A Bizottság határozata

(2000. július 26.)

a 95/46/EK európai parlamenti és tanácsi irányelv alapján, az Egyesült Államok Kereskedelmi Minisztériuma által kiadott "biztonságos kikötő" adatvédelmi elvek által biztosított védelem megfelelőségéről és az ezzel kapcsolatos gyakran felvetődő kérdésekről

(az értesítés a C(2000) 2441. számú dokumentummal történt)

(EGT vonatkozású szöveg)

(2000/520/EK)

AZ EURÓPAI KÖZÖSSÉGEK BIZOTTSÁGA,

tekintettel az Európai Közösséget létrehozó szerződésre,

tekintettel a személyes adatok kezelése vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelvre [1] és különösen annak 25. cikke (6) bekezdésére,

mivel:

(1) A 95/46/EK irányelv alapján a tagállamoknak rendelkezniük kell arról, hogy személyes adatok harmadik országba történő továbbítása csak akkor történhessen meg, ha a szóban forgó harmadik ország megfelelő szintű védelmet biztosít, és ha az irányelv más rendelkezéseit végrehajtó tagállami jogszabályokat az adattovábbítást megelőzően figyelembe vették.

(2) A Bizottság megállapíthatja, hogy egy harmadik ország megfelelő szintű védelmet biztosít. Ilyen esetben a személyes adatok a tagállamokból anélkül továbbíthatók, hogy további garanciákra lenne szükség.

(3) A 95/46/EK irányelv alapján, az adatvédelem szintjét az adattovábbítási művelet vagy az adattovábbítási műveletsorozat összes körülményének és az adott feltételeknek a figyelembevételével kell értékelni. A fenti irányelv alapján a személyes adatok kezelése vonatkozásában az egyének védelmére létrehozott munkacsoport [2] útmutatást adott ki az ilyen értékelések elkészítéséhez [3].

(4) Mivel a harmadik országok az adatvédelem eltérő megközelítéseit alkalmazzák, a megfelelőség értékelését és a 95/46/EK irányelv 25. cikkének (6) bekezdésén alapuló bármilyen határozatot oly módon kell végrehajtani, hogy az ne tegyen önkényes vagy indokolatlan megkülönböztetést olyan harmadik országokkal szemben vagy azok között, ahol hasonló feltételek uralkodnak, illetve ne képezzen leplezett kereskedelmi akadályt, figyelembe véve a Közösség jelenlegi nemzetközi kötelezettségeit.

(5) Az e határozat által elismert, a Közösségből az Egyesült Államokba történő adattovábbításra vonatkozó megfelelő szintű védelem elérhető, ha a szervezetek teljesítik az Egyesült Államok kormánya által 2000. július 21-én kiadott, az egy tagállamból az Egyesült Államokba továbbított személyes adatok védelmére vonatkozó "biztonságos kikötő" adatvédelmi elveket (a továbbiakban: az elvek) és az elvek végrehajtására vonatkozó útmutatást biztosító, gyakran felvetődő kérdéseket (a továbbiakban: GYFK). Ezenfelül a szervezeteknek nyilvánosságra kell hozniuk adatvédelmi politikájukat, és el kell fogadniuk a Szövetségi Kereskedelmi Bizottság (FTC) joghatóságát a Szövetségi Kereskedelmi Bizottságról szóló törvény 5. szakasza alapján, amely megtiltja a tisztességtelen vagy megtévesztő cselekményeket vagy gyakorlatokat a kereskedelemben vagy azzal kapcsolatban, vagy más hatósági szerv joghatóságát, amely hatékonyan biztosítja a gyakran felvetődő kérdésekkel összhangban bevezetett elveknek való megfelelést.

(6) A határozat VII. mellékletében felsorolt egyesült államokbeli kormányzati szervek egyikének joghatósága alá sem tartozó ágazatok és/vagy adatfeldolgozás e határozat hatályán kívül esik.

(7) E határozat megfelelő alkalmazásának biztosítása érdekében szükséges, hogy az elveket és GYFK-t elfogadó szervezetek az érdekelt felek – mint például az érintettek, adatátadók és adatvédelmi hatóságok – által elismerhetőek legyenek. E célból az Egyesült Államok Kereskedelmi Minisztériumának vagy az általa kijelölt szervnek vállalnia kell az olyan szervezetek jegyzékének vezetését és a nyilvánosság számára hozzáférhetővé tételét, amelyek saját maguk tanúsítják a GYFK-val összhangban végrehajtott elvek elfogadását, és az e határozat VII. mellékletében felsoroltak közül legalább egy kormányzati szerv joghatósága alá tartoznak.

(8) Az átláthatóság érdekében és a tagállamok illetékes hatóságainak azon képessége megőrzése céljából, hogy a személyes adatok kezelése vonatkozásában biztosítsa az egyének védelmét, ebben a határozatban pontosan meg kell határozni azokat a rendkívüli körülményeket, amelyek esetén indokolt a meghatározott adatáramlás felfüggesztése, függetlenül attól, hogy a védelmet megfelelőnek találják.

(9) Az elvek és GYFK által létrehozott "biztonságos kikötő" felülvizsgálatra szorulhat, figyelembe véve a tapasztalatokat, az adatvédelem fejlődését, olyan körülmények között, amelyekben a technológia egyre könnyebbé teszi a személyes adatok továbbítását és kezelését, valamint figyelembe véve az érintett végrehajtó hatóságok jelentéseit a megvalósításról.

(10) A 95/46/EK irányelv 29. cikke alapján a személyes adatok kezelése tekintetében az egyének védelmére létrehozott munkacsoport véleményeket nyilvánított az egyesült államokbeli "biztonságos kikötő" elvek által biztosított védelem szintjéről, amelyeket e határozat elkészítésekor figyelembe vettek [4].

(11) Az e határozatban foglalt intézkedések összhangban vannak a 95/46/EK irányelv 31. cikke alapján létrehozott bizottság véleményével.

(12) Az 1999/468/EK tanácsi határozat és különösen annak 8. cikke alapján az Európai Parlament 2000. július 5-én elfogadta az Egyesült Államok Kereskedelmi Minisztériuma által kiadott A5–0177/2000 állásfoglalást a "biztonságos kikötő adatvédelmi elvek" által biztosított védelem megfelelőségéről és az ezzel kapcsolatos gyakran felvetődő kérdésekről szóló bizottsági határozattervezetről [5]. A Bizottság az állásfoglalás figyelembevételével felülvizsgálta a határozattervezetet, és arra a következtetésre jutott, hogy bár az Európai Parlament kifejezte azt a véleményét, hogy a "biztonságos kikötő elvek" és a kapcsolódó gyakran felvetődő kérdések némi fejlesztésre szorulnak, mielőtt úgy lehetne tekinteni, hogy "megfelelő védelmet" biztosítanak, nem állapította meg, hogy a Bizottság túllépte volna hatáskörét a határozat elfogadásával,

ELFOGADTA EZT A HATÁROZATOT:

1. cikk

(1) A 95/46/EK irányelv 25. cikke (2) bekezdésének alkalmazásában, az Egyesült Államok Kereskedelmi Minisztériuma által 2000. július 21-én kiadott, e határozat II. mellékletében meghatározott gyakran felvetődő kérdések (a továbbiakban: GYFK) által biztosított útmutatással összhangban bevezetett, e határozat I. mellékletében meghatározott "biztonságos kikötő adatvédelmi elveket" (a továbbiakban: az elvek) az említett irányelv hatálya alá tartozó összes tevékenységre vonatkozóan úgy tekintik, mint amelyek biztosítják a Közösségből az Egyesült Államokban letelepedett szervezetek felé továbbított személyes adatok megfelelő szintű védelmét, tekintettel az Egyesült Államok Kereskedelmi Minisztériuma által kiadott következő okmányokra:

a) a III. mellékletben ismertetett "biztonságos kikötő" végrehajtási áttekintés;

b) a IV. mellékletben bemutatott, az adatvédelem megsértéséért járó kártérítésről és az amerikai jog kifejezett meghatalmazásairól szóló jegyzet;

c) a Szövetségi Kereskedelmi Bizottságnak az V. mellékletben bemutatott levele;

d) az Egyesült Államok Közlekedési Minisztériumának VI. mellékletben bemutatott levele.

(2) Minden egyes adattovábbítás tekintetében a következő feltételeknek kell teljesülniük:

a) az adatokat fogadó szervezet egyértelműen és nyilvánosan kinyilvánította a GYFK-val összhangban bevezetett elvek teljesítésére vonatkozó kötelezettségvállalását; és

b) a szervezet egy olyan, az e határozat VII. mellékletében felsorolt egyesült államokbeli kormányzati szervnek a törvényben meghatározott hatásköre alá tartozik, amelyet a panaszok kivizsgálására és a tisztességtelen vagy megtévesztő gyakorlatok miatti jóvátétel kieszközlésére, valamint magánszemélyek orvoslására feljogosítottak, azok lakóhely szerinti országától vagy állampolgárságától függetlenül, a GYFK-val összhangban bevezetett elvek nem teljesítése esetén.

(3) A (2) bekezdésben megállapított feltételeket minden egyes szervezet esetében teljesítettnek tekintik, amely önmaga tanúsítja a GYFK-val összhangban végrehajtott elvek betartását, attól az időponttól számítva, amikor a szervezet közli az Egyesült Államok Kereskedelmi Minisztériumával (vagy az általa kijelölt szervvel) a (2) bekezdés a) pontjában említett kötelezettségvállalás nyilvános közzétételét és a (2) bekezdés b) pontjában említett kormányzati szerv kilétét.

2. cikk

Ez a határozat csak a gyakran felvetődő kérdésekkel összhangban bevezetett elvek alapján az Egyesült Államokban nyújtott védelem megfelelőségére érvényes, a 95/46/EK irányelv 25. cikke (1) bekezdése követelményeinek való megfelelés céljából, és nincs hatással az említett irányelv más, a személyes adatok tagállamokon belüli kezelésével kapcsolatos rendelkezéseinek, különösen a 4. cikkének alkalmazására.

3. cikk

(1) A 95/46/EK irányelv 25. cikkétől eltérő rendelkezések alapján elfogadott nemzeti rendelkezéseknek való megfelelés biztosítása érdekében intézkedés megtételére vonatkozó hatáskörük sérelme nélkül, a tagállamok illetékes hatóságai gyakorolhatják meglévő hatáskörüket az olyan szervezet felé irányuló adatáramlás felfüggesztésére, amely önmaga tanúsította a GYFK-val összhangban bevezetett elvek elfogadását, hogy védjék az egyéneket a személyes adatok kezelése tekintetében olyan esetekben, ahol:

a) az e határozat VII. mellékletében említett egyesült államokbeli kormányzati szerv vagy egy független jogorvoslati mechanizmus az e határozat I. mellékletében meghatározott végrehajtási elvről szóló a) levél értelmében megállapította, hogy a szervezet megszegi a GYFK-val összhangban bevezetett elveket; vagy

b) az elvek megszegésének nagy a valószínűsége; okkal feltételezik, hogy az érintett végrehajtási mechanizmus sem most, sem később nem tesz megfelelő és időszerű lépéseket az adott eset rendezésére; a folytatódó adattovábbítás az érintettek súlyos károsodásának veszélyével fenyeget; és a tagállam illetékes hatóságai a körülményekhez képest elfogadható erőfeszítéseket tettek, hogy a szervezetet értesítsék, és lehetőséget adjanak neki a válaszadásra.

A felfüggesztés megszűnik, amint a gyakran felvetődő kérdésekkel összhangban bevezetett elvek teljesítését biztosítják, és arról értesítik a Közösség illetékes hatóságát.

(2) A tagállamok haladéktalanul tájékoztatják a Bizottságot, amikor az (1) bekezdés alapján intézkedéseket fogadnak el.

(3) A tagállamok és a Bizottság egymást is tájékoztatják azokról az esetekről, amikor az Egyesült Államokban a gyakran felvetődő kérdésekkel összhangban bevezetett elveknek való megfelelés biztosításáért felelős szervek intézkedése nem biztosítja az ilyen megfelelést.

(4) Ha az (1), (2) és (3) bekezdés alapján összegyűjtött információk azt bizonyítják, hogy az Egyesült Államokban a gyakran felvetődő kérdésekkel összhangban bevezetett elveknek való megfelelés biztosításáért felelős bármely szerv nem hatékonyan tölti be szerepét, a Bizottság tájékoztatja az Egyesült Államok Kereskedelmi Minisztériumát, és szükség esetén a 95/46/EK irányelv 31. cikkében említett eljárással összhangban intézkedéstervezeteket nyújt be e határozat visszavonása, felfüggesztése vagy hatályának korlátozása céljából.

4. cikk

(1) Ez a határozat bármikor kiigazítható a végrehajtásával kapcsolatos tapasztalat fényében, illetve ha az Egyesült Államok jogszabályainak követelményei szigorúbbá válnak az elvek és a GYFK által biztosított védelmi szintnél.

A Bizottság a tagállamok felé történő értesítése után három évvel minden esetben értékeli e határozat végrehajtását a rendelkezésre álló információk alapján, és beszámol a 95/46/EK irányelv 31. cikke alapján létrehozott bizottságnak bármilyen vonatkozó megállapításról, beleértve az olyan bizonyítékokat, amelyek hatással lehetnek annak értékelésére, hogy az e határozat 1. cikkében meghatározott rendelkezések a 95/46/EK irányelv 25. cikke értelmében megfelelő védelmet biztosítanak, illetve annak bizonyítékát, hogy ezt a határozatot megkülönböztető módon hajtják végre.

(2) A Bizottság szükség esetén intézkedéstervezeteket terjeszt elő a 95/46/EK irányelv 31. cikkében említett eljárásnak megfelelően.

5. cikk

A tagállamok meghozzák azokat az intézkedéseket, amelyek szükségesek ahhoz, hogy ennek a határozatnak legkésőbb a tagállamok felé történő értesítésétől számított 90 napos időszak végéig megfeleljenek.

6. cikk

Ennek a határozatnak a tagállamok a címzettjei.

Kelt Brüsszelben, 2000. július 26-án.

a Bizottság részéről

Frederik Bolkestein

a Bizottság tagja

[1] HL L 281., 1995.11.23., 31. o.

[2] A munkacsoport internet címe: http://www.europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm

[3] WP 12: Személyes adatok továbbítása harmadik országokba: a munkacsoport által 1998. július 24-én elfogadott EU adatvédelmi irányelv 25. és 26. cikkének alkalmazása.

[4] WP 15: 1/99 vélemény az adatvédelem szintjéről az Egyesült Államokban és az Európai Bizottság és az Egyesült Államok között folyó tárgyalásokról.WP 19: 2/99 vélemény az Egyesült Államok Kereskedelmi Minisztériuma által 1999. április 19-én kiadott "nemzetközi biztonságos kikötő elvek" megfelelőségéről.WP 21: 4/99 vélemény az Egyesült Államok Kereskedelmi Minisztériuma által, a javasolt "biztonságos kikötő" elvek a "nemzetközi biztonságos kikötő elveknek" való megfelelőségével kapcsolatban kiadandó gyakran ismétlődő kérdésekről.WP 23: Munkaanyag a "nemzetközi biztonságos kikötő elvekre" vonatkozóan az Európai Bizottság és az Egyesült Államok kormánya között folyó tárgyalások jelenlegi állásáról.WP 27: 7/99 vélemény a "biztonságos kikötő" elvek által biztosított adatvédelem szintjéről, amelyet a gyakran ismétlődő kérdésekkel (GYIK) és más kapcsolódó dokumentumokkal együtt az Egyesült Államok Kereskedelmi Minisztériuma tett közzé 1999. november 15–16-án.WP 31: 3/2000 vélemény a "biztonságos kikötő" rendszerre vonatkozó EU/USA párbeszédről.WP 32: 4/2000 vélemény a "biztonságos kikötő" elvek által biztosított védelem szintjéről.

[5] Az állásfoglalást a Hivatalos Lapban még nem tették közzé.

--------------------------------------------------

I. MELLÉKLET

"BIZTONSÁGOS KIKÖTŐ" ADATVÉDELMI ELVEK

kiadta az Egyesült Államok Kereskedelmi Minisztériuma 2000. július 21-én

Az Európai Unió átfogó adatvédelmi jogszabálya, az adatvédelmi irányelv (az irányelv) 1998. október 25-én lépett hatályba. Az irányelv előírja, hogy a személyes adatok továbbítása csak olyan, az EU-ban tagsággal nem rendelkező országokba történhessen meg, amelyek biztosítják a személyiségi jog "megfelelő" szintű védelmét. Bár az Egyesült Államok és az Európai Unió közös célja az állampolgáraik számára az adatvédelem fokozása, az Egyesült Államok az Európai Uniótól eltérően közelíti meg az adatvédelmet. Az Egyesült Államok ágazati megközelítést használ, amely a törvényhozás, a szabályozás és az önszabályozás keverékére támaszkodik. Az említett eltérések miatt az Egyesült Államokban sok szervezet bizonytalanságát fejezte ki az EU által megkívánt, a személyes adatoknak az Európai Unióból az Egyesült Államokba történő továbbítására vonatkozó "megfelelőségi szabvány" hatásával kapcsolatban.

E bizonytalanság csökkentése és az ilyen adattovábbításokra vonatkozó kiszámíthatóbb keret biztosítása érdekében, a Kereskedelmi Minisztérium hatósági jogkörében a nemzetközi kereskedelem támogatása, elősegítése és fejlesztése céljából kiadja ezt a dokumentumot és a gyakran felvetődő kérdéseket ("az elveket"). Az elveket az iparral és a nyilvánossággal konzultálva a kereskedelem, illetve az Egyesült Államok és az Európai Unió közötti nemzetközi kereskedelem megkönnyítése érdekében dolgozták ki. Az elveket csak az Egyesült Államok olyan szervezeteinek használatára szánták, amelyek az Európai Unióból személyes adatokat fogadnak, a "biztonságos kikötő" és az általa létrehozott "megfelelőségi" minősítés elnyerése céljából. Mivel az elveket kizárólag e különleges cél szolgálatára dolgozták ki, más célokra alkalmatlannak bizonyulhatnak. Az elvek nem használhatók fel a tagállamokban a személyes adatok kezelésére alkalmazandó irányelv végrehajtásához szükséges nemzeti rendelkezések helyettesítésére.

A szervezetek teljesen önkéntes alapon határozhatnak arról, hogy jelentkeznek a "biztonságos kikötő" minősítés elnyeréséért, amelyre különböző módokon tehetnek szert. Azoknak a szervezeteknek, amelyek úgy döntenek, hogy elfogadják az elveket, meg kell felelniük az elveknek annak érdekében, hogy megszerezzék és megtartsák a "biztonságos kikötő" előnyeit, és nyilvánosan ki kell jelenteniük, hogy így tesznek. Ha például egy szervezet csatlakozik egy olyan önszabályozó adatvédelmi programhoz, amely elfogadja az elveket, "biztonságos kikötő" - nek minősül. A szervezetek saját önszabályozó adatvédelmi politikájuk kidolgozásával is ilyennek minősülhetnek, feltéve hogy politikájuk megfelel az elveknek. Ha az elveknek való megfelelésben a szervezet teljes egészében vagy részben az önszabályozásra támaszkodik, az ilyen önszabályozás nem teljesítésének a Szövetségi Kereskedelmi Bizottságról szóló törvény tisztességtelen és megtévesztő cselekedetek tilalmáról szóló 5. szakasza vagy az ilyen cselekedetek tilalmáról szóló más törvény vagy rendelet alapján szintén peresíthetőnek kell lennie. (Lásd a mellékletben az Egyesült Államok az Európai Unió által elismert hatósági szerveinek jegyzékét.) Ezen túlmenően, a hatósági, szabályozó, közigazgatási vagy más jogi szerv (vagy szabályok) hatálya alá tartozó szervezetek, amelyek hatékonyan védik a személyes adatokat, szintén jogot szerezhetnek a "biztonságos kikötő" cím előnyeire. A "biztonságos kikötő" előnyeit minden esetben attól az időponttól biztosítják, amikor a "biztonságos kikötő" minősítést elnyerni kívánó szervezet önmaga tanúsítja a Kereskedelmi Minisztériumnak (vagy az általa kijelölt szervnek), hogy az a gyakran felvetődő kérdésekben ismertetett útmutatással összhangban betartja az elveket.

Az elvek elfogadása korlátozódhat: a) a nemzetbiztonság, a közérdek vagy a bűnüldözés követelményeinek teljesítéséhez szükséges mértékben; b) törvény, kormányrendelet vagy precedensjog által, amelyek az elvekkel ellentétes kötelezettségeket vagy kifejezett felhatalmazásokat hoznak létre, feltéve hogy bármilyen ilyen felhatalmazás gyakorlása során a szervezet bizonyítani tudja, hogy az elvek nem teljesítése az ilyen felhatalmazás által támogatott törvényes érdekek teljesítéséhez szükséges mértékre korlátozódik; vagy c) ha a tagállami jogszabályokra vonatkozó irányelv hatálya kivételeket vagy eltéréseket tesz lehetővé, feltéve hogy az ilyen kivételeket vagy eltéréseket összehasonlítható esetekben alkalmazzák. Az adatvédelem erősítésének céljával összhangban a szervezeteknek törekedniük kell az elvek teljes mértékű és átlátható megvalósítására, beleértve adatvédelmi politikájukban annak megjelölését, hogy az elvek alól a fenti b) pontban engedélyezett kivételeket hol alkalmazzák rendszeresen. Ugyanebből az okból, ahol az elvek és/vagy az Egyesült Államok jogszabályai választási lehetőséget engednek, a szervezetektől elvárják a magasabb szintű védelem választását, ahol lehetséges.

Gyakorlati vagy más célból a szervezetek esetleg minden adatfeldolgozási műveletükre alkalmazni kívánják az elveket, de csak azokra az adatokra kötelesek alkalmazni, amelyeket a "biztonságos kikötő"-be való belépés után továbbítottak. A "biztonságos kikötő" minősítéshez a szervezetek nem kötelesek ezeket az elveket alkalmazni a személyes adatokra a manuális nyilvántartórendszerekben. Az Európai Unióból származó információk manuális nyilvántartórendszerekben történő fogadása tekintetében "biztonságos kikötő"-nek minősülni kívánó szervezeteknek alkalmazniuk kell az elveket minden olyan információra, amelyet a "biztonságos kikötő"-be való belépés után továbbítanak. Az a szervezet, amely a "biztonságos kikötő" előnyeit ki kívánja terjeszteni az Európai Unióból továbbított, a munkaviszonnyal összefüggésben felhasználandó, humán erőforrással kapcsolatos személyes információra, ezt jeleznie kell, amikor önmagát tanúsítja a Kereskedelmi Minisztérium (vagy az általa kijelölt szerv) felé, és meg kell felelnie az öntanúsításról szóló a gyakran felvetődő kérdésben meghatározott követelményeknek. A szervezeteknek arra is képesnek kell lenniük, hogy szolgáltassák az irányelv 26. cikke alapján szükséges biztosítékokat, ha az Európai Unióból adatokat továbbító felekkel lényeges adatvédelmi rendelkezésekre vonatkozóan megkötött írásbeli megállapodásokba belefoglalják az elveket, amint az ilyen mintaszerződésekre vonatkozó más rendelkezéseket a Bizottság és tagállamok engedélyezik.

Az értelmezési kérdések és a "biztonságos kikötő" elveinek való megfelelés (beleértve a gyakran felvetődő kérdéseket), valamint és a "biztonságos kikötő" szervezetek adatvédelmi politikáinak tekintetében az Egyesült Államok jogát kell alkalmazni, kivéve ha a szervezetek az európai adatvédelmi hatóságokkal való együttműködés mellett kötelezték el magukat. Más megállapodás hiányában, a "biztonságos kikötő" elvek és a gyakran felvetődő kérdések minden rendelkezését alkalmazni kell, ahol megfelelő.

A "személyes adatok" és a "személyes információ" olyan azonosított vagy azonosítható egyénre vonatkozó adatok, amelyek az irányelv hatálya alá tartoznak, és amelyeket valamely egyesült államokbeli szervezet az Európai Uniótól kapott, és az valamilyen formában rögzített.

ÉRTESÍTÉS

A szervezetnek tájékoztatnia kell az egyéneket azokról a célokról, amelyek érdekében a rájuk vonatkozó információt gyűjti és használja; arról, hogy kérdéseikkel vagy panaszukkal hogyan léphetnek kapcsolatba a szervezettel; a harmadik felek típusairól, amelyeknek átadja az adatokat; valamint a választási lehetőségekről és eszközökről, amelyeket a szervezet az egyéneknek az adatok felhasználásának és nyilvánosságra hozatalának korlátozására felkínál. Ezt a tájékoztatást világos és érthető megfogalmazásban kell megadni, az első alkalommal akkor, amikor az egyéneket felkérik a személyes információ szolgáltatására a szervezetnek, vagy azt követően a lehető leghamarabb, de minden esetben azt megelőzően, hogy a szervezet az ilyen információt más célra használná fel, mint amelyre az adatokat átadó szervezet eredetileg gyűjtötte vagy kezelte, vagy mielőtt harmadik félnek azokat először átadná [1].

VÁLASZTÁSI LEHETŐSÉG

A szervezetnek választási lehetőséget (a nem kívánt lehetőségek kizárásával) kell felkínálnia az egyéneknek, hogy személyes adataikat a) átadják-e harmadik félnek [2]; vagy b) felhasználják-e olyan célra, amely nem összeegyeztethető azzal (azokkal) a céllal (célokkal), amelyre eredetileg gyűjtötték az adatokat, vagy amelyet az egyén a későbbiekben engedélyezett. Az egyének számára egyértelmű és szembetűnő, könnyen hozzáférhető és megfizethető mechanizmusokat kell biztosítani a választási lehetőség gyakorolására.

A különleges adatok tekintetében (ilyenek az orvosi vagy egészségi állapotra, a faji eredetre vagy etnikai hovatartozásra, a politikai véleményre, a vallásos vagy filozófiai meggyőződésre, a szakszervezeti tagságra vagy az egyén szexuális életére vonatkozó személyes adatok), megerősítő vagy kifejezett választási lehetőséget (a kívánt lehetőség kiválasztásával) kell kapniuk, ha az információt harmadik fél számára átadják, vagy a gyűjtés eredeti céljától, illetve az egyén által a választási lehetőségével élve a későbbiekben engedélyezett céltól eltérő célra használják fel. A szervezetnek minden esetben különlegesként kell kezelnie minden olyan, harmadik féltől kapott információt, amelyet a harmadik fél különlegesként határoz meg és kezel.

ADATTOVÁBBÍTÁS HARMADIK FÉL RÉSZÉRE

Ahhoz, hogy az információt harmadik fél számára átadhassák, a szervezeteknek alkalmazniuk kell az értesítés és a választási lehetőség elveit. Amennyiben a szervezet az információt olyan harmadik félnek kívánja továbbítani, amely közvetítőként jár el a lábjegyzetben leírtak szerint, ezt úgy teheti meg, ha először vagy megállapítja, hogy a harmadik fél csatlakozik az elvekhez, vagy az irányelv, illetve más megfelelőségi megállapítás hatálya alá tartozik, vagy ha írásos megállapodást köt az ilyen harmadik féllel arra nézve, hogy a harmadik fél legalább ugyanolyan szintű adatvédelmet biztosít, mint amit a vonatkozó elvek megkövetelnek. Ha szervezet teljesíti ezeket a követelményeket, nem vonható felelősségre (hacsak a szervezet másként nem állapodik meg), ha a harmadik fél, amelynek az ilyen információt továbbítja, azt bármely korlátozással vagy nyilatkozattal ellentétes módon kezeli, kivéve ha a szervezet tudta vagy tudnia kellett volna, hogy a harmadik fél ilyen, az elvekkel ellentétes módon fogja az információt kezelni, és nem tette meg az indokolt lépéseket az ilyen adatfeldolgozás megakadályozására vagy megállítására.

BIZTONSÁG

A személyes információt létrehozó, fenntartó, felhasználó vagy terjesztő szervezeteknek megfelelő intézkedéseket kell tenniük, hogy megóvják az információt az elvesztéstől, a hibás felhasználástól és a jogtalan hozzáféréstől, a nyilvánosságra hozataltól, a megváltoztatástól és a megsemmisítéstől.

ADATINTEGRITÁS

Az elvekkel összhangban, a személyes információnak azokra a célokra kell vonatkoznia, amelyre azt fel kívánják használni. A szervezet nem dolgozhat fel személyes információt a gyűjtés céljaival vagy az egyén által a későbbiekben engedélyezett célokkal összeegyeztethetetlen módon. A szervezetnek az ilyen célokhoz szükséges mértékben megfelelő lépéseket kell tennie annak biztosítására, hogy az adatok a tervezett felhasználás szempontjából megbízhatók, pontosak, teljesek és időszerűek legyenek.

HOZZÁFÉRÉS

Az egyéneknek hozzáféréssel kell rendelkezniük a valamely szervezet birtokában lévő, rájuk vonatkozó személyes információhoz, és lehetőségük kell, hogy legyen a pontatlan információk javítására, módosítására vagy törlésére, kivéve ha az adott esetben a hozzáférés biztosításának terhe vagy költsége nem állna arányban az egyén adatvédelmi jogának a kockázatával, vagy ha ezzel más személy jogait érné sérelem.

VÉGREHAJTÁS

A hatékony adatvédelemnek magában kell foglalnia az elvek teljesítését biztosító mechanizmusokat, a jogorvoslati jogot az elvek nem teljesítése által érintett egyének számára, valamint a szervezetre vonatkozó következményeket, amikor az elveket nem követik. Az ilyen mechanizmusoknak minimumkövetelményként tartalmazniuk kell a) könnyen hozzáférhető és megfizethető független eljárási mechanizmusokat, amelyekkel minden egyes személy panaszait és vitáit meg lehet vizsgálni és megoldani az elvekre hivatkozva, és kártérítést lehet megítélni, ha az érvényes jog vagy a magánszektor kezdeményezései azt előírják; b) eljárásokat annak ellenőrzésére, hogy az üzleti vállalkozások által az adatvédelmi gyakorlataikról készített tanúsítványok és állítások helytállóak-e, és hogy az adatvédelmi gyakorlatokat úgy valósították-e meg, ahogyan azokat benyújtották; és c) az elvek elfogadását kijelentő szervezetek részéről kötelezettséget az elvek nem teljesítéséből adódó problémák jogorvoslatára, valamint az ilyen szervezetekre vonatkozó következményeket. A szervezetek általi teljesítés biztosítása érdekében a szankcióknak kellőképpen szigorúaknak kell lenniük.

[1] Nem szükséges értesítést vagy választási lehetőséget biztosítani, amikor az adatátadás a feladato(ka)t a szervezet nevében és útmutatásai alapján végrehajtó, közvetítőként eljáró harmadik fél részére történik. Az ilyen adatátadásra is vonatkozik a harmadik fél részére történő adattovábbítás elve.

[2] Nem szükséges értesítést vagy választási lehetőséget biztosítani, amikor az adatátadás a feladato(ka)t a szervezet nevében és útmutatásai alapján végrehajtó, közvetítőként eljáró harmadik fél részére történik. Az ilyen adatátadásra is vonatkozik a harmadik fél részére történő adattovábbítás elve.

--------------------------------------------------

II. MELLÉKLET

GYAKRAN FELVETŐDŐ KÉRDÉSEK (GYFK)

1. GYFK - Különleges adatok

K: A szervezetnek mindig kifejezett (a kívánt lehetőséget megerősítő) választási lehetőséget kell-e biztosítania a különleges adatokra vonatkozóan?

V: Nem, az ilyen választási lehetőségre nincs szükség, amennyiben az adatfeldolgozás: (1) az érintett vagy más személy létfontosságú érdekében áll; (2) szükséges a jogszerű követelések vagy a védelem megállapításához; (3) egészségügyi ellátás vagy diagnózis nyújtásához szükséges; (4) politikai, filozófiai, vallási vagy szakszervezeti célú alapítvány, egyesület vagy bármilyen más nonprofit szerv törvényes tevékenysége során történik, és azzal a feltétellel, hogy a feldolgozás kizárólag a szervezet tagjaira vagy olyan személyekre vonatkozik, akik annak céljaival összefüggésben rendszeres kapcsolatban állnak vele, és hogy az adatokat nem adják át harmadik félnek az érintettek beleegyezése nélkül; (5) a szervezetnek a foglalkoztatási jog területén fennálló kötelezettségeinek a végrehajtása céljából szükséges; vagy (6) olyan adatokra vonatkozik, amelyeket az egyén egyértelműen nyilvánosságra hozott.

2. GYFK - Újságírói kivételek

K: Tekintve az Egyesült Államokban a sajtószabadság alkotmányos védelmét és az irányelv alóli mentességet az újságírói anyagra vonatkozóan, érvényesek-e a "biztonságos kikötő" elvek az újságírói célokra összegyűjtött, fenntartott vagy terjesztett személyes információra?

V: Amennyiben az Egyesült Államok alkotmányának első módosításában szereplő a sajtószabadságra vonatkozó jog ütközik az adatvédelem érdekeivel, az első alkotmánymódosításnak kell szabályoznia ezen érdekek egyeztetését, tekintettel az egyesült államokbeli személyek vagy szervezetek tevékenységére. A közzétételre, rádió- vagy televíziós műsorhoz vagy újságírói anyag nyilvános közlésének más formájához összegyűjtött személyes információkra - akár felhasználják azokat, akár nem -, valamint a korábban közzétett anyagban talált, médiaarchívumból terjesztett információkra a "biztonságos kikötő" elvek követelményei nem vonatkoznak.

3. GYFK - Mögöttes felelősség

K: Az internetszolgáltatók, a távközlési szolgáltatók vagy más szervezetek felelősek-e a "biztonságos kikötő" elvek alapján, amikor más szervezet nevében csupán közlik, továbbítják, átirányítják vagy tárolják az információt, amely megsértheti feltételeiket?

V: Nem. Amint maga az irányelv, a "biztonságos kikötő" sem hoz létre mögöttes felelősséget. Amennyiben a szervezet a harmadik fél által továbbított adatok tekintetében csupán továbbító csatornaként jár el, és nem határozza meg e személyes adatok feldolgozásának céljait és eszközeit, nem felelős.

4. GYFK - Befektetési banktevékenység és könyvvizsgálat

K: A könyvvizsgálók és befektetési bankárok tevékenységei magukban foglalhatják a személyes adatok feldolgozását az egyén beleegyezése vagy tudta nélkül. Ezt milyen körülmények között teszik lehetővé az értesítésre, a választási lehetőségre és a hozzáférésre vonatkozó elvek?

V: A befektetési bankárok vagy könyvvizsgálók csak a törvényes vagy közérdekű követelményeknek való megfeleléshez szükséges mértékben és időtartamban dolgozhatnak fel információt az egyén tudta nélkül, és olyan más körülmények között, amelyek esetén ezen elvek alkalmazása hátrányosan befolyásolná a szervezet jogos érdekeit. Ezek a jogos érdekek magukban foglalják a vállalkozások jogi kötelezettségei és törvényes számviteli tevékenységei teljesítésének folyamatos ellenőrzését, és a lehetséges tulajdonszerzésekkel, egyesülésekkel, vegyes vállalkozásokkal vagy a befektetési bankárok vagy könyvvizsgálók által végrehajtott más hasonló ügyletekkel összefüggő titkosság szükségességét.

5. GYFK - Az adatvédelmi hatóságok szerepe [1]

K: A magukat az Európai Unió adatvédelmi hatóságaival való együttműködés mellett elkötelező vállalkozások hogyan teszik meg a kötelezettségvállalásokat, és hogyan valósítják meg azokat?

V: A "biztonságos kikötő" alapján az Egyesült Államok az EU-ból személyes adatokat fogadó szervezeteinek kötelezettséget kell vállalniuk a "biztonságos kikötő" elvek teljesítését biztosító hatékony mechanizmusok alkalmazására. Pontosabban, a végrehajtási elvben megállapítottaknak megfelelően biztosítaniuk kell a) a jogorvoslatot azon egyének számára, akikre az adatok vonatkoznak; b) eljárásokat annak ellenőrzésére, hogy az üzleti vállalkozások által az adatvédelmi gyakorlataikról készített tanúsítványok és állítások helytállóak-e; és c) az elvek nem teljesítéséből eredő problémák orvoslására vonatkozó kötelezettségeket, és a következményeket az ilyen szervezetekre nézve. A szervezet eleget tehet a végrehajtási elv a) és c) pontjának, ha elfogadja e GYFK követelményeit az adatvédelmi hatóságokkal történő együttműködésre vonatkozóan.

A szervezet kötelezheti magát az adatvédelmi hatóságokkal történő együttműködésre azáltal, hogy "biztonságos kikötő" tanúsításában bejelenti a Kereskedelemi Minisztériumnak (lásd: öntanúsításról szóló 6. GYFK), hogy a szervezet:

1. elhatározza, hogy az adatvédelmi hatóságokkal történő együttműködés révén eleget tesz a "biztonságos kikötő" végrehajtási elv a) és c) pontjában meghatározott követelménynek;

2. együttműködik az adatvédelmi hatóságokkal a "biztonságos kikötő" hatálya alá tartozó panaszok kivizsgálásában és megoldásában; és

3. megfogad minden, az adatvédelmi hatóságoktól kapott ajánlást, amennyiben az adatvédelmi hatóságok úgy látják, hogy a szervezetnek különleges intézkedést kell hoznia a "biztonságos kikötő" elveknek való megfeleléshez, beleértve a jogorvoslati vagy kártérítési intézkedéseket az elvek nem teljesítése által érintett egyének javára, és írásban erősíti meg az adatvédelmi hatóságok felé az ilyen intézkedés megtörténtét.

Az adatvédelmi hatóságok együttműködése tájékoztatás és tanácsadás formájában, a következőképpen valósul meg:

- Az adatvédelmi hatóságok ajánlását az adatvédelmi hatóságok európai uniós szinten létrehozott nem hivatalos bizottsága kézbesíti, amely többek között segíti az összehangolt és összefüggő megközelítés biztosítását.

- A bizottság ajánlást ad az Egyesült Államok egyénektől származó megoldatlan panaszokban érintett szervezeteinek az EU-ból a "biztonságos kikötő" alapján továbbított személyes információk kezelésére. Ez az ajánlás a "biztonságos kikötő" elvek helyes alkalmazását kívánja biztosítani, és magában foglal bármilyen, az érintett egyén(ekre) vonatkozó jogorvoslatot, amelyet az adatvédelmi hatóságok megfelelőnek tartanak.

- A bizottság ilyen ajánlást válaszként, az érintett szervezetek megkeresésére és/vagy a közvetlenül az egyénektől érkező, olyan szervezetek elleni panaszokra ad, amelyek a "biztonságos kikötő" céljaiból elkötelezték magukat az adatvédelmi hatóságokkal történő együttműködés mellett, miközben ösztönzi, és szükség esetén első fokon segíti az ilyen egyének számára a belső panaszkezelési eljárások igénybevételét, amelyeket a szervezet nyújtani tud.

- Az ajánlást csak azután adják ki, hogy a jogvitában érdekelt mindkét fél megfelelő lehetőséget kapott a magyarázatra és a kívánt bizonyítékok benyújtására. A bizottság törekszik arra, hogy a megfelelő folyamatra vonatkozó követelményhez mérten a lehető leggyorsabban kézbesítse az ajánlást. Általános szabályként, a bizottság arra törekszik, hogy a panasz vagy megkeresés kézhezvételét követő 60 napon belül - illetve, ha lehetséges, ennél gyorsabban - adjon tanácsot.

- A bizottság közzéteszi a hozzá benyújtott panaszok vizsgálatának eredményeit, ha azt helyénvalónak találja.

- Az ajánlás bizottság általi kézbesítése nem hoz létre semmilyen kötelezettséget a bizottságra vagy az egyes adatvédelmi hatóságokra nézve.

A fentiek szerint a jogviták megoldására ezt a lehetőséget választó szervezeteknek vállalniuk kell, hogy megfogadják az adatvédelmi hatóságok ajánlását. Ha a szervezet a kézbesítésétől számított 25 napon belül nem fogadja meg az ajánlást, és a késedelemre vonatkozóan nem ad kielégítő indoklást, a bizottság értesítést ad a szándékáról, hogy az ügyet megküldje a Szövetségi Kereskedelmi Bizottsághoz vagy az Egyesült Államok más szövetségi vagy állami testületéhez, amely végrehajtó hatáskörrel rendelkezik csalás vagy hamis közlés esetén, vagy hogy megállapítsa, hogy az együttműködési megállapodást súlyosan megszegték, és ezért azt semmisnek kell tekinteni. Utóbbi esetben a bizottság tájékoztatja a Kereskedelmi Minisztériumot (vagy az általa kijelölt szervet), hogy a "biztonságos kikötő" résztvevőinek jegyzékét megfelelően módosíthassák. Az adatvédelmi hatóságokkal történő együttműködési kötelezettségvállalás bármilyen nem teljesítése, valamint a "biztonságos kikötő" elvek nem teljesítése a Szövetségi Kereskedelmi Bizottságról szóló törvény 5. szakasza vagy más hasonló törvény alapján megtévesztő gyakorlatként perelhető lesz.

Az ezt a lehetőséget választó szervezeteknek éves díjat kell fizetniük, amely a bizottság működési költségeinek fedezésére szolgál; ezenkívül adott esetben vállalniuk kell a szükséges fordítási költségeket, amelyek a bizottságnál a kérelmek elbírálásából vagy a szervezetekkel szemben felmerülő panaszokból adódnak. Az éves díj nem lépi túl az 500 USD-t, és kisebb vállalkozások esetében ennél kevesebb lesz.

Az adatvédelmi hatóságokkal történő együttműködés lehetősége a "biztonságos kikötő"-höz egy hároméves időtartam folyamán csatlakozó szervezetek számára áll nyitva. Az adatvédelmi hatóságok ennek az időszaknak a vége előtt felülvizsgálják ezt a rendelkezést, ha az egyesült államokbeli szervezetek túl nagy számban választják ezt a lehetőséget.

6. GYFK - Öntanúsítás

K: Hogyan tudja egy szervezet önmaga tanúsítani, hogy tartja magát a "biztonságos kikötő" elvekhez?

V: A "biztonságos kikötő" előnyök attól az időponttól érvényesek, amikor a szervezet önmaga tanúsítja a Kereskedelmi Minisztérium (vagy az általa kijelölt szerv) részére, hogy betartja az elveket az alábbi útmutatással összhangban.

A "biztonságos kikötő"-re vonatkozó öntanúsításhoz a szervezet a "biztonságos kikötő"-höz csatlakozó szervezet a nevében eljáró vállalkozás tisztségviselője által aláírt levelet küldhet a Kereskedelmi Minisztériumnak (vagy az általa kijelölt szervnek), amely legalább a következő adatokat tartalmazza:

1. a szervezet neve, levélcíme, e-mail címe, telefon- és telefaxszámai;

2. a szervezet tevékenységeinek leírása, tekintettel az EU-ból kapott személyes adatokra; és

3. a szervezet ilyen személyes adatokra vonatkozó adatvédelmi politikájának a leírása, beleértve a következőket: a) hol érhető el az adatvédelmi politika a nyilvánosság számára betekintésre; b) a bevezetés tényleges időpontja; c) a panaszokat, hozzáférési kérelmeket és a "biztonságos kikötő"-vel kapcsolatban felmerülő bármilyen kérdést kezelő kapcsolattartó iroda; d) az adott hatósági szerv, amely joghatósággal bír a szervezettel szemben felmerülő követelések fogadására az esetleges tisztességtelen vagy megtévesztő gyakorlat, valamint az adatvédelmet szabályozó törvények és rendeletek megsértése ügyében (és amely szerv az elvek mellékletében fel van sorolva); e) bármely olyan adatvédelmi program neve, amelynek a szervezet tagja; f) a hitelesítés módszere (pl. házon belül, harmadik fél által) [2]; és g) a független eljárási mechanizmus, amely a megoldatlan panaszok kivizsgálására rendelkezésre áll.

Amennyiben a szervezet a "biztonságos kikötő" előnyeit ki akarja terjeszteni az Európai Unióból átadott, a munkaviszonnyal összefüggésben felhasználásra kerülő humánerőforrás-adatokra, ezt akkor teheti meg, ha van olyan, az elvek mellékletében felsorolt hatósági szerv, amely joghatósággal bír a szervezet ellen humánerőforrás-adatokkal kapcsolatban felmerülő követelések kivizsgálására. Ezen túlmenően a szervezetnek ezt jeleznie kell levelében, és ki kell jelentenie kötelezettségvállalását az együttműködésre az EU érintett hatóságával vagy hatóságaival, az esetnek megfelelően az 5. GYFK-val vagy a 9. GYFK-val összhangban, valamint azt, hogy megfogadja az ilyen hatóságok ajánlását.

A minisztérium (vagy az általa kijelölt szerv) jegyzéket tart fenn az összes olyan szervezetről, amely ilyen levelet nyújt be, ezáltal biztosítva a "biztonságos kikötő" előnyök hozzáférhetőségét, és az éves levelek és a 11. GYFK szerint kapott értesítések alapján frissíti az ilyen jegyzékeket. Az ilyen öntanúsítási leveleket legalább évente meg kell küldeni. Ellenkező esetben a szervezetet törlik a jegyzékből, és a "biztonságos kikötő" előnyöket a továbbiakban nem biztosítják. A jegyzéket és a szervezetek által benyújtott öntanúsítóleveleket egyaránt hozzáférhetővé teszik a nyilvánosság számára. Minden olyanszervezetnek, amely a "biztonságoskikötő"-re önmagát tanúsítja, az erre vonatkozóan közzétett adatvédelem-politikai nyilatkozatában szintén ki kell jelentenie, hogy betartja a "biztonságos kikötő" elveket.

A "biztonságos kikötő" elvek betartására vonatkozó kötelezettségvállalást nem kötik időkorlátokhoz az azon idő alatt fogadott adatok tekintetében, amíg a szervezet élvezi a "biztonságos kikötő" előnyeit. A szervezet kötelezettségvállalása azt jelenti, hogy továbbra is alkalmazza az elveket az ilyen adatok esetében addig, amíg tárolja, felhasználja vagy nyilvánosságra hozza azokat, még akkor is, ha a későbbiekben bármilyen okból elhagyja a "biztonságos kikötő"-t.

Annak a szervezetnek, amely egyesülés vagy átvétel eredményeként megszűnik önálló jogi személyként létezni, erről előzetesen értesítenie kell a Kereskedelmi Minisztériumot (vagy az általa kijelölt szervet). Az értesítésben jeleznie kell azt is, hogy az átvevő jogi személy vagy egyesülés eredményeként létrejött jogi személy (1) továbbra is betartja a "biztonságos kikötő" elveket az átvételt vagy egyesülést szabályozó törvény rendelkezése alapján; vagy (2) úgy dönt, hogy önmaga tanúsítja a "biztonságos kikötő" elvek betartását vagy helyükbe más biztosítékokat léptet, mint például egy írásos megállapodást, amely biztosítja a "biztonságos kikötő" elvek betartását. Amennyiben sem az (1), sem a (2) pont nem érvényes, minden, a "biztonságos kikötő" alapján megszerzett adatot haladéktalanul törölni kell.

A szervezetnek nem szükséges alárendelnie az összes személyes adatot a "biztonságos kikötő" elveknek, de a "biztonságos kikötő"-höz való csatlakozása után az EU-ból fogadott minden személyes adatot alá kell rendelni a "biztonságos kikötő" elveknek.

A közvélemény hamis tájékoztatása a szervezet részéről a "biztonságos kikötő" elvek betartása tekintetében perelhető a Szövetségi Kereskedelmi Bizottság vagy más illetékes kormányzati szerv részéről. A Kereskedelmi Minisztériumnak (vagy az általa kijelölt szervnek) adott hamis közlések a hamis nyilatkozatokról szóló törvény (18 U. S. C. § 1001) alapján perelhetők.

7. GYFK - Hitelesítés

K: Hogyan gondoskodnak a szervezetek megfelelő eljárásokról annak az ellenőrzésére, hogy azok a tanúsítványok és állítások, amelyeket a "biztonságos kikötő" adatvédelmi gyakorlataikról készítenek, igazak-e, és azokat az adatvédelmi gyakorlatokat a bemutatottakkal és a "biztonságos kikötő" elvekkel összhangban valósították-e meg?

V: Ahhoz, hogy a végrehajtási elv hitelesítési követelményeinek megfeleljen, a szervezet az ilyen tanúsítványokat és állításokat vagy önértékelés, vagy külső megfelelőségi felülvizsgálati eljárások révén hitelesítheti.

Az önértékelési megközelítés keretében az ilyen hitelesítésnek jeleznie kellene, hogy a szervezetnek az EU-ból fogadott, személyes információra vonatkozó közzétett adatvédelmi politikája pontos, átfogó, jól látható módon bemutatott, teljes mértékben végrehajtott és hozzáférhető. Szintén jeleznie kellene, hogy adatvédelmi politikája megfelel a "biztonságos kikötő" elveknek; hogy az egyéneket tájékoztatják a panaszok kezelésére szolgáló bármilyen belső szabályzatról, valamint azokról a független mechanizmusokról, amelyeken keresztül panaszt tehetnek; tartalmaz az alkalmazottak oktatására vonatkozó eljárást a végrehajtást illetően, valamint fegyelmi eljárásokat az adatvédelmi politika követésének elmulasztása esetére; és tartalmaz belső eljárásokat a fentiek teljesítésének időszakos tárgyilagos vizsgálatára. Az önértékelést hitelesítő nyilatkozatot a vállalkozás egy tisztségviselőjének vagy a szervezet más meghatalmazottjának kell aláírnia legalább évente egyszer, és az egyének kérelmére, vagy egy vizsgálattal vagy a teljesítés elmulasztására vonatkozó panasszal összefüggésben hozzáférhetővé kell tennie.

A szervezeteknek meg kell őrizniük a "biztonságos kikötő" adatvédelmi gyakorlataik végrehajtásáról szóló feljegyzéseiket, és kérésre, vizsgálattal vagy a teljesítés elmulasztására vonatkozó panasszal összefüggésben a panaszok kivizsgálásért felelős független szerv vagy a tisztességtelen és megtévesztő gyakorlatok esetében illetékes hivatal számára hozzáférhetővé kell tenniük.

Amennyiben a szervezet a külső megfelelőség-felülvizsgálati eljárást választja, az ilyen felülvizsgálati eljárásnak be kell mutatnia, hogy a szervezet adatvédelmi politikája az EU-ból fogadott személyes adatokra vonatkozóan összhangban van a "biztonságos kikötő" elvekkel, azoknak megfelel, valamint az egyéneket tájékoztatták azokról a mechanizmusokról, amelyeken keresztül panaszt tehetnek. A felülvizsgálat módszerei korlátlanul magukban foglalhatják a könyvvizsgálatot, véletlenszerű felülvizsgálatokat, "csapdák" használatát, vagy technikai eszközök használatát, az esetnek megfelelően. A külső megfelelőségi felülvizsgálat sikeres befejezését hitelesítő nyilatkozatot vagy a felülvizsgálatot végző személynek, vagy avállalkozás valamelyik tisztségviselőjének vagy a szervezet más meghatalmazottjának kell aláírnia legalább évente egyszer, és az egyének kérésére, illetve egy vizsgálattal vagy a teljesítéssel kapcsolatos panasszal összefüggésben rendelkezésre kell bocsátani.

8. GYFK - Hozzáférés

Hozzáférési elv:

Az egyéneknek hozzáféréssel kell rendelkezniük a valamely szervezet birtokában lévő, rájuk vonatkozó személyes információhoz, és lehetőséget kell kapniuk a pontatlan információk javítására, módosítására vagy törlésére, kivéve ha az adott esetben a hozzáférés biztosításának terhe vagy költsége nem állna arányban az egyén személyiségi jogának kockázatával, vagy ha ezzel más személy törvényes jogait érné sérelem.

1. K: Teljes körű-e a hozzáférési jog?

1. V: Nem. A "biztonságos kikötő" elvek alapján a hozzáférési jog az adatvédelem alapvető eleme. Különösen azt teszi lehetővé az egyének számára, hogy ellenőrizzék a róluk tárolt információ pontosságát. Mindazonáltal, a szervezet kötelezettsége az egyénre vonatkozóan tárolt információhoz való hozzáférés biztosítására az arányosság és indokoltság elvétől is függ, és ezért bizonyos esetekben mérsékelni kell. Valóban, az 1980-as OECD adatvédelmi iránymutatáshoz készült magyarázó feljegyzés világossá teszi, hogy a szervezet hozzáférésre vonatkozó kötelezettsége nem teljes körű. Sem a túl részletes kutatást nem követeli meg például idézéssel, sem az információ összes lehetséges tárolási formájához való hozzáférést nem írja elő.

Ehelyett a tapasztalat azt mutatta, hogy személyek hozzáférés iránti kérésére reagálva a szervezeteknek először azt kell megtudnia, hogy mi vezetett elsősorban a kérelemhez. Ha például a hozzáférési kérelem bizonytalan vagy túl általános területre vonatkozik, a szervezet párbeszédet kezdhet az egyénnel, hogy jobban megértse a kérelem indítékát és behatárolja a válaszinformációt. A szervezet kérdéseket tehet fel arra vonatkozóan, hogy az egyén a szervezet mely részével/részeivel állt kapcsolatban, és/vagy milyen jellegű az információ (vagy felhasználása), amely a hozzáférés iránti kérelem tárgyát képezi. Az egyéneknek azonban nem kell indokolniuk a saját adatokhoz való hozzáférés iránti kérelmüket.

A költség és a teher fontos tényezők, amelyeket figyelembe kell venni, de nem elsődlegesek annak meghatározásában, hogy a hozzáférés biztosítása indokolt-e. Ha például az információt olyan döntésekre használják, amelyek jelentős hatással vannak az egyénre (pl. fontos juttatások megtagadása vagy megadása, mint például biztosítás, jelzálog vagy állás), akkor - e GYFK-k más rendelkezéseivel összhangban - a szervezetnek akkor is fel kell fednie az információt, ha ez viszonylag bonyolult vagy költséges.

Ha a kért információ nem különleges adat, vagy azt nem olyan döntésekhez használják, amelyek jelentős hatással vannak az egyénre (pl. nem különleges marketingadatok, amelyeket annak eldöntésére használnak, hogy az egyénnek küldjenek-e katalógust), ezzel szemben azonnal hozzáférhető, és biztosítása nem költséges, a szervezetnek kell biztosítania a hozzáférést azokhoz a tényszerű adatokhoz, amelyeket a szervezet az egyénről tárol. Az adott információ tartalmazhat az egyéntől szerzett, egy ügylet során gyűjtött, illetve másoktól szerzett tényeket, amelyek az egyénre vonatkoznak.

A hozzáférés alaptermészetének megfelelően, a szervezeteknek mindig jóhiszemű erőfeszítéseket kell tenniük a hozzáférés biztosítására. Ha például bizonyos információ védelemre szorul, és könnyen elkülöníthető más, a hozzáférés iránti kérelem tárgyát képező információtól, a szervezetnek el kell takarnia a védett adatokat, és hozzáférhetővé kell tennie a többi adatot. Ha a szervezet úgy határoz, hogy a hozzáférést egy adott esetben meg kell tagadni, a hozzáférést kérő egyén számára magyarázatot kell adnia a döntéséről, és a további megkeresésekhez egy kapcsolattartási pontot kell kijelölnie számára.

2. K: Mi a bizalmas kereskedelmi információ, és a szervezetek megtagadhatják-e a hozzáférést annak védelme érdekében?

2. V: A bizalmas kereskedelmi információ (ahogyan ezt a kifejezést a polgári perrendtartás szövetségi szabályaiban a nyilvánosságra hozatalra vonatkozóan használják) olyan információ, amelynek a nyilvánosságra hozataltól való megvédésére a szervezet lépéseket tett, ha annak nyilvánosságra kerülése segítené a piaci versenytársat. Bizalmas kereskedelmi információnak tekinthető például egy bizonyos számítógépes program, amelyet a szervezet használ - így egy modellező program -, vagy a program részletei. Ahol a bizalmas kereskedelmi információ könnyen elkülöníthető más, hozzáférés iránti kérelem tárgyát képező információtól, a szervezetnek el kell takarnia a bizalmaskereskedelmi adatokat, ésrendelkezésre kell bocsátania a nem bizalmas információt. A szervezet megtagadhatja vagy korlátozhatja a hozzáférést, amennyiben annak engedélyezése a fent meghatározott saját bizalmas kereskedelmi információját - mint például a szervezet által létrehozott marketingkövetkeztetéseket vagy osztályozásokat, vagy mások bizalmas kereskedelmi információját - feltárná, amennyiben az ilyen információ szerződéses titoktartási kötelezettség alá tartozik olyan körülmények között, ahol az ilyen titoktartási kötelezettséget normál esetben vállalnák vagy előírnák.

3. K: A hozzáférés biztosításakor a szervezet felfedheti az egyének számára az adatbázisaiból származó rájuk vonatkozó személyes információt, vagy magához az adatbázishoz kell hozzáférést biztosítania?

3. V: A szervezet biztosíthat hozzáférést az egyén számára történő adatátadás formájában; nem követelmény az egyén hozzáférése a szervezet adatbázisához.

4. K: A szervezetnek át kell szerkesztenie adatbázisait a hozzáférés biztosításához?

4. V: A hozzáférés biztosítása csak azon a szinten szükséges, ahogyan a szervezet tárolja az információt. Maga a hozzáférési elv nem jelent semmilyen kötelezettséget a személyesadat-állományok megtartására, karbantartására, újjászervezésére vagy átszerkesztésére.

5. K: Ezekből a válaszokból az tűnik ki, hogy a hozzáférés bizonyos körülmények között megtagadható. Milyen más körülmények között tagadhatja meg a szervezet az egyének számára a rájuk vonatkozó személyes információhoz való hozzáférést?

5. V: Az ilyen körülmények korlátozottak, és a hozzáférés megtagadására vonatkozó indoknak mindig meghatározottnak kell lennie. A szervezet visszautasíthatja az információhoz való hozzáférést, amennyiben a megismerése valószínűleg fontos közérdekek - például nemzetbiztonság, honvédelem, közbiztonság - védelmével ütközne. Ezen túlmenően, amennyiben a személyes információt kizárólag kutatási vagy statisztikai célokra dolgozzák fel, a hozzáférés megtagadható. A hozzáférés megtagadásának vagy korlátozásának más indokai:

a) a törvény végrehajtásába vagy érvényesítésébe való beavatkozás, beleértve a bűncselekmények megelőzését, kivizsgálását vagy felderítését, illetve a tisztességes eljáráshoz való jogot;

b) a magánkereseti jogalapokba való beavatkozás, beleértve a jogszerű követelések megelőzését, kivizsgálását vagy kinyomozását, illetve a tisztességes eljáráshoz való jogot;

c) a más egyén(ek)re vonatkozó személyes adatok nyilvánosságra hozatala, amennyiben az ilyen hivatkozásokat nem lehet eltakarni;

d) törvényes vagy más szakmai kiváltság vagy kötelezettség megsértése;

e) jövőbeni vagy folyamatban lévő tárgyalások - mint például a nyilvánosan jegyzett társaságok tulajdonának megszerzésére vonatkozó tárgyalások - szükséges titkosságának megsértése;

f) munkavállalói biztonsági vizsgálatok vagy panaszeljárások hátrányos befolyásolása;

g) a munkavállalói utánpótlás-tervezéssel és a vállalkozás átszervezésekkel kapcsolatos, korlátozott időtartamokra esetlegesen szükséges titkosság hátrányos befolyásolása; vagy

h) a biztos gazdasági vagy pénzügyi irányítással összefüggő folyamatos ellenőrzéssel, felülvizsgálattal vagy szabályozó funkciókkal összefüggésben esetlegesen szükséges titkosság hátrányos befolyásolása; vagy

i) más körülmények, amelyek között a hozzáférés biztosításának terhe vagy költsége aránytalan lenne, vagy mások törvényes jogai vagy érdekei sérülnének.

A kivételre igényt tartó szervezetnek igazolnia kell annak alkalmazhatóságát (rendszerint ez a helyzet). A fentieknek megfelelően az egyének számára meg kell jelölni a hozzáférés megtagadásának vagy korlátozásának indokait és a további megkeresésekhez a kapcsolattartási pontot.

6. K: Felszámolhat-e díjat a szervezet a hozzáférés költségének fedezésére?

6. V: Igen. Az OECD-iránymutatás elismeri, hogy a szervezetek felszámíthatnak díjat, feltéve hogy az nem túlzott. Így a szervezetek a hozzáférésért reális díjat számíthatnak fel. Az ismétlődő és zaklató megkeresések visszaszorítása érdekében hasznosnak bizonyulhat a díj felszámítása.

Azok a szervezetek, amelyek a nyilvánosan hozzáférhető információ értékesítési üzletágában tevékenykednek, a hozzáférésre vonatkozó kérelmek megválaszolása során a szervezet szokásos díját számíthatják fel. Más megoldásként az egyének az adataikhoz való hozzáférést attól a szervezettől kérhetik, amely eredetileg összeállította az adatokat.

A hozzáférés nem utasítható vissza a költségre hivatkozva, ha az egyén felajánlotta a költségek megfizetését.

7. K: Köteles-e a szervezet a hozzáférést megadni nyilvános archívumból származó személyes információhoz?

7. V: Először azt kell tisztázni, hogy a nyilvános archívum azokat a kormányzati ügynökségek vagy bármilyen szintű jogi személyek által fenntartott nyilvántartásokat jelenti, amelyek általában nyitottak a betekintésre a nyilvánosság számára. Az ilyen információra addig nem szükséges a hozzáférési elvet alkalmazni, amíg nem kapcsolódik össze más személyes információval, kivéve ha kis mennyiségű nem nyilvános adatot használnak fel nyilvános archívumok indexálására vagy szervezésére. Tiszteletben kell azonban tartani a betekintésre vonatkozó jogszabályok által meghatározott feltételeket. Ha azonban a nyilvános információhoz (a fent kifejezetten említettektől eltérő) nem nyilvános információ kapcsolódik, a szervezetnek biztosítania kell az összes ilyen információhoz való hozzáférést, feltételezve hogy az nem tartozik más engedélyezett kivételek közé.

8. K: Kell-e a hozzáférési elvet alkalmazni a nyilvánosan elérhető személyes információra?

8. V: Ugyanúgy, mint a nyilvános archívumokban tárolt adatok esetében (lásd 7. K.), nem szükséges a nagyközönség számára már elérhető információhoz való hozzáférés biztosítása, amíg azokat nem kapcsolják össze nyilvánosan nem elérhető információval.

9. K: Hogyan tudja egy szervezet megvédeni magát a hozzáférésre irányuló ismétlődő vagy zaklató kérelmekkel szemben?

9. V: A hozzáférésre vonatkozó ilyen kérelmekre a szervezetnek nem kell válaszolnia. Ilyen okokból a szervezetek reális díjat számíthatnak fel, és ésszerű korlátokat határozhatnak meg arra, hogy adott időtartamon belül egy adott személy hozzáférési kérései hányszor teljesíthetők. Az ilyen korlátozások megállapításakor a szervezetnek figyelembe kell vennie az olyan tényezőket, mint az információ frissítésének gyakorisága, az adatok felhasználásának célja, valamint az információ természete.

10. K: Hogyan tudja egy szervezet megvédeni magát a hozzáférésre irányuló csalárd kérelmekkel szemben?

10. V: A szervezet nem köteles a hozzáférést megadni addig, amíg nem rendelkezik elegendő információval ahhoz, hogy a kérelmező személyazonosságát megállapítsa.

11. K: Van-e olyan határidő, amelyen belül választ kell adni a hozzáférés iránti kérelmekre?

11. V: Igen, a szervezeteknek túlzott késedelem nélkül és elfogadható időn belül válaszolniuk kell. Ez a követelmény különböző módokon teljesíthető, az 1980-as OECD adatvédelmi iránymutatás magyarázó feljegyzésének megfelelően. Például az az adatkezelő, aki rendszeres időközönként információt biztosít az érintettek számára, mentesíthető az egyéni kérelmekre történő azonnali válaszadás kötelezettsége alól.

9. GYFK - Humán erőforrások

1. K: A munkaviszonnyal kapcsolatban összegyűjtött személyes információ továbbítása az EU-ból az Egyesült Államokba a "biztonságos kikötő" alá tartozik?

1. V: Igen, amennyiben az EU-ban letelepedett vállalkozás (korábbi vagy jelenlegi) munkavállalóiról a munkaviszonnyal kapcsolatban gyűjtött személyes információt továbbítja a "biztonságos kikötő"-ben részt vevő anya-, leány- vagy hozzá nem tartozó szolgáltatónak az Egyesült Államokba, atovábbítás élvezi a "biztonságos kikötő" előnyeit. Ilyen esetekben azinformáció gyűjtése és a továbbítást megelőző kezelése annak az EU-országnak a nemzeti joga alá tartozik, ahol azt összegyűjtötték, és a továbbításra vonatkozó feltételeket és korlátozásokat azon jog szerint kell figyelembe venni.

A "biztonságos kikötő" elvek csak akkor érvényesek, amikor egyedileg azonosított adatokat továbbítanak vagy azokhoz hozzáférnek. Az összesített foglalkoztatási adatokra és/vagy a név nélküli vagy álnevesített adatok felhasználására támaszkodó statisztikai jelentés adatvédelmi aggályokra nem ad okot.

2. K: Hogyan vonatkoznak az ilyen információra az értesítési és választási lehetőség elvek?

2. V: Bármely egyesült államokbeli szervezet, amely a "biztonságos kikötő" alapján az Európai Unióból munkavállalókra vonatkozó információt kapott, azt csak az értesítési és választási lehetőség elvvel összhangban fedheti fel harmadik fél számára és/vagy használhatja fel különböző célokra. Ha például egy szervezet a munkaviszonyon keresztül összegyűjtött személyes információt nem foglalkoztatással összefüggő célokra - például marketingértesítésekre - szándékozik felhasználni, akkor az egyesült államokbeli szervezetnek választási lehetőséget kell biztosítania az érintett magánszemélyek számára, mielőtt így tenne, kivéve ha azok már engedélyezték az információ ilyen célú felhasználását. Ezenfelül az ilyen választási lehetőségeket tilos a foglalkoztatási alkalmak korlátozására vagy az ilyen alkalmazottakkal szemben bármilyen megtorló intézkedés alkalmazására felhasználni.

Meg kell jegyezni, hogy egyes, a néhány tagállamból történő továbbítás tekintetében általánosan alkalmazható feltételek kizárhatják az ilyen információ felhasználását más célokra, még az EU-n kívüli továbbítást követően is, és az ilyen feltételeket tiszteletben kell tartani.

Ezen túlmenően, a munkaadóknak ésszerű erőfeszítéseket kell tenniük, hogy igazodjanak a munkavállalók adatvédelmi érdekeihez. Ez jelentheti például az adatokhoz való hozzáférés korlátozását, bizonyos adatok névtelenítését, vagy kódok vagy álnevek hozzárendelését, ha az adott igazgatási célhoz nincs szükség a valódi nevekre.

Olyan mértékben és arra az időtartamra, amely annak érdekében szükséges, hogy a szervezet jogos érdekei ne sérüljenek az előléptetések, kinevezések vagy más hasonló foglalkoztatási döntések meghozatala során, a szervezetnek nem szükséges felajánlania az értesítést és a választási lehetőséget.

3. K: Hogyan érvényesül a hozzáférési elv?

3. V: A hozzáférésről szóló GYFK útmutatást ad azokról az indokokról, amelyek igazolhatják a hozzáférés iránti kérelem megtagadását vagy korlátozását a humán erőforrások összefüggésében. Természetesen az Európai Unióban a munkaadóknak a helyi rendeleteknek kell megfelelniük, és biztosítaniuk kell, hogy az európai unióbeli alkalmazottak a saját országaik jogszabályaiban előírtaknak megfelelően hozzáférjenek az ilyen információhoz, az adatfeldolgozás és a tárolás helyszínétől függetlenül. A "biztonságos kikötő" megköveteli, hogy az ilyen adatokat az Egyesült Államokban feldolgozó szervezet együttműködjön az ilyen hozzáférés biztosításában vagy közvetlenül, vagy az EU-beli munkaadón keresztül.

4. K: Hogyan kezelik a "biztonságos kikötő" elvek alapján az alkalmazotti adatokra vonatkozó végrehajtást?

4. V: Amennyiben az információt csak a munkaviszonnyal összefüggésben használják fel, a munkavállalóval szemben az adatokért az elsődleges felelősség az EU-beli vállalkozásé marad. Ebből következik, hogy, amennyiben az európai munkavállalók adatvédelmi jogaik megsértésére vonatkozó panaszokkal élnek, és nincsenek megelégedve a belső felülvizsgálati, panasz- és fellebbezési eljárások (vagy egy szakszervezettel kötött szerződés alá tartozó bármilyen alkalmazható jogorvoslati eljárás) eredményeivel, akkor az alkalmazott munkahelye szerint illetékes állami vagy nemzeti adatvédelmi vagy munkaügyi hatósághoz kell irányítani őket. Ez magában foglalja azokat az eseteket is, amikor a személyes információ vélelmezett helytelen kezelése az Egyesült Államokban történt, a felelősség azé az egyesült államokbeli szervezeté, amely az információt a munkaadótól kapta, és nem a munkaadóé, ilyenformán inkább a "biztonságos kikötő" elvek vélelmezett megsértését jelenti, mint az irányelvet végrehajtó nemzeti jogszabályokét. Ez lesz a leghatékonyabb módja a helyi munkajog és munkaügyi megállapodások, valamint az adatvédelmi jogszabályok által előírt, egymást gyakran átfedő jogok és kötelezettségek teljesítésének.

Az Egyesült Államokban a "biztonságos kikötő"-ben részt vevő szervezetnek, amely az Európai Unióból továbbított európai unióbeli humánerőforrás-adatokat használ fel a munkaviszonnyal összefüggésben, és amely az ilyen továbbításokat a "biztonságos kikötő" keretébe kívánja helyezni, ezért el kell köteleznie magát az EU illetékes hatóságai által elvégzett vizsgálatokban való együttműködésre, valamint azok ajánlásainakkövetésére az ilyen esetekben. Azok az adatvédelmi hatóságok, amelyek beleegyeztek az ilyen módon történő együttműködésbe, értesítik az Európai Bizottságot és a Kereskedelmi Minisztériumot. Ha az Egyesült Államokban a "biztonságos kikötő"-ben részt vevő szervezet olyan tagállamból kíván humánerőforrás-adatokat továbbítani, ahol az adatvédelmi hatóság nem így egyezett meg, az 5. GYFK rendelkezései érvényesek.

10. GYFK - A 17. cikk szerinti szerződések

K: Amikor kizárólag feldolgozás céljából továbbítanak adatokat az Európai Unióból az Egyesült Államokba, szükség van-e szerződésre, tekintet nélkül a feldolgozó részvételére a "biztonságos kikötő" - ben?

V: Igen. Az Európai Unióban az adatkezelőktől mindig megkövetelik a szerződés megkötését, amikor pusztán feldolgozási célú továbbítás történik, akár az EU-n belül, akár azon kívül végzik el a feldolgozási műveletet. A szerződés célja az adatkezelő - azaz a feldolgozás céljait és eszközeit meghatározó személy vagy szerv, aki/amely az adatokra vonatkozóan az érintett egyén(ek)kel szemben a teljes felelősséget vállalja - érdekeinek védelme. A szerződés ezért pontosan meghatározza az elvégzendő feldolgozást és az adatok biztonságos tárolásának biztosításához szükséges intézkedéseket.

Egy, az Egyesült Államokban a "biztonságos kikötő"-ben részt vevő szervezetnek, amely az Európai Unióból személyes információt csupán feldolgozásra fogad, ezért nem kell alkalmaznia az elveket erre az információra, mivel az egyénnel szemben továbbra is az európai unióbeli adatkezelő a felelős, összhangban a vonatkozó EU-rendelkezésekkel (amelyek szigorúbbak lehetnek, mint az azoknak megfelelő "biztonságos kikötő" elvek).

Mivel a "biztonságos kikötő"-ben részt vevők megfelelő védelmet biztosítanak, a "biztonságos kikötő"-ben részt vevőkkel pusztán feldolgozásra vonatkozóan kötött szerződések előzetes engedélyezésére nincs szükség (vagy az ilyen engedélyt a tagállamok automatikusan megadják), ami egyébként a "biztonságos kikötő"-ben részt nem vevő vagy megfelelő védelmet másként nem biztosító adatátvevőkkel való szerződések esetében szükséges lenne.

11. GYFK - Jogviták megoldása és végrehajtás

K: Hogyan kell végrehajtani a végrehajtási elv jogviták megoldására vonatkozó követelményeit, és mi a teendő, ha egy szervezet ismételten nem tartja be az elveket?

V: A végrehajtási elv megállapítja a "biztonságos kikötő" végrehajtására vonatkozó követelményeket. Az elv b) pontja szerinti követelményeknek való megfelelést a hitelesítésről szóló GYFK (7. GYFK) határozza meg. Ez a 11. GYFK az a) és c) ponttal foglalkozik, amelyek közül mindkettőhöz független jogorvoslati mechanizmusra van szükség. Ezek a mechanizmusok különböző formákat ölthetnek, de meg kell felelniük a végrehajtási elv követelményeinek. A szervezetek a követelményeknek a következőkön keresztül tehetnek eleget: (1) magánszektor által kifejlesztett adatvédelmi programok teljesítése, amelyek a "biztonságos kikötő" elveket belefoglalják szabályaikba, és a végrehajtási elvben leírt típusú, hatékony végrehajtási mechanizmusokat tartalmaznak; (2) alkalmazkodás a törvényi vagy szabályozó felügyeleti hatóságokhoz, amelyek rendelkeznek az egyedi panaszok kezeléséről és a jogviták megoldásáról; vagy (3) kötelezettségvállalás az Európai Unióban lévő adatvédelmi hatóságokkal vagy meghatalmazott képviselőikkel való együttműködésre. E felsorolás szándéka a szemléltetés, nem a korlátozás. A magánszektor a végrehajtás biztosítására más mechanizmusokat is tervezhet, amennyiben azok megfelelnek a végrehajtási elv és a GYFK-k követelményeinek. Meg kell jegyezni, hogy a végrehajtási elv követelményei az elvek bevezetésének (3) bekezdésében közzétett, arra vonatkozó követelményeken túl alkalmazandók, hogy az önszabályozói törekvéseknek a Szövetségi Kereskedelmi Bizottságról szóló törvény 5. cikke vagy hasonló alapokmány alapján végrehajthatóknak kell lenniük.

Jogorvoslati mechanizmusok

A fogyasztókat arra kell ösztönözni, hogy szükség esetén az adott szervezettel kapcsolatban emeljenek panaszt azelőtt, hogy a független jogorvoslati mechanizmusokhoz fordulnának. A jogorvoslati mechanizmus függetlensége olyan ténykérdés, amely többféleképpen bemutatható, például átlátható összetétellel és finanszírozással, vagy egy hitelesített nyomon követőnyilvántartással. A végrehajtási elvbenmegkövetelteknek megfelelően, a magánszemélyek számára rendelkezésre álló jogorvoslatnak könnyen hozzáférhetőnek és megfizethetőnek kell lennie. A jogvitát eldöntő szerveknek a magánszemélyektől átvett minden egyes panaszt ki kell vizsgálniuk, hacsak azok nem nyilvánvalóan alaptalanok vagy komolytalanok. Ez nem zárja ki eleve a jogosultsági követelmények megállapítását a jogorvoslati mechanizmust működtető szervezet részéről, de az ilyen követelményeknek átláthatóaknak és igazoltaknak kell lenniük (például az olyan panaszok kizárása érdekében, amelyek a program hatályán kívül esnek, vagy amelyeket egy másik fórumon mérlegelnek), és nem érinthetik negatívan a törvényes panaszok kivizsgálására vonatkozó kötelezettségvállalást. Ezen túlmenően, a jogorvoslati mechanizmusoknak az egyének számára a panasz benyújtásakor teljes és könnyen elérhető információt kell szolgáltatniuk a jogvitákat eldöntő eljárás működéséről. Az ilyen információnak értesítést kell tartalmaznia a mechanizmus adatvédelmi gyakorlatairól, összhangban a "biztonságos kikötő" elvekkel [3]. Szintén együtt kell működniük az eszközök - mint például formanyomtatványok a panaszokhoz - kidolgozásában, a panaszrendezési eljárás megkönnyítése érdekében.

Jogorvoslatok és szankciók

A jogvitákat eldöntő szerv által nyújtott bármilyen jogorvoslatnak ahhoz kell vezetnie, hogy a nem teljesítés hatását a szervezet megfordítja vagy kijavítja, amennyiben ez megvalósítható, és a szervezet által a jövőben végzett adatfeldolgozás összhangba kerül az elvekkel, valamint - adott esetben - a panaszt tevő egyén személyes adatainak feldolgozása megszűnik. A szankcióknak kellőképpen szigorúaknak kell lenniük ahhoz, hogy biztosítsák a szervezetek megfelelését az elveknek. A változó szigorúságú szankciók skálája a jogvitát eldöntő szervek számára lehetővé teszi a nem teljesítés különböző fokozatainak megfelelő választ. A szankcióknak magukban kell foglalniuk a nem teljesítésre vonatkozó megállapítások közzétételét és bizonyos körülmények között az adatok törlésére vonatkozó követelményt [4]. Más szankciók magukban foglalhatják a pecsét felfüggesztését és eltávolítását, az egyének ellentételezését a nem teljesítés következtében felmerült veszteségekért és a felfüggesztő végzéseket. A magánfelek jogvitáit eldöntő szerveknek és az önszabályozó szerveknek a szabályaikat megszegő "biztonságos kikötő" szervezetekről értesíteniük kell a megfelelő joghatósággal rendelkező kormányzati szervet vagy a bíróságokat - az esetnek megfelelően -, valamint értesíteniük kell a Kereskedelmi Minisztériumot (vagy az általa kijelölt szervet).

A Szövetségi Kereskedelmi Bizottság (FTC) fellépése

Az FTC elkötelezte magát az adatvédelmi önszabályozói szervezetektől - például a BBBOnline és a TRUSTe - és az EU tagállamaitól érkező, a "biztonságos kikötő" elvek nem teljesítését vélelmező megkeresések soron kívüli kivizsgálására, annak a meghatározására, hogy a Szövetségi Kereskedelmi Bizottságról szóló törvény tisztességtelen vagy megtévesztő kereskedelmi eljárások vagy gyakorlatok tiltásáról szóló 5. szakaszát megszegték-e. Ha az FTC arra a következtetésre jut, hogy oka(i) van(nak) azt hinni, hogy az 5. szakaszt megszegték, megoldhatja az ügyet a kifogásolt gyakorlatokat megtiltó, abbahagyásra kötelező közigazgatási utasítással, vagy panasz benyújtásával valamelyik szövetségi kerületi bírósághoz, amelynek az eredménye siker esetén az ugyanolyan irányú szövetségi bírósági végzés lehet. Az FTC az abbahagyásra kötelező közigazgatási utasítás megsértéséért polgári szankciókat eszközölhet ki, míg a szövetségi bírósági végzés megsértéséért polgári vagy bűnvádi engedetlenség címén indíthat pert. Az FTC értesíti a Kereskedelmi Minisztériumot bármilyen ilyen irányú fellépéséről. A Kereskedelmi Minisztérium arra ösztönzi az egyéb kormányzati szerveket, hogy értesítsék az ilyen megkeresésekre vonatkozó végleges intézkedésekről vagy a "biztonságos kikötő" elvekhez való csatlakozást meghatározó más döntésekről.

Ismétlődő nem teljesítés

Ha egy szervezet ismétlődően nem teljesíti az elveket, tovább már nem jogosult a "biztonságos kikötő" előnyeire. Ismétlődő nem teljesítés áll fenn, ha a szervezet, amely önmaga tanúsította megfelelését a Kereskedelmi Minisztériumnak (vagy az általa kijelölt szervnek), megtagadja valamely önszabályozó vagy kormányzati szerv végleges határozatának teljesítését, vagy az ilyen szerv megállapítja, hogy a szervezet gyakran nem teljesíti az elveket, olyan mértékben, hogy a teljesítésre vonatkozó állítása már nem hihető. Ezekben az esetekben a szervezetnek haladéktalanul értesítenie kell a Kereskedelmi Minisztériumot (vagy az általa kijelölt szervet) az ilyen tényekről. Ellenkező esetben a szervezet a hamis nyilatkozatokról szóló törvény (18 U. S. C. § 1001) alapján perelhető.

A minisztérium (vagy az általa kijelölt szerv) a "biztonságos kikötő" elvekhez való csatlakozást öntanúsító szervezetekről általa fenntartott nyilvános jegyzékben jelzi, ha ismétlődő nem teljesítésre vonatkozóan bármilyen tájékoztatást kap, akár magától a szervezettől, egy önszabályozó szervtől, vagy akár egy kormányzati szervtől, de csak azt követően, hogy a nem teljesítő szervezetnek harminc (30) napos határidőt és válaszadási lehetőséget biztosított. Ennek megfelelően a Kereskedelmi Minisztérium (vagy az általa kijelölt szerv) által fenntartott nyilvános jegyzékből világosan kiderül, hogy mely szervezetek részesülnek, és mely szervezetek nem részesülnek többé a "biztonságos kikötő" előnyeiből.

A "biztonságos kikötő" újraminősítés céljából egy önszabályozó szervben való részvételért folyamodó szervezetnek a "biztonságos kikötő"-ben való előző részvételéről teljes körűen tájékoztatnia kell az adott szervet.

12. GYFK - Választási lehetőség - A kizáró választás időzítése

K: A választási lehetőség elve csak a kapcsolat kezdetekor vagy bármikor lehetővé teszi az egyén számára, hogy a választási lehetőséggel éljen?

V: A választási lehetőség elv célja alapvetően annak biztosítása, hogy a személyes információt olyan módon használják, illetve fedjék fel, amely összhangban van az egyén elvárásaival és választásaival. Ennek megfelelően az egyénnek lehetősége kell hogy legyen bármikor kizárni azt, hogy a személyes információt közvetlen üzletszerzési célra használják fel, a szervezet által megállapított ésszerű határokon belül, azaz például időt adva a szervezetnek a kizárás érvénybeléptetésére. A szervezet ezenkívül megkövetelheti a kizárást kérő egyéntől az azonosság megállapításához elegendő információ szolgáltatását. Az Egyesült Államokban az egyének ezzel a választási lehetőséggel egy központi "kizárási" program révén élhetnek: ilyen pl. a Direct Marketing Association Mail Preference Service Közvetlen (Üzletszerzést Folytató Vállalkozások Szövetségének Csomagküldő Szolgálata) programja. Olyan szervezeteknek, amelyek részt vesznek a Direct Marketing Association Mail Preference Service szolgáltatásában, elő kell segíteniük a "kizárási" lehetőség rendelkezésre állását olyan fogyasztók számára, akik nem kívánnak kereskedelmi információkhoz jutni. Az egyénnek minden esetben könnyen hozzáférhető és megfizethető mechanizmust kell biztosítani e lehetőség gyakorlására.

Hasonlóképpen, a szervezet felhasználhatja az információt bizonyos közvetlen értékesítési célokra, olyankor, amikor a gyakorlatban kivitelezhetetlen az egyén számára a kizárási lehetőség megadása az információ felhasználása előtt, ha a szervezet ugyanakkor (és kérésre bármikor) haladéktalanul megadja az egyén számára azt a lehetőséget, hogy visszautasítsa (anélkül hogy ez számára költséget jelentene) minden további közvetlen üzletszerzési értesítés fogadását, és a szervezet eleget tesz a személy kívánságának.

13. GYFK - Utazással kapcsolatos információ

K: A légi utasok helyfoglalása és más utazási információi, mint például a törzsutasprogramra vagy a szállodafoglalásra, illetve a különleges kiszolgálási igényekre, mint például a vallásos követelményeknek megfelelő ételekre vagy az esetleges fizikai segítségre vonatkozó információ mikor továbbítható az EU-n kívül található szervezetek részére?

V: Az ilyen információ továbbítására különböző körülmények között kerülhet sor. Az irányelv 26. cikke alapján a "személyes adatok olyan harmadik országba irányuló továbbítása vagy továbbítássorozata, amely a 25. cikk (2) bekezdése értelmében nem biztosít megfelelő szintű védelmet", csak a következő feltételek mellett történhet: (1) a továbbítás a fogyasztó által kért szolgáltatások biztosítása, vagy egy megállapodás, mint például a "törzsutasprogram" megállapodás feltételeinek teljesítése érdekében szükséges; vagy (2) a fogyasztó egyértelműen hozzájárulását adta. Az Egyesült Államokban a "biztonságos kikötő"-höz tartozó szervezetek biztosítják a személyes adatok megfelelő védelmét, és ezért a fenti feltételek és az irányelv 26. cikkében megállapított más feltételek teljesítése nélkül fogadhatnak az EU-ból továbbított adatokat. Mivel a "biztonságos kikötő" a különleges információk tekintetében különleges szabályokat tartalmaz, az ilyen információt (amelynek összegyűjtésére például a vásárlók fizikai segítségre vonatkozó igényeivel összefüggésben lehet szükség) a "biztonságos kikötő" résztvevői számára történő továbbítások magukban foglalhatják. Az információt továbbító szervezetnek azonban minden esetben tiszteletben kell tartania annak az EU-tagállamnak a jogszabályait, amelyben működik, amelyek többek között különleges feltételeket írhatnak elő a különleges adatok kezelésére vonatkozóan.

14. GYFK - Gyógyszeripari és gyógyászati termékek

1. K: Ha a személyes adatokat az Európai Unióban gyűjtik össze és gyógyszeripari kutatásra és/vagy más célokból az Egyesült Államokba továbbítják, a tagállam jogszabályait vagy a "biztonságos kikötő" elveket kell alkalmazni?

1. V: A személyes adatok összegyűjtésére és bármilyen, az Egyesült Államokba történő továbbítást megelőző feldolgozására a tagállami jogszabályokat kell alkalmazni. Amint azokat továbbították az Egyesült Államokba, az adatokra a "biztonságos kikötő" elvek vonatkoznak. A gyógyszeripari kutatásra és más célokra használt adatokat adott esetben anonimizálni kell.

2. K: A különleges orvosi vagy gyógyszeripari kutatások során kidolgozott személyes adatok gyakran értékes szerepet játszanak a jövőbeni tudományos kutatásban. Amennyiben egy adott kutatásra összegyűjtött személyes adatokat az Egyesült Államok valamelyik "biztonságos kikötő"-ben levő szervezetéhez továbbítják, felhasználhatja-e a szervezet az adatokat egy új tudományos kutatási tevékenységhez?

2. V: Igen, ha az első esetben megfelelő értesítést és választási lehetőséget biztosítottak. Az ilyen értesítésnek tájékoztatást kell adnia az adatok sajátos jövőbeni felhasználásairól: például időszakos nyomon követés, kapcsolódó tanulmányok vagy marketing. Magától értetődő, hogy az adatok összes jövőbeni felhasználása nem határozható meg pontosan, mivel az eredeti adatokba történő új betekintésből új kutatási felhasználás, új orvosi felfedezések és előrelépések, illetve közegészségügyi és szabályozói fejlesztések keletkezhetnek. Ahol lehetséges, az értesítésnek ezért tartalmaznia kell egy magyarázatot arról, hogy a személyes adatokat jövőbeni, előre nem látható orvosi és gyógyszeripari kutatási tevékenységekben esetleg felhasználják. Ha a felhasználás nem összeegyeztethető azzal (azokkal) az általános kutatási cél(ok)kal, amelyekre az adatokat eredetileg gyűjtötték, vagy amelyekhez az egyén utóbb hozzájárult, ismét kérni kell a beleegyezését.

3. K: Mi történik a személy adataival, ha a résztvevő saját elhatározásából vagy a támogató kérésére visszalép a klinikai kísérlettől?

3. V: A résztvevők bármikor dönthetnek a klinikai kísérletből való visszalépés mellett, illetve felkérhetők a visszalépésre. A visszalépést megelőzően gyűjtött adatokat a klinikai kísérlet részeként gyűjtött más adatokkal együtt még fel lehet dolgozni, de csak abban az esetben, ha ezt az értesítésben egyértelműen a résztvevő tudtára adták, amikor beleegyezett a részvételbe.

4. K: A gyógyszeripari és orvostechnikai eszközt gyártó vállalkozások számára megengedett, hogy az Egyesült Államok szabályozó hatóságai számára szabályozói és felügyeleti célokból az EU-ban végzett klinikai kísérletekből származó személyes adatokat adjanak át. A szabályozó hatóságokon kívül más felek, mint például a vállalkozás telephelyei és más kutatóhelyek számára engedélyeznek-e hasonló továbbításokat?

4. V: Igen, az értesítés és választási lehetőség elveivel összhangban.

5. K: Sok klinikai kísérletnél a tárgyilagosság biztosítása érdekében a résztvevők, és gyakran a vizsgálók számára sem adható hozzáférés az arra vonatkozó információhoz, hogy az egyes résztvevők milyen kezelést kapnak. Ha így tennének, az veszélyeztetné a kutatás és az eredmények érvényességét. Az ilyen (úgynevezett "vak") klinikai kísérletekben részt vevők a kísérlet során hozzáférnek-e a kezelésükre vonatkozó adatokhoz?

5. V: Nem, ilyen hozzáférést nem kell biztosítani a résztvevő számára, ha ezt a korlátozást elmagyarázták, amikor a résztvevő belépett a kísérletbe, és az ilyen információ felfedése veszélyeztetné a kutatás integritását. A kísérletben e feltételek alapján történő részvételre vonatkozó megállapodás a hozzáférési jogról való indokolt lemondás. A kísérlet befejezését és az eredmények elemzését követően a résztvevők kérésre hozzáférhetnek adataikhoz. Ezt elsősorban az orvostól vagy más egészségügyi szolgáltatótól kell kérniük, akitől a klinikai kísérleten belül a kezelést kapták, vagy másodsorban a támogató vállalkozástól.

6. K: A gyógyszeripari vagy orvostechnikai eszközt gyártó vállalkozásnak alkalmaznia kell-e a "biztonságos kikötő" elveket az értesítésre, a választási lehetőségre, az adattovábbításra harmadik személynek, és a hozzáférésre vonatkozóan a termékbiztonságot és -hatékonyságot ellenőrző tevékenységeiben, beleértve a negatív események jelentését és a bizonyos gyógyszereket vagy orvostechnikai eszközöket (pl. szívritmusszabályzót) használó betegek/alanyok megfigyelését?

6. V: Nem, amennyiben az elvek betartása akadályozza a szabályozói követelményeknek való megfelelést. Ez egyaránt igaz mind az egészségügyi szolgáltatók jelentéseire a gyógyszeripari és orvostechnikai eszközt gyártó vállalkozások felé, mind pedig a gyógyszeripari és orvostechnikai eszközt gyártó vállalkozások jelentéseire a kormányzati ügynökségek - mint pl. a Szövetségi Élelmiszer- és Gyógyszerügyi Hivatal (FDA) - felé.

7. K: A kutatási adatokat a kutatás vezetője egyedülálló módon és megváltoztathatatlanul kódolta azok keletkezésekor, hogy az egyéni érintettek személyazonosságát ne lehessen megismerni. Az ilyen kutatást támogató gyógyszeripari vállalkozások nem kapják meg a kulcsot. Az egyedülálló kóddal csak a kutató rendelkezik, annak érdekében, hogy a különleges körülmények esetén (pl. ha utólagos orvosi ellenőrzésre van szükség) azonosíthassa a kutatási alanyt. Az ilyen módon kódolt adatok továbbítása az EU-ból az Egyesült Államokba a személyes adatok "biztonságos kikötő" elvek alá tartozó továbbítását képezi?

7. V: Nem, ez nem képezi személyes adatok olyan továbbítását, amelyre az elvek vonatkoznak.

15. GYFK - Nyilvános nyilvántartás és nyilvánosan hozzáférhető információ

K: Az értesítés, választási lehetőség és az adattovábbítás harmadik félnek elvét szükséges-e a nyilvános nyilvántartásban lévő információra vagy a nyilvánosan hozzáférhető információra alkalmazni?

V: Az értesítés, választási lehetőség és az adattovábbítás harmadik félnek elvét nem szükséges alkalmazni a nyilvános nyilvántartásban lévő információra mindaddig, amíg az nem kapcsolódik össze nem nyilvános nyilvántartásban lévő információval, valamint amennyiben a vonatkozó joghatóság által a betekintésre megállapított feltételeket tiszteletben tartják.

Általában nem szükséges az értesítés, választási lehetőség és az adattovábbítás harmadik félnek elvét alkalmazni a nyilvánosan hozzáférhető információra, hacsak az európai átadó nem jelzi, hogy az ilyen információ olyan korlátozások alá tartozik, amelyek megkövetelik a szervezettől a fenti elvek alkalmazását a tervezett felhasználásokra. A szervezetek nem felelősek azért, hogy az információt hogyan használják fel azok, akik ahhoz nyilvánosságra hozott anyagokból jutnak hozzá.

Amennyiben egy szervezetről megállapították, hogy az elveket megsértve szándékosan hozott nyilvánosságra személyes információt annak érdekében, hogy ő vagy mások e kivételekből részesülhessenek, a továbbiakban nem jogosult a "biztonságos kikötő" előnyeire.

[1] E GYFK hozzáadása a csomaghoz az adatvédelmi hatóságok megállapodásától függ. Ezt a szöveget megvitatták a 29. cikk szerinti munkacsoporttal, és többség elfogahatónak találta, de a határozott állásfoglalásra csak a munkacsóport áltat a végsõvégső csomagban kiadandó átfogó vélemény összefüggésében készek.

[2] Lásd: a hitelesítésről szóló 7. GYFK.

[3] A jogvitákat eldöntő szerveknek nem kell megfelelniük a végrehajtási elvnek. Eltérhetnek az elvektől akkor is, ha adott feladataik végrehajtása során egymásnak ellentmondó kötelezettségekkel vagy kifejezett felhatalmazásokkal szembesülnek.

[4] A jogvitákat eldöntő szervek saját belátásuk szerint ítélhetik meg azokat a körülményeket, amelyek esetén ezeket a szankciókat használják. Az érintett adatok érzékenysége figyelembe veendő tényező annak eldöntésében, hogy szükség lehet-e az adatok törlésére, mint ahogyan az is, hogy a szervezet az elvek durva áthágásával gyűjtött-e össze, használt-e fel vagy hozott-e nyilvánosságra információt.

--------------------------------------------------

III. MELLÉKLET

A "biztonságos kikötő" végrehajtásának áttekintése

Szövetségi és állami "tisztességtelen és megtévesztő gyakorlatok" hatáskör és adatvédelem

Ez a feljegyzés a Szövetségi Kereskedelmi Bizottságról szóló törvény (15 U. S. C. §§ 41-58., módosítva) 5. szakasza alapján behatárolja a Szövetségi Kereskedelmi Bizottság (FTC) arra vonatkozó illetékességét, hogy intézkedést hozzon azok ellen, akik állításaikkal és/vagy az erre irányuló kötelezettségvállalásaikkal ellentétben nem védik meg a személyes információ titkosságát. Tárgyalja továbbá az illetékesség alóli kivételeket, valamint az intézkedési jogosultsággal rendelkező más szövetségi és állami ügynökségeket is, ahol az FTC nem rendelkezik hatáskörrel [1].

Az FTC hatásköre tisztességtelen vagy megtévesztő gyakorlat esetén

A Szövetségi Kereskedelmi Bizottságról szóló törvény 5. szakasza kimondja, hogy a "tisztességtelen vagy megtévesztő cselekmények vagy gyakorlat a kereskedelemben vagy azt érintően" törvényellenesek. 15 U. S. C. § 45(a)(1). Az 5. szakasz teljes hatáskörrel ruházza fel az FTC-t az ilyen eljárások és gyakorlatok megakadályozására. 15 U. S. C. § 45(a)(2). Ennek megfelelően, az FTC hivatalos tárgyalás levezetésével abbahagyásra kötelező közigazgatási határozatot adhat ki a törvénysértő magatartás megszüntetése érdekében. 15 U. S. C. § 45(b). Ha a közérdek úgy kívánja, az FTC ideiglenes korlátozó rendelkezést vagy ideiglenes vagy állandó végzést is kérhet az Egyesült Államok kerületi bíróságán. 15 U. S. C. § 53(b). Olyan esetekben, amikor a tisztességtelen vagy megtévesztő eljárások vagy gyakorlat széles körben elterjedt, vagy amennyiben már abbahagyásra kötelező közigazgatási határozatokat adott ki a tárgyban, az FTC az adott cselekményekre vagy gyakorlatokra vonatkozó közigazgatási szabályt léptethet érvénybe. 15 U. S. C. § 57a.

Aki nem tesz eleget az FTC-rendeletnek, 11000 USD-ig terjedő polgári bírsággal sújtható, és a folyamatos szabálysértés esetén minden nap külön szabálysértésnek minősül [2]. 15 U. S. C. § 45(1). Hasonlóképpen bárki, aki valamely FTC-szabályt tudatosan megszegi, minden megszegésért 11000 USD polgári bírsággal sújtható. 15 U. S. C. § 45.(m). Végrehajtási intézkedéseket vagy az Igazságügyi Minisztérium, vagy – ha az visszautasítja – az FTC hozhat. 15 bU. S. C. § 56.

Az FTC hatásköre és az adatvédelem

Az 5. szakasz szerinti hatáskörének gyakorlásában az FTC azon az állásponton van, hogy annak hamis beállítása, hogy miért gyűjtik az információt a fogyasztóktól, vagy hogy azt hogyan használják fel, megtévesztő gyakorlatnak minősül [3]. 1998-ban például az FTC panaszt nyújtott be a GeoCities ellen, mivel az a honlapján korábban gyűjtött információt harmadik félnek üzletszerzés céljából felfedte, előzetes engedély nélkül, és ezzel ellenkező állítása ellenére [4]. Az FTC munkatársai azt is megerősítették, hogy a gyermekekre vonatkozó személyes információ gyűjtése, és ezen információ értékesítése és nyilvánosságra hozatala a szülők hozzájárulása nélkül valószínűleg szintén tisztességtelen gyakorlatnak minősül [5].

John Mogghoz, az Európai Bizottság főigazgatójához intézett levelében Pitofsky, az FTC elnöke megjegyezte, hogy az FTC adatvédelemre vonatkozó hatásköre korlátozott, amennyiben nincs hamis közlés (vagy egyáltalán nincs közlés) arra vonatkozóan, hogy az összegyűjtött információkat hogyan használják fel. Pitofsky FTC-elnök levele John Mogg részére (1998. szeptember 23.). Azoknak a vállalkozásoknak azonban, amelyek élni kívánnak a javasolt "biztonságos kikötő" - vel, tanúsítaniuk kell, hogy az előírt iránymutatásokkal összhangban megvédik az összegyűjtött információt. Következésképpen, amennyiben egy vállalkozás tanúsítja, hogy biztosítja az információ titkosságát, és utána mégsem így tesz, az 5. szakasz értelmében eljárása hamis közlésnek és "megtévesztő gyakorlatnak" minősül.

Mivel az FTC hatásköre a "kereskedelmi vagy azt érintő" tisztességtelen vagy megtévesztő eljárásokra vagy gyakorlatra terjed ki, az FTC nem rendelkezik joghatósággal a nem kereskedelmi célokra összegyűjtött és felhasznált személyes információ tekintetében, például jótékonysági alap létrehozása esetén. Lásd Pitofsky levelét, 3. o. A személyes információ bármilyen kereskedelmi ügyletben történő felhasználása azonban eleget tesz ennek az illetékességi feltételnek. Így például, ha egy munkaadó a munkavállalóira vonatkozó személyes információt közvetlen piaci üzletszerzéssel foglalkozó vállalkozás számára értékesíti, az ügylet az 5. szakasz rendelkezései alá tartozik.

Az 5. szakasz szerinti kivételek

Az 5. szakasz meghatározza az FTC tisztességtelen vagy megtévesztő eljárásokra vagy gyakorlatra vonatkozó hatásköre alóli kivételeket a következők tekintetében:

- pénzintézetek, beleértve a bankokat, a takarék- és hitelintézeteket, és a hitelszövetkezeteket,

- távközlési és államok közötti szállítási fuvarozó vállalkozások,

- légi fuvarozók, és

- konzervgyár- és vágóhíd-üzemeltetők.

Lásd 15 U. S. C. § 45(a)(2). A következőkben az egyes kivételeket és az ezekre vonatkozó szabályozói hatáskört tárgyaljuk.

Pénzintézetek [6]

Az első kivétel a 18(f)(3) [15 U. S. C. § 57a(f)(3)] szakaszban leírt bankokra, takarék- és hitelintézetekre és a 18(f)(4) [15 U. S. C. § 57a(f)(4)] szakaszban leírt szövetségi hitelszövetkezetekre vonatkozik [7]. Ezek a pénzintézetek külön-külön inkább a Federal Reserve Board (szövetségi jegybanki tanács), az Office of Thrift Supervision (takarékbetét felügyelet hivatala) [8] és a National Credit Union Administration Board (nemzeti hitelszövetkezet vagyonkezelő igazgatóság) által kiadott szabályozások hatálya alá tartoznak. Lásd 15 U. S. C. § 57a(f). Ezeket a szabályozó ügynökségeket utasították az e pénzintézetek tisztességtelen és megtévesztő gyakorlatának megakadályozásához szükséges szabályozások előírására [9] és a fogyasztói panaszokat kezelő különálló részleg létrehozására. 15 U. S. C. § 57a(f)(1). Végül, a végrehajtási hatáskör a bankokra és takarék- és hitelintézetekre a szövetségi betétbiztosításról szóló törvény 8. szakaszából (12 U. S. C. § 1818), és a szövetségi hitelszövetkezetekre a szövetségi hitelszövetkezetről szóló törvény 120. és 206. szakaszából ered. 15 U. S. C. § 57a(f)(2)–(4).

Bár a biztosítási üzletág nem szerepel kifejezetten az 5. szakasz kivételeinek jegyzékében, a McCarran–Ferguson-törvény (15 U. S. C. § 1011 et seq.) a biztosítási üzletág szabályozását általában az egyes államokra bízza [10]. Ezenkívül a McCarran–Ferguson-törvény 2(b) szakasza alapján egyetlen szövetségi törvény sem érvényteleníti, csorbítja vagy váltja fel az állami szabályozást, "hacsak az ilyen törvény nem kifejezetten a biztosítási üzletágra vonatkozik". 15 U. S. C. § 1012(b). Az FTC törvény intézkedései azonban a biztosítási üzletágra "annyiban vonatkoznak, amennyiben az ilyen üzletágat az állami törvény nem szabályozza". Id. Azt is meg kell jegyezni, hogy a McCarran–Ferguson-törvény csak a biztosítási üzletág tekintetében enged szabad kezet az államoknak. Ezért az FTC fenntartja a fennmaradó hatáskörét a biztosító társaságok tisztességtelen vagy megtévesztő gyakorlata tekintetében, amikor nem a biztosítási üzletágban tevékenykednek. Ez magában foglalhatja például azt, amikor a biztosítók a biztosítottakra vonatkozó személyes információkat értékesítenek nem biztosítási termékek közvetlen piaci értékesítésével foglalkozó szakemberek számára [11].

Közhasznú fuvarozó vállalkozások

Az 5. szakasz második kivétele azokra a közhasznú fuvarozó vállalkozásokra terjed ki, amelyek "a kereskedelmet szabályozó törvények alá tartoznak". 15 U. S. C. § 45(a)(2). Ebben az esetben a "kereskedelmet szabályozó törvények" az Egyesült Államok törvénykönyve 49. címének IV. alcímére és az 1934. évi távközlési törvényre utalnak (47 U. S. C. § 151. et seq.) (Távközlési Törvény). Lásd 15 U. S. C. § 44.

A 49 U. S. C., IV. alcím (államok közötti szállítás) magában foglalja a vasúti fuvarozókat, a közúti fuvarozókat, a vízi fuvarozókat, az alkuszokat, a teherszállítmányozókat és a csővezetéken keresztül fuvarozókat. 49 U. S. C. § 10101 et seq. Ezek a különféle közhasznú fuvarozók a Közlekedési Minisztériumon belül független ügynökség, a Surface Transportation Board (Felszíni Közlekedési Igazgatóság) szabályozása alá tartoznak. 49 U. S. C. § 10501, 13501 és 15301. A fuvarozó számára minden egyes esetben tilos az olyan, a rakománya jellegére, rendeltetési helyére és más szempontjaira vonatkozó információ felfedése, amelyeket a szállítmányozó sérelmére használhatnak fel. Lásd 49 U. S. C. § 11904, 14908 és 16103. Megjegyezzük, hogy ezek az intézkedések a szállítmányozó rakományára vonatkozó információra utalnak, és így látszólag nem terjednek ki a szállítmányozóra vonatkozó személyes információra, amely nem kapcsolódik a szóban forgó szállítmányhoz.

A távközlési törvény értelmében az "államok közötti és külkereskedelem a vezetékes és rádió távközlésben" szabályozását a Szövetségi Távközlési Bizottság (Federal Communications Commission – FCC) látja el. Lásd 47 U. S. C. §§ 151. és 152. A közhasznú távközlési adattovábbítási szolgáltató vállalkozásokon kívül a távközlési törvény olyan vállalkozásokra is vonatkozik, mint például a televíziós és rádiós műsorszóró vállalkozások, és olyan kábelszolgáltatókra, amelyek nem közhasznú fuvarozó vállalkozások. Mint olyanok, utóbbi vállalkozások az FTC törvény 5. szakasza alapján nem minősülnek kivételnek. Így az FTC hatáskörrel rendelkezik e vállalkozások esetleges tisztességtelen és megtévesztő gyakorlatának vizsgálatára, míg az FCC párhuzamos joghatósággal bír független hatáskörének érvényesítésére ezen a területen, az alább leírtaknak megfelelően.

A távközlési törvény alapján "minden távközlési adattovábbítási vállalkozásnak", beleértve a helyi adatátviteli központokat, kötelessége megvédeni az ügyfél saját információjának titkosságát [12]. 47 U. S. C. § 222(a). Ezen az általános adatvédelmi hatáskörön kívül a távközlési törvényt módosította a kábeltávközlési politikáról szóló 1984. évi törvény (a kábeltörvény), 47 U. S. C. § 521 et seq., amely kifejezetten kötelezővé teszi a kábelüzemeltetők részére, hogy a kábel-előfizetőkre vonatkozó "személyes azonosításra alkalmas információ" titkosságát megvédjék. 47 U. S. C. § 551. [13] A kábeltörvény korlátozza a személyes információ a kábelüzemeltető általi gyűjtését, és megköveteli, hogy a kábelüzemeltető értesítse az előfizetőt az összegyűjtött információ természetéről és jövőbeni felhasználásáról. A kábeltörvény megadja az előfizetőknek a róluk szóló információkba való betekintés jogát, és előírja, hogy a kábelüzemeltetők semmisítsék meg az információkat, ha azokra a továbbiakban már nincs szükség.

A távközlési törvény feljogosítja az FCC-t, hogy vagy saját kezdeményezésére vagy külső panaszra reagálva végrehajtsa ezt a két adatvédelmi intézkedést [14]. 47 U. S. C. 205, 403; id. § 208. Ha az FCC megállapítja, hogy a távközlési adattovábbító (beleértve a kábelüzemeltetőt) megszegte a 222. vagy 551. szakasz adatvédelmi rendelkezéseit, három alapvető eljárással élhet. Először, a jogsértés megvizsgálása és meghatározása után, a Bizottság elrendelheti, hogy az adattovábbító vállalkozás fizessen a pénzügyi károkért [15]. 47 U. S. C. 209. Másik megoldásként az FCC utasíthatja az adattovábbító vállalkozást, hogy hagyjon fel a jogsértő gyakorlattal vagy mulasztással. 47 U. S. C. § 205(a). Végül, a Bizottság arra is utasíthatja a jogsértő adattovábbító vállalkozást, hogy "alkalmazzon és tartson be [minden olyan] előírást vagy gyakorlatot", amelyet az FCC előír. Id.

Azok a magánszemélyek, akik úgy gondolják, hogy a távközlési adattovábbító vagy a kábelüzemeltető vállalkozás megszegte a távközlési törvény vagy a kábeltörvény vonatkozó rendelkezéseit, panaszt tehetnek az FCC-nél, vagy benyújthatják kereseteiket a szövetségi kerületi bírósághoz. 47 U. S. C. § 207. Annak a panaszosnak, aki a szövetségi bíróságnál a távközlési adattovábbító vállalkozással szemben a távközlési törvény 222. szakaszának szélesebb értelmében a fogyasztói adatvédelem elmulasztásában indított keresetben megnyeri a pert, a tényleges kárösszeget és az ügyvéd díjának megtérítését ítélhetik meg. 47 U. S. C. § 206. Annak a panaszosnak, aki a kábeltörvény kábelre vonatkozó 551. szakasza alapján a személyiségi jog megsértése miatt indít pert, a tényleges kártérítésen és a jogi képviselők díján kívül büntető kártérítést és az indokolt perköltség megtérítését is megítélhetik. 47 U. S. C. § 551(f).

Az FCC részletes szabályokat fogadott el a 222. szakasz végrehajtására. Lásd a CFR 47. cím 64.2001-2009. A szabályok különös jogi biztosítékokat határoznak meg az ügyféltulajdonú hálózati információhoz való illetéktelen hozzáférés ellen. A szabályzat megköveteli a távközlési adattovábbítóktól, hogy:

- szoftverrendszereket fejlesszenek ki és vezessenek be, amelyek "jelzik" a fogyasztó értesítési/jóváhagyási állapotát, amikor az ügyfélszolgálati nyilvántartás először megjelenik a képernyőn,

- elektronikus "ellenőrzési nyomvonalat" tartsanak fenn a vásárló nyilvántartásához való hozzáférés követése céljából, beleértve azt is, hogy a fogyasztó nyilvántartását ki és milyen céllal nyitotta meg,

- képezzék ki személyzetüket az ügyféltulajdonú hálózati információ engedélyezett felhasználására, a megfelelő fegyelmi eljárásokkal,

- hozzanak létre felügyeleti felülvizsgálati eljárást a megfelelés biztosítására, amikor kimenő értékesítést folytatnak, és

- éves alapon igazolják az FCC-nek, hogyan teljesítik ezeket az előírásokat.

Légi fuvarozók

Az Egyesült Államok és a külföldi országok légi fuvarozói, amelyek az 1958. évi szövetségi légügyi törvény hatálya alá tartoznak, szintén mentesülnek az FTC törvény 5. szakasza alól. Lásd 15 U. S. C. § 45(a)(2). Ez magában foglal bárkit, aki áruk vagy utasok államok közötti vagy külföldi szállítását végzi, vagy aki postai küldeményeket repülőgépen fuvaroz. Lásd 49 U. S. C. § 40102. A légi fuvarozók a Közlekedési Minisztérium hatásköre alá tartoznak. Ebben a tekintetben a közlekedési miniszter rendelkezik hatáskörrel, hogy intézkedést hozzon "a tisztességtelen, megtévesztő, erőszakos vagy versenyellenes légi szállítási gyakorlatok megelőzésére". 49 U. S. C. § 40101(a)(9). Ha a közérdek úgy kívánja, a közlekedési miniszter kivizsgálhatja, hogy az Egyesült Államok vagy külföldi ország légi fuvarozója vagy jegyügynöke tisztességtelen vagy megtévesztő gyakorlatot folytat-e. 49 U. S. C. § 41712. Meghallgatás után a közlekedési miniszter utasítást adhat ki a jogellenes gyakorlat beszüntetésére. Id. Tudomásunk szerint, a közlekedési miniszter nem gyakorolta ezt az hatáskört a légitársaságok ügyfeleire vonatkozó személyes információ titkosságának megvédése ügyében [16].

A személyes információ titkosságának megvédésére két rendelkezés létezik, amelyek a légi fuvarozókra sajátos összefüggésekben vonatkoznak. Először, a szövetségi légügyi törvény megvédi a repülőgép-vezetői állásra jelentkezők adatainak védelmét. Lásd 49 U. S. C. § 44936(f). Miközben lehetővé teszi a légi fuvarozók számára, hogy hozzájussanak a kérvényező személyi iratanyagához, a törvény biztosítja a kérelmezőnek a jogot, hogy értesítést kapjon az iratanyag kéréséről, és ahhoz beleegyezését adja, a pontatlanságokat kijavítsa és az iratanyag kiadását csak a foglalkoztatásra vonatkozó döntésben érintettek számára engedélyezze. Másodszor, a DOT (Közlekedési Minisztérium) rendeletei előírják a légi katasztrófa esetén kormányzati felhaszn