EL Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης L 39/5

ΑΠΌΦΑΣΗ ΤΗΣ ΕΠΙΤΡΟΠΉΣ

της 5ης Φεβρουαρίου 2010

σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντες επεξεργασία εγκατεστημένους σε τρίτες χώρες βάσει της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου

[κοινοποιηθείσα υπό τον αριθμό Ε(2010) 593]

(Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ)

(2010/87/ΕΕ)

Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,

Έχοντας υπόψη:

τη συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,

την οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (1), και ιδίως το άρθρο 26 παράγραφος 4 της οδηγίας αυτής,

Ύστερα από διαβούλευση με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων,

Εκτιμώντας τα ακόλουθα:

(1) Σύμφωνα με την οδηγία 95/46/ΕΚ, τα κράτη μέλη πρέπει να μεριμνούν ώστε η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα να πραγματοποιείται μόνον αν η χώρα αυτή εξασφαλίζει ικανοποιητικό επίπεδο προστασίας των δεδομένων και αν οι νόμοι των κρατών μελών που συνάδουν με τις λοιπές διατάξεις της οδηγίας έχουν τηρηθεί πριν από τη διαβίβαση.

(2) Ωστόσο, το άρθρο 26 παράγραφος 2 της οδηγίας 95/46/ΕΚ ορίζει ότι ένα κράτος μέλος μπορεί να επιτρέπει μία ή πλείονες διαβιβάσεις δεδομένων προσωπικού χαρακτήρα προς τρίτη χώρα η οποία δεν εξασφαλίζει ικανοποιητικό επίπεδο προστασίας, εφόσον παρέχονται ορισμένες εγγυήσεις. Οι εν λόγω εγγυήσεις μπορούν ειδικότερα να απορρέουν από κατάλληλες συμβατικές ρήτρες.

(3) Σύμφωνα με την οδηγία 95/46/ΕΚ, το επίπεδο προστασίας των δεδομένων σταθμίζεται λαμβανομένων υπόψη όλων των περιστάσεων που επηρεάζουν μια διαβίβαση ή κατηγορία διαβιβάσεων δεδομένων. Η ομάδα εργασίας για την προστασία των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, που συστάθηκε βάσει της εν λόγω οδηγίας, έχει εκδώσει κατευθυντήριες γραμμές προκειμένου να διευκολύνει την αξιολόγηση αυτή.

(4) Οι τυποποιημένες συμβατικές ρήτρες θα πρέπει να αφορούν μόνο την προστασία των δεδομένων. Συνεπώς, ο εξαγωγέας και ο εισαγωγέας δεδομένων είναι ελεύθεροι να συμπεριλάβουν και άλλες ρήτρες εμπορικού χαρακτήρα τις οποίες θεωρούν κατάλληλες για τη σύμβαση, εφόσον δεν αντιφάσκουν με τις τυποποιημένες συμβατικές ρήτρες.

(5) Η παρούσα απόφαση δεν πρέπει να θίγει τις εθνικές άδειες που δύνανται να χορηγούν τα κράτη μέλη σύμφωνα με εθνικές διατάξεις εφαρμογής του άρθρου 26 παράγραφος 2 της οδηγίας 95/46/ΕΚ. Η μόνη συνέπεια της παρούσας απόφασης θα πρέπει να είναι η απαίτηση από τα κράτη μέλη να μην αρνούνται να αναγνωρίσουν ότι οι τυποποιημένες συμβατικές ρήτρες που περιλαμβάνει παρέχουν επαρκείς εγγυήσεις και, επομένως, δεν θα πρέπει να έχει καμία συνέπεια σε άλλες συμβατικές ρήτρες.

(6) Η απόφαση 2002/16/ΕΚ της Επιτροπής, της 27ης Δεκεμβρίου 2001, σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντες επεξεργασία εγκατεστημένους σε τρίτες χώρες βάσει της οδηγίας 95/46/ΕΚ (2), εκδόθηκε για να διευκολύνει τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από έναν υπεύθυνο επεξεργασίας που είναι εγκατεστημένος στην Ευρωπαϊκή Ένωση σε εκτελούντα επεξεργασία εγκατεστημένο σε τρίτη χώρα η οποία δεν παρέχει επαρκές επίπεδο ασφάλειας.

(7) Σημαντική εμπειρία αποκτήθηκε μετά την έκδοση της απόφασης 2002/16/ΕΚ. Εξάλλου, η έκθεση σχετικά με την εφαρμογή των αποφάσεων για τις τυποποιημένες συμβατικές ρήτρες όσον αφορά τις διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες (3) φανέρωσε ότι υπάρχει αυξανόμενο ενδιαφέρον για την προώθηση της χρήσης τυποποιημένων συμβατικών ρητρών για διεθνείς διαβιβάσεις δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες που δεν παρέχουν επαρκές επίπεδο προστασίας. Εξάλλου, οι ενδιαφερόμενοι υπέβαλαν προτάσεις με στόχο την επικαιροποίηση των τυποποιημένων συμβατικών ρητρών που ορίζονται στην απόφαση 2002/16/ΕΚ ώστε, αφενός, να ληφθεί υπόψη η ραγδαία διεύρυνση του πεδίου εφαρμογής των δραστηριοτήτων επεξεργασίας δεδομένων σε παγκόσμια κλίμακα και, αφετέρου, να αντιμετωπιστούν ορισμένα ζητήματα που δεν καλύφθηκαν από εκείνη την απόφαση (4).

(8) Το πεδίο εφαρμογής της παρούσας απόφασης θα πρέπει να περιορίζεται στη διαπίστωση ότι οι ρήτρες που θεσπίζει μπορούν να χρησιμοποιηθούν από έναν υπεύθυνο επεξεργασίας εγκατεστημένο στην Ευρωπαϊκή Ένωση προκειμένου να υπάρξουν επαρκείς εγγυήσεις, κατά την έννοια του άρθρου 26 παράγραφος 2 της οδηγίας 95/46/ΕΚ, για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντα επεξεργασία εγκατεστημένο σε τρίτη χώρα.

(9) Η παρούσα απόφαση δεν πρέπει να εφαρμόζεται κατά τη διαβίβαση δεδομένων προσωπικού χαρακτήρα από υπεύθυνους επεξεργασίας εγκατεστημένους στην Ευρωπαϊκή Ένωση προς υπεύθυνους επεξεργασίας εγκατεστημένους εκτός Ευρωπαϊκής Ένωσης οι οποίοι εμπίπτουν στο πεδίο εφαρμογής της απόφασης 2001/497/ΕΚ της Επιτροπής, της 15ης Ιουνίου 2001, σχετικά με τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα προς τρίτες χώρες, βάσει της οδηγίας 95/46/ΕΚ (5).

(10) Η παρούσα απόφαση πρέπει να υλοποιεί την υποχρέωση που προβλέπεται στο άρθρο 17 παράγραφος 3 της οδηγίας 95/46/ΕΚ και να μην προδικάζει το περιεχόμενο των συμβάσεων ή δικαιοπραξιών που έχουν συναφθεί βάσει αυτής της διάταξης. Ωστόσο, ορισμένες από τις τυποποιημένες συμβατικές ρήτρες, ιδίως οι σχετικές με τις υποχρεώσεις του εξαγωγέα δεδομένων, θα πρέπει να περιλαμβάνονται προκειμένου να υπάρχει μεγαλύτερη σαφήνεια όσον αφορά τις διατάξεις που μπορούν να περιέχονται σε σύμβαση μεταξύ ενός υπεύθυνου και ενός εκτελούντος επεξεργασία.

(11) Οι αρχές ελέγχου των κρατών μελών διαδραματίζουν καθοριστικό ρόλο σε αυτόν τον συμβατικό μηχανισμό διασφαλίζοντας την ικανοποιητική προστασία των δεδομένων προσωπικού χαρακτήρα μετά τη διαβίβαση. Στις εξαιρετικές περιπτώσεις που οι εξαγωγείς των δεδομένων αρνούνται ή δεν είναι σε θέση να καθοδηγήσουν δεόντως τον εισαγωγέα δεδομένων, με άμεσο κίνδυνο πρόκλησης σοβαρής ζημίας στα πρόσωπα στα οποία αναφέρονται τα δεδομένα, οι τυποποιημένες συμβατικές ρήτρες θα πρέπει να επιτρέπουν στις αρχές ελέγχου να ασκούν ελέγχους στους εισαγωγείς των δεδομένων και στους υπεργολάβους επεξεργασίας και, κατά περίπτωση, να λαμβάνουν αποφάσεις δεσμευτικές για τα πρόσωπα αυτά. Οι αρχές ελέγχου πρέπει να έχουν το δικαίωμα να απαγορεύουν ή να αναστέλλουν μια διαβίβαση ή κατηγορία διαβιβάσεων δεδομένων που βασίζεται στις τυποποιημένες συμβατικές ρήτρες στις εξαιρετικές εκείνες περιπτώσεις κατά τις οποίες διαπιστώνεται ότι μια διαβίβαση πραγματοποιούμενη σε συμβατική βάση ενδέχεται να έχει σημαντικό αρνητικό αντίκτυπο στις εγγυήσεις και τις υποχρεώσεις που παρέχουν ικανοποιητική προστασία στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα.

(12) Οι τυποποιημένες συμβατικές ρήτρες θα πρέπει να προβλέπουν τα τεχνικά και οργανωτικά μέτρα ασφαλείας που πρέπει να εφαρμόζουν οι εκτελούντες επεξεργασία δεδομένων που είναι εγκατεστημένοι σε τρίτη χώρα η οποία δεν παρέχει ικανοποιητικό επίπεδο προστασίας, ούτως ώστε να διασφαλίζουν το κατάλληλο επίπεδο ασφάλειας έναντι των κινδύνων που συνεπάγεται η επεξεργασία και η φύση των προς προστασία δεδομένων. Τα συμβαλλόμενα μέρη πρέπει να προβλέπουν στη σύμβαση τα τεχνικά και οργανωτικά μέτρα τα οποία, λαμβανομένου υπόψη του εφαρμοστέου δικαίου περί προστασίας των δεδομένων, του τεχνολογικού επιπέδου και του κόστους εφαρμογής τους, είναι αναγκαία για την προστασία των δεδομένων προσωπικού χαρακτήρα από την τυχαία ή παράνομη καταστροφή, την τυχαία απώλεια, την αλλοίωση, τη μη εξουσιοδοτημένη γνωστοποίηση ή πρόσβαση ή από οποιαδήποτε άλλη παράνομη μορφή επεξεργασίας.

(13) Για να διευκολυνθούν οι ροές δεδομένων από την Ευρωπαϊκή Ένωση, είναι ευκταίο οι εκτελούντες επεξεργασία οι οποίοι παρέχουν υπηρεσίες επεξεργασίας δεδομένων σε πολλούς υπεύθυνους επεξεργασίας δεδομένων στην Ευρωπαϊκή Ένωση να έχουν το δικαίωμα να εφαρμόζουν τα ίδια τεχνικά και οργανωτικά μέτρα ασφαλείας ανεξαρτήτως του κράτους μέλους από το οποίο γίνεται η διαβίβαση των δεδομένων, ιδίως στις περιπτώσεις όπου ο εισαγωγέας δεδομένων λαμβάνει δεδομένα για περαιτέρω επεξεργασία από διαφορετικές εγκαταστάσεις του εξαγωγέα δεδομένων στην Ευρωπαϊκή Ένωση, οπότε πρέπει να εφαρμόζεται το δίκαιο του αναφερόμενου στις συμβατικές ρήτρες κράτους μέλους εγκατάστασης.

(14) Κρίνεται σκόπιμο να καθοριστούν τα ελάχιστα πληροφοριακά στοιχεία τα οποία οφείλουν να προσδιορίζουν τα συμβαλλόμενα μέρη στη σύμβαση που διέπει τη διαβίβαση. Τα κράτη μέλη πρέπει να διατηρούν το δικαίωμα να εξειδικεύουν τις πληροφορίες τις οποίες οφείλουν να παρέχουν τα συμβαλλόμενα μέρη. Η εφαρμογή της παρούσας απόφασης πρέπει να επανεξεταστεί με βάση την πείρα που θα αποκτηθεί.

(15) Ο εισαγωγέας δεδομένων πρέπει να επεξεργάζεται τα διαβιβαζόμενα δεδομένα προσωπικού χαρακτήρα μόνο για λογαριασμό του εξαγωγέα δεδομένων και σύμφωνα με τις οδηγίες του και τις υποχρεώσεις που περιέχονται στις ρήτρες. Ειδικότερα, ο εισαγωγέας δεδομένων δεν θα πρέπει να αποκαλύπτει τα δεδομένα προσωπικού χαρακτήρα σε τρίτους, χωρίς την προηγούμενη γραπτή συγκατάθεση του εξαγωγέα δεδομένων. Ο τελευταίος, καθ’ όλη τη διάρκεια της παροχής υπηρεσιών επεξεργασίας δεδομένων, πρέπει να υποδεικνύει στον εισαγωγέα δεδομένων να επεξεργάζεται τα δεδομένα σύμφωνα με τις οδηγίες του, το εφαρμοστέο δίκαιο περί προστασίας των δεδομένων και τις υποχρεώσεις που περιέχονται στις ρήτρες.

(16) Στην έκθεση σχετικά με την εφαρμογή αποφάσεων όσον αφορά τις τυποποιημένες συμβατικές ρήτρες για τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες συνιστάται η θέσπιση κατάλληλων τυποποιημένων συμβατικών ρητρών για τις επακόλουθες διαβιβάσεις από έναν εκτελούντα επεξεργασία δεδομένων εγκατεστημένο σε τρίτη χώρα σε άλλον εκτελούντα επεξεργασία (υπεργολαβία επεξεργασίας), ώστε να λαμβάνεται υπόψη η εξέλιξη των επιχειρηματικών πρακτικών που τείνουν προς μια περισσότερο παγκοσμιοποιημένη δραστηριότητα επεξεργασίας.

(17) Η παρούσα απόφαση πρέπει να περιέχει ειδικές τυποποιημένες συμβατικές ρήτρες σχετικά με την υπεργολαβία επεξεργασίας, από έναν εκτελούντα επεξεργασία εγκατεστημένο σε τρίτη χώρα (ο εισαγωγέας δεδομένων), των υπηρεσιών επεξεργασίας που παρέχει σε άλλους εκτελούντες επεξεργασία (υπεργολάβους επεξεργασίας) εγκατεστημένους σε τρίτες χώρες. Επιπλέον, η παρούσα απόφαση πρέπει να καθορίζει τους όρους που θα πρέπει να πληροί η υπεργολαβία επεξεργασίας ώστε να διασφαλίζεται ότι τα διαβιβαζόμενα δεδομένα προσωπικού χαρακτήρα εξακολουθούν να προστατεύονται παρά τη διαβίβασή τους σε υπεργολάβο επεξεργασίας.

(18) Εξάλλου, η υπεργολαβία πρέπει να συνίσταται μόνο στις πράξεις που συμφωνήθηκαν στη σύμβαση μεταξύ του εισαγωγέα και του εξαγωγέα δεδομένων και να ενσωματώνει τις τυποποιημένες συμβατικές ρήτρες που προβλέπονται στην παρούσα απόφαση και δεν πρέπει να παραπέμπει σε διαφορετικές πράξεις ή σκοπούς επεξεργασίας έτσι ώστε να τηρείται η αρχή οριοθετημένου σκοπού που ορίζεται στην οδηγία 95/46/ΕΚ. Ακόμη, σε περίπτωση που ο υπεργολάβος επεξεργασίας δεν εκπληρώσει τις υποχρεώσεις που του αναλογούν όσον αφορά την επεξεργασία των δεδομένων βάσει της σύμβασης, ο εισαγωγέας δεδομένων θα πρέπει να παραμένει υπόλογος έναντι του εξαγωγέα δεδομένων. Η διαβίβαση δεδομένων προσωπικού χαρακτήρα προς εκτελούντες επεξεργασία εγκατεστημένους εκτός της Ευρωπαϊκής Ένωσης δεν θα πρέπει να επηρεάζει το γεγονός ότι οι δραστηριότητες επεξεργασίας θα πρέπει να διέπονται από το εφαρμοστέο δίκαιο προστασίας των δεδομένων.

(19) Οι τυποποιημένες συμβατικές ρήτρες πρέπει να είναι εκτελεστές όχι μόνο από τους φορείς που είναι συμβαλλόμενα μέρη, αλλά και από τα πρόσωπα στα οποία αναφέρονται τα δεδομένα, ιδίως όταν τα πρόσωπα αυτά υφίστανται ζημία λόγω αθέτησης συμβατικών υποχρεώσεων.

(20) Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να δικαιούται να ασκήσει αγωγή και, ενδεχομένως, να λάβει αποζημίωση από τον εξαγωγέα δεδομένων που είναι ο υπεύθυνος επεξεργασίας των διαβιβαζόμενων δεδομένων προσωπικού χαρακτήρα. Κατ’ εξαίρεση, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει επίσης να δικαιούται να ασκήσει αγωγή και, ενδεχομένως, να λάβει αποζημίωση από τον εισαγωγέα δεδομένων εξαιτίας αθέτησης εκ μέρους του τελευταίου ή του υπεργολάβου επεξεργασίας κάποιας από τις υποχρεώσεις που προβλέπονται στην παράγραφο 2 της ρήτρας 3, σε περίπτωση που ο εξαγωγέας δεδομένων έπαυσε να υφίσταται από πραγματική ή νομική άποψη ή κατέστη αφερέγγυος. Κατ’ εξαίρεση, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα θα πρέπει επίσης να δικαιούται να ασκήσει αγωγή και, ενδεχομένως, να λάβει αποζημίωση από τον υπεργολάβο επεξεργασίας στις περιπτώσεις που τόσο ο εξαγωγέας όσο και ο εισαγωγέας δεδομένων έχουν παύσει να υφίστανται από πραγματική ή νομική άποψη ή κατέστησαν αφερέγγυοι. Η αστική ευθύνη του υπεργολάβου επεξεργασίας θα πρέπει να περιορίζεται στις δικές του δραστηριότητες επεξεργασίας βάσει των συμβατικών ρητρών.

(21) Σε περίπτωση που μεταξύ του προσώπου στο οποίο αναφέρονται τα δεδομένα, που επικαλείται τη ρήτρα δικαιούχου τρίτου, και του εισαγωγέα δεδομένων, ανακύψει διαφορά που δεν επιλύεται με φιλικό διακανονισμό, ο εισαγωγέας δεδομένων θα πρέπει να προσφέρει στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα επιλογή μεταξύ διαμεσολάβησης και δικαστικής επίλυσης. Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα θα έχει πραγματικά την επιλογή στο μέτρο που θα μπορεί να διαθέτει αξιόπιστα και αναγνωρισμένα συστήματα διαμεσολάβησης. Η διαμεσολάβηση από τις αρχές ελέγχου προστασίας δεδομένων του κράτους μέλους στο οποίο είναι εγκατεστημένος ο εξαγωγέας δεδομένων πρέπει να αποτελεί εναλλακτική δυνατότητα, όταν οι αρχές παρέχουν τέτοια υπηρεσία.

(22) Η σύμβαση θα πρέπει να διέπεται από το δίκαιο του κράτους μέλους στο οποίο είναι εγκατεστημένος ο εξαγωγέας δεδομένων και το οποίο επιτρέπει σε δικαιούχο τρίτο να ζητήσει την εκτέλεση της σύμβασης. Τα πρόσωπα στα οποία αναφέρονται τα δεδομένα πρέπει να μπορούν να εκπροσωπούνται από ενώσεις ή άλλους φορείς εάν το επιθυμούν και εφόσον επιτρέπεται από το εθνικό δίκαιο. Το ίδιο δίκαιο θα πρέπει επίσης να διέπει τις διατάξεις σχετικά με την προστασία των δεδομένων που περιλαμβάνονται σε κάθε σύμβαση που συνάπτεται με υπεργολάβο επεξεργασίας και αφορά την υπεργολαβία των δραστηριοτήτων επεξεργασίας των προσωπικών δεδομένων που διαβιβάζονται από τον εξαγωγέα στον εισαγωγέα δεδομένων βάσει των συμβατικών ρητρών.

(23) Δεδομένου ότι η παρούσα απόφαση εφαρμόζεται μόνο σε περίπτωση εκχώρησης από εκτελούντα επεξεργασία εγκατεστημένο σε τρίτη χώρα των δραστηριοτήτων επεξεργασίας σε υπεργολάβο εγκατεστημένο σε τρίτη χώρα, δεν θα πρέπει να εφαρμόζεται στην περίπτωση που εκτελών επεξεργασία εγκατεστημένος στην Ευρωπαϊκή Ένωση ο οποίος πραγματοποιεί την επεξεργασία δεδομένων προσωπικού χαρακτήρα για λογαριασμό υπεύθυνου επεξεργασίας εγκατεστημένου στην Ευρωπαϊκή Ένωση εκχωρεί τις δραστηριότητες επεξεργασίας σε υπεργολάβο επεξεργασίας εγκατεστημένο σε τρίτη χώρα. Στην περίπτωση αυτή, τα κράτη μέλη είναι ελεύθερα να λάβουν ή όχι υπόψη το γεγονός ότι οι αρχές και διασφαλίσεις των τυποποιημένων συμβατικών ρητρών που αναφέρονται στην παρούσα απόφαση εφαρμογής χρησιμοποιήθηκαν για την ανάθεση του έργου σε υπεργολάβο επεξεργασίας εγκατεστημένο σε τρίτη χώρα με σκοπό την παροχή επαρκούς προστασίας των δικαιωμάτων των προσώπων τα προσωπικά δεδομένα των οποίων διαβιβάζονται στο πλαίσιο δραστηριοτήτων υπεργολαβίας.

(24) Η ομάδα εργασίας για την προστασία των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, που συστάθηκε βάσει του άρθρου 29 της οδηγίας 95/46/ΕΚ, εξέδωσε γνώμη σχετικά με το επίπεδο προστασίας που προβλέπεται στις τυποποιημένες συμβατικές ρήτρες που επισυνάπτονται στην παρούσα απόφαση. Η γνώμη αυτή ελήφθη υπόψη κατά την κατάρτιση της παρούσας απόφασης.

(25) Η απόφαση 2002/16/ΕΚ πρέπει να καταργηθεί.

(26) Τα μέτρα που προβλέπονται στην παρούσα απόφαση συνάδουν με τη γνώμη της επιτροπής που συστάθηκε βάσει του άρθρου 31 της οδηγίας 95/46/ΕΚ,

ΕΞΕΔΩΣΕ ΤΗΝ ΑΚΟΛΟΥΘΗ ΑΠΟΦΑΣΗ:

Άρθρο 1

Οι τυποποιημένες συμβατικές ρήτρες που περιλαμβάνονται στο παράρτημα θεωρείται ότι παρέχουν επαρκείς εγγυήσεις για την προστασία της ιδιωτικής ζωής και των θεμελιωδών δικαιωμάτων και ελευθεριών των προσώπων, καθώς και για την άσκηση των σχετικών δικαιωμάτων, όπως επιβάλλει το άρθρο 26 παράγραφος 2 της οδηγίας 95/46/ΕΚ.

Άρθρο 2

Η παρούσα απόφαση αφορά μόνο το ικανοποιητικό επίπεδο της προστασίας που παρέχουν οι τυποποιημένες συμβατικές ρήτρες που παρατίθενται στο παράρτημα όσον αφορά τη διαβίβαση δεδομένων προσωπικού χαρακτήρα σε εκτελούντες επεξεργασία. Δεν επηρεάζει την εφαρμογή άλλων εθνικών διατάξεων εφαρμογής της οδηγίας 95/46/ΕΚ που αφορούν την επεξεργασία δεδομένων προσωπικού χαρακτήρα στα κράτη μέλη.

Η παρούσα απόφαση εφαρμόζεται στη διαβίβαση δεδομένων προσωπικού χαρακτήρα από υπεύθυνους επεξεργασίας εγκατεστημένους στην Ευρωπαϊκή Ένωση προς αποδέκτες εγκατεστημένους εκτός Ευρωπαϊκής Ένωσης οι οποίοι ενεργούν αποκλειστικά ως εκτελούντες επεξεργασία.

Άρθρο 3

Για τους σκοπούς της παρούσας απόφασης, ισχύουν οι ακόλουθοι ορισμοί:

α) ως «ειδικές κατηγορίες δεδομένων» νοούνται τα δεδομένα που αναφέρονται στο άρθρο 8 της οδηγίας 95/46/ΕΚ·

β) ως «αρχή ελέγχου» νοείται η αρχή που αναφέρεται στο άρθρο 28 της οδηγίας 95/46/ΕΚ·

γ) ως «εξαγωγέας δεδομένων» νοείται ο υπεύθυνος επεξεργασίας ο οποίος διαβιβάζει τα δεδομένα προσωπικού χαρακτήρα·

δ) ως «εισαγωγέας δεδομένων» νοείται ο εκτελών επεξεργασία που είναι εγκατεστημένος σε τρίτη χώρα και ο οποίος συμφωνεί να παραλάβει από τον εξαγωγέα δεδομένων δεδομένα προσωπικού χαρακτήρα που προορίζονται, μετά τη διαβίβαση, για επεξεργασία για λογαριασμό του εξαγωγέα, σύμφωνα με τις οδηγίες του και σύμφωνα με τους όρους της παρούσας απόφασης, και ο οποίος δεν υπόκειται σε μηχανισμό τρίτης χώρας που διασφαλίζει ικανοποιητική προστασία, κατά την έννοια του άρθρου 25 παράγραφος 1 της οδηγίας 95/46/ΕΚ·

ε) ως «υπεργολάβος επεξεργασίας» νοείται κάθε εκτελών επεξεργασία τον οποίο προσλαμβάνει ο εισαγωγέας δεδομένων ή οποιοσδήποτε άλλος υπεργολάβος επεξεργασίας του εισαγωγέα, ο οποίος συμφωνεί να λάβει από τον εισαγωγέα δεδομένων ή από οποιονδήποτε άλλο υπεργολάβο επεξεργασίας του εισαγωγέα δεδομένα προσωπικού χαρακτήρα που προορίζονται αποκλειστικά για τις δραστηριότητες επεξεργασίας που πρόκειται να εκτελεστούν για λογαριασμό του εξαγωγέα δεδομένων μετά τη διαβίβαση, σύμφωνα με τις οδηγίες του τελευταίου, με τις τυποποιημένες συμβατικές ρήτρες που αναγράφονται στο παράρτημα, καθώς και με τους όρους της γραπτής σύμβασης σχετικά με την υπεργολαβία·

στ) ως «εφαρμοστέο δίκαιο περί προστασίας των δεδομένων» νοείται η νομοθεσία που προστατεύει τα θεμελιώδη δικαιώματα και ελευθερίες των ατόμων, και ιδίως το δικαίωμα προστασίας της ιδιωτικής τους ζωής από την επεξεργασία δεδομένων προσωπικού χαρακτήρα, η οποία εφαρμόζεται σε υπεύθυνο επεξεργασίας δεδομένων στο κράτος μέλος στο οποίο είναι εγκατεστημένος ο εξαγωγέας δεδομένων·

ζ) Ως «τεχνικά και οργανωτικά μέτρα ασφαλείας» νοούνται τα μέτρα που στοχεύουν στην προστασία των δεδομένων προσωπικού χαρακτήρα από την τυχαία ή παράνομη καταστροφή, την τυχαία απώλεια, την αλλοίωση, τη μη εξουσιοδοτημένη κοινοποίηση ή πρόσβαση, ιδίως όταν η επεξεργασία συνεπάγεται τη διαβίβαση δεδομένων μέσω δικτύου, καθώς και στην προστασία από κάθε άλλη παράνομη μορφή επεξεργασίας.

Άρθρο 4

1. Με την επιφύλαξη των εξουσιών τους να λαμβάνουν μέτρα προκειμένου να εξασφαλίζουν την τήρηση των εθνικών διατάξεων που εκδίδονται σύμφωνα με τα κεφάλαια II, III, V και VI της οδηγίας 95/46/ΕΚ, οι αρμόδιες αρχές των κρατών μελών μπορούν να ασκούν τις υφιστάμενες εξουσίες τους για να απαγορεύουν ή να αναστέλλουν τη ροή δεδομένων προς τρίτες χώρες προκειμένου να προστατεύουν τα φυσικά πρόσωπα από την επεξεργασία δεδομένων προσωπικού χαρακτήρα που τα αφορούν στις περιπτώσεις κατά τις οποίες:

α) τεκμηριώνεται ότι η νομοθεσία στην οποία υπόκειται ο εισαγωγέας δεδομένων ή ο υπεργολάβος επεξεργασίας τον υποχρεώνει να παρεκκλίνει από το εφαρμοστέο δίκαιο περί προστασίας των δεδομένων πέραν των αναγκαίων σε μια δημοκρατική κοινωνία ορίων, όπως ορίζεται στο άρθρο 13 της οδηγίας 95/46/ΕΚ, στην περίπτωση που η υποχρέωση αυτή ενδέχεται να έχει σημαντικές αρνητικές επιπτώσεις στις εγγυήσεις που παρέχονται από το εφαρμοστέο δίκαιο περί προστασίας των δεδομένων και τις τυποποιημένες συμβατικές ρήτρες·

β) αρμόδια αρχή απέδειξε ότι ο εισαγωγέας δεδομένων ή ο υπεργολάβος επεξεργασίας δεν τήρησε τις τυποποιημένες συμβατικές ρήτρες του παραρτήματος· ή

γ) υπάρχει σοβαρή πιθανότητα ότι οι τυποποιημένες συμβατικές ρήτρες του παραρτήματος δεν τηρούνται ή δεν θα τηρηθούν και ότι η συνέχιση της διαβίβασης θα δημιουργήσει άμεσο κίνδυνο πρόκλησης σοβαρής ζημίας στα πρόσωπα στα οποία αναφέρονται τα δεδομένα.

2. Η απαγόρευση ή αναστολή που προβλέπεται στην παράγραφο 1 αίρεται αμέσως μόλις παύσουν να υφίστανται οι λόγοι που την προκάλεσαν.

3. Τα κράτη μέλη, όταν λαμβάνουν μέτρα σύμφωνα με τις παραγράφους 1 και 2, ενημερώνουν χωρίς καθυστέρηση την Επιτροπή, η οποία διαβιβάζει την πληροφορία στα υπόλοιπα κράτη μέλη.

Άρθρο 5

Η Επιτροπή αξιολογεί την εφαρμογή της παρούσας απόφασης βάσει των διαθέσιμων πληροφοριών, τρία έτη μετά την έκδοσή της. Υποβάλλει έκθεση των πορισμάτων της στην επιτροπή που έχει συστάθηκε βάσει του άρθρου 31 της οδηγίας 95/46/ΕΚ. Στην έκθεση συμπεριλαμβάνεται κάθε αποδεικτικό στοιχείο που θα μπορούσε να επηρεάσει την εκτίμηση σχετικά με την επάρκεια των τυποποιημένων συμβατικών ρητρών του παραρτήματος, καθώς και κάθε στοιχείο από το οποίο προκύπτει ότι η παρούσα απόφαση εφαρμόζεται με μεροληπτικό τρόπο.

Άρθρο 6

Η παρούσα απόφαση τίθεται σε εφαρμογή στις 15 Μαΐου 2010.

Άρθρο 7

1. Η απόφαση 2002/16/ΕΚ καταργείται από τις 15 Μαΐου 2010.

2. Κάθε σύμβαση που έχει συναφθεί μεταξύ εξαγωγέα και εισαγωγέα δεδομένων σύμφωνα με την απόφαση 2002/16/ΕΚ πριν από τις 15 Μαΐου 2010 παραμένει πλήρως σε ισχύ και παράγει αποτελέσματα για όσο διάστημα παραμένουν αμετάβλητες οι διαβιβάσεις και οι πράξεις επεξεργασίας δεδομένων που αποτελούν το αντικείμενο της σύμβασης και εξακολουθούν να διαβιβάζονται μεταξύ των συμβαλλομένων τα δεδομένα προσωπικού χαρακτήρα που καλύπτονται από την παρούσα απόφαση εφαρμογής. Αν οι συμβαλλόμενοι αποφασίσουν να επιφέρουν σχετικές τροποποιήσεις ή να εκχωρήσουν τις δραστηριότητες επεξεργασίας που αποτελούν αντικείμενο της σύμβασης, υποχρεούνται να συνάψουν νέα σύμβαση σύμφωνα με τις τυποποιημένες συμβατικές ρήτρες που περιλαμβάνονται στο παράρτημα.

Άρθρο 8

Η παρούσα απόφαση απευθύνεται στα κράτη μέλη.

Βρυξέλλες, 5 Φεβρουαρίου 2010. Για την Επιτροπή Jacques BARROT Αντιπρόεδρος

(1) ΕΕ L 281 της 23.11.1995, σ. 31.

(2) ΕΕ L 6 της 10.1.2002, σ. 52.

(3) SEC(2006) 95 της 20.1.2006.

(4) International Chamber of Commerce (ICC), Japan Business Council in Europe (JBCE), EU Committee of the American Chamber of Commerce in Belgium (Amcham), και Federation of European Direct Marketing Associations (FEDMA).

(5) ΕΕ L 181 της 4.7.2001, σ. 19.