2000D0520 — EL — 25.08.2000 — 000.001

Το έγγραφο αυτό συνιστά βοήθημα τεκμηρίωσης και δεν δεσμεύει τα κοινοτικά όργανα

Διορθώνεται από:

▼B

ΑΠΌΦΑΣΗ ΤΗΣ ΕΠΙΤΡΟΠΉΣ

της 26ης Ιουλίου 2000

βάσει της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με την επάρκεια της προστασίας που παρέχεται από τις αρχές ασφαλούς λιμένα για την προστασία της ιδιωτικής ζωής και τις συναφείς συχνές ερωτήσεις που εκδίδονται από το Υπουργείο Εμπορίου των ΗΠΑ

[κοινοποιηθείσα υπό τον αριθμό Ε(2000) 2441]

(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

(2000/520/ΕΚ)

Η ΕΠΙΤΡΟΠΗ ΤΩΝ ΕΥΡΩΠΑΪΚΩΝ ΚΟΙΝΟΤΗΤΩΝ, Έχοντας υπόψη: Έχοντας υπόψη: τη συνθήκη για την ίδρυση της Ευρωπαϊκής Κοινότητας, την οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων ( 1 ), και ιδίως το άρθρο 25 παράγραφος 6, Εκτιμώντας τα ακόλουθα: (1) Σύμφωνα με το άρθρο 25 παράγραφος 1 της οδηγίας 95/46/ΕΚ απαιτείται από τα κράτη μέλη να προβλέπουν ότι η διαβίβαση προς τρίτη χώρα δεδομένων προσωπικού χαρακτήρα επιτρέπεται μόνον εάν η εν λόγω τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας και οι νόμοι του κράτους μέλους που εφαρμόζουν άλλες διατάξεις της οδηγίας τηρούνται πριν από τη διαβίβαση. (2) Η Επιτροπή δύναται να αποφαίνεται ότι μια τρίτη χώρα εξασφαλίζει ικανοποιητικό επίπεδο προστασίας. Στην περίπτωση αυτή επιτρέπεται να διαβιβάζονται τα δεδομένα προσωπικού χαρακτήρα από τα κράτη μέλη, χωρίς να είναι απαραίτητη η παροχή πρόσθετων εγγυήσεων. (3) Σύμφωνα με την οδηγία 95/46/ΕΚ, το επίπεδο της προστασίας των δεδομένων πρέπει να σταθμίζεται λαμβανομένων υπόψη όλων των περιστάσεων που επηρεάζουν μια διαβίβαση ή μια σειρά διαβιβάσεων δεδομένων τηρουμένων ορισμένων προϋποθέσεων. Η ομάδα προστασίας των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, που συστάθηκε βάσει της οδηγία, έχει εκδώσει κατευθυντήριες γραμμές ( 2 ) σχετικά με τη διενέργεια των εν λόγω αξιολογήσεων ( 3 ). (4) Δεδομένων των διαφορετικών προσεγγίσεων που ακολουθούνται όσον αφορά την προστασία των δεδομένων στις τρίτες χώρες, πρέπει η αξιολόγηση για την επάρκεια της προστασίας και η επιβολή της εφαρμογής κάθε απόφασης, που βασίζεται στο άρθρο 25 παράγραφος 6 της οδηγίας 95/46/ΕΚ, να γίνονται με τρόπο που να μην επιφέρει αυθαίρετες ή αδικαιολόγητες διακρίσεις εις βάρος ή μεταξύ τρίτων χωρών στις οποίες επικρατούν παρόμοιες συνθήκες ούτε να αποτελεί συγκεκαλυμμένο εμπόδιο για τις εμπορικές συναλλαγές, λαμβανομένων υπόψη των σημερινών διεθνών δεσμεύσεων της Κοινότητας. (5) Το ικανοποιητικό επίπεδο προστασίας για τη διαβίβαση δεδομένων από την Κοινότητα στις Ηνωμένες Πολιτείες, όπως αναγνωρίζεται από την παρούσα απόφαση, πρέπει να επιτυγχάνεται εφόσον οι οργανισμοί συμμορφώνονται με τις αρχές «ασφαλούς λιμένα» για την προστασία της ιδιωτικής ζωής (εφεξής «οι αρχές ασφαλούς λιμένα») και τις συχνά υποβαλλόμενες ερωτήσεις [εφεξής: «συχνές ερωτήσεις» (ΣΕ)], που παρέχουν καθοδήγηση για την εφαρμογή των αρχών ασφαλούς λιμένα, τις οποίες εξέδωσε η κυβέρνηση των Ηνωμένων Πολιτειών στις 21 Ιουλίου 2000. Εξάλλου, οι οργανισμοί πρέπει να δημοσιοποιούν τις πολιτικές που ακολουθούν στον τομέα της προστασίας της ιδιωτικής ζωής και να υπαχθούν είτε στη δικαιοδοσία της Federal Trade Commission ομοσπονδιακή επιτροπής εμπορίου, εφεξής: «FTC»), σύμφωνα με το τμήμα 5 του νόμου Federal Trade Commisison Act [νόμος περί της (ομοσπονδιακής επιτροπής εμπορίου (εφεξής «FTC Act»)], που απαγορεύει τις αθέμιτες ή δόλιες ενέργειες ή πρακτικές που επηρεάζουν τις εμπορικές συναλλαγές, είτε στη δικαιοδοσία άλλου νόμιμου φορέα, ο οποίος θα εξασφαλίσει όντως τη συμμόρφωση με τις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις. (6) Οι τομείς ή και οι επεξεργασίες δεδομένων που δεν υπόκεινται στη δικαιοδοσία οποιουδήποτε από τους κρατικούς φορείς των Ηνωμένων Πολιτειών που αναφέρονται στο παράρτημα VII της παρούσας απόφασης δεν εμπίπτουν στο πεδίο εφαρμογής της απόφασης αυτής. (7) Για να εξασφαλιστεί η κατάλληλη εφαρμογή της παρούσας απόφασης, πρέπει οι οργανισμοί που θα προσχωρήσουν στις αρχές ασφαλούς λιμένα και τις συχνές ερωτήσεις να μπορούν να αναγνωρίζονται από τα ενδιαφερόμενα μέρη, όπως τα πρόσωπα στα οποία αναφέρονται τα δεδομένα, οι εξαγωγείς δεδομένων και οι αρχές προστασίας δεδομένων. Για το σκοπό αυτό, το Υπουργείο Εμπορίου των ΗΠΑ ή ο φορέας που ορίζεται απ' αυτό πρέπει να αναλάβει την τήρηση και τη θέση στη διάθεση του κοινού ενός καταλόγου με τους οργανισμούς που δηλώνουν ότι προσχωρούν στις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις, και οι οποίοι εμπίπτουν στη δικαιοδοσία ενός τουλάχιστον από τους κρατικούς φορείς που αναφέρονται στο παράρτημα VII της παρούσας απόφασης. (8) Προς το συμφέρον της διαφάνειας και προκειμένου να διασφαλιστεί η ικανότητα των αρμόδιων αρχών των κρατών μελών να εξασφαλίζουν την προστασία των ατόμων κατά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τα αφορούν, είναι απαραίτητο να διευκρινιστούν στην απόφαση οι εξαιρετικές περιστάσεις κάτω από τις οποίες πρέπει να δικαιολογείται η αναστολή συγκεκριμένων διαβιβάσεων δεδομένων, παρά τη διαπίστωση περί ικανοποιητικού επιπέδου προστασίας. (9) Ο «ασφαλής λιμένας» που δημιουργείται από τις αρχές και τις συχνές ερωτήσεις ίσως χρειαστεί να αναθεωρηθεί με βάση την εμπειρία που θα αποκτηθεί από τις εξελίξεις που θα σημειωθούν όσον αφορά την προστασία της ιδιωτικής ζωής σε συνθήκες υπό τις οποίες η τεχνολογία καθιστά συνεχώς ευκολότερη τη διαβίβαση και επεξεργασία δεδομένων προσωπικού χαρακτήρα και με βάση εκθέσεις σχετικά με την εφαρμογή από τις υπεύθυνες για την εφαρμογή αρχές. (10) Η ομάδα προστασίας των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, που συστάθηκε βάσει του άρθρου 29 της οδηγίας 95/46/ΕΚ έχει διατυπώσει γνωμοδοτήσεις σχετικά με το επίπεδο της προστασίας που παρέχουν οι αρχές ασφαλούς λιμένα στις Ηνωμένες Πολιτείες. Οι γνωμοδοτήσεις αυτές ελήφθησαν υπόψη κατά την εκπόνηση της παρούσας απόφασης ( 4 ). (11) Τα μέτρα που προβλέπονται από την παρούσα απόφαση είναι σύμφωνα με τη γνώμη της επιτροπής που συστάθηκε βάσει του άρθρου 31 της οδηγίας 95/46/ΕΚ. (12) Σύμφωνα με την απόφαση 1999/468/ΕΚ του Συμβουλίου, και ιδίως το άρθρο 8, το Ευρωπαϊκό Κοινοβούλιο εξέδωσε, στις 5 Ιουλίου 2000, το ψήφισμα Α5-0177/2000 όσον αφορά το σχέδιο απόφασης της Επιτροπής σχετικά με την επάρκεια της προστασίας που παρέχεται από τις αρχές ασφαλούς λιμένα για την προστασία της ιδιωτικής ζωής και τις συναφείς συχνές ερωτήσεις που εκδίδονται από το Υπουργείο Εμπορίου των ΗΠΑ ( 5 ). Η Επιτροπή επανεξέτασε το σχέδιο απόφασης υπό το φως του εν λόγω ψηφίσματος και κατέληξε στο συμπέρασμα ότι, αν και το Ευρωπαϊκό Κοινοβούλιο εξέφρασε την άποψη ότι έπρεπε να πραγματοποιηθούν ορισμένες βελτιώσεις στις αρχές ασφαλούς λιμένα και στις συναφείς συχνές ερωτήσεις για να θεωρηθεί ότι το εν λόγω σχέδιο απόφασης παρέχει "επαρκή προστασία", δεν υποστήριξε την άποψη ότι η Επιτροπή θα υπερέβαινε τις εξουσίες της εκδίδοντας την απόφαση, Εκτιμώντας τα ακόλουθα: ▼B ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:

Άρθρο 1

1. Για τους σκοπούς του άρθρου 25 παράγραφος 2 της οδηγίας 95/46/ΕΚ, για όλες τις δραστηριότητες που εμπίπτουν στο πεδίο εφαρμογής της οδηγίας, οι «αρχές ασφαλούς λιμένα για την προστασία της ιδιωτικής ζωής» (εφεξής: «οι αρχές ασφαλούς λιμένα»), όπως παρατίθενται στο παράρτημα I της παρούσας απόφασης, που εφαρμόζονται σύμφωνα με την καθοδήγηση που παρέχεται από τις συχνά υποβαλλόμενες ερωτήσεις (εφεξής: «συχνές ερωτήσεις»), που εκδόθηκαν από το Υπουργείο Εμπορίου των ΗΠΑ στις 21 Ιουλίου 2000, όπως παρατίθενται στο παράρτημα II της παρούσας απόφασης, θεωρείται ότι παρέχουν ικανοποιητικό επίπεδο προστασίας για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από την Κοινότητα σε οργανισμούς εγκατεστημένους στις Ηνωμένες Πολιτείες, λαμβανομένων υπόψη των ακόλουθων εγγράφων, που εκδόθηκαν από το Υπουργείο Εμπορίου των ΗΠΑ:

α) μιας ανασκόπησης της επιβαλλόμενης εφαρμογής των αρχών ασφαλούς λιμένα, όπως παρατίθεται στο παράρτημα III·

β) ενός υπομνήματος σχετικά με την πρόκληση βλάβης λόγω παραβίασης του απορρήτου της ιδιωτικής ζωής και σχετικά με τις ρητές εγκρίσεις που προβλέπονται στο αμερικανικό δίκαιο, όπως παρατίθενται στο παράρτημα IV·

γ) μιας επιστολής από την ομοσπονδιακή επιτροπή εμπορίου, όπως παρατίθεται στο παράρτημα V·

δ) μιας επιστολής από το Υπουργείο Μεταφορών των ΗΠΑ, όπως παρατίθεται στο παράρτημα VI.

2. Για κάθε διαβίβαση δεδομένων πληρούνται οι ακόλουθες προϋποθέσεις:

α) ο οργανισμός που παραλαμβάνει τα δεδομένα έχει δηλώσει σαφώς και δημοσίως τη δέσμευσή του να συμμορφωθεί με τις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις και

β) ο οργανισμός υπόκειται στις νόμιμες εξουσίες ενός κρατικού φορέα των Ηνωμένων Πολιτειών όπως αναφέρεται στο παράρτημα VII της παρούσας απόφασης και ο οποίος έχει το δικαίωμα να διερευνά καταγγελίες και να λαμβάνει μέτρα κατά των αθέμιτων και δολίων πρακτικών, καθώς και για την αποζημίωση των θιγομένων ατόμων, ανεξάρτητα από τη χώρα κατοικίας ή την ιθαγένειά τους, σε περίπτωση μη συμμόρφωσης προς τις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις.

3. Οι όροι που αναφέρονται στην παράγραφο 2 θεωρείται ότι πληρούνται για κάθε οργανισμό που δηλώνει την προσχώρησή του στις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις, από την ημερομηνία κατά την οποία ο οργανισμός αυτός γνωστοποιεί στο Υπουργείο Εμπορίου των ΗΠΑ (ή στον φορέα που έχει οριστεί απ' αυτό) τη δημόσια δέσμευση που αναφέρεται στην παράγραφο 2 στοιχείο α), καθώς και τα στοιχεία του κρατικού φορέα που αναφέρεται στην παράγραφο 2 στοιχείο β).

Άρθρο 2

Η παρούσα απόφαση αφορά μόνο την επάρκεια της προστασίας που παρέχεται στις Ηνωμένες Πολιτείες σύμφωνα με τις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις, σε σχέση με την τήρηση των απαιτήσεων του άρθρου 25 παράγραφος 1 της οδηγίας 95/46/ΕΚ και δεν επηρεάζει την εφαρμογή άλλων διατάξεων της εν λόγω οδηγίας που αφορούν την επεξεργασία δεδομένων προσωπικού χαρακτήρα στα κράτη μέλη, συμπεριλαμβανομένου του άρθρου 4 της οδηγίας 95/46/ΕΚ.

Άρθρο 3

1. Με την επιφύλαξη των εξουσιών τους να αναλαμβάνουν δράση προκειμένου να εξασφαλίζουν την τήρηση των εθνικών διατάξεων που εκδίδονται σύμφωνα με διατάξεις διαφορετικές από το άρθρο 25 της οδηγίας 95/46/ΕΚ, οι αρμόδιες αρχές των κρατών μελών δύνανται να ασκούν τις υφιστάμενες εξουσίες τους για να αναστέλλουν τη ροή δεδομένων προς οργανισμό που έχει δηλώσει ότι προσχωρεί στις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις, προκειμένου να προστατεύουν τα φυσικά πρόσωπα από την επεξεργασία δεδομένων προσωπικού χαρακτήρα που τα αφορούν, στις ακόλουθες περιπτώσεις:

α) όταν ο κρατικός φορέας των Ηνωμένων Πολιτειών που αναφέρεται στο παράρτημα VII της παρούσας απόφασης ή ένας ανεξάρτητος φορέας προσφυγής, κατά την έννοια του πρώτου εδαφίου της αρχής εφαρμογής, όπως παρατίθεται στο παραρτήματος I της παρούσας απόφασης, κρίνει ότι ο οργανισμός παραβιάζει τις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις, ή

β) όταν υπάρχει σοβαρή πιθανότητα παραβίασης των αρχών ασφαλούς λιμένα, όταν υπάρχουν στοιχεία από τα οποία προκύπτει βασίμως ότι ο σχετικός φορέας εφαρμογής δεν λαμβάνει ή δεν θα λάβει κατάλληλα και έγκαιρα μέτρα για τη διευθέτηση του προβλήματος, όταν η συνέχιση της διαβίβασης δεδομένων δημιουργεί άμεσο κίνδυνο πρόκλησης σοβαρής ζημίας στα άτομα τα οποία αφορούν τα δεδομένα, και όταν οι αρμόδιες αρχές του κράτους μέλους κατέβαλαν, υπό τις συγκεκριμένες περιστάσεις, κάθε δυνατή προσπάθεια για να ενημερώσουν σχετικά τον οργανισμό και να του δώσουν τη δυνατότητα να απαντήσει.

Η αναστολή της ροής δεδομένων λήγει αμέσως μόλις εξασφαλιστεί η συμμόρφωση με τις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις, και ενημερωθούν σχετικά οι αρμόδιες αρχές στην ΕΕ.

2. Όταν λαμβάνονται μέτρα βάσει της παραγράφου 1, τα κράτη μέλη ενημερώνουν αμελλητί την Επιτροπή.

3. Τα κράτη μέλη και η Επιτροπή ενημερώνονται αμοιβαία για τις περιπτώσεις στις οποίες η δράση των φορέων που είναι υπεύθυνοι για τη συμμόρφωση με τις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις στις Ηνωμένες Πολιτείες, αποτυγχάνει να εξασφαλίσει την εν λόγω συμμόρφωση.

4. Αν από τα πληροφοριακά στοιχεία που συλλέγονται βάσει των παραγράφων 1 έως 3 προκύπτει ότι οποιοσδήποτε φορέας που είναι αρμόδιος για τη συμμόρφωση με τις αρχές ασφαλούς λιμένα, όπως αυτές εφαρμόζονται σύμφωνα με τις συχνές ερωτήσεις, στις Ηνωμένες Πολιτείες δεν εκπληρώνει ικανοποιητικά την αποστολή του, η Επιτροπή ενημερώνει σχετικά το Υπουργείο Εμπορίου των ΗΠΑ και, εφόσον χρειάζεται, υποβάλλει σχέδιο μέτρων σύμφωνα με τη διαδικασία που προβλέπεται στο άρθρο 31 της οδηγίας 95/46/ΕΚ, με σκοπό την ακύρωση ή την αναστολή της παρούσας απόφασης ή τον περιορισμό του πεδίου εφαρμογής της.

Άρθρο 4

1. Η παρούσα απόφαση δύναται να προσαρμόζεται ανά πάσα στιγμή υπό το φως των εμπειριών που αφορούν την εφαρμογή της ή/και αν το επίπεδο προστασίας που παρέχεται από τις αρχές ασφαλούς λιμένα και τις συχνές ερωτήσεις είναι υποδεέστερο από τις απαιτήσεις της νομοθεσίας των ΗΠΑ.

Εν πάση περιπτώσει, η Επιτροπή αξιολογεί την εφαρμογή της παρούσας απόφασης βάσει των διαθέσιμων πληροφοριών τρία έτη μετά την κοινοποίησή της στα κράτη μέλη και ανακοινώνει τα σχετικά πορίσματά της στην επιτροπή που συστάθηκε βάσει του άρθρου 31 της οδηγίας 95/46/ΕΚ, περιλαμβανομένης οποιασδήποτε ένδειξης η οποία θα μπορούσε να επηρεάσει την εκτίμηση σύμφωνα με την οποία οι ρυθμίσεις που αναφέρονται στο άρθρο 1 της παρούσας απόφασης παρέχουν ικανοποιητική προστασία, κατά την έννοια του άρθρου 25 της οδηγίας 95/46/ΕΚ, καθώς και κάθε ένδειξης από την οποία προκύπτει ότι η παρούσα απόφαση εφαρμόζεται κατά τρόπο που επιφέρει διακρίσεις.

2. Η Επιτροπή υποβάλλει, εφόσον χρειάζεται, σχέδιο μέτρων σύμφωνα με τη διαδικασία που προβλέπεται στο άρθρο 31 της οδηγίας 95/46/ΕΚ.

Άρθρο 5

Τα κράτη μέλη λαμβάνουν όλα τα απαραίτητα μέτρα για να συμμορφωθούν με την παρούσα απόφαση το αργότερο ενενήντα ημέρες μετά την ημερομηνία κοινοποίησής της στα κράτη μέλη.

Άρθρο 6

Η παρούσα απόφαση απευθύνεται στα κράτη μέλη.

ΠΑΡΑΡΤΗΜΑ I

ΟΙ ΑΡΧΕΣ ΑΣΦΑΛΛΟΥΣ ΛΙΜΕΝΑ ΠΕΡΙ ΙΔΙΩΤΙΚΗΣ ΖΩΗΣ

που εξέδωσε το Υπουργείο Εμπορίου των Ηνωμένων Πολιτειών στις 21 Ιουλίου 2000

Η νομοθετική πράξη της Ευρωπαϊκής Ένωσης που διέπει τα θέματα προστασίας της ιδιωτικής ζωής, δηλαδή η οδηγία για την προστασία των δεδομένων (εφεξής «η οδηγία»), άρχισε να ισχύει στις 25 Οκτωβρίου 1998. Σύμφωνα με την οδηγία αυτή, επιτρέπεται η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς χώρες μη μέλη της ΕΕ μόνον εφόσον οι εν λόγω τρίτες χώρες παρέχουν ένα «επαρκές» επίπεδο προστασίας της ιδιωτικής ζωής. Μολονότι οι Ηνωμένες Πολιτείες και η Ευρωπαϊκή Ένωση έχουν ως κοινό στόχο την ενίσχυση της προστασίας της ιδιωτικής ζωής για τους πολίτες τους, οι Ηνωμένες Πολιτείες υιοθετούν μια προσέγγιση ως προς την ιδιωτική ζωή η οποία διαφέρει από εκείνη της Ευρωπαϊκής Ένωσης. Οι Ηνωμένες Πολιτείες ακολουθούν μια τομεακή προσέγγιση βασιζόμενη σε ένα συνονθύλευμα νομοθετικών πράξεων, κανονιστικών διατάξεων και διατάξεων αυτορρύθμισης. Λόγω των διαφορών αυτών, πολλοί αμερικανικοί οργανισμοί εξέφρασαν αμφιβολίες ως προς τον αντίκτυπο του απαιτούμενου από την ΕΕ «επιπέδου επάρκειας» όσον αφορά τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα από την Ευρωπαϊκή Ένωση προς τις Ηνωμένες Πολιτείες.

Προκειμένου να αμβλυνθούν οι αμφιβολίες αυτές και να παρασχεθεί ένα πιο προβλέψιμο πλαίσιο για τις διαβιβάσεις δεδομένων αυτού του είδους, το Υπουργείο Εμπορίου εκδίδει το παρόν έγγραφο και τις συχνές ερωτήσεις (εφεξής «οι αρχές») ως αρμόδιο όργανο για την ενίσχυση, την προώθηση και την ανάπτυξη του διεθνούς εμπορίου. Οι αρχές αναπτύχθηκαν σε συνεννόηση με τη βιομηχανία και το ευρύ κοινό για να διευκολυνθούν οι συναλλαγές και το εμπόριο μεταξύ των Ηνωμένων Πολιτειών και της Ευρωπαϊκής Ένωσης. Προορίζονται αποκλειστικά για χρήση από αμερικανικούς οργανισμούς που λαμβάνουν δεδομένα προσωπικού χαρακτήρα από την Ευρωπαϊκή Ένωση, προκειμένου οι οργανισμοί αυτοί να πληρούν τις προϋποθέσεις του «ασφαλούς λιμένα» και να επωφελούνται από το τεκμήριο «επάρκειας» που παρέχει η ένταξη σ' αυτόν. Καθώς οι αρχές δημιουργήθηκαν αποκλειστικά και μόνο για την εξυπηρέτηση αυτού του συγκεκριμένου σκοπού, ενδέχεται να μην ενδείκνυται η υιοθέτησή τους για άλλους σκοπούς. Οι αρχές δεν μπορούν να χρησιμοποιηθούν ως υποκατάστατο των εθνικών διατάξεων εφαρμογής της οδηγίας που ισχύουν για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στα κράτη μέλη.

Η προσχώρηση των οργανισμών στον ασφαλή λιμένα είναι απόλυτα προαιρετική και μπορεί να πραγματοποιηθεί κατά διάφορους τρόπους. Οι οργανισμοί που αποφασίζουν να προσχωρήσουν στις αρχές πρέπει, αφενός, να συμμορφώνονται με αυτές προκειμένου να αποκτήσουν και να διατηρήσουν τα πλεονεκτήματα του ασφαλούς λιμένα και, αφετέρου, να δημοσιοποιούν την πρόθεσή τους. Παραδείγματος χάριν, όταν ένας οργανισμός γίνεται μέλος ενός αυτορυθμιστικού προγράμαμτος προστασίας της ιδιωτικής ζωής, το οποίο τηρεί τις αρχές αυτές, ο οργανισμός πληροί τις προϋποθέσεις του ασφαλούς λιμένα. Ένας οργανισμός μπορεί επίσης να ανταποκριθεί στις εν λόγω προϋποθέσεις αναπτύσσοντας τις δικούς του κανόνες περί ιδιωτικής ζωής, εφόσον συμμορφώνονται με τις αρχές. Όταν ένας οργανισμός τηρεί τις αρχές βασιζόμενος, εν όλω ή εν μέρει, σε διατάξεις αυτορρύθμισης, η παράλειψη συμμόρφωσης με τις εν λόγω διατάξεις πρέπει επίσης να υπόκειται σε προσφυγή βάσει του τμήματος 5 του νόμου περί της ομοσπονδιακής επιτροπής εμπορίου (Federal Trade Comission Act), που απαγορεύει τις αθέμιτες ή δόλιες ενέργειες, ή βάσει παρόμοιου νόμου ή κανονισμού που να απαγορεύει τέτοιες ενέργειες (βλέπε το παράρτημα για τον κατάλογο των νόμιμων φορέων των ΗΠΑ που αναγνωρίζονται από την Ευρωπαϊκή Ένωση). Επιπρόσθετα, οι οργανισμοί που υπόκεινται σε δέσμη νομοθετικών, κανονιστικών, διοικητικών ή άλλων νομικών διατάξεων (ή κανόνων), οι οποίες προστατεύουν αποτελεσματικά το απόρρητο των δεδομένων προσωπικού χαρακτήρα, μπορούν επίσης να επωφελούνται των πλεονεκτημάτων του ασφαλούς λιμένα. Εν πάση περιπτώσει, τα πλεονεκτήματα του ασφαλούς λιμένα αρχίζουν να ισχύουν από την ημερομηνία κατά την οποία ο ενδιαφερόμενος οργανισμός δηλώνει στο Υπουργείο Εμπορίου (ή στον οριζόμενο από αυτό φορέα) την προσχώρησή του στις αρχές σύμφωνα με τις συστάσεις που εκτίθενται στη συχνή ερώτηση σχετικά με την αυτοπιστοποίηση.

Η προσχώρηση στις εν λόγω αρχές δύναται να περιοριστεί α) στο μέτρο που είναι αναγκαίο για να πληρούνται απαιτήσεις εθνικής ασφάλειας, δημόσιου συμφέροντος και εφαρμογής του νόμου· β) από νομοθετικές, κυβερνητικές ή νομολογιακές διατάξεις οι οποίες δημιουργούν αντιφατικές υποχρεώσεις ή ρητή έγκριση, υπό τον όρο ότι, κατά την άσκηση οποιασδήποτε παρόμοιας έγκρισης, ο οργανισμός μπορεί να αποδείξει ότι η μη συμμόρφωσή του με τις αρχές περιορίζεται στο μέτρο που είναι αναγκαίο για να πληρούνται τα υπερισχύοντα νόμιμα συμφέροντα τα οποία εξυπηρετεί η εν λόγω έκριση· ή γ) από εξαιρέσεις ή παρεκκλίσεις τις οποίες προβλέπει η οδηγία ή ο νόμος του κράτους μέλους, εφόσον οι εν λόγω εξαιρέσεις ή παρεκκλίσεις εφαρμόζονται σε συγκρίσιμα πλαίσια. Σε συνέπεια με το στόχο της ενίσχυσης της προστασίας της ιδιωτικής ζωής, οι οργανισμοί οφείλουν να καταβάλλουν κάθε προσπάθεια ώστε να εφαρμόζουν τις αρχές αυτές κατά τρόπο πλήρη και διαφανή, ενώ θα πρέπει επίσης να υποδεικνύουν στις σχετικές με την προστασία της ιδιωτικής ζωής πολιτικές τους, τις περιπτώσεις όπου θα εφαρμόζονται σε τακτική βάση οι εξαιρέσεις από τις αρχές που επιτρέπονται από το στοιχείο β) παραπάνω. Για τον ίδιο λόγο, όταν θα επιτρέπεται η εναλλακτική δυνατότητα βάσει των αρχών ή/και του δικαίου των ΗΠΑ, αναμένεται από τους οργανισμούς να επιλέγουν την υψηλότερη προστασία όπου αυτό είναι δυνατόν.

Για πρακτικούς ή άλλους λόγους, ορισμένοι οργανισμοί ενδέχεται να επιθυμούν να εφαρμόζουν τις αρχές σε όλες τις ενέργειές τους επεξεργασίας δεδομένων· ωστόσο υποχρεούνται να τις εφαρμόζουν μόνο για τις διαβιβάσεις δεδομένων που πραγματοποιούν μετά την προσχώρησή τους στον «ασφαλή λιμένα». Για να πληρούν τις προϋποθέσεις του ασφαλούς λιμένα, οι οργανισμοί δεν υποχρεούνται να εφαρμόζουν τις αρχές αυτές στις πληροφορίες που αποθηκεύονται σε αρχεία η επεξεργασία των οποίων γίνεται χειρωνακτικώς. Όσοι οργανισμοί επιθυμούν να επωφελούνται του πλεονεκτήματος του ασφαλούς λιμένα για να τους διαβιβάζονται πληροφορίες από αρχεία, η επεξεργασία των οποίων γίνεται χειρωνακτικώς, από την ΕΕ, οφείλουν να εφαρμόζουν τις αρχές σε όλες τις παρόμοιες πληροφορίες που τους διαβιβάζοντα μετά την προσχώρησή τους στον «ασφαλή λιμένα». Ένας οργανισμός που επιθυμεί να επεκτείνει τα πλεονεκτήματα του ασφαλούς λιμένα σε σχετικές με ανθρώπινουςπόρους πληροφορίες προσωπικού χαρακτήρα που διαβιβάζονται από την ΕΕ για χρήση στο πλαίσιο εργασιακής σχέσης, πρέπει να το αναφέρει σχετικά όταν θα δηλώνει στο Υπουργείο Εμπορίου (ή στον οριζόμενο από αυτό φορέα) την προσχώρησή του στις αρχές της αυτοπιστοποίησης, ενώ πρέπει να συμμορφώνεται με τις απαιτήσεις που ορίζονται στις συχνές ερωτήσεις σχετικά με την αυτοπιστοποίηση.

Οι οργανισμοί θα είναι επίσης σε θέση να παρέχουν τις εγγυήσεις που κρίνονται αναγκαίες από το άρθρο 26 της οδηγίας, εάν συμπεριλαμβάνουν τις αρχές σε γραπτές συμφωνίες για τις ουσιαστικές διατάξεις περί προστασίας της ιδιωτικής ζωής, που θα συνάπτονται με τα μέρη που διαβιβάζουν τα δεδομένα από την ΕΕ, αφού η Επιτροπή και τα κράτη μέλη εγκρίνουν τις άλλες διατάξεις για τα υποδείγματα συμβάσεων.

Το δίκαιο των ΗΠΑ θα ισχύει όσον αφορά τόσο τα θέματα ερμηνείας και συμμόρφωσης με τις αρχές του ασφαλούς λιμένα (περιλαμβανομένων και των συχνών ερωτήσεων), όσο και τις σχετικές πολιτικές των οργανισμών του ασφαλούς λιμένα που αφορούν την προστασία της ιδιωτικής ζωής, με εξαίρεση τις περιπτώσεις κατά τις οποίες οι οργανισμοί θα έχουν αναλάβει τη δέσμευση να συνεργάζονται με τις ευρωπαϊκές αρχές προστασίας των δεδομένων. Εκτός αν δηλώνεται διαφορετικά, θα ισχύουν στις ανάλογες περιπτώσεις όλες οι διατάξεις των αρχών του ασφαλούς λιμένα και των συχνών ερωτήσεων.Τα «δεδομένα προσωπικού χαρακτήρα» και οι «πληροφορίες προσωπικού χαρακτήρα» είναι στοιχεία τα οποία αφορούν ένα πρόσωπο του οποίου η ταυτότητα είναι γνωστή ή μπορεί να εξακριβωθεί και τα οποία εμπίπτουν στο πεδίο εφαρμογής της οδηγίας, λαμβάνονται από έναν αμερικανικό οργανισμό με προέλευση από την Ευρωπαϊκή Ένωση και καταγράφονται με οποιαδήποτε μορφή.

ΚΟΙΝΟΠΟΙΗΣΗ

Ένας οργανισμός οφείλει να ενημερώνει τα πρόσωπα σχετικά με τους σκοπούς για τους οποίους συλλέγει και χρησιμοποιεί πληροφορίες που τα αφορούν, τον τρόπο επικοινωνίας με τον οργανισμό για τυχόν αιτήσεις πληροφοριών ή παράπονα, τους τρίτους στους οποίους γνωστοποιεί τις πληροφορίες, καθώς και τις επιλογές και τα μέσα που προσφέρει ο οργανισμός στα πρόσωπα για τον περιορισμό της χρήσης και της γνωστοποίησης των πληροφοριών. Η κοινοποίηση αυτή πρέπει να παρέχεται σε σαφή και ευδιάκριτη γλώσσα κατά την πρώτη αίτηση παροχής πληροφοριών προσωπικού χαρακτήρα που απευθύνει στα πρόσωπα ο οργανισμός ή το συντομότερο δυνατό μετά ταύτα, αλλά οπωσδήποτε προτού προβεί ο οργανισμός είτε στη χρήση των πληροφοριών αυτών για σκοπό άλλο από εκείνο για τον οποίο συνελέγησαν αρχικά ή για τον οποίο υπέστησαν επεξεργασία από τον διαβιβάζοντα οργανισμό, είτε στη γνωστοποίηση των πληροφοριών σε τρίτο μέρος για πρώτη φορά ( 6 ).

ΕΠΙΛΟΓΗ

Ένας οργανισμός πρέπει να παρέχει στα πρόσωπα την ευκαιρία να επιλέγουν (δικαίωμα εξαίρεσης από τα δεδομένα) εάν οι πληροφορίες προσωπικού χαρακτήρα που τα αφορούν πρόκειται α) να γνωστοποιηθούν σε ένα τρίτο μέρος ( 7 ) ή β) να χρησιμοποιηθούν για ένα σκοπό ο οποίος δεν συνάδει με το σκοπό για τον οποίο συνελέγησαν αρχικά ή για τον οποίο εγκρίθηκαν στη συνέχεια από τα εν λόγω πρόσωπα. Πρέπει να παρέχονται στα πρόσωπα σαφείς, ευδιάκριτοι, άμεσα διαθέσιμοι και προσιτοί μηχανισμοί για την άσκηση της επιλογής.

Όσον αφορά τις ευαίσθητες πληροφορίες (δηλαδή πληροφορίες προσωπικού χαρακτήρα οι οποίες αναφέρουν λεπτομερώς ασθένειες ή την κατάσταση υγείας, τη φυλετική ή εθνική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις, τη συμμετοχή σε συνδικαλιστικές οργανώσεις ή πληροφορίες σχετικά με τη σεξουαλική ζωή του προσώπου) πρέπει να παρέχεται καταφατική ή ρητή επιλογή (οικειοθελής συμμετοχή) όποτε οι πληροφορίες πρόκειται να γνωστοποιηθούν σε τρίτο μέρος ή να χρησιμοποιηθούν για σκοπό άλλο από εκείνο για τον οποίο συνελέγησαν αρχικά ή τον οποίο ενέκρινε το ενδιαφερόμενο πρόσωπο μεταγενέστερα ασκώντας την επιλογή της οικειοθελούς συμμετοχής. Εν πάση περιπτώσει, ένας οργανισμός οφείλει να μεταχειρίζεται ως ευαίσθητες οποιεσδήποτε πληροφορίες λαμβάνει από τρίτο μέρος, τις οποίες το εν λόγω τρίτο μέρος χαρακτηρίζει και μεταχειρίζεται ως ευαίσθητες.

ΠΕΡΑΙΤΕΡΩ ΔΙΑΒΙΒΑΣΗ

Για να γνωστοποιούν πληροφορίες σε τρίτο μέρος, οι οργανισμοί πρέπει να εφαρμόζουν τις αρχές της κοινοποίησης και της επιλογής. Όποτε ένας οργανισμός επιθυμεί να διαβιβάσει πληροφορίες σε ένα τρίτο μέρος το οποίο ενεργεί ως πράκτορας, όπως περιγράφεται στην τελική σημείωση, μπορεί να το πράξει αφού εξακριβώσει πρώτα ότι τα τρίτα μέρη τηρούν τις αρχές του ασφαλούς λιμένα ή υπόκεινται στην οδηγία ή σε κάποιο μηχανισμό που να εξασφαλίζει την επάρκεια της προστασίας ή συνάπτει γραπτή συμφωνία με τα τρίτα μέρη που να απαιτεί από τα τελευταία να παρέχουν τουλάχιστον το ίδιο επίπεδο προστασίας της ιδιωτικής ζωής με εκείνο που επιβάλλουν οι συναφείς αρχές του ασφαλούς λιμένα. Εφόσον ο οργανισμός τηρεί τις προϋποθέσεις αυτές, δεν φέρει ευθύνη (εκτός αν ο οργανισμός αποφασίσει διαφορετικά) σε περίπτωση που το τρίτο μέρος στο οποίο διαβιβάζει παρόμοιες πληροφορίες τις επεξεργάζεται κατά τρόπο που να αντιβαίνει στους προβλεπόμενους περιορισμούς ή στις συμφωνημένες διατάξεις, εκτός και αν ο οργανισμός γνώριζε ή όφειλε να γνωρίζει ότι το τρίτο μέρος θα επεξεργαζόταν τις πληροφορίες κατά τρόπο αντίθετο και δεν έλαβε εύλογα μέτρα προκειμένου να εμποδίσει ή να σταματήσει την επεξεργασία αυτή.

ΑΣΦΑΛΕΙΑ

Οι οργανισμοί που δημιουργούν, διατηρούν, χρησιμοποιούν ή διαδίδουν πληροφορίες προσωπικού χαρακτήρα οφείλουν να λαμβάνουν εύλογες προφυλάξεις για την προστασία των πληροφοριών αυτών από τυχόν απώλεια, κατάχρηση και μη εγκεκριμένη πρόσβαση, γνωστοποίηση, αλλαγή και καταστροφή.

ΑΚΕΡΑΙΟΤΗΤΑ ΤΩΝ ΔΕΔΟΜΕΝΩΝ

Σύμφωνα με τις αρχές, οι πληροφορίες προσωπικού χαρακτήρα πρέπει να παρουσιάζουν συνάφεια με τους σκοπούς για τους οποίους πρόκειται να χρησιμοποιηθούν. Ένας οργανισμός δεν μπορεί να επεξεργαστεί πληροφορίες προσωπικού χαρακτήρα κατά τρόπο που να αντιβαίνει στους σκοπούς για τους οποίους συνελέγησαν ή για τους οποίους εγκρίθηκαν από το πρόσωπο μεταγενέστερα. Στο μέτρο που είναι αναγκαίο για την εξυπηρέτηση των εν λόγω σκοπών, ένας οργανισμός πρέπει να λαμβάνει εύλογα μέτρα για να εξασφαλίσει ότι τα δεδομένα είναι χρησιμοποιήσιμα, ακριβή, πλήρη και ενημερωμένα.

ΠΡΟΣΒΑΣΗ

Τα πρόσωπα πρέπει να έχουν πρόσβαση στις πληροφορίες προσωπικού χαρακτήρα που τα αφορούν, τις οποίες κατέχει ένας οργανισμός, και να έχουν τη δυνατότητα να διορθώνουν, να τροποποιούν και να εξαλείφουν τις πληροφορίες αυτές όποτε είναι ανακριβείς, με εξαίρεση τις περιπτώσεις κατά τις οποίες η επιβάρυνση ή το κόστος που συνεπάγεται η παροχή πρόσβασης θα ήταν δυσανάλογα προς τους κινδύνους για την προστασία της ιδιωτικής ζωής του προσώπου εν προκειμένω ή σε περίπτωση που παραβιάζονται τα δικαιώματα άλλων τρίτων προσώπων.

ΕΦΑΡΜΟΓΗ

Για να υπάρξει αποτελεσματική προστασία της ιδιωτικής ζωής πρέπει να υφίστανται μηχανισμοί που να εξασφαλίζουν τη συμμόρφωση με τις αρχές, μέσα προσφυγής για τα πρόσωπα περί των οποίων πρόκειται και τα οποία θίγονται από τη μη συμμόρφωση με τις αρχές καθώς και συνέπειες για τον οργανισμό σε περίπτωση μη τήρησης των αρχών. Οι μηχανισμοί αυτοί πρέπει να περιλαμβάνουν τουλάχιστον α) άμεσα διαθέσιμους και προσιτούς ανεξάρτητους μηχανισμούς προσφυγής για τη διερεύνηση και τη διευθέτηση των καταγγελιών και των αμφισβητήσεων σύμφωνα με τις αρχές και για την αποζημίωση του κάθε προσώπου στις περιπτώσεις που προβλέπονται από το εφαρμοστέο δίκαιο ή τις πρωτοβουλίες του ιδιωτικού τομέα· β) διαδικασίες παρακολούθησης για την επαλήθευση τόσο της ακρίβειας των διαβεβαιώσεων και των ισχυρισμών των επιχειρήσεων όσον αφορά τις πρακτικές τους περί ιδιωτικής ζωής, όσο και της εφαρμογής των πρακτικών περί ιδιωτικής ζωής σύμφωνα με τη διατύπωσή τους, και γ) υποχρεώσεις επίλυσης των προβλημάτων που απορρέουν από την παράλειψη συμμόρφωσης με τις αρχές από οργανισμούς που ισχυρίζονται ότι τις τηρούν και τις συνέπειες για τους οργανισμούς στην περίπτωση αυτή. Οι κυρώσεις πρέπει να είναι αρκετά αυστηρές ώστε να εξασφαλίζεται η συμμόρφωση εκ μέρους των οργανισμών.

Προσάρτημα

Κατάλογος των θεσμικών φορέων των ΗΠΑ οι οποίοι αναγνωρίζονται από την Ευρωπαϊκή Ένωση

Η Ευρωπαϊκή Ένωση αναγνωρίζει τους ακόλουθους κυβερνητικούς φορείς των ΗΠΑ ως αρμόδιους για τη διερεύνηση καταγγελιών και για την επιβολή κυρώσεων κατά αθέμιτων ή παραπλανητικών πρακτικών καθώς επίσης και για την αποζημίωση ατόμων σε περίπτωση μη συμμόρφωσης με τις αρχές που εφαρμόζονται σύμφωνα με τις ΣΕ:

— την FTC βάσει των αρμοδιοτήτων που της παρέχονται από το τμήμα 5 (Section 5) του FTC Act,

— το Υπουργείο Μεταφορών, βάσει των αρμοδιοτήτων που του παρέχονται από τον τίτλο 49 του United States Code, Section 41712.

ΠΑΡΑΡΤΗΜΑ II

ΣΥΧΝΕΣ ΕΡΩΤΗΣΕΙΣ (ΣΕ)

ΣΕ αριθ. 1 — Ευαίσθητα δεδομένα

Ε: Πρέπει ένας οργανισμός να παρέχει πάντοτε ρητή επιλογή όσον αφορά τα ευαίσθητα δεδομένα;

Α: Όχι, δεν απαιτείται τέτοια επιλογή όταν η επεξεργασία: 1. είναι προς το ζωτικό συμφέρον του προσώπου στο οποίο αναφέρονται τα δεδομένα ή άλλου ατόμου· 2. είναι αναγκαία για την τεκμηρίωση νομικών αξιώσεων ή για την υπεράσπιση ατόμων· 3. απαιτείται για την παροχή ιατρικής περίθαλψης ή διάγνωσης· 4. πραγματοποιείται στα πλαίσια νόμιμων δραστηριοτήτων ιδρύματος, ένωσης ή οποιουδήποτε άλλου μη κερδοσκοπικού φορέα με πολιτικούς, φιλοσοφικούς, θρησκευτικούς ή συνδικαλιστικούς σκοπούς και υπό την προϋπόθεση ότι η επεξεργασία έχει σχέση αποκλειστικά με τα μέλη του φορέα ή με τα άτομα τα οποία έχουν τακτική επαφή μαζί του σχετικά με τους σκοπούς του και ότι τα δεδομένα δεν θα αποκαλύπτονται σε τρίτους χωρίς τη συγκατάθεση των προσώπων στα οποία αναφέρονται τα δεδομένα· 5. είναι αναγκαία για την εκτέλεση των υποχρεώσεων του οργανισμού στο τομέα του εργατικού δικαίου, ή 6. έχει σχέση με δεδομένα τα οποία κοινοποιούνται κατά τρόπο προφανή από τα ίδια τα άτομα.

ΣΕ αριθ. 2 — Δημοσιογραφικές εξαιρέσεις

Ε: Λαμβανομένης υπόψη της διαφύλαξης της ελευθερίας του τύπου από το σύνταγμα των ΗΠΑ και της εξαίρεσης που προβλέπει η οδηγία για το δημοσιογραφικό υλικό, εφαρμόζονται οι αρχές ασφαλούς λιμένα στις πληροφορίες προσωπικού χαρακτήρα που συλλέγονται, διατηρούνται ή διαδίδονται για δημοσιογραφικούς σκοπούς;

Α: Όποτε τα δικαιώματα της ελευθερίας του τύπου που περικλείει η πρώτη τροποποίηση του συντάγματος των Ηνωμένων Πολιτειών δεν συνάδουν με την προστασία της ιδιωτικής ζωής, η πρώτη τροποποίηση πρέπει να διέπει την εξισορρόπηση των συμφερόντων που άπτονται των δραστηριοτήτων αμερικανών προσώπων ή αμερικανικών οργανισμών. Δεν υπόκεινται στις προϋποθέσεις των αρχών του ασφαλούς λιμένα οι πληροφορίες προσωπικού χαρακτήρα που συλλέγονται για δημοσίευση, μετάδοση ή άλλες μορφές δημοσιοποίησης δημοσιογραφικού υλικού, ανεξαρτήτως του εάν χρησιμοποιούνται ή όχι, καθώς και οι πληροφορίες από προγενέστερα δημοσιευμένο υλικό το οποίο διαδόθηκε από δημοσιογραφικά αρχεία.

ΣΕ αριθ. 3 — Δευτερεύουσα ευθύνη

Ε: Υπόκεινται στις αρχές του ασφαλούς λιμένα οι πάροχοι υπηρεσιών Διαδικτύου (Internet), οι τηλεπικοινωνιακοί φορείς ή άλλοι οργανισμοί όταν αναλαμβάνουν απλώς, για λογαριασμό κάποιου τρίτου οργανισμού, τη διαβίβαση, τη δρομολόγηση, τη μεταγωγή ή την επαναποθήκευση πληροφοριών οι οποίες ενδέχεται να αντιβαίνουν στις εν λόγω αρχές;

Α: Όχι. Όπως συμβαίνει και με την ίδια την οδηγία, ο ασφαλής λιμένας δεν δημιουργεί δευτερεύουσα ευθύνη. Δεν ευθύνεται ένας οργανισμός όταν δρα απλώς ως μέσο για τη διαβίβαση δεδομένων από τρίτα μέρη χωρίς να προσδιορίζει τους σκοπούς και τους τρόπους επεξεργασίας αυτών των δεδομένων προσωπικού χαρακτήρα.

ΣΕ αριθ. 4 — Τράπεζες επενδύσεων και λογιστικοί έλεγχοι

Ε: Οι δραστηριότητες των ελεγκτών και των τραπεζιτών επενδύσεων ενδέχεται να συνεπάγονται την επεξεργασία δεδομένων προσωπικού χαρακτήρα χωρίς τη συγκατάθεση ή εν αγνοία του προσώπου. Υπό ποιες συνθήκες επιτρέπεται η πρακτική αυτή από τις αρχές της κοινοποίησης, της επιλογής και της πρόσβασης;

Α: Οι τραπεζίτες επενδύσεων ή οι ελεγκτές μπορούν να επεξεργαστούν πληροφορίες εν αγνοία του προσώπου μόνον κατά το μέτρο και για τη διάρκεια που απαιτούνται προκειμένου να ικανοποιηθούν κανονιστικές διατάξεις ή απαιτήσεις δημόσιου συμφέροντος, καθώς και σε άλλες περιπτώσεις στις οποίες ενδέχεται να θιγούν τα νόμιμα συμφέροντα του οργανισμού από την εφαρμογή των αρχών αυτών. Τα εν λόγω νόμιμα συμφέροντα περιλαμβάνουν την παρακολούθηση της συμμόρφωσης των εταιρειών με τις νομικές υποχρεώσεις τους και νόμιμες λογιστικές δραστηριότητες, καθώς και την ανάγκη για τήρηση της εμπιστευτικότητας στο πλαίσιο ενδεχόμενων εξαγορών, συγχωνεύσεων, κοινών επιχειρήσεων ή άλλων συναλλαγών παρόμοιας φύσης τις οποίες πραγματοποιούν τραπεζίτες επενδύσεων ή ελεγκτές.

ΣΕ αριθ. 5 ( 8 ) — Ο ρόλος των αρχών προστασίας των δεδομένων

Ε: Με ποιον τρόπο οι εταιρείες, οι οποίες δεσμεύονται να συνεργάζονται με τις αρχές προστασίας των δεδομένων (ΑΠΔ) της Ευρωπαϊκής Ένωσης, αναλαμβάνουν τη δέσμευση αυτή και με ποιόν τρόπο θα υλοποιηθεί η εν λόγω δέσμευση;

Α: Στο πλαίσιο του ασφαλούς λιμένα, οι οργανισμοί των ΗΠΑ που λαμβάνουν δεδομένα προσωπικού χαρακτήρα από την ΕΕ πρέπει να αναλάβουν τη δέσμευση να χρησιμοποιήσουν αποτελεσματικούς μηχανισμούς προκειμένου να εξασφαλίσουν τη συμμόρφωση με τις αρχές του ασφαλούς λιμένα. Ειδικότερα, όπως ορίζεται στην αρχή της εφαρμογής, οι μηχανισμοί αυτοί πρέπει να προβλέπουν α) διαδικασίες προσφυγής για τα άτομα τα οποία αφορούν τα δεδομένα, β) διαδικασίες παρακολούθησης που να επιτρέπουν την επαλήθευση των βεβαιώσεων και των δηλώσεων των οργανισμών σχετικά με την προστασία του ιδιωτικού βίου και γ) διατάξεις σύμφωνα με τις οποίες οι οργανισμοί υποχρεούνται να επιλύουν τα προβλήματα που ανακύπτουν από τη μη συμμόρφωση με τις αρχές και να αποκαθιστούν τις σχετικές συνέπειες. Ένας οργανισμός μπορεί να ικανοποιεί τα στοιχεία α) και γ) της αρχής της εφαρμογής εάν προσχωρεί στις απαιτήσεις της παρούσας ΣΕ όσον αφορά τη συνεργασία με τις αρχές προστασίας των δεδομένων (ΑΠΔ).

Ένας οργανισμός μπορεί να αναλάβει την υποχρέωση συνεργασίας με τις ΑΠΔ δηλώνοντας στην κοινοποίηση του «ασφαλούς λιμένα» προς το Υπουργείο Εμπορίου (βλέπε ΣΕ 6 σχετικά με την αυτοπιστοποίηση) ότι ο οργανισμός:

1. επιλέγει να συμμορφωθεί με τις διατάξεις των στοιχείων α) και γ) της αρχής της εφαρμογής του ασφαλούς λιμένα, δεσμευόμενος να συνεργάζεται με τις ΑΠΔ·

2. θα συνεργάζεται με τις ΑΠΔ όσον αφορά την εξέταση και την επίλυση των καταγγελιών που υποβάλλονται στο πλαίσιο του ασφαλούς λιμένα και

3. θα συμμορφώνεται προς κάθε συμβουλή των ΑΠΔ όταν οι ΑΠΔ είναι της άποψης ότι ο οργανισμός πρέπει να λάβει συγκεκριμένα μέτρα προκειμένου να συμμορφωθεί με τις αρχές του ασφαλούς λιμένα, συμπεριλαμβανομένων μέτρων αποκατάστασης ή αποζημίωσης υπέρ των ατόμων που θίγονται από οποιαδήποτε μη συμμόρφωση με τις εν λόγω αρχές και να υποβάλει στις ΑΠΔ γραπτή επιβεβαίωση ότι τα μέτρα αυτά έχουν ληφθεί.

Η συνεργασία των ΑΠΔ θα παρασχεθεί με τη μορφή πληροφοριών και συμβουλών με τον ακόλουθο τρόπο:

— οι συμβουλές των ΑΠΔ θα δίδονται μέσω ενός ανεπίσημου φορέα των ΑΠΔ που θα συσταθεί σε ευρωπαϊκό επίπεδο, ο οποίος, μεταξύ άλλων, θα βοηθήσει στην εξασφάλιση μιας εναρμονισμένης και συνεκτικής προσέγγισης,

— ο εν λόγω φορέας θα παρέχει συμβουλές στους σχετικούς οργανισμούς των ΗΠΑ για ανεπίλυτες καταγγελίες ατόμων σχετικά με το χειρισμό πληροφοριών προσωπικού χαρακτήρα που διαβιβάστηκαν από την ΕΕ στο πλαίσιο του ασφαλούς λιμένα. Οι συμβουλές αυτές θα έχουν ως σκοπό την εξασφάλιση της ορθής εφαρμογής των αρχών του «ασφαλούς λιμένα» και θα αφορούν επίσης τους μηχανισμούς επίλυσης των διαφορών τους που οι ΑΠΔ θεωρούν κατάλληλους για το (τα) ενδιαφερόμενο(-α) άτομο(-α),

— ο εν λόγω φορέας θα παρέχει τέτοιες συμβουλές έπειτα από σχετική αίτηση των ενδιαφερόμενων οργανισμών ή/και έπειτα από καταγγελίες που θα λαμβάνει απευθείας από άτομα εναντίον οργανισμών οι οποίοι ανέλαβαν την υποχρέωση να συνεργαστούν με τις ΑΠΔ για σκοπούς τήρησης των αρχών του «ασφαλούς λιμένα», ενώ παράλληλα θα ενθαρύνει και, εφόσον χρειαστεί, θα βοηθά τα άτομα αυτά σε προωτοβάθμιο επίπεδο να χρησιμοποιούν τις εσωτερικές ρυθμίσεις χειρισμού καταγγελιών που μπορεί να διαθέτει ο οργανισμός,

— οι συμβουλές θα παρέχονται μόνον εφόσον και οι δύο πλευρές μιας διαφοράς είχαν την ευκαιρία να υποβάλουν τις παρατηρήσεις τους και να προσκομίσουν τα αποδεικτικά στοιχεία που επιθυμούν. Ο φορέας των ΑΠΔ θα επιδιώκει να παρέχει συμβουλές στο μικρότερο χρονικό διάστημα που θα επιτρέπει η απαίτηση για δίκαιη μεταχείριση. Κατά κανόνα, ο εν λόγω φορέας θα έχει ως στόχο την παροχή συμβουλών εντός 60 ημερών από τη λήψη μιας καταγγελίας ή και νωρίτερα, όταν είναι δυνατόν,

— ο φορέας των ΑΠΔ θα κοινοποιεί τα αποτελέσματα της εξέτασης των καταγγελιών που θα του υποβάλλονται, εφόσον το κρίνει σκόπιμο,

— η παροχή συμβουλών μέσω του εν λόγω φορέα δεν θα δεσμεύει τον φορέα ή τις επιμέρους ΑΠΔ.

Όπως προαναφέρθηκε, οι οργανισμοί που θα επιλέξουν αυτή την εναλλακτική λύση για την επίλυση των διαφορών πρέπει να δεσμευτούν ότι θα συμμορφώνονται με τις συμβουλές των ΑΠΔ. Αν ένας οργανισμός δεν συμμορφωθεί εντός 25 ημερών από την παροχή της σχετικής συμβουλής και δεν έχει παράσχει ικανοποιητικές εξηγήσεις για την καθυστέρηση, ο εν λόγω φορέας θα γνωστοποιεί την πρόθεσή του να υποβάλει το θέμα είτε στην FTC είτε σε άλλη ομοσπονδιακή ή πολιτειακή αρχή των ΗΠΑ, η οποία θα διαθέτει νόμιμες αρμοδιότητες να αναλάβει δράση εφαρμογής σε περιπτώσεις απάτης ή υποβολής ψευδούς δήλωσης, ή να συμπεράνει ότι η συμφωνία συνεργασίας έχει παραβιαστεί σοβαρά και, ως εκ τούτου , πρέπει να θεωρηθεί άκυρη. Στην τελευταία περίπτωση, ο φορέας θα ενημερώνει σχετικά το Υπουργείο Εμπορίου (ή τον φορέα που αυτό θα ορίσει) έτσι ώστε να μπορέσει να τροποποιηθεί δεόντως ο κατάλογος των συμμετεχόντων στον «ασφαλή λιμένα». Οποιαδήποτε μη τήρηση των υποχρεώσεων συνεργασίας με τις ΑΠΔ καθώς και μη συμμόρφωση με τις αρχές του «ασφαλούς λιμένα» θα θεωρηθεί δόλια πρακτική σύμφωνα με το τμήμα 5 του νόμου για την FTC ή με άλλη παρόμοια νομοθετική πράξη.

Οι οργανισμοί που θα επιλέξουν αυτή την εναλλακτική λύση θα είναι υποχρεωμένοι να καταβάλλουν ετήσια εισφορά η οποία θα οριστεί για την κάλυψη των λειτουργικών δαπανών του φορέα και ενδέχεται, επιπλέον, να τους ζητηθεί να καλύψουν τυχόν μεταφραστικές δαπάνες που θα προκύψουν από την εξέταση, εκ μέρους του φορέα, των αιτήσεων ή των καταγγελιών κατά των εν λόγω οργανισμών. Η ετήσια αυτή εισφορά δεν θα υπερβαίνει τα 500 δολάρια ΗΠΑ, ενώ το ποσό αυτό θα είναι μικρότερο για τις μικρότερες εταιρείες.

Η εναλλακτική λύση της συνεργασίας με τις ΑΠΔ θα είναι στη διάθεση των οργανισμών που συμμετέχουν στον «ασφαλή λιμένα» για περίοδο τριών ετών. Οι ΑΠΔ θα επανεξετάσουν τη ρύθμιση αυτή πριν από το τέλος της εν λόγω περιόδου αν ο αριθμός των οργανισμών των ΗΠΑ που θα επιλέξουν αυτή τη λύση αποδειχθεί υπερβολικός.

ΣΕ αριθ. 6 — Αυτοπιστοποίηση

Ε: Με ποιον τρόπο πραγματοποιείται η αυτοπιστοποίηση εκ μέρους ενός οργανισμού που προσχωρεί στις αρχές ασφαλούς λιμένα;

Α: Τα οφέλη ασφαλούς λιμένα εξασφαλίζονται από την ημερομηνία κατά την οποία ένας οργανισμός αυτοπιστοποιεί στο Υπουργείο Εμπορίου ή τον οριζόμενο από αυτό φορέα την προσχώρησή του στις αρχές σύμφωνα με τις οδηγίες που αναφέρονται παρακάτω.

Προκειμένου να προβεί σε αυτοπιστοποίηση στο πλαίσιο του ασφαλούς λιμένα, ο οργανισμός είναι δυνατόν να απευθύνει στο Υπουργείο Εμπορίου (ή τον οριζόμενο από αυτό φορέα) επιστολή, υπογεγραμμένη από στέλεχος του οργανισμού και εξ ονόματος του οργανισμού που σκοπεύει να προσχωρήσει στις αρχές του ασφαλούς λιμένα, η οποία θα περιέχει τουλάχιστον τις ακόλουθες πληροφορίες:

1. επωνυμία του οργανισμού, ταχυδρομική διεύθυνση, ηλεκτρονική διεύθυνση, αριθμούς τηλεφώνου και φαξ·

2. περιγραφή των κύριων δραστηριοτήτων του οργανισμού, όσον αφορά τις πληροφορίες προσωπικού χαρακτήρα που λαμβάνονται από την ΕΕ·

3. περιγραφή της πολιτικής του οργανισμού περί ιδιωτικής ζωής, όσον αφορά αυτές τις πληροφορίες προσωπικού χαρακτήρα, η οποία θα αναφέρει: α) πού μπορεί το κοινό να συμβουλευτεί το εν λόγω κείμενο· β) την πραγματική ημερομηνία εφαρμογής του κειμένου· γ) το όνομα του γραφείου επαφής για το χειρισμό των καταγγελιών, τα αιτήματα πρόσβασης και οποιοδήποτε άλλο ζήτημα προκύπτει στο πλαίσιο του ασφαλούς λιμένα· δ) τον ειδικό επίσημο φορέα στην αρμοδιότητα του οποίου εμπίπτει η εξέταση τυχόν καταγγελιών κατά του οργανισμού όσον αφορά αθέμιτες ή δόλιες πρακτικές, ή παραβάσεις νόμων ή κανονισμών που διέπουν την ιδιωτική ζωή (και ο οποίος αναφέρεται στο παράρτημα που ενισυνάπτεται στις αρχές)· ε) την ονομασία κάθε προγράμματος περί προστασίας της ιδιωτικής ζωής στο οποίο συμμετέχει ο οργανισμός· στ) τη μέθοδο επαλήθευσης (π.χ. εσωτερική, από τρίτους) ( 9 ), και ζ) τον ανεξάρτητο μηχανισμό προσφυγής που διατίθεται για τη διερεύνηση των ανεπίλυτων καταγγελιών.

Στις περιπτώσεις κατά τις οποίες ο οργανισμός επιθυμεί τα οφέλη του από τον ασφαλή λιμένα να καλύπτουν πληροφορίες σχετικά με το ανθρώπινο δυναμικό που θα διαβιβάζονται από την ΕΕ για χρήση στο πλαίσιο εργασιακής σχέσης, μπορεί να πράττει ανάλογα στις περιπτώσεις όπου υπάρχει ένας επίσημος φορέας στην αρμοδιότητα του οποίου εμπίπτει η εξέταση τυχόν καταγγελιών κατά του οργανισμού όσον αφορά τις πληροφορίες σχετικά με το ανθρώπινο δυναμικό και ο οποίος θα αναφέρεται στο παράρτημα που επισυνάπτεται στις αρχές. Επιπρόσθετα, ο οργανισμός πρέπει να υποδείξει τα παραπάνω στη σχετική με την αυτοπιστοποίηση επιστολή του και να δηλώσει ότι αναλαμβάνει τη δέσμευση να συνεργάζεται με την αρχή ή τις αρχές της ΕΕ σύμφωνα με τις ΣΕ αριθ. 9 και αριθ. 5 ανάλογα με την περίπτωση, και ότι θα συμμορφώνεται με τις υποδείξεις που θα παρέχουν οι εν λόγω αρχές.

Το Υπουργείο (ή ο οριζόμενες από αυτό φορέας) θα διατηρεί κατάλογο όλων των οργανισμών που αρχειοθετούν παρόμοιες επιστολές, εξασφαλίζοντας ως εκ τούτου τη διαθεσιμότητα των οφελών στα πλαίσια του ασφαλούς λιμένα και θα ενημερώνει παρόμοιο κατάλογο με βάση ετήσιες επιστολές και κοινοποιήσεις που θα λαμβάνονται σύμφωνα με τη ΣΕ αριθ. 11. Οι εν λόγω επιστολές αυτοπιστοποίησης θα πρέπει να παρέχονται τουλάχιστον κάθε χρόνο. Ειδάλλως, ο οργανισμός θαδιαγραφεί από τον κατάλογο και τα οφέλη ασφαλούς λιμένα δεν θα εξασφαλίζονται στο μέλλον. Τόσο ο κατάλογος όσο και οι επιστολές αυτοπιστοποίησης που υποβάλλουν οι οργανισμοί θα είναι διαθέσιμα στο κοινό. Όλοι οι οργανισμοί που έχουν προβεί σε αυτοπιστοποίηση στο πλαίσιο του ασφαλούς λιμένα υποχρεούνται επίσης να αναφέρουν στη σχετική δημόσια δήλωσή τους σχετικά με την πολιτική που ακολουθούν στον τομέα της ιδιωτικής ζωής, ότι προσχωρούν στις αρχές του ασφαλούς λιμένα.

Η δέσμευση προσχώρησης στις αρχές του ασφαλούς λιμένα δεν είναι περιορισμένη χρονικά σε σχέση με τα δεδομένα που λαμβάνονται κατά τη διάρκεια της περιόδου κατά την οποία ο οργανισμός θα απολαμβάνει τα οφέλη του ασφαλούς λιμένα. Η εν λόγω δέσμευση σημαίνει ότι ο οργανισμός θα συνεχίσει να εφαρμόζει τις αρχές σε παρόμοια δεδομένα για όσο χρονικό διάστημα τα αποθηκεύει, τα χρησιμοποιεί ή τα διαδίδει, ακόμη και αν στη συνέχεια αποχωρήσει από τον «ασφαλή λιμένα» για οποιαδήποτε αιτία.

Ένας οργανισμός ο οποίος θα παύσει να υπάρχει ως χωριστή νομική οντότητα λόγω συγχώνευσης ή εξαγοράς πρέπει εκ των προτέρων να ειδοποιεί σχετικά το Υπουργείο Εμπορίου (ή τον οριζόμενο από αυτό φορέα). Στην ειδοποίηση πρέπει επίσης να αναφέρεται εάν η οντότητα που αποκτά τον οργανισμό ή που προκύπτει από τη συγχώνευση: 1. θα συνεχίσει να δεσμεύεται από τις αρχές του ασφαλούς λιμένα βάσει του δικαίου που διέπει την εξαγορά ή τη συγχώνευση, ή 2. θα επιλέξει να αυτοπιστοποιήσει την προσχώρησή της στις αρχές του ασφαλούς λιμένα ή να παρουσιάσει άλλες εγγυήσεις, όπως είναι μια γραπτή συμφωνία με την οποία θα εξασφαλίζεται η προσχώρησή της στις αρχές του ασφαλούς λιμένα. Εάν δεν ισχύει ούτε η περίπτωση 1 ούτε η περίπτωση 2, όλα τα δεδομένα που θα αποκτώνται στο πλαίσιο του ασφαλούς λιμένα θα διαγράφονται αμέσως.

Ένας οργανισμός δεν χρειάζεται να υποβάλει όλες τις προσωπικές πληροφορίες στις αρχές του ασφαλούς λιμένα, αλλά θα πρέπει να εφαρμόσει τις αρχές του ασφαλούς λιμένα σε όλα τα προσωπικά δεδομένα που λαμβάνουν από την ΕΕ μετά από την προσχώρησή του στα πλαίσια του ασφαλή λιμένα.

Κάθε ψευδής δήλωση προς το ευρύ κοινό όσον αφορά την τήρηση των αρχών ασφαλούς λιμένα εκ μέρους του οργανισμού συνεπάγεται δίωξη από την FTC ή από άλλον αρμόδιο κυβερνητικό φορέα. Ψευδείς δηλώσεις προς το Υπουργείο Εμπορίου (ή τον οριζόμενο από αυτό φορέα) θα συνεπάγονται δίωξη σύμφωνα με την πράξη ψευδούς δήλωσης (18 U.S.C. § 1001).

ΣΕ αριθ. 7 — Επαλήθευση

Ε: Με ποιον τρόπο παρέχουν διαδικασίες παρακολούθησης οι οργανισμοί για να εξακριβωθεί ότι αληθεύουν οι δηλώσεις και οι ισχυρισμοί τους σχετικά με τις πρακτικές περί προστασίας της ιδιωτικής ζωής που ακολουθούν στο πλαίσιο του ασφαλούς λιμένα και ότι εφαρμόζονται οι εν λόγω πρακτικές σύμφωνα με τη διατύπωση τους και σύμφωνα με τις αρχές του ασφαλούς λιμένα;

Α: Προκειμένου να ανταποκριθεί στις απαιτήσεις επαλήθευση της αρχής της εφαρμογής, ένας οργανισμός μπορεί να εξακριβώσει την αλήθεια παρόμοιων δηλώσεων και ισχυρισμών προβαίνοντας είτε σε αυτοαξιολόγηση είτε στη διενέργεια εξωτερικών ελέγχων συμμόρφωσης.

Με βάση τη μέθοδο της αυτοαξιολόγησης, από την επαλήθευση αυτή πρέπει να προκύπτει ότι η πολιτική προστασίας της ιδιωτικής ζωής, όσον αφορά τις πληροφορίες προσωπικού χαρακτήρα που προέρχονται από την ΕΕ, την οποία έχει δημοσιοποιήσει ένας οργανισμός, είναι ακριβής, εμπεριστατωμένη, εμφανώς κοινοποιημένη, πλήρως εφαρμοσμένη και προσιτή. Από την επαλήθευση πρέπει επίσης να προκύπτει: ότι η πολιτική του οργανισμού για την προστασία της ιδιωτικής ζωής συμμορφώνεται με τις αρχές του ασφαλούς λιμένα· ότι τα πρόσωπα ενημερώνονται για τους εσωτερικούς μηχανισμούς εξέτασης των καταγγελιών τους και για τους ανεξάρτητους μηχανισμούς κατάθεσης καταγγελιών· ότι έχουν θεσπιστεί διαδικασίες τόσο για την κατάρτιση των υπαλλήλων που θα εφαρμόζουν την πολιτική του οργανισμού, όσο και για την επιβολή πειθαρχικής ποινής όταν δεν την ακολουθούν, και ότι έχουν θεσπιστεί εσωτερικές διαδικασίες για τακτική διενέργεια αντικειμενικών ελέγχων συμμόρφωσης με τα ανωτέρω. Μία φορά τουλάχιστον ανά έτος πρέπει να υπογράφεται από ανώτατο στέλεχος του οργανισμού ή από οποιονδήποτε άλλο εξουσιοδοτημένο εκπρόσωπό του δήλωση επαλήθευσης της αυτοαξιολόγησης η οποία θα διατίθεται στα πρόσωπα που θα την ζητήσουν ή θα διατίθεται στο πλαίσιο έρευνας ή καταγγελίας για μη συμμόρφωση.

Οι οργανισμοί πρέπει να διατηρούν αρχείο σχετικά με την εφαρμογή των πρακτικών περί προστασίας της ιδιωτικής ζωής που ακολουθούν στο πλαίσιο του ασφαλούς λιμένα, το οποίο θα διαθέτουν κατόπιν αίτησης στο πλαίσιο έρευνας ή καταγγελίας για μη συμμόρφωση προς τον υπεύθυνο για τη διερεύνηση των καταγγελιών ανεξάρτητο φορέα ή το αρμόδιο για τις αθέμιτες ή δόλιες πρακτικές όργανο.

Σε περίπτωση κατά την οποία ο οργανισμός έχει επιλέξει τον εξωτερικό έλεγχο συμμόρφωσης, ο έλεγχος αυτός πρέπει να αποδεικνύει ότι η πολιτική προστασίας της ιδιωτικής ζωής, όσον αφορά τις πληροφορίες προσωπικού χαρακτήρα που προέρχονται από την ΕΕ, συμμορφώνεται με τις αρχές του ασφαλούς λιμένα, ότι τηρείται η εν λόγω πολιτική και ότι τα πρόσωπα ενημερώνονται για τους μηχανισμούς μέσω των οποίων μπορούν να υποβάλουν καταγγελία. Οι μέθοδοι ελέγχου μπορούν να περιλαμβάνουν χωρίς περιορισμό και ανάλογα με την περίπτωση λογιστικό έλεγχο, τυχαίους ελέγχους, χρήση «παγίδων» ή χρήση τεχνολογικών εργαλείων. Μία φορά τουλάχιστον ανά έτος πρέπει να υπογράφεται δήλωση ότι ολοκληρώθηκε με επιτυχία εξωτερικός έλεγχος συμμόρφωσης· η δήλωση υπογράφεται είτε από τον ελεγκτή είτε από ανώτατοστέλεχος του οργανισμού ή από οποιονδήποτε άλλο εξουσιοδοτημένο εκπρόσωπό του και διατίθεται είτε στα πρόσωπα που θα την ζητήσουν είτε στο πλαίσιο έρευνας ή καταγγελίας για μη συμμόρφωση.

ΣΕ αριθ. 8 — Πρόσβαση

Αρχή της πρόσβασης

Οι ιδιώτες έχουν πρόσβαση στις προσωπικές πληροφορίες που τους αφορούν και τις οποίες κατέχει ένας οργανισμός, είναι δε σε θέση να τις διαρθρώνουν, να τις τροποποιούν ή να τις διαγράφουν εάν είναι ανακριβείς, εκτός εάν ο φόρτος εργασίας ή οι δαπάνες που συνεπάγεται η παροχή πρόσβασης είναι δυσανάλογα προς τους κινδύνους για την ιδιωτική ζωή του ατόμου για τη συγκεκριμένη περίπτωση ή εάν τούτο θα σήμαινε παραβίαση των νομίμων δικαιωμάτων ατόμων πλην του συγκεκριμένου ιδιώτη.

1. Ε: Το δικαίωμα πρόσβασης είναι απόλυτο;

1. Α: Όχι. Με βάση την αρχή του «ασφαλούς λιμένα», το δικαίωμα πρόσβασης είναι ουσιώδες για την προστασία της ιδιωτικής ζωής. Με βάση το δικαίωμα αυτό, οι ιδιώτες μπορούν να εξακριβώνουν την ακρίβεια των πληροφοριών που τηρούνται και οι οποίες τους αφορούν. Εντούτοις, η υποχρέωση ενός οργανισμού να παρέχει πρόσβαση στις προσωπικές πληροφορίες που κατέχει για έναν ιδιώτη υπόκειται στην αρχή της αναλογικότητας ή του εύλογου χαρακτήρα και πρέπει να μετριάζεται σε ορισμένες περιπτώσεις. Πράγματι, το επεξηγηματικό μνημόνιο των οδηγιών του ΟΟΣΑ (1980) για την προστασία της ιδιωτικής ζωής καθιστά σαφές ότι η υποχρέωση ενός οργανισμού να παρέχει πρόσβαση δεν είναι απόλυτη. Δεν απαιτείται η εξαιρετικά εμπεριστατωμένη έρευνα που χρειάζεται π.χ. μια κλήτευση μάρτυρα, ούτε απαιτείται πρόσβαση σε όλες τις διάφορες μορφές υπό τις οποίες ο οργανισμός ενδέχεται να διατηρεί τις πληροφορίες.

Η εμπειρία έχει δείξει ότι οι οργανισμοί, για να ανταποκριθούν σε αιτήματα πρόσβασης των ιδιωτών, θα πρέπει καταρχήν να καθοδηγούνται από το πρόβλημα που οδήγησε στη διατύπωση του αιτήματος. Για παράδειγμα, εάν το αίτημα πρόσβασης είναι ασαφές ή ευρύ, ένας οργανισμός μπορεί να ξεκινήσει διάλογο με τον ιδιώτη ώστε να κατανοήσει καλύτερα τους λόγους για τους οποίους υπέβαλε το αίτημα και να εντοπίσει τα κατάλληλα δεδομένα. Ο οργανισμός μπορεί να ερευνήσει ποια τμήματα του οργανισμού σχετίζονται με το αίτημα του ιδιώτη ή/και ποια είναι η φύση των πληροφοριών που ζητούνται (ή η χρήση τους). Εντούτοις, οι ιδιώτες δεν χρειάζεται να δικαιολογούν τα αιτήματα για πρόσβαση στα δεδομένα που τους αφορούν άμεσα.

Οι δαπάνες και ο φόρτος εργασίας είναι σημαντικοί παράγοντες και θα πρέπει να λαμβάνονται υπόψη, δεν επηρεάζουν όμως την απόφαση σχετικά με τον αν η παροχή πρόσβασης είναι εύλογη. Για παράδειγμα, εάν οι πληροφορίες χρησιμοποιούνται για αποφάσεις που θα επηρεάσουν σημαντικά τον ιδιώτη (π.χ. χορήγηση ή άρνηση χορήγησης σημαντικών ωφελημάτων, όπως ασφάλεια, υποθήκη ή θέση εργασίας), τότε, τηρώντας τα όσα αναφέρονται στις λοιπές συχνές ερωτήσεις, ο οργανισμός θα πρέπει να αποκαλύψει τις σχετικές πληροφορίες, ακόμη και αν είναι σχετικά δύσκολο ή δαπανηρό.

Εάν η πληροφορία που ζητείται δεν είναι ευαίσθητη ή δεν χρησιμοποιείται για αποφάσεις που θα επηρεάσουν σημαντικά τον ιδιώτη (π.χ. μη ευαίσθητα δεδομένα εμπορικής προώθησης που χρησιμοποιούνται για να προσδιορισθεί εάν θα αποσταλεί ή όχι στον ιδιώτη ένας κατάλογος), αλλά είναι εύκολα διαθέσιμη και η παροχή της δεν είναι δαπανηρή, ο οργανισμός θα πρέπει να παρέχει πρόσβαση στα στοιχεία που τηρεί για τον συγκεκριμένο ιδιώτη. Οι σχετικές πληροφορίες μπορούν να περιλαμβάνουν στοιχεία που έχουν ληφθεί από τον ίδιο τον ιδιώτη, στοιχεία που έχουν συγκεντρωθεί επ' ευκαιρία μιας συναλλαγής, ή στοιχεία που έχουν ληφθεί από τρίτους αλλά αφορούν τον ιδιώτη.

Η αρχή της πρόσβασης συνεπάγεται, από την ίδια τη φύση της, ότι οι οργανισμοί πρέπει πάντοτε να καταβάλουν καλόπιστες προσπάθειες παροχής πρόσβασης. Για παράδειγμα, στις περιπτώσεις κατά τις οποίες ορισμένες πληροφορίες πρέπει να προστατευθούν και μπορούν εύκολα να διαχωριστούν από τις λοιπές πληροφορίες που αποτελούν το αντικείμενο της αίτησης πρόσβασης, ο οργανισμός θα πρέπει να επεξεργαστεί τις προστατευμένες πληροφορίες και να παράσχει πρόσβαση στις λοιπές πληροφορίες. Εάν ένας οργανισμός ορίσει ότι σε κάποια συγκεκριμένη περίπτωση δεν πρέπει να δοθεί πρόσβαση, θα πρέπει να εξηγήσει το λόγο άρνησης στον ιδιώτη και να του ανακοινώσει τα στοιχεία της υπηρεσίας στην οποία θα μπορεί να απευθυνθεί για περαιτέρω πληροφορίες.

2. Ε: Ποιες είναι οι εμπιστευτικές εμπορικές πληροφορίες; Μπορούν οι οργανισμοί να απορρίψουν αίτημα πρόσβασης προκειμένου να τις διαφυλάξουν;

2. Α: Οι εμπιστευτικές εμπορικές πληροφορίες (όπως ο όρος αυτός χρησιμοποιείται στους Federal Rules of Civil Procedure για τη γνωστοποίηση στοιχείων) είναι οι πληροφορίες για τις οποίες ένας οργανισμός έχει προβεί σε ενέργειες ώστε να μην αποκαλυφθούν, διότι η αποκάλυψή τους θα βοηθούσε ενδεχομένως έναν ανταγωνιστή στην αγορά. Το συγκεκριμένο πρόγραμμα πληροφορικής που χρησιμοποιεί ένας οργανισμός, π.χ. ένα πρόγραμμα μοντελοποίησης ή οι λεπτομέρειες του προγράμματος αυτού, μπορεί να αποτελούν εμπιστευτικές εμπορικές πληροφορίες. Στις περιπτώσειςκατά τις οποίες οι εμπιστευτικές εμπορικές πληροφορίες μπορούν εύκολα να διαχωριστούν από τις λοιπές πληροφορίες που αποτελούν το αντικείμενο της αίτησης πρόσβασης, ο οργανισμός πρέπει να επεξεργαστεί τις εμπιστευτικές εμπορικές πληροφορίες και να παράσχει πρόσβαση στις μη εμπιστευτικές πληροφορίες. Οι οργανισμοί μπορούν να αρνηθούν ή να περιορίσουν την πρόσβαση στο βαθμό που κάτι τέτοιο θα αποκάλυπτε δικές τους εμπιστευτικές εμπορικές πληροφορίες όπως αυτές ορίζονται παραπάνω, π.χ. στοιχεία εμπορικής προώθησης ή ταξινομήσεις που έχει καταρτίσει ο οργανισμός ή εμπιστευτικές εμπορικές πληροφορίες άλλου οργανισμού, εφόσον οι πληροφορίες αυτές υπόκεινται σε συμβατική υποχρέωση για εχεμύθεια σε περιπτώσεις κατά τις οποίες θα πρέπει συνήθως να αναλαμβάνεται ή να επιβάλλεται η εν λόγω υποχρέωση για εχεμύθεια.

3. Ε: Μπορεί ένας οργανισμός, παρέχοντας πρόσβαση, να αποκαλύπτει σε ιδιώτες προσωπικές πληροφορίες που τους αφορούν και οι οποίες προκύπτουν από τις βάσεις δεδομένων του ή απαιτείται η πρόσβαση στην ίδια τη βάση δεδομένων;

3. Α: Ένας οργανισμός μπορεί να παράσχει πρόσβαση αποκαλύπτοντας στοιχεία στον ιδιώτη· δεν απαιτείται ο ιδιώτης να έχει πρόσβαση στη βάση δεδομένων του οργανισμού.

4. Ε: Ένας οργανισμός πρέπει να αναδιαρθρώσει τις βάσεις δεδομένων του ώστε να είναι σε θέση να παράσχει πρόσβαση;

4. Α: Πρόσβαση πρέπει να παρέχεται μόνο στο βαθμό που ο οργανισμός αποθηκεύει τις πληροφορίες. Η αρχή της πρόσβασης αυτή καθαυτή δεν δημιουργεί υποχρέωση δημιουργίας, τήρησης, αναδιοργάνωσης ή αναδιάρθρωσης αρχείων με προσωπικές πληροφορίες.

5. Ε: Οι εν λόγω απαντήσεις καθιστούν σαφές ότι το αίτημα πρόσβασης μπορεί υπό ορισμένες προϋποθέσεις να απορριφθεί. Υπό ποιες άλλες προϋποθέσεις μπορεί ένας οργανισμός να απορρίψει αίτημα ιδιώτη για πρόσβαση στις πληροφορίες που τον αφορούν προσωπικά;

5. Α: Οι προϋποθέσεις αυτές είναι περιορισμένες και οι λόγοι απόρριψης του αιτήματος πρόσβασης πρέπει να είναι συγκεκριμένοι. Ένας οργανισμός μπορεί να αρνηθεί την πρόσβαση σε πληροφορίες στο βαθμό που η πρόσβαση είναι πιθανόν να συγκρούεται με σημαντικά δημόσια συμφέροντα, όπως είναι η εθνική ασφάλεια, η άμυνα ή η δημόσια τάξη. Επιπλέον, μπορεί να απορριφθεί το αίτημα πρόσβασης εάν οι προσωπικές πληροφορίες τυγχάνουν επεξεργασίας αποκλειστικά για ερευνητικούς ή στατιστικούς σκοπούς. Άλλοι λόγοι απόρριψης του αιτήματος πρόσβασης ή περιορισμού της πρόσβασης είναι οι ακόλουθοι: α) παρεμπόδιση της εκτέλεσης ή της εφαρμογής του νόμου, συμπεριλαμβανομένης της πρόληψης, διαλεύκανσης ή διεξαγωγής έρευνας για αδικήματα, καθώς και του δικαιώματος ορθής απονομής δικαιοσύνης· β) συνάφεια με το αντικείμενο αγωγών, περιλαμβανομένης της πρόληψης και της διενέργειας έρευνας στο πλαίσιο αγωγών, ή του δικαιώματος για ορθή απονομή δικαιοσύνης· γ) γνωστοποίηση πληροφοριών που περιέχουν αναφορά σε τρίτους όταν η αναφορά αυτή δεν μπορεί να παραλειφθεί· δ) μη τήρηση προνομίου ή υποχρέωσης, είτε εκ του νόμου είτε επαγγελματικού· ε) μη τήρηση της απαιτούμενης εχεμύθειας μελλοντικών ή τρεχουσών διαπραγματεύσεων, όπως διαπραγματεύσεις που αφορούν την αγορά εταιρειών εισηγμένων σε χρηματιστήριο· στ) συνάφεια με έρευνες για την ασφάλεια του εργαζομένου ή με εκδικαζόμενες εργατικές διαφορές· ζ) μη τήρηση εχεμύθειας που ενδέχεται να απαιτείται για περιορισμένες χρονικές περιόδους σε σχέση με σχεδιαζόμενη διαδοχή του υπαλλήλου και αναδιοργάνωση επιχειρήσεων, ή η) μη τήρηση εχεμύθειας που ενδέχεται να απαιτείται σε σχέση με την παρακολούθηση, τον έλεγχο ή τις ρυθμιστικές λειτουργίες που συνδέονται με την υγιή οικονομική διαχείριση, ή θ) λοιπές περιπτώσεις κατά τις οποίες είτε ο φόρτος ή το κόστος παροχής πρόσβασης θα ήταν δυσανάλογο είτε θα παραβιάζονταν τα νόμιμα δικαιώματα ή συμφέροντα τρίτων.

Ένας οργανισμός που ισχυρίζεται ότι χωρεί εξαίρεση, φέρει (όπως γίνεται συνήθως) το βάρος της απόδειξης σχετικά με την εφαρμογή της. Όπως προαναφέρθηκε, πρέπει να γνωστοποιούνται στον ιδιώτη οι λόγοι απόρριψης ή περιορισμού της πρόσβασης, καθώς και τα στοιχεία της υπηρεσίας στην οποία θα μπορεί να απευθυνθεί για περαιτέρω πληροφορίες.

6. Ε: Μπορεί ένας οργανισμός να χρεώσει ποσό για την κάλυψη της παροχής πρόσβασης;

6. Α: Ναι. Οι οδηγίες του ΟΟΣΑ αναγνωρίζουν ότι οι οργανισμοί μπορούν να χρεώσουν ένα μη υπερβολικό ποσό. Συνεπώς, οι οργανισμοί μπορούν να χρεώσουν ένα εύλογο ποσό για την πρόσβαση. Η χρέωση του ποσού μπορεί να αποδειχθεί χρήσιμη για την αποθάρρυνση επαναλαμβανόμενων και οχληρών αιτημάτων.

Οι οργανισμοί που είναι ειδικευμένοι στην πώληση δημοσιοποιημένων πληροφοριών μπορούν συνεπώς να χρεώσουν το αντίτιμο που συνήθως χρεώνουν όταν ανταποκρίνονται σε αιτήματα πρόσβασης. Οι ιδιώτες μπορούν επίσης να ζητήσουν πρόσβαση στις πληροφορίες που τους αφορούν από τον οργανισμό που συνέλεξε αρχικά τα δεδομένα.

Η πρόσβαση δεν πρέπει να απορρίπτεται λόγω κόστους αν ο ιδιώτης προτίθεται να καταβάλει το απαιτούμενο ποσό.

7. Ε: Απαιτείται από έναν οργανισμό να παρέχει πρόσβαση σε προσωπικές πληροφορίες που προκύπτουν από δημόσια αρχεία;

7. Α: Πρέπει να διευκρινιστεί καταρχήν ότι δημόσια αρχεία είναι τα αρχεία που τηρούνται από δημόσιες υπηρεσίες ή από φορείς σε κάθε επίπεδο και στα οποία το κοινό εν γένει έχει ελεύθερη πρόσβαση. Δεν είναι αναγκαίο να εφαρμοστεί η αρχή της πρόσβασης για τις πληροφορίες αυτές στο βαθμό που δεν συνδυάζονται με λοιπές προσωπικές πληροφορίες, εκτός εάν μικρές ποσότητες πληροφοριών από μη δημόσια αρχεία χρησιμοποιούνται για την ευρετηρίαση ή οργάνωση πληροφοριών δημοσίων αρχείων. Οπωσδήποτε, πρέπει να τηρούνται όλες οι προϋποθέσεις οι οποίες αφορούν τη διαβούλευση και οι οποίες θεσπίζονται από τη σχετική αρμόδια αρχή. Όταν οι πληροφορίες από δημόσια αρχεία συνδυάζονται με πληροφορίες από μη δημόσια αρχεία (πλην αυτών που αναφέρονται συγκεκριμένα παραπάνω), ο οργανισμός πρέπει να παρέχει πρόσβαση σε όλες τις πληροφορίες αυτές, εφόσον δεν αποτελούν αντικείμενο άλλων επιτρεπτών εξαιρέσεων.

8. Ε: Η αρχή της πρόσβασης πρέπει να εφαρμόζεται σε δημοσιοποιημένες προσωπικές πληροφορίες;

8 Α: Όπως και με τις πληροφορίες που προέρχονται από δημόσια αρχεία (βλέπε ερώτηση αριθ. 7), έτσι και εδώ δεν είναι απαραίτητο να δίδεται πρόσβαση σε πληροφορίες που έχουν ήδη δημοσιοποιηθεί στο ευρύ κοινό, εφόσον αυτές δεν έχουν συνδυστεί με μη δημοσιοποιημένες πληροφορίες.

9. Ε: Πώς μπορεί ένας οργανισμός να προστατευθεί από επαναλαμβανόμενα ή οχληρά αιτήματα πρόσβασης;

9 Α: Οι οργανισμοί δεν οφείλουν να ανταποκρίνονται σε παρόμοια αιτήματα πρόσβασης. Για τους λόγους αυτούς, οι οργανισμοί μπορούν να χρεώνουν εύλογο τέλος και να θέτουν εύλογα όρια για τον αριθμό των φορών, εντός συγκεκριμένης χρονικής περιόδου, που θα ανταποκρίνονται στα αιτήματα συγκεκριμένου ιδιώτη για πρόσβαση. Ένας οργανισμός, όταν θέτει παρόμοιους περιορισμούς, πρέπει να λαμβάνει υπόψη παράγοντες όπως η συχνότητα ενημέρωσης των πληροφοριών, ο σκοπός χρήσης των δεδομένων και η φύση των πληροφοριών.

10 Ε: Πώς μπορεί ένας οργανισμός να προστατευθεί από δόλια αιτήματα πρόσβασης;

10.Α: Οι οργανισμοί έχουν την υποχρέωση να παρέχουν πρόσβαση μόνον όταν τους δίδονται επαρκείς πληροφορίες που τους επιτρέπουν να επιβεβαιώσουν την ταυτότητα του ατόμου που υποβάλει το αίτημα.

11. Ε: Υπάρχει χρονικό όριο εντός του οποίου πρέπει να δίδεται απάντηση στο αίτημα πρόσβασης;

11. Α: Ναι· οι οργανισμοί πρέπει να απαντούν χωρίς υπερβολική καθυστέρηση και εντός εύλογης χρονικής περιόδου. Η απαίτηση αυτή μπορεί να ικανοποιηθεί με διάφορους τρόπους όπως ορίζει το επεξηγηματικό μνημόνιο των οδηγιών του ΟΟΣΑ (1980) για την προστασία της ιδιωτικής ζωής. Για παράδειγμα, ο ελεγκτής δεδομένων που παρέχει πληροφορίες σε ιδιώτες τους οποίους αφορούν τα δεδομένα σε τακτά χρονικά διαστήματα μπορεί να απαλλαγεί από την υποχρέωση να ανταποκρίνεται αμέσως σε ατομικά αιτήματα.

ΣΕ αριθ. 9 — Ανθρώπινο δυναμικό

1. Ε: Η διαβίβαση, από την ΕΕ προς τις Ηνωμένες Πολιτείες, προσωπικών πληροφοριών που συγκεντρώνονται στο πλαίσιο της σχέσης απασχόλησης καλύπτονται από τον ασφαλή λιμένα;

1. Α: Ναι, αν μια εταιρεία στην ΕΕ διαβιβάζει προσωπικές πληροφορίες για τους (πρώην ή σημερινούς) υπαλλήλους της, οι οποίες συγκεντρώνονται στο πλαίσιο της σχέσης απασχόλησης, σε μητρική ή θυγατρική εταιρεία, ή σε μη «συγγενή» φορέα παροχής υπηρεσιών στις Ηνωμένες Πολιτείες που συμμετέχει στον ασφαλή λιμένα· στην περίπτωση αυτή, η διαβίβασηαπολαμβάνει των πλεονεκτημάτων του ασφαλούς λιμένα. Σε παρόμοιες περιπτώσεις, η συγκέντρωση των πληροφοριών και η επεξεργασία τους πριν από τη διαβίβαση θα διέπεται από τους εθνικούς νόμους της κοινοτικής χώρας στην οποία συγκεντρώθηκαν οι πληροφορίες και θα πρέπει να τηρούνται τυχόν προϋποθέσεις ή περιορισμοί σχετικά με τη διαβίβαση τους σύμφωνα με τους εν λόγω νόμους.

Οι αρχές του ασφαλούς λιμένα εφαρμόζονται μόνο σε περίπτωση διαβίβασης ή πρόσβασης που αφορά εξατομικευμένα αρχεία. Οι στατιστικές που βασίζονται σε συγκεντρωτικά δεδομένα απασχόλησης ή/και στη χρήση ανωνυμοποιημένων δεδομένων ή δεδομένων με ψευδώνυμα δεν θέτουν προβλήματα προστασίας της ιδιωτικής ζωής.

2. Ε: Πώς εφαρμόζονται οι αρχές της κοινοποίησης και της επιλογής σε τέτοιες πληροφορίες;

A 2: Ένας οργανισμός των ΗΠΑ που έλαβε στοιχεία για υπαλλήλους από την ΕΕ σύμφωνα με τον ασφαλή λιμένα μπορεί να τα γνωστοποιήσει σε τρίτους ή/και να τα χρησιμοποιήσει για διαφορετικούς σκοπούς μόνο σύμφωνα με τις αρχές της κοινοποίησης και της επιλογής. Για παράδειγμα, όταν ένας οργανισμός προτίθεται να χρησιμοποιήσει προσωπικές πληροφορίες που έχουν συγκεντρωθεί με βάση τη σχέση απασχόλησης για σκοπούς που δεν σχετίζονται με την απασχόληση, όπως ανακοινώσεις εμπορικής προώθησης, οι οργανισμοί των ΗΠΑ πρέπει να προσφέρουν στα ενδιαφερόμενα άτομα τη δυνατότητα επιλογής πριν από τη χρήση των πληροφοριών αυτών, εκτός αν τα άτομα αυτά έχουν ήδη εγκρίνει τη χρήση των πληροφοριών για τέτοιους σκοπούς. Ακόμη, οι εν λόγω δυνατότητες επιλογής δεν θα πρέπει να χρησιμοποιούνται για να περιοριστούν οι επαγγελματικές ευκαιρίες των εργαζομένων ή για τη λήψη μέτρων κατά των εργαζομένων αυτών.

Πρέπει να σημειωθεί ότι πρέπει να τηρούνται ορισμένες προϋποθέσεις που ισχύουν γενικά για τη διαβίβαση από μερικά κράτη μέλη και οι οποίες αποκλείουν κάθε άλλη χρήση των εν λόγω πληροφοριών, ακόμη και μετά τη διαβίβαση τους εκτός της ΕΕ.

Επιπλέον, οι εργοδότες πρέπει να καταβάλλουν εύλογες προσπάθειες ώστε να λάβουν υπόψη τους τις προτιμήσεις των υπαλλήλων όσον αφορά την ιδιωτική τους ζωή. Τούτο μπορεί π.χ. να περιλαμβάνει περιορισμό της πρόσβασης στα δεδομένα, ανωνυμοποίηση ορισμένων δεδομένων ή καταγραφή βάσει κωδικών ή ψευδωνύμων όταν τα πραγματικά ονόματα δεν είναι απαραίτητα για τη διαχείριση των εν λόγω πληροφοριών.

Ο οργανισμός δεν χρειάζεται να προβεί σε κοινοποίηση ή να προσφέρει δυνατότητα επιλογής, στο βαθμό που τούτο απαιτείται — και κατά τη χρονική περίοδο που κάτι τέτοιο είναι απαραίτητο — προκειμένου να μην ζημιωθεί το νόμιμο συμφέρον του οργανισμού να προβαίνει σε προαγωγές, διορισμούς ή να λαμβάνει παρόμοιες αποφάσεις στον τομέα της απασχόλησης.

3. Ε: Πώς εφαρμόζεται η αρχή της πρόσβασης;

3. Α: Η συχνή ερώτηση σχετικά με την πρόσβαση δίνει οδηγίες για τους λόγους που ενδέχεται να δικαιολογούν την απόρριψη του αιτήματος πρόσβασης ή τον περιορισμό της πρόσβασης στο πλαίσιο των δεδομένων που αφορούν το ανθρώπινο δυναμικό. Ασφαλώς, οι εργοδότες στην Ευρωπαϊκή Ένωση πρέπει να συμμορφώνονται με τους ισχύοντες κατά τόπους κανονισμούς και να διασφαλίζουν ότι οι εργαζόμενοι της Ευρωπαϊκής Ένωσης έχουν πρόσβαση σε παρόμοιες πληροφορίες σύμφωνα με τις κείμενες διατάξεις της εθνικής νομοθεσίας, ανεξάρτητα από τον τόπο επεξεργασίας και αποθήκευσης των δεδομένων. Η αρχή του ασφαλούς λιμένα απαιτεί από έναν οργανισμό που επεξεργάζεται παρόμοια δεδομένα στις Ηνωμένες Πολιτείες τη συνεργασία κατά την παροχή πρόσβασης είτε άμεσα είτε μέσω του εργοδότη από την ΕΕ.

4. Ε: Πώς θα εφαρμόζεται η προστασία των δεδομένων που αφορούν υπαλλήλους βάσει των αρχών του ασφαλούς λιμένα;

4. Α: Εφόσον οι πληροφορίες χρησιμοποιούνται μόνο στο πλαίσιο της σχέσης απασχόλησης, η πρωταρχική ευθύνη για τα δεδομένα έναντι του υπαλλήλου ανήκει στην εταιρεία που είναι εγκατεστημένη στην ΕΕ. Είναι αυτονόητο ότι, αν οι ευρωπαίοι υπάλληλοι υποβάλλουν καταγγελίες για παραβιάσεις των δικαιωμάτων τους στο θέμα της προστασίας των δεδομένων και δεν είναι ικανοποιημένοι με τα αποτελέσματα του εσωτερικού ελέγχου, της καταγγελίας και των προσφυγών (ή με οποιαδήποτε από τις ισχύουσες διαδικασίες επίλυσης εργατικών διαφορών βάσει σύμβασης με συνδικάτο), θα πρέπει να απευθύνονται στο κράτος ή στην εθνική αρχή προστασίας των δεδομένων ή στην αρμόδια για εργασιακά θέματα αρχή του τόπου όπου εργάζονται. Συμπεριλαμβάνονται, επίσης, οι περιπτώσεις όπου η εικαζόμενη κακή διαχείριση των προσωπικών τους πληροφοριών έγινε στις Ηνωμένες Πολιτείες, αποτελεί ευθύνη του αμερικανικού οργανισμού που έλαβε τις πληροφορίες από τον εργοδότη και όχι ευθύνη του εργοδότη και επομένως συνεπάγεται εικαζόμενη παράβαση των αρχών του ασφαλούς λιμένα και όχι των εθνικών νομοθετικών διατάξεων για την εφαρμογή της οδηγίας. Τούτο θα αποτελεί τον πλέον αποτελεσματικό τρόπο επίλυσης των ζητημάτων που αφορούν τα συχνά αλληλεπικαλυπτομένα δικαιώματα και υποχρεώσεις που προβλέπει το τοπικό εργατικό δίκαιο και οι εργατικές συμβάσεις καθώς και η νομοθεσία περί προστασίας των δεδομένων.

Ένας οργανισμός των ΗΠΑ, ο οποίος συμμετέχει στον ασφαλή λιμένα και χρησιμοποιεί δεδομένα ανθρώπινου δυναμικού από την ΕΕ που έχουν διαβιβαστεί από την Ευρωπαϊκή Ένωση στο πλαίσιο της εργασιακής σχέσης και ο οποίος επιθυμεί να καλύπτονται οι εν λόγω διαβιβάσεις από τον ασφαλή λιμένα πρέπει επομένως να αναλάβει τη δέσμευση, αφενός, να συνεργάζεται στις έρευνες που διενεργούνται από τις αρμόδιες αρχές της ΕΕ σε παρόμοιες περιπτώσεις και, αφετέρου, να συμμορφώνεται με τη συμβουλή των εν λόγω αρχών. Οι ΑΠΔ που έχουν συμφωνήσει να συνεργάζονται κατ' αυτόν τοντρόπο θα ενημερώνουν σχετικά την Επιτροπή και το Υπουργείο Εμπορίου. Εάν ένας οργανισμός από τις ΗΠΑ που συμμετέχει στον ασφαλή λιμένα επιθυμεί να διαβιβάσει δεδομένα για το ανθρώπινο δυναμικό από ένα κράτος μέλος χωρίς τη σύμφωνη γνώμη της αρμόδιας αρχής προστασίας δεδομένων του εν λόγω κράτους, θα ισχύουν οι διατάξεις της ΣΕ αριθ. 5.

ΣΕ αριθ. 10 — Συμβάσεις του άρθρου 17

Ε: Απαιτείται η σύναψη σύμβασης όταν διαβιβάζονται δεδομένα από την ΕΕ στις ΗΠΑ με αποκλειστικό σκοπό την επεξεργασία, ανεξάρτητα από τη συμμετοχή του εκτελούντος την επεξεργασία στον ασφαλή λιμένα;

Α: Ναι. Πάντα απαιτείται από τους υπεύθυνους επεξεργασία δεδομένων στην Ευρώπη να συνάπτουν σύμβαση όταν πραγματοποιείται διαβίβαση με αποκλειστικό σκοπό την επεξεργασία, ανεξάρτητα από το εάν η επεξεργασία διενεργείται εντός ή εκτός της ΕΕ. Ο σκοπός της σύμβασης είναι η προστασία των συμφερόντων του υπεύθυνου επεξεργασίας δεδομένων, δηλαδή του ατόμου ή φορέα που προσδιορίζει τους στόχους και τους τρόπους επεξεργασίας και διατηρεί πλήρη ευθύνη για τα δεδομένα απέναντι στο (στα) ενδιαφερόμενο(-α) πρόσωπο(-α). Επομένως, η σύμβαση ορίζει την προς διεξαγωγή επεξεργασία και τα απαραίτητα μέτρα για να εξασφαλιστεί η ασφάλεια των δεδομένων.

Ένας αμερικανικός οργανισμός μέλος του ασφαλούς λιμένα που λαμβάνει πληροφορίες προσωπικού χρακτήρα από την ΕΕ με αποκλειστικό σκοπό την επεξεργασία δεν οφείλει επομένως να εφαρμόσει τις αρχές στις εν λόγω πληροφορίες, επειδή ο υπεύθυνος της επεξεργασίας στην ΕΕ διατηρεί κάθε σχετική ευθύνη απέναντι στο πρόσωπο, σύμφωνα με τις σχετικές διατάξεις της ΕΕ (οι οποίες ενδέχεται να είναι αυστηρότερες από τις αντίστοιχες αρχές του ασφαλούς λιμένα).

Επειδή οι συμμετέχοντες στις αρχές του ασφαλούς λιμένα παρέχουν επαρκή προστασία, οι συμβάσεις με τους εν λόγω συμμετέχοντες με αποκλειστικό σκοπό την επεξεργασία δεν υπόκεινται στην υποχρέωση προηγούμενης άδειας (ή η άδεια αυτή θα παραχωρείται αυτομάτως από τα κράτη μέλη), ενώ απαιτείται για τη σύναψη συμβάσεων με παραλήπτες οι οποίοι δεν συμμετέχουν στον ασφαλή λιμένα ή αλλιώς δεν παρέχουν επαρκή προστασία.

ΣΕ αριθ. 11 — Επίλυση διαφορών και εφαρμογή

Ε: Πώς πρέπει να εφαρμόζονται οι απαιτήσεις που προκύπτουν από την αρχή της εφαρμογής σχετικά με την επίλυση διαφορών και πώς θα αντιμετωπίζεται η επίμονη μη συμμόρφωση ενός οργανισμού προς τις αρχές;

Α: Η αρχή της εφαρμογής ορίζει τις απαιτήσεις για τις διαδικασίες εφαρμογής του ασφαλούς λιμένα. Το πώς να πληρούνται οι απαιτήσεις του στοιχείου β) της αρχής εξετάζεται στη συχνή ερώτηση σχετικά με την επαλήθευση (ΣΕ αριθ. 7). Η παρούσα συχνή ερώτηση εξετάζει τα στοιχεία α) και γ), κάθε ένα από τα οποία απαιτεί ανεξάρτητες διαδικασίες προσφυγής. Οι διαδικασίες αυτές μπορούν να λάβουν διάφορες μορφές αλλά οφείλουν να ανταποκρίνονται στις απαιτήσεις της αρχής της εφαρμογής. Οι οργανισμοί μπορούν να πληρούν τις απαιτήσεις που ορίζει η αρχή αυτή με τους ακόλουθους τρόπους: 1. με τη συμμόρφωση με τα προγράμματα προστασίας του ιδιωτικού βίου τα οποία αναπτύσσει ο ιδιωτικός τομέας και τα οποία ενσωματώνουν τις αρχές του ασφαλούς λιμένα στους κανόνες τους και περιλαμβάνουν αποτελεσματικές διαδικασίες εφαρμογής του είδους που περιγράφεται στην αρχή της εφαρμογής· 2. με τη συμμόρφωση προς τις εποπτικές αρχές που προβλέπονται από νόμους ή από κανονιστικές πράξεις, οι οποίες χειρίζονται τις καταγγελίες ιδιωτών και την επίλυση διαφορών, ή 3. με την ανάληψη της υποχρέωσης συνεργασίας με τις αρχές προστασίας δεδομένων που είναι εγκατεστημένες στην Ευρωπαϊκή Κοινότητα ή τους εξουσιοδοτημένους αντιπροσώπους τους. Ο κατάλογος αυτός έχει ενδεικτικό και όχι περιοριστικό χαρακτήρα. Ο ιδιωτικός τομέας μπορεί να εισαγάγει άλλες διαδικασίες εφαρμογής, εφόσον αυτές πληρούν τις απαιτήσεις της αρχής της εφαρμογής και των ΣΕ. Πρέπει να σημειωθεί ότι οι απαιτήσεις της αρχής της εφαρμογής συμπληρώνουν την απαίτηση που περιλαμβάνεται στην παράγραφο 3 της εισαγωγής στις αρχές, σύμφωνα με την οποία οι αυτορυθμιστικές προσπάθειες πρέπει να είναι εφαρμόσιμες σύμφωνα με το άρθρο 5 του FTC Act ή σύμφωνα με παρόμοιο καθεστώς.

Φορείς προσφυγής

Οι καταναλωτές πρέπει να ενθαρρύνονται να υποβάλλουν τις ενδεχόμενες καταγγελίες τους στον οικείο οργανισμό πριν απευθυνθούν σε ανεξάρτητους φορείς προσφυγής. Η ανεξαρτησία του αρμόδιου για την προσφυγή φορέα είναι πραγματικό ζήτημα και μπορεί να αποδειχθεί με πολλούς τρόπους, π.χ. με σύνθεση και χρηματοδότηση που χαρακτηρίζονται από διαφάνεια ή με αποδεδειγμένο ιστορικό. Όπως απαιτεί η αρχή της εφαρμογής, το δικαίωμα προσφυγής που παρέχεταιστους ιδιώτες πρέπει να μπορεί να ασκείται ευχερώς και με προσιτό κόστος. Τα όργανα επίλυσης των διαφορών πρέπει να εξετάζουν κάθε καταγγελία που λαμβάνουν από ιδιώτες, εκτός εάν είναι καταφανώς αβάσιμη ή καταχρηστική. Αυτό δεν αποκλείει τη θέσπιση κριτηρίων παραδεκτών από το φορέα προσφυγής, αλλά τα κριτήρια αυτά πρέπει να είναι διαφανή και δικαιολογημένα (π.χ. να εξαιρούν τις καταγγελίες που δεν εμπίπτουν στο πεδίο εφαρμογής του προγράμματος ή βρίσκονται υπό εξέταση σε άλλο φόρουμ) και δεν πρέπει να υπονομεύουν την υποχρέωση να εξετάζονται οι νόμιμες καταγγελίες. Επιπλέον, οι φορείς προσφυγής πρέπει να παρέχουν στους ιδιώτες πλήρη και άμεση πληροφόρηση σκετικά με το πώς λειτουργεί μια διαδικασία επίλυσης διαφορών όταν αυτοί υποβάλλουν καταγγελία. Οι πληροφορίες πρέπει να συμπεριλαμβάνουν στοιχεία σχετικά με τις πρακτικές του φορέα για την προστασία του ιδιωτικού βίου, σύμφωνα με τις αρχές του ασφαλούς λιμένα ( 10 ). Επίσης, οι φορείς προσφυγής πρέπει να συνεργάζονται για την ανάπτυξη μέσων, όπως τυποποιημένα έντυπα καταγγελιών, προκειμένου να διευκολύνουν τη διαδικασία επίλυσης των διαφορών.

Ένδικα βοηθήματα και κυρώσεις

Οποιοδήποτε ένδικο βοήθημα παρέχεται από το όργανο επίλυσης διαφορών θα πρέπει να αποσκοπεί στην αποκατάσταση ή τη διόρθωση των επιπτώσεων της μη συμμόρφωσης από τον οργανισμό, στο μέτρο του δυνατού, και στην εξασφάλιση του γεγονότος ότι η μελλοντική επεξεργασία από τον οργανισμό θα είναι σύμφωνη με τις αρχές και, ανάλογα με την περίπτωση, ότι θα παύσει η επεξεργασία των δεδομένων προσωπικού χαρακτήρα του ιδιώτη ο οποίος υπέβαλε την καταγγελία. Οι κυρώσεις πρέπει να είναι αρκετά αυστηρές ώστε να εξασφαλίζουν τη συμμόρφωση του οργανισμού προς τις εν λόγω αρχές. Μια δέσμη κυρώσεων διαφόρων βαθμών αυστηρότητας θα επιτρέψει στα όργανα επίλυσης των διαφορών να ανταποκριθούν καταλλήλως στους διάφορους βαθμούς μη συμμόρφωσης. Οι κυρώσεις θα πρέπει να περιλαμβάνουν τόσο τη δημοσίευση των παραβάσεων όσο και την απαίτηση διαγραφής των δεδομένων σε ορισμένες περιπτώσεις ( 11 ). Άλλες κυρώσεις θα πρέπει να περιλαμβάνουν: αναστολή και ανάκληση διοικητικής άδειας, αποζημίωση των θιγομένων για τις ζημίες που υπέστησαν λόγω της μη συμμόρφωσης και εντολές προς συμμόρφωση. Τα όργανα επίλυσης διαφορών του ιδιωτικού τομέα και τα αυτορυθμιστικά όργανα πρέπει να κοινοποιούν τις περιπτώσεις μη συμμόρφωσης των οργανισμών ασφαλούς λιμένα προς τις αποφάσεις τους στα δικαστήρια ή στην εκάστοτε αρμόδια, κατά περίπτωση, διοικητική αρχή καθώς και στο Υπουργείο Εμπορίου (ή στο φορέα που θα οριστεί απ' αυτό).

Δράση της FTC

Η FTC είναι αρμόδια να εξετάζει κατά προτεραιότητα καταγγελίες που υποβάλλουν αυτορυθμιστικοί οργανισμοί προστασίας του ιδιωτικού βίου, όπως η BBBOnline και η TRUSTe, καθώς και τα κράτη μέλη της ΕΕ που επικαλούνται τη μη συμμόρφωση με τις αρχές του ασφαλούς λιμένα προκειμένου να αποφανθεί εάν υπάρχει παράβαση του κεφαλαίου 5 του νόμου FTC που απαγορεύει τις αθέμιτες ή παραπλανητικές πράξεις ή πρακτικές στο εμπόριο. Αν η FTC συμπεράνει ότι έχει λόγο(-ους) να πιστεύει ότι έχει γίνει παράβαση του κεφαλαίου 5, μπορεί να επιλύσει το ζήτημα ζητώντας την έκδοση διοικητικής πράξης για παύση και παράλειψη η οποία να απαγορεύει τις επίμαχες πρακτικές ή υποβάλλοντας καταγγελία στο ομοσπονδιακό αρμόδιο δικαστήριο (district court) η οποία, εάν ευδοκιμήσει, μπορεί να καταλήξει στην έκδοση εντολής από ομοσπονδιακό δικαστήριο με το ίδιο αποτέλεσμα. Η FTC θα κοινοποιεί στο Υπουργείο Εμπορίου οποιαδήποτε τέτοια ενέργεια. Το Υπουργείο Εμπορίου ενθαρρύνει άλλες διοικητικές αρχές να του γνωστοποιούν την τελική έκβαση τέτοιων προσφυγών ή άλλες ρυθμίσεις που διέπουν την προσχώρηση στις αρχές του ασφαλούς λιμένα.

Επίμονη μη συμμόρφωση

Αν ένας οργανισμός επιμένει στη μη συμμόρφωση με τις αρχές, δεν δικαιούται πλέον να επωφελείται του ασφαλούς λιμένα. Επίμονη μη συμμόρφωση στοιχειοθετείται όταν ένας οργανισμός που έχει αυτοπιστοποιηθεί στο Υπουργείο Εμπορίου (ή στο φορέα που θα οριστεί απ' αυτό) αρνείται να συμμορφωθεί με την τελική απόφαση οποιουδήποτε αυτορυθμιστικού ή κρατικού οργάνου ή όταν ένα τέτοιο όργανο θεωρεί ότι ένας οργανισμός αρνείται συχνά να συμμορφωθεί με τις αρχές σε βαθμό που να μη θεωρείται πλέον αξιόπιστος όσον αφορά την πρόθεσή του να συμμορφωθεί. Σε τέτοιες περιπτώσεις, ο οργανισμός πρέπει εγκαίρως να κοινοποιεί στο Υπουργείο Εμπορίου (ή στο φορέα που θα οριστεί απ' αυτό) τα στοιχεία αυτά. Εάν δεν το πράξει, μπορεί να διωχθεί βάσει του νόμου περί υποβολής ψευδούς δήλωσης.

Το Υπουργείο Εμπορίου (ή ο φορέας που θα οριστεί απ' αυτό) θα περιλάβει στο δημόσιο μητρώο που τηρεί σχετικά με τους οργανισμούς που αυτοπιστοποιούν προσχώρηση στις αρχές του ασφαλούς λιμένα οποιαδήποτε κοινοποίηση σχετικά με επίμονη μη συμμόρφωση που λαμβάνει, είτε προέρχεται από τον ίδιο τον οργανισμό είτε από αυτορυθμιστικό ή κρατικό όργανο, αλλά μόνον αφού έχει προηγουμένως παράσχει στον καταγγελόμενο οργανισμό προθεσμία 30 ημερών και τη δυνατότητα να απαντήσει. Αντίστοιχα, από το δημόσιο μητρώο που τηρεί το Υπουργείο Εμπορίου (ή ο φορέας που θα οριστεί απ' αυτό) θα προκύπτει σαφώς για ποιους οργανισμούς ισχύουν και για ποιους δεν ισχύουν πλέον τα οφέλη του ασφαλούς λιμένα.

Ένας οργανισμός που υποβάλλει αίτηση συμμετοχής σε ένα αυτορυθμιστικό όργανο προκειμένου να υποβάλει και πάλι υποψηφιότητα για συμμετοχή στον ασφαλή λιμένα, πρέπει να προσκομίσει στο εν λόγω όργανο πλήρεις πληροφορίες σχετικά με την προηγούμενη συμμετοχή του στον ασφαλή λιμένα.

ΣΕ αριθ. 12 — Επιλογή — Χρονική στιγμή της εξαίρεσης από τα δεδομένα (Opt out)

Ε: Βάσει της αρχής της επιλογής δύναται το πρόσωπο να έχει επιλογή μόνο κατά την έναρξη της σχέσης ή ανά πάσα στιγμή;

Α: Εν γένει, ο σκόπος της αρχής της επιλογής είναι να διασφαλιστεί ότι οι πληροφορίες προσωπικού χαρακτήρα χρησιμοποιούνται και γνωστοποιούνται με τρόπους που συνάδουν με τις προσδοκίες και τις επιλογές του προσώπου. Κατά συνέπεια, το πρόσωπο πρέπει να δύναται να ασκήσει το δικαίωμα «εξαίρεσης» (ή επιλογής) όσον αφορά τη χρήση πληροφοριών προσωπικού χαρακτήρα για άμεση εμπορική προώθηση ανά πάσα στιγμή εντός εύλογων χρονικών ορίων που θέτει ο οργανισμός, όπως για παράδειγμα πρέπει να δίδεται χρόνος στον οργανισμό να υλοποιήσει την εξαίρεση από τα δεδομένα. Ένας οργανισμός μπορεί επίσης να ζητήσει επαρκείς πληροφορίες ώστε να επιβεβαιωθεί η ταυτότητα του προσώπου που ζητεί την εξαίρεση. Στις Ηνωμένες Πολιτείες, τα πρόσωπα μπορούν να ασκήσουν αυτό το δικαίωμα μέσω ενός κεντρικού προγράμματος «εξαίρεσης από τα δεδομένα», όπως είναι η υπηρεσία προτίμησης ταχυδρομείου (Mail Preference Service) της ένωσης άμεσης εμπορικής προώθησης (Direct Marketing Association). Οι οργανισμοί που συμμετέχουν στην εν λόγω υπηρεσία προτίμησης πρέπει να την καταστούν ευρύτατα γνωστή στους καταναλωτές εκείνους οι οποίοι δεν επιθυμούν να λαμβάνουν πληροφορίες εμπορικού χαρακτήρα. Εν πάση περιπτώσει, το πρόσωπο πρέπει να έχει στη διάθεσή του εύχρηστο και οικονομικά προσιτό μηχανισμό που θα του επιτρέπει να ασκήσει το δικαίωμα αυτό.

Ομοίως, ένας οργανισμός μπορεί να χρησιμοποιήσει πληροφορίες για ορισμένους σκοπούς άμεσης εμπορικής προώθησης όταν είναι πρακτικώς αδύνατο να δοθεί στο πρόσωπο δυνατότητα εξαίρεσης πριν από τη χρήση της πληροφορίας, υπό την προϋπόθεση ότι ο οργανισμός, αφενός θα παρέχει ταυτόχρονα στο πρόσωπο τη δυνατότητα (και ανά πάσα στιγμή, κατόπιν σχετικού αιτήματος) να μη δέχεται (χωρίς πρόσθετο κόστος για το πρόσωπο) να του διαβιβάζονται περαιτέρω κοινοποιήσεις άμεσης εμπορικής προώθησης και, αφετέρου, θα συμμορφώνεται με τις επιθυμίες του προσώπου.

ΣΕ αριθ. 13 — Πληροφορίες σχετικά με τα αεροπορικά ταξίδια

Ε: Πότε είναι δυνατόν να διαβιβάζονται σε φορείς εγκατεστημένους εκτός ΕΕ οι πληροφορίες για τις κρατήσεις αεροπορικών εισιτηρίων και άλλες πληροφορίες σχετικά με τα αεροπορικά ταξίδια, όπως εκείνες που αφορούν τους τακτικούς επιβάτες ή τις κρατήσεις ξενοδοχείων και τις ανάγκες ειδικής μεταχείρισης (π.χ. σε θέματα φαγητού για θρησκευτικούς λόγους ή παροχής φυσικής βοήθειας);

Α: Η διαβίβαση των ανωτέρω πληροφοριών επιτρέπεται σε αρκετές περιπτώσεις. Βάσει του άρθρου 26 της οδηγίας, μπορεί να πραγματοποιηθεί η διαβίβαση δεδομένων προσωπικού χαρακτήρα «προς τρίτη χώρα που δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας κατά την έννοια του άρθρου 25 (2)», υπό τον όρο ότι η διαβίβαση 1. είναι απαραίτητη για την παροχή των υπηρεσιών που ζητεί ο επιβάτης ή για την εκτέλεση συμφωνίας, όπως είναι η συμφωνία «τακτικού επιβάτη», ή 2. έχει τη ρητή συναίνεση του επιβάτη. Οι φορείς των ΗΠΑ που έχουν συνυπογράψει τις αρχές ασφαλούς λιμένα παρέχουν ικανοποιητικό επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα και, ως εκ τούτου, μπορούν να δεχθούν διαβίβαση δεδομένων από την ΕΕ χωρίς να πληρούν τις συγκεκριμένες προϋποθέσεις ή εκείνες που ορίζονται στο άρθρο 26 της οδηγίας. Εφόσον στις αρχές ασφαλούς λιμένα περιλαμβάνονται ειδικοί κανόνες για τις ευαίσθητες πληροφορίες, οι πληροφορίες αυτές (οι οποίες θα χρειαστεί ενδεχομένως να συγκεντρωθούν, π.χ. σε συνάρτηση με τις ανάγκες των πελατών για παροχή φυσικής βοήθειας) είναι δυνατόν να διαβιβαστούν σε φορείς που έχουν συνυπογράψει τις αρχές ασφαλούς λιμένα. Εν πάση περιπτώσει, ο φορέας που θα διαβιβάσει τις πληροφορίες πρέπει να τηρεί τη νομοθεσία του κράτους μέλους όπου δραστηριοποιείται, γεγονός που ενδέχεται, μεταξύ άλλων, να επιβάλλει ειδικούς όρους για την επεξεργασία ευαίσθητων πληροφοριών.

ΣΕ αριθ. 14 — Φαρμακευτικά και ιατρικά προϊόντα

1. Ε: Εάν συλλέγονται δεδομένα προσωπικού χαρακτήρα στην ΕΕ και διαβιβάζονται στις ΗΠΑ για φαρμακευτική έρευνα ή/και άλλους σκοπούς, εφαρμόζονται οι νόμοι των κρατών μελών ή οι αρχές του ασφαλούς λιμένα;

1. Α: Η νομοθεσία των κρατών μελών εφαρμόζεται κατά τη συλλογή των δεδομένων προσωπικού χαρακτήρα και κατά την τυχόν επεξεργασία που πραγματοποιείται πριν από τη διαβίβαση στις ΗΠΑ. Οι αρχές του ασφαλούς λιμένα εφαρμόζονται για τα δεδομένα αφού διαβιβαστούν στις ΗΠΑ. Τα δεδομένα που χρησιμοποιούνται για φαρμακευτική έρευνα και για άλλους σκοπούς πρέπει, ανάλογα με την περίπτωση, να είναι ανώνυμα.

2. Ε: Τα δεδομένα προσωπικού χαρακτήρα που αναπτύσσονται σε ειδικές ιατρικές ή φαρμακευτικές ερευνητικές μελέτες συχνά διαδραματίζουν πολύτιμο ρόλο στη μελλοντική επιστημονική έρευνα. Όταν δεδομένα προσωπικού χαρακτήρα που συλλέγονται για μια ερευνητική μελέτη διαβιβάζονται σε ένα οργανισμό των ΗΠΑ που περιλαμβάνεται στον ασφαλή λιμένα, μπορεί ο οργανισμός να χρησιμοποιήσει τα δεδομένα αυτά για μια νέα επιστημονική ερευνητική δραστηριότητα;

2. Α: Ναι, εφόσον εξαρχής παρέχεται κατάλληλη ειδοποίηση και δυνατότητα επιλογής. Μια τέτοια ειδοποίηση θα πρέπει να παρέχει πληροφορίες σχετικά με τυχόν μελλοντικές ειδικές χρήσεις των δεδομένων, όπως τακτική παρακολούθηση, σχετικές μελέτες ή εμπορική προώθηση. Είναι κατανοητό ότι δεν μπορούν να περιληφθούν όλες οι μελλοντικές χρήσεις των δεδομένων, δεδομένου ότι θα μπορούσε να προκύψει νέα έρευνα από νέες πληροφορίες σχετικά με τα αρχικά δεδομένα, νέες ιατρικές ανακαλύψεις και εξελίξεις, καθώς και εξελίξεις σχετικά με τη δημόσια υγεία και το κανονιστικό πλαίσιο. Ως εκ τούτου, όπου κρίνεται σκόπιμο, το σημείωμα θα πρέπει να περιλαμβάνει μια επεξήγηση ότι τα δεδομένα προσωπικού χαρακτήρα μπορεί να χρησιμοποιηθούν σε μελλοντικές ιατρικές και φαρμακευτικές ερευνητικές δραστηριότητες οι οποίες δεν προβλέπονται. Αν η χρήση δεν είναι συνεπής με το (τους) γενικό(-ούς) σκοπό(-ούς) της έρευνας για την οποία συλλέγησαν αρχικά τα δεδομένα και στην οποία συγκατατέθηκε ο ασθενής να συμμετάσχει στη συνέπεια, πρέπει να δώσει εκ νέου τη συγκατάθεσή του.

3. Ε: Τι συμβαίνει με τα δεδομένα κάποιου συμμετέχοντος ο οποίος αποφασίζει εθελοντικά ή έπειτα από αίτηση του χρηματοδότη να αποσυρθεί από την κλινική δοκιμή;

3. Α: Οι συμμετέχοντες μπορούν να αποφασίσουν ή να τους ζητηθεί να αποσυρθούν από μια κλινική δοκιμή ανά πάσα στιγμή. Εντούτοις, οποιαδήποτε δεδομένα έχουν συλλεγεί πριν αποσυρθούν, ενδέχεται να αποτελέσουν αντικείμενο επεξεργασίας, μαζί με τα υπόλοιπα δεδομένα που συλλέγονται στο πλαίσιο της κλινικής δοκιμής, εάν αυτό είχε επισημανθεί σαφώς στην ειδοποίηση τη στιγμή που ο συμμετέχων συμφώνησε να συμμετάσχει.

4. Ε: Οι εταιρείες φαρμακευτικών και ιατρικών συσκευών και οργάνων μπορούν να παρέχουν δεδομένα προσωπικού χαρακτήρα από κλινικές δοκιμές που πραγματοποιούνται στην ΕΕ σε νομοθετικούς φορείς των Ηνωμένων Πολιτειών για νομοθετικούς και εποπτικούς σκοπούς. Επιτρέπονται παρόμοιες διαβιβάσεις δεδομένων και σε άλλους ενδιαφερομένους πλην των νομοθετικών φορέων, όπως σε επιχειρήσεις και σε άλλους ερευνητές;

4. Α: Ναι, σύμφωνα με τις αρχές της κοινοποίησης και της επιλογής.

5. Ε: Προκειμένου να εξασφαλιστεί η αντικειμενικότητα, σε πολλές κλινικές δοκιμές, οι συμμετέχοντες και, επίσης, συχνά οι ερευνητές δεν μπορούν να έχουν πρόσβαση σε πληροφορίες σχετικά με το ποια θεραπευτική αγωγή χορηγείται στον συμμετέχοντα. Κάτι τέτοιο θα έθετε σε κίνδυνο την εγκυρότητα της ερευνητικής μελέτης και των αποτελεσμάτων. Μπορούν να έχουν οι συμμετέχοντες σε τέτοιες κλινικές δοκιμές (οι οποίες ονομάζονται «τυφλές» μελέτες) πρόσβαση στα δεδομένα σχετικά με τη θεραπευτική αγωγή τους κατά τη διάρκεια της δοκιμής;

5. Α: Όχι, η πρόσβαση αυτή δεν πρέπει να επιτρέπεται σε έναν συμμετέχοντα εάν ο περιορισμός αυτός εξηγήθηκε όταν ο συμμετέχων προσχώρησε στη δοκιμή, και η αποκάλυψη τέτοιων πληροφοριών θα έθετε σε κίνδυνο την ακεραιότητα της ερευνητικής προσπάθειας. Η συμφωνία συμμετοχής στη δοκιμή υπό αυτούς τους όρους αποτελεί λογική προϋπόθεση για το δικαίωμα πρόσβασης. Μετά την ολοκλήρωση της έρευνας και την ανάλυση των αποτελεσμάτων, οι συμμετέχοντες πρέπει να έχουν πρόσβαση στα δεδομένα τους εφόσον το ζητήσουν. Πρέπει να το ζητήσουν κυρίως από τον ιατρό ή από άλλον ιατρικό φορέα ο οποίος τους χορήγησε τη θεραπευτική αγωγή στο πλαίσιο της κλινικής δοκιμής, ή, κατά δεύτερο λόγο, από τη χρηματοδότρια εταιρεία.

6. Ε: Οφείλει μια επιχείρηση φαρμακευτικών ή ιατρικών συσκευών και οργάνων να εφαρμόζει τις αρχές του ασφαλούς λιμένα όσον αφορά την κοινοποίηση, την επιλογή, την περαιτέρω διαβίβαση και την πρόσβαση στις δραστηριότητες παρακολούθησης της ασφάλειας και της αποτελεσματικότητας του προϊόντος, συμπεριλαμβανομένης της κατάρτισης εκθέσεων για ανεπιθύμητες ενέργειες και του εντοπισμού ασθενών/υποκειμένων που χρησιμοποιούν ορισμένα φάρμακα ή ιατρικές συσκευές (π.χ. βηματοδότη);

6. Α: Όχι, στο βαθμό κατά τον οποίο η προσήλωση στις αρχές αντίκειται προς τις κανονιστικές απαιτήσεις. Αυτό ισχύει τόσο σε σχέση με τις εκθέσεις, π.χ. από φορείς παροχής ιατρικής περίθαλψης προς επιχειρήσεις φαρμακευτικών και ιατρικών συσκευών και οργάνων, όσο και σε σχέση με τις εκθέσεις από επιχειρήσεις φαρμακευτικών και ιατρικών συσκευών και οργάνων προς κρατικούς φορείς όπως η υπηρεσία τροφίμων και φαρμάκων (FDA).

7. Ε: Τα δεδομένα της έρευνας λαμβάνουν μονοσήμαντους κωδικούς στην πηγή τους από τον κύριο ερευνητή έτσι ώστε να μην αποκαλύπτεται η ταυτότητα των ασθενών στους οποίους αντιστοιχούν τα δεδομένα προσωπικού χαρακτήρα. Ο τρόπος αποκωδικοποίησης των δεδομένων δεν γνωστοποιείται στις φαρμακευτικές εταιρείες που χρηματοδοτούν την έρευνα. Μόνο ο ερευνητής έχει τη δυνατότητα αποκωδικοποίησης έτσι ώστε να είναι σε θέση να αναγνωρίσει το υποκείμενο της έρευνας που συμμετέχει στην έρευνα υπό ορισμένες συνθήκες (π.χ. εάν απαιτείται περαιτέρω ιατρική παρακολούθηση). Η διαβίβαση δεδομένων κωδικοποιημένων κατ' αυτόν τον τρόπο από την ΕΕ προς τις ΗΠΑ συνιστά διαβίβαση δεδομένων προσωπικού χαρακτήρα που υπόκειται στις αρχές του ασφαλούς λιμένα;

7. Α: Όχι. Αυτό δεν αποτελεί διαβίβαση δεδομένων προσωπικού χαρακτήρα που να υπόκειται στις εν λόγω αρχές.

ΣΕ αριθ. 15 — Πληροφορίες δημοσίων αρχείων και δημοσιοποιημένες πληροφορίες

Ε: Είναι απαραίτητο να εφαρμοστεί η αρχή της ειδοποίησης, της επιλογής και της περαιτέρω διαβίβασης στις πληροφορίες των δημοσίων αρχείων ή στις δημοσιοποιημένες πληροφορίες;

Α: Δεν είναι απαραίτητο να εφαρμοστεί η αρχή της κοινοποίησης, της επιλογής ή της περαιτέρω διαβίβασης στις πληροφορίες δημοσίων αρχείων, εφόσον δεν συνδυάζονται με πληροφορίες από μη δημόσια αρχεία και πληρούνται όλες οι προϋποθέσεις που ορίζονται από την αρμόδια δικαστική αρχή.

Γενικώς, δεν είναι επίσης απαραίτητο να εφαρμοστεί η αρχή της κοινοποίησης, της επιλογής ή της περαιτέρω διαβίβασης στις δημοσιοποιημένες πληροφορίες, εάν ο ευρωπαϊκός φορέας διαβίβασης επισημαίνει ότι οι συγκεκριμένες πληροφορίες υπόκεινται σε περιορισμούς που απαιτούν τη εφαρμογή των εν λόγω αρχών κατά τη χρησιμοποίησή τους από το φορέα. Οι φορείς δεν φέρουν καμία ευθύνη όσον αφορά τη χρησιμοποίηση των εν λόγω πληροφοριών από εκείνους που τις απόκτησαν μέσω δημοσιευμένου υλικού.

Στις περιπτώσεις όπου διαπιστώνεται ότι ένας φορέας κατέστησε εκ προθέσεως δημόσια μια πληροφορία προσωπικού χαρακτήρα, κατά παράβαση των αρχών, προκειμένου ο ίδιος ή άλλοι φορείς να επωφεληθούν από τις εν λόγω εξαιρέσεις, δεν θα θεωρείται πλέον κατάλληλος να απολαύει τα οφέλη που προκύπτουν από τον ασφαλή λιμένα.

ΠΑΡΑΡΤΗΜΑ III

Ασφαλής λιμένας: Ανασκόπηση της εφαρμογής

Ομοσπονδιακή και πολιτειακή εξουσία για θέματα αθέμιτων και δολίων πρακτικών και προστασία της ιδιωτικής ζωής

Το παρόν μνημόνιο παρουσιάζει την εξουσία της FTC υπό το τμήμα 5 του FTC Act (βλέπε U.S.C. §§ 41-58, όπως τροποποιήθηκε) για ανάληψη δράσης εναντίον αυτών που δεν προστατεύουν το απόρρητο των πληροφοριών προσωπικού χαρακτήρα σύμφωνα με τις σχετικές δηλώσεις ή/και δεσμεύσεις. Καλύπτει επίσης τις εξαιρέσεις που δεν υπόκεινται στην εξουσία αυτή και την ικανότητα άλλων ομοσπονδιακών και πολιτειακών υπηρεσιών για ανάληψη δράσης σε τομείς στους οποίους η FTC δεν έχει αρμοδιότητα ( 12 ).

Εξουσία της FTC όσον αφορά αθέμιτες ή δόλιες πρακτικές

Σύμφωνα με το τμήμα 5 του FTC Act, οι «αθέμιτες ή δόλιες πράξεις ή πρακτικές στο εμπόριο ή οι οποίες επηρεάζουν το εμπόριο» είναι παρόνομες [βλέπε 15 U.S.C. § 45(a)(1)]. Το τμήμα 5 παρέχει στην FTC πλήρη εξουσία για την πρόληψη τέτοιων πράξεων και πρακτικών [βλέπε 15 U.S.C. § 45(a)(2)]. Επομένως, η FTC μπορεί, κατά τη διενέργεια επίσημης ακρόασης, να εκδώσει διαταγή παύσης για να σταματήσει η επιβλαβής συμπεριφορά [15 U.S.C. § 45(b)]. Επίσης, εάν αυτό είναι προς το δημόσιο συμφέρον, η FTC μπορεί να επιδιώξει την έκδοση προσωρινής εντολής περιορισμού ή προσωρινής ή μόνιμης δικαστικής εντολής από πρωτοδικείο των ΗΠΑ [βλέπε 15 U.S.C. § 53(b)]. Σε περιπτώσεις κατά τις οποίες υπάρχουν αθέμιτες ή δόλιες πράξεις ή πρακτικές κατά συρροήν, ή είχαν ήδη εκδοθεί διαταγές παύσης για το ζήτημα αυτό, η FTC μπορεί να εκδώσει διοικητικό κανόνα που καλύπτει τις σχετικές πράξεις ή πρακτικές (βλέπε 15 U.S.C. § 57a).

Όποιος δε συμμορφώνεται με διαταγή της FTC υπόκειται σε αστική χρηματική ποινή ύψους μέχρι 11 000 δολλαρίων ΗΠΑ, ενώ η κάθε ημέρα συνέχισης της παράβασης αποτελεί ξεχωριστή παράβαση [βλέπε 15 U.S.C. 45(1)] ( 13 ). Επίσης, όποιος παραβιάζει εν γνώσει του έναν κανόνα της FTC υπόκειται σε χρηματική ποινή 11 000 δολαρίων ΗΠΑ για κάθε παράβαση [βλέπε U.S.C. § 45(m)]. Οι ενέργειες οι σχετικές με την εφαρμογή μπορούν να πραγματοποιηθούν είτε από το Υπουργείο Δικαιοσύνης είτε, εάν αυτό δηλώσει αναρμοδιότητα, από την FTC [βλέπε U.S.C. § 56).

Εξουσία της FTC και προστασία της ιδιωτικής ζωής

Κατά την άσκηση της εξουσίας της υπό το τμήμα 5, η θέση της FTC είναι ότι η παραπλάνηση σχετικά με το σκοπό συλλογής πληροφοριών από καταναλωτές ή τον τρόπο με τον οποία θα χρησιμοποιηθούν οι πληροφορίες αυτές αποτελεί δόλια πρακτική ( 14 ). Για παράδειγμα, το 1998, η FTC άσκησε αγωγή κατά της GeoCities για την κοινοποίηση, σε τρίτους και για διαφημιστικούς σκοπούς, πληροφοριών που είχε συλλέξει στην ιστοσελίδα της, χωρίς προηγούμενη άδεια, παρά τις δηλώσεις της για το αντίθετο ( 15 ). Το προσωπικό της FTC έχει δηλώσει επίσης ότι η συλλογή πληροφοριών προσωπικού χαρακτήρα από παιδιά και η πώληση και κοινοποίηση των πληροφοριών αυτών χωρίς την συναίνεση των γονέων είναι πιθανόν να αποτελεί αθέμιτη πρακτική ( 16 ).

Σε μια επιστολή προς τον Γενικό Διευθυτή της Επιτροπής John Mogg, ο πρόεδρος της FTC Pitofsky υπογράμμισε τους περιορισμούς της εξουσίας της FTC όσον αφορά την προστασία της ιδιωτικής ζωής όταν δεν έχει γίνει παραπλανητική δήλωση (ή καμία δήλωση) σχετικά με τον τρόπο με τον οποίο θα χρησιμοποιηθούν οι πληροφορίες που συλλέγονται (βλέπε επιστολή του προέδρου της FTC Pitofsky προς τον John Mogg της 23ης Σεπτεμβρίου 1998). Εντούτοις, οι εταιρείες που θέλουν να επωφεληθούν από τον προτεινόμενο «ασφαλή λιμένα» θα πρέπει να βεβαιώσουν ότι θα προστατεύουν τις πληροφορίες που συλλέγουν βάσει προκαθορισμένων κατευθυντηρίων γραμμών. Κατά συνέπεια όταν μια εταιρεία βεβαιώνει ότι θα διαφυλάξει τον ιδιωτικό χαρακτήρα των πληροφοριών και στη συνέχεια δεν το κάνει, η ενέργεια αυτή θα είναι ψευδής δήλωση και «δόλια πρακτική» με την έννοια του τμήματος 5.

Δεδομένου ότι η δικαιοδοσία της FTC καλύπτει τις αθέμιτες ή δόλιες πράξεις ή πρακτικές «στο εμπόριο ή που επηρεάζουν το εμπόριο», η FTC δεν θα έχει δικαιοδοσία όσον αφορά τη συλλογή και τη χρήση πληροφοριών προσωπικού χαρακτήρα για μη προσωπικούς σκοπούς, π.χ. για συγκέντρωση χρημάτων για φιλανθρωπικούς σκοπούς (βλέπε επιστολή Pitofsky, σελίδα 3). Εντούτοις, η χρήση πληροφοριών προσωπικού χαρακτήρα σε οποιαδήποτε προσωπική συναλλαγή θα πληροί τις προϋποθέσεις της δικαιοδοσίας αυτής. Έτσι, για παράδειγμα, αν ένας εργοδότης πωλήσει πληροφορίες προσωπικού χαρακτήρα σχετικά με τους μισθωτούς του σε μια εταιρεία απευθείας πωλήσεων, η συναλλαγή θα εμπίπτει στο τμήμα 5.

Εξαιρέσεις του τμήματος 5

Το τμήμα 5 ορίζει ορισμένες εξαιρέσεις από την εξουσία της FTC σχετικά με τις αθέμιτες ή δόλιες πράξεις ή πρακτικές, όσον αφορά τα ακόλουθα:

— χρηματοπιστωτικά ιδρύματα, όπου περιλαμβάνονται οι τράπεζες, οι οργανισμοί αποταμιεύσεων και δανείων και οι πιστωτικοί συνεταιρισμοί,

— φορείς τηλεπικοινωνιών και διαπολιτειακές δημόσιες μεταφορικές εταιρείες,

— αερομεταφορείς, και

— εταιρείες συσκευασίας ζωικών προϊόντων και μάντρες φύλαξης ζώντων ζώων (για σφαγή, κ.λπ.).

[Βλέπε 15 U.S.C. § 45(a)(2)]. Παρακάτω εξετάζεται η κάθε εξαίρεση και η κανονιστική αρχή που την αντικαθιστά.

Χρηματοπιστωτικά ιδρύματα ( 17 )

Η πρώτη εξαίρεση αφορά «τράπεζες και οργανισμούς αποταμιεύσεων και δανείων όπως περιγράφονται στο τμήμα 18(f)(3) [U.S.C. § 57a(f)(3)]» και «ομοσπονδιακούς πιστωτικούς συνεταιρισμούς όπως περιγράφονται στο τμήμα 18(f)(4) [U.S.C. § 57a(f)(4)]» ( 18 ). Αυτά τα χρηματοπιστωτικά ιδρύματα υπόκεινται σε κανονιστικές πράξεις που εκδίδονται από το Federal Reserve Board, το Office of Thrift Supervision ( 19 ), και το National Credit Union Administration Board, αντιστοίχως [βλέπε 15 U.S.C. § 57a(f)]. Αυτοί ο κανονιστικοί οργανισμοί έχουν λάβει οδηγίες να καταρτίζουν τις κανονιστικές ρυθμίσεις που είναι απαραίτητες για την πρόληψη των αθέμιτων και δολίων πρακτικών από αυτά τα χρηματοπιστωτικά ιδρύματα ( 20 ) και να ιδρύσουν ένα ξεχωριστό τμήμα για τον χειρισμό των καταγγελιών πελατών [βλέπε U.S.C. § 57a(f)(1)]. Τέλος, η εξουσία για την εφαρμογή πηγάζει από το τμήμα 8 του νόμου Federal Deposit Insurance Act (βλέπε 12 U.S.C. § 1818), για τις τράπεζες και τους οργανισμούς αποταμιεύσεων και δανείων και τα τμήματα 120 και 206 του νόμου Federal Credit Union Act, για τους ομοσπονδιακούς πιστωτικούς συνεταιρισμούς [βλέπε 15 U.S.C. §§ 57a(f)(2)-(4)].

Αν και ο κλάδος των ασφαλίσεων δεν περιλαμβάνεται ρητώς στον κατάλογο των εξαιρέσεων του τμήματος 5, ο νόμος McCarran-Ferguson Act (βλέπε 15 U.S.C. § 1011 και επόμενα) αφήνει γενικά την αρμοδιότητα για ρύθμιση των δραστηριοτήτων τωνασφαλιστικών εταιρειών στις επιμέρους πολιτείες ( 21 ). Επιπλέον, δυνάμει του τμήματος 2(b) του νόμου McCarran-Ferguson Act, κανένας ομοσπονδιακός νόμος δεν ακυρώνει, εμποδίζει, ή καταργεί τις κανονιστικές ρυθμίσεις των πολιτειών «εκτός εάν ο νόμος αυτός αφορά ειδικά τις ασφαλιστικές δραστηριότητες» [βλέπε 15 U.S.C. § 1012(b)]. Εντούτοις, οι διατάξεις του νόμου FTC ισχύουν για τον κλάδο των ασφαλίσεων «εφόσον οι δραστηριότητες αυτές δεν υπόκεινται σε ρυθμίσεις της πολιτειακής νομοθεσίας» (βλέπε ως ανωτέρω). Θα πρέπει επίσης να σημειωθεί ότι ο νόμος McCarran-Ferguson αναφέρεται στις πολιτείες μόνον όσον αφορά τις «δραστηριότητες των ασφαλίσεων». Επομένως, η FTC διατηρεί την κατάλοιπη εξουσία σχετικά με τις αθέμιτες ή δόλιες πρακτικές εκ μέρους ασφαλιστικών εταιρειών έξω από το πλαίσιο των ασφαλιστικών δραστηριοτήτων. Αυτό μπορεί να περιλαμβάνει, για παράδειγμα, την πώληση, εκ μέρους ασφαλιστικών εταιρειών, πληροφοριών προσωπικού χαρακτήρα για τους ασφαλισμένους τους σε επιχειρήσεις απευθείας πωλήσεων προϊόντων που δεν είναι σχετικά με τις ασφαλίσεις ( 22 ).

Δημόσιες μεταφορικές εταιρείες

Η δεύτερη εξαίρεση του τμήματος 5 αφορά τις δημόσιες μεταφορικές εταιρείες που «υπόκεινται στους νόμους που ρυθμίζουν το εμπόριο» [βλέπε 15 U.S.C. § 45(a)(2)]. Στην περίπτωση αυτή, οι «νόμοι για τη ρύθμιση του εμπορίου» αναφέρονται στον υπότιτλο IV του τίτλου 49 του United States Code και στο νόμο περί επικοινωνιών (Communications Act) του 1934 (βλέπε 47 U.S.C. § 151 και επόμενα) (Communications Act) (βλέπε 15 U.S.C. § 44).

Ο 49 U.S.C. υπότιτλος IV (διαπολιτειακές μεταφορές) καλύπτει τις σιδηροδρομικές μεταφορές, τις οδικές μεταφορές, τις πλωτές μεταφορές, τους μεσίτες, τους φορτωτές και τις μεταφορές μέσω αγωγών (βλέπε 49 U.S.C. § 10101 και επόμενα). Αυτές οι διάφορες μεταφορικές εταιρείες υπόκεινται σε ρυθμισείς από το Surface Transportation Board, μια ανεξάρτητη υπηρεσία που ανήκει στο Υπουργείο Μεταφορών (βλέπε 49 U.S.C. §§ 10501, 13501, και 15301). Σε κάθε περίπτωση, απαγορεύεται στην εταιρεία μεταφορών να αποκαλύπτει πληροφορίες σχετικά με τη φύση, τον προορισμό και άλλες πτυχές του φορτίου της που ενδέχεται να βλάψουν τον αποστολέα (βλέπε 49 U.S.C. §§ 11904, 14908, και 16103). Θα πρέπει να σημειωθεί ότι οι διατάξεις αυτές αναφέρονται σε πληροφορίες σχετικά με το φορτίο που ανήκει στον αποστολέα και επομένως δεν φαίνεται να καλύπτουν πληροφορίες προσωπικού χαρακτήρα σχετικά με τον αποστολέα, οι οποίες δεν σχετίζονται με τον εν λόγω φορτίο.

Όσον αφορά τον νόμο Communications Act, καλύπτει τη ρύθμιση «διαπολιτειακού και εξωτερικού εμπορίου καλωδιακών και ραδιοφωνικών επικοινωνιών» από την ομοσπονδιακή επιτροπή επικοινωνιών (Federal Communications Commission — FCC) (βλέπε 47 U.S.C. §§ 151 και 152). Εκτός από τις δημόσιες εταιρείες τηλεπικοινωνιών, ο νόμος Communications Act ισχύει επίσης για εταιρείες όπως οι εταιρείες τηλεοπτικών και ραδιοφωνικών εκπομπών και οι εταιρείες παροχής καλωδιακών υπηρεσιών που δεν είναι δημόσιοι φορείς. Έτσι, οι τελευταίες εταιρείες δεν εμπίπτουν στην εξαίρεση του τμήματος 5 του νόμου FTC. Έτσι, η FTC έχει δικαιοδοσία να διευρευνά τις εταιρείες αυτές για αθέμιτες και δόλιες πρακτικές, ενώ η FCC έχει ταυτόχρονη δικαιοδοσία για εφαρμογή της ανεξάρτητης εξουσίας της στον τομέα αυτόν όπως περιγράφεται παρακάτω.

Υπό το νόμο Communications Act, «κάθε φορέας τηλεπικοινωνιών», όπου περιλαμβάνονται οι τοπικοί φορείς μεταγωγής, έχει καθήκον να προστατεύει τον ιδιωτικό χαρακτήρα των χαρακτηριστικών πληροφοριών των πελατών [47 U.S.C. § 222(a)] ( 23 ). Εκτός από αυτή τη γενική εξουσία προστασίας της ιδιωτικής ζωής, ο νόμος Communications Act τροποποιήθηκε από το νόμο Cable Communications Policy Act του 1984 (Cable Act) (βλέπε 47 U.S.C. § 521 και επόμενα), έτσι ώστε να οριστεί συγκεκριμένα ότι οι φορείς καλωδιακών υπηρεσιών πρέπει να προστατεύουν τον ιδιωτικό χαρακτήρα των «πληροφοριών που επιτρέπουν την αναγνώριση προσώπων» σχετικά με τους συνδρομητές των καλωδιακών υπηρεσιών (βλέπε 47 U.S.C. § 551) ( 24 ). Ο νόμος Cable Act περιορίζει τη συλλογή πληροφοριών προσωπικού χαρακτήρα από φορείς καλωδιακών υπηρεσιών και επιβάλει στο φορέα καλωδιακών υπηρεσιών να πληροφορεί τον συνδρομητή σχετικά με τη φύση των πληροφοριών που συλλέγονται και τον τρόπο με τον οποίο θα χρησιμοποιηθούν οι πληροφορίες. Ο νόμος Cable Act παρέχει στους συνδρομητές το δικαίωμα πρόσβασης στις πληροφορίες που τους αφορούν και απαιτεί από τους φορείς καλωδιακών υπηρεσιών να καταστρέφουν τις πληροφορίες αυτές όταν δεν χρειάζονται πλέον.

Ο νόμος Communications Act παρέχει στην FCC την εξουσία να εφαρμόζει αυτές τις δύο διατάξεις προστασίας της ιδιωτικής ζωής, είτε με δική της πρωτοβουλία είτε μετά από εξωτερική καταγγελία ( 25 ), (βλέπε 47 U.S.C. §§ 205, 403)· βλέπε ως ανωτέρω· § 208. Αν η FCC διαπιστώσει ότι ένας φορέας τηλεπικοινωνιών (όπου περιλαμβάνονται οι φορείς καλωδιακών υπηρεσιών)έχει παραβεί τις διατάξεις περί προστασίας της ιδιωτικής ζωής του τμήματος 222 ή του τμήματος 551, υπάρχουν τρεις βασικές ενέργειες που μπορεί να αναλάβει. Πρώτον, μετά από ακροαματική διαδικασία και διαπίστωση της παράβασης, η FCC μπορεί να διατάξει το φορέα τηλεπικοινωνιών να καταβάλει χρηματική αποζημίωση (βλέπε 47 U.S.C. § 209)