice 95/46/ES, mohou příslušné orgány členských států vykonávat své stávající pravomoci zakázat nebo pozastavit toky údajů směřující do třetích zemí, aby tak chránily jednotlivce v souvislosti se zpracováním jejich osobních údajů v případech, kdy:
a) je zjištěno, že právní předpisy, kterým dovozce údajů podléhá, po něm vyžadují, aby se odchýlil se od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46/ES, a že tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na ochranná opatření poskytovaná právem rozhodným pro ochranu údajů a standardními smluvními doložkami, nebo
b) příslušný orgán zjistil, že dovozce údajů nedodržoval smluvní doložky uvedené v příloze, nebo
c) je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.
2. Zákaz či pozastavení podle odstavce 1 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.
3. Jakmile členské státy přijmou opatření podle odstavců 1 a 2, informují neprodleně Komisi, která informace předá ostatním členským státům.
Článek 5
Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení členským státům. Předloží zprávu o zjištěních výboru zřízenému podle článku 31 směrnice 95/46/ES. Zpráva bude obsahovat veškeré důkazy, které by mohly ovlivnit hodnocení dostatečnosti standardních smluvních doložek uvedených v příloze, jakož i veškeré důkazy o tom, že se toto rozhodnutí uplatňuje diskriminačním způsobem.
Článek 6
Toto rozhodnutí se použije ode dne 3. dubna 2002.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 27. prosince 2001.
Beschikking van de Commissie
van 27 december 2001
betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens naar in derde landen gevestigde verwerkers krachtens Richtlijn 95/46/EG
(kennisgeving geschied onder nummer C(2001) 4540)
(Voor de EER relevante tekst)
(2002/16/EG)
DE COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN,
Gelet op het Verdrag tot oprichting van de Europese Gemeenschap,
Gelet op Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens(1), en met name op artikel 26, lid 4,
Overwegende hetgeen volgt:
(1) Overeenkomstig Richtlijn 95/46/EG moeten de lidstaten bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven, indien dat land een passend niveau voor de bescherming van gegevens waarborgt en de wetgeving van de lidstaten ter uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd.
(2) Volgens artikel 26, lid 2, van Richtlijn 95/46/EG mogen de lidstaten evenwel, mits bepaalde waarborgen worden geboden, toestemming geven voor een doorgifte of een categorie doorgiften van persoonsgegevens naar een derde land dat geen waarborgen voor een passend beschermingsniveau biedt. Deze waarborgen kunnen met name voortvloeien uit passende contractuele bepalingen.
(3) Overeenkomstig Richtlijn 95/46/EG dient het gegevensbeschermingsniveau te worden beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens of op een categorie gegevensdoorgiften van invloed zijn. De bij de richtlijn ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens(2) heeft richtsnoeren voor een dergelijke beoordeling vastgesteld(3).
(4) De modelcontractbepalingen betreffen uitsluitend de gegevensbescherming. Het staat de gegevensexporteur en de gegevensimporteur vrij, andere bepalingen over met de transactie verband houdende vraagstukken die zij voor het contract relevant achten, op te nemen, mits deze niet tegen de modelcontractbepalingen indruisen.
(5) Deze beschikking laat nationale toestemmingen die lidstaten krachtens nationale bepalingen ter uitvoering van artikel 26, lid 2, van Richtlijn 95/46/EG kunnen geven, onverlet. Zij strekt er slechts toe dat de lidstaten niet mogen weigeren de in deze beschikking opgenomen contractbepalingen als passende waarborgen te erkennen en heeft dus voor andere contractbepalingen geen gevolgen.
(6) De werkingssfeer van deze beschikking beperkt zich ertoe vast te stellen dat de erin opgenomen modelcontractbepalingen door voor de gegevensverwerking verantwoordelijken die in de Gemeenschap zijn gevestigd, kunnen worden gebruikt om voldoende waarborgen in de zin van artikel 26, lid 2, van Richtlijn 95/46/EG te bieden voor de doorgifte van persoonsgegevens naar in een derde land gevestigde verwerkers.
(7) Deze beschikking dient uitvoering te geven aan de in artikel 17, lid 3, van Richtlijn 95/46/EG vastgelegde verplichting en laat de inhoud van op grond van die bepaling gesloten contracten of vastgestelde wettelijke besluiten onverlet. Sommige modelcontractbepalingen, met name die met betrekking tot de verplichtingen van de gegevensexporteur, dienen echter te worden opgenomen om meer duidelijkheid te scheppen over de bepalingen die in een contract tussen een voor de verwerking verantwoordelijke en een verwerker kunnen worden opgenomen.
(8) De toezichthoudende autoriteiten van de lidstaten spelen een essentiële rol in dit contractmechanisme, door erop toe te zien dat persoonsgegevens na de doorgifte op passende wijze worden beschermd. In buitengewone gevallen waarin de gegevensimporteurs niet in staat zijn of weigeren de gegevensimporteurs naar behoren te instrueren en het risico van ernstige schade voor de betrokkenen bestaat, dienen de modelcontractbepalingen de toezichthoudende autoriteiten toe te staan de gegevensimporteurs te controleren en zo nodig voor de gegevensimporteurs bindende besluiten te nemen. De toezichthoudende autoriteiten dienen de bevoegdheid te behouden, een op basis van de modelcontractbepalingen gebaseerde doorgifte of categorie doorgiften te verbieden of op te schorten in de uitzonderlijke gevallen waarin wordt vastgesteld dat een doorgifte op contractuele grondslag in aanzienlijke mate afbreuk dreigt te doen aan de waarborgen en verplichtingen die de betrokkene een passende bescherming bieden.
(9) De Commissie zal in de toekomst ook onderzoeken of door bedrijfsorganisaties of andere belanghebbenden ingediende modelcontractbepalingen voor de doorgifte van persoonsgegevens aan verwerkers gevestigd in derde landen die niet een passend niveau voor gegevensbescherming waarborgen, voldoende waarborgen in de zin van artikel 26, lid 2, van Richtlijn 95/46/EG bieden.
(10) De verstrekking van persoonsgegevens aan een buiten de Gemeenschap gevestigde verwerker is een internationale, op grond van hoofdstuk IV van Richtlijn 95/46/EG beschermde doorgifte. Bijgevolg heeft deze beschikking geen betrekking op de doorgifte van persoonsgegevens door een in de Gemeenschap gevestigde voor de verwerking verantwoordelijke aan een buiten de Gemeenschap gevestigde voor de verwerking verantwoordelijke die onder de werkingssfeer van Beschikking 2001/497/EG van de Commissie van 15 juni 2001 betreffende modelcontractbepalingen voor de doorgifte van persoonsgegevens naar derde landen krachtens Richtlijn 95/46/EG(4) vallen.
(11) De modelcontractbepalingen dienen de technische en organisatorische beveiligingsmaatregelen vast te stellen die een passend beveiligingsniveau garanderen gelet op de risico's die de verwerking en de aard van de te beschermen gegevens met zich brengen, en die moeten worden getroffen door een verwerker die is gevestigd in een derde land dat geen passende bescherming biedt. De partijen dienen in het contract de technische en organisatorische beveiligingsmaatregelen te regelen die met inachtneming van het toepasselijke recht inzake gegevensbescherming, de stand van de techniek en de kosten van de tenuitvoerlegging noodzakelijk zijn om persoonsgegevens te beveiligen tegen vernietiging, hetzij bij ongeluk, hetzij onrechtmatig, tegen verlies, vervalsing, niet-toegelaten verspreiding of toegang dan wel tegen enige andere vorm van onwettige verwerking.
(12) Teneinde het gegevensverkeer vanuit de Gemeenschap te vergemakkelijken, is het wenselijk dat verwerkers die voor verscheidene voor de verwerking verantwoordelijken in de Gemeenschap gegevens verwerken, dezelfde technische en organisatorische beveiligingsmaatregelen mogen toepassen, ongeacht de lidstaat van oorsprong van de gegevensdoorgifte. Dit geldt vooral wanneer de gegevensimporteur vanuit verscheidene vestigingen van de gegevensexporteur in de Gemeenschap gegevens voor verdere verwerking ontvangt, in welk geval het recht van de aangewezen lidstaat van vestiging van toepassing dient te zijn.
(13) Het is dienstig vast te leggen welke informatie de partijen in ieder geval in het contract betreffende de doorgifte moeten verstrekken. De lidstaten dienen de mogelijkheid te behouden bijzonderheden vast te stellen inzake de informatie die de partijen moeten verstrekken. De werking van de onderhavige beschikking dient in het licht van de ervaring te worden beoordeeld.
(14) De gegevensimporteur dient de doorgegeven persoonsgegevens uitsluitend namens de gegevensexporteur te verwerken en zich daarbij te houden aan zijn instructies en de in de modelcontractbepalingen opgenomen verplichtingen. De gegevensimporteur dient met name geen persoonsgegevens aan een derde te verstrekken, tenzij aan bepaalde voorwaarden is voldaan. De gegevensexporteur dient de gegevensimporteur gedurende de periode waarin hij de gegevens verwerkt, opdracht te geven zich te houden aan zijn instructies, het toepasselijke recht inzake gegevensbescherming en de in de modelcontractbepalingen opgenomen verplichtingen. De doorgifte van persoonsgegevens aan buiten de Gemeenschap gevestigde verwerkers doet geen afbreuk aan het feit dat de gegevensverwerking in elk geval door het toepasselijke recht inzake gegevensbescherming dient te worden beheerst.
(15) De modelcontractbepalingen dienen niet alleen door de organisaties die partij bij het contract zijn afdwingbaar te zijn, maar ook door de betrokkenen, met name wanneer zij ten gevolge van niet-nakoming van het contract schade lijden.
(16) De betrokkene dient het recht te hebben een vordering in te stellen tegen, en indien nodig, vergoeding te ontvangen van de gegevensexporteur die voor de verwerking van de doorgegeven persoonsgegevens verantwoordelijk is. Bij wijze van uitzondering dient de betrokkene ook het recht te hebben een vordering in te stellen tegen, en indien nodig vergoeding te ontvangen van de gegevensimporteur in de gevallen waarin de gegevensimporteur een van zijn in bepaling 3, tweede alinea, bedoelde verplichtingen niet is nagekomen, wanneer de gegevensexporteur feitelijk is verdwenen, heeft opgehouden rechtens te bestaan of insolvent is geworden.
(17) Bij een geschil tussen de betrokkene die zich op het derdenbeding beroept en de gegevensimporteur, dat niet in der minne wordt geschikt, dient de gegevensimporteur ermee in te stemmen aan de betrokkene de keuze te geven tussen bemiddeling, arbitrage of een beroep op de rechter. In hoeverre de betrokkene een daadwerkelijke keuze heeft, dient af te hangen van de beschikbaarheid van betrouwbare en erkende bemiddelings- en arbitrageregelingen. Bemiddeling door de toezichthoudende autoriteit die in de lidstaat van vestiging van de gegevensexporteur over de gegevensbescherming waakt, dient een keuzemogelijkheid te zijn indien zij een dergelijke dienst verleent.
(18) Op het contract dient het recht van de lidstaat van vestiging van de gegevensexporteur van toepassing te zijn dat een derde begunstigde de mogelijkheid biedt de naleving van een contract af te dwingen. De betrokkenen dienen zich door een vereniging of een andere instelling te kunnen doen vertegenwoordigen, indien zij dat wensen en het nationale recht hiertoe de mogelijkheid biedt.
(19) De bij artikel 29 van Richtlijn 95/46/EG ingestelde Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens heeft over het beschermingsniveau dat door de in de bijlage opgenomen modelcontractbepalingen wordt geboden, een advies uitgebracht waarmee bij de voorbereiding van deze beschikking rekening is gehouden(5).
(20) De in deze beschikking vervatte maatregelen zijn in overeenstemming met het advies van het bij artikel 31 van Richtlijn 95/46/EG ingestelde comité,
HEEFT DE VOLGENDE BESCHIKKING GEGEVEN:
Artikel 1
De in de bijlage opgenomen modelcontractbepalingen worden geacht voldoende waarborgen te bieden ten aanzien van de bescherming van de persoonlijke levenssfeer, de fundamentele rechten en vrijheden van personen, alsmede ten aanzien van de uitoefening van de daaraan verbonden rechten in de zin van artikel 26, lid 2, van Richtlijn 95/46/EG.
Artikel 2
Deze beschikking betreft slechts de gepastheid van de bescherming die door de in de bijlage opgenomen modelcontractbepalingen voor de doorgifte van persoonsgegevens aan verwerkers wordt geboden. Zij laat de toepassing van andere nationale bepalingen ter uitvoering van Richtlijn 95/46/EG die betrekking hebben op de verwerking van persoonsgegevens in de lidstaten onverlet.
Deze beschikking is van toepassing op de doorgifte van persoonsgegevens door voor de verwerking verantwoordelijken die in de Gemeenschap zijn gevestigd, aan ontvangers buiten het grondgebied van de Gemeenschap die slechts als verwerkers optreden.
Artikel 3
Voor de toepassing van deze beschikking:
a) gelden de in Richtlijn 95/46/EG gegeven definities;
b) wordt onder "bijzondere categorieën gegevens" verstaan: de in artikel 8 van die richtlijn bedoelde gegevens;
c) wordt onder "toezichthoudende autoriteit" verstaan: de in artikel 28 van die richtlijn bedoelde autoriteit;
d) wordt onder "gegevensexporteur" verstaan: de voor de verwerking verantwoordelijke die de persoonsgegevens doorgeeft;
e) wordt onder "gegevensimporteur" verstaan: de in een derde land gevestigde verwerker die ermee instemt van de gegevensexporteur persoonsgegevens te ontvangen om deze na doorgifte namens de gegevensexporteur in overeenstemming met zijn instructies en de voorwaarden van deze beschikking te verwerken, en die niet aan een regeling van een derde land die passende bescherming biedt, is onderworpen;
f) wordt onder "toepasselijk recht inzake gegevensbescherming" verstaan: de wettelijke bepalingen tot waarborging van de fundamentele rechten en vrijheden van natuurlijke personen, en met name hun recht op bescherming van de persoonlijke levenssfeer ten aanzien van de verwerking van persoonsgegevens, die in de lidstaat van vestiging van de gegevensexporteur van toepassing zijn op een voor de verwerking verantwoordelijke;
g) wordt onder "technische en organisatorische beveiligingsmaatregelen" verstaan: maatregelen die tot doel hebben persoonsgegevens te beveiligen tegen vernietiging, hetzij bij ongeluk hetzij onrechtmatig, tegen verlies, vervalsing, niet-toegelaten verspreiding of toegang, met name wanneer de verwerking de doorzending van gegevens in een netwerk omvat, dan wel tegen enige andere vorm van onwettige verwerking.
Artikel 4
1. Onverminderd hun bevoegdheden maatregelen te treffen ter waarborging van de naleving van de krachtens de hoofdstukken II, III, V en VI van Richtlijn 95/46/EG vastgestelde nationale bepalingen, kunnen de bevoegde autoriteiten in de lidstaten hun bestaande bevoegdheden gebruiken om gegevensstromen naar derde landen te verbieden of op te schorten teneinde natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen, wanneer
a) wordt vastgesteld dat het recht waaraan de gegevensimporteur is onderworpen, hem vereisten waarmee van het toepasselijke recht inzake gegevensbescherming moet worden afgeweken, oplegt die verder gaan dan de beperkingen die in een democratische samenleving noodzakelijk zijn als bedoeld in artikel 13 van Richtlijn 95/46/EG, indien die vereisten in aanzienlijke mate afbreuk dreigen te doen aan de door het toepasselijke recht inzake gegevensbescherming en de modelcontractbepalingen geboden waarborgen, of
b) een bevoegde autoriteit heeft vastgesteld dat de gegevensimporteur de in de bijlage opgenomen contractbepalingen niet is nagekomen, of
c) het in aanzienlijke mate waarschijnlijk is dat de in de bijlage opgenomen modelcontractbepalingen niet worden of zullen worden nageleefd en bij verdere doorgifte het risico bestaat dat de betrokkenen ernstige schade wordt toegebracht.
2. Het verbod of de opschorting wordt opgeheven, zodra de redenen voor het verbod of de opschorting niet meer bestaan.
3. Wanneer een lidstaat op grond van de leden 1 en 2 maatregelen treft, stelt hij de Commissie daarvan onverwijld in kennis, waarna de Commissie de andere lidstaten hiervan in kennis stelt.
Artikel 5
Drie jaar na de kennisgeving van deze beschikking aan de lidstaten beoordeelt de Commissie de werking ervan op basis van de beschikbare informatie. Zij brengt verslag uit over de constateringen aan het krachtens artikel 31 van Richtlijn 95/46/EG ingestelde comité. Dit verslag omvat tevens alle gegevens die van invloed kunnen zijn op de beoordeling van de gepastheid van de modelcontractbepalingen in de bijlage en eventueel het bewijs dat deze beschikking op discriminerende wijze wordt toegepast.
Artikel 6
Deze beschikking is van toepassing met ingang van 3 april 2002.
Artikel 7
Deze beschikking is gericht tot de lidstaten.
Gedaan te Brussel, 27 december 2001.