2001D0497 — CS — 01.04.2005 — 001.001

Tento dokument je třeba brát jako dokumentační nástroj a instituce nenesou jakoukoli odpovědnost za jeho obsah

►B ROZHODNUTÍ KOMISE ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES (oznámeno pod číslem dokumentu K(2001) 1539) (Text s významem pro EHP) (2001/497/ES) (Úř. věst. L 181, 4.7.2001, p.19)

Ve znění:









▼B

ROZHODNUTÍ KOMISE

ze dne 15. června 2001

o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle směrnice 95/46/ES

(oznámeno pod číslem dokumentu K(2001) 1539)

(Text s významem pro EHP)

(2001/497/ES)







KOMISE EVROPSKÝCH SPOLEČENSTVÍ, s ohledem na Smlouvu o založení Evropského společenství, s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů ( 1 ), a zejména na čl. 26 odst. 4 uvedené směrnice, vzhledem k těmto důvodům: (1) Podle směrnice 95/46/ES jsou členské státy povinny zajistit, aby se předávání osobních údajů do třetí země mohlo uskutečnit pouze za podmínky, že dotyčná třetí země zaručí odpovídající úroveň ochrany údajů a že před předáváním budou dodrženy právní předpisy členských států, které jsou v souladu s ostatními ustanoveními směrnice. (2) Čl. 26 odst. 2 směrnice 95/46/ES však stanoví, že členské státy mohou předání nebo předávání osobních údajů do třetích zemí, které nezajišťují odpovídající úroveň ochrany, povolit za předpokladu, že existují určitá ochranná opatření. Tato ochranná opatření mohou zejména vyplývat z vhodných smluvních doložek. (3) Podle směrnice 95/46/ES by měla být úroveň ochrany údajů posuzována s ohledem na veškeré okolnosti doprovázející předání nebo předávání údajů. Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů založená podle uvedené směrnice ( 2 ) vydala v zájmu usnadnění posuzování pokyny ( 3 ). (4) Čl. 26 odst. 2 směrnice 95/46/ES umožňující organizaci, která si přeje předat údaje do třetích zemí, určitou pružnost a čl. 26 odst. 4 umožňující standardní smluvní doložky jsou zásadní pro zachování nezbytného toku osobních údajů mezi Společenstvím a třetími zeměmi, aniž by byly zbytečně zatěžovány hospodářské subjekty. Tyto články jsou důležité zejména s ohledem na skutečnost, že je nepravděpodobné, že by Komise v krátkodobém nebo dokonce i ve střednědobém časovém horizontu přijala závěry konstatující odpovídající úroveň ochrany údajů podle čl. 25 odst. 6 pro více než jen omezený počet zemí. (5) Sandardní smluvní doložky jsou pouze jednou z několika možností podle směrnice 95/46/ES, spolu s článkem 25 a čl. 26 odst. 1 a 2, pro zákonné předání osobních údajů do třetích zemí. Pro organizace bude snazší předávat osobní údaje do třetích zemí, jestliže do smlouvy zahrnou standardní smluvní doložky. Standardní smluvní doložky se týkají pouze ochrany údajů. Vývozce údajů a dovozce údajů mohou do smluv libovolně začlenit jakékoli další doložky, které se vztahují k předmětu obchodu, jako třeba doložky o vzájemné pomoci v případě sporů se subjektem údajů nebo orgánem dozoru, které jsou dle jejich názoru pro účely dané smlouvy vhodné, a to za podmínky, že nejsou v rozporu se standardními smluvními doložkami. (6) Tímto rozhodnutím by neměla být dotčena vnitrostátní oprávnění, která mohou členské státy udělit v souladu s vnitrostátními právními předpisy, kterými se provádí čl. 26 odst. 2 směrnice 95/46/ES. Okolnosti zvláštního předání mohou vyžadovat, aby správci údajů poskytli jiná ochranná opatření ve smyslu čl. 26 odst. 2. V každém případě toto rozhodnutí pouze požaduje po členských státech, aby neodmítaly uznat smluvní doložky popsané v tomto rozhodnutí jako dostatečná ochranná opatření, a nemá tudíž žádný vliv na ostatní smluvní doložky. (7) Oblast působnosti tohoto rozhodnutí je omezena na stanovení toho, že doložky uvedené v příloze mohou být použity správcem údajů usazeným ve Společenství, aby bylo možno stanovit odpovídající ochranná opatření ve smyslu čl. 26 odst. 2 směrnice 95/46/ES. Předávání osobních údajů do třetích zemí je zpracováním prováděným v členském státě a jeho zákonnost je předmětem vnitrostátního práva. Orgány dozoru nad ochranou údajů v členských státech by při výkonu svých funkcí a pravomocí podle článku 28 směrnice 95/46/ES měly být i nadále oprávněny určit, zda vývozce údajů dodržel vnitrostátní právní předpisy provádějící ustanovení směrnice 95/46/ES, a zejména jakákoli zvláštní pravidla, která se týkají povinnosti poskytovat informace podle této směrnice. (8) Toto rozhodnutí nezahrnuje předávání osobních údajů správci údajů usazenými ve Společenství příjemcům usazeným mimo území Společenství, kteří působí pouze jako zpracovatelé. Tato předávání nevyžadují stejná ochranná opatření, protože zpracovatel jedná výhradně jménem správce údajů. Komise má v úmyslu zabývat se tímto druhem předávání v pozdějším rozhodnutí. (9) Je vhodné stanovit minimální rozsah informací, které strany musí uvádět ve smlouvě týkající se předávání. Členské státy by si měly zachovat pravomoc stanovit jednotlivé informace, které se od stran vyžadují. Uplatňování tohoto rozhodnutí se bude přezkoumávat na základě zkušeností. (10) Komise také v budoucnu zváží, zda standardní smluvní doložky předkládané obchodními organizacemi nebo jinými zainteresovanými osobami nabízejí dostatečná ochranná opatření v souladu se směrnicí 95/46/ES. (11) Zatímco strany by měly mít možnost se libovolně dohodnout na zásadních pravidlech na ochranu údajů, která musí dovozce údajů dodržovat, určité zásady ochrany údajů by měly platit v každém případě. (12) Údaje by měly být zpracovávány a následně využívány nebo dále předávány pouze ke stanoveným účelům a měly by být uchovávány jen po dobu nezbytně nutnou. (13) V souladu s článkem 12 směrnice 95/46 ES by subjekt údajů měl mít právo na přístup ke všem údajům, které se ho týkají, a případně právo na opravu, výmaz nebo blokování určitých údajů. (14) Další předávání osobních údajů jinému správci údajů usazenému ve třetí zemi by měla být povolena pouze za určitých podmínek, které by zejména zajistily, že subjekty údajů obdrží řádné informace a budou mít příležitost vyslovit námitky nebo v určitých případech odepřít svůj souhlas. (15) Orgány dozoru by měly kromě hodnocení, zda jsou předávání do třetích zemí v souladu s vnitrostátním právem, hrát v tomto smluvním mechanizmu klíčovou roli při zajišťování toho, aby osobní údaje byly po předání náležitě chráněny. Za určitých okolností by si orgány dozoru členských států měly nadále ponechat pravomoc zakázat nebo pozastavit předání nebo předávání údajů uskutečněné na základě standardních smluvních doložek v takových výjimečných případech, kdy by předávání uskutečněné na smluvním základě mělo pravděpodobně závažný nepříznivý dopad na ochranná opatření poskytující odpovídající ochranu subjektu údajů. (16) Standardní smluvní doložky by měly být vynutitelné nejen organizacemi, které jsou stranami smlouvy, ale také subjekty údajů, zejména v případech, kdy subjekty údajů utrpí škodu v důsledku porušení smlouvy. (17) Rozhodné právo smlouvy by mělo být právem členského státu, ve kterém je usazen vývozce údajů, umožňujícím oprávněné třetí straně vynutit splnění smlouvy. Subjekty údajů mohou být zastoupeny sdruženími nebo jinými subjekty, je-li to jejich přání a povoluje-li to vnitrostátní právo. (18) Aby se zmírnily praktické obtíže, se kterými se mohou subjekty údajů setkat při uplatňování svých práv podle standardních smluvních doložek, vývozce a dovozce údajů by měli být společně a nerozdílně odpovědní za škody plynoucí z jakéhokoli porušení těch ustanovení, na která jsou se vztahuje doložka ve prospěch třetí strany. (19) Subjekt údajů je oprávněn podat žalobu a obdržet náhradu škody od vývozce nebo dovozce údajů nebo od obou za škodu způsobenou jakýmkoli jednáním, které není v souladu s povinnostmi obsaženými ve standardních smluvních doložkách. Obě strany mohou být zbaveny této odpovědnosti, pokud prokáží, že žádná z nich nebyla odpovědná. (20) Společná a nerozdílná odpovědnost se netýká těch ustanovení, která nejsou zajištěna doložkou ve prospěch třetí strany, a nemusí vést k tomu, aby jedna strana uhradila škodu vyplývající z protiprávního zpracování druhou stranou. Přestože vzájemné odškodnění mezi stranami není předpokladem pro přiměřenou ochranu subjektů údajů, a může být tedy zrušeno, je zahrnuto do standardních smluvních doložek v zájmu ujasnění, a aby strany nemusely sjednávat doložky o odškodnění pro každý jednotlivý případ. (21) V případě sporu mezi stranami a subjektem údajů, který není vyřešen smírně a ve kterém se subjekt údajů dovolává doložky ve prospěch třetí strany, se strany zaváží, že nabídnou tomuto subjektu údajů, aby si zvolil mezi mediací, rozhodčím řízením nebo soudním řízením. Rozsah, v jakém si bude moci subjekt údajů skutečně zvolit způsob řešení, závisí na dostupnosti spolehlivých a uznaných systémů mediace a rozhodčího řízení. Mediace prostřednictvím orgánů dozoru členského státu by měla být v případě, že je tato služba k dispozici, jednou z možností. (22) Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila stanovisko k úrovni ochrany poskytované podle standardních smluvních doložek připojených k tomuto rozhodnutí, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí ( 4 ). (23) Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle článku 31 směrnice 95/46/ES, vzhledem k těmto důvodům: PŘIJALA TOTO ROZHODNUTÍ:







Článek 1

Standardní smluvní doložky uvedené v příloze jsou považovány za dostatečná ochranná opatření s ohledem na ochranu soukromí a základních práv a svobod jednotlivců, jakož i s ohledem na výkon odpovídajících práv v souladu s čl. 26 odst. 2 směrnice 9/46/ES.

▼M1

Správci údajů mohou volit mezi soubory I a II v příloze. Nesmí však měnit doložky ani kombinovat jednotlivé doložky či soubory.

▼B

Článek 2

Toto rozhodnutí se týká pouze dostatečnosti ochrany zajištěné standardními smluvními doložkami pro předávání osobních údajů, které jsou uvedeny v příloze. Nevztahuje se na používání ostatních vnitrostátních předpisů, kterými se provádí směrnice 95/46/ES a které souvisejí se zpracováním osobních údajů v členských státech.

Toto rozhodnutí se nevztahuje na předávání osobních údajů správci usazenými ve Společenství příjemcům usazeným mimo území Společenství, kteří působí pouze jako zpracovatelé.

Článek 3

Pro účely tohoto rozhodnutí se:

a) použijí definice uvedené ve směrnici 95/46/ES;

b) „zvláštními kategoriemi údajů“ rozumějí údaje uvedené v článku 8 uvedené směrnice;

c) „orgánem dozoru“ rozumí orgán uvedený v článku 28 uvedené směrnice;

d) „vývozcem údajů“ rozumí správce, který předává osobní údaje;

e) „dovozcem údajů“ rozumí správce údajů, který se zavazuje přijímat od vývozce údajů osobní údaje určené k jejich dalšímu zpracování v souladu s podmínkami tohoto rozhodnutí.

Článek 4

1. Aniž jsou dotčeny jejich pravomoci přijmout opatření k zajištění dodržování vnitrostátních předpisů přijatých podle kapitol II, III, V a VI směrnice 95/46/ES, mohou příslušné orgány členských států vykonávat své stávající pravomoci zakázat nebo pozastavit toky údajů směřující do třetích zemí, aby tak chránily jednotlivce v souvislosti se zpracováním jejich osobních údajů v případech, kdy:

a) je zjištěno, že právní předpisy, kterým dovozce údajů podléhá, po něm vyžadují, aby se odchýlil od práva rozhodného pro ochranu údajů v rozsahu překračujícím omezení nezbytná v demokratické společnosti, jak je stanoveno v článku 13 směrnice 95/46/ES, a že tyto požadavky mají pravděpodobně výrazně nepříznivý dopad na ochranná opatření poskytovaná standardními smluvními doložkami; nebo

b) příslušný orgán zjistil, že dovozce údajů nedodržoval smluvní doložky; nebo

c) je vysoce pravděpodobné, že standardní smluvní doložky uvedené v příloze nejsou nebo nebudou dodržovány a pokračující předávání by pro subjekt údajů představovalo bezprostřední riziko vzniku značné újmy.

▼M1

2. Pro účely odstavce 1 jsou příslušné orgány pro ochranu údajů oprávněny, pokud správce údajů stanoví odpovídající ochranná opatření na základě standardních smluvních doložek obsažených v souboru II v příloze, uplatnit svou stávající pravomoc, aby zakázaly nebo pozastavily toky údajů v jednom z následujících případů:

a) dovozce údajů odmítá spolupracovat v dobré víře s orgány pro ochranu údajů nebo dostát svým jednoznačným závazkům podle smlouvy;

b) vývozce údajů odmítá přijmout vhodná opatření pro vynucení splnění smlouvy ze strany dovozce údajů v průběhu obvyklého období jednoho měsíce po upozornění vývozce údajů příslušným orgánem pro ochranu údajů.

Pro účely prvního pododstavce nezahrnuje odmítnutí dovozce údajů v rozporu s dobrou vírou nebo odmítnutí dovozce údajů vynutit splnění smlouvy případy, ve kterých by se spolupráce nebo vynucování plnění dostaly do konfliktu se závaznými požadavky vnitrostátních právních předpisů platných pro dovozce údajů, které nepřekračují rámec toho, co je v demokratické společnosti nezbytné na základě jednoho ze zájmů uvedených v čl. 13 odst. 1 směrnice 95/46/ES, přičemž se jedná zejména o sankce stanovené v mezinárodních a/nebo vnitrostátních aktech, požadavků na daňové vykazování nebo požadavků na vykazování v zájmu boje proti praní špinavých peněz.

Pro účely prvního pododstavce bodu a) může spolupráce zahrnovat zejména umožnění kontroly zařízení na zpracování údajů dovozce údajů nebo povinnost řídit se radami orgánu dozoru nad ochranou údajů ve Společenství.

3. Zákaz či pozastavení podle odstavců 1 a 2 musí být odvolány ihned poté, co pominou důvody pro zákaz nebo pozastavení.

4. Jakmile členské státy přijmou opatření podle odstavců 1, 2 a 3, informují neprodleně Komisi, která informace předá ostatním členským státům.

▼B

Článek 5

►M1 Komise vyhodnotí uplatňování tohoto rozhodnutí na základě dostupných informací tři roky po jeho oznámení a oznámení jeho případných změn členským státům. ◄ Předloží zprávu o zjištěních výboru zřízenému podle článku 31 směrnice 95/46/ES. Zpráva bude obsahovat veškeré důkazy, které by mohly ovlivnit hodnocení dostatečnosti standardních smluvních doložek uvedených v příloze, jakož i veškeré důkazy o tom, že se toto rozhodnutí uplatňuje diskriminačním způsobem.

Článek 6

Toto rozhodnutí se použije ode dne 3. září 2001.

Článek 7

Toto rozhodnutí je určeno členským státům.









PŘÍLOHA

▼M1

SOUBOR I

▼B

Dodatek 1

ke standardním smluvním doložkám

Dodatek 2

ke standardním smluvním doložkám

Povinné zásady ochrany údajů uvedené v prvním odstavci doložky 5 písm. b)

Uvedené zásady ochrany údajů by se měly číst a vykládat ve světle ustanovení (zásady a odpovídající výjimky) směrnice 95/46/ES.

Budou se uplatňovat s výhradou závazných požadavků vnitrostátních právních předpisů vztahujících se na dovozce údajů, které nepřekračují rámec toho, co je nezbytné v demokratické společnosti, na základě jednoho ze zájmů uvedených v čl. 13 odst. 1 směrnice 95/46/ES, tzn. představují-li opatření nezbytná k zajištění bezpečnosti státu, obrany, veřejné bezpečnosti, předcházení trestným činům a jejich vyšetřování, odhalování a stíhání nebo nedodržování deontologických pravidel pro povolání upravená právními předpisy, významného hospodářského nebo finančního zájmu státu nebo ochrany subjektu údajů nebo práv a svobod druhých.

1. Omezení účelu: údaje se musí zpracovat a následně používat nebo dále sdělovat pouze pro konkrétní účely uvedené v dodatku 1 k doložkám. Údaje se nesmějí uchovávat déle, než je nezbytně nutné pro účely, pro které jsou předávány.

2. Kvalita a přiměřenost údajů: údaje musí být přesné a tam, kde to je nutné, aktuální. Údaje musí být přiměřené, relevantní a nikoli přebytečné ve vztahu k účelům, pro které jsou předávány a dále zpracovávány.

3. Průhlednost: subjekty údajů musí být informovány o účelech zpracování a totožnosti správce údajů ve třetí zemi, a musí jim být poskytnuty další informace v míře nezbytné pro zajištění řádného zpracování, pokud již tyto informace nebyly poskytnuty vývozcem údajů.

4. Bezpečnost a důvěrnost: správce údajů musí přijmout technická a organizační bezpečnostní opatření, která jsou přiměřená rizikům vyskytujícím se v souvislosti se zpracováním, jako je například neoprávněný přístup. Každá osoba jednající na základě oprávnění správce údajů, včetně zpracovatele, smí údaje zpracovávat pouze na základě pokynů správce údajů.

5. Právo na přístup, opravu, výmaz a blokování údajů: jak je stanoveno v článku 12 směrnice 95/46/ES, subjekt údajů musí mít právo na přístup ke všem zpracovávaným údajům, které se ho týkají, a popřípadě též právo na opravu, výmaz nebo blokování údajů, jejichž zpracovávání není v souladu se zásadami stanovenými v tomto dodatku, zejména z důvodů neúplné nebo nepřesné povahy těchto údajů. Měl by být také oprávněn vznést z vážných legitimních důvodů souvisejících s jeho osobní situací námitky proti zpracování svých osobních údajů.

6. Omezení dalších předávání: další předávání osobních údajů od dovozce údajů k jinému správci údajů, který je usazený ve třetí zemi neposkytující odpovídající úroveň ochrany nebo na kterého se nevztahuje rozhodnutí přijaté Komisí podle čl. 25 odst. 6 směrnice 95/46/ES (další předávání), se mohou uskutečnit pouze tehdy, jestliže: a) subjekty údajů daly v případě zvláštních kategorií údajů jednoznačný souhlas k dalšímu předávání nebo v jiných případech měly možnost vznést námitky. Informace poskytnuté subjektům údajů musí obsahovat v jazyce pro ně srozumitelném alespoň tyto informace: — účely dalšího předávání, — identifikaci vývozce údajů usazeného ve Společenství, — kategorie dalších příjemců údajů a země určení, a — vysvětlení, že po dalším předání mohou být údaje zpracovány správcem usazeným v zemi, ve které není zajištěna odpovídající úroveň ochrany soukromí jednotlivců; nebo b) vývozce a dovozce údajů souhlasí s přistoupením dalšího správce údajů k doložkám, který se tím stane stranou doložek a na něhož přecházejí stejné povinnosti, jaké má dovozce údajů.

7. Zvláštní kategorie údajů: zpracovávají-li se údaje, které odhalují rasový či etnický původ, politické názory, náboženské nebo filozofické přesvědčení nebo odborovou příslušnost, jakož i údaje o zdraví nebo sexuálním životě a údaje týkající se protiprávního jednání, rozsudků v trestních věcech nebo bezpečnostních opatření, měly by být předložena dodatečná ochranná opatření ve smyslu směrnice 95/46/ES, zejména přiměřená bezpečnostní opatření, jako je přísné šifrování pro účely přenosu nebo vedení evidence přístupu k citlivým údajům.

8. Přímý marketing: zpracovávají-li se údaje pro účely přímého marketingu, měly by existovat účinné postupy umožňující subjektu údajů kdykoli „opt-out/zvolit vynětí“, aby údaje o něm již nebyly využívány k takovým účelům.

9. Automatizovaná individuální rozhodnutí: subjekty údajů mají právo nepodléhat rozhodnutí, které vychází pouze z automatizovaného zpracování údajů, pokud nejsou přijata jiná opatření k zajištění legitimních zájmů jednotlivce, jak je stanoví čl. 15 odst. 2 směrnice 95/46/ES. Je-li účelem předání přijetí automatizovaného rozhodnutí ve smyslu článku 15 směrnice 95/46/ES, které s sebou nese právní účinky vůči jednotlivci nebo které se ho významně dotýká a které je výlučně založeno na automatizovaném zpracování údajů určeném k hodnocení určitých hledisek jeho osoby, například pracovního výkonu, důvěryhodnosti, spolehlivosti, chování atd., měla by mít fyzická osoba právo znát důvody pro toto rozhodnutí.

Dodatek 3

ke standardním smluvním doložkám

Povinné zásady ochrany údajů uvedené v druhém odstavci doložky 5 písm. b)

1. Omezení účelu: údaje se musí zpracovat a následně používat nebo dále sdělovat pouze pro konkrétní účely uvedené v dodatku 1 k doložkám. Údaje se nesmějí uchovávat déle, než je nezbytně nutné pro účely, pro které jsou předávány.

2. Právo na přístup, opravu, výmaz a blokování údajů: jak je stanoveno v článku 12 směrnice 95/46/ES, subjekt údajů musí mít právo na přístup ke všem zpracovávaným údajům, které se ho týkají, a popřípadě též právo na opravu, výmaz nebo blokování údajů, jejichž zpracovávání není v souladu se zásadami stanovenými v tomto dodatku, zejména z důvodů neúplné nebo nepřesné povahy těchto údajů. Měl by být také oprávněn vznést z vážných legitimních důvodů souvisejících s jeho osobní situací námitky proti zpracování svých osobních údajů.

3. Omezení dalších předávání: další předávání osobních údajů od dovozce údajů k jinému správci údajů, který je usazený ve třetí zemi neposkytující odpovídající úroveň ochrany nebo na kterého se nevztahuje rozhodnutím přijaté Komisí podle čl. 25 odst. 6 směrnice 95/46/ES (další předávání), se mohou uskutečnit pouze tehdy, jestliže: a) subjekty údajů daly v případě zvláštních kategorií údajů jednoznačný souhlas k dalšímu předávání nebo v jiných případech měly možnost vznést námitky. Informace poskytnuté subjektům údajů musí obsahovat v jazyce pro ně srozumitelném alespoň tyto informace: — účely dalšího předávání, — identifikaci vývozce údajů usazeného ve Společenství, — kategorie dalších příjemců údajů a země určení, a — vysvětlení, že po dalším předání mohou být údaje zpracovány správcem usazeným v zemi, ve které není zajištěna odpovídající úroveň ochrany soukromí jednotlivců; nebo b) vývozce a dovozce údajů souhlasí s přistoupením dalšího správce údajů k doložkám, který se tím stane stranou doložek a na něhož přecházejí stejné povinnosti, jaké má dovozce údajů.

▼M1

SOUBOR II

Standardní smluvní doložky pro předávání osobních údajů ze Společenství do třetích zemí (předávání správce správci)

Dohoda o předání údajů

Mezi

_ (jméno)

_ (adresa a země, v níž je usazen)

dále jen „vývozce údajů“)

a

_ (jméno)

_ (adresa a země, v níž je usazen)

dále jen „dovozce údajů“

každý jednotlivě „strana“, společně „strany“.

Definice

Pro účely doložek:

a) „osobní údaje“, „zvláštní kategorie údajů/citlivé údaje“, „zpracovávat/zpracování“, „správce“, „zpracovatel“, „subjekt údajů“ a „orgán dozoru/orgán“ mají stejný význam jako ve směrnici 95/46/ES ze dne 24. října 1995 (přičemž „orgánem“ se rozumí orgán příslušný pro ochranu údajů na území, v němž je vývozce údajů usazen);

b) „vývozcem údajů“ se rozumí správce, který předává osobní údaje;

c) „dovozcem údajů“ se rozumí správce, který se zavazuje přijímat od vývozce údajů osobní údaje za účelem jejich dalšího zpracování v souladu s podmínkami těchto doložek a který nepodléhá systému třetí země zajišťující odpovídající ochranu;

d) „doložkami“ se rozumí tyto smluvní doložky, které jsou samostatným dokumentem, který neobsahuje obchodní podmínky stanovené stranami v oddělených obchodních ujednáních.

Podrobnosti předávání (a rovněž zahrnuté osobní údaje) jsou uvedeny v příloze B, která tvoří nedílnou součást doložek.

I. Povinnosti vývozce údajů

Vývozce údajů se zaručuje a zavazuje, že:

a) osobní údaje byly shromážděny, zpracovány a předány v souladu se zákony platnými pro vývozce údajů;

b) vyvinul přiměřené úsilí, aby určil, že je dovozce údajů schopen dostát svým právním závazkům vyplývajícím z těchto doložek;

c) na požádání poskytne dovozci údajů kopie příslušných zákonů o ochraně údajů nebo odkazy na ně (pokud je to vhodné, přičemž toto nezahrnuje právní poradu) té země, v níž je vývozce údajů usazen;

d) zodpoví dotazy subjektů údajů a orgánu týkající se zpracování daných osobních údajů dovozcem údajů, pokud se strany nedohodly, že bude takto odpovídat dovozce údajů, v kterémžto případě vývozce údajů bude i tak odpovídat v přiměřeně možném rozsahu a na základě jemu přiměřeně dostupných informací, pokud dovozce údajů nechce nebo nemůže odpovědět. Odpovězeno bude v přiměřené lhůtě;

e) na požádání zpřístupní kopii doložek subjektům údajů, kteří jsou oprávněnou třetí stranou podle doložky III, pokud doložky neobsahují důvěrné informace, v kterémžto případě může takovéto informace odstranit. V případě, že jsou informace odstraněny, vývozce údajů písemně informuje subjekty údajů o důvodu odstranění a o jejich právu upozornit na toto odstranění orgán. Vývozce údajů se však řídí rozhodnutím orgánu o přístupu subjektů údajů k úplnému znění doložek, pokud subjekty údajů souhlasily se zachováním důvěrnosti odstraněné důvěrné informace. Vývozce údajů také na požádání poskytne kopii doložek orgánu.

II. Povinnosti dovozce údajů

Dovozce údajů se zaručuje a zavazuje, že:

a) bude uplatňovat vhodná technická a organizační opatření na ochranu osobních údajů proti náhodnému nebo nedovolenému zničení nebo náhodné ztrátě, úpravám, neoprávněnému sdělování nebo přístupu, která zajistí úroveň bezpečnosti odpovídající riziku, které představuje zpracování, a povaze údajů, které mají být chráněny;

b) bude uplatňovat postupy zajišťující, aby jakákoli třetí strana, kterou oprávní k přístupu k osobním údajům, včetně zpracovatelů, respektovala a zachovávala důvěrnost a bezpečnost osobních údajů. Jakákoli osoba, která jedná z pověření dovozce údajů, včetně zpracovatele údajů, je povinna zpracovávat osobní údaje pouze podle pokynů dovozce údajů. Toto ustanovení se nevztahuje na osoby, které právní nebo správní předpisy opravňují nebo povinují k přístupu k osobním údajům;

c) v době uzavření těchto doložek nemá důvod se domnívat, že existují jakékoli místní zákony, které by mohly mít zásadní negativní vliv na záruky podle těchto doložek, a pokud se o existenci takových zákonů dozví, bude informovat vývozce údajů (který toto oznámení předá orgánu, pokud je to vyžadováno);

d) bude osobní údaje zpracovávat za účely popsanými v příloze B a má pravomoc poskytovat záruky a plnit závazky stanovené v těchto doložkách;

e) uvede vývozci údajů kontaktní místo ve své organizaci oprávněné odpovídat na dotazy týkající se zpracovávání osobních údajů a bude v dobré víře spolupracovat s vývozcem údajů, subjektem údajů a orgánem při všech takových dotazech v přiměřeném čase. V případě právního zrušení vývozce údajů nebo pokud se strany takto dohodly, přijímá dovozce údajů odpovědnost za dodržení ustanovení doložky I písm. e);

f) na žádost vývozce údajů poskytne vývozci údajů důkaz o dostatečných finančních zdrojích na splnění svých povinností podle doložky III (což může zahrnovat pojistné krytí);

g) na přiměřenou žádost vývozce údajů umožní, aby byly jeho zařízení na zpracování údajů, datové soubory a dokumentace potřebná pro zpracování podrobeny revizi, auditu a/nebo certifikaci provedené vývozcem údajů (nebo jakýmikoli nezávislými nebo nestrannými kontrolory či auditory vybranými vývozcem údajů, proti kterým nevznese dovozce údajů odůvodněné námitky), aby se přesvědčil o dodržování záruk a závazků v těchto doložkách, a to po obdržení přiměřeně včasného oznámení a během obvyklé provozní doby. Uvedená žádost bude podléhat případnému nezbytnému souhlasu nebo schválení regulačního orgánu nebo orgánu dozoru v zemi dovozce údajů, přičemž dovozce údajů se bude snažit tento souhlas nebo schválení získat včas;

h) bude osobní údaje zpracovávat, podle vlastní volby, buď v souladu se: i) zákony o ochraně údajů té země, ve které je vývozce údajů usazen nebo ii) odpovídajícími ustanoveními ( 5 ) jakéhokoli rozhodnutí Komise podle čl. 25 odst. 6 směrnice 95/46/ES, pokud dovozce dat splňuje odpovídající ustanovení takovéhoto povolení nebo rozhodnutí a sídlí v zemi, které se takové povolení nebo rozhodnutí týká, ale takové povolení nebo rozhodnutí se na něj pro účely předá(vá)ní osobních údajů nevztahuje ( 6 ), nebo iii) zásadami zpracování údajů stanovenými v příloze A. Dovozce údajů vyznačí zvolenou možnost:_ Parafa dovozce údajů:_;

i) nesdělí ani nepředá osobní údaje správci údajů, který je třetí stranou, se sídlem mimo Evropský hospodářský prostor (EHP), s výjimkou případů, kdy o předání uvědomí vývozce údajů a i) správce údajů, který je třetí stranou, zpracovává osobní údaje v souladu s rozhodnutím Komise, jímž bude shledáno, že třetí země poskytuje odpovídající úroveň ochrany, ii) správce údajů, který je třetí stranou, podepíše tyto doložky nebo jinou dohodu o předávání údajů schválenou příslušným orgánem v EU; iii) subjektům údajů bylo umožněno vznést námitku poté, co byly informovány o účelech předávání, kategoriích příjemců a skutečnosti, že země, do kterých jsou údaje vyváženy, mohou mít jiné normy ochrany údajů nebo iv) subjekty údajů daly vzhledem k dalšímu předávání citlivých údajů svůj jednoznačný souhlas k dalšímu předávání.

III. Odpovědnost a práva třetích stran

a) Každá strana je odpovědná vůči druhé straně za škody, které způsobí jakýmkoli porušením těchto doložek. Vzájemná odpovědnost stran je omezena na skutečně utrpěnou škodu. Náhrada škody punitivní povahy (tj. náhrada škody s cílem potrestat stranu za její hrubé chování) je výslovně vyloučena. Každá strana je odpovědná vůči subjektům údajů za škody, které způsobí jakýmkoli porušením práv třetí strany podle těchto doložek. Tím není dotčena odpovědnost vývozce údajů podle jemu příslušného práva na ochranu údajů.

b) Strany sjednávají, že subjekt údajů má právo vynucovat jako oprávněná třetí strana tuto doložku a doložku I písm. b), d) a e), doložku II písm. a), c), d), e), h) a i), doložku III písm. a), doložku V, doložku VI písm. d) a doložku VII proti dovozci údajů nebo vývozci údajů, pokud tito poruší své smluvní povinnosti v souvislosti s jeho osobními údaji, a rovněž přijímají pro tento účel příslušnost soudů v zemi, v níž je usazen vývozce údajů. V případech týkajících se tvrzení o porušení ze strany dovozce údajů musí subjekt údajů nejdříve požádat vývozce údajů, aby podnikl odpovídající kroky k vynucení jeho práv vůči dovozci údajů; pokud vývozce údajů tyto kroky nepodnikne v přiměřené lhůtě (která za normálních okolností činí jeden měsíc), může subjekt údajů svá práva vynucovat vůči dovozci údajů přímo. Subjekt údajů je oprávněn postupovat přímo proti vývozci údajů, který nevyvinul přiměřené úsilí, aby určil, že je dovozce údajů schopen dostát svým právním závazkům vyplývajícím z těchto doložek (vývozce údajů ponese břemeno důkazu toho, že přiměřené úsilí vyvinul).

IV. Právo použitelné na doložky

Tyto doložky se řídí právem země, ve které je usazen vývozce údajů, s výjimkou právních a správních předpisů vztahujících se na zpracování osobních údajů dovozcem údajů podle doložky II písm. h), které platí pouze v případě, že si je dovozce údajů podle této doložky zvolí.

V. Řešení sporů se subjekty údajů nebo s orgánem

a) V případě sporu nebo nároku vzneseného subjektem údajů nebo orgánem, které se týkají zpracování osobních údajů, proti jedné nebo oběma stranám, se budou strany vzájemně informovat o všech takových sporech nebo nárocích a budou spolupracovat s cílem je smírně a urychleně urovnat.

b) Strany se zavazují, že budou reagovat na každé obecně dostupné nezávazné mediační řízení zahájené subjektem údajů nebo orgánem. Pokud se strany řízení účastní, mohou si zvolit učinit tak na dálku (například telefonicky nebo pomocí jiných elektronických prostředků). Strany se také zavazují, že zváží svou účast na jakýchkoli ostatních rozhodčích, mediačních či jiných řízeních k řešení sporů vyvinutých pro spory týkající se ochrany údajů.

c) Každá strana se bude řídit rozhodnutím příslušného soudu země, v níž je usazen vývozce údajů, nebo orgánu, které je konečné a proti kterému není možné podat žádný další opravný prostředek.

VI. Vypovězení

a) Pokud dovozce údajů poruší své závazky podle těchto doložek, může vývozce údajů dočasně zastavit předávání osobních údajů dovozci údajů, dokud není porušení napraveno nebo smlouva vypovězena.

b) V případě, že: i) vývozce údajů dočasně pozastaví předávání osobních údajů dovozci údajů na dobu delší než jeden měsíc podle odstavce a), ii) dodržení těchto doložek ze strany dovozce údajů by vedlo k tomu, že by porušil své závazky podle právních nebo správních předpisů v zemi dovozu, iii) dovozce údajů zásadně nebo trvale porušuje jakékoli záruky nebo závazky, které poskytl v rámci těchto doložek, iv) podle konečného rozhodnutí, proti němuž není možné podat žádný další opravný prostředek, vyneseného příslušným soudem země, v níž je usazen vývozce údajů, nebo orgánu, došlo k porušení doložek ze strany dovozce údajů nebo vývozce údajů nebo v) je podána žádost o konkursní správu nebo likvidaci dovozce údajů, ať již v jeho osobním nebo obchodním postavení, přičemž žádost není zamítnuta v příslušné lhůtě pro takové zamítnutí stanovené platným právem; je vydán likvidační příkaz soudu; je jmenován nucený správce jakéhokoli jeho majetku; je jmenován správce konkursní podstaty, je-li dovozce údajů fyzickou osobou; je jím zahájeno mimosoudní narovnání; nebo dojde k rovnocennému řízení v jakékoliv jurisdikci, potom je vývozce údajů, aniž jsou dotčeny jeho případné jiné nároky vůči dovozci údajů, oprávněn vypovědět tyto doložky, v kterémžto případě bude, pokud je to vyžadováno, uvědomen orgán. V případech zahrnutých ve výše uvedených bodech i), ii) nebo iv) může dovozce údajů tyto doložky také vypovědět.

c) Každá ze stran může tyto doložky vypovědět, pokud i) je vydáno jakékoli kladné rozhodnutí Komise o odpovídající úrovni podle čl. 25 odst. 6 směrnice 95/46/ES (nebo jakéhokoli předpisu, který tento předpis nahradí) týkající se země (nebo jejího odvětví), do které dovozce údajů údaje předává a v níž údaje zpracovává, nebo ii) se směrnice 95/46/ES (nebo jakýkoli předpis, který tento předpis nahradí) stane v takové zemi přímo použitelnou.

d) Strany sjednávají, že vypovězení těchto doložek kdykoli, za jakýchkoli okolností a z jakéhokoli důvodu (kromě vypovězení podle doložky VI písm. c)) je nezbavuje závazků a/nebo podmínek podle těchto doložek, pokud jde o zpracování předaných údajů.

VII. Změna doložek

Strany nesmí tyto doložky měnit, s výjimkou aktualizace jakékoli informace v příloze B, v kterémžto případě budou, pokud je to třeba, informovat orgán. To stranám nebrání v přidávání doplňujících obchodních doložek, pokud je to třeba.

VIII. Popis předávání

Podrobnosti předávání a osobních údajů jsou specifikovány v příloze B. Strany sjednávají, že příloha B může obsahovat důvěrné obchodní informace, které nesdělí třetím stranám, vyjma případů, kdy to vyžaduje zákon, kdy se tak děje v odpovědi příslušné regulační nebo vládní agentuře, nebo podle požadavku v doložce I písm. e). Strany mohou sjednat další přílohy týkající se dalších předávání, které budou předloženy orgánu, pokud je to vyžadováno. Příloha B může být alternativně navržena tak, aby zahrnovala větší počet předávání.

Dne: _

_

_

ZA DOVOZCE ÚDAJŮ

ZA VÝVOZCE ÚDAJŮ

…

…

…

…

…

…

PŘÍLOHA A

ZÁSADY ZPRACOVÁNÍ ÚDAJŮ

1. Omezení účelu: osobní údaje se musí zpracovat a následně používat nebo dále sdělovat pouze pro účely uvedené v příloze B nebo následně schválené subjektem údajů.

2. Kvalita a přiměřenost údajů: osobní údaje musí být přesné a tam, kde to je nutné, aktualizované. Údaje musí být přiměřené, relevantní a nikoli přebytečné ve vztahu k účelům, pro které jsou předávány a dále zpracovávány.

3. Průhlednost: subjektům údajů musí být poskytnuty informace nezbytné pro zajištění řádného zpracování (například informace o účelech zpracování a o předávání), pokud již tyto informace nebyly poskytnuty vývozcem údajů.

4. Bezpečnost a důvěrnost: správce údajů musí přijmout technická a organizační bezpečnostní opatření, která jsou přiměřená rizikům vyskytujícím se v souvislosti se zpracováním, jako například proti náhodnému nebo nedovolenému zničení či náhodné ztrátě, úpravám, neoprávněnému sdělování nebo přístupu. Každá osoba jednající na základě oprávnění správce údajů, včetně zpracovatele, smí údaje zpracovávat pouze na základě pokynů správce údajů.

5. Právo na přístup, opravu, výmaz a námitku: jak je stanoveno v článku 12 směrnice 95/46/ES, subjektům údajů musí být, buď přímo nebo prostřednictvím třetí strany, poskytnuty osobní informace o nich, které organizace má, s výjimkou požadavků, které jsou vzhledem ke své nepřiměřené frekvenci nebo počtu nebo opakovanosti či soustavnosti zjevně přehnané, nebo pro něž nemusí být přístup umožněn podle práva země vývozce údajů. Za předpokladu, že orgán vydal předchozí souhlas, nemusí být přístup umožněn také tehdy, pokud by to pravděpodobně vážně poškodilo zájmy dovozce údajů nebo organizací, které s dovozcem údajů obchodují, a takové zájmy nejsou převýšeny zájmy základních práv a svobod subjektu údajů. Původ osobních údajů nemusí být označen, pokud to není možné za použití přiměřeného úsilí nebo pokud by byla porušena práva osob jiných než dotčené fyzické osoby. Subjekty údajů musí mít možnost nechat osobní informace, které se jich týkají, opravit, změnit nebo vymazat, pokud jsou nepřesné nebo jsou zpracovány v rozporu s těmito zásadami. Pokud existují vážné důvody pro zpochybnění oprávněnosti uvedeného požadavku, může organizace před přistoupením k opravě, změně nebo výmazu požadovat další odůvodnění. Oznámení všech úprav, změn nebo výmazů třetím stranám, kterým byly údaje sděleny, není nutné, pokud by to vyžadovalo neúměrné úsilí. Subjekty údajů musí mít rovněž možnost vznést z vážných a legitimních důvodů souvisejících s jeho osobní situací námitku proti zpracování osobních údajů, které se ho týkají. Důkazní břemeno leží v případě jakéhokoliv odmítnutí na dovozci údajů a subjekt údajů může vždy u orgánu odmítnutí napadnout.

6. Citlivé údaje: dovozce údajů přijme taková dodatečná opatření (například bezpečnostní), která jsou nebytná pro ochranu citlivých údajů v souladu s jeho povinnostmi podle doložky II.

7. Údaje používané pro účely marketingu: zpracovávají-li se údaje pro účely přímého marketingu, měly by existovat účinné postupy umožňující subjektu údajů kdykoli „zvolit vynětí“, aby údaje o něm již nebyly využívány k takovým účelům.

8. Automatizovaná rozhodnutí: pro účely těchto doložek se „automatizovaným rozhodnutím“ rozumí rozhodnutí vývozce údajů nebo dovozce údajů, které vůči subjektu údajů zakládá právní účinky nebo které se subjektu údajů významně dotýká, přijaté výlučně na základě automatizovaného zpracování údajů určeného k hodnocení určitých rysů jeho osobnosti, například pracovního výkonu, důvěryhodnosti, spolehlivosti, chování atd. Dovozce údajů neučiní žádné automatizované rozhodnutí týkající se subjektů údajů, s výjimkou případů, kdy: i) jsou taková rozhodnutí učiněna dovozcem údajů při uzavírání nebo plnění smlouvy se subjektem údajů a ii) je subjektu údajů dána příležitost projednat výsledky příslušného automatizovaného rozhodnutí se zástupcem strany provádějící takové rozhodnutí nebo jinak učinit této straně prohlášení, a) nebo b) právní předpisy platné pro vývozce údajů stanoví jinak.

PŘÍLOHA B

POPIS PŘEDÁNÍ

[vyplní strany]

ILUSTRATIVNÍ OBCHODNÍ DOLOŽKY (NEPOVINNÉ)

Odškodnění mezi vývozcem údajů a dovozcem údajů:

„Strany se vzájemně odškodní a vzájemně si poskytnou úhradu za veškeré náklady, výlohy, škody, výdaje nebo ztráty, které si vzájemně způsobí v důsledku porušení jakéhokoli ustanovení těchto doložek. Odškodnění podle této dohody připadá v úvahu pouze tehdy, pokud a) strana, která mají být odškodněna (strany, které mají být odškodněny) („odškodněná strana (odškodněné strany)“) bezodkladně oznámí druhé straně (druhým stranám) („odškodňující strana (odškodňující strany)“) existenci nároku, b) odškodňující strana (odškodňující strany) má (mají) výlučnou kontrolu nad obhajobou proti jakémukoli takovémuto nároku a urovnáním jakéhokoli takového nároku a c) odškodněná strana (odškodněné strany) poskytuje (poskytují) přiměřenou spolupráci a pomoc odškodňující straně (odškodňujícím stranám) při obhajobě proti takovémuto nároku.“

Řešení sporů mezi vývozcem údajů a dovozcem údajů (strany mohou samozřejmě místo toho použít jakoukoli jinou alternativní doložku o řešení sporů nebo soudní příslušnosti):

„V případě sporu mezi dovozcem údajů a vývozcem údajů ohledně jakéhokoli údajného porušení jakéhokoli ustanovení těchto doložek bude takový spor s konečnou platností rozhodován podle Řádu pro rozhodčí řízení Mezinárodní obchodní komory jedním nebo více rozhodci jmenovanými v souladu se zmíněným Řádem. Místem konání rozhodčího řízení je [ ]. Počet rozhodců je [ ].“

Rozdělení nákladů:

„Každá strana plní své závazky podle těchto doložek na své vlastní náklady.“

Dodatečný závěrečný odstavec

„V případě vypovězení těchto doložek musí dovozce údajů bezodkladně vrátit všechny osobní údaje a všechny kopie osobních údajů, které jsou předmětem těchto doložek, vývozci údajů, nebo, pokud tak vývozce údajů rozhodne, zničí všechny jejich kopie a osvědčí vývozci údajů, že tak učinil, s výjimkou případů, kdy dovozci údajů brání vnitrostátní právo nebo místní regulační orgán ve zničení nebo navrácení všech nebo části takových údajů, v kterémžto případě budou údaje uchovány jako důvěrné a nebudou aktivně k žádnému účelu zpracovávány. Dovozce údajů se zavazuje, že, pokud o to bude vývozcem údajů požádán, umožní vývozci údajů nebo kontrolorovi vybranému vývozcem údajů, proti kterému nevznese dovozce údajů odůvodněné námitky, přístup do své provozovny za účelem ověření toho, že bylo výše uvedené provedeno, a to po obdržení přiměřeně včasného oznámení a během provozní doby.“