DA Den Europæiske Unions Tidende L 39/5

KOMMISSIONENS AFGØRELSE

af 5. februar 2010

om standardkontraktbestemmelser for videregivelse af personoplysninger til registerførere etableret i tredjelande i henhold til Europa-Parlamentets og Rådets direktiv 95/46/EF

(meddelt under nummer K(2010) 593)

(EØS-relevant tekst)

(2010/87/EU)

EUROPA-KOMMISSIONEN HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde,

under henvisning til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1), særlig artikel 26, stk. 4, og

efter høring af Den Europæiske Tilsynsførende for Databeskyttelse, og

ud fra følgende betragtninger:

(1) I henhold til direktiv 95/46/EF skal medlemsstaterne sørge for, at personoplysninger kun kan videregives til et tredjeland, hvis det pågældende tredjeland sikrer et tilstrækkeligt databeskyttelsesniveau, og hvis medlemsstaternes lovgivning, der er i overensstemmelse med direktivets øvrige bestemmelser, overholdes inden videregivelsen.

(2) Medlemsstaterne kan dog i henhold til artikel 26, stk. 2, i direktiv 95/46/EF og med forbehold af visse garantier give tilladelse til videregivelse eller en type videregivelse af personoplysninger til tredjelande, der ikke sikrer et tilstrækkeligt beskyttelsesniveau. Sådanne garantier kan især fremgå af passende kontraktbestemmelser.

(3) Databeskyttelsesniveauet bør i henhold til direktiv 95/46/EF vurderes på grundlag af samtlige de forhold, der har indflydelse på videregivelse eller en type videregivelse af oplysninger. Den ved direktivet nedsatte arbejdsgruppe vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger har udarbejdet retningslinjer for, hvorledes denne vurdering skal foretages.

(4) Standardkontraktbestemmelser bør kun vedrøre databeskyttelse. Dataeksportøren og dataimportøren kan derfor frit indføje enhver anden kommerciel bestemmelse, som de anser for at være af betydning for kontrakten, så længe den pågældende bestemmelse ikke er i strid med standardkontraktbestemmelserne.

(5) Denne afgørelse bør ikke berøre nationale tilladelser, som medlemsstaterne måtte give i henhold til nationale bestemmelser om gennemførelse af artikel 26, stk. 2, i direktiv 95/46/EF. Den bør kun have den virkning, at medlemsstaterne ikke må nægte at anerkende, at de i afgørelsen fastsatte standardkontraktbestemmelser giver tilstrækkelige garantier, og den bør derfor ikke have nogen indvirkning på andre kontraktbestemmelser.

(6) Kommissionens beslutning 2002/16/EF af 27. december 2001 om standardkontraktbestemmelser for overførsel af personoplysninger til registerførere etableret i tredjelande i henhold til direktiv 95/46/EF (2) blev vedtaget for at lette videregivelsen af personoplysninger fra en registeransvarlig, der er etableret i Den Europæiske Union, til en registerfører, der er etableret i et tredjeland, som ikke frembyder et tilstrækkeligt databeskyttelsesniveau.

(7) Der er opnået mange erfaringer siden vedtagelsen af beslutning 2002/16/EF. Desuden viser rapporten om gennemførelsen af beslutningerne om standardkontraktbestemmelser for videregivelse af personoplysninger til tredjelande (3), at der er voksende interesse for at fremme brugen af standardkontraktbestemmelser for international videregivelse af personoplysninger til tredjelande, som ikke frembyder et tilstrækkeligt databeskyttelsesniveau. Endvidere har interesserede parter fremsat forslag til ajourføring af standardkontraktbestemmelserne i beslutning 2002/16/EF for at tage hensyn til databehandlingens hastige udbredelse på verdensplan og at behandle en række spørgsmål, der ikke var omfattet af beslutningen (4).

(8) Denne afgørelses anvendelsesområde bør begrænses til at fastslå, at de bestemmelser, den indeholder, kan anvendes af en registeransvarlig, der er etableret i Den Europæiske Union, med henblik på at yde tilstrækkelige garantier i overensstemmelse med artikel 26, stk. 2, i direktiv 95/46/EF for videregivelse af personoplysninger til en registerfører etableret i et tredjeland.

(9) Denne afgørelse bør ikke finde anvendelse på videregivelse af personoplysninger fra registeransvarlige etableret i Den Europæiske Union til registeransvarlige etableret uden for Den Europæiske Unions område, når disse oplysninger falder ind under anvendelsesområdet for Kommissionens beslutning 2001/497/EF af 15. juni 2001 om standardkontraktbestemmelser for overførsel af personoplysninger til tredjelande i henhold til direktiv 95/46/EF (5).

(10) Denne afgørelse bør opfylde den i artikel 17, stk. 3, i direktiv 95/46/EF omhandlede forpligtelse og bør ikke berøre indholdet i de kontrakter eller retligt bindende dokumenter, der er udarbejdet i henhold til denne bestemmelse. Nogle af standardkontraktbestemmelserne, særlig med hensyn til dataeksportørens pligter, bør imidlertid medtages for at skabe større klarhed over, hvilke bestemmelser der kan være omfattet af en kontrakt mellem en registeransvarlig og en registerfører.

(11) Medlemsstaternes tilsynsmyndigheder spiller en central rolle i denne kontraktordning ved at sikre, at personoplysninger beskyttes tilstrækkeligt efter videregivelsen. I særlige tilfælde, hvor dataeksportøren nægter eller ikke er i stand til at instruere dataimportøren behørigt, med overhængende risiko for alvorlig skade for de registrerede til følge, bør standardkontraktbestemmelserne give tilsynsmyndighederne adgang til at foretage inspektion hos dataimportørerne og de underkontraherede registerførere og i givet fald at træffe beslutninger, som er bindende for dataimportørerne og de underkontraherede registerførere. Tilsynsmyndighederne bør have beføjelse til at forbyde eller suspendere videregivelse eller en type videregivelse af personoplysninger på grundlag af standardkontraktbestemmelserne i de særlige tilfælde, hvor det konstateres, at videregivelse på grundlag af kontraktbestemmelserne kan forventes at få en betydelig negativ virkning på de garantier og forpligtelser, hvormed den registrerede sikres en passende beskyttelse.

(12) Standardkontraktbestemmelser bør fastsætte de tekniske og organisatoriske sikkerhedsforanstaltninger, som registerførere etableret i et tredjeland, der ikke frembyder et tilstrækkeligt beskyttelsesniveau, skal iværksætte for at garantere et passende sikkerhedsniveau i forhold til de risici, behandlingen og arten af de oplysninger, der skal beskyttes, indebærer. Parterne bør i kontrakten fastsætte de tekniske og organisatoriske foranstaltninger, som under hensyn til den gældende databeskyttelseslovgivning, det aktuelle tekniske niveau og de omkostninger, som er forbundet med deres iværksættelse, er nødvendige for at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang eller enhver anden form for ulovlig behandling.

(13) For at fremme datastrømmen fra Den Europæiske Union bør registerførere, som leverer databehandlingstjenester til flere registeransvarlige i Den Europæiske Union, have tilladelse til at anvende de samme tekniske og organisatoriske sikkerhedsforanstaltninger, uanset hvilken medlemsstat dataoverførslen stammer fra, især i de tilfælde, hvor dataimportøren modtager data til yderligere behandling fra dataeksportørens forskellige foretagender i Den Europæiske Union, idet lovgivningen i den medlemsstat, som er hjemstaten, i så fald bør finde anvendelse.

(14) Det er hensigtsmæssigt at fastlægge de minimumoplysninger, som parterne skal specificere i kontrakten om videregivelse af personoplysninger. Medlemsstaterne bør bevare retten til nærmere at specificere, hvilke oplysninger parterne skal give. Denne afgørelse bør revideres på grundlag af de erfaringer, der gøres med den.

(15) Dataimportøren bør udelukkende behandle de videregivne personoplysninger på dataeksportørens vegne og i overensstemmelse med dennes instrukser og de forpligtelser, der fremgår af standardkontraktbestemmelserne. Dataimportøren bør især ikke videregive personoplysninger til tredjemand uden dataeksportørens forudgående skriftlige samtykke. Dataeksportøren bør under hele databehandlingsforløbet instruere dataimportøren om at behandle oplysningerne i overensstemmelse med hans instrukser, den gældende databeskyttelseslovgivning og de forpligtelser, der fremgår af standardkontraktbestemmelserne.

(16) Rapporten om gennemførelsen af beslutningerne om standardkontraktbestemmelser for videregivelse af personoplysninger til tredjelande anbefaler, at der fastsættes standardkontraktbestemmelser om senere videregivelse af oplysninger fra en registerfører, der er etableret i et tredjeland, til en anden registerfører (udlicitering) for at tage hensyn til, at erhvervslivets tendens i praksis går i retning af en mere og mere globaliseret databehandling.

(17) Denne afgørelse bør indeholde særlige standardkontraktbestemmelser om det forhold, at en registerfører, der er etableret i et tredjeland (dataimportøren), udliciterer sin databehandling til andre registerførere (underkontraherede registerførere), der er etableret i tredjelande. Den bør desuden indeholde de betingelser, som udliciteringen skal opfylde for at sikre, at de videregivne personoplysninger fortsat beskyttes uanset den efterfølgende videregivelse til en underkontraheret registerfører.

(18) Endvidere bør udliciteringen kun bestå af de transaktioner, der er aftalt i den kontrakt, som dataeksportøren og dataimportøren har indgået, og som indeholder de standardkontraktbestemmelser, der er omhandlet i denne afgørelse, og den bør ikke omfatte anden behandling eller andre formål, så det formålsbegrænsningsprincip, der er fastsat i direktiv 95/46/EF, overholdes. Hvis den underkontraherede registerfører ikke opfylder sine databehandlingsforpligtelser i henhold til kontrakten, bør dataimportøren desuden fortsat være ansvarlig over for dataeksportøren. Videregivelsen af personoplysninger til registerførere etableret uden for Den Europæiske Unions område bør ikke påvirke det forhold, at databehandling bør være underlagt den gældende databeskyttelseslovgivning.

(19) Standardkontraktbestemmelser bør ikke alene kunne håndhæves af de kontraherende parter, men også af de registrerede, og det gælder især, når de registrerede lider skade som følge af kontraktbrud.

(20) Den registrerede bør have ret til at anlægge sag mod og i givet fald modtage erstatning fra dataeksportøren, der er registeransvarlig for de videregivne personoplysninger. Undtagelsesvis bør den registrerede også have ret til at anlægge sag mod og i givet fald modtage erstatning fra dataimportøren i tilfælde, hvor dataimportøren eller en af dennes underkontraherede registerførere overtræder sine forpligtelser i henhold til standardbestemmelse 3, stk. 2, og dataeksportøren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvent. Undtagelsesvis bør den registrerede også have ret til at anlægge sag mod og i givet fald modtage erstatning fra en underkontraheret registerfører, hvis både dataeksportøren og dataimportøren faktisk eller retligt set er ophørt med at eksistere eller er blevet insolvente. Den underkontraherede registerførers erstatningsansvar bør begrænses til hans egen databehandling i henhold til kontraktbestemmelserne.

(21) Såfremt der opstår en tvist mellem den registrerede, som påberåber sig tredjemandsløftet, og dataimportøren, og denne tvist ikke afgøres i mindelighed, bør dataimportøren tilbyde den registrerede valget mellem mægling eller domstolsprøvelse. Om den registrerede har en egentlig valgmulighed, vil afhænge af, hvorvidt der er pålidelige og anerkendte mæglingsinstanser og voldgiftsretter til rådighed. Mægling foretaget af databeskyttelsesmyndighederne i den medlemsstat, hvor dataeksportøren er etableret, bør være en valgmulighed, når den tilbydes.

(22) Kontrakten bør være underlagt lovgivningen i den medlemsstat, hvor dataeksportøren er etableret, hvilket giver en begunstiget tredjemand mulighed for at håndhæve en kontrakt. De registrerede bør, såfremt de ønsker det, og det er tilladt i henhold til national ret, kunne lade sig repræsentere af foreninger eller andre organer. Samme lovgivning bør også gælde for bestemmelser om databeskyttelse i kontrakter med en underkontraheret registerfører om udlicitering af behandlingen af personoplysninger, som dataeksportøren har videregivet til dataimportøren i henhold til kontraktbestemmelserne.

(23) Da denne afgørelse kun gælder for den situation, hvor en registerfører etableret i et tredjeland udliciterer sin databehandling til en underkontraheret registerfører etableret i et tredjeland, bør den ikke finde anvendelse på den situation, hvor en registerfører, der er etableret i Den Europæiske Union og behandler personoplysninger på vegne af en registeransvarlig, der er etableret i Den Europæiske Union, udliciterer sin behandling til en underkontraheret registerfører, der er etableret i et tredjeland. I sådanne situationer kan medlemsstaterne frit vælge, om de vil tage hensyn til, at principperne og garantierne i standardkontraktbestemmelserne i denne afgørelse er blevet anvendt til udlicitering af behandlingen til en underkontraheret registerfører, der er etableret i et tredjeland, med det formål at yde tilstrækkelig beskyttelse af de rettigheder, der tilkommer registrerede, hvis personoplysninger videregives til behandling hos en underkontraheret registerfører.

(24) Den udtalelse, som gruppen vedrørende beskyttelse af personer i forbindelse med behandling af personoplysninger, der er nedsat ved artikel 29 i direktiv 95/46/EF, har afgivet om det beskyttelsesniveau, som opnås ved hjælp af standardkontraktbestemmelserne i bilaget til denne afgørelse, er taget i betragtning ved udarbejdelsen af denne afgørelse.

(25) Beslutning 2002/16/EF bør ophæves.

(26) Foranstaltningerne i denne afgørelse er i overensstemmelse med udtalelsen fra det udvalg, der er nedsat ved artikel 31 i direktiv 95/46/EF —

VEDTAGET DENNE AFGØRELSE:

Artikel 1

De i bilaget fastsatte standardkontraktbestemmelser anses for at yde tilstrækkelige garantier for beskyttelse af privatlivets fred og fysiske personers grundlæggende rettigheder og frihedsrettigheder samt for udøvelsen af de dertil knyttede rettigheder, som fastsat i artikel 26, stk. 2, i direktiv 95/46/EF.

Artikel 2

Denne afgørelse vedrører kun tilstrækkeligheden af den beskyttelse, der opnås ved hjælp af de i bilaget fastsatte standardkontraktbestemmelser for videregivelse af personoplysninger til registerførere. Den har ingen indvirkning på anvendelsen af andre nationale retsforskrifter om gennemførelse af direktiv 95/46/EF, som vedrører behandling af personoplysninger i medlemsstaterne.

Denne afgørelse finder anvendelse på videregivelse af personoplysninger fra registeransvarlige, der er etableret i Den Europæiske Union, til modtagere, som er etableret uden for Den Europæiske Unions område, og som blot behandler disse oplysninger.

Artikel 3

I denne afgørelse forstås ved:

a) »særlige kategorier af oplysninger«: de oplysninger, der er omhandlet i artikel 8 i direktiv 95/46/EF

b) »tilsynsmyndighed«: den myndighed, der er omhandlet i artikel 28 i direktiv 95/46/EF

c) »dataeksportør«: den registeransvarlige, der videregiver personoplysningerne

d) »dataimportør«: den registerfører etableret i et tredjeland, som indvilliger i at modtage personoplysninger fra dataeksportøren med henblik på behandling på dataeksportørens vegne efter videregivelsen, i overensstemmelse med dataeksportørens instrukser og denne afgørelse, og som ikke er underlagt et tredjelands system, der sikrer et tilstrækkeligt beskyttelsesniveau som omhandlet i artikel 25, stk. 1, i direktiv 95/46/EF

e) »underkontraheret registerfører«: enhver registerfører, der efter aftale med dataimportøren eller af en af dataimportørens øvrige underkontraherede registerførere indvilliger i fra dataimportøren eller en af dataimportørens øvrige underkontraherede registerførere at modtage personoplysninger udelukkende med henblik på behandling på dataeksportørens vegne efter videregivelsen, i overensstemmelse med dataeksportørens instrukser, de standardkontraktbestemmelser, der er anført i bilaget, og betingelserne i den skriftlige udliciteringskontrakt

f) »den gældende databeskyttelseslovgivning«: den lovgivning, der beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, især deres ret til beskyttelse af privatlivets fred, med hensyn til behandling af personoplysninger, og som gælder for en registeransvarlig i den medlemsstat, hvor dataeksportøren er etableret

g) »tekniske og organisatoriske sikkerhedsforanstaltninger«: de foranstaltninger, der har til formål at beskytte personoplysninger mod hændelig eller ulovlig tilintetgørelse, hændeligt tab, ændring, uautoriseret videregivelse eller adgang, især hvor behandlingen omfatter videregivelse af oplysninger i et net, samt mod enhver anden form for ulovlig behandling.

Artikel 4

1. De kompetente myndigheder i medlemsstaterne kan, uden at det berører deres beføjelse til at træffe foranstaltninger for at sikre overholdelse af de nationale bestemmelser, der vedtages i henhold til kapitel II, III, V og VI i direktiv 95/46/EF, gøre brug af deres beføjelser til at forbyde eller suspendere datastrømmen til tredjelande for at beskytte fysiske personer med hensyn til behandling af deres personoplysninger:

a) når det er fastslået, at den lovgivning, som dataimportøren eller en underkontraheret registerfører er underlagt, pålægger den pågældende krav om at fravige den gældende databeskyttelseslovgivning i en grad, som er mere vidtgående end de restriktioner, der er nødvendige i et demokratisk samfund, som fastsat i artikel 13 i direktiv 95/46/EF, når disse krav kan formodes at have en betydelig negativ virkning på den sikkerhed, der opnås ved hjælp af den gældende databeskyttelseslovgivning og standardkontraktbestemmelserne, eller

b) når en kompetent myndighed har fastslået, at dataimportøren eller en underkontraheret registerfører ikke har overholdt standardkontraktbestemmelserne i bilaget, eller

c) når der er stor sandsynlighed for, at standardkontraktbestemmelserne i bilaget ikke overholdes eller ikke vil blive overholdt, og at en fortsat videregivelse af oplysninger vil kunne skabe en overhængende risiko for alvorlig skade for de registrerede.

2. Forbud eller suspension i henhold til stk. 1 ophæves straks, når grundene til forbuddet eller suspensionen ikke længere eksisterer.

3. Når medlemsstaterne vedtager foranstaltninger i overensstemmelse med stk. 1 og 2, underretter de straks Kommissionen, som igen underretter de øvrige medlemsstater.

Artikel 5

Kommissionen evaluerer anvendelsen af denne afgørelse på grundlag af alle tilgængelige oplysninger tre år efter, at afgørelsen er vedtaget. Den aflægger rapport om resultaterne til det udvalg, der er nedsat ved artikel 31 i direktiv 95/46/EF. Rapporten skal omfatte ethvert forhold, der kan påvirke vurderingen af, om standardkontraktbestemmelserne i bilaget er tilstrækkelige, samt ethvert forhold, hvoraf det fremgår, at denne afgørelse anvendes på en diskriminerende måde.

Artikel 6

Denne afgørelse træder i kraft den 15. maj 2010.

Artikel 7

1. Beslutning 2002/16/EF ophæves med virkning fra den 15. maj 2010.

2. Kontrakter, der indgås af en dataeksportør og en dataimportør i henhold til beslutning 2002/16/EF inden den 15. maj 2010, har fuld gyldighed, så længe den videregivelse af oplysninger og den databehandling, kontrakten vedrører, forbliver uændret, og personoplysninger, der er omfattet af denne afgørelse, fortsat videregives mellem parterne. Når de kontraherende parter beslutter at foretage ændringer i denne forbindelse eller udliciterer den databehandling, som kontrakten vedrører, skal de indgå en ny kontrakt, som skal være i overensstemmelse med de standardkontraktbestemmelser, der er fastsat i bilaget.

Artikel 8

Denne afgørelse er rettet til medlemsstaterne.

Udfærdiget i Bruxelles, den 5. februar 2010. På Kommissionens vegne Jacques BARROT Næstformand

(1) EFT L 281 af 23.11.1995, s. 31.

(2) EFT L 6 af 10.1.2002, s. 52.

(3) SEC(2006) 95 af 20.1.2006.

(4) Det Internationale Handelskammer (ICC), Japan Business Council in Europe (JBCE), EU Committee of the American Chamber of Commerce i Belgien (Amcham), og Federation of European Direct Marketing Associations (FEDMA).

(5) EFT L 181 af 4.7.2001, s. 19.