2001D0497 — FI — 01.04.2005 — 001.001

Tämä asiakirja on ainoastaan dokumentointitarkoituksiin. Toimielimet eivät vastaa sen sisällöstä.

►B KOMISSION PÄÄTÖS, tehty 15 päivänä kesäkuuta 2001, direktiivin 95/46/EY mukaisista mallisopimuslausekkeista henkilötietojen kolmansiin maihin siirtoa varten (tiedoksiannettu numerolla K(2001) 1539) (ETA:n kannalta merkityksellinen teksti) (2001/497/EY) (EYV L 181, 4.7.2001, p.19)

Muutettu:









▼B

KOMISSION PÄÄTÖS,

tehty 15 päivänä kesäkuuta 2001,

direktiivin 95/46/EY mukaisista mallisopimuslausekkeista henkilötietojen kolmansiin maihin siirtoa varten

(tiedoksiannettu numerolla K(2001) 1539)

(ETA:n kannalta merkityksellinen teksti)

(2001/497/EY)







EUROOPAN YHTEISÖJEN KOMISSIO, joka ottaa huomioon Euroopan yhteisön perustamissopimuksen, ottaa huomioon yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24 päivänä lokakuuta 1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY ( 1 ) ja erityisesti sen 26 artiklan 4 kohdan, sekä katsoo seuraavaa: (1) Direktiivin 95/46/EY mukaisesti jäsenvaltioiden on säädettävä, että henkilötietojen siirto kolmanteen maahan voidaan suorittaa ainoastaan, jos kyseisessä kolmannessa maassa taataan tietosuojan riittävä taso ja jos mainitun direktiivin muiden säännösten mukaisia jäsenvaltioiden lakeja noudatetaan ennen siirtoa. (2) Kuitenkin direktiivin 95/46/EY 26 artiklan 2 kohdassa säädetään, että jäsenvaltiot voivat hyväksyä tiettyjä takeita noudattaen henkilötietojen siirron tai siirtojen sarjan sellaisiin kolmansiin maihin, joissa ei taata tietosuojan riittävää tasoa. Nämä takeet voivat erityisesti johtua soveltuvista sopimuslausekkeista. (3) Direktiivin 95/46/EY mukaisesti tietosuojan tasoa olisi arvioitava kaikkien tiettyyn siirtoon tai siirtojen ryhmään liittyvien olosuhteiden osalta. Mainitulla direktiivillä perustettu tietosuojatyöryhmä ( 2 ) on antanut suuntaviivat arvioinnin tueksi ( 3 ). (4) Direktiivin 95/46/EY 26 artiklan 2 kohta, jossa annetaan liikkumavaraa organisaatiolle, joka haluaa siirtää tietoja kolmansiin maihin, ja 26 artiklan 4 kohta, jossa säädetään mallisopimuslausekkeista, ovat olennaisia tarvittavan henkilötietojen virran ylläpitämiseksi Euroopan yhteisön ja kolmansien maiden välillä ilman taloudellisille toimijoille aiheutuvaa tarpeetonta taakkaa. Nämä artiklat ovat erityisen tärkeitä ottaen huomioon, että komissio tekee todennäköisesti lyhyellä tai jopa keskipitkällä aikavälillä tietosuojan riittävyyden toteamista koskevia päätöksiä 25 artiklan 6 kohdan nojalla vain muutamien maiden osalta. (5) Mallisopimuslausekkeet ovat direktiivin 95/46/EY 25 artiklan sekä 26 artiklan 1 ja 2 kohdan ohella vain yksi kyseisen direktiivin tarjoamista useista mahdollisuuksista henkilötietojen siirtämiseen kolmanteen maahan laillisesti. Näiden mallisopimuslausekkeiden sisällyttäminen sopimukseen helpottaa huomattavasti organisaatioiden suorittamia henkilötietojen siirtoja kolmansiin maihin. Mallisopimuslausekkeet liittyvät ainoastaan tietosuojaan. Tietojen viejä ja tietojen tuoja voivat vapaasti sisällyttää sopimukseen muita lausekkeita yritystoimintaan liittyvistä kysymyksistä, kuten keskinäisestä avunannosta riitatapauksissa rekisteröidyn tai valvontaviranomaisten kanssa, joita ne pitävät sopimuksen kannalta olennaisina, kunhan nämä lausekkeet eivät ole ristiriidassa mallisopimuslausekkeiden kanssa. (6) Tällä päätöksellä ei rajoiteta jäsenvaltioiden mahdollisuutta antaa sellaisten kansallisten säännösten mukaisia kansallisia lupia, joilla direktiivin 95/46/EY 26 artiklan 2 kohta pannaan täytäntöön. Erityisten tiedonsiirtojen olosuhteet saattavat edellyttää, että rekisterinpitäjä antaa 26 artiklan 2 kohdassa tarkoitettuja erilaisia takeita. Joka tapauksessa tämän päätöksen ainoa vaikutus on se, että jäsenvaltiot eivät kieltäydy tunnustamasta päätöksessä tarkoitettujen sopimuslausekkeiden tarjoavan riittävät takeet, ja tällä päätöksellä ei näin ollen ole vaikutusta muihin sopimuslausekkeisiin. (7) Tämän päätöksen soveltamisala rajoittuu sen vahvistamiseen, että Euroopan yhteisöön sijoittautunut rekisterinpitäjä voi käyttää liitteessä olevia lausekkeita riittävien takeiden antamiseksi direktiivin 95/46/EY 26 artiklan 2 kohdassa tarkoitetulla tavalla. Henkilötietojen siirtäminen kolmansiin maihin on käsittelytoimi jäsenvaltiossa, ja sen laillisuudesta säädetään kansallisessa lainsäädännössä. Jäsenvaltioiden tietosuojavalvontaviranomaiset ovat suorittaessaan tehtäviään ja käyttäessään toimivaltuuksiaan direktiivin 95/46/EY 28 artiklan nojalla edelleen toimivaltaisia arvioimaan, onko tietojen viejä noudattanut kansallista lainsäädäntöä, jolla direktiivin 95/46/EY säännökset pannaan täytäntöön, ja varsinkin erityissäännöksiä mainitun direktiivin 10 ja 11 artiklan mukaisen informointivelvoitteen osalta. Valvontaviranomaiset voivat myös vaatia sopimuksen jäljennöksen tallettamista valvontaviranomaisen huostaan. (8) Tämä päätös ei koske yhteisöön sijoittautuneen rekisterinpitäjän suorittamaa henkilötietojen siirtoa vastaanottajille, jotka ovat sijoittautuneet yhteisön alueen ulkopuolelle ja jotka toimivat vain henkilötietojen käsittelijöinä. Nämä siirrot eivät edellytä samoja takeita, koska henkilötietojen käsittelijä toimii yksinomaan rekisterinpitäjän puolesta. Komissio aikoo käsitellä tällaisia siirtoja myöhemmässä päätöksessä. (9) On asianmukaista vahvistaa vähimmäistiedot, jotka sopimuspuolten on mainittava siirtoa koskevassa sopimuksessa. Jäsenvaltioilla olisi oltava edelleen oikeus täsmentää tiedot, jotka sopimuspuolilla on velvollisuus toimittaa. (10) Komissio myös tarkastelee myöhemmin, tarjoavatko yritysorganisaatioiden tai muiden asianomaisten osapuolten esittämät mallisopimuslausekkeet riittävät takeet direktiivin 95/46/EY mukaisesti. (11) Vaikka osapuolten tulisi voida sopia tietojen tuojan noudattamista aineellisista tietosuojasäännöistä, tiettyjä tietosuojaperiaatteita olisi sovellettava joka tapauksessa. (12) Tietoa olisi käsiteltävä ja sittemmin käytettävä tai edelleen toimitettava ainoastaan erityisiin tarkoituksiin ja sitä ei tulisi säilyttää kauemmin kuin on tarpeellista. (13) Direktiivin 95/46/ETY 12 artiklan mukaisesti rekisteröidyllä olisi oltava tiedonsaantioikeus häntä koskevaan tietoon ja tapauskohtaisesti oikeus saada tietyt tiedot oikaistuiksi, poistetuiksi tai suojatuiksi. (14) Henkilökohtaisten tietojen myöhemmät siirrot toiselle rekisterinpitäjälle, joka on sijoittautunut kolmanteen maahan, olisi sallittava ainoastaan tietyin edellytyksin, erityisesti sen varmistamiseksi, että rekisteröidyille annetaan asianmukaiset tiedot ja tilaisuus vastustaa tai tietyissä tapauksissa pidättää suostumuksensa. (15) Sen lisäksi, että valvontaviranomaiset arvioivat, ovatko siirrot kolmansiin maihin kansallisen lainsäädännön mukaisia, niillä on keskeinen asema tässä sopimusmenettelyssä myös sen varmistamisessa, että henkilötietoja suojataan riittävästi niiden siirron jälkeen. Tietyissä olosuhteissa jäsenvaltioiden valvontaviranomaisilla on oikeus kieltää tai lykätä mallisopimuslausekkeisiin perustuva tietojen siirto tai siirtojen sarja poikkeustapauksissa, joissa sopimusperusteisella siirrolla todetaan olevan todennäköisesti merkittävä haitallinen vaikutus rekisteröidylle annettaviin takeisiin riittävästä tietosuojasta. (16) Mallisopimuslausekkeiden olisi oltava täytäntöönpanokelpoisia ei ainoastaan sopimuksen osapuolena olevien organisaatioiden vaan myös rekisteröityjen toimesta erityisesti, jos rekisteröidyille aiheutuu vahinkoa sopimusrikkomuksen seurauksena. (17) Sopimukseen sovellettavan lain olisi oltava sen jäsenvaltion laki, jonka nojalla edunsaajana oleva kolmas voi saattaa voimaan sopimuksen. Rekisteröityjä voi edustaa yhteenliittymä tai muu elin, jos rekisteröidyt niin haluavat ja jos se on kansallisen lainsäädännön mukaan sallittua. (18) Vähentääkseen käytännön vaikeuksia, joita rekisteröidyllä voi olla yrittäessään toteuttaa oikeuksiaan näiden mallisopimuslausekkeiden nojalla, tietojen viejän ja tietojen tuojan olisi oltava yhteisvastuussa niiden määräysten rikkomisesta johtuvista vahingoista, joita kolmatta suojaava edunsaajalauseke koskee. (19) Rekisteröidyllä on oikeus ryhtyä toimiin ja saada korvausta tietojen viejältä, tietojen tuojalta tai molemmilta vahingosta, joka on aiheutunut mistä tahansa toiminnasta, joka on yhteensopimaton mallisopimuslausekkeisiin sisältyvien velvoitteiden kanssa. Molemmat osapuolet voidaan vapauttaa vastuusta, jos nämä osoittavat, että kumpikaan ei ollut vastuussa kyseisestä toiminnasta. (20) Yhteisvastuu ei ulotu sellaisiin määräyksiin, joita kolmatta suojaava edunsaajalauseke ei koske, eikä sopimuspuolen tarvitse sen nojalla korvata vahinkoja, jotka ovat aiheutuneet toisen sopimuspuolen suorittamasta laittomasta käsittelystä. Vaikka sopimuspuolten keskinäistä vahingonkorvausta ei vaadita rekisteröidyille taattavan suojan riittävyyden vuoksi ja se voidaan näin ollen poistaa, se on kuitenkin sisällytetty mallisopimuslausekkeisiin selkeyden vuoksi sekä sen välttämiseksi, että sopimuspuolten olisi neuvoteltava vahingonkorvauslausekkeista yksittäisesti. (21) Jos sopimuspuolten ja rekisteröidyn välillä syntyy riita, jossa ei päästä sovintoratkaisuun ja jos rekisteröity vetoaa kolmatta suojaavaan edunsaajalausekkeeseen, sopimuspuolet hyväksyvät, että rekisteröidyllä on mahdollisuus valita joko sovittelu tai välitysmenettely taikka oikeudenkäynti. Se, missä määrin rekisteröidyllä on käytettävissään vaihtoehtoja, on sidoksissa luotettavien ja tunnustettujen sovittelu- ja välitysmenettelyjen saatavuuteen. Jos jäsenvaltion valvontaviranomainen tarjoaa sovittelua, olisi sen valinta oltava mahdollista. (22) Direktiivin 95/46/EY 29 artiklalla perustettu tietosuojatyöryhmä on antanut tämän päätöksen liitteenä olevien mallisopimuslausekkeiden antamasta suojan tasosta lausunnon, joka on otettu huomioon tätä päätöstä valmisteltaessa ( 4 ). (23) Tässä päätöksessä säädetyt toimenpiteet ovat direktiivin 95/46/EY 31 artiklalla perustetun komitean lausunnon mukaiset, sekä katsoo seuraavaa: ON TEHNYT TÄMÄN PÄÄTÖKSEN:







1 artikla

Liitteessä olevien mallisopimuslausekkeiden katsotaan antavan direktiivin 95/46/EY 26 artiklan 2 kohdassa edellytetyt riittävät takeet henkilöiden yksityisyyden suojasta ja perusoikeuksien ja -vapauksien suojasta sekä vastaavien oikeuksien soveltamisesta.

▼M1

Rekisterinpitäjät voivat valita kumman tahansa liitteessä olevista lausekekokonaisuuksista I tai II. Ne eivät kuitenkaan voi muuttaa lausekkeita eivätkä yhdistää yksittäisiä lausekkeita tai lausekekokonaisuuksia.

▼B

2 artikla

Tämä päätös koskee ainoastaan mallisopimuslausekkeiden antaman suojan riittävyyttä henkilötietojen siirron osalta. Päätös ei vaikuta direktiivin 95/46/EY täytäntöön panemiseksi annettujen muiden henkilötietojen käsittelyä jäsenvaltioissa koskevien kansallisten säännösten soveltamiseen.

Tätä päätöstä ei sovelleta yhteisöön sijoittautuneen rekisterinpitäjän suorittamaan henkilötietojen siirtoon vastaanottajille, jotka ovat sijoittautuneet yhteisön alueen ulkopuolelle ja jotka toimivat ainoastaan henkilötietojen käsittelijöinä.

3 artikla

Tässä päätöksessä:

a) sovelletaan direktiivin 95/46/EY määritelmiä;

b) ”erityisillä tietoryhmillä” tarkoitetaan direktiivin 95/46/EY 8 artiklassa tarkoitettua tietoa;

c) ”valvontaviranomaisella” tarkoitetaan direktiivin 95/46/EY 28 artiklassa tarkoitettua viranomaista;

d) ”tietojen viejällä” tarkoitetaan rekisterinpitäjää, joka siirtää henkilötietoja;

e) ”tietojen tuojalla” tarkoitetaan rekisterinpitäjää, joka suostuu vastaanottamaan henkilötietoja tietojen viejältä käsitelläkseen niitä myöhemmin tämän päätöksen ehtojen mukaisesti.

4 artikla

1. Rajoittamatta jäsenvaltioiden toimivaltaisten viranomaisten toimivaltuuksia toteuttaa toimenpiteitä muiden kuin direktiivin 95/46/EY II, IIII, V ja VI lukujen nojalla annettujen kansallisten säännösten noudattamisen varmistamiseksi jäsenvaltioiden toimivaltaiset viranomaiset voivat käyttää nykyisiä toimivaltuuksiaan kolmansille suuntautuvien tiedonsiirtojen kieltämiseksi tai lykkäämiseksi suojatakseen yksityishenkilöitä näiden henkilötietojen käsittelyssä, jos

a) todetaan, että tietojen tuojaan sovellettavaan lainsäädäntöön sisältyy sellaisia vaatimuksia poiketa asianomaisista tietosuojasäännöistä, joiden rajoitukset menevät pitemmälle kuin on tarpeen demokraattisessa yhteiskunnassa direktiivin 95/46/EY 13 artiklan mukaan, jos kyseisillä vaatimuksilla on todennäköisesti merkittävä haitallinen vaikutus mallisopimuslausekkeilla annettaviin takeisiin; tai

b) toimivaltainen viranomainen on todennut, ettei tietojen tuoja ole noudattanut sopimuslausekkeita; taikka

c) on hyvin todennäköistä, että liitteessä olevia mallisopimuslausekkeita ei noudateta tai ei tulla noudattamaan, ja siirron jatkaminen merkitsisi välitöntä vaaraa vakavan haitan aiheutumisesta rekisteröidyille.

▼M1

2. Jos 1 kohtaa sovellettaessa rekisterinpitäjä esittää riittävät takeet liitteessä olevaan kokonaisuuteen II sisältyvien mallisopimuslausekkeiden perusteella, toimivaltaiset tietosuojaviranomaiset voivat harjoittaa toimivaltaansa ja kieltää tai keskeyttää tiedonsiirrot seuraavissa tapauksissa:

a) tietojen tuoja kieltäytyy tekemästä vilpitöntä yhteistyötä tietosuojaviranomaisten kanssa tai noudattamasta selkeästi sopimuksen mukaisia velvoitteitaan;

b) tietojen viejä kieltäytyy ryhtymästä asianmukaisiin toimenpiteisiin tietojen tuojaa vastaan sopimuksen täytäntöönpanemiseksi tavanomaisessa yhden kuukauden ajassa siitä, kun toimivaltainen tietosuojaviranomainen on huomauttanut asiasta tietojen viejälle.

Ensimmäistä alakohtaa sovellettaessa tietojen tuojan ei katsota kieltäytyvän vilpillisessä mielessä tai kieltäytyvän sopimuksen täytäntöönpanosta tapauksissa, joissa yhteistyö tai täytäntöönpano olisi sellaisten tietojen tuojaan sovellettavien kansallisen lainsäädännön pakollisten vaatimusten vastaista, jotka eivät mene pidemmälle kuin on tarpeen demokraattisessa yhteiskunnassa jonkin direktiivin 95/46/EY 13 artiklan 1 kohdassa luetellun perusteen kannalta; tällaisia vaatimuksia ovat erityisesti kansainvälisten ja/tai kansallisten sopimusten mukaiset pakotteet, raportointivaatimukset verotusta varten ja raportointivaatimukset rahanpesun torjumiseksi.

Ensimmäisen alakohdan a alakohtaa sovellettaessa yhteistyöhön voi sisältyä erityisesti tietojen tuojan tietojenkäsittelyjärjestelmien tarkastusten salliminen tai velvoite noudattaa yhteisön tietosuojaviranomaisten ohjeita.

3. Edellä 1 ja 2 kohdan mukainen kielto tai keskeytys poistetaan heti kun kiellon tai keskeytyksen syyt ovat poistuneet.

4. Toteuttaessaan 1, 2 ja 3 kohdan mukaisia toimenpiteitä jäsenvaltioiden on ilmoitettava siitä viipymättä komissiolle, joka välittää tiedon edelleen muille jäsenvaltioille.

▼B

5 artikla

►M1 Komissio arvioi tämän päätöksen toimintaa käytettävissä olevien tietojen pohjalta kolmen vuoden kuluttua sen ja sitä koskevien muutosten tiedoksiantamisesta jäsenvaltioille. ◄ Komissio antaa direktiivin 95/46/EY 31 artiklalla perustetulle komitealle tiedoksi kaikki havainnot. Niihin kuuluu myös sellaiset todisteet, jotka voivat vaikuttaa mallisopimuslausekkeiden arviointiin, sekä todisteet tämän päätöksen mahdollisesti syrjivästä täytäntöönpanosta.

6 artikla

Tätä päätöstä sovelletaan 3 päivästä syyskuuta 2001 lähtien.

7 artikla

Tämä päätös on osoitettu kaikille jäsenvaltioille.









LIITE

▼M1

KOKONAISUUS I

▼B

Lisäys 1

mallisopimuslausekkeisiin

Lisäys 2

mallisopimuslausekkeisiin

Pakolliset tietosuojaperiaatteet, joita tarkoitetaan lausekkeen 5 b ensimmäisessä kohdassa

Nämä tietosuojaperiaatteet olisi luettava ja tulkittava direktiivin 95/46/EY säännösten (periaatteiden ja asiaa koskevien poikkeusten) mukaisesti.

Niitä sovelletaan, jollei muuta johdu tietojen tuojaan sovellettavan kansallisen lainsäädännön pakollisista vaatimuksista, jotka eivät mene pidemmälle kuin on tarpeen demokraattisessa yhteiskunnassa jonkin direktiivin 95/46/EY 13 artiklan 1 kohdassa luetellun perusteen kannalta, toisin sanoen jos ne muodostavat tarpeellisen toimenpiteen suojaamaan valtion turvallisuutta, puolustusta, yleistä turvallisuutta, rikosten tai säännellyn ammattitoiminnan osalta, ammattietiikan rikkomusten torjuntaa, tutkintaa, selvittämistä ja syyteharkintaa, jäsenvaltiolle tärkeää taloudellista tai rahoituksellista etua, taikka rekisteröidyn suojelua tai muiden oikeuksia ja vapauksia.

1. Tarkoituksen rajoittaminen: Tietoja on käsiteltävä ja sen jälkeen käytettävä tai luovutettava edelleen ainoastaan lisäyksen 1 mukaisia erityistarkoituksia varten. Tietoja ei saa säilyttää kauemmin kuin on tarpeen siirron tarkoituksia varten.

2. Tiedon laatu ja suhteellisuus: Tietojen on oltava täsmällisiä ja ne on tarvittaessa saatettava ajan tasalle. Tietojen on oltava riittäviä ja asiaankuuluvia eikä niitä saa olla liikaa suhteessa siirron tai edelleen käsittelyn tarkoituksiin.

3. Avoimuus: Rekisteröidyille on ilmoitettava tietojen käsittelyn tarkoitukset ja kolmannen maan rekisterinpitäjän nimi sekä muita tietoja sikäli kuin ne ovat tarpeen käsittelyn oikeudenmukaisuuden varmistamiseksi, jollei tietojen viejä ole jo antanut näitä tietoja.

4. Turvallisuus ja salassapito: Rekisterinpitäjän on huolehdittava teknisistä ja organisatorisista turvatoimista, jotka vastaavat käsittelyyn liittyviä riskejä, kuten tietojen luvatonta käyttöä. Rekisterinpitäjän lukuun toimiva henkilö, mukaan lukien henkilötietojen käsittelijä, saa käsitellä tietoja ainoastaan rekisterinpitäjän määräyksestä.

5. Tiedonsaantioikeus, tietojen oikaiseminen, suojaaminen ja poistaminen: Direktiivin 95/46/EY 12 artiklan mukaisesti rekisteröidyllä on oltava oikeus saada kaikki itseään koskevat tiedot, joita käsitellään, ja tapauskohtaisesti oikeus saada sellaiset tiedot oikaistuksi, poistetuksi tai suojatuksi, joiden käsittely ei täytä tässä lisäyksessä asetettuja periaatteita erityisesti tietojen puutteellisuuden tai virheellisyyden vuoksi. Rekisteröidyllä olisi oltava myös mahdollisuus vastustaa itseään koskevien tietojen käsittelyä tilanteeseensa liittyvien huomattavan tärkeiden ja oikeutettujen perusteiden nojalla.

6. Rajoitukset edelleen siirroissa: Henkilötietojen edelleen siirrot voivat tapahtua ainoastaan tietojen tuojalta toiselle rekisterinpitäjälle, joka on sijoittautunut kolmanteen maahan, jossa riittävää suojaa ei taata tai jota ei koske direktiivin 95/46/EY 25 artiklan 6 kohdan mukaisesti tehty komission päätös (edelleen siirto), jos joko: a) Rekisteröidyt ovat antaneet yksiselitteisen hyväksyntänsä edelleen siirrolle, jos kyseessä ovat erityiset tietoryhmät, tai muissa tapauksissa rekisteröidyille on annettu mahdollisuus kieltää tietojen edelleen siirto. Rekisteröidyille annettaviin vähimmäistietoihin on sisällyttävä rekisteröityjen ymmärtämällä kielellä: — edelleen siirron tarkoitukset, — yhteisöön sijoittautuneen tietojen viejän tunnistetiedot, — edelleen siirrettävien tietojen vastaanottajaryhmät ja määrämaat, sekä — selvitys siitä, että edelleen siirron jälkeen tietoja voi käsitellä rekisterinpitäjä, joka on sijoittautunut maahan, jossa henkilöiden yksityisyyden suojan taso ei ole riittävä; tai b) tietojen viejä ja tietojen tuoja hyväksyvät, että toinen rekisterinpitäjä liittyy lausekkeisiin ja että tästä näin ollen tulee näiden lausekkeiden osapuoli, joka sitoutuu noudattamaan samoja velvoitteita kuin tietojen tuoja.

7. Erityiset tietoryhmät: Kun käsitellään tietoja, jotka koskevat rotua tai etnistä alkuperää, poliittisia mielipiteitä, uskonnollista tai filosofista vakaumusta tai ammattiliittoon kuulumista, sekä terveyteen ja seksuaaliseen käyttäytymiseen liittyviä tietoja ja tietoja, jotka liittyvät rikkomuksiin, rikostuomioihin tai turvallisuustoimenpiteisiin, olisi toteutettava direktiivissä 95/46/EY tarkoitettuja lisäsuojatoimia ja erityisesti asianmukaisia turvatoimia, joita ovat muun muassa siirtojen selaaminen ja arkaluonteisten tietojen käytön kirjaaminen.

8. Suoramarkkinointi: Kun tietoja käsitellään suoramarkkinointia varten, käytettävissä on oltava tehokkaat menettelyt, joiden avulla rekisteröity voi milloin tahansa kieltää henkilötietojensa käytön sellaisiin tarkoituksiin.

9. Automatisoidut yksittäispäätökset: Rekisteröidyllä on oikeus olla joutumatta yksinomaan tietojen automatisoituun käsittelyyn perustuvan päätöksen kohteeksi, jollei yksilön oikeutetun edun suojaamiseksi toteuteta muita toimenpiteitä direktiivin 95/46/EY 15 artiklan 2 kohdan mukaisesti. Kun tietoja siirretään direktiivin 95/46/EY 15 artiklassa tarkoitetun automatisoidun yksittäispäätöksen tekemiseksi, josta aiheutuisi hänelle oikeudellisia vaikutuksia tai joka vaikuttaisi häneen merkittävällä tavalla ja joka olisi tehty ainoastaan automaattisen tietojenkäsittelyn perusteella ja joka olisi tarkoitettu hänen tiettyjen henkilökohtaisten ominaisuuksiensa, kuten muun muassa hänen ammatillisen suorituskykynsä, luottokelpoisuutensa, luotettavuutensa ja käyttäytymisensä arviointiin, yksilöllä on oltava oikeus tietää päätöksen perustelut.

Lisäys 3

mallisopimuslausekkeisiin

Pakolliset tietosuojaperiaatteet, joita tarkoitetaan lausekkeen 5 b toisessa kohdassa

1. Tarkoituksen rajoittaminen: Tietoja on käsiteltävä ja sen jälkeen käytettävä tai luovutettava edelleen ainoastaan lisäyksen 1 mukaisia erityistarkoituksia varten. Tietoja ei saa säilyttää kauemmin kuin on tarpeen siirron tarkoituksia varten.

2. Tiedonsaantioikeus, tietojen oikaiseminen, suojaaminen ja poistaminen: Direktiivin 95/46/EY 12 artiklan säännöksen mukaisesti rekisteröidyllä on oltava oikeus saada kaikki itseään koskevat tiedot, joita käsitellään, ja tapauskohtaisesti oikeus saada sellaiset tiedot oikaistuksi, poistetuksi tai suojatuksi, joiden käsittely ei täytä tässä lisäyksessä asetettuja periaatteita erityisesti tietojen puutteellisuuden tai virheellisyyden vuoksi. Rekisteröidyllä olisi oltava myös mahdollisuus vastustaa itseään koskevien tietojen käsittelyä tilanteeseensa liittyvien huomattavan tärkeiden ja oikeutettujen perusteiden nojalla.

3. Rajoitukset edelleen siirroissa: Henkilötietojen edelleen siirrot voivat tapahtua ainoastaan tietojen tuojalta toiselle rekisterinpitäjälle, joka on sijoittautunut kolmanteen maahan, jossa riittävää suojaa ei taata, jos joko: a) Rekisteröidyt ovat antaneet yksiselitteisen hyväksyntänsä edelleen siirrolle, jos kyseessä ovat erityiset tietoryhmät, tai muissa tapauksissa rekisteröidyille on annettu mahdollisuus kieltää tietojen edelleen siirto. Rekisteröidyille annettaviin vähimmäistietoihin on sisällyttävä rekisteröityjen ymmärtämällä kielellä: — edelleen siirron tarkoitukset, — yhteisöön sijoittautuneen tietojen viejän tunnistetiedot, — edelleen siirrettävien tietojen vastaanottajaryhmät ja määrämaat, sekä — selvitys siitä, että edelleen siirron jälkeen tietoja voi käsitellä rekisterinpitäjä, joka on sijoittautunut maahan, jossa henkilöiden yksityisyyden suojan taso ei ole riittävä, tai b) tietojen viejä ja tietojen tuoja hyväksyvät, että toinen rekisterinpitäjä liittyy lausekkeisiin ja että tästä näin ollen tulee näiden lausekkeiden osapuoli, joka sitoutuu noudattamaan samoja velvoitteita kuin tietojen tuoja.

▼M1

KOKONAISUUS II

Mallisopimuslausekkeet henkilötietojen siirtämiseksi yhteisöstä kolmansiin maihin (rekisterinpitäjien väliset siirrot)

Tiedonsiirtosopimus

seuraavien tahojen välillä:

_(nimi)

_(osoite ja sijoittautumismaa)

jäljempänä ”tietojen viejä”

ja

_(nimi)

_(osoite ja sijoittautumismaa)

jäljempänä ”tietojen tuoja”

kumpikin on ”sopimuspuoli”, yhdessä ”sopimuspuolet”

Määritelmät

Lausekkeissa tarkoitetaan:

a) ”henkilötiedoilla”, ”erityisillä tietoryhmillä / arkaluonteisilla tiedoilla”, ”käsittelyllä”, ”rekisterinpitäjällä”, ”käsittelijällä”, ”rekisteröidyllä” ja ”valvontaviranomaisella” samaa kuin 24 päivänä lokakuuta 1995 annetussa direktiivissä 95/46/EY (”viranomaisella” tarkoitetaan toimivaltaista tietosuojaviranomaista alueella, johon tietojen viejä on sijoittautunut);

b) ”tietojen viejällä” rekisterinpitäjää, joka siirtää henkilötietoja;

c) ”tietojen tuojalla” rekisterinpitäjää, joka sopii henkilötietojen vastaanottamisesta tietojen viejältä edelleen käsittelyä varten näiden lausekkeiden ehtojen mukaisesti ja jota ei koske riittävän suojan takaava kolmannen maan järjestelmä;

d) ”lausekkeilla” näitä sopimuslausekkeita, jotka muodostavat itsenäisen asiakirjan, johon eivät sisälly sopimuspuolten erillisten kaupankäyntijärjestelyiden mukaisesti vahvistamat kaupalliset ehdot.

Tiedon siirtoja (sekä soveltamisalaan kuuluvia henkilötietoja) koskevat yksityiskohdat annetaan liitteessä B, joka on kiinteä osa lausekkeita.

I. Tietojen viejän velvollisuudet

Tietojen viejä hyväksyy ja takaa, että

a) henkilötiedot on kerätty, käsitelty ja siirretty tietojen viejään sovellettavan lainsäädännön mukaisesti;

b) se on pyrkinyt parhaansa mukaan varmistamaan, että tietojen tuoja pystyy täyttämään näiden lausekkeiden mukaiset oikeudelliset velvoitteensa;

c) se toimittaa pyydettäessä tietojen tuojalle kopiot asiaan liittyvistä tietojen viejän sijoittautumismaan tietosuojalaeista tai viitteet niihin (tarvittaessa; tämä ei koske oikeudellista neuvontaa);

d) se vastaa rekisteröidyn ja viranomaisen tiedusteluihin, jotka koskevat tietojen tuojan suorittamaa henkilötietojen käsittelyä, elleivät sopimuspuolet ole sopineet, että tietojen tuoja hoitaa vastaamisen, jolloin tietojen viejä edelleenkin vastaa siinä määrin kuin se on kohtuullisesti katsottuna mahdollista ja jos se saa tiedot käyttöönsä kohtuullisen helposti, jos tietojen tuoja on haluton tai ei pysty vastaamaan; vastaukset on annettava kohtuullisessa ajassa;

e) se toimittaa pyynnöstä kopion lausekkeista rekisteröidyille, jotka ovat edunsaajina olevia kolmansia osapuolia lausekkeen III mukaisesti, elleivät lausekkeet sisällä luottamuksellista tietoa, jolloin se voi poistaa tällaiset tiedot. Jos tietoja on poistettu, tietojen viejä ilmoittaa rekisteröidyille kirjallisesti poistamisen syistä ja rekisteröityjen oikeudesta saattaa poistaminen viranomaisen tietoon. Tietojen viejää sitoo kuitenkin viranomaisen päätös, joka koskee lausekkeiden täydellisen tekstin antamista rekisteröidyille, jos rekisteröidyt ovat luvanneet noudattaa poistetun luottamuksellisen tekstin luottamuksellisuutta. Tietojen viejän on toimitettava pyydettäessä kopio lausekkeista myös viranomaiselle.

II. Tietojen tuojan velvollisuudet

Tietojen tuoja hyväksyy ja takaa, että

a) se toteuttaa asianmukaisia teknisiä ja organisatorisia toimenpiteitä, joilla suojataan henkilötiedot tahattomalta tai luvattomalta tuhoamiselta, tahattomalta häviämiseltä, muuttamiselta, luvattomalta luovuttamiselta tai tietoihin pääsyltä ja jotka tarjoavat asianmukaisen turvallisuustason suojattavien tietojen käsittelyn ja luonteen edustamaan riskiin nähden;

b) sillä on käytössään menettelyt, joilla varmistetaan, että kaikki kolmannet osapuolet, joille tietojen tuoja sallii pääsyn henkilötietoihin, käsittelijät mukaan luettuina, noudattavat ja pitävät yllä henkilötietojen luottamuksellisuutta ja suojaa. Kaikki tietojen tuojan lukuun toimivat henkilöt, myös tiedon käsittelijät, saavat käsitellä henkilötietoja vain tietojen tuojan luvalla. Tämä ei koske henkilöitä, joilla lain tai asetuksen perusteella on oikeus tai velvollisuus saada henkilötietoja;

c) sillä ei ole syytä olettaa, että näiden lausekkeiden tullessa voimaan voimassa olisi paikallisia lakeja, joilla olisi merkittävää haitallista vaikutusta lausekkeilla annettaviin takeisiin, ja se ilmoittaa tietojen viejälle (joka välittää tämän ilmoituksen viranomaiselle, jos sitä vaaditaan), jos se saa tietoa tällaisista laeista;

d) se käsittelee henkilötietoja liitteessä B esitettyjä tarkoituksia varten, ja sillä on sellainen oikeudellinen toimivalta, että se voi antaa takeet ja sitoumukset, jotka on esitetty näissä lausekkeissa;

e) se osoittaa tietojen viejälle organisaatiossaan yhteystahon, jolla on valtuudet vastata henkilötietojen käsittelyä koskeviin tiedusteluihin, ja se tekee vilpitöntä yhteistyötä tietojen viejän, rekisteröidyn ja viranomaisen kanssa vastatakseen tiedusteluihin kohtuullisessa ajassa. Jos tietojen viejän toiminta lakkautetaan tai jos sopimuspuolet ovat niin sopineet, tietojen tuoja vastaa lausekkeen I kohdan e määräysten noudattamisesta;

f) se toimittaa tietojen viejän pyynnöstä tälle todisteet riittävistä varoista, jotta se voi hoitaa lausekkeen III mukaiset velvoitteensa (joihin saattaa sisältyä vakuutusturva);

g) se antaa tietojen viejän perustellun pyynnön perusteella käsittelyyn vaadittavat tietojenkäsittelyjärjestelmät, tietueet ja asiakirjat tietojen viejän (tai sen valitsemien riippumattomien tai puolueettomien tarkastuselimien tai tarkastajien, joiden valintaa tietojen tuoja ei ole perustellusti vastustanut) tutkittaviksi, tarkastettaviksi ja/tai sertifioitaviksi, jotta varmistetaan lausekkeiden mukaisten takeiden ja sitoumusten noudattaminen; tarkastuksesta on ilmoitettava kohtuullisessa ajassa etukäteen ja se on tehtävä tavanomaisena työaikana. Pyyntö edellyttää tietojen tuojan sijoittautumismaan sääntely- tai valvontaviranomaiselta mahdollisesti tarvittavaa suostumusta tai hyväksyntää, jonka tietojen tuoja pyrkii saamaan mahdollisimman pikaisesti;

h) se käsittelee henkilötietoja valintansa mukaan i) tietojen viejän sijoittautumismaan tietosuojalakien mukaisesti; tai ii) direktiivin 95/46/EY 25 artiklan 6 kohdan nojalla tehdyn minkä tahansa komission päätöksen asiaa koskevien säännösten ( 5 ) mukaisesti, jolloin tietojen tuoja noudattaa tällaisen luvan tai päätöksen asiaa koskevia säännöksiä ja on sijoittautunut maahan, jossa tällaista lupaa tai päätöstä sovelletaan, mutta ei kuulu luvan tai päätöksen soveltamisalaan henkilötietojen siirtojen ( 6 ) osalta; tai iii) liitteessä A esitettyjen tiedonkäsittelyperiaatteiden mukaisesti. Tietojen tuojan valitsema vaihtoehto: Tietojen tuojan nimikirjaimet: _;

i) se ei luovuta tai siirrä henkilötietoja Euroopan talousalueen (ETA:n) ulkopuolella sijaitsevalle kolmantena osapuolena olevalle rekisterinpitäjälle ilmoittamatta siirrosta tietojen viejälle, ja i) kolmantena osapuolena oleva rekisterinpitäjä käsittelee henkilötietoja komission sellaisen päätöksen mukaisesti, jossa kolmannen maan todetaan takaavan riittävä henkilötietojen suoja; tai ii) kolmantena osapuolena oleva rekisterinpitäjä allekirjoittaa nämä lausekkeet tai jonkin muun tiedonsiirtosopimuksen, jonka toimivaltainen viranomainen hyväksyy EU:ssa; tai iii) rekisteröidyillä on ollut mahdollisuus vastustaa tietojen käsittelyä, kun heille on ilmoitettu siirron tarkoituksista, vastaanottajien ryhmistä ja siitä, että maissa, joihin tietoja viedään, saattaa olla erilaiset tietosuojavaatimukset; tai iv) arkaluontoisten tietojen edelleensiirtojen osalta rekisteröidyt ovat antaneet yksiselitteisen suostumuksen edelleensiirtoa varten.

III. Vastuu ja kolmannen osapuolen oikeudet

a) Kumpikin sopimuspuoli on vastuussa toiselle sopimuspuolelle vahingoista, jotka ovat aiheutuneet näiden lausekkeiden rikkomisesta. Sopimuspuolten välinen vastuu rajoittuu todellisuudessa kärsittyihin vahinkoihin. Rankaisevat vahingonkorvaukset (eli vahingonkorvaukset, joilla on tarkoitus rangaista sopimuspuolta sopimattomasta käytöksestä) on nimenomaisesti jätetty soveltamisalan ulkopuolelle. Kumpikin sopimuspuoli on vastuussa rekisteröidyille vahingoista, jotka ovat aiheutuneet siitä, että sopimuspuolet ovat rikkoneet näiden lausekkeiden mukaisia kolmannen osapuolen etua suojaavia oikeuksia. Tämä ei vaikuta tietojen viejän vastuuseen siihen sovellettavan tietosuojalain mukaisesti.

b) Sopimuspuolet sopivat, että rekisteröidyllä – kolmantena osapuolena olevana edunsaajana – on oikeus vaatia tietojen tuojaa tai tietojen viejää panemaan tämä lauseke ja lausekkeet I b, I d, I e, II a, II c, II d, II e, II h, II i, III a, V, VI d ja VII täytäntöön, jos ne ovat rikkoneet sopimusvelvoitteitaan rekisteröidyn henkilötietojen osalta, ja hyväksyvät tietojen viejän sijoittautumismaan tuomiovallan asiassa. Tapauksissa, joissa esitetään väitteitä tietojen tuojan sopimusrikkomuksesta, rekisteröidyn täytyy ensin pyytää tietojen viejää toteuttamaan asianmukaiset toimet, jotta tietojen tuoja panisi rekisteröidyn oikeudet täytäntöön; ellei tietojen viejä toteuta tällaisia toimia kohtuullisen ajan kuluessa (joka tavanomaisissa olosuhteissa olisi yksi kuukausi), rekisteröity voi vaatia oikeuksiensa täytäntöönpanoa suoraan tietojen tuojalta. Rekisteröidyllä on oikeus ryhtyä oikeustoimiin suoraan sellaista tietojen viejää vastaan, joka ei ole pyrkinyt parhaansa mukaan varmistamaan, että tietojen tuoja pystyy täyttämään lausekkeiden mukaiset oikeudelliset velvoitteensa (tietojen viejällä on todistustaakka osoittaa, että se on toiminut parhaan kykynsä mukaan).

IV. Lausekkeisiin sovellettava lainsäädäntö

Näihin lausekkeisiin sovelletaan sen maan lainsäädäntöä, johon tietojen viejä on sijoittautunut; poikkeuksena ovat lausekkeen II kohdan h mukaiset tietojen tuojan harjoittamaa tietojen käsittelyä koskevat lait ja asetukset, joita sovelletaan vain, jos tietojen tuoja on niin valinnut kyseisen lausekkeen mukaisesti.

V. Riitojen ratkaisu rekisteröityjen tai viranomaisen kanssa

a) Kun kyseessä on rekisteröidyn tai viranomaisen esiin ottama henkilötietojen käsittelyä koskeva riita-asia tai vaatimus, joka kohdistuu toiseen tai molempiin sopimuspuoliin, sopimuspuolet ilmoittavat toisilleen tällaisista riita-asioista tai vaatimuksista ja tekevät yhteistyötä, jotta niissä päästäisiin sovintoratkaisuun mahdollisimman pikaisesti.

b) Sopimuspuolet sopivat vastaavansa yleisesti käytössä olevaan ei-sitovaan välitysmenettelyyn, jonka rekisteröity tai viranomainen on käynnistänyt. Jos sopimuspuolet osallistuvat menettelyyn, ne voivat tehdä niin olematta paikan päällä (esimerkiksi puhelimitse tai muuta sähköistä välinettä käyttäen). Sopimuspuolet sopivat myös, että ne harkitsevat osallistumista muuhun sovittelu-, välitys- tai riitojenratkaisumenettelyyn, joka on tarkoitettu tietosuojariitoja varten.

c) Sopimuspuolet noudattavat tietojen viejän sijoittautumismaan toimivaltaisen tuomioistuimen tai viranomaisen päätöstä, joka on lopullinen ja josta ei voi valittaa.

VI. Sopimuksen päättyminen

a) Jos tietojen tuoja rikkoo näiden lausekkeiden mukaisia velvoitteitaan, tietojen viejä voi tilapäisesti keskeyttää henkilötietojen siirron tietojen tuojalle, kunnes rikkominen päättyy, tai sopimus päätetään.

b) Siinä tapauksessa, että i) tietojen viejä on tilapäisesti keskeyttänyt henkilötietojen siirron tietojen tuojalle yli kuukaudeksi kohdan a mukaisesti, ii) lausekkeiden noudattamisen vuoksi tietojen tuoja rikkoisi lainsäädäntöön tai sääntelyyn perustuvia velvoitteitaan tuontimaassa, iii) tietojen tuoja rikkoo merkittävästi tai jatkuvasti näiden lausekkeiden mukaisesti antamiaan takeita tai sitoumuksia, iv) tietojen viejän sijoittautumismaan toimivaltainen tuomioistuin tai viranomainen on tehnyt lopullisen päätöksen, josta ei voi valittaa ja jonka mukaan tietojen tuoja tai tietojen viejä on rikkonut lausekkeita, tai v) tietojen tuojan – joko yksityishenkilönä tai yrityksenä – toiminnan lopettamiseksi tai selvitystilaan asettamiseksi on esitetty kanne, jota ei ole hylätty sovellettavassa lainsäädännössä hylkäämiselle asetetussa määräajassa; on tehty lopettamismääräys; sen varoja valvomaan on nimitetty väliaikainen pesänhoitaja; on nimitetty konkurssipesän hoitaja, jos tietojen tuoja on yksityishenkilö; on aloitettu vapaaehtoinen yritysjärjestely; tai jokin vastaava tapahtuma on käynnistetty jollakin lainkäyttöalueella, tietojen viejällä on oikeus päättää näiden lausekkeiden voimassaolo, sanotun rajoittamatta muiden oikeuksien täytäntöönpanoa tietojen tuojaa vastaan, jolloin viranomaiselle ilmoitetaan tarvittaessa. Tapauksissa, joita koskevat edellä olevat kohdat i, ii tai iv, myös tietojen tuoja voi päättää lausekkeiden voimassaolon.

c) Sopimuspuolet voivat päättää lausekkeiden voimassaolon, jos i) direktiivin 95/46/EY 25 artiklan 6 kohdan (tai muun korvaavan tekstin) nojalla komissio tekee tietosuojan riittävää tasoa koskevan myönteisen päätöksen sen maan (tai siellä olevan toimialan) osalta, johon tiedot on siirretty ja jossa tietojen tuoja on ne käsitellyt tai ii) direktiivistä 95/46/EY (tai muusta korvaavasta tekstistä) tulee suoraan sovellettava kyseisessä maassa.

d) Sopimuspuolet sopivat, että näiden lausekkeiden voimassaolon päättäminen milloin tahansa, missä tahansa olosuhteissa ja mistä tahansa syystä (lukuun ottamatta lausekkeen VI kohdan c mukaista päättämistä) ei vapauta sopimuspuolia näiden lausekkeiden mukaisista velvoitteista ja/tai ehdoista siirrettyjen henkilötietojen käsittelyn osalta.

VII. Lausekkeiden muuttaminen

Sopimuspuolet eivät saa muuttaa näitä lausekkeita lukuun ottamatta liitteeseen B sisältyvien tietojen päivittämistä, missä tapauksessa niiden on ilmoitettava viranomaiselle tarvittaessa. Tämä ei estä sopimuspuolia lisäämästä uusia kaupallisia lausekkeita tarvittaessa.

VIII. Siirron kuvaus

Siirtoa ja henkilötietoja koskevat yksityiskohdat esitetään liitteessä B. Sopimuspuolet sopivat, että liitteeseen B voi sisältyä liiketoimintaan liittyvää luottamuksellista tietoa, jota ne eivät paljasta kolmansille osapuolille, paitsi jos sitä vaaditaan lainsäädännössä tai vastauksessa toimivaltaiselle sääntelyviranomaiselle tai valtion virastolle taikka lausekkeen I kohdan e mukaisesti. Sopimuspuolet voivat ottaa käyttöön lisäsiirtojen kattamiseksi lisäliitteitä, jotka on toimitettava viranomaiselle tarvittaessa. Vaihtoehtoisesti liite B voidaan laatia kattamaan useita siirtoja.

Päiväys: _

_

_

TIETOJEN TUOJAN PUOLESTA

TIETOJEN VIEJÄN PUOLESTA

…

…

…

…

…

…

LIITE A

TIETOJEN KÄSITTELYÄ KOSKEVAT PERIAATTEET

1. Tarkoituksen rajoittaminen – Henkilötietoja saa käsitellä ja sen jälkeen käyttää tai luovuttaa edelleen ainoastaan liitteessä B esitettyjä tarkoituksia varten tai jos rekisteröity on antanut siihen luvan.

2. Tiedon laatu ja suhteellisuus – Henkilötietojen on oltava täsmällisiä ja ne on tarvittaessa saatettava ajan tasalle. Henkilötietojen on oltava asianmukaisia ja olennaisia eikä niitä saa olla liikaa suhteessa siirron tai edelleen käsittelyn tarkoituksiin.

3. Avoimuus – Rekisteröidyille on annettava tarvittavat tiedot oikeudenmukaisen käsittelyn varmistamiseksi (kuten tiedot käsittelyn tarkoituksista ja siirrosta), ellei tietojen viejä ole jo antanut näitä tietoja.

4. Turvallisuus ja luottamuksellisuus – Rekisterinpitäjän on huolehdittava teknisistä ja organisatorisista toimenpiteistä, jotka ovat asianmukaisia käsittelystä aiheutuviin riskeihin nähden, kuten tietojen vahingossa tapahtuva tai laiton tuhoaminen, vahingossa tapahtuva häviäminen, muuttaminen, luvaton luovuttaminen tai antaminen. Rekisterinpitäjän lukuun toimiva henkilö, myös henkilötietojen käsittelijä, saa käsitellä tietoja ainoastaan rekisterinpitäjän luvalla.

5. Tietojen saantia, oikaisemista, poistamista ja käsittelyn vastustamista koskevat oikeudet – Direktiivin 95/46/EY 12 artiklan mukaisesti rekisteröidyille on – joko suoraan tai kolmannen osapuolen kautta – annettava heitä koskevat henkilötiedot, jotka organisaatiolla on hallussaan, lukuun ottamatta pyyntöjä, jotka ovat selvästi kohtuuttomia kohtuuttoman tiheytensä tai lukumääränsä taikka toistuvan tai järjestelmällisen luonteensa vuoksi tai jotka koskevat tietoja, joita ei tarvitse antaa tietojen viejän sijoittautumismaan lainsäädännön mukaisesti. Sillä edellytyksellä, että viranomainen on antanut etukäteen hyväksyntänsä, tietoja ei tarvitse myöskään antaa silloin, kun se todennäköisesti vahingoittaisi vakavasti tietojen tuojan tai muiden tietojen tuojan kanssa toimivien organisaatioiden etuja ja kun rekisteröidyn intressit ja perusoikeudet ja -vapaudet eivät syrjäytä näitä etuja. Henkilötietojen lähteitä ei tarvitse ilmoittaa, jos se ei ole mahdollista ilman kohtuutonta vaivaa tai jos muiden kuin kyseisen henkilön oikeuksia rikottaisiin. Rekisteröityjen on voitava saada heitä koskevat henkilötiedot oikaistuksi, muutetuksi tai poistetuksi, jos ne ovat epätarkkoja tai niitä on käsitelty näiden periaatteiden vastaisesti. Jos on perusteltuja syitä epäillä, että pyyntö ei ole oikeutettu, organisaatio voi pyytää lisäperusteita ennen oikaisun, muutoksen tai poiston tekemistä. Oikaisusta, muutoksesta tai poistosta ei tarvitse ilmoittaa kolmansille osapuolille, joille tiedot on luovutettu, jos siitä aiheutuu kohtuutonta vaivaa. Rekisteröidyn on lisäksi voitava vastustaa itseään koskevien tietojen käsittelyä tilanteeseensa liittyvien huomattavan tärkeiden ja perusteltujen syiden vuoksi. Kieltäytymisen osalta todistustaakka on tietojen tuojalla, ja rekisteröity voi aina tehdä valituksen kieltäytymisestä viranomaiselle.

6. Arkaluonteiset tiedot – Tietojen tuoja toteuttaa (esim. tietoturvaan liittyviä) lisätoimenpiteitä, jotka ovat tarpeen arkaluonteisten tietojen suojaamiseksi lausekkeen II mukaisten velvoitteiden nojalla.

7. Markkinointiin tarkoitetut tiedot – Kun tietoja käsitellään suoramarkkinointia varten, käytettävissä on oltava tehokkaat menettelyt, joiden avulla rekisteröity voi milloin tahansa kieltää henkilötietojensa käytön sellaisiin tarkoituksiin.

8. Automatisoidut päätökset – Näissä lausekkeissa ”automatisoidulla päätöksellä” tarkoitetaan tietojen viejän tai tietojen tuojan päätöstä, josta aiheutuu rekisteröityä koskevia oikeudellisia vaikutuksia tai joka merkittävästi vaikuttaa rekisteröityyn ja joka perustuu yksinomaan henkilötietojen automatisoituun käsittelyyn, jolla on tarkoitus arvioida tiettyjä rekisteröityyn liittyviä henkilökohtaisia ominaisuuksia, esimerkiksi hänen työsuoritustaan, luottokelpoisuuttaan, luotettavuuttaan tai käytöstään. Tietojen tuoja ei saa tehdä mitään rekisteröityjä koskevia automatisoituja päätöksiä, paitsi jos i) tietojen tuoja tekee tällaisia päätöksiä tehdessään sopimuksen rekisteröidyn kanssa tai pannessaan sopimusta täytäntöön ja ii) rekisteröidylle annetaan mahdollisuus keskustella kyseisen automatisoidun päätöksen tuloksista päätöksen tekevän osapuolen edustajan kanssa tai muutoin esittää kantansa kyseiselle osapuolelle; a) tai b) jos muutoin säädetään tietojen viejään sovellettavassa lainsäädännössä.

LIITE B

SIIRRON KUVAUS

(sopimuspuolet täyttävät)

KAUPALLISIA ESIMERKKILAUSEKKEITA (VAPAAEHTOINEN)

Korvausvelvollisuus tietojen viejän ja tietojen tuojan välillä:

”Sopimuspuolet korvaavat toisilleen ja ottavat vastatakseen toisilleen aiheuttamansa kustannukset, kulut, vahingot, menetykset tai tappiot, jotka johtuvat näiden lausekkeiden määräysten rikkomisesta. Tällainen korvaus edellyttää, että a) korvauksen saava sopimuspuoli (’saava sopimuspuoli’) ilmoittaa välittömästi muille sopimuspuolille (’maksavalle sopimuspuolelle’) korvausvaatimuksesta, b) maksava sopimuspuoli huolehtii yksin korvausvaatimukseen vastaamisesta ja sen sovittelusta ja c) saava sopimuspuoli tarjoaa kohtuullista yhteistyötä ja apua maksavalle sopimuspuolelle korvausvaatimukseen vastaamisessa.”

Riitojenratkaisu tietojen viejän ja tietojen tuojan välillä (sopimuspuolet voivat tietenkin korvata tämän millä tahansa muulla vaihtoehtoista riidanratkaisua koskevalla lausekkeella tai oikeuspaikkalausekkeella):

”Jos tietojen tuojan ja tietojen viejän välillä syntyy riita näiden lausekkeiden väitetystä rikkomisesta, riita ratkaistaan lopullisesti kansainvälisen kauppakamarin sovittelu- ja välimiesmenettelysääntöjen mukaisesti nimettyjen yhden tai useamman sovittelijan päätöksellä. Sovittelupaikka on [ ]. Sovittelijoiden lukumäärä on [ ].”

Kulujen jakaminen:

”Sopimuspuolet hoitavat lausekkeiden mukaiset velvoitteensa omalla kustannuksellaan.”

Lausekkeiden irtisanomista koskeva lisälauseke:

”Jos nämä lausekkeet irtisanotaan, tietojen tuojan on palautettava tietojen viejälle kaikki henkilötiedot ja kopiot henkilötiedoista, joihin näitä lausekkeita sovelletaan, tai tietojen viejän valinnan mukaan hävitettävä kaikki kopiot kyseisistä henkilötiedoista ja todistettava tietojen viejälle, että se on tehnyt niin, elleivät kansalliset lait tai paikallinen sääntely estä tietojen tuojaa hävittämästä tai palauttamasta tällaisia tietoja kokonaan tai osittain, missä tapauksessa tiedot pidetään luottamuksellisina eikä niitä käsitellä aktiivisesti mitään tarkoituksia varten. Tietojen tuoja suostuu siihen, että tietojen viejän pyynnöstä se sallii tietojen viejän tai tietojen viejän valitseman tarkastuselimen, jota tietojen tuojalla ei ole perusteltua syytä vastustaa, pääsyn tiloihinsa varmistamaan, että näin on tehty; tarkastuksesta on ilmoitettava kohtuullisessa ajassa etukäteen ja se on tehtävä tavanomaisena työaikana.”