BG Официален вестник на Европейския съюз 64

32000D0520



ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ

РЕШЕНИЕ НА КОМИСИЯТА

от 26 юли 2000 година

съгласно Директива 95/46/ЕО на Европейския парламент и на Съвета относно адекватността на защитата, гарантирана от принципите за „сфера на неприкосновеност на личния живот“ и свързаните с това често задавани въпроси, публикувани от Департамента по търговия на САЩ

(нотифицирано под номер С(2000) 2441)

(текст от значение за ЕИП)

(2000/520/ЕО)

КОМИСИЯТА НА ЕВРОПЕЙСКИТЕ ОБЩНОСТИ,

като взе предвид Договора за създаване на Европейския съюз,

като взе предвид Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. относно защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (1), и по-специално член 25, параграф 6 от нея,

като има предвид, че:

(1) Съгласно Директива 95/46/ЕО от държавите-членки се изисква да следят предаването на лични данни на трета страна да се осъществява само ако съответната страна гарантира адекватно ниво на защита и ако законите на държавите-членки, които приемат други разпоредби от директивата, се спазват преди предаване.

(2) Комисията може да установи, че трета страна гарантира адекватно ниво на защита. В този случай личните данни могат да бъдат предавани от държавите-членки, без да са необходими допълнителни гаранции.

(3) Съгласно Директива 95/46/ЕО нивото на защита на данните следва да се оценява по отношение на всички обстоятелства, свързани с предаването или с набора от действия по предаването на данни, и като се вземат предвид конкретните обстоятелства. Работната група за защита на физическите лица по отношение на обработването на личните данни, създадена по силата на посочената директива (2), издаде ръководство за осъществяването на тази преценка (3).

(4) При различните схващания за защитата на данните в трети страни адекватната оценка на тази защита и прилагането на всяко решение по силата на член 25, параграф 6 от Директива 95/46/ЕО следва да се осъществяват по начин, който не води до произволна или неоправдана дискриминация спрямо или между третите страни, където съществуват подобни условия, като това не е скрита пречка пред търговията, имайки предвид настоящите международни ангажименти на Общността.

(5) Нивото на адекватна защита за предаването на данни от Общността към Съединените американски щати, определено съгласно настоящото решение, би трябвало да се постигне, ако организациите спазват принципите „сфера на неприкосновеност на личния живот“, (по-долу наричани „принципи“) и „често задаваните въпроси“ (ЧЗВ), които определят насоките за прилагането на принципите, публикувани от правителството на Съединените щати на 21 юли 2000 г. Освен това организациите следва да оповестят публично своите политики на поверителност и те да бъдат от компетенцията на Федералната търговска комисия (FTC) съгласно раздел 5 от Закона за Федералната търговска комисия, който забранява некоректните или измамни действия или практики в областта на търговията, или на друга институция, предвидена от законодателството, гарантираща действително съблюдаването на принципите съгласно ЧЗВ.

(6) Областите и/или обработването на данните, които не са от компетенцията на държавните органи на Съединените американски щати, посочени в приложение VII към настоящото решение, следва да попадат извън обхвата на настоящото решение.

(7) За да се осигури правилно прилагане на настоящото решение, е необходимо организациите, които приемат принципите и ЧЗВ, да бъдат признати от съответните заинтересувани страни като лица, субекти на данни, лица, износители на данни, и власти, натоварени със защитата на данните. За тази цел Департаментът по търговия на САЩ или определен от него представител би следвало да поеме задължението да поддържа и прави достъпен за обществото списъка на организациите, които декларират, че се присъединяват към принципите, прилагани съгласно ЧЗВ и които са от компетенцията на поне един от държавните органи, включени в приложение VII към настоящото решение.

(8) С цел да се гарантира прозрачността и да се запази възможността на компетентните органи в държавите-членки да осигурят защитата на физическите лица по отношение на обработването на личните данни, в настоящото решение трябва да се указва при какви изключителни обстоятелства спирането на някои конкретни потоци с данни може да бъде оправдано, дори ако е било установено достатъчно ниво на защита.

(9) Възможно е да се наложи „личната неприкосновеност“, създадена според принципите и ЧЗВ, да бъде преразгледана в светлината на опита и на тенденциите в областта на защитата на личния живот при условията, където технологията позволява все по-лесно да се предават и обработват лични данни, както и в светлината на докладите относно изпълнението от компетентните правоприлагащи органи.

(10) Работната група за защита на физическите лица по отношение на обработването на личните данни, създадена по силата на член 29 от Директива 95/46/ЕО, формулира становища за нивото на защита, предоставено съгласно принципите, свързани с личната неприкосновеност в Съединените щати, които са взети предвид при изготвянето на настоящото решение (4).

(11) Предвидените мерки в настоящото решение са съгласувани със становището на Комитета, създаден по силата на член 31 от Директива 95/46/ЕО.

(12) Съгласно Решение 1999/468/ЕО на Съвета, и по-специално на член 8 от него, на 5 юли 2000г. Европейският парламент прие Резолюция А5-0177/2000 относно проекта за решение на Комисията относно адекватността на защитата, предоставена от принципите „сфера на неприкосновеност на личния живот“ и свързаните с тях често задавани въпроси, публикувани от Департамента по търговия на САЩ (5). Комисията отново разгледа проекта за решение в светлината на тази резолюция и стигна до заключението, че въпреки че Европейския парламент изразява мнение, че е необходимо да се направят някои подобрения в принципите за защита на личната неприкосновеност и свързаните с тях ЧЗВ преди да би могло да се счита, че се предоставя „адекватна защита“, не е доказано, че комисията би превишила правомощията си като приеме това решение,

ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:

Член 1

1. По смисъла на член 25, параграф 2 от Директива 95/46/ЕО за всички дейности, попадащи в обхвата на посочената директива, се смята че принципите „сфера на неприкосновеност на личния живот“ (по-долу наричани „принципи“), посочени в приложение I към настоящото решение, прилагани съгласно насоките, предоставени от „често задаваните въпроси“ (наричани по-долу ЧЗВ), публикувани на 21 юли 2000 г. от Департамента по търговия на Съединените американски щати, посочени в приложение II към настоящото решение, гарантират адекватно ниво на защита на личните данни, предавани от Общността към организации, установени в Съединените щати, имайки предвид следните документи, издадени от Департамента по търговия на Съединените американски щати:

а) обзор на прилагането на сфера на неприкосновеност, посочен в приложение III;

б) резюме относно вреди, понесени вследствие на нарушения на личната неприкосновеност и относно изричните разрешителни, предвидени по силата на законодателството на Съединените щати, посочени в приложение IV;

в) писмо на Федералната търговска комисия, посочено в приложение V;

г) писмо от Департамента по транспорта на Съединените американски щати, посочено в приложение VI.

2. Що се отнася до всяко предаване на данни, трябва да се спазват следните условия:

а) организацията получател на данните е поела категорично и публично задължението да спазва принципите, приети въз основа на ЧЗВ; и

б) конкретен правителствен орган на САЩ, посочен в приложение VII към настоящото решение, е законово оправомощен по отношение на тази организация да разглежда оплаквания и да взима мерки срещу некоректните или измамни практики, както и обезщетение за претърпените вреди от пострадалите лица, независимо от страната по пребиваване или националност, в случаите, когато не се спазват принципите, приети по силата на ЧЗВ.

3. Смята се, че условията, посочени в параграф 2, са изпълнени от всяка организация, когато тя обяви придържането си към принципите, приложени по силата на ЧЗВ, считано от датата, на която са уведомили американския Департамент по търговия (или негов представител) за оповестяването на задължението, предвидено в параграф 2, буква а), и на идентичността на държавния орган, предвиден в параграф 2, буква б).

Член 2

Настоящото решение се отнася само до адекватността на защитата, осигурена в Съединените щати чрез принципите, приети по силата на ЧЗВ с цел изпълнение на изискванията на член 25, параграф 1 от Директива 95/46/ЕО, и не засяга прилагането на други разпоредби от посочената директива, които се отнасят до обработването на личните данни в държавите-членки, и по-специално на член 4 от него.

Член 3

1. Без това да засяга техните правомощия за вземане на мерки с цел гарантиране спазването на националните разпоредби, приети съгласно разпоредби, различни от тези по член 25 от Директива 95/46/ЕО, компетентните органи на държавите-членки могат да упражняват правомощията, с които разполагат, за да спрат потока данни към дадена организация, заявила себе си като придържаща се към принципите, приети по силата на ЧЗВ, за да закриля лицата, що се отнася до обработването на техните лични данни, в случаите, когато:

а) държавният орган на Съединените щати съгласно приложение VII към настоящото решение или някоя независима инстанция за подаване на жалби по смисъла на буква а) от принципа за прилагане, съгласно приложение I към настоящото решение, е констатирал, че съответната организация е нарушила принципите, приети по силата на ЧЗВ; или

б) когато е много вероятно принципите да са нарушени; когато всичко сочи, че съответната инстанция за прилагане не взима или няма да вземе в необходимите срокове мерките, които се налагат с цел решаване на въпросното дело; когато продължаването на предаване на данни представлява неминуем риск от сериозни вреди за съответните лица; и когато компетентните органи на държавите-членки са направили достатъчно последователни усилия, в зависимост от обстоятелствата, за да предупредят организацията и да ѝ дадат възможност да отговори.

Спирането се преустановява от момента, когато спазването на принципите, приложени по силата на ЧЗВ, е гарантирано и когато съответните компетентни органи на Общността са нотифицирани за това.

2. Държавите-членки информират незабавно Комисията за приемането на мерките съгласно параграф 1.

3. Държавите-членки и Комисията се информират взаимно за случаите, когато институциите, натоварени с контрола по спазването на принципите, приети по силата на ЧЗВ в Съединените щати, не успяват да се справят със задачата си.

4. Ако информациите, събрани съгласно параграфи 1, 2 и 3, представят доказателства, че някоя институция, натоварена със задачата да контролира спазването на принципите, приети по силата на ЧЗВ в Съединените щати, не изпълнява ефикасно задачата си, Комисията информира Департамента по търговия на САЩ и ако е необходимо, предлага проектомерки за приемане съгласно процедурата, посочена в член 31 от Директива 95/46/ЕО с цел заличаването или преустановяването на действието на настоящото решение или за да се ограничи обхватът му.

Член 4

1. Настоящото решение може да бъде адаптирано във всеки един момент в светлината на натрупания опит по време на неговото прилагане и/или ако нивото на защита, осигурено от принципите и ЧЗВ, се окаже недостатъчно спрямо изискванията на законодателството на САЩ.

Независимо от всичко това Комисията преценява прилагането на настоящото решение въз основа на информацията, с която разполага, три години след нотификацията му до държавите-членки и съобщава на комитета, създаден по силата на член 31 от Директива 95/46/ЕО, всички документи, които биха повлияли върху оценката, според която разпоредбите на член 1 от настоящото решение гарантират достатъчно ниво на защита по смисъла на член 25 от Директива 95/46/ЕО, и всяко доказателство, свидетелстващо, че настоящото решение се прилага по дискриминационен начин.

2. Комисията представя, ако е необходимо, проектомерки в съответствие с процедурата, предвидена в член 31 от Директива 95/46/ЕО.

Член 5

Държавите-членки вземат всички необходими мерки, за да се съобразят с настоящото решение, най-късно деветдесет дни след датата на нотификацията му до държавите-членки.

Член 6

Адресати на настоящото решение са държавите-членки.

Съставено в Брюксел на 26 юли 2000 година. За Комисията Frederik BOLKESTEIN Член на Комисията

(1) ОВ L 281, 23.11.1995 г., стр. 31.

(2) Виж адрес: http//www.europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm.

(3) РГ 12: „Предаване на лични данни към трети страни: прилагане на членове 25 и 26 от директивата на ЕС за защита на данните“, документ, приет на 24 юли 1998 г. от работната група.

(4) РГ 15: Становище 1/99 относно нивото на защита на личните данни в Съединените щати и текущите дискусии между Европейската комисия и Съединените щати.

РГ 19: Становище 2/99 относно адекватността на международните принципи за защита на личната неприкосновеност, публикувани от Департамента по търговия на Съединените щати на 19 април 1999 г.

РГ 21: Становище 4/99 относно често задаваните въпроси, които предстои да бъдат публикувани от Департамента по търговия на Съединените щати в рамките на предложените принципите „сфера на неприкосновеност на личния живот“ относно адекватността на международните принципи „сфера на неприкосновеност на личния живот“.

РГ 23: Работен документ относно текущото състояние на дискусиите между Европейската комисия и правителството на САЩ относно международните принципи „сфера на неприкосновеност на личния живот“.

РГ 27: Становище 7/99 относно нивото на защита на данните, гарантирано от принципите „сфера на неприкосновеност на личния живот“, публикувани заедно с често задаваните въпроси (ЧЗВ) и други сходни документи на 15 и 16 ноември 1999 г. от Департамента по търговия на Съединените щати.

РГ 31: Становище 3/2000 относно диалога ЕС/САЩ относно споразумението относно „сферата на неприкосновеност“.

РГ 32: Становище 4/2000 относно нивото на защита, предоставено съгласно принципите „сфера на неприкосновеност на личния живот“.

(5) Резолюцията все още не е публикувана в Официален вестник.

ПРИЛОЖЕНИЕ I

ПРИНЦИПИ ЗА „СФЕРАТА НА НЕПРИКОСНОВЕНОСТ НА ЛИЧНИЯ ЖИВОТ“

публикувани от Департамента по търговия на САЩ на 21 юли 2000 г.

Директивата за защита на данните (Директивата), която предоставя подробна правна основа в областта на защитата на личния живот в Европейския съюз, влиза в сила на 25 октомври 1998 г. Тя изисква лични данни да могат да бъдат предавани само на страни, които не са държави-членки и гарантират „адекватно“ ниво на защита. Независимо че Съединените щати и Европейският съюз имат за обща цел да закрилят по-строго личния живот на своите граждани, Съединените щати имат по-различен подход в тази област от този на Европейския съюз. Съединените щати използват секторен подход, който представлява съвкупност от законови и подзаконови разпоредби, както и кодекси за саморегулиране. Имайки предвид тези разлики, голям брой американски организации изразиха своята несигурност по отношение на ефекта на изискуемия от ЕС „стандарт на адекватна защита“ върху предаването на лични данни от Европейския съюз към Съединените щати.

За да се ограничи тази несигурност и за да се предостави по-предсказуема рамка с цел подобни предавания на данни, американският Департамент по търговия публикува настоящия документ („принципите“), както и „често задаваните въпроси“ (ЧЗВ) по силата на своята законна власт, за да насърчи, окуражи и развие международната търговия. Принципите са изготвени след съгласуване с предприятията и широката общественост с цел насърчаване на търговията между Съединените щати и Европейския съюз. Те са предназначени единствено за американските организации, които получават лични данни, произхождащи от Европейския съюз, с цел тези организации да изпълнят условията за сфера на неприкосновеност по силата на презумпцията за „ниво на адекватна защита“, произтичаща от нея. Тъй като принципите са формулирани единствено за да обслужват конкретната цел, тяхното прилагане за други цели може да се окаже неподходящо. Принципите не могат да заместят националните разпоредби за прилагане на директивата, които се прилагат за обработването на личните данни в държавите-членки.

Всяка организация е напълно свободна да реши дали да изпълнява или не условията за сфера на неприкосновеност и може да изпълни тези условия по различни начини. Организациите, които решат да се присъединят към принципите, трябва да се съобразяват с тези принципи, за да получат и запазят предимствата на сферата на неприкосновеност и трябва публично да декларират решението си. Ако например дадена организация участва в саморегулаторна програма за защита на личните данни, която се основава на тези принципи, то тя отговаря на условията за сфера на неприкосновеност. Дадена организация може да отговори на условията за сфера на неприкосновеност, като разработи свои саморегулаторни политики по отношение на защитата на личния живот, при условие че тези правила съответстват на принципите. Всяка една организация, която е избрала едно от двете решения и която наруши принципите, трябва да бъде санкционирана съгласно раздел 5 от Закона за Федералната търговска комисия, който забранява некоректните и измамни практики, или съгласно всеки друг законов или подзаконов акт, въвеждащ забрана на такива закони (виж приложението за списъка от законово утвърдени органи на САЩ, признати от ЕС). Освен това, когато дадени организации са предмет на регулиране от законови, подзаконови, административни или други правни разпоредби (или съвкупност от правила), които дават ефективна защита на личните данни, те могат също да се ползват от предимствата на сферата на неприкосновеност. Във всички случаи организацията ползва посочените предимства считано от датата, на която самосертифицира пред Департамента по търговия (или на лицето, определено от него), че спазва принципите, приети съгласно препоръките, формулирани в ЧЗВ относно самосертифицирането.

Придържането към принципите може да бъде ограничено: а) до необходимата степен, с оглед спазване изискванията за националната сигурност, обществения интерес или изискванията на правоприлагането; б) със закон, правителствено регулиране или съдебна практика, които пораждат взаимнопротиворечиви задължения или предвиждат изрични разрешителни, при положение че дадена организация, която е поискала подобно разрешително, може да докаже, че неспазването на принципите е ограничено до необходимата степен за гарантиране на първостепенните законово предвидени интереси, за които е поискано разрешителното; или в) изключенията или дерогациите, допуснати в директивата според законодателството на държавата-членка, при условие че тези изключения или дерогации се прилагат в сравними контексти. Съгласно целта за по-голяма защита на личния живот, организациите трябва да се стремят да прилагат тези принципи изцяло и прозрачно, като посочват включително в техните политики за защита на личния живот — в кои области изключенията по отношение на принципите, предвидени в буква б) по-горе, ще се прилагат редовно. По същата причина, когато принципите и/или законодателството на САЩ позволяват на организациите да направят избор, от тези организации се изисква да изберат, в рамките на възможното, ниво с по-висока защита.

По практически или други причини някои организации може да искат да прилагат принципите за всички техни дейности по обработване на данни, но те са задължени да ги прилагат само за данните, предавани след тяхното встъпване в сферата на неприкосновеност. За да се присъединят към нея, не е необходимо да се прилагат принципите към личните данни, обработвани на ръка. Организациите, които желаят да ползват предимствата на сферата на неприкосновеност, за да получат от ЕС данни, обработвани на ръка, трябва да прилагат принципите за всяка такава предадена информация след придържането към посочените принципи. Организация, която иска да се ползва от предимствата на сфера на неприкосновеност до личните данни за човешки ресурси, които са предавани от ЕС, за да бъдат използвани в рамките на трудови правоотношения, трябва да посочи това, когато сертифицира своя ангажимент пред американския Департамент по търговия (или пред лицето, определено от него), и трябва да спазят изискванията, изложени в ЧЗВ за самосертифицирането. Организациите ще могат също така да предоставят гаранциите от член 26 от директивата, ако те включват принципите — в рамките на писмени споразумения със страните, осъществяващи предаване на данни от ЕС относно съществените разпоредби за защита на личния живот, след като другите разпоредби, отнасящи се до тези типови договори, бъдат одобрени от Комисията и от държавите-членки.

Правото на САЩ се прилага по въпросите на тълкуване и съобразяване с принципите „сфера на неприкосновеност на личния живот“, (включително често задаваните въпроси) и на съответните политики за защита на личния живот, прилагани от организациите за защита на личната неприкосновеност, с изключение на случаите, когато организациите са поели ангажимент да си сътрудничат с европейските органи по защита на данните. Освен ако не е посочено нещо друго, всички разпоредби в областта на личната неприкосновеност и често задаваните въпроси се прилагат, когато са релевантни.

Под „лични данни“ и „лична информация“ се разбират данни относно определено или подлежащо на определяне физическо лице, което попада в обхвата на директивата, които са предадени от Европейския съюз на американска организация и които са регистрирани под каквато и да е форма.

НОТИФИКАЦИЯ

Всяка организация трябва да информира физическите лица за причините за събирането и използването на лична информация, за начините да се свържат с нея за запитвания или оплаквания, за видовете трети лица, на които тази информация ще бъде разкрита, за възможностите за избор и средствата, които предлага организацията на физическите лица с оглед ограничаване използването и разкриването на тези данни. Известието трябва да бъде предоставено на ясен и разбираем език, когато заинтересованите лица бъдат поканени за първи път да предоставят личната информация на организацията или веднага след като стане възможно, но във всеки случай, преди тези данни да бъдат използвани от организацията за цел, различна от тази, за която са били първоначално събрани или обработени от организацията, която извършва предаването или разкриването им за първи път на трето лице (1).

ИЗБОР

Всяка организация трябва да предлага на физическите лица възможността да изберат („opt out“) дали личната информация за тях а) може да бъде разкрита на трето лице (1), или б) може да бъде използвана за несъвместими цели с предназначението или предназначенията, за които тези данни са били първоначално събрани или за които по-късно са получили разрешение от физическото лице. Физическите лица трябва да разполагат с ясни и разбираеми механизми, леснодостъпни и с разумна цена, за да направят своя избор.

Що се отнася до чувствителната информация (например лична информация, свързана медицинското или здравословното състояние на лицето, с неговия произход — раса или етнически произход, политическите му виждания, вероизповедание или философски схващания, членството му в даден синдикат или сексуални предпочитания), всяко лице трябва да има възможността да направи своя утвърждаващ или изричен избор („opt in“), при условие че информацията трябва да бъде разкрита на трето лице или използвана за цел, различна от първоначалната, когато е била първоначално събрана или за която по-късно е получено разрешение от физическото лице посредством упражняването от него на правото му на избор. Във всички случаи организацията следва да разглежда като чувствителна всяка информация, получена от трето лице, ако третото лице указва и третира тази информация като чувствителна.

ПОСЛЕДВАЩО ПРЕДАВАНЕ

За да разкрият информация на трето лице, организациите трябва да прилагат принципите на известието и на избора. По желание организациите могат да предават информации на трето лице, което действа като поръчител съгласно описанието, дадено в бележката в края, ако те удостоверят предварително, че третото лице е възприело принципите „сфера на неприкосновеност на личния живот“ или е предмет на разпоредбите на директивата или всеки друг механизъм, удостоверяващ адекватното ниво на защита, или ако организацията сключи писмено споразумение с третото лице, в което последното поеме задължението да гарантира поне същото ниво на защита, каквото се изисква от същите принципи. Ако организацията съблюдава горните изисквания, тя няма да бъде считана за отговорна (освен ако организацията се съгласи за противното), в случай че трето лице, на което тя е предала тази информация, я обработва по начин, противоречащ на съществуващи ограничения или декларации, освен ако организацията го е знаела или е следвало да знае, че третото лице ще я обработва по горния начин и ако организацията не е взела необходимите мерки, за да предотврати това обработване или за да го преустанови.

СИГУРНОСТ

Организациите, които създават, поддържат, използват или разпространяват лична информация, трябва да вземат необходимите предпазни мерки, за да предотвратят загубата, злоупотребата, непозволения достъп, разкриването, изменението и унищожаването на тези данни.

ПЪЛНОТА НА ДАННИТЕ

От гледна точка на тези принципи личната информация трябва да съответства на употребите, за които са предназначени. Никоя организация не може да обработва лична информация по несъвместим начин с целите, за които тя е била събрана или за която по-късно е получено разрешение от физическото лице. Всяка организация, съответно, следва да вземе подходящите мерки, за да гарантира надеждност на данните по отношение на предвиденото им използване, както и тяхната коректност, пълнота и актуалност.

ДОСТЪП

Когато дадена организация разполага с лична информация за дадено лице, последното трябва да има достъп до тези данни и трябва да има възможността да ги коригира, променя или заличава, когато са неточни, освен когато затрудненията или разходите по предоставяне на достъп биха били несъразмерни на рисковете спрямо личния живот на физическото лице във въпросния случай или когато биха били нарушени правата на лица, различни от заинтересованото.

ПРИЛАГАНЕ

Ефективната защита на личния живот трябва да включва механизми, които да гарантират спазването на принципите на личната неприкосновеност, да се предвиди право за подаване на жалби за заинтересованите физически лица, засегнати от неспазването на принципите, както и да се санкционират организациите, които не са приложили принципите. Тези механизми трябва да включват: а) независими системи за подаване на жалби, леснодостъпни и на разумна цена, които да позволят да се разгледа и реши всяка жалба или спорове на физически лица, при позоваване на принципите и предоставяне на обезщетения, когато приложимото законодателство или инициативите в частния сектор предвиждат това; б) процедури за последващ контрол, за да се провери дали удостоверенията и твърденията, предоставени от стопанските единици за техните практики в областта на защитата на личния живот, са верни и дали тези практики се прилагат действително, както твърдят дружествата; в) задължения за решаване на проблемите, произтичащи от неспазването на тези принципи от организациите, заявяващи своето придържане към принципите, и последиците за тези организации. Тези санкции трябва да са достатъчно разубеждаващи, за да гарантират спазването на принципите от организациите.

(1) Не е необходимо да се предоставя известие или избор, когато данните се разкриват на трето лице, което като представител е натоварено да изпълнява задачи за сметка и по инструкции на организацията. От друга страна, принципът на последващото предаване се прилага в случаи на сходно разкриване на данни.

Приложение

Списък на законово установените органи на САЩ, признати от Европейския съюз

Европейският съюз признава следните държавни органи на САЩ като овластени да разглеждат жалбите и да получават помощ за борбата с некоректните или измамни практики, както и обезщетение при неспазване на действащите принципи съгласно ЧЗВ:

— Федерална търговска комисия, въз основа на правомощията, които са ѝ предоставени съгласно раздел 5 от Закона за Федералната търговска комисия,

— Департамент по транспорт въз основа на правомощията, които са му предоставени по силата на глава 49 от Кодекса на САЩ, раздел 41712.

ПРИЛОЖЕНИЕ II

ЧЕСТО ЗАДАВАНИ ВЪПРОСИ (ЧЗВ)

ЧЗВ 1 — Чувствителни данни

Въпрос (В): Трябва ли организацията да предоставя винаги изричен избор (opt in), що се отнася до чувствителните данни?

Отговор (О) Не, този избор не се изисква, когато обработването:1) е от жизнен интерес за заинтересованото лице или за друго лице; 2) е необходимо, за да се установи право на иск или право на защита ; 3) е необходимо, за да се окажат медицински грижи с цел определяне на диагноза; 4) се извършва по време на законни дейности от фондация, организация или друг орган с нестопанска цел и с политическа, философска, религиозна или синдикална цел и при условие че използването се отнася единствено до членовете на органа или до лицата, които поддържат с него постоянни редовни контакти, свързани с предназначението му, и че тези данни не се разкриват на трето лице без съгласието на заинтересованите субекти; 5) е необходимо, за да гарантира спазването на задълженията на организацията по отношение на трудовото право; 6) е свързано с данните, които ясно са били оповестени публично от физическото лице.

ЧЗВ 2 — Журналистически изключения

В: Имайки предвид гаранциите, предоставени от Конституцията на САЩ в областта на свободата на пресата, и предвиденото изключение в директивата относно материалите, използвани от журналистите, прилагат ли се принципите на личната неприкосновеност за личната информация, събрана, поддържана или разпространявана за журналистически нуждите?

О: Когато правата на свободната преса, заложени в първата поправка на Конституцията на САЩ, са несъвместими със защитата на личния живот, първата поправка има предимство за дейностите, които имат за предмет американски лица или организации. Личната информация, събрана с цел публикуване, разпространение или други форми на обществена комуникация, независимо дали ще се използват или не, както и информациите, които са били публикувани преди това, после са били архивирани, не са предмет на изискванията съгласно принципите „сфера на неприкосновеност“.

ЧЗВ 3 — Вторична отговорност

В: Доставчиците на Интернет, телекомуникационните дружества и другите организации трябва ли да спазват принципите на лична неприкосновеност, когато само предават, изпращат, заместват или заличават, за сметка на друг орган, информации, които биха могли да нарушат тези принципи?

О: Не. Нито самата директива, нито личната неприкосновеност могат да породят вторична отговорност. Не може да се търси отговорност на даден орган, когато той служи само за носител на данни, предавани от трети страни, и не определя нито целите, нито средствата за обработване на тези лични данни.

ЧЗВ 4 — Инвестиционни банки и одити

В: В дейностите на одиторите и на инвестиционните банки може да се наложи обработване на лични данни без съгласието или без знанието на заинтересованото лице. При какви обстоятелства принципът на известието, на избора и на достъпа го допускат?

О: Инвестиционните банкери или одиторите могат да обработват информации без знанието на физическото лице само в рамките и за необходимия срок за съобразяване със законовите изисквания или с изискванията от публичен интерес, както и в други обстоятелства, където прилагането на тези принципи би засегнало легетимните интереси на органа. Сред тези легитимни интереси фигурират контролът на спазването от страна на дружествата на техните законови задължения и законни счетоводни дейности, както и необходимостта от поверителност, свързана с евентуалните поглъщания, сливания, съвместни предприятия или други сделки със сходен характер, извършени от инвестиционните банкери или одиторите.

ЧЗВ 5 (1) — Роля на властите, натоварени със защитата на данните

В: Как дружествата, които се задължават да сътрудничат с властите на Европейската общност, натоварени със защитата на данните ВЗД (Власти за защита на данните), поемат тези ангажименти и как тези ангажименти ще се изпълняват?

О: Според „сферата на неприкосновеност“ американските организации, които получават лични данни от ЕС, трябва да поемат ангажимента да използват ефикасни механизми, за да гарантират спазването на принципите „сфера на лична неприкосновеност“. По-специално, както се предвижда от принципа за прилагане, тези механизми трябва да предвиждат: а) средства за правна помощ за физическите лица, за които се отнасят данните; б) процедури на проверка, че удостоверенията и декларациите, направени от организациите по отношение на защитата на личния живот, са истинни, и в) задължения за решаване на проблемите, произтичащи от неспазването на тези принципи, и последиците за тези организации. Всяка организация, която е поела задължението да сътрудничи с ВЗД, предвидено в настоящия ЧЗВ, може да изпълнява букви а) и в) от принципа за прилагане.

Всяка организация може да поеме ангажимент да сътрудничи с ВЗД, като декларира в своето съобщение за придържане към принципа на личната неприкосновеност, изпратено до Департамента по търговия (виж ЧЗВ 6 относно самосертифицирането), че организацията:

1. избира да спазва изискванията по букви а) и в) от принципа „сфера на лична неприкосновеност“, като поема ангажимента да сътрудничи с ВЗД;

2. ще сътрудничи с ВЗД във връзка с разглеждането и решаването на депозираните жалби във връзка със сферата на неприкосновеност;

3. ще се съобрази с всяко едно становище, дадено от ВЗД, според което организацията ще трябва да вземе специални мерки, за да се съобрази с принципите „сфера на неприкосновеност на личния живот“, включително всякакви мерки, свързани с правни средства или обезщетение в полза на физически лица, които са засегнати от неспазването на посочените принципи, и ще информира писмено ВЗД за взетите мерки по този повод.

Сътрудничеството на ВЗД ще се изрази чрез информации и становища, изразени по следните начини:

— ВЗД ще бъдат консултирани чрез неформален панел на ВЗД, изготвен на европейско равнище и който, inter alia, ще помогне за осигуряването на един хармонизиран и съгласуван подход.

— Панелът ще препоръчва съответните американски организации по повод на жалби от физически лица, по които няма приети решения и които се отнасят до обработването на личната информация, която е била препратена от ЕС съгласно сферата на неприкосновеност на личния живот. Съветите, които ще бъдат предоставени, ще визират гарантиране на правилното прилагане на принципите „сфера на неприкосновеност на личния живот“ и ще включват правните средства за съответното/ите физическо/и лице/а, които ВЗД считат за подходящи.

— Панелът ще дава становище в отговор на заведените жалби от заинтересованите организации и/или на жалбите, заведени директно от физическите лица срещу организациите, които са поели ангажимента да сътрудничат с ВЗД с оглед спазване на принципите на личната неприкосновеност, като насърчават или, при необходимост, подпомагат тези физически лица да използват първо вътрешните механизми за разглеждане на жалбите, с които организацията разполага.

— Ще се дават препоръки едва след като двете страни в диспута са имали възможността да представят своите забележки или, евентуално, да представят своите доказателства. Панелът ще се стреми да предостави препоръките си в най-кратки срокове, като спазва принципите на справедливия процес. По принцип панелът ще се произнася най-късно в срок от 60 дни считано от получаването на жалбата или позоваването.

— Ако сметне, че е необходимо, панелът ще направи публично достояние резултатите от разглеждането на жалбите, по които е бил сезиран.

— Препоръката, предоставена от панела, няма да ангажира нито панела, нито ВЗД, които го съставляват.

Организациите, които изберат този начин за решаване на споровете, трябва да поемат задължението да спазват и прилагат препоръките, издадени от ВЗД. Ако някоя организация не изпълни препоръката в срок от двадесет и пет дни от получаването ѝ, без да посочи убедително обяснение за това, панелът ще оповести намерението си да придвижи въпроса или пред Федералната търговска комисия, или пред всеки друг федерален или държавен орган на САЩ, който има законови правомощия да предприема действия по правоприлагане в случаи на измама или погрешно представяне, или да заключи, че е допуснато сериозно нарушение по отношение на споразумението за сътрудничество, което в такъв случай ще се счита за недействително. В последния случай панелът ще информира Департамента по търговия (или неговия представител), за да може списъкът на членовете във връзка с личната неприкосновеност да бъде надлежно изменен. Всяко неспазване на задължението за сътрудничество с ВЗД, както и всяко неспазване на принципите на личната неприкосновеност ще бъдат разглеждани като състави на измама по силата на раздел 5 от закона, учредяващ Федерална търговска комисия, или на други сравними закони.

Организациите, които са избрали този вариант, ще плащат годишна такса за покриване на разходите за управление на панела и могат допълнително да бъдат призвани да участват в разходите за превод, произтичащи от разглеждането от страна на панела на жалбите, заведени срещу тях. Годишната такса не може да превишава 500 щатски долара и ще бъде намалена за малките дружества.

Възможността за сътрудничество с ВЗД ще бъде налична за организациите, присъединили се към принципа на сферата на неприкосновеност на личния живот за период от три години. ВЗД ще преразгледат споразумението преди изтичането на този период, ако броят на американските организации, избрали това, се окаже прекалено голям.

ЧЗВ 6 — Самосертифициране

В: Как организацията сертифицира, че признава за задължителни за нея принципите на личната неприкосновеност?

О: Предимствата, свързани с личната неприкосновеност, могат да се ползват от датата, на която организацията съобщава на Департамента по търговия (или на лицето, посочено от него), че признава за задължителни за нея принципите съгласно изложените по-долу насоки.

За да заявят придържането си към принципите „сфера на неприкосновеност на личния живот“, организациите могат да предоставят на Департамента по търговия (или на лицето, посочено от него) писмо, подписано от корпоративен служител от името на организацията, която се присъединява в областта на личната неприкосновеност, което съдържа поне следната информация:

1. името на организацията, пощенския адрес, електронния адрес, телефонните номера и факс номера;

2. описание на дейностите на организацията по отношение на личната информация, получавана от ЕС; и

3. описание на политиката за защита на личния живот, включително: а) когато да бъде консултиран от обществеността; б) датата, от която тези разпоредби ще се прилагат ефективно; в) службата, която разглежда жалби, молби за достъп и други въпроси, произтичащи съгласно принципа „сфера на неприкосновеност на личния живот“; г) специфичния законово предвиден орган, който има юрисдикция да разглежда жалби срещу организацията за некоректни или измамни практики и за нарушения на законовите или подзаконовите разпоредби, регламентиращи защитата на личния живот (и което е посочено в приложението за принципите); д) наименованието на всяка програма относно защитата на личния живот, в която членува организацията; е) метода на проверка (например вътрешна или извършена от трето лице) (2), и ж) независимият механизъм за подаване на жалби, който е наличен, за разглеждане на нерешените жалби.

Когато организация иска предимствата на сферата на неприкосновеност да обхванат информацията за човешки ресурси, които са предавани от ЕС, за да бъдат използвани в рамките на трудови правоотношения, тя може да направи това, когато съществува законово предвиден орган, компетентен да разглежда жалби срещу организацията, произтичащи от информацията за човешки ресурси, съдържаща се в приложението към принципите. От друга страна, организацията трябва да посочи в писмото си за самосертифициране, че желае да обхваща и този род информации, че заявява ангажимента си да сътрудничи със съответния орган или органи на ЕС съгласно текстовете на ЧЗВ 9 и ЧЗВ 5 и че ще се съобразява с препоръките, давани от тези органи.

Департаментът (или лицето, посочено от него) ще поддържа списък с всички организации, които подават такива писма, гарантирайки по този начин предимствата на сферата на неприкосновеност, и ще актуализира този списък въз основа на писмата и нотификациите, получавани всяка година съгласно ЧЗВ 11. Тези писма за самосертифициране следва да се изпращат поне един път годишно. В противен случай организацията ще бъде заличена от списъка и предимствата на сферата на неприкосновеност не ще ѝ бъдат предоставени. Списъкът и писмата за самосертифициране, представени от организациите, ще бъдат обнародвани. Всяка организация, която самосертифицира придържането си към принципите на личната неприкосновеност, трябва също така да заяви в публичните си декларации относно политиката си на защита на личния живот, че се присъединява към принципите на личната неприкосновеност.

Задължението за придържане към принципите на личната неприкосновеност не е ограничено във времето, що се отнася до данните, получени през периода, когато организацията ползва предимствата на сферата на неприкосновеност. Това задължение означава, че тя ще продължи да прилага принципите за тези данни, докато организацията ги съхранява, използва или разпространява, дори ако впоследствие се оттегли от принципите „сфера на неприкосновеност на личния живот“ по каквито и да било причини.

Организация, която престане да съществува като самостоятелно юридическо образование поради сливане или вливане от друга организация, трябва да нотифицира за това предварително Департамента по търговия (или лицето, посочено от него). Нотификацията следва също така да посочва дали организацията, която е погълнала другата, или новата организация, получена в резултат на сливането, ще: 1) продължи да бъде обвързана от принципите „сфера на неприкосновеност на личния живот“ при действието на правото, уреждащо сливането или вливането, или 2) ще избере да самосертифицира своето придържане към принципите „сфера на неприкосновеност на личния живот“ или да установи други гаранции, като писмено споразумение, гарантиращо придържането към тези принципи. Ако нито 1), нито 2) не се приложи, всяка информация, придобита в рамките на сферата на неприкосновеност, трябва да бъде веднага заличена.

Организацията не е задължена да съобразява цялата лична информация с принципите „сфера на неприкосновеност на личния живот“, но трябва да подчини на тези принципи всички лични данни, получени от ЕС след придържането си към сферата на неприкосновеност.

Всяко погрешно представяне пред широката общественост относно придържането на организацията към принципите „сфера на неприкосновеност на личния живот“ може да доведе до съдебно преследване пред Федералната търговска комисия или пред друг съответен държавен орган. Фалшивото деклариране пред Департамента по търговия (или пред лицето, посочено от него) може да доведе до преследване по силата на Закона за фалшивите декларации (False Statements Act) (18 U.S.C., § 1001).

ЧЗВ 7 — Проверка

В: Какви са процедурите за проверка, използвани от организациите, за да проверят дали удостоверенията и декларациите на дружествата за техните практики по отношение на сферата на неприкосновеност на личния живот са истинни и дали тези практики се прилагат както са представени и съгласно принципите „сфера на неприкосновеност на личния живот“?

О: За да се отговори на изискванията за проверка на принципа за прилагане, организацията може да провери тези удостоверения и декларации чрез самостоятелен или външен контрол за съответствие.

Съгласно подхода за самооценка проверката би трябвало да установи, че политиката на организацията по отношение на личната информация, получавана от ЕС, е подходяща, пълна, поставена на видно място, изцяло прилагана и достъпна. Тя също трябва да покаже, че тази политика съответства на принципите „сфера на неприкосновеност на личния живот“; че физическите лица са информирани за съществуването на вътрешни процедури за разглеждане на жалбите и независими механизми, чрез които те могат да изпратят жалбите си; че организацията разполага с процедури за подготовка на персонала си с оглед изпълнение на горното и че налага санкции при неспазване; и че съществуват вътрешни процедури с цел периодичното провеждане на обективен контрол на неспазване на горното. Поне веднъж годишно корпоративен служител или друг упълномощен представител следва да подпише декларация за проверка на самостоятелния контрол и тя трябва да бъде предадена, при поискване, на физическите лица или в рамките на дадено разследване или жалба за неспазване.

Организациите следва да съхраняват документацията си за прилагане на техните практики относно сферата на неприкосновеност и да представят тази документация при поискване, в рамките на разследване или жалба за неспазване, на независимия орган, отговорен за разглеждане на жалбите, или на агенцията, компетентна в областта на некоректните и измамни практики.

Ако организацията е избрала външен контрол за установяването на съответствието, то последният трябва да докаже, че политиката на организацията в областта на защитата на личната информация, получавана от ЕС, съответства на принципите „сфера на неприкосновеност на личния живот“, че тази политика се спазва и че физическите лица са информирани за механизмите, които им позволяват да подават жалби. Методите за контрол могат да включват без ограничение одит, случайни проверки, използването на разобличаващи средства или на подходящи технологични инструменти. Декларацията, потвърждаваща, че е извършен положителен външен контрол за съответствие, следва да бъде подписана поне веднъж годишно от контролиращото лице, от корпоративния служител или от друг упълномощен представител на организацията и да бъде предадена при поискване от физическите лица или в рамките на разследване, или при жалба за неспазване.

ЧЗВ 8 — Достъп

Принцип на достъпа:

Всяко физическо лице трябва да има достъп до личната информация, която го касае, с която разполага дадена организация, и да има право да коригира, да изменя или да заличава информациите, когато те са неточни, освен когато този достъп е свързан със затруднения или разходи, които са несъразмерни спрямо рисковете за защитата на личния живот на физическото лице или би имало нарушение на законовите права на лица, различни от физическото лице.

В 1: Абсолютно ли е правото на достъп?

О 1: Не. Съгласно принципите „сфера на неприкосновеност на личния живот“ правото на достъп е основен елемент от защитата на личния живот. По-конкретно, то позволява на физическите лица да проверяват точността на наличната информация, която ги касае. Въпреки това задължението, което поема организацията за осигуряване на достъп до личната информация за физическото лице, с която тя разполага, зависи от принципа на пропорционалността или от основателността на молбата за достъп и в някои случаи тя трябва да бъде модулирана. Така например докладът с мотивите към основните насоки на Организацията за икономическо сътрудничество и развитие (ОИСР) за защитата на личния живот (1980 г.) посочва ясно, че задължението за организацията да предостави достъп не е абсолютно. Правото на достъп не изисква толкова задълбочено проучване, като например по въпроса за призоваването, нито достъп до всички различни форми на съхранение на информацията от страна на организацията.

Опитът показва по-скоро, че когато отговаря на молби за достъп от страна на физическите лица, организацията следва да се ръководи преди всичко от мотивацията/мотивациите на молителя. Например ако молбата за достъп е неясна или много обща по съдържание, организацията може да обсъди това с физическото лице, за да разбере по-точно мотивите му във връзка с молбата и да потърси подходящата информация. Организацията може да поиска да разбере с коя/и служба/и физическото лице е имало контакти и/или какво е естеството (или употребата) на информацията, която е предмет на молбата за достъп. Независимо от това от физическите лица не се изисква да обосновават своите молби за достъп до собствените им лични данни.

Разходите и необходимите усилия са също важни фактори и следва да бъдат взети предвид, но те не са решаващи при определяне основателността на достъпа. Така например, съгласно другите разпоредби на настоящите ЧЗВ, ако информациите се използват, за да се вземат решения, които ще имат сериозни последици за физическото лице (например отказ или предоставяне на важни предимства, като застраховка, ипотека или работа), организацията е длъжна да ги разкрие, дори ако това се окаже относително трудно или скъпо.

Когато исканата информация не е чувствителна или не се използва, за да се вземат решения, които ще имат съществени последици за физическото лице (например маркетингови данни, които не са с характер на чувствителни и от които се определя дали на физическото лице да се изпрати или не каталог), но е лесно достъпна и нейното предоставяне не струва скъпо, организацията следва да предоставя достъп до реалната информация, която организацията съхранява за физическото лице. Съответната информация може да съдържа факти, получени от физическото лице, събрани в хода на сключване на сделка или получени от други лица, които са имали контакти с физическото лице.

В съответствие с фундаменталния характер на правото на достъп организациите следва винаги да правят усилия, за да предоставят достъпа. Например ако трябва да се защитят някои информации и те могат лесно да бъдат отделени от останалата информация, която е предмет на молбата за достъп, организацията следва да отдели защитената информация, като направи достъпна останалата информация. Ако организацията реши да откаже достъпа в конкретен случай, тя следва да предостави на физическото лице, изискващо достъп, обяснение за това свое решение и да посочи лице за контакт за повече информация.

В 2: Какво означава поверителна търговска информация и разрешено ли е на организациите да откажат достъпа до нея с оглед това тя да бъде защитена?

О 2: Поверителната търговска информация (така както е определена във Федералните правила за граждански процес по разкриване) е информация, която организацията полага усилия да пази от разкриване, защото нейното разкриване би улеснило нейните конкуренти на пазара. Поверителна търговска информация може да бъде специална компютърна програма, която организацията използва, например симулационна програма или детайли от тази програма. Ако поверителната търговска информация може лесно да се отдели от информацията, която е предмет на молбата задостъп, организацията следва да отдели поверителната търговска информация и да предостави нетърговската информация. Организациите могат да откажат или да ограничат достъпа, доколкото предоставянето ѝ би разкрило тяхна собствена поверителна търговска информация, така както тя е определена по-горе, и по-специално на маркетингови концепции или класификации, изготвени от тази организация, или поверителна търговска информация, принадлежаща на други организации, когато тази информация е свързана с договорни задължения за поверителност в случаите, когато е поето или е наложено такова задължение за поверителност.

В 3: Когато се дава достъп, организацията може ли да разкрива на физическите лица лична информация за тях, извлечена от базата ѝ данни, или се изисква достъп до самата база данна?

О 3: Достъпът може да се предостави като разкриване на информация от организацията на физическото лице и не изисква достъп от физическото лице до базата данни на организацията.

В 4: Трябва ли организацията да преструктурира базите си данни, за да позволи достъпа?

О 4: Достъпът се осигурява само в рамките на информацията, която организацията съхранява. Принципът за достъп сам по себе си не поражда никакво задължение за съхраняване, поддържане, реорганизация или реструктуриране на файловете с лична информация.

В 5: Тези отговори ясно показват, че достъпът може понякога да бъде отказан. При какви други обстоятелства организацията може да откаже на физически лица достъп до личната информация за тях?

О 5: Тези обстоятелства са ограничени и мотивите за отказ на достъпа трябва да бъдат конкретни. Организацията може да откаже достъпа до информация, ако нейното разкриване има вероятност да засегне опазването на важни обществени интереси, като националната сигурност, отбраната или обществения ред и сигурност. Достъпът може също така да бъде отказан, когато личната информация се обработва само за статистически и научноизследователски цели. Други мотиви за отказ или ограничаване на достъпа са:

а) накърняване на прилагането или привеждането в изпълнение на законодателството, включително превенцията, разследването или разкриването на престъпления или упражняване правото на справедлив съдебен процес;

б) нарушаване на гражданскоправния процес, включително превенцията, разследването или разкриването в резултат от правни искове или на правото на справедлив съдебен процес;

в) разкриването на лична информация, отнасяща се до друго/и физическо/и лице/а, ако това позоваване не може да се използва;

г) нарушаване на правно или друго професионално задължение или привилегия;

д) нарушаване на необходимите изисквания за поверителност при предстоящи или текущи преговори, като например тези, свързани с придобиването на публични дружества;

е) създаване на пречки за разследванията на сигурността на работниците и служителите или за производствата по обжалване;

ж) нарушаване на поверителността, която може да се окаже необходима за ограничени периоди във връзка с планиране на новоназначения или при реорганизация на организации; или

з) нарушаване на поверителността, която може да се окаже необходима за контрола, инспекцията или други правни действия, свързани с доброто икономическо или финансово управление; или

и) други обстоятелства, при които достъпът изисква несъответстващи усилия или разходи или би причинил нарушаване на законните права или интереси на други лица.

Задължение на организацията е, когато се позовава на изключението, да докаже основателността на действията си (което обикновено е факт). Както беше отбелязано, причините за отказа или ограничаването на достъпа следва да се предоставят на физическите лица и също така е нужно да им се съобщят координатите на определено лице, с което те могат да се свържат за допълнителна информация.

В 6: Може ли организацията да предостави платен достъп, за да покрие разходите си?

О 6: Да. Основните насоки на Организацията за икономическо сътрудничество и развитие (ОИСР) приемат, че организациите могат да поискат плащането на такса, при условие че не е прекалено висока. По този начин организациите могат да начислят разумна такса за достъп. Начисляването на такса може да бъде полезно при предотвратяването на повтарящите се и засягащи молби.

Организациите, които участват в дейността за продажба на достъпна за обществеността информация, могат следователно да отговорят на молбите за достъп срещу заплащане на такса, отговаряща на обичайната такса, която се изисква от организацията. Физическите лица могат, от друга страна, да търсят достъп до информацията, която ги засяга, като се обръщат направо към организацията, която е събрала данните.

Достъпът не може да бъде отказан по финансови причини, ако заинтересованото лице предложи да поеме разходите, които са необходими.

В 7: Длъжна ли е организацията да предостави достъп до личната информация, получена от публичните регистри?

О 7: Първо, трябва да се уточни, че публичните регистри са регистри, водени от държавните агенции или подразделения, независимо на какво равнище, които могат да бъдат консултирани от обществото като цяло. Не е необходимо принципите за достъп да се прилагат за тези информации, ако те не са свързани с друга лична информация, освен ако някои информации от непубличните регистри се използват за индексиране или организиране на информацията от публичните регистри. Все пак условията за консултиране, определени от компетентните инстанции, трябва да се спазват. Когато информацията от публичните регистри е свързана с друга информация от непубличните регистри (с изключение на случая, изрично посочен по-горе), организацията е длъжна да предостави достъп до цялата такава информация, при положение че тази информация не е предмет на други позволени изключения.

В 8: Принципът на достъп трябва ли да се прилага за лични информации, достъпни на широката общественост?

О 8: Както при случая с информацията от публичните регистри (виж В 7), не е необходимо да се предоставя достъп до информация, която вече е широко известна на обществеността, освен ако тази информация не е комбинирана с непублично известна информация.

В 9: Как дадена организация може да се защити срещу повтарящите се и засягащи молби за достъп?

О 9: Дадена организация не е длъжна да отговаря на такива молби за достъп. По тази причина те могат да наложат заплащане на разумна такса и могат да определят допустимо ограничение на броя на молбите за достъп, подавани от конкретно физическо лице за определен период. Когато определи тези ограничения, организацията следва да държи сметка за фактори, като честота на актуализиране на информацията, целта на използваната информация и естеството на информацията.

В 10: Как може организацията да се предпази от молби за достъп с фалшиво съдържание?

О 10: Организацията не е длъжна да предоставя достъп, ако не получи необходимата информация за потвърждаване самоличността на лицето, отправило молбата.

В 11: Отговорите на молбите за достъп трябва ли да бъдат дадени в определен срок?

О 11: Да. Организациите следва да отговорят в разумен срок и без излишно отлагане. Това изискване може да се изпълни по различни начини, както го уточнява докладът с мотивите за основните насоки на ОИСР за защита на личния живот (1980 г.). Така например дадено лице, отговорно за данните, което предоставя информации на заинтересованите лица на редовни интервали от време, може да бъде освободено от задълженията да отговаря веднага на индивидуалните молби.

ЧЗВ 9 — Човешки ресурси

В 1: Предаването от страна на ЕС към Съединените щати на лична информация, събрана в рамките на трудовоправните отношения, включва ли се в принципите „сфера на неприкосновеност на личния живот“?

О 1: Да, ако дружество в ЕС предава лична информация относно своите заети лица (настоящи или бивши), събирана в рамките на трудовоправните отношения с предприятието майка, дъщерното предприятие или доставчика на услуги, който не е свързано дружество, в Съединените щати и ако то се придържа към принципите „сфера на неприкосновеност на личния живот“ , това предаване се ползва от предимствата на сферата на неприкосновеност наличния живот. В този случай събирането на информацията, както и обработката ѝ преди предаването ще се уреждат от националното законодателство на страната от ЕС, където е било извършено събирането, и ще трябва да се спазват всички условия или ограничения по предаването ѝ в съответствие с това законодателство.

Принципите „сфера на неприкосновеност на личния живот“ са релевантни само в случай на предаване или на достъп до конкретна информация за отделни лица. Статистическата информация, основаваща се на общи данни за заетостта, и/или използването на данни, установени като анонимни или по псевдоними, не представляват риск за личния живот.

В 2: Как се прилагат принципите на нотификация и на избор към тази информация?

О 2: Американска организация, която е получила от ЕС информация за заетите лица по принципите „сферата на неприкосновеност на личния живот“, може да я разкрие на трети лица и/или да я използва за други цели само ако принципите, които регламентират нотификацията и избора, са спазени. Например ако някоя американска организация иска да използва личната информация, събрана в рамките на трудовоправни отношения, за цели, които не са свързани с трудовоправни отношения — например маркетингови съобщения — тя трябва предварително да даде възможност за избор на засегнатите физически лица, освен ако последните не са дали вече своето разрешение информацията да бъде използвана за тази цел. От друга страна, работодателят не трябва да използва такъв избор, за да ограничи възможностите, произтичащи от трудовоправните отношения, или да предприема наказателни действия срещу свои заети лица

Следва да се посочи, че някои общоприложими условия за предаването на данни от страна на някои държави-членки могат да изключат други употреби на такава информация, дори след предаването ѝ извън територията на ЕС, и че тези условия ще трябва да се спазват.

От друга страна, работодателите следва да се стремят да вземат предвид предпочитанията назаетите лица, що се отнася до защитата на личния им живот. Това може да включва например ограничение на достъпа до данните, установяването им като анонимни или слагането на кодове или псевдоними, когато за целите на управлението не се изисква използване на истинските имена.

При необходимост и за срока, необходим, за да се избегне накърняването на законните интереси на организацията в рамките на промоции, назначения или други подобни решения относно заетостта, не е необходимо организацията да спазва принципите на нотификацията и на избора.

В 3: Как се прилага принципът на достъпа?

О 3: ЧЗВ относно достъпа предоставят насоки относно причините, които могат да оправдаят отказа или ограничаването на поискания достъп в контекста на човешките ресурси. В Европейския съюз, разбира се, работодателите трябва да спазват правните разпоредби, приложими в тяхната страна, и да следят длъжностните лица или служителите на Европейския съюз да имат достъп до тази информация съгласно законодателствата на техните страни, независимо от местонахождението на обработката и на съхраняването на данните. В контекста на личната неприкосновеност организация, която обработва такива данни в Съединените щати, ще трябва да сътрудничи при предоставяне на такъв достъп или пряко, или чрез работодателя от ЕС.

В 4: Как се осигурява прилагането на личната неприкосновеност по отношение на данните за заетите лица?

О 4: Доколкото информацията се използва само в рамките на трудовоправните отношения, основната отговорност за данните vis-à-vis заетото лице се пада на дружеството в Европейската общност. От това следва, че ако европейски заети лица възразят срещу нарушаване на правата им за защита на данните и не са удовлетворени от резултатите от вътрешния контрол, от жалбите или процедурите по обжалване (или от всяка друга апелативна процедура, приложима по силата на сключен договор със синдикат), техните жалби следва да бъдат насочени към държавата или към орган, отговарящ за защитата на данните в национален мащаб, там където е заето лицето. Това включва и случаите, когато твърдяното неправомерно използване на личната информация е станало в Съединените щати, за това носи отговорност американската организация, която е получила информацията от работодателя и следователно е довело до твърдяното нарушаване на принципите на личната неприкосновеност повече, отколкото националните законодателства, въвеждащи директивата. Това ще бъде най-ефикасният начин за разрешаване на проблемите, които се проявяват често между застъпващите се права и задължения, определени от националните законодателства в областта на трудовото право и от колективните трудови договори, както и от Закона за защита на данните.

Американска организация, която се присъединява към принципите „сфера на неприкосновеност на личния живот“ и която използва данните на ЕС относно човешките ресурси, предадени от Европейския съюз в рамките на трудовоправните отношения, и която желае това предаване да бъде обхванато от принципа „сфера на неприкосновеност на личния живот“, трябва да поеме ангажимента за тази цел да сътрудничи при разследване от страна на компетентните органи на ЕС и да спазва препоръките им. ВЗД, които са дали съгласието си да сътрудничат по този начин, ще нотифицират Европейската комисия и Департамента по търговия. Ако американска организация, която се е присъединила към принципите на личната неприкосновеност, иска да прехвърли данни относно човешките ресурси от държава-членка, където ВЗД не предвижда подобен договор, тогава се прилагат разпоредбите, предвидени в ЧЗВ 5.

ЧЗВ 10 — Договори по силата на член 17

В: Предаването от ЕС към Съединените щати на данни само за целите на обработването изисква ли подписване на договор независимо дали обработващото лице е страна по споразумението за личната неприкосновеност?

О: Да. Винаги от контролиращите лица в Европейския съюз се изисква да подпишат договор, когато се прави предаване за целите на самото обработване на данните, независимо дали тази операция се извършва във или извън ЕС. Целта на договора е да защити интересите на контролиращото лице по отношение на данните, т.е. на лицето или на органа, който определя целите и средствата на обработката и носи цялата отговорност за данните vis-à-vis съответните физически лица. Договорът уточнява следователно какво обработване трябва да се извършва и всички необходими мерки за гарантиране сигурността на данните.

Следователно организацията от САЩ, която съблюдава споразумението за „сфера на неприкосновеност на личния живот“ и получава лична информация от ЕС само за целите на обработването, не трябва да прилага принципите към тази информация, защото контролиращото лице в ЕС остава отговорно vis-a-vis лицата съгласно разпоредбите на EС в тази област (които могат да бъдат по-строги от съответстващите им принципи „сфера на неприкосновеност на личния живот“.

Имайки предвид, че организациите, придържащи се към принципите „сфера на неприкосновеност на личния живот“, гарантират адекватна защита, договорите само за целите на обработването, сключени с тези участници, не изискват предварително разрешение (или такова разрешение се издава автоматично от държавите-членки) за разлика от договорите, чиито бенефициенти не са обвързани от принципите „сфера на неприкосновеност на личната неприкосновеност или които не гарантират адекватна защита.“

ЧЗВ 11 — Решаване на спорове и изпълнение на решенията

В: Как следва да се изпълняват изискванията по отношение на решаване на споровете, съдържащи се в принципа за прилагане, и как трябва да се третира трайното неспазване на принципите от страна на дадена организация?

О: Принципът за прилагане определя изискванията относно личната неприкосновеност. ЧЗВ за проверката (ЧЗВ 7) изяснява начина да се удовлетворят изискванията, формулирани в буква б) от принципа. Настоящият ЧЗВ 11 разглежда букви а) и в), които изискват независими механизми за подаване на жалби. Тези механизми могат да имат различна форма, но те трябва да отговарят на изискванията на принципа за прилагане. Организациите могат да отговарят на изискванията чрез следното: 1) като се съобразяват с програми на частния сектор в областта на защитата на личния живот, включващи в техните правила принципите на личната неприкосновеност и предвиждащи ефикасни механизми за прилагане от същото естество като тези, които са описани в принципа за прилагане;2) като се съобразяват с инструкциите на законовите или уставните органи за надзор, които осигуряват разглеждането на жалбите на физическите лица и решаването на споровете; 3) като се задължават да сътрудничат с органите, натоварени със защитата на данните в рамките на Европейския съюз или с техните упълномощени представители. Настоящият списък е илюстративен и не е ограничаващ. Частният сектор може да предвиди други механизми за прилагане, при условие че отговарят на изискванията на принципа на прилагане и на ЧЗВ. Трябва да се отбележи, че изискванията на принципа на прилагане са допълнителни към формулираното изискване в параграф 3 от въведението към принципите, според който усилията за вътрешно регламентиране трябва да се осъществяват съгласно член 5 от Закона за Федерална търговска комисия или сходен акт.

Механизъм за обжалване

Потребителите следва да бъдат насърчавани да подават жалби, които евентуално биха повдигнали, до съответната организация преди да се обърнат към независими инстанции за обжалване. Независимостта на инстанцията за обжалване се преценява въз основа на обективни критерии, като прозрачност по отношение на неговия състав и на неговото финансиране или доказано положително досие на същата. Както се предвижда от принципа на прилагане, подаването на жалби, което е право на физическите лица, трябва да е лесно осъществимо и финансово достъпно. Органите за решаване на споровете следва да разглеждат всички подадени жалби от физическите лица, освен в случаите, когато са явно необосновани или с несъществено съдържание. Това условие не възпрепятства установяването, чрез инстанцията, пред която се извършва обжалването, на критерии за изборност и допустимост, но те трябва да бъдат прозрачни и оправдани (те биха могли, примерно, да изключват жалби, които не се включват в обхвата на програмата или които са от компетенциите на други инстанции) и не би следвало да засягат ангажимента да се разглеждат законните жалби. Въззивните инстанции би трябвало, от друга страна, да дават на физическите лица пълна и лесно достъпна информация за функционирането на процедурата, когато регистрират жалбата. Тази информация би следвало да включва и отбелязване на прилаганите практики при защитата на личния живот съгласно принципите „сфера на неприкосновеност на личния живот“ (3). От друга страна, инстанциите би следвало да си сътрудничат с цел определяне на инструментите като стандартни формуляри за жалби, които улесняват функционирането на процедурата по решаване на споровете.

Правни средства и санкции

Правните средства, използвани пред органа, който решава споровете би следвало да доведат до анулиране или поправка, в рамките на възможното, на последиците от неспазването на принципите от страна на организацията, да доведе до спазване на принципите по време на последващите обработване на личните данни от същата организация или, при невъзможност, до преустановяване на обработването на личните данни на физическото лице, подало жалбата. Санкциите трябва да са достатъчно строги, за да гарантират спазването на принципите от страна на организацията. Редица санкции с различна степен на строгост ще позволи на органите, които решават споровете, да отговорят подходящо на различните степени на неспазване. Санкциите следва да включват както публичност в случаите на установяване на неспазване, така и изискване да се заличат данните в някои обстоятелства (4). Други санкции биха могли да включват прекъсването или отнемането на разрешителното, обезщетението за загуби, претърпени от физически лица в резултат на неспазването на принципите и разпорежданията. Органите за решаване на споровете и за саморегулирането на частния сектор трябва да нотифицират съдилищата или държавните органи със съответна юрисдикция, според случая, за организациите, присъединили се към принципите „сфера на неприкосновеност на личния живот“, които не спазват техните решения и да информират Департамента по търговия (или лицето, посочено от него).

Действие на Федералната търговска комисия

Федералната търговска комисия пое задължението да разглежда приоритетно предявени случаи от саморегулиращите се организации по защита на личния живот като BBBOnline и TRUSTe, както и от държавите-членки на Европейската общност при които се твърди неспазването на принципите „сфера на неприкосновеност на личния живот“, за да преценят дали е имало нарушение на раздел 5 от Закона за Федералната търговска комисия, който забранява некоректните и измамни дейности и практики в търговията. Ако Федералната търговска комисия заключи, че може да счете, че раздел 5 е била нарушен, тя може да реши въпроса, като изиска административна заповед за преустановяване, забраняваща оспорваните практики или като внесе жалба пред федерален областен съд, който, ако признае жалбата, може да произнесе присъда в същия смисъл. Федералната търговска комисия може да поиска граждански санкции в случай на нарушение на административна заповед за преустановяване и да преследва нарушителя за неуважение на съда - граждански или наказателен - ако не изпълни присъдата на федералния съд. Федералната търговска комисия нотифицира Департамента по търговия за всички такива действия, които предприема. Департаментът по търговия насърчава другите държавни органи да го нотифицират за изхода на всички подобни дела или други решения, определящи придържането към принципите „сфера на неприкосновеност на личния живот“.

Трайно неспазване

Ако дадена организация трайно не се съобразява с принципите, тя няма право да се ползва от предимствата на „сферата на неприкосновеност на личния живот“. Трайно неспазване е налице, когато организацията, която е самосертифицирала придържането си към принципите пред Департамента по търговия (или пред лицето, посочено от него) отказва да изпълнява окончателното решение на органа по саморегламентиране или на държавния орган или когато даден орган констатира, че организация нарушава често принципите, дотолкова, че нейното твърдение за спазване вече не е достоверно. Тогава организацията трябва незабавно да нотифицира за това Департамента по търговия (или лицето, посочено от него). В противен случай, тя може да бъде санкционирана по силата на False Statements Act (18 U.S.C. § 1001).

Департаментът по търговия (или лицето, посочено от него) ще посочва в публичния списък, който поддържа по отношение на организациите, които са декларирали своето придържане към принципите „сфера на неприкосновеност на личния живот“, всяка нотификация за трайно неспазване, която получава, независимо дали тя е получена от самата организация или от орган за саморегламентиране или от държавен орган, но едва след като е изпратил на организацията тридесет дневно (30) предизвестие и е дал възможност за отговор. Публичният списък, поддържан от Департамента по търговия (или лицето, посочено от него) ще посочва кои организации се ползват от предимствата на личната неприкосновеност и кои организации вече не могат да се ползват от тях.

Всяка организация, която заяви, че иска да се присъедини към органа за вътрешно регламентиране, за да може отново да се възползва от предимствата на личната неприкосновеност, трябва да предостави на този орган пълна информация за предишното си присъединяване към принципите „сфера на неприкосновеност на личния живот“.

ЧЗВ 12 — Избор (opt out) - Кога може да се подаде жалба?

В: Принципът на избор позволява ли на физическото лице да упражни правото си на избор само в началото на съответния контакт или във всеки един момент?

О: Като цяло принципът на избор има за цел да гарантира, че личната информация се използва и разкрива съгласно очакванията и избора на физическото лице. Следователно, когато лични данни се използват в рамките на директния маркетинг, всяко физическо лице трябва да има възможност да упражни правото си „opt out“ (или на избор дали неговите лични данни да бъдат използвани за горните цели) във всеки един момент, в определени граници, установени от организацията, като например, срок, за да може организацията да направи „opt out“ ефективно. Организацията може също така да изиска достатъчно информация, за да потвърди самоличността на физическото лице, което иска упражняването на „opt out“. В Съединените щати, това право може да се упражнява от физическите лица чрез централна „opt out“ програма като „Mail preference service“ на Direct Marketing Association. Организациите, които участват в „Mail preference service“ на Direct Marketing Association следва да насърчават функционирането на тази институция в полза на потребителите, които не искат да получават търговски информации. Във всеки случай, физическото лице следва да има на разположение лесно достъпен и на приемлив механизъм за упражняване на тази възможност.

Така също, организацията може да използва информацията за някои цели на директния маркетинг, когато условията не позволяват да се осигури избор преди използването на данните, при условие че след това в кратки срокове ще осигури възможност (и във всеки един момент при поискване) на заинтересованите лица да откажат, без никакви разходи, всяко друго съобщение на директния маркетинг и организацията ще уважи желанието на физическите лица.

ЧЗВ 13 — Информация за пътуванията

В: Кога може да се предадат, на организациите, намиращи се извън ЕС, информацията относно пътниците по въздушния транспорт (предоставяна обикновено по време на резервациите) и друга информация, свързана с пътуването, примерно - информации за редовните клиенти или за резервации за хотел, както и специфичните нужди, като например предпочитания за храната в зависимост от изискванията на религията или необходимостта от физическа помощ при пътуването?

О: Тази информация може да бъде предавана при различни обстоятелства. Съгласно член 26 от директивата, личните данни могат да се предават на трета страна, която не осигурява достатъчно ниво на защита по смисъла на член 25, параграф 2, при условие: че предаването е необходимо за изпълнение на исканите от клиента услуги или за изпълнение на условията на даден договор, като споразумението за „честа употреба услугите на дружеството“, или че пътникът е дал категоричното си съгласие. Американските организации, които са се присъединили към принципите „сфера на неприкосновеност на личния живот“, гарантират достатъчна защита на личните данни и следователно могат да получат тези данни от EС, без да отговарят на тези условия или на другите условия, изложени в член 26 от директивата. След като принципите „сфера на неприкосновеност на личния живот“ съдържат специфични правила относно чувствителната информация, такава информация (която може да има нужда от събиране, например, във връзка с необходимостта клиентите да се нуждаят от физическа помощ) може да фигурира сред данните, предавани на организациите, които са се присъединили към принципите „сфера на неприкосновеност на личния живот“. Организацията, която предава информацията, трябва да спазва законодателството на държавата-членка от ЕС, в която организацията функционира, като това законодателство може inter alia да наложи специални условия за обработването на чувствителните данни.

ЧЗВ 14 — Фармацевтични и медицински продукти

В 1: Ако личните данни са събрани в рамките на ЕС и предадени в Съединените щати за фармацевтичните изследвания и/или за други цели, прилага ли се законодателството на държавите-членки или принципите „сфера на неприкосновеност на личния живот“?

О 1: Законодателството на държавите-членки се прилага за събирането на личните данни и всяка обработка преди предаването в Съединените щати. Принципите „сфера на неприкосновеност на личния живот“ се прилагат за данните, след като те са били изпратени в Съединените щати. За да се използват за фармацевтичните изследвания и за други цели данните следва да бъдат трансформирани в анонимни информации, когато е подходящо.

В 2: Личните данни, събрани по време на медицински или фармацевтични изследвания, играят често важна роля в бъдещите научни изследвания. Когато личните данни, събрани за еднократно изследване, са предадени на организация в Съединените щати в рамките на принципите „сфера на неприкосновеност на личния живот“, може ли тази организация да използва данните за нова научно-изследователска дейност?

О 2: Да, ако още в началото е предвидена нотификация и подходящ избор. Тази нотификация трябва да предостави информации за всяка бъдеща специфична употреба на данните, като например периодичния контрол, съответните изследвания или използването им за търговски цели. Ясно е, че всички бъдещи употреби на данните не могат да бъдат уточнени, защото един нов преглед на оригиналните данни, на медицинските открития и прогрес, както и развитието в областта на общественото здравеопазване и на нормативната уредба могат да предизвикат нови приложения в научните изследвания. Нотификацията следователно трябва да включва, потвърждение, че личните данни могат да се използват за бъдещи медицински или фармацевтични изследвания, невъзможни за предварително планиране. Ако тази употреба не е съвместима с общите изследователски цели, за които данните са били събрани първоначално или за които физическото лице е дало одобрението си впоследствие, трябва да се получи ново съгласие.

В 3: Какво става с личните данни, ако участникът реши доброволно или при поискване от възложителя да се оттегли от клиничното изпитание?

О 3: Участниците могат да решат да се оттеглят във всеки един момент от клиничното изпитание или да бъдат помолени да го направят. Всички данни събрани преди оттеглянето могат да бъдат обработвани заедно с другите данни, събрани в рамките на клиничното изпитание, при условие че това е било посочено на участника в нотификацията, в момента, когато той е дал съгласието си за участие.

В 4: На дружествата за фармацевтични и медицински апарати се позволява да предоставят личните данни, извлечени от клиничните опити, осъществени в ЕС на властите от Съединените щати за цели като уреждане на нормативната система и контрола. Допуска ли се този вид трансфер в полза на други страни, като организации или изследователи?

О 4: Да, съгласно принципите на нотификацията и избора.

В 5: За да се гарантира обективността на множеството клинични опити, достъпът до информацията, отнасяща се до изпитанията, извършени върху участниците, е забранен за самите тях, а и често пъти, за самите изследователи. Това би поставило под въпрос верността (валидността) на изследването и на резултатите от изследването. Участниците в тези клинични опити (окачествени като „маскирани“ изследвания) ще имат ли достъп до данните относно техните изпитания по време на опита?

О 5: Не, достъпът не трябва да се позволява на участника, ако това ограничение му е било обяснено, която е започнал опитът и ако разкриването на тази информация може да навреди на целостта на извършваното изследване. Съгласието да се участва в опитите при тези условия предполага и отказ от правото на достъп. След приключването на опита и анализа на резултатите, участниците би трябвало да имат достъп до техните данни, ако поискат това. Те следва да се обърнат първо към лекаря или другите медицински обслужващи кадри, които са се занимавали с тях по време на клиничния опит или, на второ място, към дружеството, което е възложило поръчката.

В 6: Трябва ли дружествата за фармацевтични или медицински апарати да прилагат за техните дейности по контрола на безопасността и на ефикасността на веществата или резултатите, принципите на личната неприкосновеност що се отнася до нотификацията, избора, предаването и достъпа до последните, включително докладите за неблагоприятни събития и лечението на пациентите) на субектите по отношение на използването на някои лекарствени средства или медицински апарати (например, сърдечен стимулатор)?

О 6: Не, при положение, че спазването на тези принципи влиза в конфликт с нормативните изисквания. Такъв е случаят, както по отношение на докладите, изготвени както лицата, предоставящи здравни услуги за дружествата за фармацевтични и медицински апарати, така и от страна на дружествата за фармацевтични и медицински апарати за държавните агенции като Food and Drug Administration.

В 7: Данните от изследването са обикновено кодирани още на изхода и то единствено от основния изследовател, за да се предпази самоличността на заинтересованите лица. Фармацевтичните дружества, които възлагат подобни изследвания, не получават ключа на кода. Единствено изследователят съхранява един екземпляр от ключа за кода, за да може да идентифицира субекта на изследването при извънредни обстоятелства (например, ако се налага медицинска помощ). Предаването от ЕС за Съединените щати на лични данни, които са били кодирани по този начин, представлява ли предаване на данни, подчинено на принципите „сфера на неприкосновеност на личния живот“?

О 7: Не. Това не представлява предаване на лични данни, които са предмет на принципите.

ЧЗВ 15 — Информация от публичните регистри и информация, достъпна за широката общественост

В: Трябва ли да се прилагат принципите на нотификацията, на избора и на последващото предаване за информацията в публичните регистри или за информацията, достъпна за широката публика?

О: Принципите на нотификацията, на избора и на последващото предаване не трябва да се прилагат за информацията в публичните регистри, ако те не са комбинирани с непублична информация от регистъра и ако условията за консултиране, установени от компетентните органи са спазени.

За информацията, достъпна до широката публика, също не се изисква прилагане на принципите на нотификацията, на избора и на последващото предаване, освен ако европейското предаващо лице не е уточнило, че тази информация е предмет на известни ограничения, които изискват прилагането на тези принципи, когато се използват от организацията. Организациите няма да отговарят обаче за използването на тези информации от лица, които са ги почерпили от публикувани материали.

Ако се окаже, че дадена организация умишлено е публикувала лична информация, нарушавайки принципите по такъв начин, че тя или трети лица могат да се ползват от тези изключения, тогава тя ще бъде изключена от предимствата на сферата на неприкосновеност.

(1) Включването на този ЧЗВ в пакета зависи от одобрението на FPO. Последните разгледаха настоящия текст в рамките на работната група по член 29 и повечето от тях решиха, че е приемливо, но те са склонни да се произнесат окончателно в контекста на едно цялостно становище, което работната група ще изготви във връзка с окончателния пакет.

(2) Виж ЧЗВ 7 за проверката.

(3) Органите, в чиято компетентност е решаването на споровете, не са длъжни да се съобразяват с принципа на прилагането. Те могат също така да дерогират от принципите, когато се натъкнат противоречиви задължения или ако получат изрично разрешение по време на изпълнение на техните конкретни задачи.

(4) Обстоятелствата, при които трябва да се прилагат санкциите, са в правомощията на органите, които разрешават споровете. Когато решението е да се заличат данните, трябва да се вземе предвид по-специално чувствителния характер на съответните информации и да се определи дали са събрани, използвани или разкрити при явното неспазване на принципите.

ПРИЛОЖЕНИЕ III

Проучване относно прилагането на принципите на личната неприкосновеност

Правомощия на федералните и държавни органи по отношение на некоректните и измамните практики и защитата на личния живот

По-долу се съдържа преглед на правомощията, предоставени на Федералната търговска комисия съгласно раздел 5 от Закона за Федералната търговска комисия (15 U.S.C., §§ 41-58, с измененията) за мерките, които трябва да предприема срещу лицата, чиито практики относно защитата на личната информация не отговарят на техните декларации и/или ангажименти. Справката се спира и на дерогациите по отношение на правата и възможностите за намеса, с които разполагат други федерални и държавни агенции, когато Федералната търговска комисия не е компетентна (1).

Правомощия на Федералната търговска комисия по отношение на некоректните и измамни практики

Раздел 5 от Закона за Федералната търговска комисия определя като незаконни „некоректните или измамни практики в областта на или по търговия“ (15 U.S.C., § 45, а), 1). Раздел 5 предоставя на Федералната търговска комисия пълни правомощия, за да попречи на подобни действия (15 U.S.C., § 45, а), 2). Следователно, Федералната търговска комисия може, след официално изслушване, да издаде „предписание за преустановяване“, за да спре практиката на нарушение (15 U.S.C., § 45, б)). Ако публичният интерес го изисква, Федералната търговска комисия може също да поиска от районния съд на Съединените щати (U.S. district court) издаването на постановление за временно преустановяване или временно или постоянно предписание (15 U.S.C., § 53, б)). Когато некоректните и измамните практики и маневри придобиват систематичен характер или когато Федералната търговска комисия е издала вече предписанието за преустановяване на дейността, което е предвидено за това, преустановяването може да породи административни правила, предписващи съответните актове или практики (15 U.S.C., § 57, а)).

Който не спази разпореждане на Федералната търговска комисия се наказва с глоба в размер до 11 000 долара в Съединените щати, като всеки допълнителен ден продължаващо нарушение представлява отделно нарушение (2) (15 U.S.C., § 45, 1). Така също, който съзнателно наруши правило на Федералната търговска комисия, може да бъде глобен с 11 000 долара за всяко нарушение (15 U.S.C., § 45, м)). Мерките по прилагане могат да бъдат взети или от Департамента по правосъдие или, ако той откаже това, от Федералната търговска комисия (15 U.S.C., § 56).

Правомощия на Федералната търговска комисия и защитата на личния живот

При упражнение на правомощията си по силата на раздел 5, Федералната търговска комисия оценява всяка декларация с невярно съдържание по отношение на мотивите за събиране на информация от потребителите и за начина, по който тя се използва като измамна практика (3). През 1998 г. Федералната търговска комисия например, депозира жалба срещу фирма GeoCities; за разкриване на информацията, събрана от нейната Интернет страница, която за разлика от декларациите си и без предварително разрешение е била разкрита на трети лица, с рекламна цел (4). Службите на Федералната търговска комисия посочиха също, че събирането на лична информация от деца, както и продажбата и разпространението на тази информация без съгласието на родителите, също могат да представляват измамна практика (5).

В писмо, изпратено до Джон Мог, Генерален директор в Европейската Комисия, М. Питофски, Председател на Федералната търговска комисия отбелязва, че правомощията на Федералната търговска комисия по отношение на защитата на личния живот са били ограничени, ако не е имало невярна декларация (или каквато и да е декларация) за последващото използване на информациите (виж писмо на г-н Питофски, Председател на Федералната търговска комисия, до Джон Мог (23 септември 1998 г.)). Все пак, дружествата, които искат да се ползват от личната неприкосновеност, трябва да удостоверят, че ще положат необходимите грижи, за да запазят събраните информации съгласно предписаните ръководни насоки. Ето защо, когато дадено дружество удостовери, че ще гарантира поверителността на информациите и не успее да спази това задължение, това може да се счита за невярна декларация и упражняване на „измамна практика“ по смисъла на раздел 5.

Компетенциите на Федералната търговска комисия обхващат некоректните или измамни действия и практики „в търговската област или засягащи същата“ и не се отнасят до събирането и използването на личните данни за нетърговски цели (например, набиране на фондове в полза на благотворителност) (писмо на г-н Питофски, стр. 3). За сметка на това, използването на лична информация във всеки вид търговски операции се вписва в компетенцията на Федералната търговска комисия. Когато един работодател, например, продава информации от личен характер за неговите работници и служители на лице, което се занимава с директен маркетинг, тогава тази сделка попада в приложното поле на раздел 5.

Раздел 5 Изключения

Раздел 5 предвижда изключения по отношение на компетенцията на Федералната търговска комисия в областта на некоректните или измамни действия и практики за следните сектори на дейност:

— Финансовите институции, включително банките, спестяванията и заемите, кредитните съюзи,

— Телекомуникационните дружества и транспортните дружества между щатите,

— Въздухоплавателните превозвачи, и

— Лицата, които се занимават със съхраняване и експлоатация на животински складови паркове.

Виж 15 U.S.C, § 45, а), 2. Отделните изключения, както и органите, които упражняват съответните правомощия, са описани по-долу.

Финансови институции (6)

Първото изключение се прилага за „банките, спестяванията и кредитните институции, описани в раздел 18, е), 3 (15 U.S.C, § 57, а), е), 3)“ както и „федералните кредитни съюзи по смисъла на раздел 18, е), 4 (15 U.S.C, § 57, а), е), 4)“ (7). Вместо да са в компетенциите на Федералната търговска комисия, тези финансови институции са длъжни да спазват приетите разпоредби, съответно от Federal Reserve Board, Office of Thrift Supervision (8) и от National Credit Union Administration Board (15 U.S.C, § 58, а), е)). Тези регулиращи агенции са задължени да приемат необходимите разпоредби, за да възпрепятстват упражняването на некоректни или измамни практики от горепосочените финансови заведения (9) и трябва да създадат отделни служби, натоварени с разглеждането на жалбите на потребителите (15 U.S.C, § 57, а), е) 1). И накрая, правомощията по правоприлагане произтичат от раздел 8 на Federal Deposit Insurance Act (12 U.S.C, § 1818) за банките и за спестяванията и заемите и раздели 120 и 206 на Federal Credit Union Act за федералните кредитни съюзи (15 U.S.C, §§ 57, а) е), 2-4).

Дори ако застрахователните дружества не са изрично включени в списъка на изключенията, включен в раздел 5, Законът McCarran-Ferguson (15 U.S.C, § 1011 и следващи) гласи по принцип, че регламентацията на застрахователната дейност е задължение на самите отделни щати (10). От друга страна, по силата на раздел 2, буква б) от този закон, никой федерален закон не може да попречи, да накърни или замени действието на нормативната уредба на съответния щат, нито да я замести „освен ако този закон не се отнася изрично за застрахователната дейност“ (15 U.S.C, § 1012, б)). Все пак, тези разпоредби от закона за Федералната търговска комисия се прилагат за застрахователния сектор „доколкото тази дейност не е уредена от законодателството на съответния щат“ (пак там). От друга страна, следва да отбележим, че законът McCarran-Ferguson предоставя компетенцията на щатите само за „застрахователните дейности“. По този начин, ФТК има и допълнителна компетенция за некоректните и измамни практики, които допускат застрахователните дружества в рамките на дейността, която не се вписва в застрахователния сектор. Такъв случай би бил, когато застрахователите продават лична информация за техните клиенти на фирми, които продават без посредници чуждестранни стоки на застрахователния сектор (11).

Обществени превозвачи

Второто изключение, предвидено в раздел 5, се отнася за обществените превозвачи, „подчинени на законите, които регламентират търговията“ (15 U.S.C, § 45, а), 2). В настоящия случай „законите, които регламентират търговията“ отговарят на поддял IV от глава 49 на United States Code и на Communications Act от 1934 г. (47 U.S.C, § 151 и следващи) (the Communications Act) (15 U.S.C, § 44).

Поддял IV от раздел 49 на U.S.C (Транспорт между щатите) се отнася до превозвачите по железниците, по пътната мрежа и по плавателните пътища, за брокерите, за транспортните посредници и за транспортьорите по петролопроводи и др. подобни (49 U.S.C, § 10101 и следващи). Тези различни обществени превозвачи следват нормативната уредба, приета от Surface Transportation Board, независим орган в рамките на Департамента по транспорт (49 U.S.C, §§ 10501, 13501 и 15301). Във всички случаи е забранено на превозвача да разкрива информация за естеството, местоназначението и другите аспекти на превозвания товар, които биха могли да се използват във вреда на експедитора (49 U.S.C, §§ 11904, 14908 и 16103). Трябва да се отбележи, че тези разпоредби се отнасят до информацията за товара на експедитора и че те явно не се разпростират върху личната информация за експедитора, която не е свързана с въпросната експедиция.

Communications Act предвижда, че „търговията между щатите и чуждестранната търговия в областта на комуникациите по кабел и по безжичен път“ следва да бъде регулирана от Federal Communications Commission (Федералната комисия по комуникациите) (виж 47 U.S.C., §§ 151 и 152). Освен за телекомуникационните компании Communications Act се прилага и за други компании, като телевизионните и радио разпространители и доставчиците на кабелни услуги, които не са обществени преносители. В това им качество те не изпълняват необходимите условия, за да се ползва изключението съгласно раздел 5 от закона за Федералната търговска комисия. Следователно Федерална търговска комисия е компетентна да разследва дали тези дружества извършват некоректни и измамни практики, докато Федералната комисия по комуникациите има конкурентна компетентност за упражняване на нейните независими функции в тази област, както е описано по-долу.

По силата на Communications Act„всяка телекомуникационна компания“, включително местните оператори, са длъжни да защитават поверителността на личната информация за клиентите си (12) (47 U.S.C, § 222, a)). Освен тази обща уредба по отношение на защитата на личния живот, Communications Act бе изменен от Cable Communications Policy Act от 1984 г. (наречен „Cable Act“) (47 U.S.C., § 521 и следващи), който възлага на кабелните оператори да запазват поверителността на „информацията, която може да бъде идентифицирана за всяко лице“ по отношение на абонатите на кабела (47 U.S.C., § 551) (13). Cable Act ограничава събирането на лична информация от кабелните оператори и изисква от последните да нотифицират абонатите за естеството и използването на събраната информация. Той предоставя на абонатите право на достъп до информациите, които се отнасят за тях и изисква от кабелните оператори да унищожат тези информации, веднага щом престанат да бъдат необходими.

Communications Act предоставя компетенции на Федералната комисия по комуникациите за прилагане - по собствена инициатива или в отговор на външна жалба - на двете разпоредби за поверителност (14) (47 U.S.C., §§ 205, 403; също § 208). Ако Федералната комисия по комуникациите установи, че телекомуникационна компания (включително кабелен оператор) е нарушила разпоредбите за поверителност, предвидени в раздели 222 или 551, тя може основателно да вземе три вида мерки. След като извърши изслушването и констатира нарушението, Комисията може, първо, да разпореди на оператора да плати парично обезщетение (15) (47 U.S.C., § 209). След това, тя може да разпореди на оператор той да преустанови практиката или пропуските, които съставляват нарушение. (47 U.S.C., § 205, a)). И накрая, Комисията може също да разпореди на оператора-нарушител да „спазва нормативната уредба или практиката“, които може да бъдат предписани от Федералната комисия по комуникациите (пак там).

Физическите лица, които смятат, че телекомуникационна компания или кабелен оператор е нарушил съответните разпоредби на Communications Act или на Cable Act, могат да подадат жалба пред Федералната комисия по комуникациите или да сезират някое от федералните районни съдилища (47 U.S.C., § 207). Жалбоподател, който спечели пред федерален съд заведеното дело срещу телекомуникационна компания за неспазване на задължението да се защитава личната информация за клиентите в по-общата рамка на раздел 222 от Communications Act, може да получи обезщетение за действително претърпените вреди и за адвокатските хонорари (47 U.S.C., § 206). Жалбоподател, който завежда дело с твърдение за нарушение на поверителността съгласно раздел 551 от Cable Act, може да получи освен обезщетенията за действително претърпените вреди и за адвокатските хонорари, също и обезщетение за вреди и разумно обезщетение за разходите, свързани с процеса (47 U.S.C., § 551, е)).

Федералната комисия по комуникациите е приела подробни правила за прилагане на раздел 222 (47 CFR, 64.2001-2009). Тези подробни правила изброяват специални мерки за защита срещу непозволения достъп до мрежова лична информация за клиентите. Разпоредбите изискват от телекомуникационните компании:

— да развиват и да прилагат софтуерни системи, посочвайки положението спрямо клиента (информация/съгласие), когато досието на клиента, свързано с услугите, се появява за първи път на