2001D0497 — HR — 01.04.2005 — 001.002

No

▼B

ODLUKA KOMISIJE

od 15. lipnja 2001.

o standardnim ugovornim klauzulama za prijenos osobnih podataka u treće zemlje, u skladu s Direktivom 95/46/EZ

(objavljeno u skladu s dokumentom broj C(2001) 1539)

(Tekst značajan za EGP)

(2001/497/EZ)

Solidarna i pojedinačna odgovornost ne odnosi se na one odredbe koje nisu obuhvaćene klauzulom o pravima trećih i da ne treba odrediti da jedna ugovorna strana nadoknađuje štetu koja proizlazi iz nezakonite obrade podataka od strane druge ugovorne stranke. Iako uzajamna naknada štete između ugovornih strana nije uvjet za dostatnost razine zaštite ispitanika i stoga može biti izbrisana, ona je uključena u standardne ugovorne klauzule radi pojašnjenja i radi izbjegavanja potrebe da ugovorne stranke posebno pregovaraju o odredbama o naknadi štete.

Mjerodavno pravo za ugovor treba biti pravo države članice u kojoj je osnovan iznositelj podataka, kako bi se trećoj ovlaštenoj strani omogućilo da osigura provedbu ugovora. Ispitanicima se treba omogućiti da ih se zastupa putem udruga ili drugih tijela, ako to žele i ako je to dopušteno prema nacionalnom pravu.

Podaci se trebaju obrađivati i nakon toga koristiti ili prosljeđivati samo za određene potrebe i ne trebaju se čuvati duže nego što je to potrebno.

Standardne ugovorne klauzule samo su jedna od nekoliko mogućnosti, prema Direktivi 95/46/EZ, zajedno s člankom 25. i člankom 26. stavcima 1. i 2., zakonitog iznošenja osobnih podataka u treće zemlje. Organizacijama će biti jednostavnije iznositi osobne podatke u treće zemlje unošenjem standardnih ugovornih klauzula u ugovor. Standardne ugovorne klauzule odnose se samo na zaštitu podataka. Iznositelj podataka i primatelj podataka slobodno uključuju sve druge klauzule poslovne prirode, kao što su klauzule o uzajamnoj pomoći u slučajevima sporova s ispitanicima ili nadzornim tijelom, koje oni smatraju primjerenima za ugovor dokle god one nisu u suprotnosti sa standardnim ugovornim klauzulama.

Članak 1.

Smatra se da standardne ugovorne klauzule navedene u Prilogu pružaju odgovarajuću razinu zaštite u pogledu zaštite privatnosti i temeljnih prava i sloboda pojedinaca te u pogledu ostvarivanja odgovarajućih prava, kako je to određeno u članku 26. stavku 2. Direktive 95/46/EZ.

▼M1

Nadzornici podataka mogu izabrati bilo koji od skupova I. ili II. iz Priloga koji je tiskan uz ovu Odluku i njezin je sastavni dio. Međutim, ne mogu mijenjati klauzule niti povezivati pojedine klauzule ili skupove.

▼B

Članak 2.

Ova Odluka odnosi se samo na dostatnost razine zaštite koju pružaju standardne ugovorne klauzule za iznošenje osobnih podataka koje su navedene u Prilogu. Ona ne utječe na primjenu drugih odredaba nacionalnog prava kojima se primjenjuje Direktiva 95/46/EZ, a koje su u vezi s obradom osobnih podataka u državama članicama.

Ova se Odluka ne primjenjuje na iznošenje osobnih podataka od strane voditelja zbirke osobnih podataka osnovanih u Zajednici primateljima osnovanima izvan područja Zajednice koji djeluju samo kao izvršitelji obrade.

Članak 3.

Za potrebe ove Odluke:

(c) „nadzorno tijelo” znači tijelo navedeno u članku 28. te Direktive;

Članak 4.

1. Bez utjecaja na njihova ovlaštenja da poduzmu radnje radi osiguranja postupanja u skladu s odredbama nacionalnog prava donesenima na temelju poglavlja II., III., V. i VI. Direktive 95/46/EZ, nadzorna tijela u državama članicama mogu koristiti njihova postojeća prava na zabranu ili obustavu iznošenja podataka u treće zemlje radi zaštite pojedinaca u pogledu obrade njihovih osobnih podataka kada:

(a) se utvrdi da pravo koje je mjerodavno za primatelja podataka njemu određuje zahtjeve za odstupanje od relevantnih pravila za zaštitu podataka koji nadilaze ograničenja potrebna u demokratskom društvu, kako je to određeno u članku 13. Direktive 95/46/EZ, kad je vjerojatno da će takvi zahtjevi bitno štetno utjecati na jamstva koja pružaju standardne ugovorne klauzule; ili

(c) postoji velika vjerojatnost da se ne poštuju ili da se neće poštovati standardne ugovorne klauzule sadržane u Prilogu te da bi nastavak iznošenja podataka stvorio rizik od nastanka znatne štete za ispitanike.

▼M1

2. Za potrebe stavka 1. ovoga članka, kada nadzornik podataka navodi dostatne mjere zaštite na temelju standardnih ugovornih klauzula iz skupa II. Priloga koji je tiskan uz ovu Odluku i njezin je sastavni dio, nadležna tijela za zaštitu podataka imaju pravo koristiti svoje postojeće ovlasti radi zabrane ili obustave prijenosa podataka u bilo kojem od sljedećih slučajeva:

Za potrebe podstavka 1. ovoga stavka, zlonamjerno odbijanje ili odbijanje izvršenja ugovora od strane uvoznika podataka ne uključuje slučajeve u kojima su suradnja ili izvršavanje u suprotnosti s obveznim zahtjevima nacionalnog zakonodavstva važećeg za uvoznika podataka koji ne prelaze ono što je potrebno u demokratskom društvu na temelju jednog od interesa iz članka 13. stavka 1. Direktive 95/46/EZ, posebno sankcije iz međunarodnih i/ili nacionalnih instrumenata, zahtjeve za podnošenje porezne prijave ili zahtjeve izvješćivanjem o borbi protiv pranja novca.

Za potrebe podstavka 1. točke (a) ovog stavka, suradnja osobito može uključivati reviziju sredstava obrade podataka uvoznika podataka ili obvezu poštivanja savjeta nadležnog nadzornog tijela u Zajednici.

3. Zabrana ili privremeni prekid u skladu sa stavcima 1. i 2. ovoga članka prestaju važiti kada prestanu postojati razlozi za zabranu ili privremeni prekid.

4. Kada države članice donose mjere u skladu sa stavcima 1., 2. i 3. ovoga članka, one o tome odmah obavješćuju Komisiju koja taj podatak prosljeđuje ostalim državama članicama.

▼B

Članak 5.

►M1 Komisija ocjenjuje provedbu ove Odluke na temelju dostupnih podataka tri godine nakon njezine notifikacije i notifikacije o svakoj njezinoj izmjeni državama članicama. ◄ Komisija će ponijeti izvješće o primjeni Odboru osnovanom prema članku 31. Direktive 95/46/EZ u koje će uključiti bilo koji dokaz koji bi mogao utjecati na ocjenu prikladnosti standardnih ugovornih klauzula u Prilogu i bilo koji dokaz o diskriminirajućoj primjeni ove Odluke.

Članak 6.

Ova se Odluka primjenjuje od 3. rujna 2001.

Članak 7.

Ova je Odluka upućena državama članicama.

PRILOG

▼M1

SKUP I.

▼B

Dodatak 1.

standardnim ugovornim klauzulama

Dodatak 2.

standardnim ugovornim klauzulama

Obvezujuća načela zaštite podataka navedena u prvom stavku Klauzule 5.(b)

Ova načela zaštite podataka trebaju se čitati i tumačiti u svjetlu odredaba (načela i relevantnih iznimaka) Direktive 95/46/EZ.

Ona se primjenjuju podložno obvezujućim odredbama nacionalnog prava koje je mjerodavno za primatelja podataka, a koje nadilaze ono što je potrebno u demokratskom društvu na osnovi jednog od interesa navedenih u članku 13. stavku 1. Direktive 95/46/EZ tj. ako oni predstavljaju mjeru potrebnu za zaštitu nacionalne sigurnosti, obranu, javnu sigurnost, prevenciju, istragu, otkrivanje i progon kaznenih djela ili povreda etičkih pravila za određena uređena zanimanja, važnih gospodarskih ili financijskih interesa države ili za zaštitu ispitanika ili prava i sloboda drugih.

1. Ograničenje svrhe: podaci se moraju obrađivati i kasnije koristiti ili prosljeđivati samo za svrhe navedene u Dodatku I. klauzulama. Podaci se ne smiju čuvati duže nego što je to potrebno za svrhe radi kojih se iznose.

2. Kvaliteta i proporcionalnost podataka: podaci moraju biti točni i, kad je to potrebno, moraju se ažurirati. Podaci moraju biti prikladni, relevantni i umjereni u odnosu na svrhe radi kojih se iznose i dalje obrađuju.

3. Transparentnost: ispitanici moraju biti obaviješteni o svrhama obrade podataka i o identitetu voditelja zbirke podataka u trećoj zemlji te o drugim podacima u mjeri u kojoj je to potrebno kako bi se osigurala poštena obrada podataka, osim ako je te informacije već pružio iznositelj podataka.

5. Pravo na uvid, izmjenu, brisanje ili blokiranje podataka: kako je to određeno u članku 12. Direktive 95/46/EZ, ispitanik mora imati pravo na uvid u sve podatke koji se na njega odnose i koji se obrađuju te, u mjeri u kojoj je to prikladno, pravo na izmjenu, brisanje ili blokiranje podataka čija obrada ne udovoljava načelima navedenima u ovom Dodatku, posebno zbog nepotpunosti ili netočnosti podataka. Ispitanik također treba imati pravo prigovoriti obradi podataka koji se na njega odnose zbog određenih zakonom koji se odnose na njegovu posebnu situaciju.

9. Odluke o automatskoj obradi osobnih podataka: ispitanici imaju pravo ne biti predmet odluke koja se isključivo temelji na automatskoj obradi podataka, osim ako se poduzmu druge mjere radi zaštite legitimnih interesa pojedinca, kako je to predviđeno u članku 15. stavku 2. Direktive 95/46/EZ. Kad je svrha iznošenja donošenje odluke o automatskoj obradi, kako je to navedeno u članku 15. Direktive 95/46/EZ, koja proizvodi pravne učinke u pogledu pojedinca ili koja bitno utječe na pojedinca, a koja se isključivo temelji na automatskoj obradi podataka namijenjenoj za ocjenjivanje određenih aspekata njegove osobnosti, kao što je radna sposobnost, kreditna sposobnost, pouzdanost, ponašanje itd., pojedinac treba imati pravo znati razloge za donošenje takve odluke.

Dodatak 3.

standardnim ugovornim klauzulama

Obvezujuća načela zaštite podataka navedena u drugom stavku Klauzule 5.(b)

1. Ograničenje svrhe: podaci se moraju obrađivati i kasnije koristiti ili prosljeđivati samo za svrhe navedene u Dodatku I. klauzulama. Podaci se ne smiju čuvati duže nego što je to potrebno za svrhe radi kojih se iznose.

2. Pravo na uvid, izmjenu, brisanje ili blokiranje podataka: kako je to određeno u članku 12. Direktive 95/46/EZ, ispitanik mora imati pravo na uvid u sve podatke koji se na njega odnose i koji se obrađuju te, u mjeri u kojoj je to prikladno, pravo na izmjenu, brisanje ili blokiranje podataka čija obrada ne udovoljava načelima navedenima u ovom Dodatku, posebno zbog nepotpunosti ili netočnosti podataka. Ispitanik također treba imati pravo prigovoriti obradi podataka koji se na njega odnose zbog određenih zakonom koji se odnose na njegovu posebnu situaciju.

▼M1

SKUP II.

Standardne ugovorne klauzule za prijenos osobnih podataka iz Zajednice u treće zemlje (prijenosi od nadzornika do nadzornika)

Sporazum o prijenosu podataka

između

… (naziv)

… (adresa i država poslovnog nastana)

u daljnjem tekstu „izvoznik podataka”)

i

… (naziv)

… (adresa i država poslovnog nastana)

u daljnjem tekstu „uvoznik podataka”

pojedinačno „stranka”; zajedno „stranke”.

Pojmovi

Za potrebe klauzula:

(c) „uvoznik podataka” je nadzornik koji je suglasan s tim da od izvoznika podataka zaprimi osobne podatke radi daljnje obrade u skladu s uvjetima ovih klauzula te koji ne podliježe sustavu treće zemlje za osiguranjem dostatne zaštite;

Podrobnosti prijenosa (kao i obuhvaćeni osobni podaci) navedene su u Prilogu B, koji je sastavni dio klauzula.

I. Obveze izvoznika podataka

Izvoznik podataka jamči i obvezuje se da:

(c) uvozniku podataka osigura preslike mjerodavnih zakona o zaštiti podataka ili upute na njih (gdje je potrebno i ne uključujući pravni savjet) one države u kojoj izvoznik podataka ima poslovni nastan;

II. Obveze uvoznika podataka

Uvoznik podataka jamči i obvezuje se na sljedeće:

(c) kako nema razloga sumnjati, u trenutku prihvaćanja ovih klauzula, u postojanje bilo kakvih lokalnih propisa koji bi imali značajan suprotni učinak na jamstva predviđena ovim klauzulama te da će izvoznika podataka (koji takve obavijesti prosljeđuje nadležnim tijelima prema potrebi) obavijestiti ako uoči postojanje takvih zakona;

III. Odgovornost i prava trećih stranaka

(a) Svaka stranka je ostalim strankama odgovorna za štetu koju učini bilo kakvim povredom ovih klauzula. Odgovornost među strankama je ograničena na stvarnu počinjenu štetu. Dodatna odšteta (tj. obeštećivanje s namjerom kažnjavanja stranke zbog neprimjerenog postupanja) je izrijekom isključena. Svaka je stranka pojedincima na koje se osobni podaci odnose odgovorna za štetu koju prouzroči povredom prava trećih na temelju ovih klauzula. To ne utječe na odgovornost izvoznika podataka prema pravu o zaštiti podataka;

IV. Pravo koje se primjenjuje na klauzule

Ove su klauzule uređene zakonodavstvom države u kojoj izvoznik podataka ima poslovni nastan, s izuzetkom zakona i propisa koji se odnose na obradu osobnih podataka od strane uvoznika podataka na temelju klauzule II(h), koji važe samo u slučaju ako je uvoznik podataka tako odlučio prema toj klauzuli.

V. Rješavanje sporova s pojedincima na koje se osobni podaci odnose ili nadležnim tijelima

(c) Svaka stranka poštuje odluku nadležnog suda države u kojoj izvoznik podataka ima poslovni nastan ili nadležnog tijela, koja je konačna i protiv koje se ne može izjaviti žalba.

VI. Prestanak

iv. konačne odluke nadležnog suda u državi u kojoj izvoznik podataka ima poslovni nastan protiv koje nije moguće izjaviti žalbu ili propisa nadležnog tijela iz te države u kojoj se navodi da je došlo do povrede klauzula od strane uvoznika ili izvoznika podataka; ili

(c) Bilo koja stranka može raskinuti ove klauzule u slučaju da i. Komisija donese bilo koju odluku na temelju članka 25. stavka 6. Direktive 95/46/EZ (ili bilo kojeg nadomjesnog teksta) u vezi s državom (ili njezinim područjem) u kojoj uvoznik podataka prenosi i obrađuje podatke, ili ii. Direktiva 95/46/EZ (ili bilo koji nadomjesni tekst) postane neposredno primjenjiva u toj državi;

VII. Izmjene ovih klauzula

Stranke ne smiju mijenjati ove klauzule osim radi upotpunjavanja bilo kojih podataka u Prilogu B, pri čemu prema potrebi obavješćuju nadležna tijela. Ovo ne isključuje eventualno dodavanje dodatnih trgovačkih klauzula.

VIII. Opis prijenosa

Podrobnosti prijenosa i osobnih podataka su navedene u Prilogu B. Stranke su suglasne da Prilog B može sadržavati povjerljive poslovne podatke koje neće otkrivati trećima, osim ako to ne zahtijeva zakon ili kao odgovor nadležnom nadzornom tijelu ili vladinoj agenciji, ili ako to zahtijeva klauzula I(e). Stranke mogu uporabiti dodatne priloge radi obuhvaćanja dodatnih prijenosa, koji će prema potrebi biti podneseni nadležnom tijelu. Prilog B može, alternativno, biti sastavljen tako da obuhvaća višestruke prijenose.

PRILOG A

NAČELA OBRADE PODATAKA

5. Prava pristupa, ispravljanja, brisanja i primjedbi: Kako je predviđeno člankom 12. Direktive 95/46/EZ, pojedincima na koje se osobni podaci odnose izravno ili preko treće strane moraju biti pruženi osobni podaci koje organizacija o njima posjeduje, osim za zahtjeve koji su očito neprimjereni, temeljeni na nerazumnim rokovima ili njihovom broju, ili se ponavljaju, ili do kojih je pristup onemogućen prema zakonodavstvu države izvoznika podataka. Pristup ne mora biti odobren u slučaju da su nadležna tijela prethodno dala dopuštenje, ako postoji mogućnost stvarnog ugrožavanja interesa uvoznika podataka ili ostalih organizacija koje posluju s uvoznikom podataka i takvi interesi nisu manje važni od interesa osnovnih prava i sloboda pojedinca na kojeg se osobni podaci odnose. Izvori osobnih podataka ne moraju biti navedeni kada to nije moguće uz razumni napor ili kada bi bila ugrožena prava ostalih osoba. Pojedinci na koje se osobni podaci odnose moraju imati mogućnost da se njihovi osobni podaci isprave, izmijene ili izbrišu ako su netočni ili obrađeni protivno ovim načelima. Ako postoje značajni temelji za sumnju u zakonitost zahtjeva, organizacija može zahtijevati daljnja opravdanja prije nego što nastavi s ispravcima, izmjenama ili brisanjem podataka. Nije nužno obavijestiti treće strane kojima su podaci o ispravcima, izmjenama ili brisanju podataka otkriveni ako to uključuje nerazmjeran napor. Pojedinac na kojeg se osobni podaci odnose mora biti u mogućnosti prigovoriti zbog obrade osobnih podataka koji se odnose na njega ako postoje značajni zakonski temelji koji se odnose na njegovu posebnu situaciju. Teret dokaza za bilo kakvo odbijanje snosi uvoznik podataka, pojedinac na kojeg se osobni podaci odnose tome uvijek može prigovoriti pred nadležnim tijelom.