Transferul de date cu caracter personal în țări din afara UE: clauze contractuale tip

SINTEZĂ PRIVIND:

Decizia 2010/87/UE privind clauzele contractuale tip pentru transferul de date cu caracter personal către persoanele împuternicite de către operator stabilite în țări terțe în temeiul Directivei 95/46/CE

CARE ESTE ROLUL ACESTEI DECIZII?

Aceasta stabilește clauzele contractuale tip pe care le pot utiliza operatorii de date* (exportatorii) din UE care transferă date cu caracter personal* către persoane împuternicite de către operatori* (importatori) stabilite în afara UE sau în afara SEE, pentru a asigura garanțiile adecvate de protecție a datelor și a respecta astfel cerințele legilor UE privind protecția datelor [Regulamentul general privind protecția datelor – Regulamentul (UE) 2016/679 – a se vedea sinteza].

ASPECTE-CHEIE

Clauzele contractuale tip sunt stabilite în anexa la decizie, după cum urmează. Clauzele contractuale tip se referă numai la protecția datelor și pot fi incluse de către părți într-un contract mai amplu sau pot fi completate cu alte clauze sau garanții suplimentare, cu condiția ca acestea din urmă să nu contrazică, nici direct, nici indirect, clauzele contractuale standard adoptate prin această decizie.

Clauza 1: Definiții

Sunt prezentate definițiile noțiunilor-cheie utilizate în clauzele contractuale tip.

Clauza 2: Date privind transferul

Părțile trebuie să enumere, într-o anexă la clauzele contractuale, datele privind transferul, inclusiv activitățile relevante ale importatorului și ale exportatorului de date, categoriile de date cu caracter personal transferate și operațiunile de prelucrare la care vor fi supuse datele cu caracter personal după transferare.

Clauza 3: Clauza terțului beneficiar

Această clauză le permite persoanelor vizate să invoce mai multe dintre clauze în fața exportatorului de date, a importatorului de date sau a subcontractantului, în calitate de terț beneficiar. De asemenea, clauza prevede ca părțile să nu se opună ca persoana vizată să fie reprezentată de o asociație sau alt organism, dacă legislația națională permite acest fapt.

Clauza 4: Obligațiile exportatorului de date

Această clauză prevede obligațiile contractuale ale exportatorului de date, care trebuie să fie de acord și să garanteze că:

prelucrează datele cu caracter personal numai în conformitate cu legea privind protecția datelor;
instruiește importatorul de date să prelucreze datele numai în numele exportatorului de date și în conformitate cu legea privind protecția datelor și cu clauzele;
prezintă (și respectă) suficiente garanții referitoare la măsurile tehnice și organizatorice de securitate pentru protejarea datelor cu caracter personal împotriva distrugerii accidentale sau ilegale, a pierderii, a modificării, a divulgării sau accesului neautorizat, în special atunci când prelucrarea are loc într-o rețea;
informează persoana vizată dacă există posibilitatea transmiterii unor categorii speciale de date într-o țară din afara UE în care protecția datelor este inadecvată;
transmite autorității de supraveghere competente notificarea primită de la importatorul de date cu privire la incapacitatea acestuia de a respecta clauzele, în cazul în care decide să continue transferul;
pune la dispoziția persoanelor vizate, la cerere, o copie a clauzelor, cu o descriere pe scurt a măsurilor de securitate;
în cazul subcontractării serviciilor de prelucrare a datelor, subcontractantul trebuie să ofere cel puțin același nivel de protecție a datelor cu caracter personal ca și importatorul de date.

Clauza 5: Obligațiile importatorului de date

Această clauză prevede obligațiile contractuale ale importatorului de date, care trebuie să fie de acord și să garanteze că:

prelucrează datele cu caracter personal exclusiv în numele exportatorului de date și în conformitate cu instrucțiunile acestuia și cu clauzele;
nu are niciun motiv să creadă că legislația care i se aplică îl împiedică să îndeplinească instrucțiunile primite de la exportatorul de date și obligațiile ce îi revin în temeiul contractului;
notifică fără întârziere orice modificare a legislației respective susceptibilă să aibă efecte negative asupra garanțiilor și obligațiilor prevăzute de clauze, caz în care exportatorul de date are dreptul să suspende transferul de date și/sau să rezilieze contractul;
pune în aplicare măsurile tehnice și organizatorice de securitate menționate înainte de prelucrarea datelor cu caracter personal transferate;
notifică fără întârziere exportatorului de date solicitările din partea unei autorități de prelucrare a legii de a divulga date cu caracter personal, orice acces accidental sau neautorizat, precum și orice solicitare primită direct de la persoanele vizate, fără a răspunde la aceasta, cu excepția cazului în care a fost autorizat să facă acest lucru;
tratează fără întârziere toate întrebările exportatorului de date și se conformează recomandării făcute de autoritatea de supraveghere;
la cererea exportatorului de date, își prezintă facilitățile privind prelucrarea datelor în scopul auditului privind activitățile de prelucrare acoperite de clauze;
pune la dispoziția persoanelor vizate, la cerere, o copie a clauzelor, cu o descriere pe scurt a măsurilor de securitate;
subcontractează serviciile de prelucrare numai cu acordul prealabil în scris al exportatorului de date.

Clauza 6: Răspundere

Clauzele le impun părților să convină că orice persoană vizată care a suferit un prejudiciu în urma încălcării obligațiilor are dreptul de a primi despăgubiri din partea exportatorului de date pentru prejudiciul suferit.

Clauza 7: Mediere și jurisdicție

Importatorul de date trebuie să își dea acordul ca, în cazul în care persoana vizată invocă împotriva sa drepturile terțului beneficiar și/sau cere despăgubiri pentru prejudiciile suferite, va accepta decizia persoanei vizate de a prezenta litigiul în vederea medierii independente sau de a-l prezenta instanțelor din țara UE în care este stabilit exportatorul de date (cu dreptul ca persoana vizată să introducă acțiuni în conformitate cu alte dispoziții din legislația națională sau internațională).

Clauza 8: Cooperarea cu autoritățile de supraveghere

Această clauză reglementează cooperarea cu autoritatea competentă, prevăzând că:

autoritatea de supraveghere are dreptul să efectueze un audit la importatorul de date și la oricare dintre subcontractanți;
importatorul de date este de acord să informeze exportatorul de date cu privire la orice eventuală legislație care împiedică efectuarea unui audit la importatorul de date. Într-un astfel de caz, exportatorul de date are dreptul să suspende transferul de date sau să rezilieze contractul.

Clauza 9: Legea aplicabilă

Clauzele trebuie să fie guvernate de legea națională a țării UE în care este stabilit exportatorul de date.

Clauza 10: Modificarea contractului

Părțile nu au voie să varieze, să modifice sau să contrazică clauzele.

Clauza 11: Subcontractarea serviciilor de prelucrare a datelor

Dispozițiile referitoare la subcontractarea serviciilor de prelucrare a datelor trebuie să fie guvernate de legea țării UE în care este stabilit exportatorul de date.

Clauza 12: Obligații după încheierea serviciilor de prelucrare a datelor cu caracter personal

Această clauză reglementează obligațiile părților după încheierea serviciilor de prelucrare a datelor. Concret, părțile trebuie să convină că, la încheierea serviciilor de prelucrare a datelor, importatorul de date și subcontractantul trebuie să returneze (sau să distrugă, la cerere) toate datele cu caracter personal transferate, cu excepția cazului în care legislația împiedică acest lucru.

DE CÂND SE APLICĂ DECIZIA?

Se aplică de la 15 mai 2010.

CONTEXT

Notă: această decizie a făcut obiectul unei cereri de pronunțare a unei hotărâri preliminare în urma căreia a rezultat hotărârea Curții de Justiție a UE (cauza C-311/18) din 16 iulie 2020, prin care Curtea a confirmat validitatea deciziei.
Comisia Europeană a emis, de asemenea, 2 seturi de clauze contractuale tip pentru transferurile de date de către operatorii de date din UE către operatori de date stabiliți în afara UE sau în afara SEE.
A se vedea, de asemenea:
- Protecția datelor (Comisia Europeană).

TERMENI-CHEIE

Operator de date: persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal.

Date cu caracter personal: orice informații legate de o persoană (persoana vizată) care poate fi identificată, direct sau indirect, printr-un nume, un număr de identificare, date privind locația, un identificator online sau factori specifici identității fizice, fiziologice, genetice, mintale, economice, culturale sau sociale a persoanei respective.

Persoană împuternicită de către operator: o persoană fizică sau juridică, o autoritate publică, o agenție sau un alt organism care prelucrează date cu caracter personal în numele operatorului de date.

DOCUMENTUL PRINCIPAL

Decizia 2010/87/UE a Comisiei din 5 februarie 2010 privind clauzele contractuale tip pentru transferul de date cu caracter personal către persoanele împuternicite de către operator stabilite în țări terțe în temeiul Directivei 95/46/CE a Parlamentului European și a Consiliului (JO L 39, 12.2.2010, pp. 5-18)

Modificările succesive aduse Deciziei 2010/87/UE au fost integrate în textul de bază. Această versiune consolidată are doar un caracter informativ.

DOCUMENTE CONEXE

Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO L 119, 4.5.2016, pp. 1-88)

A se vedea versiunea consolidată.

Decizia 2004/915/CE a Comisiei din 27 decembrie 2004 de modificare a Deciziei 2001/497/CE privind introducerea unui set alternativ de clauze contractuale standard pentru transferul de date cu caracter personal către țări terțe (JO L 385, 29.12.2004, pp. 74-84)

Decizia 2001/497/CE a Comisiei din 15 iunie 2001 privind clauzele contractuale standard pentru transferul de date cu caracter personal către țările terțe în temeiul Directivei 95/46/CE (JO L 181, 4.7.2001, pp. 19-31)

A se vedea versiunea consolidată.

Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO L 281, 23.11.1995, pp. 31-50)

A se vedea versiunea consolidată.

Data ultimei actualizări: 07.10.2020