Kommissionens beslutning

af 26. juli 2000

i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF om tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af safe harbor-principperne til beskyttelse af privatlivets fred og de dertil hørende hyppige spørgsmål fra det amerikanske handelsministerium

(meddelt under nummer K(2000) 2441)

(EØS-relevant tekst)

(2000/520/EF)

KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER HAR -

under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab,

under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995, om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(1), særlig artikel 25, stk. 6, og

ud fra følgende betragtninger:

(1) Medlemsstaterne skal i henhold til direktiv 95/46/EF fastsætte bestemmelser om, at overførsel af personoplysninger til et tredjeland kun må finde sted, hvis det pågældende tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og hvis den pågældende medlemsstats lovgivning til gennemførelse af direktivets andre bestemmelser overholdes forud for overførslen.

(2) Kommissionen kan fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau. I så fald kan der overføres personoplysninger fra medlemsstaterne, uden at det er nødvendigt, at der stilles yderligere garantier.

(3) Vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, skal i henhold til direktiv 95/46/EF ske på grundlag af samtlige de forhold, der har indflydelse på en overførsel eller en type overførsel af oplysninger og med hensyn til situationen. Den ved direktivet nedsatte gruppe(2) har udgivet vejledninger om, hvorledes disse vurderinger skal foretages(3).

(4) På grund af tredjelandenes forskellige fremgangsmåder med hensyn til databeskyttelse bør man foretage vurderingen af, om beskyttelsesniveauet er tilstrækkeligt, og gennemføre enhver beslutning, der træffes i medfør af artikel 25, stk. 6, på en sådan måde, at der ikke vilkårligt eller uberettiget diskrimineres mod eller mellem tredjelande, hvor forholdene er de samme, eller skabes skjulte handelshindringer under hensyntagen til Fællesskabets nuværende internationale forpligtelser.

(5) Et foretagende skal for at opnå anerkendelse og forblive anerkendt som et foretagende, der sikrer et tilstrækkeligt beskyttelsesniveau for overførslen af oplysninger fra EF til USA i overensstemmelse med denne beslutning, overholde disse principper og hyppige spørgsmål (FAQ) (som giver vejledning for implementeringen af principperne udsendt af USA's regering 21.7.2000), gøre dets foranstaltninger til beskyttelse af privatlivets fred offentligt tilgængelige og være underlagt Federal Trade Commissions (FTC) kompetence i henhold til paragraf 5 i Federal Trade Commission Act om forbud mod illoyal og vildledende adfærd eller praksis i forbindelse med handel eller være underlagt ethvert andet ved lov etableret organ, der kan sikre overholdelse af principperne, som gennemføres i overensstemmelse med FAQ.

(6) Denne beslutning finder ikke anvendelse på de sektorer og/eller databehandlinger, der ikke er underlagt et af de amerikanske regeringsorganer, der nævnes i bilag VII.

(7) For at sikre, at denne beslutning anvendes korrekt, bør det være muligt for berørte parter, herunder dataafsendere og databeskyttelsesmyndigheder, at identificere de foretagender, der tilslutter sig principperne og FAQ. Det amerikanske handelsministerium eller dets repræsentant har til dette formål påtaget sig at oprette, ajourføre og offentliggøre en liste over foretagender, der på grundlag af selvevaluering har tilsluttet sig principperne, der gennemføres i henhold til FAQ, og som er underlagt mindst et af de regeringsorganer, der nævnes i bilag VII.

(8) Af hensyn til princippet om gennemsigtighed og for at beskytte de kompetente myndigheders muligheder for i medlemsstaterne at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger bør det i beslutningen specificeres, under hvilke særlige omstændigheder det er muligt at suspendere specifikke dataoverførsler, uanset om det pågældende databeskyttelsesniveau anses for tilstrækkeligt.

(9) Safe harbor-ordningen og FAQ er resultatet af en helt ny fremgangsmåde, som derfor i givet fald bør tages op til fornyet overvejelse i lyset af erfaringerne, udviklingen inden for beskyttelse af privatlivets fred i en verden, hvor teknologien hele tiden gør det nemmere at overføre og behandle personoplysninger, og rapporterne om de involverede kompetente myndigheders gennemførelse af ordningen.

(10) Denne beslutning tager højde for de udtalelser, som den ved direktivets artikel 29 nedsatte gruppe om beskyttelse af personoplysninger har afgivet om det beskyttelsesniveau, der sikres på grundlag af safe harbor-ordningen i USA(4).

(11) De i denne beslutning fastsatte foranstaltninger er i overensstemmelse med udtalelse fra det i artikel 31 i direktiv 95/46/EF nedsatte udvalg -

VEDTAGET FØLGENDE BESLUTNING:

Artikel 1

1. Med henblik på artikel 5, stk. 2, i direktiv 95/46/EF og for så vidt angår alle de aktiviteter, der er omfattet af direktivet, formodes safe harbor-principperne, i det følgende benævnt "principperne", som omhandlet i bilag I, der finder anvendelse i overensstemmelse med de normgivende hyppige spørgsmål (FAQ), som blev udstedt den 21. juli 2000 af det amerikanske handelsministerium og er vedlagt som bilag II til denne beslutning, at sikre et tilstrækkeligt beskyttelsesniveau for personoplysninger, der overføres fra EF til i USA etablerede foretagender, i betragtning af følgende dokumenter fra USA's handelsministerium:

a) oversigt over håndhævelse af safe harbor-principperne i bilag III

b) memorandum om erstatning for krænkelse af privatlivets fred og udtrykkelige tilladelser i USA's lovgivning i bilag IV

c) brev fra Federal Trade Commission, bilag V

d) brev fra det amerikanske handelsministerium, bilag VI.

2. I forbindelse med overførsel af personoplysninger skal følgende betingelser opfyldes:

a) foretagendet, der modtager oplysningerne, skal utvetydigt og offentligt have angivet, at det forpligter sig til at overholde principperne, der anvendes i overensstemmelse med FAQ

b) foretagendet skal være underlagt et af de i bilag VII anførte regeringsorganers lovbestemte beføjelser til at behandle klager og udstede forbud eller påbud i forbindelse med illoyal eller vildledende praksis og opnå, at et retstilstand genoprettes for fysiske personer, uden hensyn til nationalitet eller bopælsland, i tilfælde af manglende overholdelse af principperne, der gennemføres i overensstemmelse med FAQ.

3. Et foretagende, der på grundlag af selvcertificering tilslutter sig principperne, der gennemføres i overensstemmelse med FAQ, formodes at opfylde de i stk. 2 anførte betingelser fra den dato, hvor det meddeler det amerikanske handelsministerium (eller dets repræsentant), at det offentligt har forpligtet sig i henhold til stk. 2, litra a), og opgiver navnet på det i stk. 2, litra b), anførte regeringsorgan.

Artikel 2

Denne beslutning vedrører kun tilstrækkeligheden af den beskyttelse, der opnås i USA, i kraft af principperne, der gennemføres i overensstemmelse med FAQ, med henblik på at opfylde kravene i artikel 25, stk. 1, i direktiv 95/46/EF, og den har ingen indvirkning på gennemførelsen af de andre bestemmelser i direktivet, som vedrører behandlingen af personoplysninger i medlemsstaterne, navnlig artikel 4.

Artikel 3

1. De kompetente myndigheder i medlemsstaterne kan, uden at dette berører deres beføjelser til at træffe foranstaltninger for at sikre overholdelse af de nationale bestemmelser, der vedtages i overensstemmelse med andre bestemmelser end artikel 25 i direktiv 95/46/EF, gøre brug af deres beføjelser med henblik på at suspendere overførslen af oplysninger til et foretagende, der på grundlag af selvcertificering tilslutter sig principperne, der gennemføres i overensstemmelse med FAQ, for at beskytte fysiske personer i forbindelse med behandlingen af deres personoplysninger.

a) når det amerikanske regeringsorgan, som anført i bilag VII, eller en uvildig klageinstans, som anført i a) under princippet om håndhævelse som anført i bilag I, fastslår, at det pågældende foretagende overtræder principperne, der gennemføres i overensstemmelse med FAQ, eller

b) når der er stor sandsynlighed for, at principperne overtrædes; når der er tilstrækkelig grund til at antage, at det pågældende organ ikke træffer eller ikke agter at træffe passende og betimelige foranstaltninger for at løse den pågældende sag, når der ved fortsat overførsel af personoplysninger er stor risiko for på betydelig vis at skade de registrerede, og når de kompetente myndigheder i medlemsstaterne forholdene taget i betragtning på passende vis har bestræbt sig på at underrette det pågældende foretagende og give det mulighed for at svare.

Suspenderingen skal straks ophøre, når principperne, der gennemføres i overensstemmelse med FAQ, igen overholdes, og når den kompetente myndighed i EU er blevet underrettet derom.

2. Medlemsstaterne skal straks underrette Kommissionen, når der træffes foranstaltninger i medfør af stk. 1.

3. Medlemsstaterne og Kommissionen skal ligeledes underrette hinanden om tilfælde, hvor de organer, som er ansvarlige for håndhævelsen af de principper, der gennemføres i overensstemmelse med FAQ i USA, ikke er i stand til at sikre, at principperne overholdes.

4. Hvis det fremgår af de oplysninger, der skal udveksles i henhold til stk. 1, 2 og 3, at et organ, der er ansvarlig for håndhævelse af principperne, der gennemføres i overensstemmelse med FAQ i USA, ikke opfylder sin rolle effektivt, skal Kommissionen underrette det amerikanske handelsministerium og, hvis det er nødvendigt, forelægge et udkast til foranstaltninger i overensstemmelse med den i direktivets artikel 31 fastsatte procedure med henblik på at ophæve eller suspendere nærværende beslutning eller begrænse dens anvendelsesområde.

Artikel 4

1. Denne beslutning kan til enhver tid blive ændret på grundlag af erfaringerne i forbindelse med dens gennemførelse, og/eller hvis der i den amerikanske lovgivning stilles krav om samme beskyttelsesniveau som det, der opnås ved hjælp af principperne og FAQ.

Kommissionen skal under alle omstændigheder evaluere gennemførelsen af denne beslutning på grundlag af alle tilgængelige oplysninger tre år efter, at den pågældende medlemsstat har fået meddelelse derom, og rapportere om ethvert relevant forhold til det ved artikel 31 i direktiv 95/46/EF nedsatte udvalg, herunder om ethvert forhold, der kan påvirke den i artikel 1 i nærværende beslutning anførte vurdering, hvor bestemmelserne vurderes som værende i stand til at tilvejebringe en tilstrækkelig beskyttelse i henhold til artikel 25 i direktiv 95/46/EF, samt om ethvert forhold, hvoraf det fremgår, at beslutningen gennemføres på en diskriminerende måde.

2. Kommissionen skal, hvis det er nødvendigt, fremlægge forslag til foranstaltninger i henhold til proceduren i direktivets artikel 31.

Artikel 5

Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme denne beslutning senest 90 dage efter, at den er meddelt.

Artikel 6

Denne beslutning er rettet til medlemsstaterne.

Udfærdiget i Bruxelles, den 26. juli 2000.

På Kommissionens vegne

Frederik Bolkestein

Medlem af Kommissionen

(1) EFT L 281 af 23.11.1995, s. 31.

(2) Se web-adresse http://europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm

(3) WP 12: Videregivelse af personoplysninger til tredjelande: anvendelse af artikel 25 og 26 i EU's databeskyttelsesdirektiv, vedtaget af arbejdsgruppen den 24.6.1998.

(4) WP 15: Udtalelse 1/99 om databeskyttelsesniveauet i USA og de igangværende forhandlinger mellem Europa-Kommissionen og den amerikanske regering

WP 19: Udtalelse 2/99 vedrørende tilstrækkeligheden af de internationale safe harbor-principper udstedt af Amerikas Forenede Staters handelsministerium den 19. april 1999

WP 21: Udtalelse 4/99 vedrørende listen over FAQ, der udstedes af Amerikas Forenede Staters handelsministerium i forbindelse med de foreslåede safe harbor-principper

WP 23: Arbejdsdokument om de foreløbige resultater af de igangværende drøftelser mellem Europa-Kommissionen og den amerikanske regering vedrørende de internationale safe harbor-principper

WP 27: Udtalelse 7/99 vedrørende databeskyttelsesniveauet, der opnås ved hjælp af safe harbor-principperne, som sammen med listen over FAQ og andre beslægtede dokumenter blev offentliggjort af Amerikas Forenede Staters handelsministerium den 15. og 16. november 1999

WP 31: Udtalelse 3/2000 om dialogen mellem EU og USA vedrørende safe harbor-ordningen

WP 32: Udtalelse 4/2000 om beskyttelsesniveauet, der opnås ved hjælp af safe harbor-principperne.

BILAG I

SAFE HARBOR-PRINCIPPER

udstedt af Amerikas Forenede Staters handelsministerium den 21. juli 2000

Den Europæiske Unions omfattende regelsæt om beskyttelse af privatlivets fred, nemlig direktivet om databeskyttelse (i det følgende benævnt "direktivet"), trådte i kraft den 25. oktober 1998. Overførsel af personoplysninger til et land uden for EU må ifølge dette direktiv udelukkende finde sted, såfremt det pågældende land kan sikre et "tilstrækkeligt" databeskyttelsesniveau. Selvom USA og EU begge har som målsætning at fremme beskyttelsen af privatlivets fred for deres borgere, har de ikke valgt samme fremgangsmåde. I USA anvendes således en fremgangsmåde på sektorplan med en kombination af lovgivning, administrative bestemmelser og selvregulering. En lang række amerikanske foretagender har på grund af denne forskel udtrykt tvivl om konsekvenserne af EU-kravet om "tilstrækkelig beskyttelse" ved overførsel af personoplysninger fra Den Europæiske Union til USA.

For at undgå denne usikkerhed og opstille nogle fastere rammer for disse datooverførsler har det amerikanske handelsministerium i medfør af sine lovbestemte beføjelser udstedt dette dokument og de hyppige spørgsmål (FAQ) (principperne) med henblik på at fremme og udvikle den internationale handel. Principperne er udviklet i samarbejde med industrien og offentligheden for at fremme handlen mellem USA og EU. De er udelukkende beregnet på at blive anvendt af amerikanske foretagender, der modtager personoplysninger fra EU, og som ønsker at leve op til kravene i safe harbor-ordningen og således drage fordel af den formodning om "tilstrækkelighed", dette medfører. Principperne er udelukkende udformet med henblik på disse specifikke formål og kan derfor ikke uden videre anvendes til andre formål. Principperne kan ikke træde i stedet for nationale bestemmelser til gennemførelse af direktivet, som finder anvendelse på behandlingen af personoplysninger i medlemsstaterne.

Et foretagende kan frit vælge, om det vil tilslutte sig safe harbor-ordningen, og der findes forskellige måder, hvorpå et foretagende kan kvalificere sig til at deltage i denne ordning. Et foretagende, der beslutter sig for at deltage, skal efterleve principperne for at opnå og opretholde fordelene ved denne ordning og offentligt erklære sin hensigt i den henseende. Et foretagende er f.eks. kvalificeret til at deltage i safe harbor-ordningen, hvis det deltager i en ordning til beskyttelse af privatlivets fred, der bygger på selvregulering, og som er i overensstemmelse med safe harbor-principperne. Et foretagende kan ligeledes opfylde kravene ved at udvikle sine egne retningslinjer til beskyttelse af privatlivets fred på grundlag af selvregulering, såfremt de er i overensstemmelse med safe harbor-principperne. Hvis overholdelsen af principperne helt eller delvist bygger på selvregulering, skal foretagendet ligeledes kunne drages til ansvar efter paragraf 5 i Federal Trade Commission Act, der forbyder illoyal eller vildledende praksis, eller en anden lov derom, såfremt det ikke overholder denne selvregulering. (Se bilaget for listen over de ved lov etablerede amerikanske organer, der er godkendt af EU). Hertil kommer, at et foretagende, der er underlagt lovbestemmelser, administrative forskrifter eller andre regler (eller bestemmelser), der effektivt beskytter privatlivets fred, ligeledes kan drage fordel af safe harbor-ordningen. Et foretagende, der ønsker at deltage i safe harbor-ordningen, kan under alle omstændigheder drage fordel af denne ordning allerede fra den dag, det erklærer sin tilslutning til principperne til det amerikanske handelsministerium (eller dets repræsentant) i overensstemmelse med vejledningen i FAQ om selvcertificering.

Overholdelsen af disse principper kan være begrænset a) til et niveau, der er tilstrækkeligt for at opfylde kravene med hensyn til statens sikkerhed, almenvellet eller opretholdelsen af lov og orden, b) af love, administrative bestemmelser eller retspraksis, der medfører modstridende forpligtelser eller udtrykkelige tilladelser, såfremt foretagender i forbindelse med anvendelsen af sådanne tilladelser kan påvise, at de kun overtræder principperne i det omfang, som er nødvendigt for at tilgodese de altovervejende legitime interesser, som den pågældende tilladelse har til hensigt at fremme, eller c) i det omfang, direktivet eller medlemsstaternes lovgivning tillader undtagelser eller dispensationer, såfremt sådanne undtagelser eller dispensationer også finder anvendelse i sammenlignelig kontekst. I overensstemmelse med det overordnede mål om at fremme beskyttelsen af privatlivets fred bør foretagenderne bestræbe sig på at gennemføre disse principper på fuldstændig og gennemskuelig vis, hvilket omfatter, at de i deres program til beskyttelse af privatlivets fred angiver, på hvilke punkter eventuelle undtagelser fra principperne i henhold til ovenstående punkt b) finder generel anvendelse. Når principperne og/eller den amerikanske lovgivning giver mulighed derfor, forventes foretagenderne af samme årsag at vælge et højere beskyttelsesniveau.

Foretagender kan af praktiske eller andre årsager eventuelt ønske at anvende principperne i forbindelse med alle deres databehandlinger, men de er kun forpligtede til at lade principperne gælde for oplysninger, der overføres, efter at de er blevet tilsluttet safe harbor-ordningen. Et foretagende, der ønsker at kvalificere sig til safe harbor-ordningen, behøver ikke at anvende disse principper for personoplysninger i registre, der behandles manuelt. Et foretagende, der ønsker at drage fordel af safe harbor-ordningen med henblik på at modtage oplysninger fra manuelt behandlede registre i EU, skal overholde disse principper for alle personoplysninger, der overføres, efter at det er blevet tilsluttet ordningen. Et foretagende, der ønsker at udvide sin safe harbor-dækning til også at omfatte personoplysninger om menneskelige ressourcer, der overføres fra EU med henblik på anvendelse inden for rammerne af et ansættelsesforhold, skal oplyse om dette, når det foretager selvcertificering til handelsministeriet (eller dets repræsentant), og opfylde de krav, der er fastsat i FAQ om selvcertificering. Et foretagende kan ligeledes garantere den sikkerhed, der er nødvendig i henhold til direktivets artikel 26, hvis det med hensyn til de væsentligste bestemmelser om beskyttelse af privatlivets fred anvender principperne i skriftlige aftaler med de parter, der overfører oplysninger fra EU, når først Kommissionen og medlemsstaterne har godkendt de øvrige bestemmelser for sådanne standardaftaler.

Amerikansk lovgivning finder anvendelse med hensyn til fortolkningen og overholdelsen af safe harbor-principperne (herunder FAQ) samt safe harbor-foretagendernes relevante retningslinjer for beskyttelse af privatlivets fred, undtagen når foretagender har forpligtet sig til at samarbejde med de europæiske databeskyttelsesmyndigheder. Medmindre andet er fastsat, finder alle bestemmelser i safe harbor-principperne og FAQ anvendelse, når det er relevant.

Personoplysninger er oplysninger, som kan henføres til en bestemt identificeret eller identificerbar person, som er omfattet af direktivet, som modtages fra EU af et foretagende i USA, og som er registreret på en hvilken som helst måde.

OPLYSNINGSPLIGT

Et foretagende skal oplyse fysisk personer om, hvilke formål der ligger til grund for indsamlingen og anvendelsen af personoplysninger om de pågældende, hvorledes foretagendet kan kontaktes i tilfælde af forespørgsler eller klager, til hvilken type tredjemand oplysningerne videregives, samt hvilke valgmuligheder og midler foretagendet tilbyder disse fysiske personer med henblik på at begrænse anvendelsen eller videregivelsen af personoplysninger. Oplysningen skal formidles klart og tydeligt, når fysiske personer første gang anmodes om at levere personoplysninger til foretagendet, eller så hurtigt som muligt derefter, dog under alle omstændigheder inden foretagendet anvender de pågældende personoplysninger til et andet formål end det, hvortil de oprindeligt blev indsamlet eller behandlet af det foretagende, der har overført oplysningerne, eller videregiver dem for første gang til tredjemand(1).

VALGFRIHED

Et foretagende skal give fysiske personer mulighed for at vælge (opt out), hvorvidt deres personoplysninger skal a) videregives til tredjemand(2) eller b) anvendes til et formål, der er uforeneligt med det, hvortil personoplysningerne oprindeligt blev indsamlet, eller hvortil de fysiske personer efterfølgende har givet tilladelse. Fysiske personer skal kunne anvende denne valgfrihed på en klar og åbenlys, let tilgængelig og økonomisk overkommelig måde.

I tilfælde af følsomme oplysninger (dvs. personoplysninger om helbredsforhold, race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmedlemsskab eller oplysninger om seksuelle forhold) skal de pågældende fysiske personer udtrykkeligt give deres godkendelse (opt in), hvis oplysningerne skal videregives til tredjemand eller anvendes til et andet formål end det, hvortil de oprindeligt er blevet indsamlet, eller som de fysiske personer på grundlag af deres valgfrihed efterfølgende har givet tilladelse til. Et foretagende skal under alle omstændigheder behandle enhver oplysning, som det modtager fra tredjemand, som følsom, når oplysningen af den pågældende tredjemand betegnes og behandles som sådan.

VIDERE OVERFØRSEL

Et foretagende må udelukkende videregive personoplysninger til tredjemand, hvis det overholder principperne om oplysningspligt og valgfrihed. Hvis det foretagende ønsker at overføre oplysninger til tredjemand, der som beskrevet i fodnoten fungerer som mellemmand, kan det gøre dette, hvis det først sikrer sig, at tredjemand overholder safe harbor-principperne, er omfattet af direktivet eller af en anden konstatering af tilstrækkelig beskyttelse, eller indgår en skriftlig aftale med tredjemand, hvormed denne forpligter sig til at sikre mindst samme beskyttelse af privatlivets fred som i de relevante principper. Et foretagende, der opfylder disse krav, vil ikke blive draget til ansvar (medmindre foretagendet aftaler noget andet), hvis tredjemand, hvortil det overfører sådanne oplysninger, behandler dem i strid med eventuelle begrænsninger eller tilladelser, medmindre foretagendet vidste eller burde have vidst, at tredjemanden agtede at behandle oplysningerne på denne forkerte måde, og foretagendet undlod at træffe de nødvendige foranstaltninger for at forebygge eller standse denne behandling.

SIKKERHED

Et foretagende, der opretter, vedligeholder, anvender eller spreder personoplysninger, skal træffe passende foranstaltninger for at beskytte disse oplysninger mod tab, misbrug, uautoriseret adgang, videregivelse, ændring eller ødelæggelse.

DATA-INTEGRITET

Personoplysninger skal i medfør af principperne være relevante i forhold til det formål, hvortil de anvendes. Et foretagende må ikke behandle personoplysninger på en måde, der ikke er i overensstemmelse med det formål, hvortil de oprindeligt er blevet indsamlet, eller det formål, der efterfølgende er blevet godkendt af de fysiske personer. Et foretagende skal i det omfang, det er nødvendigt, træffe passende foranstaltninger for at sikre, at oplysningerne er pålidelige, nøjagtige, fuldstændige og ajourførte.

INDSIGT

Fysiske personer skal have adgang til de personoplysninger, som et foretagende er i besiddelse af om dem, og de skal have mulighed for at ændre eller fjerne ukorrekte oplysninger, medmindre arbejdet eller omkostningerne ved at give indsigt i det enkelte tilfælde er uforholdsmæssig store i forhold til risikoen for disse fysiske personers privatliv, eller medmindre andre fysiske personers rettigheder herved krænkes.

HÅNDHÆVELSE

En effektiv beskyttelse af privatlivets fred forudsætter en række mekanismer til at sikre, at safe harbor-principperne overholdes, at de fysiske personer, som personoplysningerne vedrører, kan gøre indsigelse, hvis principperne ikke overholdes, og at det får konsekvenser for et foretagende, hvis det ikke overholder principperne. Disse mekanismer må som minimum omfatte a) let tilgængelige, overkommelige og uafhængige indsigelsesprocedurer, der gør det muligt under henvisning til principperne at undersøge og afgøre klager fra hver enkelt fysiske person samt give erstatning, når der i medfør af loven eller private ordninger er mulighed derfor, b) kontrolprocedurer med henblik på at undersøge, om et foretagender lever op til de erklæringer og løfter, det har afgivet, samt om det overholder sit program til beskyttelse af privatlivets fred, og c) en forpligtelse til at afhjælpe eventuelle problemer, som skyldes, at et foretagende, der har erklæret at ville tilslutte sig safe harbor-ordningen, ikke overholder principperne, samt bestemmelser om sanktioner for disse foretagender. Disse sanktioner skal være af en sådan karakter, at foretagenderne tilskyndes til at overholde principperne.

(1) Princippet om oplysningspligt eller valgfrihed finder ikke anvendelse ved videregivelse til tredjemand, som fungerer som mellemmand og udfører opgaver på vegne af foretagendet og i henhold til dets instrukser. Til gengæld finder princippet om videre overførsel anvendelse i sådanne tilfælde.

(2) Princippet om oplysningspligt eller valgfrihed finder ikke anvendelse ved videregivelse til tredjemand, som fungerer som mellemmand og udfører opgaver på vegne af foretagendet og i henhold til dets instrukser. Til gengæld finder princippet om videre overførsel anvendelse i sådanne tilfælde.

Bilag

Liste over amerikanske ved lov etablerede organer, der er godkendt af Den Europæiske Union

Den Europæiske Union godkender nedenstående amerikanske regeringsorganers kompetence til at behandle klager, opnå forbud eller påbud i forbindelse med illoyal eller vildledende praksis og opnå, at en retstilstand genoprettes for fysiske personer i tilfælde af manglende overholdelse af principperne, der gennemføres i overensstemmelse med FAQ:

- Federal Trade Commission på grundlag af de beføjelser, dette organ tillægges i henhold til paragraf 5 i Federal Trade Commission Act

- det amerikanske transportministerium på grundlag af de beføjelser, dette organ tillægges i henhold til kapitel 49 i United States Code, paragraf 41712.

BILAG II

HYPPIGE SPØRGSMÅL (FAQ)

FAQ nr. 1: Følsomme oplysninger

Spørgsmål: Skal et foretagende altid give en udtrykkelig valgfrihed (opt-in) i forbindelse med følsomme oplysninger?

Svar: Nej. Denne valgfrihed kræves ikke, hvis behandlingen 1) er nødvendig for at beskytte den registreredes eller andre personers vitale interesser, 2) er nødvendig for at fastlægge eller forsvare et retskrav, 3) er nødvendig i forbindelse med medicinsk behandling eller diagnosticering, 4) foretages som led i en fonds, en forenings eller enhver anden nonprofit-institutions lovlige aktiviteter i et politisk, filosofisk, religiøst eller fagforeningsmæssigt øjemed, såfremt behandlingen kun vedrører den pågældende organisations medlemmer eller personer, der har regelmæssigt kontakt dermed i forbindelse med dens aktiviteter, og såfremt oplysningerne ikke videregives til tredjemand unden den registreredes tilladelse, 5) er nødvendig som led i et foretagendes arbejdsretlige forpligtelser, eller 6) vedrører oplysninger, som tydeligt offentliggøres af den registrerede selv.

FAQ nr. 2: Journalistiske undtagelser

Spørgsmål: Finder safe harbor-principperne anvendelse på personoplysninger, der indsamles, opbevares eller offentliggøres i journalistisk øjemed, når der tages højde for beskyttelsen af pressefriheden i henhold til den amerikanske forfatning og direktivets undtagelser for journalistisk materiale?

Svar: Når princippet om pressefrihed som nedfældet i den amerikanske forfatnings First Amendment strider imod beskyttelsen af privatlivets fred, skal afvejningen af disse interesser foretages i henhold til First Amendment, når det drejer sig om amerikanske borgeres eller foretagenders aktiviteter. Personoplysninger, der indsamles med henblik på offentliggørelse, radio- eller tv-udsendelser eller andre former for offentlig kommunikation af journalistisk materiale, uanset om de anvendes, og oplysninger, der stammer fra tidligere offentliggjort materiale, der opbevares i et pressearkiv, er ikke underlagt safe harbor-principperne.

FAQ nr. 3: Subsidiært ansvar

Spørgsmål: Er Internetudbydere, teleselskaber eller andre foretagender underlagt safe harbor-principperne, når de på vegne af andre foretagender blot sender, dirigerer, omstiller eller lagrer oplysninger, der kan være i strid med disse principper?

Svar: Nej. Hverken direktivet eller safe harbor-principperne danner grundlag for subsidiært ansvar. Et foretagende kan ikke drages til ansvar, når det udelukkende formidler oplysninger, der overføres af tredjemand, uden hverken at bestemme formålet med eller metoderne til behandling af de pågældende personoplysninger.

FAQ nr. 4: Investeringsbanker og revisorer

Spørgsmål: Investeringsbankers og revisorers aktiviteter kan omfatte behandling af personoplysninger, uden at de registrerede har givet tilladelse dertil eller er vidende derom. På hvilke betingelser er dette tilladt i henhold til principperne om oplysningspligt (notice), valgfrihed (choice) og indsigt (access)?

Svar: Investeringsbanker og revisorer kan kun behandle oplysninger, uden at den registrerede er vidende derom, i det omfang og i den periode, som er nødvendig for at overholde lovbestemte krav eller tilgodese vigtige samfundsinteresser, samt i andre situationer, hvor anvendelsen af disse principper vil være til skade for foretagendets legitime interesser. Disse legitime interesser omfatter overvågningen af virksomheders overholdelse af deres retlige forpligtelser og legitime regnskabsaktiviteter samt behovet for fortrolighed i forbindelse med eventuelle opkøb, fusioner, joint ventures eller lignende aktiviteter, der udøves af investeringsbanker eller revisorer.

FAQ nr. 5(1): Databeskyttelsesmyndighedernes rolle

Spørgsmål: Hvorledes vil de foretagender, der forpligter sig til at samarbejde med databeskyttelsesmyndigheder i EU, indgå disse forpligtelser, og hvorledes vil de blive gennemført?

Svar: Amerikanske foretagender, der modtager personoplysninger fra EU, er i medfør af safe harbor-principperne forpligtede til at iværksætte effektive metoder, der gør dem i stand til at overholde safe harbor-principperne. Mere specifikt skal de som fastsat i princippet om håndhævelse (enforcement) a) give de registrerede mulighed for at gøre indsigelse, b) iværksætte kontrolprocedurer med henblik på at undersøge, om de lever op til deres erklæringer og løfter med hensyn til deres program til beskyttelse af privatlivets fred, og c) forpligte sig til at afhjælpe eventuelle problemer, som skyldes, at de ikke overholder safe harbor-principperne, og bære konsekvenserne af eventuelle foranstaltninger i denne henseende. Et foretagende kan opfylde punkt a) og c) i princippet om håndhævelse, hvis det opfylder kravene i dette FAQ med hensyn til samarbejde med databeskyttelsesmyndighederne.

Et foretagende kan forpligte sig til at samarbejde med databeskyttelsesmyndighederne ved i sin safe harbor-anmeldelse til det amerikanske handelsministerium (jf. FAQ nr. 6 om selvcertificering) at erklære, at det agter:

1) at overholde kravene i punkt a) og c) i safe harbor-princippet om håndhævelse ved at forpligte sig til at samarbejde med databeskyttelsesmyndighederne

2) at samarbejde med databeskyttelsesmyndighederne med henblik på at undersøge og afgøre eventuelle klager, der modtages inden for rammerne af safe harbor-ordningen, og

3) at rette sig efter enhver anbefaling fra databeskyttelsesmyndighederne, når de vurderer, at foretagendet skal træffe specifikke foranstaltninger for at overholde safe harbor-principperne, herunder foretage udbedrende foranstaltninger eller betale skadeserstatning til de fysiske personer, der er berørt af den manglende overholdelse af disse principper, og at det vil give databeskyttelsesmyndigheden en skriftlig bekræftelse på, at disse foranstaltninger er truffet.

Samarbejdet med databeskyttelsesmyndighederne vil omfatte information og anbefalinger på følgende vis:

- Databeskyttelsesmyndighedernes anbefalinger vil blive formidlet gennem et uformelt panel af databeskyttelsesmyndigheder på EU-niveau, som bl.a. vil bidrage til at sikre en ensartet og sammenhængende fremgangsmåde på området.

- Panelet vil give de berørte amerikanske foretagender anbefalinger om endnu ikke afgjorte klager fra fysiske personer vedrørende behandlingen af personoplysninger, der er blevet overført fra EU inden for rammerne af safe harbor-ordningen. Disse anbefalinger vil blive udformet med henblik på at sikre en korrekt anvendelse af safe harbor-principperne og skal indeholde oplysninger om de retsmidler, som de pågældende fysiske personer kan gøre brug af, og som databeskyttelsesmyndighederne finder passende.

- Panelet vil fremsætte anbefalinger, når det får henvist en sag fra et foretagende, og/eller når det direkte fra fysiske personer modtager en klage over foretagender, der har forpligtet sig til at samarbejde med databeskyttelsesmyndighederne inden for rammerne af safe harbor-ordningen, og det vil opfordre og i givet fald hjælpe sådanne fysiske personer til i første omgang at anvende de interne klagemuligheder, som det pågældende foretagende tilbyder.

- Anbefalingerne vil først blive afgivet, når begge parter i sagen har haft passende mulighed for at fremsætte bemærkninger og fremlægge enhver dokumentation, som de finder relevant. Panelet vil bestræbe sig på at afgive sine anbefalinger så hurtigt som muligt under hensyntagen til dette krav om behørig behandling. Panelet vil have som målsætning generelt at afgive sine anbefalinger senest 60 dage efter at have modtaget en klage eller en henvisning, og om muligt endnu hurtigere.

- Panelet vil, såfremt det finder det formålstjenligt, offentliggøre resultaterne af sin behandling af klager.

- Panelet eller de enkelte databeskyttelsesmyndigheder kan ikke drages til ansvar for panelets anbefalinger.

Som beskrevet ovenfor skal et foretagende, der vælger denne mulighed for bilæggelse af tvister, forpligte sig til at rette sig efter databeskyttelsesmyndighedernes anbefalinger. Hvis et foretagende ikke har rettet sig efter en anbefaling senest 25 dage efter anbefalingens afgivelse og ikke har givet nogen tilfredsstillende forklaring på denne forsinkelse, vil panelet meddele, at det agter at indbringe sagen for Federal Trade Commission eller et andet amerikansk organ med lovbestemte håndhævelsesbeføjelser i sager om illoyal eller vildledende praksis, eller at det vurderer, at der er sket en væsentligt overtrædelse af samarbejdsaftalen, der således skal betragtes som ugyldig. Panelet vil i sidstnævnte tilfælde underrette handelsministeriet (eller dets repræsentant) med henblik på at få ændret listen over safe harbor-deltagere. Enhver misligholdelse af forpligtelsen til at samarbejde med databeskyttelsesmyndighederne og enhver overtrædelse af safe harbor-principperne vil kunne retsforfølges som illoyal praksis i henhold til paragraf 5 i Federal Trade Commission Act eller en lignende lovgivning.

Foretagender, der vælger denne løsning, vil blive anmodet om at betale et årligt gebyr til dækning af panelets driftsomkostninger, og de kan derudover blive anmodet om at dække eventuelle udgifter til oversættelse, som opstår som følge af panelets behandling af henviste sager eller klager. Det årlige gebyr vil ikke overstige 500 USD og vil være mindre for små foretagender.

Foretagender, der tilslutter sig safe harbor-ordningen, vil i en periode på tre år have mulighed for at vælge at samarbejde med databeskyttelsesmyndighederne. Databeskyttelsesmyndighederne vil tage denne ordning op til fornyet overvejelse inden periodens udløb, hvis alt for mange amerikanske foretagender benytter sig af denne løsning.

FAQ nr. 6: Selvcertificering

Spørgsmål: Hvorledes skal et foretagende selvcertificere, at det tilslutter sig safe harbor-principperne?

Svar: Et foretagende kan drage fordel af safe harbor-ordningen allerede fra det tidspunkt, hvor det over for det amerikanske handelsministerium eller dets repræsentant i henhold til nedenstående vejledning foretager selvcertificering om tilslutning til principperne.

Et foretagende kan foretage selvcertificering om tilslutning til safe harbor-ordningen ved et fremsende en skrivelse til det amerikanske handelsministerium (eller dets repræsentant). Denne skrivelse skal underskrives af en ledende medarbejder på vegne af det foretagende, der tilslutter sig safe harbor-ordningen, og mindst indeholde følgende oplysninger:

1. foretagendets navn, postadresse, e-post-adresse, telefon- og faxnumre

2. en beskrivelse af foretagendets aktiviteter, der vedrører personoplysninger, som modtages fra EU, og

3. en beskrivelse af foretagendets program til beskyttelse af privatlivets fred med hensyn til disse personoplysninger, herunder: a. hvor dette program stilles til rådighed for offentligheden, b. datoen for iværksættelse af dette program, c. en kontaktadresse for behandlingen af eventuelle klager, anmodninger om indsigt og andre anliggender i forbindelse med safe harbor-ordningen, d. det specifikke lovbestemte organ, der har kompetence til at behandle klager over foretagender på grund af illoyal eller vildledende praksis, eller hvis de overtræder de gældende love eller bestemmelser vedrørende beskyttelse af privatlivets fred (og som er anført på listen i bilaget til principperne), e. betegnelsen på enhver ordning til beskyttelse af privatlivets fred, som foretagendet deltager i, f. den pågældende kontrolmetode (f.eks. intern kontrol, tredjemandskontrol)(2), og g. eventuelle uvildige klageinstanser, der kan behandle uløste sager.

Hvis et foretagende ønsker, at fordelene ved safe harbor-ordningen også skal dække oplysninger om menneskelige ressourcer, der overføres fra EU til brug inden for rammerne af et ansættelsesforhold, kan det foretage sådanne overførsler, hvis der findes et lovbestemt organ, der har kompetence til at behandle klager over det pågældende foretagende vedrørende oplysninger om menneskelige ressourcer, og som er anført på listen i bilaget til principperne. Desuden skal det i sin erklæring om selvcertificering angive, at det ønsker, at oplysninger om menneskelige ressourcer skal være omfattet af ordningen, at det forpligter sig til i overensstemmelse med FAQ nr. 9 og 5 at samarbejde med myndighederne i EU, og at det agter at følge disse myndigheders anbefalinger.

Det amerikanske handelsministerium (eller dets repræsentant) vil føre en liste over de foretagender, der har fremsendt sådanne skrivelser, hvorved de sikres fordelene ved safe harbor-ordningen, og det vil ajourføre denne liste på grundlag af de årlige skrivelser og meddelelser, der modtages i overenssstemmelse med FAQ nr. 11. Sådanne selvcertificeringsskrivelser skal fremsendes mindst én gang om året. I modsat fald vil foretagendet blive slettet fra listen, og det vil ikke længere kunne påberåbe sig fordelene ved safe harbor-ordningen. Både listen og foretagendernes selvcertificeringsskrivelser vil være offentligt tilgængelige. Alle foretagender, der foretager selvcertificering, skal i deres relevante program til beskyttelse af privatlivets fred, som de offentliggør, angive, at de tilslutter sig safe harbor-principperne.

Tilslutningen til safe harbor-principperne er ikke tidsbegrænset med hensyn til de oplysninger, der modtages i den periode, hvor foretagendet drager fordel af ordningen. Hvis et foretagende først har tilsluttet sig principperne, skal det fortsætte med at anvende dem for sådanne oplysninger, så længe det lagrer, anvender eller videregiver oplysningerne, også selvom det af en hvilken som helst grund efterfølgende forlader safe harbor-ordningen.

Et foretagende, der som følge af en fusion eller en overtagelse ophører med at eksistere som særskilt retlig enhed, skal på forhånd underrette det amerikanske handelsministerium (eller dets repræsentant). Foretagendet skal i denne meddelelse ligeledes angive, om den enhed, der overtager foretagendet, eller den enhed, der opstår som følge af fusionen, 1) i henhold til de gældende lovbestemmelser om overtagelser eller fusioner fortsat vil være bundet af safe harbor-principperne eller 2) vælger på grundlag af selvcertificering at tilslutte sig safe harbor-principperne eller iværksætter andre sikkerhedsforanstaltninger, herunder skriftlige aftaler, der sikrer overholdelse af safe harbor-principperne. Hvis hverken punkt 1) eller 2) finder anvendelse, skal enhver oplysning, som foretagendet har modtaget inden for rammerne af safe harbor-ordningen, straks slettes.

Alle de personoplysninger, som et foretagende er i besiddelse af, behøver ikke at være underlagt safe harbor-principperne. Principperne skal gælde de personoplysninger, som foretagendet modtager fra EU, efter at det har tilsluttet sig safe harbor-ordningen.

Et foretagende, der angiver urigtige oplysninger til offentligheden vedrørende dets tilslutning til safe harbor-principperne, kan indbringes for Federal Trade Commission eller andre kompetente federale instanser. Et foretagende, der afgiver urigtige oplysninger til det amerikanske handelsministerium (eller dets repræsentant), skal kunne drages til ansvar efter False Statements Act (United States Code, afsnit 18, paragraf 1001).

FAQ nr. 7: Kontrol (verifikation)

Spørgsmål: Hvorledes kontrollerer foretagender, at de lever op til deres erklæringer og løfter med hensyn til foranstaltninger til safe harbor-beskyttelse af privatlivets fred, og at disse foranstaltninger er blevet iværksat som beskrevet og i overensstemmelse med safe harbor-principperne?

Svar: For at opfylde kravene til kontrol i princippet om håndhævelse kan et foretagende kontrollere sådanne erklæringer og løfter ved hjælp af selvevaluering eller ekstern overensstemmelsesevaluering.

Det skal i tilfælde af selvevaluering kontrolleres, om foretagendets offentliggjorte program til beskyttelse af privatlivets fred vedrørende personoplysninger, der modtages fra EU, er i overensstemmelse med de faktiske forhold, og om det er dækkende, fuldstændigt iværksat og tilgængeligt samt offentliggjort i tilstrækkeligt omfang. Det skal ligeledes fremgå af denne kontrol, om programmet til beskyttelse af privatlivets fred er i overensstemmelse med safe harbor-principperne, om de fysiske personer er informeret om eksterne og eventuelle interne muligheder for klagebehandling, om det pågældende foretagende har udarbejdet procedurer for at uddanne de ansatte i at gennemføre disse foranstaltninger og for at gribe ind, hvis de ikke overholder foranstaltningerne, samt om det har interne procedurer for regelmæssigt og objektivt at kontrollere ovenstående. Mindst én gang om året skal en ledende medarbejder eller en anden bemyndiget repræsentant for virksomheden underskrive en erklæring om, at der er foretaget kontrol af selvevalueringen, og denne erklæring skal gøres offentlig tilgængelig efter fysiske personers anmodning derom eller i forbindelse med en undersøgelse eller en klage over overtrædelse af reglerne.

Foretagenderne skal føre protokol over iværksættelsen af deres safe harbor-program til beskyttelse af privatlivets fred og gøre denne protokol tilgængelig efter anmodning derom i forbindelse med en undersøgelse eller en klage over overtrædelse af reglerne til det uafhængige organ, som er ansvarlig for at undersøge klager, eller til den myndighed, der har kompetence i sager om illoyal eller vildledende praksis.

Hvis et foretagende har valgt at anvende ekstern overensstemmelsesevaluering, skal denne evaluering påvise, at foretagendets program til beskyttelse af privatlivets fred vedrørende personoplysninger, der modtages fra EU, er i overensstemmelse med safe harbor-principperne, at foretagendet efterlever dette, og at de fysiske personer oplyses om klagemulighederne. Kontrolmetoderne kan uden begrænsning omfatte revision, uvarslet evaluering, anvendelsen af fiktive oplysninger (decoys) eller passende teknologiske midler. Mindst én gang om året skal kontrollanten, en ledende medarbejder eller en anden bemyndiget repræsentant for foretagendet underskrive en erklæring, om, at der er foretaget en ekstern overensstemmelsesevaluering, og der skal gives adgang til denne erklæring efter anmodning fra en fysisk person eller i forbindelse med en undersøgelse eller en klage over overtrædelse af reglerne.

FAQ nr. 8: Indsigt (access)

Princippet om indsigt

Fysiske personer skal have indsigt i de personoplysninger, som et foretagende er i besiddelse af om dem, og være i stand til at rette, ændre eller slette ukorrekte oplysninger, medmindre meromkostningerne eller meradministrationen ved at give indsigt i disse oplysninger er uforholdsmæssig store i forhold til risikoen for de pågældende fysiske personers privatliv, eller medmindre det ville medføre en overtrædelse af andre personers legitime rettigheder.

1. spørgsmål: Er retten til indsigt ubetinget?

1. svar: Nej. Selvom retten til indsigt i forbindelse med safe harbor-principperne er af afgørende betydning for beskyttelsen af privatlivets fred, især fordi den giver fysiske personer mulighed for at kontrollere de oplysninger, der vedrører dem selv, er et foretagendes forpligtelse til at give indsigt i de personoplysninger, som det har om en fysisk person, imidlertid underlagt proportionalitets- eller rimelighedsprincippet, og denne ret finder således ikke ubetinget anvendelse i alle tilfælde. Det fremgår klart af de forklarende bemærkninger til OECD-retningslinjerne af 1980 om beskyttelse af privatlivets fred (Explanatory Memorandum to the 1980 OECD Privacy Guidelines), at et foretagendes forpligtelse til at give indsigt ikke er absolut. Retten til indsigt kræver ikke lige så grundig en undersøgelse som f.eks. i tilfælde af en indstævning (subpoena), og den giver heller ikke adgang til alle de forskellige medier, hvormed de pågældende oplysninger opbevares af et foretagende.

Erfaringen viser dog, at foretagender, der modtager en anmodning om indsigt fra en fysisk person, først og fremmest bør koncentrere sig om det, som i første omgang har ført til denne anmodning. Hvis en anmodning om indsigt er for vag eller for bredt defineret, kan det pågældende foretagende f.eks. indgå i en dialog med den fysiske person for bedre at kunne forstå motiverne for anmodningen og give de relevante oplysninger. Foretagendet kan anmode om at få oplyst, hvilke(n) del(e) af foretagendet den fysiske person har haft med at gøre, og/eller hvilken slags oplysninger (eller anvendelse) der er genstand for anmodningen om indsigt. Fysiske personer skal dog ikke begrunde en anmodning om indsigt i oplysninger om sig selv.

Meromkostninger og meradministration er vigtige faktorer, der bør tages i betragtning, men de er ikke afgørende for, om det er rimeligt at give indsigt. Hvis f.eks. de pågældende oplysninger danner grundlag for beslutninger, der har afgørende betydning for den fysiske person (f.eks. afgørelser i økonomiske anliggender, herunder vedrørende forsikringer, lån eller ansættelse), skal foretagendet i overensstemmelse med de øvrige bestemmelser i disse FAQ give indsigt i de pågældende oplysninger, selvom det giver anledning til uforholdsmæssig meradministration eller uforholdsmæssig store meromkostninger.

Hvis de oplysninger, der anmodes om, hverken er følsomme oplysninger eller danner grundlag for beslutninger, der har afgørende betydning for den fysiske person (f.eks. ikke-følsomme markedsføringsoplysninger, der anvendes til at afgøre, om den fysiske person skal have tilsendt et katalog), men er let tilgængelige og med få omkostninger kan stilles til rådighed, skal et foretagende give indsigt i de faktuelle oplysninger, som det er i besiddelse af om den fysiske person. Disse oplysninger kan omfatte data, der er afgivet af den fysiske person selv, eller data, som stammer fra en transaktion eller fra data fra andre fysiske personer, men som vedrører den pågældende fysiske person.

Foretagender skal i overensstemmelse med selve princippet om indsigt altid udvise imødekommenhed i deres bestræbelser på at give indsigt. Hvis visse oplysninger f.eks. skal beskyttes og nemt kan adskilles fra andre oplysninger, hvori der anmodes om indsigt, skal foretagendet bortredigere de beskyttede oplysninger og give indsigt i de andre oplysninger. Hvis et foretagende beslutter i særlige tilfælde at nægte indsigt i personoplysninger, skal den redegøre for sin beslutning over for den fysiske person, der har anmodet om indsigt, og oplyse, hvor den pågældende kan henvende sig for yderligere oplysninger.

2. spørgsmål: Hvad er fortroliger forretningsoplysninger, og kan foretagender nægte at give indsigt for at beskytte sådanne oplysninger?

2. svar: Fortrolige forretningsoplysninger (således som begrebet anvendes i den amerikanske retspleje om edition (Federal Rules of Civil Procedure on discovery)) er oplysninger, som et foretagende har truffet foranstaltninger for at beskytte imod videregivelse, fordi en sådan videregivelse ville være til fordel for en konkurrent på markedet. Navnet på det særlige computerprogram, som et foretagende anvender, f.eks. et designprogram, eller detaljer fra dette program kan være fortrolige forretningsoplysninger. Hvis fortrolige forretningsoplysninger nemt kan adskilles fra andre oplysninger, hvori der anmodes om indsigt, skal foretagendet bortredigere de fortrolige forretningsoplysninger og give indsigt i de ikke-fortrolige oplysninger. Foretagender kan nægte at give indsigt eller give begrænset indsigt, hvis de risikerer at afsløre deres egne fortrolige forretningsoplysninger som defineret overfor, f.eks. markedsføringsparametre eller -klassifikationer, som foretagendet har udarbejdet, eller andres fortrolige forretningsoplysninger, når disse oplysninger i henhold til en aftale skal behandles fortroligt, såfremt foretagender normalt tager eller er underlagt sådanne hensyn.

3. spørgsmål: Kan et foretagende nøjes med at give fysiske personer indsigt i personoplysninger ved at hente de pågældende oplysninger fra sine databaser, eller skal det give adgang til selve databasen?

3. svar: Et foretagende kan give indsigt ved at aflevere de relevante oplysninger til de pågældende fysiske personer, som således ikke skal have adgang til foretagendets database.

4. spørgsmål: Skal et foretagende omstrukturere sine databaser for at kunne give indsigt?

4. svar: Der skal kun gives indsigt i det omfang, et foretagende lagrer oplysningerne. Princippet om indsigt forpligter i sig selv ikke et foretagende til at opbevare, vedligeholde, organisere eller omstrukturere registre med personoplysninger.

5. spørgsmål: Det fremgår tydeligt af disse besvarelser, at der i visse tilfælde kan nægtes indsigt. I hvilke andre tilfælde kan et foretagende nægte at give fysiske personer indsigt i personoplysninger om dem selv?

5. svar: Disse tilfælde er meget begrænsede, og enhver begrundelse for at nægte indsigt skal tage udgangspunkt i specifikke forhold. Et foretagende kan nægte at give indsigt i oplysninger, hvis en sådan videregivelse kan antages at vanskeliggøre beskyttelsen af vigtige altovervejende offentlige interesser, herunder den nationale sikkerhed, forsvaret eller den offentlige sikkerhed. Det er desuden muligt at nægte indsigt, når personoplysningerne udelukkende behandles med henblik på forskning eller i statistisk øjemed. Der kan f.eks. også nægtes indsigt eller gives begrænset indsigt, når denne indsigt:

a) vanskeliggør lovens gennemførelse eller håndhævelse, herunder forebyggelse, undersøgelse eller opklaring af lovovertrædelser eller retten til en retfærdig rettergang

b) vanskeliggør private søgsmål, herunder forebyggelse, undersøgelse eller opklaring af påstande eller retten til en retfærdig rettergang

c) medfører videregivelse af personoplysninger om andre fysiske personer, når sådanne referencer ikke kan bortredigeres

d) er et brud på lovbestemte eller andre erhvervsbetingede fortrinsrettigheder eller forpligtelser

e) er et brud på den nødvendige fortrolighed omkring kommende eller igangværende forhandlinger, f.eks. i forbindelse med køb af børsnoterede virksomheder

f) vanskeliggør sikkerhedsundersøgelser eller behandlingen af personalesager

g) er til skade for den fortrolige behandling af oplysninger, der kan være nødvendig i begrænsede perioder i forbindelse med personaleplanlægning og -omstrukturering

h) er til skade for den fortrolige behandling af oplysninger, der kan være nødvendig i forbindelse med overvågning, kontrol eller regulering i forbindelse med god økonomisk eller finansiel styring, eller

i) medfører uforholdsmæssigt store meromkostninger eller meradministration eller krænkelse af andre personers legitime rettigheder eller interesser.

Et foretagende, der påberåber sig et undtagelsestilfælde for at kunne nægte indsigt, har bevisbyrden for anvendelsen af denne undtagelse (hvilket også er normal praksis i sådanne sager). De fysiske personer skal som anført ovenfor oplyses om årsagerne til, at der nægtes indsigt eller kun gives begrænset indsigt, og de skal oplyses om, hvor de kan henvende sig for at gå videre med sagen.

6. spørgsmål: Kan et foretagende opkræve et gebyr for at dække omkostningerne til indsigt?

6. svar: Ja, et foretagende må i henhold til OECD-retningslinjerne gerne opkræve et gebyr, såfremt det ikke er uforholdsmæssigt stort. Opkrævningen af gebyr kan være et nyttigt adfærdsregulerende instrument, der gør det muligt at begrænse gentagne og chikanerende anmodninger om indsigt.

Foretagender, der beskæftiger sig med salg af offentligt tilgængelige oplysninger, kan således opkræve et gebyr efter deres normale takst for at besvare anmodninger om indsigt. Fysiske personer kan også vælge at søge om indsigt i deres oplysninger hos det foretagende, der oprindeligt har indsamlet de pågældende oplysninger.

Der må ikke nægtes indsigt under henvisning til omkostningerne, hvis den registrerede tilbyder selv at afholde disse.

7. spørgsmål: Skal et foretagende give indsigt i personoplysninger, der stammer fra offentlige registre?

7. svar: Det skal først og fremmest præciseres, at offentlige registre er registre hos myndighederne på regeringsniveau eller ethvert andet niveau, som er offentligt tilgængelige. Det er ikke nødvendigt at anvende princippet om indsigt (access) på sådanne oplysninger, sålænge de ikke er sammenført med andre personoplysninger, undtagen når små mængder oplysninger fra registre, der ikke er offentligt tilgængelige, anvendes til at indeksere eller strukturere oplysninger fra offentlige registre. Enhver betingelse for indsigt i sådanne oplysninger, der fastsættes af den kompetente myndighed, skal dog overholdes. Når oplysninger fra offentlige registre sammenføres med andre oplysninger, der ikke er offentligt tilgængelige (andre end de specifikt anførte ovenfor), skal et foretagende dog give indsigt i alle disse oplysninger, såfremt de ikke er underlagt andre tilladte undtagelser.

8. spørgsmål: Finder princippet om indsigt anvendelse på offentligt tilgængelige personoplysninger?

8. svar: Ligesom for offentligt tilgængelige oplysninger (jf. 7. spørgsmål) er det ikke nødvendigt at anvende princippet om indsigt i tilfælde af oplysninger, der allerede er offentligt tilgængelige, såfremt disse oplysninger ikke er sammenført med oplysninger, der ikke er offentligt tilgængelige.

9. spørgsmål: Hvorledes kan et foretagende beskytte sig mod gentagne eller chikanerende anmodninger om indsigt?

9. svar: Foretagender er ikke forpligtede til at besvare sådanne anmodninger om indsigt. Foretagenderne kan således opkræve et passende gebyr og fastsætte en passende maksimumsgrænse for det antal gange, anmodninger om indsigt fra en bestemt fysisk person inden for en bestemt periode vil blive behandlet. Foretagender skal ved fastsættelsen af disse kriterier tage højde for, hvor hyppigt oplysningerne opdateres, til hvilket formål de anvendes, og hvilken slags oplysninger det drejer sig om.

10. spørgsmål: Hvorledes kan foretagender beskytte sig mod svigagtige anmodninger om indsigt?

10. svar: Foretagender er ikke forpligtede til at give indsigt, medmindre de fra rekvirenten modtager tilstrækkelige oplysninger til at kontrollere vedkommendes identitet.

11. spørgsmål: Findes der en frist for behandling af anmodninger om indsigt?

11. svar: Ja, foretagender bør besvare sådanne anmodninger uden unødig forsinkelse og inden for en rimelig frist. Som angivet i de forklarende bemærkninger til OECD-retningslinjerne af 1980 kan disse krav opfyldes på flere måder. En registeransvarlig, der regelmæssigt leverer oplysninger til registrerede, kan f.eks. være fritaget fra forpligtelsen til straks at besvare individuelle anmodninger.

FAQ nr. 9: Menneskelige ressourcer

1. spørgsmål: Er overførslen fra EU til USA af personoplysninger, der er indsamlet inden for rammerne af et ansættelsesforhold, underlagt safe harbor-principperne?

1. svar: Ja, når en virksomhed i EU overfører personoplysninger om sine (forhenværende eller nuværende) ansatte, der er indsamlet inden for rammerne af ansættelsesforholdet, til en serviceudbyder i USA, det være sig et moderselskab, et associeret foretagende eller et ikke-associeret foretagende, som deltager i safe harbor-ordningen, er overførslen underlagt denne ordning. I disse tilfælde finder både indsamlingen og behandlingen af oplysninger forud for overførslen typisk sted i overensstemmelse med den nationale lovgivning i den EU-medlemsstat, hvor oplysningerne er indsamlet, og enhver betingelse eller begrænsning for overførsel i henhold til denne lovgivning skal overholdes.

Safe harbor-principperne finder kun anvendelse ved overførsel af eller indsigt i individuelt identificerbare personoplysninger. Statistisk materiale, der bygger på en sammenføring af ansættelsesoplysninger og/eller anvendelsen af data, der registreres anonymt eller under et pseudonym, er ikke omfattet af spørgsmålet om beskyttelse af privatlivets fred.

2. spørgsmål: Hvorledes finder principperne om oplysningspligt (notice) og valgfrihed (choice) anvendelse på sådanne oplysninger?

2. svar: Et amerikansk foretagende, der inden for rammerne af safe harbor-ordningen har modtaget ansættelsesoplysninger fra EU, må kun videregive disse oplysninger til tredjemand og/eller anvende dem til andre formål, såfremt det sker i overensstemmelse med principperne om oplysningspligt (notice) og valgfrihed (choice). Når et amerikansk foretagende f.eks. agter at anvende personoplysninger, der er indsamlet i forbindelse med et ansættelsesforhold, til ikke-ansættelsesrelaterede formål, f.eks. til markedsføringshenvendelser, skal det først give de berørte fysiske personer valgfrihed, medmindre de allerede har tilladt anvendelsen af oplysningerne til sådanne formål. De ansattes valg må desuden ikke give anledning til forskelsbehandling eller til at straffe de pågældende.

Det skal bemærkes, at visse bestemmelser, der generelt finder anvendelse på overførsel af personoplysninger fra visse medlemsstater, kan forhindre andre anvendelser af disse oplysninger, selv efter overførsel til et land uden for EU, og sådanne bestemmelser skal overholdes.

Arbejdsgiverne skal endvidere bestræbe sig på så vidt muligt at respektere de ansattes ønsker om hemmeligholdelse af personoplysninger. Det kan bl.a. omfatte, at der kun gives begrænset indsigt i oplysninger, at visse oplysninger gøres anonyme, eller at der anvendes koder eller pseudonymer, når de rigtige navne ikke er nødvendige for de pågældende formål.

Et foretagende er ikke forpligtet til at anvende principperne om oplysningspligt (notice) eller valgfrihed (choice) i det omfang og i den periode, det er nødvendigt for ikke at skade det pågældende foretagendes legitime interesser i forbindelse med forfremmelser, udnævnelser eller andre personaleanliggender af lignende karakter.

3. spørgsmål: Hvorledes finder princippet om indsigt (access) anvendelse?

3. svar: Begrundelserne for at nægte at give indsigt eller for at give begrænset indsigt i oplysninger om menneskelige ressourcer efter anmodning derom fremgår af FAQ om indsigt. Arbejdsgivere i EU skal naturligvis overholde de nationale regler på området og sikre, at arbejdstagere i EU gives indsigt i sådanne oplysninger, således som det er påbudt af loven i deres hjemland, uanset i hvilket land oplysningerne behandles og lagres. Et foretagende, der behandler denne type oplysninger i USA, er i henhold til safe harbor-principperne forpligtet til at samarbejde med henblik på at give indsigt enten direkte eller gennem arbejdsgiveren i EU.

4. spørgsmål: Hvorledes vil safe harbor-principperne blive håndhævet med hensyn til ansættelsesoplysninger?

4. svar: I det omfang, hvor oplysninger udelukkende anvendes inden for rammerne af et ansættelsesforhold, er foretagendet i EU hovedansvarlig for oplysningerne over for den enkelte ansatte. Hvis europæiske arbejdstagere klager på grund af en overtrædelse af deres ret til databeskyttelse og ikke er tilfredse med resultaterne af de forskellige interne evaluerings-, klage- eller appelprocedurer (eller enhver anden klageprocedure inden for rammerne af en kontrakt med en fagforening), skal de som følge heraf henvises til de kompetente nationale databeskyttelses- eller arbejdsmarkedsmyndigheder. Dette gælder også i sager, hvor den formodede forkerte behandling af deres personoplysninger har fundet sted i USA og er foretaget af det amerikanske foretagende, der har modtaget oplysningerne fra arbejdsgiveren, og ikke af arbejdsgiveren selv, hvilket således først og fremmest medfører et formodet brud på safe harbor-principperne og ikke så meget de nationale lovbestemmelser til gennemførelse af direktivet. Dette vil være den mest effektive fremgangsmåde for at behandle de ofte overlappende rettigheder og forpligtelser, som er fastsat i arbejdsretten og arbejdsoverenskomster samt loven om databeskyttelse.

Et amerikansk foretagende, der deltager i safe harbor-ordningen, og som anvender EU-oplysninger om menneskelige ressourcer, der er overført fra Den Europæiske Union inden for rammerne af et ansættelsesforhold, og som ønsker, at disse overførsler skal være omfattet af safe harbor-principperne, skal således forpligte sig til at samarbejde i undersøgelser eller til at rette sig efter de anbefalinger, der henholdsvis foretages eller afgives af de kompetente EU-myndigheder i disse sager. De databeskyttelsesmyndigheder, der har accepteret at samarbejde på denne måde, skal underrette Europa-Kommissionen og det amerikanske handelsministerium. Hvis et amerikansk foretagende, der deltager i safe harbor-ordningen, ønsker at overføre oplysninger om menneskelige ressourcer fra en medlemsstat, hvis databeskyttelsesmyndighed ikke har accepteret at indgå i dette samarbejde, finder bestemmelserne i FAQ nr. 5 anvendelse.

FAQ nr. 10: Artikel 17-aftaler

Spørgsmål: Er det uanset databehandlerens deltagelse i safe harbor-ordningen nødvendigt med en aftale, når oplysninger videregives fra EU til USA udelukkende med henblik på behandling?

Svar: Ja, de registreringsansvarlige i EU skal altid indgå en aftale, selv når oplysninger kun videregives med henblik på behandling, og dette uanset, om denne behandling foregår i eller uden for EU. Formålet med denne aftale er at beskytte den registeransvarliges interesse, det vil sige den person eller det organ, der bestemmer formålet med behandlingen og midlerne dertil, og som bærer det fulde ansvar for oplysningerne over for de(n) pågældende fysiske person(er). Den specifikke behandling, der skal foretages, og enhver foranstaltning, som er nødvendig for at beskytte oplysningerne, skal således fremgå af aftalen.

Et amerikansk foretagende, der deltager i safe harbor-ordningen, og som udelukkende modtager personoplysninger fra EU med henblik på behandling, skal således ikke anvende principperne for disse oplysninger, fordi den registeransvarlige i EU forbliver ansvarlig for disse oplysninger over for de fysiske personer i overensstemmelse med de gældende EU-bestemmelser (der kan være strengere end de tilsvarende safe harbor-principper).

Fordi safe harbor-deltagerne anses for at give en tilstrækkelig beskyttelse, kræver aftaler med sådanne deltagere, der udelukkende vedrører behandling af oplysninger, ingen forudgående tilladelse (eller også gives sådanne tilladelser automatisk af medlemsstaterne), hvilket til gengæld kræves i forbindelse med aftaler med modtagere, der ikke deltager i safe harbor-ordningen, eller som på anden vis ikke giver en tilstrækkelig beskyttelse.

FAQ nr. 11: Bilæggelse af tvister og håndhævelse

Spørgsmål: Hvorledes skal de krav til bilæggelse af tvister, der er fastsat i princippet om håndhævelse, gennemføres, og hvorledes skal et foretagendes vedvarende overtrædelse af principperne håndteres?

Svar: Kravene til håndhævelse af safe harbor-ordningen fastsættes i princippet om håndhævelse. Det fastsættes i FAQ nr. 7 om kontrol, hvorledes kravene i princippets punkt b) skal overholdes. FAQ nr. 11 omhandler punkt a) og c), der begge kræver uafhængige klageinstanser. Ordningen kan håndhæves ved hjælp af forskellige mekanismer, der dog alle skal være i overensstemmelse med kravene i princippet om håndhævelse. Et foretagende kan opfylde kravene 1) ved at overholde et program til beskyttelse af privatlivets fred, som er udviklet inden for den private sektor, som tager udgangspunkt i safe harbor-principperne, og som omfatter nogle effektive håndhævelsesmekanismer af den type, der er beskrevet i princippet om håndhævelse, 2) ved at være underlagt tilsynsmyndigheder, der er oprettet ved lov eller administrativt, og som varetager behandlingen af individuelle klager og bilæggelsen af tvister, eller 3) ved at forpligte sig til at samarbejde med databeskyttelsesmyndighederne i EU eller deres repræsentanter. Denne liste er blot beskrivende og ikke udtømmende, eftersom der i den private sektor kan oprettes andre håndhævelsesmekanismer, når blot kravene i princippet om håndhævelse og FAQ overholdes. Bemærk venligst, at kravene i princippet om håndhævelse supplerer kravene i 3. afsnit i princippernes indledning, nemlig at et foretagende i tilfælde af selvregulering skal kunne retsforfølges efter paragraf 5 i Federal Commission Act eller en anden lignende lov.

Klageinstanser:

Forbrugerne skal opfordres til først at klage til det pågældende foretagende, inden de indbringer deres klage til de uvildige klageinstanser. Det kan bevises på forskellige måder, at en klageinstans er uvildig, f.eks. ved indsigt i dens sammensætning og finansiering eller på grundlag af dokumenteret erfaring. De klagemuligheder, som fysiske personer har adgang til, skal i henhold til princippet om håndhævelse være let tilgængelige og økonomisk overkommelige. Instanserne med kompetence inden for bilæggelse af tvister skal behandle hver enkelt klage, som de modtager fra fysiske personer, medmindre klagerne tydeligt er ubegrundede eller chikanerende. Dette udelukker ikke, at klageinstansen kan fastsætte kriterier for modtagelse af klager, men sådanne kriterier skal være gernnemskuelige og begrundede (og have til formål f.eks. at udelukke klager, der ikke er omfattet af programmet, eller som skal behandles i et andet forum), og de må ikke have som konsekvens at underminere forpligtelsen til at behandle legitime klager. Disse klageinstanser skal desuden ved modtagelsen af en klage give de fysiske personer fuldstændige og let tilgængelige oplysninger om, hvorledes proceduren til bilæggelse af tvister fungerer. Disse oplysninger skal i overensstemmelse med safe harbor-principperne omfatte en meddelelse om klageinstansens foranstaltninger til beskyttelse af privatlivets fred(3). Klageinstanserne skal desuden medvirke til at udvikle forskellige værktøjer, herunder standardklageformularer, der skal gøre det nemmere at behandle klager.

Retsmidler og sanktioner:

Anvendelsen af de retsmidler, som instanserne med kompetence inden for bilæggelse af tvister giver adgang til, bør resultere i, at det pågældende foretagende så vidt muligt udbedrer konsekvenserne af den manglende overholdelse, og at foretagendets fremtidige behandlinger sker i overensstemmelse med principperne, samt at behandlingen af personoplysningerne om den person, der har indbragt klagen, i påkommende tilfælde ophører. Sanktionerne skal være tilstrækkelig strenge til at få et eventuelt foretagende til at overholde principperne. Instanserne med kompetence inden for bilæggelse af tvister vil ved hjælp af en række sanktioner af forskellig strenghedsgrad have mulighed for på passende vis at reagere på forskellige grader af manglende overholdelse. Disse sanktioner bør omfatte offentliggørelse af konstateringerne af manglende overholdelse og påbud om i visse tilfælde at slette oplysninger(4). Andre sanktioner kan være suspendering eller tilbagestrækning af en godkendelse, betaling af skadeserstatning til fysiske personer for tab som følge af en overtrædelse af principperne, samt forbud eller påbud. Instanser med kompetence inden for bilæggelse af tvister eller inden for selvregulering i den private sektor skal afhængigt af det enkelte tilfælde underrette domstolene eller den kompetente federale myndighed om safe harbor-foretagenders manglende overholdelse af deres afgørelser samt underrette det amerikanske handelsministerium (eller dets repræsentant).

Søgsmål ved Federal Trade Commission (FTC):

FTC har forpligtet sig til først og fremmest at behandle sager om påstået overtrædelse af safe harbor-principperne, som den får henvist fra selvreguleringsforetagender med kompetence inden for beskyttelse af privatlivets fred, f.eks. BBBOnline og TRUSTe, eller EU-medlemsstaterne, for at fastslå, om paragraf 5 i Federal Trade Commission Act, der forbyder illoyal eller vildledende praksis inden for handel, er blevet overtrådt. Hvis FTC konkluderer, at der er grund til at antage, at paragraf 5 er blevet overtrådt, kan den løse sagen ved at forsøge at opnå et administrativt forbud mod den pågældende praksis eller ved at indgive en klage til en federal domstol, hvilket, såfremt klageren får medhold, kan resultere i en dom med samme indhold. FTC kan opnå, at overtræderen idømmes civilretlige sanktioner, hvis et administrativt forbud ikke overholdes, og den kan indlede civilretlige eller strafferetlige sager for undladelse af at efterkomme en retsafgørelse, der er truffet af en federal domstol. FTC skal underrette handelsministeriet om ethvert søgsmål, som den iværksætter. Handelsministeriet opfordrer de øvrige federale myndigheder til at underrette handelsministeriet om den endelige afgørelse i sådanne sager eller andre afgørelser om deltagelse i safe harbor-ordningen.

Vedvarende misligholdelse af principperne:

Hvis et foretagende på vedvarende vis ikke overholder principperne, er det ikke længere berettiget til at påberåbe sig fordelene ved safe harbor-ordningen. En vedvarende misligholdelse af principperne forekommer, når et foretagende, der har foretaget selvcertificering over for handelsministeriet (eller dets repræsentant), nægter at rette sig efter den endelige afgørelse fra en instans med kompetence inden for selvregulering eller en federal instans, eller når en sådan instans fastslår, at et foretagende hyppigt har misligholdt principperne i et sådant omfang, at det ikke længere er rimeligt at påstå, at det overholder principperne. Foretagendet skal i så fald straks underrette handelsministeriet (eller dets repræsentant) derom. Et foretagende, der ikke opfylder denne forpligtelse, kan retsforfølges efter False Statements Act.

Handelsministeriet (eller dets repræsentant) vil på den offentligt tilgængelige liste, som det udarbejder over foretagender, der deltager i safe harbor-ordningen på grundlag af selvcertificering, notere ethvert forhold om vedvarende misligholdelse, uanset om det modtager denne meddelelse fra foretagendet selv, en instans med kompetence inden for selvregulering eller fra en federal instans, dog først efter at have givet det pågældende foretagende en frist på tredive (30) dage og en mulighed for at svare. Det vil således tydeligt fremgå af den offentligt tilgængelige liste fra handelsministeriet (eller dets repræsentant), hvilke foretagender der er eller ikke er dækket af safe harbor-ordningen.

Et foretagende, der ansøger om at deltage i en selvreguleringsordning med henblik på igen at kvalificere sig til safe harbor-ordningen, skal give denne ordning fuldstændige oplysninger om sin tidligere deltagelse i safe harbor-ordningen.

FAQ nr. 12: Valgfrihed (choice) og tidsfristen for at vælge fra (opt-out)

Spørgsmål: Giver princippet om valgfrihed kun fysiske personer mulighed for at vælge fra i starten af registreringsforholdet, eller kan de gøre dette til enhver tid?

Svar: Formålet med princippet om valgfrihed er generelt at sikre, at personoplysninger anvendes og videregives i overensstemmelse med den fysiske persons forventninger og valg. Fysiske personer skal således til enhver tid kunne vælge (opt-out) ikke at lade deres personoplysninger anvende til direkte markedsføring. Det pågældende foretagende kan dog fastsætte passende tidsfrister for denne valgfrihed, f.eks. for at have tid til at indføre dette fravalg i systemet. Et foretagende kan ligeledes anmode om tilstrækkelige oplysninger for at bekræfte identiteten på den person, der ønsker at vælge fra. I USA kan fysiske personer gøre brug af denne valgfrihed ved hjælp af en central fravalgsordning, f.eks. Direct Marketing Association's Mail Preference Service. Foretagender, der deltager i denne Direct Marketing Association's Mail Preference Service, skal oplyse forbrugere, der ikke ønsker at modtage kommercielle oplysninger, om denne mulighed. De fysiske personer skal under alle omstændigheder nemt og uden uforholdsmæssig store omkostninger kunne gøre brug af denne valgfrihed.

På samme måde kan et foretagende anvende oplysninger til visse direkte markedsføringsformål, når det i praksis er umuligt at give den fysiske person mulighed for at vælge fra, inden oplysningerne anvendes, dog kun såfremt foretagendet straks giver den fysiske person mulighed for samtidig (eller efter anmodning til enhver tid) (uden omkostninger for den fysiske person) at afslå at modtage yderlige direkte markedsføringshenvendelser, og såfremt foretagendet overholder den fysiske persons ønsker.

FAQ nr. 13: Passageroplysninger

Spørgsmål: I hvilke tilfælde kan oplysninger om pladsreservation for flypassagerer og andre passageroplysninger, f.eks. oplysninger om hyppige flyvninger (frequent flyer) eller hotelreservation eller om særlige behov, herunder religiøst betingede krav til måltider eller fysisk assistance, overføres til foretagender uden for EU?

Svar: Sådanne oplysninger kan overføres i flere forskellige tilfælde. Personoplysninger kan i henhold til direktivets artikel 26 "videregives til et tredjeland, der ikke sikrer et tilstrækkeligt beskyttelsesniveau i overensstemmelse med artikel 25, stk. 2", , hvis 1) det er nødvendigt for at kunne yde de tjenester, kunden anmoder om, eller for at honorere en aftale, f.eks. en "frequent flyer"-aftale, eller hvis 2) kunden har givet udtrykkelig tilladelse dertil. Amerikanske foretagender, der tilslutter sig safe harbor-ordningen, giver en tilstrækkelig beskyttelse af personoplysninger og kan derfor modtage dataoverførsler fra EU uden at opfylde disse krav eller andre krav i direktivets artikel 26. Eftersom safe harbor-ordningen omfatter specifikke regler for følsomme oplysninger, kan denne type oplysninger (som f.eks. indsamles i forbindelse med kundernes behov for fysisk assistance) være omfattet af overførsler til safe harbor-deltagere. Det foretagende, der overfører oplysninger, skal dog under alle omstændigheder overholde lovgivningen i de EU-medlemsstater, hvor det udøver sine aktiviteter, hvilket bl.a. kan medføre særlige krav til behandlingen af følsomme oplysninger.

FAQ nr. 14: Farmaceutiske og medicinske produkter

1. spørgsmål: Finder medlemsstaternes lovgivning eller safe harbor-principperne anvendelse på personoplysninger, der indsamles i EU og overføres til USA med henblik på farmaceutisk forskning og/eller andre formål?

1. svar: Medlemsstaternes lovgivning finder anvendelse på indsamlingen af personoplysninger og på enhver behandling, der foretages forud for overførslen til USA. Safe harbor-principperne finder først anvendelse på oplysningerne, efter at de er blevet overført til USA. Oplysninger, der anvendes til farmaceutisk forskning og andre formål, skal i passende omfang anonymiseres.

2. spørgsmål: Personoplysninger, der opnås gennem specifik medicinsk eller farmaceutisk forskning, spiller ofte en vigtig rolle for fremtidig videnskabelig forskning. Må et foretagende i USA inden for rammerne af safe harbor-ordningen anvende personoplysninger til ny videnskabelig forskning, når disse oplysninger er indsamlet til et bestemt forskningsprojekt i EU og overført til USA?

2. svar: Ja, hvis principperne om oplysningspligt og valgfrihed i starten af forløbet er blevet overholdt. Eventuelle fremtidige specifikke anvendelser af de pågældende personoplysninger, f.eks. regelmæssig kontrol, beslægtede undersøgelser eller markedsføring, skal fremgå af den meddelelse, der gives i medfør af princippet om oplysningspligt. Det er naturligvis ikke muligt at specificere alle fremtidige anvendelser af oplysningerne, eftersom anvendelsen i et nyt forskningsprojekt eventuelt kan bygge på ny viden, som er opnået ved hjælp af de oprindelige personoplysninger, nye medicinske opdagelser eller fremskridt eller udviklingen inden for offentlig sundhed eller lovgivningen på sundhedsområdet. Meddelelsen skal derfor i givet fald omfatte en forklaring om, at personoplysninger kan anvendes i fremtidige, men uforudsigelige medicinske eller farmaceutiske forskningsprojekter. Hvis anvendelsen ikke er forenelig med de(t) generelle forskningsformål, hvortil oplysningerne oprindeligt blev indsamlet, eller som den fysiske person efterfølgende har godkendt, skal der indhentes en ny tilladelse.

3. spørgsmål: Hvad sker der med en fysisk persons personoplysninger, hvis en deltager efter eget ønske eller efter anmodning fra forskningssponsoren trækker sig ud af det kliniske forsøg?

3. svar: Deltagere kan til enhver tid beslutte eller blive anmodet om at trække sig ud af et klinisk forsøg. Enhver oplysning, der indsamles forud for tilbagetrækningen, må stadig behandles sammen med de øvrige oplysninger, der indsamles i forbindelse med det kliniske forsøg, dog kun såfremt den pågældende deltager klart har fået meddelt dette i forbindelse med tilmeldingen til forsøget.

4. spørgsmål: Virksomheder, der fremstillet farmaceutiske eller medicinske anordninger, må levere personoplysninger, der er opnået i forbindelse med kliniske forsøg i EU, til tilsynsmyndighederne i USA med henblik på regulering og kontrol. Er det tilladt at foretage lignende overførsler til andre end tilsynsmyndighederne, f.eks. virksomheder eller andre forskere?

4. svar: Ja, hvis det sker i overensstemmelse med principperne om oplysningspligt og valgfrihed.

5.spørgsmål: For at gøre de kliniske forsøg så objektive som muligt har deltagerne og til tider undersøgerne selv ikke adgang til oplysninger om den specifikke behandling, som hver deltager modtager. En sådan indsigt ville skade forskningsprojektet og resultaterne. Har deltagerne i sådanne kliniske forsøg (også kaldet blindundersøgelser) adgang til oplysninger om deres behandling under forsøget?

5. svar: Nej, en deltager skal ikke gives en sådan indsigt, hvis vedkommende fik oplyst denne begrænsning ved tilmeldingen til forsøget, og hvis videregivelsen af sådanne oplysninger vil være til skade for forskningsarbejdet. Man anses ved at acceptere at deltage i forsøget på disse betingelser for at give afkald på retten til indsigt. Deltagerne skal, såfremt de anmoder derom, have indsigt i deres personoplysninger, når forsøget er overstået, og når resultaterne er blevet analyseret. De skal først henvende sig til den læge eller behandler, som de er blevet behandlet af i forbindelse med det kliniske forsøg, hvorefter de eventuelt kan henvende sig til det sponsorerende firma.

6. spørgsmål: Skal en virksomhed, der fremstiller farmaceutiske eller medicinske anordninger, anvende safe harbor-principperne om oplysningspligt, valgfrihed, videre overførsel og indsigt i sine produktsikkerheds- og kontrolaktiviteter, herunder meddelelse om negative konstateringer og registreringen af patienter/registrerede, der anvender bestemte lægemidler eller medicinske anordninger (f.eks. en pacemaker)?

6. svar: Nej, i det omfang princippernes anvendelse kolliderer med overholdelsen af de gældende lovkrav. Det gælder både med hensyn til f.eks. rapporteringen fra behandlere til virksomheder, der fremstiller farmaceutiske eller medicinske anordninger, og med hensyn til rapporteringen fra disse virksomheder til myndighederne, f.eks. Food and Drug Administration.

7. spørgsmål: Som regel koder undersøgeren forskningsoplysningerne entydigt ved kilden for ikke at afsløre de registreredes identitet. De farmaceutiske virksomheder, der sponsorerer en sådan forskning, modtager ikke en nøgle til denne kode. Det er udelukkende forskeren, der er i besiddelse af den entydige nøgle, således at han/hun under særlige forhold er i stand til at identificere den enkelte forskningsdeltager (f.eks. hvis der er behov for efterfølgende medicinsk kontrol). Skal en overførsel fra EU til USA af oplysninger, der er kodet på denne måde, betragtes som en overførsel af personoplysninger, der er underlagt safe harbor-principperne?

7. svar: Nej, det vil ikke kunne karakteriseres som en overførsel af personoplysninger, der kræver overholdelse af safe harbor-principperne.

FAQ nr. 15: Oplysninger i offentlige registre og offentligt tilgængelige oplysninger

Spørgsmål: Er det nødvendigt at anvende princippet om oplysningspligt (notice), valgfrihed (choice) eller videre overførsel (onward transfer) på oplysninger i offentlige registre eller offentligt tilgængelige oplysninger?

Svar: Det er ikke nødvendigt at anvende princippet om oplysningspligt, valgfrihed eller videre overførsel på oplysninger i offentlige registre, såfremt de ikke sammenføres med oplysninger i ikke-offentlige registre, og såfremt alle betingelser for indsigt i offentlige registre i den gældende lovgivning overholdes.

Det er generelt heller ikke nødvendigt at anvende princippet om oplysningspligt, valgfrihed eller videre overførsel på offentligt tilgængelige oplysninger, medmindre den europæiske dataafsender meddeler, at de pågældende oplysninger er underlagt begrænsninger, der kræver, at det pågældende foretagende anvender disse principper til de formål, hvortil det agter at anvende oplysningerne. Foretagender er ikke ansvarlige for den måde, hvorpå disse oplysninger anvendes af andre, der indhenter oplysningerne fra offentliggjort materiale.

Foretagender vil blive udelukket fra safe harbor-ordningen, hvis det konstateres, at de med fuldt overlæg og i strid med principperne har offentliggjort personoplysninger, således at de selv eller andre kan drage fordel af disse undtagelser.

(1) Dette FAQ vil kun blive tilføjet pakken, hvis databeskyttelsmyndighederne er enige derom. De har drøftet teksten inden for rammerne af artikel 29-gruppen, og det fremgik, at et flertal kunne godkende teksten. De agter dog først at give udtryk for deres endelige holdning i forbindelse med den generelle udtalelse, som gruppen vil udstede om den endelige pakke.

(2) Se FAQ nr. 7 om kontrol.

(3) Instanser med kompetence inden for bilæggelse af tvister er ikke forpligtede til at overholde princippet om håndhævelse. De kan ligeledes fravige principperne, når der i forbindelse med deres specifikke opgaver opstår modstridende forpligtelser eller gives udtrykkelige tilladelser.

(4) Instanser med kompetence inden for bilæggelse af tvister skønner selv, under hvilke omstændigheder disse sanktioner skal anvendes. Spørgsmålet om de pågældende oplysningers følsomhed og spørgsmålet om, hvorvidt et foretagende har indsamlet, anvendt eller videregivet oplysninger i åbenlys strid med principperne, er nogle af de faktorer, der skal tages i betragtning, når det skal besluttes, hvorvidt der skal kræves sletning af data.

BILAG III

Oversigt over håndhævelsen af safe harbor-principperne

De federale myndigheders og enkeltstatsmyndighedernes kompetence med hensyn til illoyale eller vildledende praksiser og til beskyttelse af privatlivets fred

Formålet med dette memorandum er at redegøre for Federal Trade Commissions (FTC) kompetence i henhold til paragraf 5 i Federal Trade Commission Act (United States Code, afsnit 15, paragraf 41-58, som ændret) til at gribe ind over for foretagender, der ikke beskytter privatlivets fred med hensyn til personoplysninger til trods for deres erklæringer og/eller forpligtelser i denne henseende. Der redegøres ligeledes for de undtagelser, hvor FTCs kompetence ikke finder anvendelse, og for de muligheder, som andre organer på federalt niveau eller enkeltstatsniveau har for at gribe ind, når FTC ikke har nogen kompetence(1).

FTC's kompetence i sager om illoyal eller vildledende praksis

Paragraf 5 i Federal Trade Commission Act forbyder "illoyale eller vildledende handlinger eller praksiser i forbindelse med handel". United States Code, afsnit 15, paragraf 45(a)(1). Paragraf 5 giver FTC fuld beføjelse til at bekæmpe sådanne handlinger og praksiser. United States Code, afsnit 15, paragraf 45(a)(2). FTC har således kompetence til at udstede forbud eller påbud (cease and desist) for at bringe den ulovlige adfærd til ophør, efter at have foretaget en formel høring i sagen. United States Code, afsnit 15, paragraf 45(b). Hvis det tjener offentlighedens interesse, kan FTC ligeledes anmode en amerikansk domstol (district court) om at foretage foreløbig arrest (temporary restraining order) eller om at udstede foreløbigt eller endeligt forbud eller påbud (temporary or permanent injunction). United States Code, afsnit 15, paragraf 53(b). Når der kan konstateres et generelt adfærdsmønster med illoyale eller vildledende handlinger eller praksiser, eller når FTC allerede har udstedt et forbud eller påbud (cease and desist) i den pågældende sag, kan FTC fastsætte en administrativ bestemmelse, der forbyder de pågældende handlinger eller praksiser. United States Code, afsnit 15, paragraf 57a.

Enhver, der ikke retter sig efter en afgørelse fra FTC, kan idømmes en bøde på 11 000 USD, idet det vil blive betragtet som en særskilt overtrædelse, hver dag overtrædelsen fortsætter(2). United States Code, afsnit 15, paragraf 45 (1). Enhver, der bevidst overtræder en afgørelse fra FTC, kan ligeledes idømmes en bøde på 11000 USD for hver overtrædelse. United States Code, afsnit 15 paragraf 45(m). Justitsministeriet kan træffe foranstaltninger til håndhævelse af disse afgørelser, medmindre det afviser dette, hvor FTC i så fald kan træffe disse foranstaltninger. United States Code, afsnit 15, paragraf 56.

FTC's kompetence med hensyn til beskyttelsen af privatlivets fred

FTC har i forbindelse med udøvelsen af sine beføjelser i henhold til paragraf 5 valgt at fortolke det som en vildledende praksis, hvis man afgiver urigtige omlysninger om årsagen eller formålet med indsamlingen af forbrugeres personoplysninger(3). FTC anlagde således i 1998 sag mod GeoCities, fordi dette foretagende havde videregivet oplysninger, der var blevet indsamlet på dets websted, til tredjemand med henblik på markedsføring, og dette uden nogen forudgående tilladelse, hvilket var i strid med dets hensigtserklæring med hensyn til beskyttelse af privatlivets fred(4). FTC har ligeledes fastslået, at indsamlingen af personoplysninger fra børn og salg eller videregivelse af sådanne oplysninger uden forældrenes tilladelse kan betragtet som illoyal praksis(5).

FTC's formand, Robert Pitofsky, har i en skrivelse til Generaldirektør John Mogg fra Europa-Kommissionen redegjort for begrænsningerne i FTC's beføjelser til at beskytte privatlivets fred, når der ikke er afgivet urigtige oplysninger (eller slet ikke afgivet oplysninger) om, hvorledes de indsamlede oplysninger vil blive anvendt, jf. skrivelse fra FTC's formand, Robert Pitofsky, til John Mogg af 23. september 1998. Foretagender, der ønsker at deltage i den foreslåede safe harbor-ordning, skal imidlertid erklære, at de vil beskytte de oplysninger, som de indsamler, i overenssstemmelse med de fastsatte retningslinjer. Når et foretagende således erklærer, at det vil beskytte personoplysninger, men ikke lever op til dette, vil dette blive betragtes som en "misrepresentation" (afgivelse af urigtige oplysninger eller fortielse af sandheden) og som en vildledende praksis i henhold til paragraf 5.

Eftersom FTC's kompetence kun omfatter illoyale eller vildledende handlinger eller praksiser, hvis de er handelsrelaterede, har FTC ikke kompetence med hensyn til indsamling og anvendelse af personoplysninger til ikke-kommercielle formål, f.eks. velgørenhedsformål. Jf. skrivelse fra Robert Pitofsky, side 3. Dette krav anses dog for opfyldt, når personoplysningerne anvendes i en hvilken som helst kommerciel transaktion, og det vil således være omfattet af paragraf 5, hvis en arbejdsgiver f.eks. sælger personoplysninger om sine ansatte til et foretagende, der foretager direkte markedsføring.

Undtagelser i paragraf 5

Paragraf 5 indeholder en række begrænsninger af FTC's kompetence i sager om illoyale eller vildledende handlinger eller praksiser i forbindelse med:

- finansielle institutter, herunder banker, opsparings- og udlåns- samt kreditforeninger

- kollektive formidlere (common carriers) af telekommunikation og interstatslig transport

- luftfartsselskaber, og

- forsynings- og kreaturvirksomheder (packers and stockyard operators).

Jf. United States Code, afsnit 15, paragraf 45(a)(2). I det efterfølgende beskrives hver undtagelse og den tilsynsførende myndighed, der træder i stedet for FTC.

Finansielle institutter(6)

Den første undtagelse gælder "banker samt opsparings- og udlånsforeninger som beskrevet i paragraf 18(f)(3) (United States Code, afsnit 15, paragraf 57a(f)(3))" og "federale kreditforeninger som beskrevet i paragraf 18(f)(4) (United States Code, afsnit 15, paragraf 57a(f)(4))"(7). Disse finansielle institutter er i stedet underlagt bestemmelser, der udstedes af henholdsvis Federal Reserve Board, Office of Thrift Supervision(8) og National Credit Union Administration Board. Jf. United States Code, afsnit 15, paragraf 57a(f). Disse lovbestemte myndigheder har til opgave at fastsætte de nødvendige bestemmelser med henblik på at bekæmpe finansielle institutters(9) anvendelse af illoyale eller vildledende praksiser samt at nedsætte et særskilt organ, der kan behandle forbrugerklager. United States Code, afsnit 15, paragraf 57a(f)(1). Endelig er håndhævelsesbeføjelserne fastsat i paragraf 8 i Federal Deposit Insurance Act (United States Code, afsnit 12, paragraf 1818) for banker samt opsparings- og indlånsforeninger og i paragraf 120 og 206 i Federal Credit Union Act for federale kreditforeninger. United States Code, afsnit 15, paragraf 57a(f)(2)-(4).

Selvom forsikringsbranchen ikke er specifikt omfattet af undtagelserne i paragraf 5, påhviler det i henhold til McCarran-Ferguson Act (United States Code, afsnit 15, paragraf 1011 ff.) som regel enkeltstaterne at udstede regler på dette område(10). I henhold til paragraf 2(b) i McCarran-Ferguson Act kan enkeltstaternes regler desuden ikke omstødes, forringes eller fortrænges af federale lovbestemmelser, "medmindre sådanne regler specifikt vedrører forsikringsbranchen". United States Code, afsnit 15, paragraf 1012(b). Bestemmelserne i FTC Act finder dog anvendelse på forsikringsselskaber "i det omfang, hvor de ikke er omfattet af enkeltstaternes lovgivning". Idem. Det skal ligeledes bemærkes, at McCarran-Ferguson Act kun fortrænges af enkeltsstatslovgivningerne med hensyn til "forsikringsforretninger" (business of insurance). Når intet andet udtrykkeligt er fastsat i enkeltstaternes lovgivning, har FTC således kompetence i sager om forsikringsselskabers illoyal eller vildledende praksiser i forbindelse med andet end forsikringsrelaterede aktiviteter. Dette kan således være tilfældet, når forsikringsselskaber sælger personoplysninger om deres forsikringstagere til foretagender, der foretager direkte markedsføring for andet end forsikringsrelaterede produkter(11).

Kollektive formidlere (common carriers)

Den anden undtagelse i paragraf 5 gælder de kollektive formidlere, der er "underlagt den handelsregulerende lovgivning". United States Code, afsnit 15, paragraf 45(a)(2). Med "handelsregulerede lovgivning" henvises der til afdeling IV i kapitel 49 i United States Code og Communications Act af 1934 (United States Code, afsnit 47, paragraf 151 ff.) (Communications Act). Jf. United States Code, afsnit 15, paragraf 44.

Bestemmelserne i United States Code, afdeling IV, afsnit 49 (interstatslig transport) finder anvendelse på jernbaneselskaber, vognmænd, flodtransportører, speditører, transportmæglere og pipeline-operatører). United States Code, afsnit 49, paragraf 10101 ff. Disse forskellige kollektive transportformidlere er underlagt Surface Transportation Board, som er et uvildigt organ under transportministeriet. United States Code, afsnit 49, paragraf 10501, 13501 og 15301. Det gælder generelt, at formidlerne forbydes at videregive oplysninger om fragtens art, bestemmelesstedet eller om andre aspekter af fragten, der kan anvendes til skade for afsenderen. Jf. United States Code, afsnit 49, paragraf 11904, 14908 og 16103. Det skal bemærkes, at disse bestemmelser finder anvendelse på oplysninger om afsenderens fragt og således ikke på personoplysninger om afsender, som ikke vedrører den pågældende fragt.

Federal Communications Commission (FCC) er i henhold til Communications Act det regulerende organ med hensyn til "interstatslig handel og udenrigshandel med kommunikation via kabel eller radio". Jf. United States Code, afsnit 47, paragraf 151 og 152. Communications Act finder ikke alene anvendelse på kollektive telekommunikationsformidlere, men også på foretagender som tv- og radioselskaber og kabeloperatører, som ikke betragtes som kollektive formidlere. Sidstnævnte selskaber er som sådan ikke omfattet af undtagelsen i paragraf 5 i FTC Act. FTC har således kompetence til at undersøge sager om illoyal eller vildledende praksis, begået af disse selskaber, mens FCC har konkurrerende kompetence til at gøre sine beføjelser gældende på dette område som beskrevet nedenfor.

I henhold til Communications Act er "enhver telekommunikationsformidler", herunder de lokale telefoncentraler (local exchange carriers), forpligtede til at beskytte deres kunders privatliv(12). United States Code, afsnit 47, paragraf 222(a). Communications Act er desuden blevet ændret i kraft af Cable Communications Policy Act af 1984 (Cable Act), United States Code, afsnit 47, paragraf 521 ff., således at der ud over denne generelle forpligtelse til at beskytte privatlivets fred er fastsat specifikke bestemmelser om, at kabeloperatører skal beskytte privatlivets fred med hensyn til deres abonnenters "personligt identificerbare oplysninger". United States Code, afsnit 47, paragraf 551(13). Cable Act indeholder bestemmelser, der begrænser kabeloperatørers indsamling af personoplysninger, og som kræver, at kabeloperatører underretter abonnenterne om arten af de personoplysninger, der indsamles, og om hvorledes de vil blive anvendt. Cable Act giver abonnenterne ret til indsigt i deres personoplysninger og pålægger kabeloperatører at slette oplysninger, der ikke længere er nødvendige.

Communications Act giver FCC beføjelse til at håndhæve disse to bestemmelser til beskyttelse af privatlivets fred, enten på eget initiativ eller som følge af en ekstern klage(14). United States Code, afsnit 47, paragraf 205, 208 og 403. FCC kan, efter at have konstateret, at en telekommunikationsformidler (herunder en kabeloperatør) har overtrådt bestemmelserne til beskyttelse af privatlivets fred i paragraf 222 eller 551, træffe tre forskellige retshåndhævende foranstaltninger. FCC kan for det første, efter at have foretaget en høring og fastslået, at der er sket en overtrædelse, pålægge formidleren at betale en økonomisk erstatning (monetary damages)(15). United States Code, afsnit 47, paragraf 209. FCC kan for det andet udstede forbud eller påbud (cease and desist) mod formidlerens ulovlige praksis eller undladelse. United States Code, afsnit 47, paragraf 205(a). FCC kan for det tredje ligeledes pålægge den formidler, der overtræder loven, at "overholde og følge (enhver) bestemmelse eller praksis", som FCC foreskriver. Idem.

Fysiske personer, der mener, at en telekommunikationsformidler eller kabeloperatør har overtrådt de relevante bestemmelser i Communications Act eller Cable Act, kan enten indgive en klage til FCC eller anlægge sag ved en federal domstol (federal district court). United States Code, afsnit 47, paragraf 207. En klager, der får medhold i et søgsmål ved en federal domstol mod en telekommunikationsformidler på grund af mangelfuld beskyttelse af kundernes personoplysninger i henhold til det mere bredt definerede afsnit 222 i Communications Act, kan få tilkendt en direkte erstatning (actual damages) og få dækket advokatsalæret. United States Code, afsnit 47, paragraf 206. En klager, der anlægger sag med påstand om overtrædelse af privatlivets fred i henhold til afsnit 551 i Cable Act, der specifikt gælder for kabel-operatører, kan ud over at få tilkendt en direkte erstatning og få dækket advokatsalæret også få tilkendt en pønalt begrundet forhøjet erstatning (punitive damages) og få dækket begrundede sagsomkostninger. United States Code, afsnit 47 paragraf 551(f).

FCC har udstedt detaljerede regler til gennemførelse af paragraf 222. Jf. Code of Federal Regulations, afsnit 47, paragraf 64.2001-2009. Disse regler indeholder specifikke bestemmelser, der beskytter mod uautoriseret adgang til oplysninger om netværkskunder (customer proprietary network information). Bestemmelserne pålægger telekommunikationsformidlere:

- at udvikle og implementere softwaresystemer, der automatisk viser ("flag") en kundes status med hensyn til oplysning (notice) og godkendelse (approval), når den pågældende kundes "generalieblad" første gang kommer frem på skærmen

- at foretage en elektronisk adgangsregistrering (audit trail), der gør det muligt at spore, når en kundes "generalieblad" har været benyttet, herunder tidspunkt og formålet med den pågældende anvendelse samt den ansvarlige person

- at uddanne deres personale til at foretage autoriseret anvendelse af oplysninger om netværkskunder og implementere passende sanktionsprocedurer

- at etablere en kontrolprocedure for at sikre, at reglerne overholdes i forbindelse med udgående marketing

- en gang om året at erklære til FCC, hvorledes reglerne overholdes.

Luftfartsselskaber

Amerikanske og udenlandske luftfartsselskaber, som er underlagt Federal Aviation Act af 1958,