Úradný vestník L 006 , 10/01/2002 S. 0052 - 0062
Rozhodnutie Komisie z 27. decembra 2001 o štandardných zmluvných doložkách pre prenos osobných údajov spracovateľom z tretích krajín, podľa smernice 95/46/ES (oznámené v rámci dokumentu C(2001) 4540) (Text s významom pre EHP) (2002/16/ES) KOMISIA EURÓPSKYCH SPOLOČENSTIEV, so zreteľom na Zmluva o založení Európskeho spoločenstva, so zreteľom na smernicu 95/46/ES Európskeho parlamentu a Rady z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov [1] a najmä na jej článok 26 ods. 4, keďže: (1) Podľa smernice 95/46/ES sa od členských štátov vyžaduje, aby stanovili, že prevod osobných údajov do tretej krajiny sa môže uskutočniť len, ak príslušná tretia krajina zabezpečí primeranú úroveň ochrany a ak budú pred prenosom rešpektované zákony členských štátov, ktoré vyhovujú ďalším ustanoveniam smernice. (2) Avšak článok 26 ods. 2 smernice 95/46/ES stanovuje, že členské štáty môžu schváliť, pod podmienkou určitých záruk, prenos, alebo skupinu prenosov osobných údajov do tretích krajín, ktoré nezaručujú primeranú úroveň ochrany. Takéto záruky môžu vyplývať predovšetkým z vhodných zmluvných doložkách. Podľa smernice 95/46/ES má byť úroveň ochrany údajov zhodnotená z hľadiska všetkých okolností sprevádzajúcich operáciu prenosu údajov, alebo súbor operácií prenosu údajov. Pracovná skupina pre ochranu osôb vo vzťahu k spracovaniu osobných údajov vytvorená podľa tejto smernice [2] vydala smernice, ktoré majú pomôcť pri takomto hodnotení [3]. (4) Štandardné zmluvné doložky sa týkajú len ochrany údajov. Vývozcovi a dovozcovi údajov nič nebráni zahrnúť ďalšie doložky týkajúce sa otázok týkajúcich sa obchodu, ktoré považujú za súvisiace so zmluvou pokiaľ nie sú v rozpore so štandardnými zmluvnými doložkami. (5) Toto rozhodnutie nemá mať vplyv na vnútroštátne súhlasy, ktoré môžu dať členské štáty v súlade s vnútroštátnymi ustanoveniami vykonávajúcimi článok 26 ods. 2 smernice 95/46/ES. Toto rozhodnutie má len ten účinok, že vyžaduje od členských štátov, aby neodmietli uznať, že v ňom stanovené zmluvné doložky poskytujú primerané záruky a nemajú preto žiaden účinok na iné zmluvné doložky. (6) Pôsobnosť tohto rozhodnutia sa obmedzuje na stanovenie toho, že doložky, ktoré popisuje môže kontrolór údajov podnikajúci v spoločenstve použiť s cieľom uvedenia primeraných záruk v zmysle článku 26 ods. 2 smernice 95/46/ES pre prenos osobných údajov na spracovateľa podnikajúceho v tretej krajine. (7) Toto rozhodnutie má zaviesť povinnosť stanovenú v článku 17 ods. 3 smernice 95/46/ES a nie je na úkor obsahu zmlúv, prípadne právnych úkonov vytvorených v súlade s týmto ustanovením. Avšak, niektoré zo štandardných zmluvných doložiek, predovšetkým pokiaľ ide o povinnosti vývozcu údajov, majú byť zahrnuté, aby sa zvýšila jasnosť pokiaľ ide o ustanovenia, ktoré môžu byť obsiahnuté v zmluve medzi kontrolórom a spracovateľom. (8) Dozorné orgány členských štátov hrajú kľúčovú úlohu v tomto zmluvnom mechanizme pokiaľ ide o zabezpečenie primeranej ochrany osobných údajov po prenose. Vo výnimočných prípadoch, kedy vývozcovia údajov odmietnu alebo nie sú schopní poskytnúť dovozcovi údajov náležité pokyny, za bezprostredného rizika vážneho poškodenia subjektov údajov, majú štandardné zmluvné doložky umožniť dozorným orgánom kontrolu dovozcov údajov a v prípade potreby prijať rozhodnutia, ktoré sú pre dovozcov údajov záväzné. Dozorné orgány majú mať právomoc zakázať, alebo pozastaviť prenos údajov, alebo skupinu prenosov na základe štandardných zmluvných doložiek v tých výnimočných prípadoch, kde sa zistí, že prevod na zmluvnom základe bude mať pravdepodobne závažný nepriaznivý účinok na záruky a záväzky poskytujúce primeranú ochranu subjektu údajov. (9) Komisia môže taktiež v budúcnosti zvážiť, či štandardné zmluvné doložky pre prenos osobných údajov na spracovateľov údajov podnikajúcich v tretích krajinách, ktorí neposkytujú primeranú ochranu údajov predložených obchodnými organizáciami, alebo inými zainteresovanými stranami, poskytujú primerané záruky v súlade s článkom 26 ods. 2 smernice 95/46/ES. (10) Odovzdanie osobných údajov spracovateľovi, ktorý podniká v spoločenstve je medzinárodným prevodom chráneným podľa kapitoly IV smernice 95/46/ES. V dôsledku toho sa toto rozhodnutie netýka prevodu osobných údajov kontrolórmi podnikajúcimi v spoločenstve na kontrolórov podnikajúcich mimo spoločenstva, ktorí spadajú do pôsobnosti rozhodnutia Komisie 2001/497/ES z 15. júna 2001 o štandardných zmluvných doložkách pre prenos osobných údajov do tretích krajín podľa smernice 95/46/ES [4]. (11) Štandardné zmluvné doložky majú stanovovať technické a organizačné bezpečnostné opatrenia zaisťujúce úroveň bezpečnosti primeranú k rizikám, ktoré predstavuje spracovanie a charakter údajov, ktoré sa majú chrániť, ktoré musí uplatniť spracovateľ údajov podnikajúci v tretej krajine, ktorý neposkytuje primeranú ochranu. Zmluvné strany majú v zmluve stanoviť také technické a organizačné opatrenia, ktoré sú, so zreteľom na použiteľné právo týkajúce sa ochrany údajov, stav techniky a náklady na ich realizáciu, potrebné s cieľom ochrany osobných údajov proti neúmyselnému, alebo neoprávnenému zničeniu, prípadne neúmyselnej strate, zmene, neoprávnenému prezradeniu, alebo prístupu, prípadne ľubovoľným iným nezákonným formám spracovania. (12) S cieľom uľahčenia tokov údajov zo spoločenstva je žiadúce, aby sa spracovateľom poskytujúcim služby spracovania údajov niekoľkým kontrolórom údajov v spoločenstve umožnilo uplatňovať rovnaké technické a organizačné bezpečnostné opatrenia bez ohľadu na členský štát, v ktorom má prenos údajov pôvod, najmä v tých prípadoch, kde dovozcovia údajov prijímajú údaje s cieľom ďalšieho spracovania z rôznych ustanovizní vývozcu údajov v spoločenstve, pričom v takom prípade sa má uplatniť právo určeného členského štátu ustanovizne. (13) Je vhodné stanoviť minimálne informácie, ktoré musia zmluvné strany špecifikovať v zmluve, ktorá sa zaoberá prenosom. Členské štáty si majú zachovať právomoc bližšie špecifikovať informácie, ktorých poskytnutie sa od zmluvných strán vyžaduje. Pôsobenie tohto rozhodnutia sa má revidovať z hľadiska skúseností. (14) Dovozca údajov má spracovať prenesené osobné údaje len v prospech vývozcu údajov a v súlade s jeho pokynmi a záväzkami obsiahnutými v doložkách. Predovšetkým nemá dovozca údajov prezradiť osobné údaje tretej strane, pokiaľ to nie je v súlade s určitými podmienkami. Vývozca údajov má poučiť dovozcu údajov, aby v priebehu trvania služieb spracovania údajov tieto spracovával v súlade s jeho pokynmi, príslušnými zákonmi na ochranu údajov a záväzkami obsiahnutými v doložkách. Prenos osobných údajov na spracovateľov podnikajúcich mimo spoločenstva nebude na ujmu skutočnosti, že činnosti v rámci spracovania majú byť v každom prípade upravované príslušným právom týkajúcim sa ochrany údajov. (15) Štandardné zmluvné doložky majú byť vykonateľné nielen organizáciami, ktoré sú strany zmluvy, ale taktiež subjektami údajov, najmä ak subjekty údajov utrpeli škodu v dôsledku porušenia zmluvy. (16) Subjekt údajov má mať nárok na žalobu a v prípade potreby, obdržanie odškodného od vývozcu údajov, ktorý je kontrolórom prenesených osobných údajov. Výnimočne má mať subjekt údajov taktiež nárok na žalobu a v prípade potreby, obdržanie odškodného od vývozcu údajov v tých prípadoch, vyplývajúcich z porušenia ľubovoľných zo záväzkov dovozcu údajov uvedených v druhom odseku článku 3, ak vývozca údajov fakticky zmizol, alebo prestal existovať podľa práva, alebo sa stal platobne neschopným. (17) V prípade sporu medzi subjektom údajov, ktorý uplatní doložku o dobromyselnej tretej strane a dovozcom údajov, ktorý nebude priateľsky vyriešený má dovozcaúdajov súhlasiť, že poskytne subjektu údajov možnosť voľby medzi sprostredkovaním, arbitrážou, alebo súdnym procesom. To, do akej miery bude mať subjekt údajov efektívnu možnosť voľby má závisieť na dostupnosti spoľahlivých a uznávaných systémov sprostredkovania a arbitráže. Sprostredkovanie dozornými orgánmi pre ochranu údajov členského štátu, v ktorom vývozca údajov podniká má byť alternatívou, ak dozorné orgány takúto službu poskytujú. (18) Zmluva má byť upravovaná právom členského štátu, v ktorom podniká vývozca údajov, čím sa dobromyseľnej tretej strane umožní vynútenie zmluvy. Subjektom údajov má byť umožnené zastúpenie združeniami, alebo inými orgánmi, ak si to želajú a ak to vnútroštátne právo povoľuje. (19) Pracovná skupina pre ochranu osôb vo vzťahu k spracovaniu osobných údajov vytvorená podľa článku 29 smernice 95/46/ES vyjadrila stanovisko o úrovni ochrany poskytovanej na základe štandardných zmluvných podmienok pripojené k tomuto rozhodnutiu, ktoré bolo zohľadnené pri vypracovávaní tohto rozhodnutia [5]. (20) Opatrenia stanovené v tomto rozhodnutí sú v súlade so stanoviskom výboru vytvoreného podľa článku 31 smernice 95/46/ES, PRIJALA TOTO ROZHODNUTIE: Článok 1 Predpokladá sa, že štandardné zmluvné doložky uvedené v prílohe poskytujú primerané záruky vo vzťahu k ochrane súkromia a základných práv a slobôd osôb a pokiaľ ide o výkon zodpovedajúcich práv, tak ako to vyžaduje článok 26 ods. 2 smernice 95/46/ES. Článok 2 Toto rozhodnutie sa týka len primeranosti ochrany poskytovanej štandardnými zmluvnými doložkamiuvedenými v prílohe, pre prevod osobných údajov na spracovateľov. Nemá vplyv na uplatňovanie iných vnútroštátnych ustanovení vykonávajúcich smernicu 95/46/ES, ktoré sa týkajú spracovania osobných údajov v rámci členských štátov. Toto rozhodnutie sa bude týkať prevodu osobných údajov kontrolórmi podnikajúcimi v spoločenstve na príjemcov podnikajúcich mimo územia spoločenstva, ktorí vykonávajú len funkciu spracovateľov. Článok 3 Pre účely tohto rozhodnutia: a) budú platiť definície v smernici 95/46/ES; b) "osobitné kategórie údajov" znamenajú údaje uvedené v článku 8 uvedenej smernice; c) "dozorný orgán" znamená orgán uvedený v článku 28 uvedenej smernice; d) "vývozca údajov" znamená kontrolór, ktorý prevádza osobné údaje; e) "dovozca údajov" znamená spracovateľ podnikajúci v tretej krajine, ktorý súhlasí, že bude od vývozcu údajov prijímať osobné údaje určené k spracovaniu v prospech vývozcu údajov, po prevode v súlade s jeho pokynmi a podmienkami tohto rozhodnutia a ktorý nepodlieha systému tretej krajiny, zaisťujúcemu primeranú ochranu; f) "príslušné právo týkajúce sa ochrany údajov" znamená právne predpisy chrániace základné práva a slobody fyzických osôb a najmä ich právo vo vzťahu k spracovaniu osobných údajov, uplatniteľné na kontrolóra údajov v členskom štáte, v ktorom podniká vývozca údajov; g) "technické a organizačné bezpečnostné opatrenia" znamená tie opatrenia, ktoré sa zameriavajú na ochranu osobných údajov proti neúmyselnému, alebo neoprávnenému zničeniu, prípadne neúmyselnej strate, zmene, neoprávnenému prezradeniu, alebo prístupu, najmä ak spracovanie zahrňuje prenos údajov po sieti a proti všetkým ostatným nezákonným formám spracovania. Článok 4 1. Bez dotknutia ich právomocí podnikať právne opatrenia na zabezpečenie dodržiavania vnútroštátnych ustanovení prijatých podľa kapitol II, III a VI smernice 95/46/ES môžu príslušné úrady v členských štátoch uplatniť svoje existujúce právomoci zakázať alebo pozastaviť toky údajov do tretích krajín s cieľom ochrany osôb vo vzťahu k spracovaniu ich osobných údajov v prípadoch, ak: a) sa zistí, že právo, ktorému subjekt údajov podlieha mu ukladá povinnosti vo forme výnimky z príslušného práva týkajúceho sa ochrany údajov, ktoré presahujú obmedzenia potrebné v demokratickej spoločnosti stanovené v článku 13 smernice 95/46/ES, ak je pravdepodobné, že tieto povinnosti budú mať závažný nepriaznivý účinok na záruky poskytované príslušným právom týkajúcim sa ochrany údajov a štandardnými zmluvnými doložkami; alebo b) príslušný úrad zistí, že dovozca údajov nerešpektoval zmluvné doložky v prílohe; alebo c) existuje veľká pravdepodobnosť, že štandardné zmluvné doložky v prílohe nie sú alebo nebudú dodržiavané a pokračujúcim prenosom by vzniklo bezprostredné riziko vážneho poškodenia subjektov údajov. 2. Zákaz alebo pozastavenie podľa odseku 1 bude zrušený, len čo dôvody pre pozastavenie alebo zákaz prestanú existovať. 3. Ak členské štáty prijmú opatrenia podľa odsekov 1 a 2, budú o tom bezodkladne informovať Komisiu, ktorá príslušné informácie postúpi ostatným členským štátom. Článok 5 Komisia zhodnotí pôsobenie tohto rozhodnutia na základe dostupných informácií tri roky po jeho oznámení členským štátom. Predloží správu o zisteniach výboru vytvoreného podľa článku 31 smernice 95/46/ES. Zahrnie sem ľubovoľné dôkazy, ktoré by mohli ovplyvniť hodnotenie týkajúce sa primeranosti štandardných zmluvných doložiek v prílohe a ľubovoľné dôkazy o tom, že sa toto rozhodnutie uplatňuje diskriminačným spôsobom. Článok 6 Toto rozhodnutie sa bude uplatňovať od 3. apríla 2002. Článok 7 Toto rozhodnutie je adresované členským štátom. V Bruseli 27. decembra 2001 Za Komisiu Frederik Bolkestein člen Komisie [1] Ú. v. ES L 281, 23.11.1995, s. 31. [2] Internetová stránka pracovnej skupiny je na adrese: - http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/index.htm. [3] WP 4 (5020/97): "Prvé orientácie ohľadne prevodov osobných údajov do tretích krajín — Možné cesty vpred pokiaľ ide o hodnotenie adekvátnosti", diskusný dokument prijatý pracovnou skupinou dňa 26. júna 1997.WP 7 (5057/97): Pracovný dokument: "Posudzovanie samoregulácie odvetvia: kedy zmysluplne prispieva k úrovni ochrany osobných údajov v tretej krajine?", prijatý pracovnou skupinou dňa 14. januára 1998.WP 9 (5005/98): Pracovný dokument: "Predbežné stanoviská k využívaniu zmluvných ustanovení v kontexte prevodov osobných údajov do tretích krajín", prijatý pracovnou skupinou dňa 22. apríla 1998.WP 12: Prevody osobných údajov do tretích krajín: Uplatňovanie článkov 25 a 26 smernice EÚ o ochrane údajov, prijaté pracovnou skupinou dňa 24. júla 1998, dostupný na internetovej adrese: - "http://europa.eu.int/comm/internal_market/en/dataprot/wpdocs/wp12en.htm", na hostiteľskom počítači Európskej komisie. [4] Ú. v. ES L 181, 4.7.2001, s. 19. [5] Stanovisko č. 7/2001 prijaté Pracovnou skupinou dňa 13. septembra 2001 (DG MARKT.…) dostupné na internetovej stránke "Europa", na hostiteľskom počítači Európskej komisie. -------------------------------------------------- PRÍLOHA +++++ TIFF +++++ +++++ TIFF +++++ +++++ TIFF +++++ +++++ TIFF +++++ -------------------------------------------------- Dodatok 1 +++++ TIFF +++++ -------------------------------------------------- Dodatok 2 +++++ TIFF +++++ --------------------------------------------------