HR Službeni list Europske unije 9

32000D0520



SLUŽBENI LIST EUROPSKE UNIJE 26.07.2000.

ODLUKA KOMISIJE

od 26. srpnja 2000.

sukladno s Direktivom 95/46/EZ Europskog parlamenta i Vijeća o primjerenosti zaštite koju pružaju načela privatnosti „sigurne luke” i uz njih vezana često postavljana pitanja koje je izdalo Ministarstvo trgovine SAD-a

(priopćena pod brojem dokumenta C(2000) 2441)

(Tekst značajan za EGP)

(2000/520/EZ)

KOMISIJA EUROPSKIH ZAJEDNICA,

uzimajući u obzir Ugovor o osnivanju Europske zajednice,

uzimajući u obzir Direktivu 95/46/EZ Europskog Parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (1), a posebno njezin članak 25. stavak 6.,

budući da:

(1) Sukladno s Direktivom 95/46/EZ države članice obvezne su osigurati da se prijenos osobnih podataka u treću zemlju može izvršiti samo ako dotična treća zemlja osigurava primjerenu razinu zaštite i da se zakoni države članice kojima se provode ostale odredbe Direktive poštuju prije prijenosa.

(2) Komisija može utvrditi da treća zemlja osigurava primjerenu razinu zaštite. U tom se slučaju osobni podaci mogu prenositi iz Države članice a da nisu potrebna dodatna jamstva.

(3) Sukladno s Direktivom 95/46/EZ, razinu zaštite podataka trebalo bi procjenjivati s obzirom na sve okolnosti koje okružuju postupak prijenosa podataka ili niz postupaka prijenosa podataka i uzimajući u obzir dane uvjete. Radna skupina za zaštitu pojedinaca pri obradi osobnih podataka osnovana prema toj Direktivi (2) izdala je uputu za izvršenje takvih procjena (3).

(4) S obzirom na različite pristupe zaštiti podataka u trećim zemljama, trebalo bi ocijeniti primjerenost zaštite i izvršiti svaku odluku koja se temelji na članku 25 stavka 6. Direktive 95/46/EZ tako da ne dođe do samovoljne ili neopravdane diskriminacije protiv trećih zemalja ili među trećim zemljama gdje prevladavaju slični uvjeti, ni da se stvore prikrivene prepreke za trgovanje, uvažavajući trenutačne međunarodne obveze Zajednice.

(5) Trebala bi se postići primjerenu razinu zaštite prijenosa podataka iz Zajednice u Sjedinjene Američke Države koju priznaje ova Odluka, ako organizacije poštuju načela zaštite privatnosti „sigurne luke” za zaštitu osobnih podataka koji se prenose iz države članice u Sjedinjene Američke Države (dalje u tekstu „načela”) i često postavljana pitanja koja daju smjernice za provedbu načela koje je izdala Vlada Sjedinjenih Američkih Država 21. srpnja 2000. Nadalje, organizacije bi trebale javno objaviti svoje politike zaštite privatnosti i podlijegati nadležnošću Savezne trgovinske komisije (Federal Trade Commission, FTC), sukladno s odjeljkom 5. Federal Trade Commission Act-a, koji zabranjuje nepravedne ili prijevarne radnje ili postupke u trgovini ili koje utječu na trgovinu, ili podlijegati nadležnosti nekog drugog državnog tijela koje će učinkovito osigurati usklađenost s načelima koja se provode u skladu s često postavljanim pitanjima.

(6) Sektori i/ili obrada podataka koji ne podliježu nadležnosti nijednog vladinog tijela u Sjedinjenim Američkim Državama navedenog u Prilogu VII. ovoj Odluci trebali bi biti izvan područja primjene ove Odluke.

(7) Kako bi se osigurala pravilna primjena ove Odluke, potrebno je da zainteresirane stranke, kao što su osobe čiji se podaci obrađuju, iznositelji podataka i tijela za zaštitu podataka mogu prepoznati organizacije koje poštuju načela i često postavljana pitanja. U tu svrhu Ministarstvo trgovine SAD-a ili njegov ovlašteni predstavnik trebao bi održavati i javnosti učiniti dostupnim popis organizacija koje same potvrđuju svoje poštivanje načela provedenih u skladu s često postavljanim pitanjima koja podliježu nadležnosti barem jednog vladinog tijela navedenog u Prilogu VII. ove Odluke.

(8) U interesu transparentnosti i radi zaštite sposobnost nadležnih tijela u državama članicama da osiguraju zaštitu pojedinaca s obzirom na a obradu njihovih osobnih podataka, potrebno je u ovoj Odluci navesti iznimne okolnosti u kojima suspenzija određenih protoka podataka može biti opravdana, neovisno o pronalaženje primjerene zaštite.

(9) Moguće je da će se morati ponovno razmatrati zaštita privatnosti „sigurne luke” koju su stvorila načela i često postavljana pitanja, s obzirom na iskustvo, razvoj što se tiče zaštite privatnosti u okolnostima u kojima tehnologija stalno olakšava prijenos i obradu osobnih podataka te s obzirom na izvješća uključenih provedbenih tijela o samom provođenju.

(10) Radna skupina za zaštitu pojedinaca u vezi s obradom osobnih podataka, koja je osnovana sukladno s člankom 29. Direktive 95/46/EZ dostavila je mišljenja o razini zaštite koju pružaju načela zaštite privatnosti „sigurne luke”, a koja je uzeta u obzir pri pripremi ove Odluke (4).

(11) Mjere utvrđene u ovoj Odluci u skladu su s mišljenjem Odbora osnovanog sukladno s člankom 31. Direktive 95/46/EZ.

(12) Sukladno s Odlukom Vijeća 1999/468/EZ, a posebno njezinom članku 8., Europski je parlament 5. srpnja 2000. usvojio Rezoluciju A5-0177/2000 o nacrtu odluke Komisije o primjerenosti zaštite koju pružaju „načela zaštite privatnosti sigurne luke” i za njih vezana često postavljana pitanja koje je izdalo Ministarstvo trgovine SAD-a (5). Komisija je preispitala nacrt odluke uzimajući u obzir tu Rezoluciju i zaključila da, iako je Europski parlament izrazio mišljenje da treba napraviti određena poboljšanja u „načelima zaštite privatnosti sigurne luke” i za njih vezanim često postavljanim pitanjima prije nego što se može smatrati da pružaju „primjerenu zaštitu”, nije utvrdio da bi Komisija prekoračila svoje ovlasti usvajanjem ove Odluke,

DONIJELA JE OVU ODLUKU:

Članak 1.

1. Za potrebe članka 25. stavka 2. Direktive 95/46/EZ, u svim aktivnostima koje su obuhvaćene područjem primjene te Direktive, smatra se da „načela privatnosti sigurne luke” (dalje u tekstu „načela”) iz Priloga I. ove Odluke, provedena u skladu sa smjernicama iz često postavljanih pitanja koje je izdalo Ministarstvo trgovine SAD-a 21. srpnja 2000., navedena u Prilogu II. ove Odluke, osiguravaju primjerenu razinu zaštite osobnih podataka, koji se prenose iz Zajednice u organizacije osnovane u Sjedinjenim Američkim Državama, uzimajući u obzir sljedeće dokumente koje je izdalo Ministarstvo trgovine SAD-a:

(a) pregled provedbe „sigurne luke” iz Priloga III.;

(b) memorandum o odštetama za kršenja privatnosti i izričitih ovlasti prema zakonima SAD–a iz Priloga IV.;

(c) pismo od Savezne trgovinske komisije iz Priloga V.;

(d) pismo od Ministarstva prometa SAD-a iz Priloga VI.

2. Kod svakog prijenosa podataka moraju biti zadovoljeni sljedeći uvjeti:

(a) da je organizacija koja prima podatke nedvosmisleno i javno objavila svoju obvezu da poštuje načela provedena u skladu s često postavljanim pitanjima; i

(b) da organizacija podliježe zakonskim ovlastima nekog vladinog tijela u Sjedinjenim Američkim Državama navedenog u Prilogu VII. ovoj Odluci, ovlaštenog da istražuje pritužbe i da ostvari pravnu zaštitu od nepoštenih ili prijevarnih postupaka, kao i naknadu za pojedince, bez obzira na njihovu zemlju boravišta ili državljanstvo, u slučaju nepridržavanja načela provedenih u skladu s često postavljanim pitanjima.

3. Smatra se da je svaka organizacija ispunila uvjete iz stavka 2. ako sama potvrdi svoje pridržavanje načela provedenih u skladu s često postavljanim pitanjima od datuma kad organizacija obavijesti Ministarstvo trgovine SAD-a (ili njegova ovlaštenog predstavnika) o javnoj objavi obveze iz stavka 2. točke (a) i o identitetu vladinog tijela iz stavka 2. točke (b).

Članak 2.

Ova se Odluka odnosi samo na primjerenost zaštite koju pružaju načela provedena u skladu s često postavljanim pitanjima u Sjedinjenim Američkim Državama s ciljem ispunjavanja zahtjeva članka 25. stavka 1. Direktive 95/46/EZ i ne utječe na primjenu ostalih odredaba Direktive koje se odnose na obradu osobnih podataka u državama članicama, a osobito na njezin članak 4.

Članak 3.

1. Ne dovodeći u pitanje svoje ovlasti da poduzimaju radnje koje bi osigurale usklađenost s nacionalnim odredbama usvojenima u skladu s odredbama koje nisu iz članka 25. Direktive 95/46/EZ, nadležna tijela država članica mogu iskoristiti svoje postojeće ovlasti da suspendiraju protok podataka prema organizaciji koja je sama potvrdila svoje pridržavanje načela provedenih u skladu s često postavljanim pitanjima, kako bi zaštitila pojedince s obzirom na obradu njihovih osobnih podataka u slučajevima da:

(a) je vladino tijelo u Sjedinjenim Američkim Državama, iz Priloga VII. ove Odluke, ili neovisni mehanizam pravne zaštite u smislu dopisa (a) provedbenih načela iz Priloga I. ove Odluke utvrdilo da organizacija krši načela provedena u skladu s često postavljanim pitanjima; ili

(b) da postoji stvarna vjerojatnost da se krše načela; ako postoje opravdani razlozi da se vjeruje da dotični mehanizam provedbe ne poduzima ili neće poduzeti primjerene i pravovremene korake da razriješi dotični slučaj; ako bi nastavak prijenosa stvorio trenutačnu opasnost da ozbiljno našteti osobama čiji se podaci obrađuju, te ako su nadležna tijela država članica poduzela odgovarajuće napore da u tim okolnostima obavijeste organizaciju i dala joj mogućnost da se očituje.

Suspenzija prestaje važiti čim se osigura primjena načela provedenih u skladu s često postavljanim pitanjima i čim dotično nadležno tijelo u Zajednici bude o tome obaviješteno.

2. Države članice obavješćuju Komisiju bez odlaganja kada se usvoje mjere na temelju stavka 1.

3. Države članice i Komisija obavješćuju jedne druge o slučajevima kada neka radnja tijela odgovornog za osiguranje usklađenosti s načelima provedenima u skladu s često postavljanim pitanjima ne osigura takvu usklađenost.

4. Ako podaci prikupljeni sukladno stavcima 1., 2. i 3. pruže dokaz da neko tijelo odgovorno za osiguranje usklađenosti s načelima provedenima u skladu s često postavljanim pitanjima u Sjedinjenim Američkim Državama stvarno ne izvršava svoju ulogu, Komisija obavješćuje Ministarstvo trgovine SAD-a i prema potrebi, iznosi prijedloge mjera u skladu s postupkom iz članka 31. Direktive 95/46/EZ radi ukidanja ili suspenzije ove Odluke ili ograničenja njezina područja primjene.

Članak 4.

1. Ova se Odluka može izmijeniti bilo kada uzimajući u obzir iskustva u njezinoj provedbi i/ili ako razinu zaštite koju pružaju načela i često postavljana pitanja usvoji zakonodavstvo SAD-a.

Komisija u svakom slučaju ocjenjuje provedbu ove Odluke na temelju dostupnih informacija tri godine nakon njezina priopćenja državama članicama, te o relevantnim rezultatima izvješćuje Odbor osnovan sukladno s člankom 31. Direktive 95/46/EZ, uključujući sve dokaze koji mogu utjecati na procjenu da odredbe članka 1. ove Odluke pružaju adekvatnu zaštitu u smislu članka 25. Direktive 95/46/EZ te sve dokaze da se ova Odluka provodi na diskriminirajući način.

2. Komisija prema potrebi iznosi nacrt mjera u skladu s postupkom utvrđenim u članku 31. Direktive 95/46/EZ.

Članak 5.

Države članice poduzimaju sve mjere potrebne za usklađivanje s ovom Odlukom najkasnije u 90 dana od dana njezine objave u državama članicama.

Članak 6.

Ova je Odluka upućena državama članicama.

Sastavljeno u Bruxellesu 26. srpnja 2000. Za Komisiju Frederik BOLKESTEIN Član Komisije

(1) SL L 281, 23.11.1995., str. 31.

(2) Internetska adresa radne skupine je:

http://www.europa.eu.int/comm/internal_tržištu/en/media/dataprot/wpdocs/index.htm

(3) RS 12: Prijenosi osobnih podataka u treće zemlje: primjena članaka 25. i 26. Direktive EU-a o zaštiti podataka, koju je donijela radna skupina 24. srpnja 1998.

(4) RS 15: Mišljenje 1/99 o razini zaštite podataka u Sjedinjenim Američkim Državama i tekućim pregovorima između Europske komisije i Sjedinjenih Američkih Država.

RS 19: Mišljenje 2/99 o primjerenosti „međunarodnih načela sigurne luke” koje je izdalo Ministarstvo trgovine SAD-a 19. travnja 1999.

RS 21: Mišljenje 4/99 o često postavljanim pitanjima koja treba izdati Ministarstvo trgovine SAD-a vezano za predložena „načela sigurne luke” o primjerenosti „međunarodnih načela sigurne luke”.

RS 23: Radni dokument o sadašnjem statusu tekućih rasprava između Europske komisije i Vlade Sjedinjenih Američkih Država o „međunarodnim načelima, sigurna luka”.

RS 27: Mišljenje 7/99 o razini zaštite podataka koju pružaju načela „sigurne luke”, koja je objavilo Ministarstvo trgovine SAD-a zajedno s često postavljanim pitanja i ostalim povezanim dokumentima 15. i 16. studenog 1999.

RS 31: Mišljenje 3/200 o dijalogu EU-a/SAD-a s obzirom na sporazum „sigurne luke”.

RS 32: Mišljenje 4/2000 o razini zaštite koju pružaju „načela sigurne luke”.

(5) Rezolucija još nije objavljena u Službenom listu.

PRILOG I.

NAČELA PRIVATNOSTI SIGURNE LUKE

koje je izdalo Ministarstvo trgovine SAD-a 21. srpnja 2000.

Opsežno zakonodavstvo Europske unije o privatnosti, Direktiva o zaštiti podataka (Direktiva), stupila je na snagu 25. listopada 1998. Ona nalaže da se osobni podaci prenose samo u one države nečlanice EU-a koje pružaju „primjerenu” razinu zaštite privatnosti. Iako i Sjedinjene Američke Države i Europska unija imaju isti cilj povećanja zaštite privatnosti svojih građana, Sjedinjene Američke Države imaju drugačiji pristup privatnosti nego Europska unija. Sjedinjene Američke Države koriste sektorski pristup koji se oslanja na kombinaciju zakonodavstva, propisa i samoregulacije. S obzirom na te razlike, mnoge su organizacije iz SAD-a izrazile nesigurnost s obzirom na utjecaj „standarda primjerenosti” koji EU zahtijeva, na prijenose osobnih podataka iz Europske unije u Sjedinjene Američke Države.

Da smanji ovu nesigurnost i pruži predvidljiviji okvir za takve prijenose podataka, Ministarstvo trgovine izdaje ovaj dokument i često postavljana pitanja („načela”) prema svojoj zakonskoj ovlasti da jača, promiče i razvija međunarodnu trgovinu. Načela su izrađena u dogovoru s gospodarstvenicima i javnošću kako bi se olakšali trgovanje i trgovina između Sjedinjenih Američkih Država i Europske unije. Načela su namijenjena isključivo organizacijama SAD-a koje primaju osobne podatke iz Europske unije radi kvalificiranja za „sigurnu luku” i iz nje proizašlog preduvjeta „primjerenosti” zaštite podataka. Budući da su načela bila namijenjena isključivo u ovu određenu svrhu, njihova primjena u ostale svrhe može biti neprikladna. Načela se ne mogu koristiti kao zamjena za nacionalne odredbe za provedbu Direktive, koje se odnose na obradu osobnih podataka u državama članicama.

Odluke organizacija za kvalificiranje za „sigurnu luku” potpuno su dobrovoljne, a organizacije se mogu kvalificirati za „sigurnu luku” na različite načine. Organizacije koje odluče da će se pridržavati načela moraju poštovati načela da bi dobile i zadržale pogodnosti„sigurne luke” i javno izjaviti da to čine. Na primjer, ako se organizacija uključi u samoregulativni program privatnosti koji se pridržava načela, kvalificirana je za „sigurnu luku”. Organizacije također mogu ispuniti uvjete tako da stvore vlastite samoregulativne politike zaštite privatnosti ako su one u skladu s načelima. Ako se pri poštovanju načela organizacija u potpunosti ili djelomično oslanja na samoregulaciju, njezino nepridržavanje takve samoregulacije mora također biti utuživo prema odjeljku 5. Federal Trade Commission Act-a koji zabranjuje nepravedne ili prijevarne radnje, ili prema nekom drugom zakonu ili propisu koji zabranjuje takve radnje. (Vidjeti Prilog s popisom državnih tijela SAD-a koje priznaje EU.) Osim toga, organizacije koje podliježu zakonskim, regulatornim, upravnim ili drugim propisima (ili pravilima) i učinkovito štiti osobnu privatnost, mogu se također kvalificirati za prednosti koje pruža „sigurna luka”. U svim ovim slučajevima prednosti „sigurne luke” su osigurane od dana kada svaka organizacija koja se želi kvalificirati za „sigurnu luku” sama potvrdi Ministarstvu trgovine (ili njegovom ovlaštenom predstavniku) da se pridržava načela u skladu sa smjernicom o vlastitom potvrđivanju iz često postavljanih pitanja.

Pridržavanje ovih načela može biti ograničeno: (a) u onoj mjeri koja je potrebna da se ispune uvjeti nacionalne sigurnosti, javnog interesa, ili uvjeti za provedbu zakona; (b) zakonom, vladinom uredbom ili sudskom praksom koji proizvode proturječne obveze ili izričita dopuštenja, ako pri korištenju takvog dopuštenja organizacija može dokazati da je njezino nepoštivanje načela ograničeno u mjeri potrebnoj da se ostvare pretežući zakoniti interesi koje podupire takvo dopuštenje; ili (c) ako direktiva ili nacionalno pravo države članice predviđa iznimke ili odstupanja, uz uvjet da se takve iznimke ili odstupanja primjenjuju u sličnim kontekstima. U skladu s ciljem povećanja zaštite privatnosti, organizacije trebaju nastojati u potpunosti i transparentno provoditi ova načela, uključujući i tako da u svojim postupcima zaštite privatnosti navode kada će se redovito primjenjivati iznimke od načela, dopuštene u gore opisanom slučaju (b). Iz istog razloga, ako je mogućnost odabira dopuštena prema načelima i/ili zakonodavstvu SAD-a, očekuje se da se organizacije odluče za veću zaštitu tamo gdje je moguće.

Organizacije mogu htjeti iz praktičnih ili drugih razloga primjenjivati načela u svim svojim postupcima obrade podataka, ali obvezne su ih primjenjivati samo na podatke koje prenose nakon što pristupe „sigurnoj luci”. Da se kvalificiraju za „sigurnu luku”, organizacije nisu obvezne primjenjivati ova načela na osobne podatke u sustavima odlaganja dokumentacije koji se ručno obrađuju. Organizacije koje žele imati koristi od „sigurne luke” za primanje ručno obrađenih podataka iz EU-a moraju primjenjivati načela na sve takve podatke koji se prenose nakon pristupa navedenim načelima. Organizacija koja želi proširiti koristi „sigurne luke” na osobne podatke o ljudskim potencijalima koje se prenose iz EU-a za uporabu u kontekstu radnog odnosa, mora to navesti kada se bude obvezivala Ministarstvu trgovine (ili njegovom ovlaštenom predstavniku) s obzirom na načela, te mora ispuniti zahtjeve iz često postavljanog pitanja o vlastitom potvrđivanju. Organizacije će također moći pružati zaštitu koja se traži člankom 26. Direktive ako načela uvrste u pisane sporazume sa strankama koje prenose podatke iz EU-a, u temeljne odredbe o privatnosti, kada ostale odredbe za takve ogledne sporazume odobre Komisija i države članice.

Pravo SAD-a će se primjenjivati u pitanjima tumačenja i usklađenosti s načelima „sigurna luka” (uključujući često postavljana pitanja) i relevantne politike privatnosti organizacija „sigurna luka”, osim ako se organizacije nisu obvezale na suradnju s europskim tijelima za zaštitu podataka. Osim ako nije drukčije navedeno, sve odredbe načela „sigurna luka” i često postavljana pitanja primjenjuju se tamo gdje su relevantni.

„Osobni podaci” i „osobne informacije” su podaci o identificiranom pojedincu ili pojedincu kojeg se može identificirati, koji su obuhvaćeni područjem primjene Direktive, a koje je iz Europske unije primila organizacija u SAD-u i pohranila ih u bilo kojem obliku.

OBAVIJEST

Organizacija mora obavijestiti pojedince o namjeni prikupljanja i uporabi njihovih osobnih podataka, kako mogu kontaktirati organizaciju radi upita ili pritužbi, o kategorijama trećih strana kojima otkriva te podatke te mogućnostima i sredstvima koje organizacija nudi pojedincima za ograničivanje njihove uporabe i otkrivanja. Ova obavijest mora biti sastavljena jasnim i razumljivim jezikom kada se od pojedinaca prvi put zatraži da daju osobne podatke organizaciji ili čim prije nakon toga, ali u svakom slučaju prije nego organizacija koristi takve informacije u neku drugu svrhu osim one za koju ih je prvotno prikupila ili obradila organizacija koja je izvršila prijenos ili prije nego što ih po prvi put otkrije trećoj osobi (1).

MOGUĆNOST IZBORA

Organizacija mora pojedincima ponuditi mogućnost da odaberu (odustanu) hoće li se njihovi osobni podaci moći (a) otkriti trećoj osobi (1) ili (b) koristiti u svrhu koja nije sukladna sa svrhom(svrhama) za koju su izvorno prikupljeni ili za koju je pojedinac naknadno dao odobrenje. Pojedincima moraju biti ponuđeni jasni i očigledni, već dostupni i prihvatljivi mehanizmi odabira.

Kod osjetljivih informacija (tj. osobnih podataka o medicinskom ili zdravstvenom stanju, rasi ili etničkom podrijetlu, političkim stavovima, vjerskim ili filozofskim uvjerenjima, članstvu u sindikatu ili podataka o spolnom životu pojedinca), mora im biti ponuđena potvrdna ili izričita mogućnost odabira (pristanak) ako će se te informacije otkriti trećoj osobi ili koristiti u neku drugu svrhu osim one za koju su prvotno prikupljene ili za koju je pojedinac naknadno dao odobrenje koristeći mogućnost odabira. U svakom slučaju, organizacija treba smatrati osjetljivima one informacije koje je primila od treće osobe kada ih treća osoba smatra osjetljivima i odnosi se prema njima kao takvima.

DALJNJI PRIJENOS

Pri otkrivanju podataka trećoj osobi, organizacije moraju primjenjivati načela obavijesti i mogućnosti izbora. Ako organizacija želi prenijeti podatke trećoj osobi koja ima ulogu posrednika, kao što je opisano u bilješci, može to učiniti ako se prvo uvjeri da se treća osoba obvezala na načela ili podliježe direktivi ili nekoj drugoj potvrdi o primjerenosti, ili ako sklopi pisani sporazum s tom trećom osobom u kojem se zahtjeva da treća osoba pruži barem istu razinu zaštite privatnosti koju traže relevantna načela. Ako organizacija ispunjava ove zahtjeve, nije odgovorna (osim ako se organizacija suglasi drukčije) ako treća osoba kojoj otkrije takve podatke obrađuje iste na način suprotan ograničenjima ili izjavama, osim ako je organizacija znala ili trebala znati da će ih treća osoba obrađivati na takav način, a nije poduzela odgovarajuće korake da spriječi ili prekine takvu obradu.

SIGURNOST

Organizacije koje stvaraju, održavaju, koriste ili prenose osobne podatke moraju poduzeti odgovarajuće mjere da bi ih zaštitile od gubitka, zlouporabe i neovlaštenog pristupa, otkrivanja, izmjene i uništenja.

NEPOVREDIVOST PODATAKA

U skladu s načelima, osobni podaci moraju biti važni za namjenu za koju će se koristiti. Organizacija ne može obrađivati osobne podatke na način koji nije sukladan namjenama za koje su prikupljeni ili za koje je pojedinac naknadno dao odobrenje. U onoj mjeri koja je potrebna za tu namjenu, organizacija treba poduzeti odgovarajuće korake da podaci budu pouzdani za namjeravano korištenje, točni, potpuni i ažurirani.

PRISTUP

Pojedinci moraju imati pristup osobnim podacima koje organizacija čuva, te ih moći ispraviti, promijeniti ili obrisati ako su netočni, osim ako teret ili trošak omogućavanja pristupa ne bi bio u skladu s ugroženošću privatnosti pojedinca u danom slučaju, ili ako bi se time kršila prava drugih osoba.

PROVEDBA

Učinkovita zaštita privatnosti mora uključivati mehanizme kojima se osigurava poštovanje načela, pravna zaštita pojedinaca na koje se odnose podaci na koje nepridržavanja načela utječe, te posljedice za organizaciju kad ne poštuje načela. Takvi mehanizmi moraju uključivati najmanje (a) lako dostupne i prihvatljive neovisne mehanizme pravne zaštite prema kojima se svaka pritužba pojedinca i spor istražuje i rješava pozivajući se na načela kao i naknade štete ako je tako predviđeno mjerodavnim zakonom ili inicijativama privatnog sektora; (b) postupke praćenja kojima se provjerava jesu li potvrde i navodi koje poduzeća daju o svojim praksama u pogledu privatnosti istinite i jesu li postupanja prema privatnosti provedena kao što je navedeno; i (c) obveze da se riješe problemi koji proizlaze iz nepoštovanja načela od strane organizacija koje objavljuju da ih se pridržavaju i posljedice za takve organizacije. Sankcije moraju biti dovoljno stroge da bi ih se organizacije pridržavale.

(1) Nije potrebno dati obavijest ili ponuditi mogućnost odabira kad se podaci otkrivaju trećoj osobi koja kao posrednik izvršava posao (poslove) u ime i prema uputama organizacije. Međutim, načelo daljnjeg prijenosa primjenjuje se na takvo otkrivanje podataka.

Prilog

Popis državnih tijela SAD-a koje priznaje Europska unija

Europska unija priznaje sljedeća vladina tijela SAD-a kao ovlaštena da istražuju pritužbe i ponude pravnu zaštitu od nepoštenih ili prijevarnih praksi, kao i naknadu za pojedince u slučaju nepoštovanja načela koja se provode u skladu s često postavljanim pitanjima:

— Federal Trade Commission, na temelju svog ovlaštenja sukladno s odjeljkom 5. Federal Trade Commission Act-a,

— Department of Transportation, na temelju svog ovlaštenja sukladno s glavom 49. odjeljka 41712 United States Code.

PRILOG II.

ČESTO POSTAVLJANA PITANJA

ČESTO POSTAVLJANO PITANJE 1 - Osjetljivi podaci

P: Mora li organizacija uvijek ponuditi izričitu (pristanak) mogućnost izbora u pogledu osjetljivih podataka?

O: Ne, takva mogućnost izbora nije potrebna ako je obrada: 1. od životnog interesa za osobu čiji se podaci obrađuju ili neku drugu osobu; 2. potrebna za ostvarivanje zakonskih prava ili obrane; 3. potrebna da bi se pružila medicinska skrb ili dijagnoza; 4. se vrši tijekom zakonitih aktivnosti zaklade, udruge ili drugog neprofitnog tijela s političkim, filozofskim, vjerskim ili sindikalnim ciljem i uz uvjet da se obrada odnosi isključivo na članove tog tijela ili osobe koje imaju redovne kontakte s istom u te svrhe, te da podaci ne otkriju trećoj osobi bez privole osoba čiji se podaci obrađuju; 5. potrebna da organizacija izvrši svoje obveze u području radnog prava; ili 6. vezana za podatke koje je očigledno objavio pojedinac.

ČESTO POSTAVLJANO PITANJE 2 - Novinarske iznimke

P: Obzirom na ustavne zaštite slobode tiska u SAD-u i izuzeće iz Direktive koje se odnosi na novinarske materijale, primjenjuju li se načela zaštite privatnosti na osobne podatke prikupljene, čuvane ili objavljene u novinarske svrhe?

O: Ako se prava na slobodu tiska uvrštena u prvi amandman Ustava SAD-a kose s interesima zaštite privatnosti, prvi amandman mora uravnotežiti te interese s obzirom na aktivnosti državljana ili organizacija iz SAD-a. Osobni podaci koji se prikupljaju radi objavljivanja, emitiranja ili ostalih oblika javne objave novinarskih materijala, bez obzira koriste li se ili ne, kao i informacije pronađene u prethodno objavljenom materijalu iz medijskih arhiva, ne podliježu zahtjevima načela „sigurne luke”.

ČESTO POSTAVLJANO PITANJE 3 - Sekundarna odgovornost

P: Jesu li pružatelji internetskih usluga (ISP), telekomunikacijski operateri ili ostale organizacije odgovorni prema načelima „sigurne luke” kada u ime neke druge organizacije samo prenose, usmjeravaju, prespajaju ili privremeno pohranjuju informacije koje mogu kršiti njihove uvjete?

O: Ne. Kao što je slučaj sa samom Direktivom, „sigurna luka” ne stvara sekundarnu odgovornost. U onoj mjeri u kojoj organizacija djeluje samo kao posrednik podataka koje prenose treće osobe i ne određuje svrhu i sredstva obrade tih osobnih podataka, ona nije odgovorna.

ČESTO POSTAVLJANO PITANJE 4 - Investicijske banke i revizori

P: Djelatnosti revizora i investicijskih banaka mogu uključivati obradu osobnih podataka bez pristanka ili znanja pojedinca. Pod kojim okolnostima je ovo dopušteno prema načelima obavijesti, mogućnosti izbora i pristupa?

O: Investicijski bankari ili revizori mogu obrađivati informacije bez znanja pojedinca samo u onoj mjeri i u onom razdoblju koje je potrebno da se zadovolje zahtjevi zakonskog ili javnog interesa i u ostalim okolnostima u kojima bi primjena ovih načela naškodila zakonitim interesima organizacije. Ti zakoniti interesi uključuju nadziranje ispunjava li trgovačko društvo svoje zakonske obveze i zakonite računovodstvene djelatnosti, te potrebu za tajnošću podatka vezanih za moguća preuzimanja, udruživanja, zajedničke pothvate ili ostale slične transakcije investicijskih bankara ili revizora.

ČESTO POSTAVLJANO PITANJE 5 - Uloga tijela nadležnih za zaštitu podataka (1)

P: Kako će trgovačka društva koja su se obvezala na suradnju s tijelima Europske unije nadležnima za zaštitu podataka ispuniti te obveze i kako će one biti provedene?

O: Prema „sigurnoj luci”, organizacije iz SAD-a koje primaju osobne podatke iz EU-a moraju se obvezati na primjenu učinkovitih mehanizama za poštovanje načela „sigurne luke”. Kao što je konkretnije navedeno u načelu provedbe, one moraju osigurati (a) pravnu zaštitu za pojedince na koje se podaci odnose, (b) postupke praćenja kojima se provjerava jesu li potvrde i navodi koje su dali o svojim postupanjima prema privatnosti istinite i (c) obveze da se riješe problemi koji proizlaze iz nepoštovanja načela i posljedice za takve organizacije. Organizacija može zadovoljiti točke (a) i (c) načela provedbe, ako zadovoljava zahtjeve ovog pitanja za suradnju s tijelima nadležnima za zaštitu podataka.

Organizacija se može obvezati na suradnju s tijelima za zaštitu podataka izjavljujući u svojoj potvrdi o „sigurnoj luci”za Ministarstvo trgovine SAD-a (vidjeti često postavljano pitanje 6. o vlastitom potvrđivanju) da:

1. svojevoljno pristaje udovoljiti zahtjevima iz točaka (a) i (c) načela provedbe „sigurne luke”, obvezujući se na suradnju s tijelima za zaštitu podataka;

2. surađivat će s tijelima za zaštitu podataka pri istraživanju i rješavanju pritužbi podnesenih u skladu s načelima „sigurne luke”; i

3. postupit će u skladu s bilo kojim savjetom tijela za zaštitu podataka i ako ta tijela smatraju da organizacija treba izvršiti određenu radnju da bi poštovala načela „sigurne luke”, uključujući mjere za zaštitu prava ili naknadu u korist pojedinaca pogođenih nepoštovanjem načela, te da će dati pisanu potvrdu tijelima za zaštitu podataka da je takva radnja poduzeta.

Suradnja tijela za zaštitu podataka očitovat će se u obliku informacija i savjeta na sljedeći način:

— savjet tijela za zaštitu podataka bit će dostavljen putem neslužbenog odbora tijela za zaštitu podataka organiziranog na razini Europske unije, koji će inter alia pomoći da se osigura usklađen i dosljedan pristup,

— odbor će ponuditi savjet dotičnim organizacijama iz SAD-a o neriješenim pritužbama pojedinaca na postupanje s osobnim podacima koji su prenijeti iz EU-a sukladno sa zaštitom privatnosti. Namjena ovog savjeta je osiguravanje ispravne primjene načela „sigurne luke” i uključivat će sva pravna sredstva za dotičnog pojedinca(e) koje tijela za zaštitu podataka smatraju prikladnima,

— odbor će ponuditi takav savjet kao odgovor na smjernice uključenih organizacija i/ili pritužbe primljene izravno od pojedinaca protiv organizacija koje su se obvezale surađivati s tijelima za zaštitu podataka u svrhe „sigurne luke”, istodobno potičući i prema potrebi pomažući takvim pojedincima da prvo iskoriste interne načine rješavanja pritužbi koje organizacija može ponuditi,

— savjet će biti objavljen tek nakon što su obje stranke u sporu imale razumnu mogućnost dati primjedbe i dostaviti dokaze koje žele. Odbor će pokušati dati savjet onom brzinom koju omogućuje propisani postupak. U pravilu, odbor će nastojati dati savjet u roku od 60 dana od primitka pritužbe ili upute, a ako je moguće i brže,

— odbor će objaviti rezultate svog razmatranja podnijete mu pritužbe, ako to smatra prikladnim,

— davanje savjeta putem odbora ne uključuje bilo kakvu odgovornost za odbor ili pojedino tijelo za zaštitu podataka.

Kao što je gore navedeno, organizacije koje se odluče za ovu mogućnost rješavanja sukoba moraju se obvezati da će poslušati savjet tijela za zaštitu podataka. Ako ga organizacija ne provede u roku od 25 dana od primitka savjeta i ne ponudi prihvatljivo objašnjenje za kašnjenje, odbor će poslati obavijest o svojoj namjeri da preda predmet Federal Trade Commission-u ili drugom saveznom ili državnom tijelu SAD-a sa zakonskim ovlastima da poduzme provedbene radnje u slučajevima prijevare ili lažnog prikazivanja, ili da zaključi da je sporazum o suradnji ozbiljno prekršen te se stoga mora smatrati ništavim. U potonjem slučaju odbor će obavijestiti Department of Commerce (ili njegova ovlaštenog predstavnika) tako da se popis sudionika u „sigurnoj luci” može promijeniti u skladu s tim. Svako neispunjenje obveze o suradnji s tijelima za zaštitu podataka, kao i nepoštovanje načela „sigurne luke”, bit će kažnjivo kao prijevarno postupanje sukladno s odjeljkom 5. Federal Trade Commission Act-a ili nekom drugom sličnom propisu.

Organizacije koje odaberu ovu mogućnost morat će platiti godišnju naknadu koja će biti namijenjena za pokrivanje operativnih troškova odbora, od njih se može dodatno zatražiti da podmire potrebne troškove prevođenja koji proizlaze iz razmatranja članova odbora uputa ili pritužbi protiv njih. Godišnja naknada neće premašivati 500 USD i iznosit će manje za manja trgovačka društva.

Mogućnost suradnje s tijelima za zaštitu podataka stajat će na raspolaganju organizacijama koje prihvate načela„sigurne luke” tijekom razdoblja od tri godine. Tijela za zaštitu podataka razmotrit će ovaj dogovor prije isteka navedenog roka ako broj organizacija iz SAD-a koje odaberu ovu opciju postane prevelik.

ČESTO POSTAVLJANO PITANJE 6 – Vlastito potvrđivanje

P: Kako organizacija sama potvrđuje da se pridržava načela „sigurne luke”?

O: Prednosti „sigurne luke” osigurane su od datuma kada organizacija sama potvrdi Department of Commerc-u (ili njegovu ovlaštenom predstavniku) svoje pridržavanje načela u skladu s dolje navedenom smjernicom.

Da bi same potvrdile pridržavanje načela„sigurne luke”, organizacije mogu poslati u Department of Commerce (ili njegovu ovlaštenom predstavniku) pismo koje je potpisao rukovoditelj u ime organizacije koja prihvaća načela „sigurne luke”, a koje mora sadržavati najmanje sljedeće informacije:

1. naziv organizacije, adresu, internetsku adresu, broj telefona i telefaksa;

2. opis aktivnosti organizacije s obzirom na osobne podatke primljene iz EU-a; i

3. opis politike organizacije u pogledu zaštite privatnosti takvih osobnih podataka, uključujući: (a) gdje javnost može pregledati tu politiku zaštite privatnosti; (b) datum od kojega se provodi; (c) kontaktni ured za rješavanje pritužbi, zahtjeva za pristup i sva ostala pitanja koja proizlaze iz načela „sigurne luke”; (d) određeno državno tijelo koje je nadležno rješavati pritužbe protiv organizacije u pogledu mogućih nepoštenih ili prijevarnih praksi i kršenja zakona ili propisa koji uređuju privatnost (navedeno u prilogu načelima); (e) naziv programa za zaštitu privatnosti u kojima organizacija sudjeluje kao član; (f) metodu provjere (npr. unutar organizacije, treća osoba) (2); i (g) neovisni mehanizam pravne zaštite koji je dostupan za istraživanje neriješenih pritužbi.

Ako organizacija želi da njezine pogodnosti„sigurne luke” obuhvaćaju informacije o ljudskim potencijalima prenijete iz EU-a za korištenje u kontekstu radnog odnosa, može to učiniti ako postoji državno tijelo s nadležnošću da rješava pritužbe protiv organizacije koje proizlaze iz informacija o ljudskim potencijalima, a koje je navedeno u Prilogu načelima. Osim toga, organizacija to mora navesti u svom dopisu i izjasniti se o svojoj obvezi suradnje s dotičnim tijelom ili tijelima EU-a u skladu s često postavljanim pitanjima 9 i 5 ako se primjenjuju, te da će uvažiti savjet koje mu daju takva tijela.

Department (ili njegov ovlašteni predstavnik) će voditi popis svih organizacija koje pošalju takva pisma, osiguravajući time pogodnosti „sigurne luke” i ažurirat će takav popis na temelju pisama i obavijesti koje godišnje primi sukladno s često postavljanim pitanjem 11. Takva pisma s vlastitom potvrdom treba dostaviti najmanje jednom godišnje. U suprotnom će organizacija biti uklonjena s popisa i neće više imati pogodnosti „sigurne luke”. I popis i pisma s vlastitom potvrdom koje dostave organizacije bit će javno dostupne. Sve organizacije koje daju vlastitu potvrdu za u vezi sa„sigurnom lukom” moraju također navesti u svojim relevantnim objavljenim izjavama o politici privatnosti da poštuju načela „sigurne luke”.

Preuzeta obveza poštovanja načela „sigurne luke” nije vremenski ograničena s obzirom na podatke koje primi tijekom razdoblja u kojem organizacija koristi pogodnosti „sigurne luke”. Njezina obveza znači da će nastaviti primjenjivati načela na takve podatke sve dok ih organizacija pohranjuje, koristi ili otkriva, čak i ako kasnije od njih odustane iz bilo kojeg razloga.

Organizacija koja prestane postojati kao zasebna pravna osoba zbog spajanja ili preuzimanja, mora unaprijed obavijestiti Department of Commerce (ili njegova ovlaštenog predstavnika) o tome. U obavijesti treba također navesti hoće li društvo koje je steklo organizaciju ili ono koje je rezultat udruživanja: 1. nastaviti biti vezano načelima „sigurne luke” na temelju zakona koji regulira preuzimanje ili spajanje; ili 2. se odlučiti da samo potvrdi svoje pridržavanje načela „sigurne luke” ili primijeni drugu zaštitu, kao što je pisani sporazum koji će osigurati pridržavanje načela „sigurne luke”. Ako se ne primjenjuju ni 1. ni 2., svi podaci koji su prikupljeni sukladno „sigurnoj luci” moraju se odmah obrisati.

Organizacija ne mora podvrgnuti sve osobne podatke načelima „sigurne luke”, ali mora podvrgnuti načelima „sigurne luke” sve osobne podatke koje prima iz EU-a nakon što prihvati načela „sigurne luke.

Zbog bilo kojeg krivog prikazivanja neke organizacije s obzirom na pridržavanja načela „sigurne luke” u javnosti, Federal Trade Commission ili drugo nadležno vladino tijelo može pokrenuti postupak. Zbog krivog prikazivanja Department of Commerc-a SAD-a (ili njegovom ovlaštenom predstavniku) može se pokrenuti postupak prema False Statements Act-u (18 U.S.C. § 1001).

ČESTO POSTAVLJANO PITANJE 7 - Provjera

P: Kako organizacije provode postupke praćenja za provjeru istinitosti potvrda i navoda koje su dale o svojim praksama u provođenju načela „sigurne luke” i jesu li te prakse vezane za privatnost provedene kao što je prikazano i u skladu s načelima „sigurne luke”?

O: Da zadovolji zahtjeve provjere načela provedbe, organizacija može provjeriti takve potvrde i navode samoprocjenom ili vanjskim preispitivanjima njihova poštovanja.

Prema pristupu samoocjene, takva bi provjera trebala pokazati da je objavljena politika zaštite privatnosti neke organizacije u pogledu osobnih podataka primljenih iz EU-a točna, sveobuhvatna, jasno prikazana, u potpunosti provedena i dostupna. Također bi trebala pokazati da je njezina politika zaštite privatnosti usklađena s načelima „sigurne luke”; da su pojedinci obaviješteni o unutarnjim mehanizmima za rješavanje pritužbi i o neovisnim mehanizmima putem kojih mogu podnositi pritužbe; da ima uvedene postupke za obuku zaposlenika o njezinoj primjeni i kažnjavanje za njezino neprovođenje; te da ima uvedene unutarnje postupke za periodično provođenje objektivnih provjera poštuje li se gore navedeno. Izjavu koja potvrđuje samoocjenu treba potpisati rukovoditelj poduzeća ili neki drugi ovlašteni predstavnik organizacije barem jednom godišnje i staviti je na raspolaganje pojedincima na njihov zahtjev ili u kontekstu istrage ili pritužbe o nepoštovanju.

Organizacije trebaju čuvati svoje evidencije o provedbi svoje prakse „sigurne luke” i na zahtjev ih učiniti dostupnima u kontekstu istrage ili pritužbe o nepoštovanju neovisnom tijelu odgovornom za istraživanje pritužbi ili agenciji s nadležnošću za nepoštena i prijevarna postupanja.

Ako organizacija odabere vanjsku provjeru poštovanja, takva provjera treba pokazati da je njezina politika zaštite privatnosti s obzirom na osobne podatke primljene iz EU-a usklađena s načelima „sigurne luke”, da se poštuje i da su pojedinci obaviješteni o mehanizmima putem kojih mogu podnositi pritužbe. Metode provjere mogu bez ograničenja uključivati reviziju, slučajno odabrane provjere, korištenje „mamaca” ili korištenje tehnoloških sredstava kada je moguće. Izjavu kojom se potvrđuje da je vanjska provjera poštovanja uspješno završena treba potpisati voditelj provjere, ili rukovoditelj poduzeća ili neki drugi ovlašteni predstavnik organizacije najmanje jednom godišnje i staviti je na raspolaganje pojedincima na njihov zahtjev, ili u kontekstu istrage ili pritužbe na poštovanje.

ČESTO POSTAVLJANO PITANJE 8 - Pristup

Načelo pristupa:

Pojedinci moraju imati pristup osobnim podacima koje organizacija čuva, te ih moći ispraviti, izmijeniti ili obrisati te informacije ako su netočne, osim ako teret ili trošak omogućivanja pristupa ne bi bio razmjeran ugroženosti privatnosti pojedinca u danom slučaju, ili ako bi se time kršila prava drugih pojedinaca.

1. P: Je li pravo pristupa apsolutno?

1. O: Ne. Prema načelima „sigurne luke”, pravo pristupa je neophodno za zaštitu privatnosti. Ono osobito omogućuje pojedincima da provjere točnost informacija koje se čuvaju o njima. Međutim, obveza organizacije da omogući pristup osobnim podacima koje čuva o pojedincu podliježe načelu razmjernosti ili razboritosti i mora se ublažiti u određenim slučajevima. Već se u obrazloženju uz Smjernice OECD-a o privatnosti iz 1980. jasno navodi da obveza organizacije da omogući pristup nije apsolutna. Ne zahtijeva izrazito temeljito pretraživanje koje nalaže, na primjer, sudski nalog, niti pristup svim različitim oblicima u kojima organizacija može čuvati informacije.

Naprotiv, iskustvo je pokazalo da se pri odgovoru na zahtjeve pojedinaca za pristup, organizacije trebaju prvenstveno voditi motivom (motivima) koji su uopće doveli do takvih zahtjeva. Na primjer, ako je zahtjev za pristup nejasan ili preširok, organizacija može razgovarati s pojedincem kako bi bolje shvatila motive za zahtjev i dala povratnu informaciju. Organizacija se može raspitati s kojim je dijelom (dijelovima) organizacije pojedinac kontaktirao i/ili o vrsti informacija (ili njihovom korištenju) za koje se zahtjeva pristup. Pojedinci, međutim, ne moraju obrazlagati zahtjeve za pristup vlastitim podacima.

Trošak i teret su bitni faktori i trebaju se uzeti u obzir, ali oni nisu presudni u odlučivanju je li omogućivanje pristupa opravdano. Na primjer, ako se informacije koriste za odluke koje će značajno utjecati na pojedinca (npr. uskraćenje ili odobrenje bitnih pogodnosti, kao što je osiguranje, hipoteka ili posao), tada bi u skladu s ostalim odredbama ovih često postavljanih pitanja, organizacija morala otkriti informacije čak i ako je to relativno teško ili skupo izvesti.

Ako tražena informacija nije osjetljiva ili se ne koristi za odluke koje će značajno utjecati na pojedinca (npr. tržišni podaci koji nisu osjetljivi a koji se koriste za odlučivanje hoće li ili neće pojedincu poslati katalog), ali je lako dostupna i nije je skupo dati, organizacija bi trebala omogućiti pristup činjeničnim podacima o pojedincu koje organizacija ima pohranjene. Takva informacija može uključivati činjenice dobivene od pojedinca, činjenice prikupljene tijekom transakcije ili činjenice dobivene od ostalih, a koje se odnose na pojedinca.

U skladu s osnovnom prirodom pristupa, organizacije uvijek trebaju poduzeti napore u dobroj vjeri da omoguće pristup. Na primjer, ako određenu informaciju treba zaštititi, a moguće ju je lako izdvojiti od ostalih informacija za koje se traži pristup, organizacija treba redigirati zaštićenu informaciju i učiniti dostupnima ostale informacije. Ako organizacija odluči da treba uskratiti pristup u nekom određenom slučaju, treba objasniti podnositelju zahtjeva za pristup zašto je donijela takvu odluku i uputiti ga na kontaktno mjesto za sve daljnje upite.

2. P: Što je povjerljiva poslovna informacija i mogu li organizacije uskratiti pristup kako bi je zaštitile?

2. O: Povjerljiva poslovna informacija (u onom smislu kako se pojam koristi u Federal Rules of Civil Procedure o otkrivanju) je informacija u vezi koje je organizacija poduzela korake zaštite od otkrivanja, ako bi otkrivanje pomoglo konkurentu na tržištu. Određeni računalni program koji organizacija koristi, kao što je program za modeliranje ili pojedinosti tog programa mogu predstavljati povjerljivu poslovnu informaciju. Ako se povjerljivu poslovnu informaciju može lako izdvojiti od ostalih informacija za koje se traži pristup, organizacija treba redigirati povjerljivu poslovnu informaciju i učiniti dostupnima nepovjerljive informacije. Organizacije mogu uskratiti ili ograničiti pristup u onoj mjeri u kojoj bi njegovo omogućivanje razotkrilo vlastitu povjerljivu poslovnu informaciju koje je ranije definirana, kao što su zaključci vezani za tržište ili razvrstavanje koje je napravila organizacija ili povjerljiva poslovna informacija treće osobe ako takva informacija podliježe ugovornoj obvezi o povjerljivosti u okolnostima kada bi takva obveza povjerljivosti bila uobičajeno prihvaćena ili nametnuta.

3. P: Može li organizacija pri omogućavanju pristupa otkriti pojedincima osobne podatke o njima iz vlastite baze podataka ili je potreban pristup samoj bazi podataka?

3. O: Pristup se može omogućiti u obliku otkrivanja podataka organizacije pojedincu i ne zahtijeva pristup pojedinca bazi podataka organizacije.

4. P: Mora li organizacija restrukturirati svoje baze podataka da može omogućiti pristup?

4. O: Pristup treba omogućiti samo u onoj mjeri u kojoj organizacija ima pohranjene informacije. Načelo pristupa samo po sebi ne znači obvezu da se zadrže, održavaju, reorganiziraju ili restrukturiraju datoteke s osobnim podacima.

5. P: Iz ovih je odgovora jasno da se pristup može uskratiti u određenim okolnostima. U kojim još okolnostima organizacija može uskratiti pojedincima pristup njihovim osobnim podacima?

5. O: Takve okolnosti su ograničene i svaki razlog za uskraćivanje pristupa mora biti utemeljen. Organizacija može odbiti omogućavanje pristupa informaciji u onoj mjeri u kojoj bi se otkrivanje moglo kositi sa zaštitom bitnih prevladavajućih javnih interesa, kao što su nacionalna sigurnost, obrana ili javna sigurnost. Osim toga, ako se osobni podaci obrađuju isključivo u istraživačke ili statističke svrhe, pristup se može uskratiti. Ostali razlozi za uskraćivanje ili ograničivanje pristupa su: (a) ometanje izvršenja ili provedbe zakona, uključujući sprečavanje, istraživanje ili otkrivanje kažnjivih djela ili prava na pravično suđenje; (b) ometanje osnove za privatnu tužbu, uključujući sprečavanje, istraživanje ili otkrivanje pravnih osnova ili prava na pravično suđenje; (c) otkrivanje osobnih podataka koji se odnose na drugog pojedinca (druge pojedince) ako se takvi navodi ne mogu redigirati; (d) kršenje obveze čuvanja pravnih ili profesionalnih tajni ili obveza; (e) kršenje nužne tajnosti budućih ili tekućih pregovora, kao što je ono koje uključuje preuzimanje trgovačkih društava uvrštenih na burzu; (f) ugrožavanje istraga o sigurnosti zaposlenika ili žalbenih postupaka; (g) narušavanje tajnosti koja može biti potrebna u određenom razdoblju vezano za planiranje zamjene zaposlenika i korporativnu reorganizaciju; ili (h) narušavanje tajnosti koja može biti potrebna radi praćenja, nadzora ili regulatorne funkcije povezane sa dobrim ekonomskim ili financijskim upravljanjem, ili (i) ostale okolnosti u kojima bi teret ili trošak omogućavanja pristupa bio nerazmjeran ili bi se prekršila zakonska prava ili interesi ostalih.

Organizacija koja zatraži iznimku snosi teret dokaza njezine opravdanosti (kao što je uobičajeno). Kako je već ranije spomenuto, pojedincima treba objasniti razloge uskraćivanja ili ograničivanja pristupa i uputiti ih na kontaktno mjesto za daljnje upite.

6. P: Može li organizacija naplatiti naknadu da pokrije trošak omogućavanja pristupa?

6. O: Da. Smjernice OECD-a dozvoljavaju organizacijama da naplate naknadu, uz uvjet da ne bude visoka. Tako organizacije mogu naplatiti razumnu naknadu za pristup. Naplata naknade može biti korisna za destimuliranje učestalih i neugodnih zahtjeva.

Organizacije koje se bave prodajom javno dostupnih informacija mogu tako naplatiti uobičajenu naknadu organizacije pri ispunjavanju zahtjeva za pristup. Pojedinci mogu, kao alternativu, tražiti pristup svojim informacijama od organizacije koja je prvotno prikupila podatke.

Pristup se ne može uskratiti radi troška ako pojedinac ponudi da će platiti troškove.

7. P: Je li organizacija obvezna omogućiti pristup osobnim podacima koji su preuzeti iz državnih evidencija?

7. O: Prvo da razjasnimo da su javne evidencije one koje čuvaju vladine agencije ili tijela na bilo kojoj razini, koje su općenito otvorene javnosti na uvid. Nije potrebno primjenjivati načelo pristupa na takve informacije ako nisu povezane s ostalim osobnim podacima, osim kada su male količine informacija iz nejavnih evidencija korištene za indeksaciju ili organizaciju informacija u javnim evidencijama. Međutim, moraju se poštovati svi uvjeti za uvid koje je utvrdilo nadležno tijelo. Ako je pak informacija iz javne evidencije povezana s ostalim informacijama iz nejavne evidencije (osim kao što je gore točno navedeno), organizacija mora omogućiti pristup svim takvim informacijama, ako za njih ne vrijede ostale dopuštene iznimke.

8. P: Primjenjuje li se načelo pristupa na javno dostupne osobne podatke?

8. O: Kao što je slučaj s informacijama iz javne evidencije (vidjeti P. 7), nije potrebno omogućiti pristup informacijama koje su već javno dostupne široj javnosti, osim ako nisu povezane s informacijama koje nisu javno dostupne.

9. P: Kako se organizacija može zaštiti protiv učestalih ili neugodnih zahtjeva za pristup?

9. O: Organizacija ne mora odgovoriti na takve zahtjeve za pristup. Iz tih razloga organizacije mogu naplatiti razumnu naknadu i mogu postaviti opravdana ograničenja s obzirom na to koliko će se puta u određenom razdoblju ispuniti zahtjev određenog pojedinca za pristup. Pri postavljanju takvih ograničenja organizacija treba uzeti u obzir faktore kao što su učestalost ažuriranja informacija, svrhu za koju su podaci korišteni i prirodu informacija.

10. P: Kako se organizacija može zaštiti od lažnih zahtjeva za pristup?

10. O: Organizacija ne mora omogućiti pristup ako joj se ne da dovoljno informacija koje joj omogućavaju da provjeri identitet osobe koja podnosi zahtjev.

11. P: Postoji li rok u kojem se mora odgovoriti na zahtjeve za pristup?

11. O: Da, organizacije trebaju odgovoriti bez pretjeranog kašnjenja i u razumnom roku. Ovaj je zahtjev moguće ispuniti na različite načine, kako se navodi u obrazloženju uz Smjernice OECD-a o privatnosti iz 1980. Na primjer, nadzornik koji redovito daje informacije osobama čiji se podaci objavljuju može biti izuzet od obveze da odmah odgovori na zahtjeve pojedinca.

ČESTO POSTAVLJANA PITANJA 9 - Ljudski resursi

1. P: Primjenjuju li se načela „sigurne luke” na prijenos osobnih podataka prikupljanih u kontekstu radnog odnosa iz EU-a u Sjedinjene Američke Države?

1. O: Da, ako neko trgovačko društvo iz EU-a prenosi osobne podatke o svojim zaposlenicima (bivšim ili sadašnjim) prikupljene u kontekstu radnog odnosa, matičnom, povezanom ili nepovezanom pružatelju usluga u Sjedinjenim Američkim Državama koji sudjeluje u „sigurnoj luci”, prijenos uživa pogodnosti „sigurne luke”. U takvim slučajevima prikupljanje podataka i njihova obrada prije prijenosa podliježu nacionalnom pravu države EU-a u kojoj su prikupljeni i moraju se poštovati svi uvjeti ili ograničenja za njihov prijenos prema tom pravu.

Načela „sigurne luke” bitna su samo kada se prenose datoteke koje se mogu pojedinačno identificirati ili se istima pristupa. Statističko izvješćivanje koje se temelji na skupnim podacima o zaposlenima i/ili korištenje anonimnih podataka ili onih pod pseudonimom ne otvara pitanja privatnosti.

2. P: Kako se načela obavijesti i mogućnosti izbora primjenjuju na takve informacije?

2. O: Organizacija iz SAD-a koja je primila informacije o zaposlenicima iz EU-a sukladno sa „sigurnom lukom” može ih otkriti trećih stranama i/ili koristiti u različite svrhe samo u skladu s načelima obavijesti i mogućnosti izbora. Na primjer, ako organizacija namjerava koristiti osobne podatke prikupljene tijekom radnog odnosa u svrhe koje nisu vezane uz radni odnos, kao što su komercijalne obavijesti, organizacija iz SAD-a mora ponuditi izbor pojedincima kojih se to tiče prije nego što tako učini, osim ako su oni već odobrili da se informacije koriste u takve svrhe. Štoviše, takve se mogućnosti izbora ne smiju koristiti da se ograniče mogućnosti zapošljavanja ili poduzmu kaznene mjere protiv takvih zaposlenika.

Treba napomenuti da određeni opće važeći uvjeti za prijenos iz nekih država članica mogu isključivati ostalo korištenje takvih informacija čak i nakon prijenosa izvan EU-a, i takve uvjete se mora poštovati.

Osim toga, poslodavci trebaju uložiti razumne napore da bi udovoljili zaposlenikovom izboru s obzirom na privatnost. To može, na primjer, uključivati ograničivanje pristupa podacima, anonimnost određenih podataka ili korištenje šifri ili pseudonima kad stvarna imena nisu potrebna za postojeću svrhu upravljanja.

U onoj mjeri i onom razdoblju koje je potrebno da se izbjegne ugrožavanje zakonitih interesa organizacije pri unapređivanju, imenovanjima ili ostalim sličnim odlukama o zaposlenju, organizacija ne mora nuditi obavijest i mogućnost izbora.

3. P: Kako se primjenjuje načelo pristupa?

3. O: Često postavljena pitanja o pristupu pružaju smjernice o razlozima zbog kojih je opravdano uskratiti ili ograničiti zahtjev za pristup u kontekstu ljudskih resursa. Naravno, poslodavci u Europskoj uniji moraju poštovati lokalne propise i osigurati da zaposlenici Europske unije imaju pristup takvim informacija kako nalaže pravo u njihovoj domovini, bez obzira na mjesto obrade i čuvanja podataka. Zaštita privatnosti zahtijeva da organizacija koja obrađuje takve podatke u Sjedinjenim Američkim Državama surađuje u omogućivanju takvog pristupa bilo izravno ili putem poslodavca iz EU-a.

4. P: Kako će se tretirati provedba podataka o zaposlenicima koji podliježu načelima „sigurne luke”?

4. O: Ako se informacije koriste samo u kontekstu radnog odnosa, temeljna odgovornost za podatke vis-à-vis zaposlenika ostaje na trgovačkom društvu u EU-u. Iz toga proizlazi da ako se europski zaposlenici žale na kršenje njihovih prava na zaštitu podataka i nisu zadovoljni s rezultatima internih postupaka provjere, pritužbi i žalbi (ili nekog žalbenog postupka koji se primjenjuje sukladno ugovoru sa sindikatom), treba ih uputiti državnom ili nacionalnom tijelu za zaštitu podataka ili tijelu za rad nadležnom za područje u kojem zaposlenik radi. Ovo također uključuje slučajeve kada se navodna zlouporaba njihovih osobnih podataka dogodila u Sjedinjenim Američkim Državama i za nju je odgovorna organizacija iz SAD-a koja je primila informacije od poslodavca, a ne poslodavac, te stoga uključuje navodno kršenje načela zaštite privatnosti, a ne nacionalnog zakonodavstva za provedbu Direktive. To će biti najučinkovitiji način da se riješe često preklapajuća prava i obveze koje nameće lokalno radno pravo i kolektivni ugovori te pravo o zaštiti podataka.

Organizacija iz SAD-a, sudionica u „sigurnoj luci”, koja koristi podatke o ljudskim resursima EU-a prenijete iz Europske unije u kontekstu radnog odnosa i koja želi da takvi prijenosi budu u okviru sigurnosti mora se iz tog razloga obvezati na suradnju u istragama i poštovanje savjeta nadležnih tijela EU-a u takvim slučajevima. Tijela za zaštitu podataka koja su pristala surađivati na ovakav način obavijestit će Europsku komisiju i Department of Commerce. Ako organizacija iz SAD koja sudjeluje u „sigurnoj luci” želi prenijeti podatke o ljudskim resursima iz države članice s čim se tijelo za zaštitu podataka nije složilo, primjenjuju se odredbe često postavljanog pitanja 5.

ČESTO POSTAVLJANO PITANJE 10 – ugovori iz članka 17.

P: Kada se podaci iz EU-a prenose u Sjedinjene Američke Države samo radi obrade, je li potreban ugovor, bez obzira što onaj koji obavlja obradu sudjeluje u „sigurnoj luci”?

O: Da. Nadzornici podataka iz Europske unije uvijek su obvezni sklopiti ugovor kada se prijenos izvršava radi same obrade, bez obzira hoće li se radnje obrade izvršiti u EU-u ili izvan nje. Svrha je ugovora zaštiti interese nadzornika podataka, tj. osobe ili tijela koji određuju svrhe i sredstva obrade i koji snose punu odgovornost za podatke prema dotičnom pojedincu (pojedincima). Stoga se u govoru definira obrada koja se treba izvršiti i sve mjere potrebne za očuvanje sigurnosti podataka.

Organizacija iz SAD koja sudjeluje u „sigurnoj luci” i prima osobne podatke iz EU-a samo radi obrade ne mora primijeniti načela na ove informacije budući da je nadzornik iz EU-a i dalje odgovoran za njih prema pojedincu, u skladu s odgovarajućim odredbama EU-a (koje mogu biti strože od jednakovrijednih načela „sigurne luke”).

Budući da sudionici „sigurne luke” pružaju primjerenu zaštitu, za ugovore sa sudionicima u „sigurnoj luci” radi same obrade nije potrebno prethodno odobrenje (ili će takvo ovlaštenje automatski davati države članice), kao što bi bilo potrebno za ugovore s primateljima koji ne sudjeluju u „sigurnoj luci” ili ne pružaju adekvatnu zaštitu na drugi način.

ČESTO POSTAVLJANO PITANJE br. 11 – Rješavanje sporova i provedba

P: Kako treba provoditi zahtjeve načela provedbe o rješavanju sporova i kako će se postupati prema konstantnom neuspjehu organizacije da se pridržava načela?

O: Načelo provedbe navodi zahtjeve za provedbu „sigurne luke”. Kako ispuniti zahtjeve iz točke (b) načela navedeno je u često postavljanom pitanju o provjeri (često postavljeno pitanje 7). Ovo često postavljano pitanje 11 raspravlja o točkama (a) i (c), koje obje traže neovisne mehanizme pravne zaštite. Ti mehanizmi mogu imati različite oblike, ali moraju ispunjavati zahtjeve načela provedbe. Organizacije mogu udovoljiti zahtjevima na sljedeće načine: 1. poštovanjem programa privatnosti koje je razvio privatni sektor koji imaju inkorporirana načela „sigurne luke” u svoja pravila i koji uključuju učinkovite mehanizme provedbe opisane u načelu provedbe; 2. poštovanjem zakonskih ili regulatornih nadzornih tijela koja predviđaju rješavanje pritužbi pojedinaca i sporova; ili 3. preuzimanjem obveze suradnje s tijelima nadležnima za zaštitu podataka smještenima u Europskoj uniji ili s njihovim ovlaštenim predstavnicima. Ovaj popis trebao bi biti ilustrativan, a ne ograničavajući. Privatni sektor može osmisliti druge mehanizme provedbe sve dok oni ispunjavaju zahtjeve načela provedbe i često postavljanih pitanja. Uzmite u obzir da su zahtjevi iz načela provedbe dodatak zahtjevima utvrđenima u stavku 3. uvoda u načela koji nalažu da samoregulatorni napori moraju biti provedivi prema članku 5. Fedral Trade Commission Act-a ili sličnog propisa.

Mehanizmi pravne zaštite

Potrošače treba poticati da podnose pritužbe koje mogu imati na određenu organizaciju prije nego što prijeđu na neovisne mehanizme pravne zaštite. Neovisnost mehanizma pravne zaštite činjenično je pitanje na koje se može odgovoriti na brojne načine, na primjer, transparentnom strukturom i financiranjem ili dokazima o poslovanju. Kao što zahtijeva načelo provedbe, pravna zaštita koja je na raspolaganju pojedincima mora biti lako dostupna i prihvatljiva. Tijela koja se bave rješavanjem sporova trebaju razmotriti svaku pritužbu koju prime od pojedinaca osim ako je očigledno neutemeljena ili neozbiljna. To ne sprečava organizaciju koja upravlja mehanizmom pravne zaštite da donese zahtjeve o prihvatljivosti, ali takvi zahtjevi trebaju biti transparentni i opravdani (na primjer, da isključuju pritužbe koje nisu obuhvaćene područjem primjene programa ili koje treba razmotriti na drugom forumu) i ne smiju potkopavati obvezu razmatranja opravdanih pritužbi. Osim toga, mehanizmi odštete trebaju ponuditi pojedincima potpune i lako dostupne informacije o funkcioniranju postupka rješavanja sporova kada ulažu žalbu. Takve informacije trebaju obuhvatiti obavijest o odnosu mehanizma prema praksama u vezi s privatnosti, u skladu s načelima„sigurne luke”, (3). Također trebaju surađivati u izradi alata kao što su standardni obrasci žalbi kako bi olakšali postupak rješavanja žalbi.

Pravni lijekovi i sankcije

Rezultat bilo kojeg pravnog lijeka koji nudi tijelo za rješavanje sporova treba biti takav da organizacija poništi ili ispravi učinke nepoštivanja, koliko god je to izvedivo i da ubuduće obrada organizacije bude u skladu s načelima i ako je primjereno, da se prestanu obrađivati osobni podaci pojedinca koji je podnio žalbu. Sankcije trebaju biti dovoljno stroge da osiguraju da organizacija poštuje načela. Niz sankcija različitih stupnjeva oštrine omogućavaju tijelima za rješavanje sporova da na odgovarajući način reagiraju na različite stupnjeve nepoštivanja. Sankcije trebaju uključivati i javno objavljivanje otkrivenih slučajeva nepoštivanja i zahtjev da se podaci obrišu u određenim okolnostima (4). Ostale sankcije mogu uključivati privremeno ukidanje i oduzimanje pečata, nadoknadu gubitaka pojedincima koje su pretrpjeli kao posljedicu nepoštivanja i sudske zabrane. Tijela privatnog sektora za rješavanje sporova i samoregulatorna tijela moraju obavijestiti vladina tijela odgovarajuće nadležnosti ili sudove o slučajevima nepoštivanja njihovih odluka od strane organizacija potpisnica načela sigurnosti, već prema tome što je primjerenije, te obavijestiti Department of Commerce (ili njegova ovlaštenog predstavnika).

Djelovanje Federal Trade Commission-a

Federal Trade Commission obvezao se prioritetno razmatrati proslijeđene obavijesti primljene od organizacija koje same reguliraju privatnost, kao što su BBBOnline i TRUSTe i od država članica EU-a o navodnom nepoštovanju načela „sigurne luke” kako bi utvrdila je li prekršen odjeljak 5. Federal Trade Commission Act-a koji zabranjuje nepošteno ili prijevarno djelovanje u trgovini. Ako Federal Trade Commission zaključi da je opravdano vjerovati da je prekršen odjeljak 5., može riješiti stvar traženjem upravnog naloga koji zabranjuje osporene radnje, ili ulaganjem tužbe saveznom okružnom sudu, koja ako bude uspješna, može dovesti do naloga saveznog suda s istim učinkom. Federal Trade Commission može ishoditi građansku sankciju za kršenja sudskog naloga o zabrani te može pokrenuti građansku parnicu ili kazneni postupak zbog nepoštivanja sudskog postupka na temelju kršenja naloga saveznog suda. Federal Trade Commission obavijestit će Department of Commerce o svakom takvom djelovanju koje je poduzelo. Department of Commerce potiče ostala vladina tijela da ga obavješćuju o konačnoj presudi o takvim proslijeđenim obavijestima ili ostalim odlukama kojima se utvrđuje poštuju li se načela „sigurne luke”.

Trajno nepridržavanje.

Ako se organizacija konstantno ne pridržava načela, više nema pravo na pogodnosti „sigurne luke”. Trajno nepridržavanje nastaje kada se organizacija koja se sama potvrdila Department of Commerc-u (ili njegovu ovlaštenom predstavniku) odbije pridržavati konačne odluke samoregulatornog ili vladinog tijela ili ako takva tijela utvrde da organizacija tako učestalo ne poštuje načela da njezina tvrdnja o pridržavanju više nije vjerodostojna. U tim slučajevima organizacija mora hitno obavijestiti Department of Commerce SAD-a (ili njegova ovlaštenog predstavnika) o tim činjenicama. Ako to propusti učiniti može biti kažnjena prema False Statements Act-u (18 U.S.C. § 1001).

Department (ili njegov ovlašteni predstavnik) navest će u svom javnom popisu organizacija koje same potvrđuju da se pridržavaju načela „sigurne luke” svaku obavijest o trajnom nepridržavanju bez obzira primi li je od same organizacije, od samoregulatornog tijela ili od vladina tijela, ali tek nakon što je prvo obavijesti trideset (30) dana unaprijed i pruži organizaciji koja se ne pridržava načela mogućnost da se očituje. Sukladno s tim, iz javnog popisa koji vodi Department of Commerce (ili njegov ovlašteni predstavnik) bit će jasno kojim organizacijama jesu, a kojima više nisu zajamčene pogodnosti „sigurne luke”.

Organizacija koja se prijavi za sudjelovanje u samoregulatornom tijelu kako bi ponovno stekla uvjete za sigurnost mora tom tijelu dostaviti sve informacije o svom prijašnjem sudjelovanju u zaštiti privatnosti.

ČESTO POSTAVLJANO PITANJE 12 – Mogućnost odabira - Trenutak odbijanja

P: Dopušta li načelo mogućnosti izbora pojedincu da iskoristi mogućnost odabira samo na početku odnosa ili bilo kada?

O: Općenito je svrha načela mogućnosti izbora osigurati korištenje i otkrivanje osobnih podataka na načine koji su u skladu s očekivanjima i željama pojedinca. Stoga, pojedincu treba biti omogućeno da „odustane” (ili ima izbor) korištenja njegovih osobnih podataka u svrhe izravnog marketinga bilo kada podložno razumnim ograničenjima koja je postavila organizacija, kao što je davanje organizaciji vremena da odustanak stupi na snagu. Organizacija može također tražiti dovoljno informacija da potvrdi identitet pojedinca koji zahtijeva „odustajanje”. U Sjedinjenim Američkim Državama pojedinci mogu koristiti ovu opciju uporabom središnjeg programa za „odustajanje” kao što je usluga mail preference organizacije Direct Marketing Association. Organizacije koje koriste uslugu mail preference organizacije Direct Marketing Association trebaju promicati njezinu dostupnost potrošačima koji ne žele primati komercijalne informacije. U svakom slučaju, pojedincu treba biti ponuđen lako dostupan i prihvatljiv mehanizam za korištenje ove mogućnosti.

Slično tome, organizacija može koristiti informacije u određene svrhe izravnog marketinga kada nije praktično ponuditi pojedincu mogućnost „odustajanja” prije korištenja informacija, ako organizacija bez odgađanja ponudi pojedincu mogućnost istodobnog (i na zahtjev bilo kada) odbijanja (bez troška za pojedinca) primanja izravnih komercijalnih obavijesti i organizacija ispoštuje želju pojedinca.

ČESTO POSTAVLJANO PITANJE 13 – Putne informacije

P: Kada se podaci o rezervaciji putnika avionom i ostale putne informacije, kao što su informacije o učestalim putnicima ili hotelskim rezervacijama i posebnim potrebama, kao što su obroci koji ispunjavaju vjerske zahtjeve ili fizička pomoć, mogu prenositi u organizacije izvan EU-a?

O: Takve se informacije mogu prenositi u nekoliko različitih okolnosti. Prema članku 26. Direktive, osobni se podaci mogu prenositi „u treću zemlju koja ne osigura primjerenu razinu zaštite u smislu članka 25 stavka 2.” ako je: 1. to potrebno da bi se pružile usluge koje traži potrošač ili da bi se ispunili uvjeti ugovora, kao što je ugovor o „čestim putnicima”; ili 2. je potrošač dao nedvosmislenu privolu za to. Organizacije iz SAD-a koje su sudionice„sigurne luke” pružaju primjerenu zaštitu osobnih podataka i stoga mogu primati podatke prenijete iz EU-a bez ispunjavanja ovih uvjeta ili ostalih uvjeta iz članka 26. Direktive. Budući da „sigurna luka” uključuje posebna pravila s obzirom na osjetljive informacije, takve informacije (koje možda moraju biti prikupljene, na primjer, vezano za potrebe korisnika za fizičkom pomoći) mogu biti obuhvaćene prijenosom sudionicima „sigurne luke”. U svim slučajevima, međutim, organizacija koja prenosi informacije mora poštovati pravo države članice EU-a u kojoj djeluje, koje može među ostalim nametnuti posebne uvjete za postupanje prema osjetljivim podacima.

ČESTO POSTAVLJANO PITANJE 14. Farmaceutski i medicinski proizvodi

1. P: Ako su osobni podaci prikupljeni u EU-u i prenijeti u Sjedinjene Američke Države radi farmaceutskog istraživanja i/ili ostalih svrha, primjenjuju li se zakoni države članice ili načela „sigurne luke”?

1. O: Pravo države članice primjenjuje se na prikupljanje osobnih podataka i na obradu koja se obavlja prije prijenosa u Sjedinjene Američke Države. Načela „sigurne luke” primjenjuju se na podatke tek kad budu prenijeti u Sjedinjene Američke Države. Podatke koji se koriste za farmaceutsko istraživanje i ostale svrhe treba učiniti anonimnima kada je to prikladno.

2. P: Osobni podaci koji se razrađuju u određenim studijama medicinskih ili farmaceutskih istraživanja često imaju vrijednu ulogu u budućem znanstvenom istraživanju. Ako se osobni podaci prikupljeni za jedno istraživanje prenose u organizaciju iz SAD-a koja je sudionica „sigurne luke”, može li organizacija koristiti podatke za novu znanstveno-istraživačku aktivnost?

2. O: Da, ako je inicijalno bila ponuđena odgovarajuća obavijest i mogućnost izbora. Takva obavijest treba dati informaciju o svim budućim specifičnim korištenjima podataka, kao što je periodično praćenje, povezano istraživanje ili marketing. Podrazumijeva se da ne mogu sva buduća korištenja podataka biti precizirana, budući da novo korištenje pri istraživanju može proizaći iz novih saznanja o izvornim podacima, novim medicinskim otkrićima i napretku, te razvojem u javnom zdravstvu i regulatornim događajima. Ako je to prikladno, obavijest stoga treba uključivati objašnjenje da je moguće da će se osobni podaci koristiti u budućim medicinskim i farmaceutskim istraživanjima koja su nepredviđena. Ako korištenje nije u skladu s općom istraživačkom svrhom (svrhama) za koju su podaci prvotno prikupljeni ili na koju je pojedinac pristao, naknadno se mora ishoditi novi pristanak.

3. P: Što se događa s podacima pojedinca ako se sudionik dobrovoljno ili na zahtjev sponzora odluči povući iz kliničkog ispitivanja?

3. O: Sudionici mogu odlučiti ili biti zamoljeni da se povuku iz kliničkog ispitivanja bilo kada. Svi podaci prikupljeni prije povlačenja ipak se mogu obraditi zajedno s ostalim podacima prikupljenima kao dio kliničkog ispitivanja, međutim ako je to bilo pojašnjeno sudioniku u obavijesti u trenutku kada je pristao sudjelovati.

4. P: Poduzeća koja proizvode lijekove i medicinske proizvode smiju davati osobne podatke iz kliničkih ispitivanja provedenih u EU-u regulatornim tijelima u Sjedinjenim Američkim Državama za regulatorne i nadzorne svrhe. Jesu li slični prijenosi dozvoljeni i prema drugim stranama osim regulatornih tijela, kao što su podružnice trgovačkih društava i ostali istraživači?

4. O: Da, u skladu s načelima obavijesti i mogućnosti izbora.

5. P: Kako bi se zajamčila objektivnost kliničkih ispitivanja njihovi sudionici, a često i istraživači, ne mogu dobiti pristup informacijama koju terapiju dobiva koji sudionik. Ako bi se to otkrilo ugrozila bi se valjanost istraživanja i rezultata. Hoće li sudionici takvih kliničkih ispitivanja (nazvanih istraživanja „naslijepo”) imati pristup podacima o svome liječenju tijekom ispitivanja?

5. O: Ne, takav pristup ne mora biti omogućen sudioniku ako mu je ovo ograničenje bilo objašnjeno kad je pristupio ispitivanju i kada bi otkrivanje takve informacije ugrozilo integritet istraživačkog napora. Pristanak na sudjelovanje u ispitivanju pod tim uvjetima je opravdan razlog za odricanje od prava pristupa. Nakon zaključenja ispitivanja i analize rezultata sudionici trebaju imati pristup svojim podacima ako to zatraže. Trebaju ga prvenstveno tražiti od liječnika ili drugih zdravstvenih djelatnika koji su ih liječili u sklopu kliničkog ispitivanja, ili tek zatim od poduzeća koje je sponzor.

6. P: Mora li poduzeće koje proizvodi farmaceutske i medicinske proizvode primjenjivati načela „sigurne luke” s obzirom na obavijest, mogućnost izbora, daljnji prijenos i pristup u svojim aktivnostima praćenja sigurnosti i učinkovitosti proizvoda, uključujući izvješćivanje o neželjenim učincima i praćenju pacijenata/osoba koje koriste određene lijekove ili medicinske proizvode (npr. pacemaker)?

6. O: Ne, u onoj mjeri u kojoj se pridržavanje načela kosi s poštovanjem regulatornih zahtjeva. To se odnosi i na izvješća, na primjer, pružatelja zdravstvene skrbi poduzećima koja proizvode lijekove i medicinske proizvode i na izvješća poduzeća koja proizvode lijekove i medicinske proizvode vladinim agencijama, poput Food and Drug Administration.

7. P: Podatke o istraživanju glavni istraživač redovito zaštićuje jedinstvenom šifrom na njihovom izvoru tako da se ne otkrije identitet pojedinih osoba čiji se podaci obrađuju. Farmaceutska poduzeća koja sponzoriraju takva istraživanja ne dobivaju šifru. Jedinstvenu šifru ima samo istraživač, tako da može identificirati sudionika istraživanja u posebnim okolnostima (npr. ako je potrebno praćenje liječenja). Da li prijenos tako šifriranih podataka iz EU-a u Sjedinjene Američke Države predstavlja prijenos osobnih podataka koji podliježe načelima „sigurne luke”?

7. O: Ne. Ovo ne predstavlja prijenos osobnih podataka koji bi podlijegao načelima.

ČESTO POSTAVLJANO PITANJE 15 – Javne evidencije i javno dostupne informacije

P: Moraju li se načela obavijesti, mogućnosti izbora i daljnjeg prijenosa primjenjivati na informacije iz javne evidencije ili na javno dostupne informacije?

O: Načela obavijesti, mogućnosti izbora i daljnjeg prijenosa ne moraju se primjenjivati na podatke iz javne evidencije ako oni nisu pomiješani s podacima iz nejavne evidencije i ako se poštuju uvjeti za savjetovanje koje je utvrdilo nadležno tijelo.

Također, općenito nije potrebno primjenjivati načela obavijesti, mogućnosti izbora i daljnjeg prijenosa na javno dostupne podatke osim ako europski prenositelj navede da takvi podaci podliježu ograničenjima koja zahtijevaju da organizacija primjenjuje ova načela za namjeravane uporabe. Organizacije neće biti odgovorne za to kako takve podatke koriste oni koji ih dobiju iz objavljenih materijala.

Ako se utvrdi da je organizacija namjerno objavila osobne podatke suprotno načelima kako bi ona ili ostali izvukli koristi od tih iznimaka, više neće imati pravo na pogodnosti „sigurne luke”.

(1) Uvrštenje ovog često postavljenog pitanja u paket ovisi o sporazumu tijelâ za zaštitu podataka. Radna skupina iz članka 29. razgovarala je o sadašnjem tekstu i većina ga smatra prihvatljivim, ali spremni su zauzeti konačno stajalište u kontekstu općenitog mišljenja koje će radna skupina objaviti o konačnom paketu.

(2) Vidjeti često postavljano pitanje 7 o provjeri.

(3) Tijela za rješavanje sporova ne moraju se pridržavati načela provedbe. Ona također mogu odstupiti od načela ako im se pojave proturječne obveze ili izričita ovlaštenja u izvršenju njihovih specifičnih zadaća.

(4) Tijela za rješavanje sporova imaju slobodu odlučivanja o okolnostima u kojima primjenjuju te sankcije. Osjetljivost dotičnih podataka je jedan od faktora koje treba uzeti u obzir pri odlučivanju hoće li biti potrebno brisati podatke, kao što je i činjenica je li organizacija prikupila, koristila ili otkrila informacije u očitoj suprotnosti s načelima.

PRILOG III.

Pregled provedbe „sigurne luke”

Federalne i državne ovlasti s obzirom na „nepoštene i prijevarne radnje” i privatnost

Ovaj memorandum opisuje ovlast Federal Trade Commission (FTC) sukladno s odjeljkom 5. Federal Trade Commission Act-a (15 U.S.C. §§ 41-58, s izmjenama) za poduzimanje mjera protiv onih koji ne štite privatnost osobnih podataka u skladu s njihovim izjavama i/ili obvezama da to čine. Također govori o iznimkama u vezi s tim ovlaštenjem i mogućnostima ostalih saveznih i državnih agencija da poduzimaju mjere ako FTC nema ovlast (1).

Ovlast FTC-a u vezi s nepoštenim i prijevarnim radnjama

Odjeljak 5. Federal Trade Commission Act-a proglašava „nepoštene ili prijevarne radnje ili postupke u trgovini ili one koji utječu na trgovinu” nezakonitima. 15 U.S.C. § 45(a)(1). Odjeljak 5. daje FTC-u neograničenu ovlast da sprečava takve radnje i postupke. 15 U.S.C. § 45(a)(2). Sukladno s tim FTC može nakon završenog službenog saslušanja izdati „nalog o zabrani” da bi prekinuo kažnjivo ponašanje. 15 U.S.C. § 45(b). Ako bi to bilo u javnom interesu, FTC također može od okružnog suda SAD-a zatražiti privremenu sudsku zabranu ili privremenu ili trajnu mjeru. 15 U.S.C. § 53(b). U slučajevima kada su nepošteni ili prijevarni postupci ili radnje jako rašireni ili ako je već izdao nalog za zabranu neke pojave, FTC može donijeti upravni propis o spomenutim radnjama ili postupcima. 15 U.S.C. § 57a.

Svatko tko ne poštuje nalog FTC-a može biti kažnjen iznosom i do 11 000 USD, s tim da svaki sljedeći dan kršenja predstavlja novo kršenje (2). 15 U.S.C. § 45(1). Isto tako, svakome tko svjesno krši pravilo FTC-a može se izreći kazna od 11 000 USD za svako kršenje. 15 U.S.C. § 45(m). Odgovarajući postupak može pokrenuti Department of Justice ili ako ono odbije, FTC. 15 U.S.C. § 56.

Ovlast FTC-a i privatnost

Koristeći svoje ovlasti iz odjeljka 5., FTC zastupa stajalište da lažno prikazivanje razloga za prikupljanje podataka o potrošaču ili načina korištenja podataka predstavlja prijevarni postupak (3). Na primjer FTC je 1998. podnio tužbu protiv društva GeoCities radi otkrivanja podataka koje je prikupio na svojoj internetskoj stranici trećim stranama da bi privukli korisnike i to bez prethodnog dopuštenja, unatoč svojim izjavama o suprotnom (4). FTC-ovo osoblje je također potvrdilo da prikupljanje osobnih podataka od djece, te prodaja i otkrivanje tih podataka bez pristanka roditelja može biti prijevarni postupak (5).

U pismu glavnom direktoru Europske komisije, Johnu Moggu, predsjedatelj FTC-a Pitofsky naveo je ograničenja u ovlasti FTC-a da zaštiti privatnost ako nije bilo lažnog prikazivanja (ili nikakve izjave) u vezi s korištenjem prikupljenih podataka. Pismo predsjedatelja FTC-a Pitofskyog Johnu Moggu (23. rujna 1998.). Međutim, trgovačka društva koja žele iskoristiti predloženu „sigurnu luku” moraju potvrditi da će zaštiti podatke koje prikupe u skladu s propisanim smjernicama. Shodno tome, ako trgovačko društvo potvrdi da će zaštititi privatnost podataka a onda to ne učini, takva će radnja predstavljati lažno prikazivanje i „prijevarni postupak” u smislu odjeljka 5.

Kako FTC-ova nadležnost obuhvaća nepoštene ili prijevarne postupke ili radnje „u trgovini ili one koji utječu na trgovinu”, FTC neće biti nadležan za prikupljanje i korištenje osobnih podataka u nekomercijalne svrhe, na primjer, prikupljanje sredstava u dobrotvorne svrhe. Vidjeti pismo Pitofskyja, str. 3. Međutim, korištenje osobnih podataka u nekoj poslovnoj transakciji zadovoljit će ovu pravnu osnovu. Tako bi na primjer, poslodavčeva prodaja osobnih podataka o svojim zaposlenicima poduzećima koja se bave izravnim marketingom bila transakcija u području primjene odjeljka 5.

Iznimke propisane odjeljkom 5.

Odjeljak 5. utvrđuje iznimke u ovlasti FTC-a nad nepoštenim ili prijevarnim postupcima ili radnjama s obzirom na:

— financijske ustanove, uključujući banke, štedno-kreditne ustanove te kreditne unije,

— telekomunikacijske operatore i javne prijevoznike u međudržavnom prijevozu,

— zračne prijevoznike, te

— proizvođače mesnih prerađevina i trgovce stokom.

Vidjeti 15 U.S.C. § 45(a)(2). U nastavku teksta govori se o svim iznimkama i regulatornom tijelu koje preuzima njegovo mjesto.

Financijske institucije (6)

Prva se iznimka primjenjuje na „banke, štedne i kreditne institucije opisane u odjeljku 18. točki (f) podtočki (3) [15 U.S.C. § 57a(f)(3)]” i „savezne kreditne unije opisane u odjeljku 18. točki (f) podtočki (4) [15 U.S.C. § 57a(f)(4)]” (7). Te financijske institucije pak podliježu propisima koje je izdao Federal Reserve Bord, Office of Thrift Supervision, (8), odnosno National Credit Union Administration Board. Vidjeti 15 U.S.C. § 57a(f). Te su regulatorne agencije dobile upute da donesu propise potrebne za sprečavanje nepoštenih i prijevarnih radnji tih financijskih institucija (9) i da osnuju zaseban odjel koji će se baviti pritužbama potrošača. 15 U.S.C. § 57a(f)(1). Konačno, ovlast za provedbu proizlazi iz odjeljka 8. Federal Deposit Insurance Act-a (12 U.S.C. § 1818), za banke i štedne i kreditne institucije, te odjeljaka 120 i 206 Federal Credit Union Act-a, za savezne kreditne unije. 15 U.S.C. §§ 57a(f)(2)-(4).

Iako sektor osiguranja nije izričito uključen u popis iznimaka u odjeljku 5., McCarran-Ferguson Act (15 U.S.C. § 1011 et seq.) općenito prepušta regulaciju osiguravajuće djelatnosti svakoj državi pojedinačno (10). Nadalje, sukladno s odjeljkom 2. točkom (b) McCarran-Ferguson Act-a, niti jedan savezni zakon neće ukinuti, narušiti ili zamijeniti državne propise „osim ako se takav zakon izričito odnosi na djelatnost osiguranja”. 15 U.S.C.§ 1012(b). Međutim, odredbe FTC Act-a primjenjuju se na sektor osiguranja „u onoj mjeri u kojoj njihovo poslovanje nije regulirano državnim zakonom.” ibid. Treba također napomenuti da McCarran-Ferguson Act daje prednost državnim zakonima samo u odnosu na „djelatnost osiguranja”. Stoga FTC zadržava preostali dio ovlasti nad nepoštenim ili prijevarnim radnjama osiguravajućih društava u aspektima poslovanja koji se ne odnose na osiguranje. To na primjer može uključivati slučajeve kada osiguravatelji prodaju osobne podatke o nositeljima njihovih polica poduzećima koja se bave izravnim marketingom proizvoda koji nisu proizvodi osiguranja (11).

Javni prijevoznici

Druga iznimka iz odjeljka 5. obuhvaća one javne prijevoznike koji podliježu „zakonima koji reguliraju trgovinu” 15 U.S.C. § 45(a)(2). U ovom se slučaju „zakoni koji reguliraju trgovinu” odnose na podnaslov IV. glavu 49. United States Code-a i to Communications Act-a iz 1934. (47 U.S.C. § 151 et seq.) (Communications Act). Vidjeti 15 U.S.C. § 44.

49 U.S.C. podnaslov IV. (međudržavni prijevoz) obuhvaća prijevoznike u željezničkom, automobilskom i vodenom prometu, posrednike, špeditere i poduzeća koja se bave prometom cjevovodima, 49 U.S.C. § 10101 et seq. Ti različiti javni prijevoznici podliježu regulaciji od strane Surface Transportation Board-a, neovisne agencije u sklopu Department of Transportation., 49 U.S.C. §§ 10501, 13501 i 15301. U svakom slučaju, prijevozniku je zabranjeno otkrivati podatke o vrsti, odredištu i ostalim aspektima svog tereta koji bi se mogli iskoristiti na pošiljateljevu štetu. Vidjeti 49 U.S.C. §§ 11904, 14908 i 16103. Ističemo da se te odredbe odnose na podatke koji se tiču pošiljateljeva tereta i stoga se ne čini da obuhvaćaju osobne podatke o pošiljatelju koji nisu vezani za dotičnu pošiljku.

Što se tiče Communications Act-a, on predviđa regulaciju „međudržavne trgovine i trgovine s inozemstvom žičnom i radijskom komunikacijom” od strane Federal Communications Commission (FCC). Vidjeti 47 U.S.C. §§ 151 i 152. Osim na javna telekomunikacijska poduzeća, Communications Act također se primjenjuje na trgovačka društva kao što su televizijske i radio postaje i pružatelji kabelskih usluga koji nisu javni operateri. Ova potonja trgovačka društva kao takva ne ispunjavaju uvjete za iznimku sukladno s odjeljkom 5. FTC Act-a. Tako FTC ima nadležnost istraživati nepoštene i prijevarne radnje u tim trgovačkim društvima, dok je FCC ravnopravno nadležan za provođenje svoje neovisne ovlasti na tom području kao što je opisano u nastavku.

Sukladno sa Communications Act-om, „svaki telekomunikacijski operater”, uključujući i lokalne telefonske centrale, ima dužnost zaštititi privatnost privatnih mrežnih podataka o korisniku (12), 47 U.S.C. § 222(a). Osim ove opće ovlasti za zaštitu privatnosti, Communications Act je bio izmijenjen Cable Communications Policy Act iz 1984. („Cable Act”), 47 U.S.C. § 521 et seq., kako bi izričito propisao da kabelski operateri moraju zaštititi privatnost „informacija koje omogućavaju identitificiranje osobe” o pretplatnicima kabelske mreže, 47 U.S.C. § 551 (13). Cable Communications Policy Act ograničuje kabelske operatore u prikupljanju osobnih podataka i zahtjeva da obavijeste pretplatnika o vrsti prikupljenih informacija i kako će se one koristiti. Cable Communications Policy Act daje pretplatnicima pravo pristupa vlastitim podacima i pravo zahtjeva kabelskim operaterim za uništenje tih podatke kada ih više ne budu trebali.

Communications Act ovlašćuje FCC da provede te dvije odredbe o privatnosti, bilo na vlastitu inicijativu ili kao odgovor na vanjsku pritužbu (14), 47 U.S.C. §§ 205, 403; ibid. § 208. Ako FCC utvrdi da je telekomunikacijski operater (uključujući i kabelskog operatera) prekršio odredbe o privatnosti iz odjeljka 222. ili odjeljka 551., postoje tri osnovne mjere koje može poduzeti. Prvo, nakon saslušanja i utvrđivanja kršenja, povjerenstvo može narediti operateru da plati novčanu odštetu (15), 47 U.S.C. § 209. Umjesto toga FCC može narediti operateru da prestane s kažnjivim postupanjem ili propuštanjem, 47 U.S.C. § 205(a). I konačno, povjerenstvo može također narediti operateru koji čini prekršaj da „se uskladi i poštuje (neki) propis ili postupak” koji mu FCC može propisati. ibid.

Fizičke osobe koje vjeruju da je telekomunikacijski ili kabelski operator prekršio određene odredbe Communications Act-a ili Cable Communications Policy Act-a, mogu podnijeti tužbu FCC-u ili pokrenuti postupak pred saveznim okružnim sudom, 47 U.S.C. § 207. Tužitelj koji uspije u sporu pred saveznim sudom protiv telekomunikacijskog operatera zbog propusta da zaštititi privatne podatke korisnika u smislu odjeljka 222. Communications Act-a može dobiti naknadu stvarne štete i troškove odvjetnika. 47 U.S.C. § 206. Tužitelju koji podnese tužbu zbog kršenja privatnosti prema odjeljku 551. Cable Act-a koji se odnosi na kabelske operatere, mogu se osim stvarne štete i troškova zastupanja također dosuditi kaznena odšteta i razumni parnični troškovi. 47 U.S.C. § 551(f).

FCC je donio detaljna pravila za provedbu odjeljka 222. Vidjeti 47 CFR 64.2001-2009. Ta pravila propisuju određene zaštitne mjere od neovlaštenog pristupa vlasničkim mrežnim podacima o korisnicima. Propisi traže od telekomunikacijskih operatera da:

— razviju i uvedu računalne sustave koji „prikazuju” obaviještenost i odobrenje korisnika za korištenje njegovih podataka kada se prvi put na ekranu pojavi korisnikov dosje,

— vode elektronički „revizijski trag” kako bi se pratio pristup korisnikovom računu, uključujući podatke o tome kada je korisnikov dosje otvaran, tko ga je otvarao i u koju svrhu,

— osposobljavaju svoje osoblje za ovlašteno korištenje vlasničkih mrežnih informacija o korisnicima, uz uvedene odgovarajuće disciplinske postupke,

— uvedu postupak kontrolne provjere kako bi osigurali usklađenosti pri vanjskom marketingu, i

— svake godine potvrđuju FCC-u kako poštuju te propise.

Zračni prijevoznici

Zračni prijevoznici iz SAD-a i strani zračni prijevoznici koji podliježu Federal Aviation Act-u iz 1958. također su izuzeti od odjeljka 5. FTC Act-a. Vidjeti 15 U.S.C. § 45(a)(2). Ovo uključuje sve koji obavljaju međudržavni ili inozemni prijevoz robe ili putnika, ili koji avionom prevoze poštu. Vidjeti 49 U.S.C. § 40102. Zračni prijevoznici su pod nadležnošću Department of Transportation-a. U tom je pogledu Secretary of Transportation ovlašten poduzimati mjere koje „sprečavaju nepoštene, prijevarne, predatorske postupke ili protutržišna djelovanja u zračnom prijevozu”. 49 U.S.C. § 40101(a)(9). Secretary of Transportation može ispitati je li zračni prijevoznik iz SAD-a ili inozemstva, ili agent koji prodaje karte, sudjelovao u nepoštenim ili prijevarnim radnjama, ako je to u javnom interesu. 49 U.S.C. § 41712. Nakon saslušanja Secretary of Transportation može izdati nalog za prekid nezakonitog postupka, ibid. Koliko nam je poznato, Secretary of Transportation nije iskoristio ovu ovlast kako bi pokrenuo pitanje zaštite privatnosti osobnih podataka korisnika zračnog prijevoza (16).

Postoje dvije odredbe koje štite privatnost osobnih podataka i primjenjuju se na zračne prijevoznike u određenim kontekstima. Prvo, Federal Aviation Act štiti privatnost kandidata za pilote. Vidjeti 49 U.S.C. § 44936(f). Dok omogućava zračnim prijevoznicima da dobiju kandidatovu radnu knjižicu, daje kandidatu pravo na obavijest da je knjižica zatražena, da odobri zahtjev, da ispravi netočne podatke i da pokaže knjižicu samo onima koji su uključeni u donošenje odluke o zapošljavanju. Drugo, uredbe DOT zahtijevaju da se očite informacije o putnicima prikupljene za vladine potrebe u slučaju avionske katastrofe „čuvaju kao povjerljive i otkriju samo US Department of State, National Transportation Board-u (na zahtjev NTSB-a) i U.S. Department of Transportation”. 14 CFR dio 243, § 243.9(c) (dopunjen 63 FR 8258).

Proizvođači mesnih prerađevina i trgovci stokom

S obzirom na Packers and Stockyards Act iz 1921. (7 U.S.C. § 181 et seq.), zakon proglašava nezakonitim da „proizvođač mesnih prerađevina, s obzirom na stoku, meso, mesne prerađevine ili stočne proizvode u neprerađenom obliku, ili za trgovce živom peradi, obzirom na živu perad, sudjeluje u nepoštenim, nepravedno diskriminirajućim ili prijevarnim postupcima ili sredstvu, ili iste primjenjuje”. 7 U.S.C. § 192(a); vidjeti također 7 U.S.C. § 213(a) (koji zabranjuje „bilo kakav nepošten, nepravedno diskriminirajući ili prijevarni postupak ili sredstvo” u odnosu na stoku). Secretary of Agriculture ima primarnu odgovornost provoditi ove odredbe, dok FTC zadržava nadležnost nad maloprodajnim transakcijama i onima koje se odnose na peradarstvo. 7 U.S.C. § 227(b)(2).

Nije jasno hoće li Secretary of Agriculture tumačiti propust proizvođača mesnih prerađevina ili trgovaca stokom da zaštititi privatnost u skladu s navedenom politikom kao postupak „prijevare” prema Packers and Stockyards Act-u. Međutim, iznimka iz odjeljka 5. primjenjuje se na osobe, partnerstva ili korporacije samo „u mjeri u kojoj podliježu Packers and Stockyards Act-u”. Stoga, ako zaštita osobnih podataka nije pitanje iz područja primjene Packers and Stockyards Act-a, tada se iznimka iz odjeljka 5. ne mora primjenjivati, pa bi proizvođači mesnih prerađevina i trgovci stokom bili pod nadležnošću FTC-a u tom pogledu.

Ovlasti država nad „nepoštenim i prijevarnim radnjama”

Prema analizi koju je napravilo osoblje FTC-a, „svih 50 država te District of Columbia, Guam, Puerto Rico i Djevičanski otoci usvojili su zakone koji su više ili manje slični Federal Trade Commission Act-u (‚FTCA’) radi sprečavanja nepoštene ili prijevarne trgovačke prakse”. Informativni list FTC-a, prenijet u „Komentar, Zaštita potrošača: Praktična učinkovitost državnih zakona o nepoštenim trgovinskim praksama”, 59 Tul, L. Rev. 427 (1984). U svim slučajevima, agencija za provedbu ima ovlast „provoditi istrage korištenjem sudskih poziva pod prijetnjom kazne ili građanskih zahtjeva za istragu, tražiti uvjerenja o dobrovoljnom pridržavanju, izdavati sudske naloge o zabrani ili ishoditi sudske naloge za sprečavanje primjene nepoštenih, nesavjesnih ili prijevarnih trgovačkih praksi, ibid. U 46 jurisdikcija, zakon dopušta privatne tužbe za stvarnu, dvostruku, trostruku ili kaznenu odštetu, a u nekim slučajevima i naknadu troškova i troškova zastupanja. Ibid.”

Deceptive and Unfair Trade Practices Act Floride, na primjer, ovlašćuje javnog tužitelja da istražuje i pokreće građanske postupke protiv „nepoštenih načina tržišnog natjecanja, nepoštenih, nesavjesnih ili prijevanih trgovačkih praksi”, uključujući lažno ili zavaravajuće reklamiranje, obmanjujuće prilike za franchise ili poslovanje, lažni telemarketing i piramidalne sheme. Vidjeti također Opći poslovni zakon New Yorka § 349 (koji zabranjuje nepoštene postupke i prijevarne radnje tijekom obavljanja djelatnosti).

Anketa koju je ove godine proveo National Association of Attorneys General (NAAG) potvrđuje ove rezultate. Od 43 države koje su sudjelovale, sve imaju „mini-FTC” propise ili ostale propise koji osiguravaju sličnu zaštitu. Također, prema anketi NAAG-a, 39 država navelo je da bi imale ovlast voditi postupak kojeg je pokrenula osoba koja nema boravište u dotičnoj državi. S obzirom na privatnost potrošača, 37 od 41 države koje su odgovorile navelo je da bi reagirale na pritužbe koje navode da trgovačko društvo pod njihovom nadležnošću ne poštuje vlastitu politiku o privatnosti koju je samo objavilo.

(1) Ovdje se ne raspravljaju svi različiti savezni propisi koji se bave privatnošću u specifičnim kontekstima ni propisi država i common law koji bi se mogli primjenjivati. Propisi na saveznoj razini koji reguliraju komercijalno prikupljanje i korištenje osobnih podataka uključuje Cable Communications Policy Act (47 U.S.C. § 551), Driver's Privacy Protection Act (18 U.S.C. § 2721), Electronic Communications Privacy Act (18 U.S.C. § 2701 et seq.), Electronic Funds Transfer Act(15 U.S.C. §§ 1693, 1693m), Fair Credit Reporting Act (15 U.S.C. § 1681 et seq.), Right to Financial Privacy Act (12 U.S.C. § 3401 et seq.), Telephone Consumer Protection Act (47 U.S.C. § 227) i Video Privacy Protection Act (18 U.S.C. § 2710), među ostalima. Mnoge države imaju analogne zakone na tim područjima. Vidjeti npr., Mass. Gen. Laws ch. 167B, § 16 (koji zabranjuje financijskim ustanovama da otkrivaju financijske podatke o klijentima trećoj osobi bez klijentova pristanka ili sudskog postupka), N.Y. Pub. Health Law § 17 (koji ograničuje korištenje i otkrivanje podataka o zdravstvenom ili duševnom stanju pacijenata i daje pacijentima pravo pristupa istima).

(2) Kod takvog postupanja, okružni sud Sjedinjenih Američkih Država može također izdati sudski nalog i pravičnu naknadu prikladnu za provedbu naloga FTC-a. 15 U.S.C. § 45(1).

(3) „Prijevarni postupak” definira se kao izjava, propust ili praksa za koju je vjerojatno da će zavarati razumne potrošače.

(4) Vidjeti www.ftc.gov/opa/1998/9808/geocitie.htm.

(5) Vidjeti dopis osoblja za Center for Media Education, www.ftc.gov/os/1997/9707/cenmed.htm. Osim toga, Children's Online Privacy Protection Act iz 1998. daje FTC-u specifičnu zakonsku ovlast da regulira prikupljanje osobnih podataka od djece putem internetskih stranica i pružatelja internetskih usluga. Vidjeti 15 U.S.C. §§ 6501-6506. Zakon osobito zahtijeva od pružatelja internetskih usluga da obavijeste roditelje i ishode njihov pristanak prije prikupljanja korištenja ili otkrivanja osobnih podataka djece i koji se može provjeriti. Ibid., § 6502(b). Taj zakon također daje roditeljima pravo pristupa i pravo da odbiju dati dozvolu za nastavak korištenja informacija. Ibid.

(6) 12. studenoga 1999. Predsjednik Clinton potpisao je kao zakon Gramm-Leach-Bliley Act (Pub. L. 106-102, codified at 15 U.S.C. § 6801 et seq.). Taj Zakon ograničuje financijske ustanove u otkrivanju osobnih podataka svojih klijenata. Zakon traži od financijskih ustanova da, između ostaloga, obavijeste sve klijente o svojim politikama privatnosti i praksom u pogledu otkrivanja osobnih podataka svojim povezanim i nepovezanim društvima. Ovaj Zakon ovlašćuje FTC savezna bankarska tijela i ostala tijela da donose propise za provedbu zaštite privatnosti u skladu sa zakonom. Agencije su u tu svrhu izdale predložene propise.

(7) Prema vlastitim odlukama ova se iznimka ne primjenjuje na sektor vrijednosnih papira. Stoga brokeri, dileri i ostali koji posluju s vrijednosnim papirima podliježu istodobnoj nadležnosti Securities and Exchange Commission i FTC-a u pogledu nepoštenih ili prijevarnih postupaka i radnji.

(8) Iznimka u odjeljku 5. izvorno se odnosila na Federal Home Loan Bank Board kojeg je ukinuo Financial Institutions Reform, Recovery and Enforcement Act iz kolovoza 1989. Njegove su funkcije prenijete na Office of Thrift

Supervision and to the Resolution Trust Corporation, the Federal Deposit Insurance Corporation, and the Housing Finance Board.

(9) Ukidajući nadležnost FTC-a nad financijskim ustanovama, odjeljak 5. također određuje da kad FTC objavi neko pravilo o nepoštenim ili prijevarnim postupcima i radnjama, financijski regulatorni odbori trebaju usvojiti paralelne propise u roku od 60 dana. Vidjeti 15 U.S.C. § 57a(f)(1).

(10) „Djelatnost osiguranja i svaka osoba koja se njome bavi podliježe zakonima nekoliko država koji se odnose na regulaciju ili oporezivanje te djelatnosti”, 15 U.S.C. § 1012(a).

(11) FTC je koristio nadležnost nad osiguravajućim društvima u različitim kontekstima. U jednom je slučaju FTC poduzeo mjere protiv jednog društva radi lažnog oglašavanja u državi u kojoj nije imala dozvolu za rad. FTC-ova nadležnost je bila potpomognuta činjenicom da nije bilo učinkovite državne regulacije jer je društvo u stvarnosti bilo izvan dosega države. Vidjeti FTC v. Travelers Health Association, 362 U.S. 293 (1960).

Što se tiče država, 17 ih je usvojilo nacrt „Insurance Information and Privacy Protection Act-a” kojeg je sastavilo National Association of Insurance COmmissioners (NAIC). Propis uključuje odredbe o obavješćivanju, korištenju i otkrivanju, te pristupu. Gotovo sve države usvojile su NAIC-ov predložak „Unfair Insurance Practices Act”, koji je izričito usmjeren na nepoštene trgovinske prakse u sektoru osiguranja.

(12) Pojam „privatnih mrežnih podataka o korisniku” podrazumijeva informacije koje se odnose na korisnikovu „količinu, tehničku konfiguraciju, vrstu, namjenu i vrijednost telekomunikacijskih usluga koje koriste” te informacije o telefonskom obračunu, 47 U.S.C. § 222(f)(1). Međutim, pojam ne uključuje informacije o popisu pretplatnika. Ibid.

(13) Zakonodavstvo ne definira izričito „informacije koje omogućavaju identitificiranje osobe”.

(14) Ova ovlast obuhvaća prava na pravnu zaštitu zbog kršenja privatnosti, i prema odjeljku 222. Zakona o komunikacijama ili, kada se radi o kablovskim pretplatnicima, prema odjeljku 551. Zakona o kabelskim komunikacijama kao izmjena Zakona. Vidjeti također 47 U.S.C. § 551(f)(3) (građanski postupak na

Saveznom okružnom sudu nije isključivi pravni lijek, koji se nudi „pored nekog drugog zakonitog pravnog lijeka koji stoji na raspolaganju kablovskim pretplatnicima”).

(15) Međutim, nepostojanje izravne štete za tužitelja nije razlog da se tužba odbaci. 47 U.S.C. § 208(a).

(16) Shvaćamo da postoje napori unutar ove gospodarske grane da se riješi pitanje privatnosti. Predstavnici ove grane su razgovarali o predloženim načelima zaštite i njihovoj mogućoj primjeni na zračne prijevoznike. Rasprava je obuhvatila prijedlog da se usvoji politika zaštite privatnosti unutar ove grane, prema kojoj bi se tvrtke sudionice stavile pod izričitu nadležnost DOT-a.

PRILOG IV.

Odštete za kršenje privatnosti, zakonske ovlasti te spajanja i preuzimanja prema pravu SAD-a

Ovo je odgovor na zahtjev Europske komisije za objašnjenje prava SAD-a u odnosu na (a) zahtjeve za odštetu zbog kršenja privatnosti, (b) „izričite ovlasti” u pravu SAD-a za uporabu osobnih podataka na način koji je u skladu s načelima „sigurne luke”, te (c) utjecaj spajanja i preuzimanja na obveze preuzete sukladno načelima „sigurne luke”.

A. Odštete zbog kršenja privatnosti

Nepoštovanje načela „sigurne luke” može dovesti do brojnih privatnih tužbi ovisno o danim okolnostima. Organizacije potpisnice načela „sigurne luke” mogu se smatrati odgovornima za lažno prikazivanje svoga nepridržavanja politike zaštite privatnosti za koju su naveli da je se pridržavaju. Common law također omogućava privatne razloge za pokretanje postupka za naknadu štete zbog kršenja privatnosti. Mnogi savezni i državni propisi o privatnosti također predviđaju naknadu štete fizičkim osobama zbog tog kršenja.

Pravo na naknadu štete zbog narušavanja privatnosti jasno je utvrđeno prema common law-u SAD-a.

Korištenje osobnih podataka koje nije u skladu s načelima „sigurne luke” može biti razlogom pravne odgovornosti prema nizu različitih pravnih teorija. Na primjer i nadzornik podataka koji se prenose i pogođeni pojedinci mogu tužiti organizacije potpisnice načela „sigurne luke” koje ne ispunjavaju svoje obveze zaštite za lažno prikazivanje. Prema Restatement of the Law, Second, Torsts (1), vrijedi sljedeće:

Onaj tko s namjerom prijevare lažno prikaže činjenicu, mišljenje, namjeru ili zakon da bi potakao drugog da nešto poduzme ili ne poduzme oslanjajući se na to, odgovoran je osobi dovedenoj u zabludu nadoknaditi novčani gubitak koji mu je izazvao njegovim opravdanim oslanjanjem na lažno prikazano.

Restatement, § 525. Lažno prikazivanje ima „prijevarnu namjeru” ako je učinjeno svjesno ili u uvjerenju da je netočno. Ibid., § 526. Općenito, osoba koja lažno prikazuje s namjerom prijevare potencijalno je odgovorna svakome prema kome ima namjeru ili očekuje od njega da se pouzda u lažno prikazivanje za svaki novčani gubitak koji može pretrpjeti kao posljedicu. Ibid. 531. Nadalje, strana koja se lažno prikazuje drugima s namjerom prijevare može biti odgovorna trećoj osobi ako počinitelj štete ima namjeru ili očekuje da njegovo lažno prikazivanje bude ponovljeno