Decyzja Komisji

z dnia 26 lipca 2000 r.

przyjęta na mocy dyrektywy 95/46/WE Parlamentu Europejskiego i Rady,

w sprawie adekwatności ochrony przewidzianej przez zasady ochrony prywatności w ramach "bezpiecznej przystani" oraz przez odnoszące się do nich najczęściej zadawane pytania, wydane przez Departament Handlu USA (notyfikowana jako dokument nr C(2000) 2441)

(Tekst mający znaczenie dla EOG)

(2000/520/WE)

KOMISJA WSPÓLNOT EUROPEJSKICH,

uwzględniając Traktat ustanawiający Wspólnotę Europejską,

uwzględniając dyrektywę 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych [1], w szczególności jej art. 25 ust. 6,

a także mając na uwadze, co następuje:

(1) Na mocy dyrektywy 95/46/WE Państwa Członkowskie są zobowiązane zapewnić, że przekazywanie danych osobowych do państwa trzeciego może odbywać się tylko wtedy, gdy dane państwo trzecie zapewnia adekwatny poziom bezpieczeństwa, a prawa Państwa Członkowskiego wprowadzające w życie inne przepisy dyrektywy są przestrzegane przed przekazaniem danych.

(2) Komisja może stwierdzić, że państwo trzecie zapewnia adekwatny poziom bezpieczeństwa. W tym przypadku dane osobowe mogą być przekazywane z Państw Członkowskich bez konieczności dodatkowych gwarancji.

(3) Na mocy dyrektywy 95/46/WE poziom ochrony danych powinien zostać oceniony w świetle wszystkich okoliczności związanych z operacją przekazywania danych albo zespołem operacji przekazywania danych oraz w odniesieniu do danych warunków. Grupa robocza ds. ochrony osób fizycznych w odniesieniu do przetwarzania danych osobowych powołana na podstawie wspomnianej dyrektywy [2] wydała wytyczne na temat dokonywania takich ocen [3].

(4) Biorąc pod uwagę różne podejścia do problemu ochrony danych w państwach trzecich, ocena adekwatności i każda decyzja na podstawie art. 25 ust. 6 dyrektywy 95/46/WE powinna być wprowadzona w życie w taki sposób, który ani nie dokonuje dyskryminacji w sposób arbitralny lub nieusprawiedliwiony wobec państw trzecich lub między tymi państwami, w których panują podobne warunki, ani też nie stwarza ukrytych barier w handlu uwzględniając obecne zobowiązania międzynarodowe Wspólnoty.

(5) Adekwatny poziom ochrony przekazywania danych ze Wspólnoty do Stanów Zjednoczonych, uznany przez niniejszą decyzję, powinien zostać osiągnięty, jeżeli organizacje będą przestrzegać zasad ochrony prywatności w ramach "bezpiecznej przystani" dotyczących ochrony danych osobowych przekazywanych z Państwa Członkowskiego do Stanów Zjednoczonych (zwanych dalej "zasadami") i najczęściej zadawanych pytań (zwanych dalej "NZP"), zawierających wytyczne dotyczące wprowadzania w życie zasad wydanych przez Rząd Stanów Zjednoczonych w dniu 21 lipca 2000 r. Ponadto organizacje powinny publicznie ujawnić stosowane przez nie polityki ochrony prywatności, a także powinny zostać poddane bądź to właściwości (Federalnej Komisji Handlu (FKH)) na podstawie sekcji 5 Ustawy o Federalnej Komisji Handlu, która zakazuje nieuczciwych lub wprowadzających w błąd czynów bądź praktyk handlowych lub wpływających na handel, bądź innego ustawowego organu, który skutecznie zapewni przestrzeganie zasad wdrożonych zgodnie z NZP.

(6) Z zakresu niniejszej decyzji powinny być wyłączone sektory i/lub przetwarzanie danych niepodlegające właściwości żadnego spośród organów rządowych w Stanach Zjednoczonych, wymienionych w załączniku VII do niniejszej decyzji.

(7) W celu zapewnienia prawidłowego stosowania niniejszej decyzji konieczne jest, żeby organizacje przestrzegające zasad i NZP mogły być uznane przez strony zainteresowane, takie jak osoby, których dane dotyczą, eksporterzy danych i organy ochrony danych. W tym celu Departament Handlu USA albo osoba przez niego wyznaczonapowinna podjąć się prowadzenia i publicznego udostępniania wykazu organizacji deklarujących przestrzeganie zasad wdrożonych zgodnie z NZP oraz podlegających właściwości, co najmniej jednego organu rządowego wymienionego w załączniku VII do niniejszej decyzji.

(8) Dla zachowania przejrzystości i w celu zagwarantowania właściwym władzom w Państwach Członkowskich możliwości zapewnienia ochrony osób fizycznych w zakresie przetwarzania ich danych osobowych, konieczne jest wyszczególnienie w niniejszej decyzji okoliczności wyjątkowych, w których zawieszenie określonych przekazów danych powinno być usprawiedliwione, bez względu na to czy stwierdzono ich właściwą ochronę.

(9) W świetle doświadczenia oraz nowych rozwiązań dotyczących ochrony prywatności w okolicznościach, w których technika umożliwia coraz łatwiejsze przekazywanie i przetwarzanie danych osobowych, a także w świetle sprawozdań w sprawie wprowadzenia w życie sporządzonych przez zaangażowane władze wykonawcze, może zajść potrzeba dokonania przeglądu "bezpiecznej przystani" tworzonej przez zasady i NZP.

(10) Grupa robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, powołana na mocy art. 29 dyrektywy 95/46/WE, wydała opinie o poziomie bezpieczeństwa, jaką zapewniają zasady "bezpiecznej przystani" w Stanach Zjednoczonych, które zostały uwzględnione przy przygotowaniu niniejszej decyzji [4].

(11) Środki przewidziane w niniejszej decyzji są zgodne z opinią Komitetu powołanego na mocy art. 31 dyrektywy 95/46/WE.

(12) Zgodnie z decyzją Komisji nr 1999/468/WE, w szczególności jej art. 8, w dniu 5 lipca 2000 r. Parlament Europejski przyjął rezolucję nr A5–0177/2000 w sprawie projektu decyzji Komisji w sprawie adekwatności ochrony przyznanej przez zasady ochrony prywatności w ramach "bezpiecznej przystani" i związanymi z nią najczęściej zadawanymi pytaniami wydany przez Departament Handlu USA [5]. Komisja ponownie zbadała projekt decyzji w świetle tej rezolucji i stwierdziła, że pomimo, iż Parlament Europejski wyraził pogląd, że należy dokonać pewnych ulepszeń w zasadach "bezpiecznej przystani" i odnośnych NZP zanim uzna się, że zapewniają adekwatną ochronę, nie ustanowił on, że Komisja przekroczyłaby swoje uprawnienia przyjmując tę decyzję,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

1. Do celów art. 25 ust. 2 dyrektywy 95/46/WE, w odniesieniu do wszystkich działań wchodzących w zakres niniejszej dyrektywy przyjmuje się, że zasady ochrony prywatności w ramach "bezpiecznej przystani" (zwane dalej "zasadami"), jak określono w załączniku I do niniejszej decyzji, wprowadzane w życie zgodnie z wytycznymi zawartymi w najczęściej zadawanych pytaniach (zwanych dalej NZP) wydanych przez Departament Handlu USA w dniu 21 lipca 2000 r., jak określono w załączniku II do niniejszej decyzji, zapewniają adekwatny poziom ochrony danych osobowych przekazywanych ze Wspólnoty do organizacji mających siedzibę w Stanach Zjednoczonych, z uwzględnieniem następujących dokumentów wydanych przez Departament Handlu USA:

a) przegląd egzekwowania "bezpiecznej przystani", przedstawiony w załączniku III;

b) memorandum w sprawie odszkodowań z tytułu naruszenia prywatności i wyraźnych upoważnień w prawie amerykańskim, przedstawione w załączniku IV;

c) list Federalnej Komisji Handlu, przedstawiony w załączniku V;

d) list Departamentu Transportu USA, przedstawiony w załączniku VI.

2. W stosunku do każdego przekazu danych powinny zostać spełnione następujące warunki:

a) organizacja otrzymująca dane jednoznacznie i publicznie ujawniła swoje zobowiązanie przestrzegania zasad wdrożonych zgodnie z NZP; oraz

b) organizacja podlega ustawowym uprawnieniom organu rządowego Stanów Zjednoczonych wymienionego w załączniku VII do niniejszej decyzji, który w przypadku nieprzestrzegania zasad wdrożonych przy pomocy NZP jest upoważniony do badania skarg i uwalniania od nieuczciwych lub wprowadzających w błąd praktyk oraz uzyskiwania odszkodowania dla osób fizycznych, niezależnie od ich kraju zamieszkania bądź przynależności państwowej.

3. Przyjmuje się, że warunki określone w ust. 2 spełnia każda organizacja, która deklaruje przestrzeganie zasad wdrożonych zgodnie z NZP od dnia, w którym ta organizacja zawiadomi Departament Handlu USA (albo osobę przez niego wyznaczoną) o publicznym ujawnieniu zobowiązania określonego w ust. 2 lit. a) oraz danych organu rządowego, określonego w ust. 2 lit. b).

Artykuł 2

Niniejsza decyzja dotyczy jedynie adekwatności ochrony zapewnianej w Stanach Zjednoczonych na mocy zasadwdrożonych zgodnie z NZP w celu spełnienia wymagań art. 25 ust. 1 dyrektywy 95/46/WE i nie wpływa na stosowanie innych przepisów tej dyrektywy, które dotyczą przetwarzania danych osobowych w Państwach Członkowskich, w szczególności jej art. 4.

Artykuł 3

1. Bez uszczerbku dla ich uprawnień do podejmowania działania zmierzającego do zapewnienia zgodności z przepisami krajowymi przyjętymi na mocy przepisów innych niż art. 25 dyrektywy 95/46/WE, właściwe władze Państw Członkowskich mogą wykonywać posiadane uprawnienia w celu zawieszenia przepływu danych do organizacji, która złożyła zaświadczenie o przestrzeganiu zasad wdrożonych zgodnie z NZP, w celu ochrony osób fizycznych w odniesieniu do przetwarzania ich danych osobowych w przypadkach, gdy:

a) organ rządowy w Stanach Zjednoczonych, określony w załączniku VII do niniejszej decyzji lub mechanizm niezależnej ochrony prawnej w rozumieniu lit. a) Zasady Realizacji Prawa określonej w załączniku I do niniejszej decyzji ustali, że organizacja narusza zasady wdrożone zgodnie z NZP; lub

b) istnieje duże prawdopodobieństwo, że zasady są łamane; istnieje uzasadnione domniemanie, że mechanizm realizacji prawa o którym mowa nie podejmuje lub nie podejmie właściwych kroków w odpowiednim czasie w celu załatwienia spornej sprawy; dalszy przekaz tworzyłby bezpośrednie ryzyko wystąpienia poważnej szkody dla osób, których dane dotyczą; a właściwe władze Państwa Członkowskiego dołożyły należytych starań w tych okolicznościach w celu powiadomienia danej organizacji i umożliwienia udzielenia odpowiedzi.

Zawieszenie ustaje z chwilą, gdy zostanie zapewnione przestrzeganie zasad wdrożonych zgodnie z NZP oraz właściwe władze Wspólnoty zostaną o tym powiadomione.

2. Państwa Członkowskie bezzwłocznie powiadomią Komisję o przyjęciu środków na podstawie ust. 1.

3. Państwa Członkowskie i Komisja powiadomią się także o przypadkach, w których działanie organów odpowiedzialnych za zapewnienie przestrzegania zasad wdrożonych zgodnie z NZP w Stanach Zjednoczonych nie zapewnia ich przestrzegania.

4. Jeżeli informacje zebrane zgodnie z ust. 1, 2 i 3 dostarczą dowodów, że jakikolwiek organ odpowiedzialny za zapewnienie przestrzegania zasad wdrożonych zgodnie z NZP w Stanach Zjednoczonych nie spełnia skutecznie swojej roli, Komisja informuje o tym Departament Handlu USA oraz, w razie potrzeby, przedstawia projekt środków zgodnie z procedurą, określoną w art. 31 dyrektywy 95/46/WE, w celu uchylenia albo zawieszenia niniejszej decyzji lub też ograniczenia jej zakresu.

Artykuł 4

1. Niniejsza decyzja może być dostosowywana w dowolnym czasie w świetle doświadczenia uzyskanego podczas wprowadzania jej w życie i/lub, jeżeli wymagania ustawodawstwa USA będą wyższe niż poziom bezpieczeństwa zapewniany przez zasad y i NZP.

W każdym przypadku, Komisja oceni wprowadzanie w życie niniejszej decyzji na podstawie dostępnych informacji trzy lata od jej notyfikowania Państwom Członkowskim i złoży sprawozdanie na temat wszelkich stosownych ustaleń komitetowi, ustanowionemu na podstawie art. 31 dyrektywy 95/46/WE, łącznie z wszelkimi dowodami, które mogą wpływać na ocenę przepisów określonych w art. 1 niniejszej decyzji w odniesieniu do zapewniania przez nie właściwej ochrony w rozumieniu art. 25 dyrektywy 95/46/WE oraz wszelkimi dowodami na stosowanie praktyk dyskryminacyjnych przy wprowadzaniu w życie niniejszej decyzji.

2. Komisja, w miarę potrzeb, przedstawia projekt środków zgodnie z procedurą określoną w art. 31 dyrektywy 95/46/WE.

Artykuł 5

Państwa Członkowskie podejmą wszelkie niezbędne środki w celu zapewnienia zgodności z niniejszą decyzją najpóźniej do końca okresu 90 dni upływającego od dnia jej notyfikowania Państwom Członkowskim.

Artykuł 6

Niniejsza decyzja skierowana jest do Państw Członkowskich.

Sporządzono w Brukseli, dnia 26 lipca 2000 r.

W imieniu Komisji

Frederik Bolkestein

Członek Komisji

[1] Dz.U. L 281 z 23.11.1995, str. 31.

[2] Adres internetowy grupy roboczej: http://www.europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm.

[3] GR 12: Przekazywanie danych osobowych do państw trzecich: stosowanie art. 25 i 26 dyrektywy UE w sprawie ochrony danych, przyjętej przez grupę roboczą dnia 24 lipca 1998 r.

[4] GR 15: Opinia 1/99 dotycząca poziomu ochrony danych w Stanach Zjednoczonych i bieżących rozmów pomiędzy Komisją Europejską a Stanami Zjednoczonymi.GR 19: Opinia 2/99 w sprawie adekwatności "międzynarodowych zasad bezpiecznejprzystani" wydanych przez Departament Handlu USA dnia 19 kwietnia 1999 r.GR 21: Opinia 4/99 w sprawie najczęściej zadawanych pytań, które mają zostać wydane przez Departament Handlu USA w odniesieniu do proponowanych "zasad bezpiecznej przystani" w sprawie adekwatności "międzynarodowych zasad bezpiecznej przystani".GR 23: Dokument roboczy w sprawie aktualnego stanu trwających rozmów pomiędzy Komisją Europejską a rządem Stanów Zjednoczonych dotyczących "międzynarodowych zasad bezpiecznej przystani".GR 27: Opinia 7/99 w sprawie poziomu ochrony danych zapewnianego przez zasady "bezpiecznej przystani" opublikowane łącznie z "najczęściej zadawanymi pytaniami" (NZP) i innymi odnośnymi dokumentami w dniach 15 i 16 listopada 1999 r. przez Departament Handlu USA.GR 31: Opinia 3/200 w sprawie dialogu/USA dotyczącego umowy "bezpiecznej przystani".GR 32: Opinia 4/2000 w sprawie poziomu ochrony zapewnianego przez "zasady bezpiecznej przystani".

[5] Rezolucja dotychczas nieopublikowana w Dzienniku Urzędowym.

--------------------------------------------------

ZAŁĄCZNIK I

ZASADY OCHRONY PRYWATNOŚCI W RAMACH "BEZPIECZNEJ PRZYSTANI"

wydane przez Departament Handlu USA dnia 21 lipca 2000 r.

Ogólne prawodawstwo Unii Europejskiej dotyczące ochrony prywatności, dyrektywa w sprawie ochrony danych (zwana dalej dyrektywą), weszło w życie w dniu 25 października 1998 r. Wymaga ono, żeby dane osobowe były przekazywane wyłącznie do takich państw nienależących do Wspólnoty, które zapewniają "adekwatny" poziom ochrony prywatności. Chociaż Stany Zjednoczone i Unia Europejska dążą do tego samego celu, jakim jest podniesienie poziomu ochrony prywatności swoich obywateli, to Stany Zjednoczone mają inne podejście do prywatności niż Unia Europejska. Stany Zjednoczone stosują podejście sektorowe, które polega na połączeniu ustawodawstwa, regulacji i samoregulacji. Biorąc pod uwagę te różnice, wiele amerykańskich organizacji wyraża niepewność dotyczącą wpływu wymaganej przez UE "normy adekwatności" na przekazywanie danych z Unii Europejskiej do Stanów Zjednoczonych.

W celu zmniejszenia niepewności i stworzenia bardziej przewidywalnych ram dla przekazywania takich danych, Departament Handlu wydaje niniejszy dokument i najczęściej zadawane pytania (zwane dalej "zasadami") na mocy swych ustawowych uprawnień do ustanawiania, wspierania i rozwijania handlu międzynarodowego. Zasady zostały opracowane w konsultacji z kręgami przemysłowymi i publicznością w celu ułatwienia handlu między Stanami Zjednoczonymi a Unią Europejską. Są one przeznaczone do wyłącznego użytku przez amerykańskie organizacje otrzymujące dane osobowe z Unii Europejskiej, w celu zakwalifikowania ich jako "bezpiecznej przystani" i domniemania "adekwatności", jakie ta przystań stwarza. Ponieważ zasady miały służyć wyłącznie temu szczególnemu celowi, ich przyjęcie do innych celów może być niewłaściwe. Zasad nie można stosować zamiast krajowych przepisów wprowadzających w życie dyrektywę, które stosuje się do przetwarzania danych osobowych w Państwach Członkowskich.

Decyzje organizacji o zakwalifikowaniu się jako "bezpieczna przystań" są całkowicie dobrowolne i organizacje mogą kwalifikować się jako "bezpieczna przystań" w różny sposób. Organizacje, które zdecydują się przyjąć zasady muszą stosować zasady w celu uzyskania i utrzymania przywilejów płynących z zasad ochrony prywatności w ramach "bezpiecznej przystani" i publicznie oświadczyć, że tak postępują. Jeżeli na przykład dana organizacja przystąpi do programu samoregulacji ochrony prywatności, który przestrzega zasad, to kwalifikuje się ona jako "bezpieczna przystań". Organizacje mogą się też zakwalifikować poprzez rozwój swych własnych polityk samoregulacji przestrzegania ochrony prywatności pod warunkiem że będą one zgodne z zasadami. W przypadku gdy dla zachowania zgodności z zasadami organizacja polega całkowicie albo częściowo na samoregulacji, nieprzestrzeganie przez nią takiej samoregulacji musi także być zaskarżalne na podstawie sekcji 5 Ustawy o Federalnej Komisji Handlu zakazującej nieuczciwych lub wprowadzających w błąd czynów, lub na podstawie innych przepisów ustawowych lub wykonawczych zabraniających takich czynów. (Spis ustawowych organów USA uznawanych przez UE podano w Załączniku). Ponadto, organizacje podlegające ustawowemu, wykonawczemu, administracyjnemu lub innemu zbiorowi praw (lub przepisów) chroniącemu skutecznie prywatność osób fizycznych mogą się także kwalifikować do korzystania z przywilejów "bezpiecznej przystani". We wszystkich przypadkach, przywileje "bezpiecznej przystani" przysługują od dnia, w którym każda organizacja pragnąca zakwalifikować się jako "bezpieczna przystań" przedstawia swój certyfikat w Departamencie Handlu (albo osobie przez niego wyznaczonej) przestrzegania zasad zgodnie ze wskazówkami podanymi w najczęściej zadawanych pytaniach dotyczących samocertyfikacji.

Przyjęcie zasad może być ograniczone: a) w zakresie niezbędnym do spełnienia wymagań bezpieczeństwa narodowego, interesu publicznego albo przestrzegania prawa; b) ustawą, rozporządzeniem rządu albo prawem precedensowym, ustanawiającym sprzeczne obowiązki albo udzielającym wyraźnego upoważnienia, pod warunkiem że działając na mocy tego upoważnienia organizacja potrafi wykazać, że nieprzestrzeganie przez nią zasad jest ograniczone do zakresu koniecznego do zaspokojenia nadrzędnych uzasadnionych interesów wspieranych przez to upoważnienie; lub c) jeżeli efektem dyrektywy w prawie Państwa Członkowskiego jest dopuszczenie wyjątków lub odstępstw, pod warunkiem że takie wyjątki lub odstępstwa stosuje się w porównywalnych kontekstach. Zgodnie z celem zwiększenia ochrony prywatności, organizacje powinny dążyć do pełnego wdrożenia niniejszych zasad w sposób całkowity i przejrzysty, wskazując ponadto w swoich politykach ochrony prywatności przypadki, w których wyjątki od zasad dozwolone lit. b) powyżej będą stosowane na bieżąco. Z tego samego powodu w przypadku gdy zasady i/lub prawo amerykańskie dopuszcza taką możliwość, oczekuje się, że w miarę możliwości organizacje będą decydować się na wyższy poziom ochrony.

Ze względów praktycznych lub innych organizacje mogą życzyć sobie, aby stosować zasady w odniesieniu do wszystkich operacji przetwarzania danych przez nie przeprowadzanych, lecz zobowiązane są stosować zasady tylko do danych przekazanych po ich wejściu do "bezpiecznej przystani". W celu zakwalifikowania się jako "bezpieczna przystań", podmioty nie mają obowiązku stosowania niniejszych zasad do informacji osobowych zawartych w ręcznie przetwarzanych systemach ewidencji. Organizacje pragnące korzystać z "bezpiecznej przystani" wcelu otrzymywania informacji z ręcznie przetwarzanych systemów ewidencji w UE muszą stosować zasady do wszystkich takich informacji przekazywanych po ich wejściu do "bezpiecznej przystani". Organizacja, która chce rozszerzyć przywilej "bezpiecznej przystani" na informacje osobowe o zasobach ludzkich, przekazywane z UE w celu wykorzystania w związku ze stosunkiem pracy musi to zaznaczyć, kiedy przedstawia swój certyfikat w Departamencie Handlu (albo osobie przez niego wyznaczonej) i spełnić wymagania podane w najczęściej zadawanych pytaniach dotyczących samocertyfikacji. Organizacje będą też mogły wprowadzić środki bezpieczeństwa wymagane na podstawie art. 26 dyrektywy, jeżeli włączą zasady do pisemnych umów ze stronami przekazującymi dane z UE w celu ustanowienia zasadniczych przepisów dotyczących ochrony prywatności z chwilą, gdy pozostałe przepisy takich wzorcowych umów zostaną zatwierdzone przez Komisję i Państwa Członkowskie.

Prawo USA będzie miało zastosowanie do pytań związanych z wykładnią i przestrzeganiem zasad "bezpiecznej przystani" (łącznie z najczęściej zadawanymi pytaniami) oraz stosownych polityk ochrony prywatności przez organizacje "bezpiecznej przystani", z wyjątkiem przypadków, gdy organizacje zobowiązały się współpracować z europejskimi organami ochrony danych. O ile nie stwierdzono inaczej, wszystkie przepisy zasad "bezpiecznej przystani" i najczęściej zadawanych pytań stosuje się we wszystkich przypadkach, których one dotyczą.

"Dane osobowe" i "informacje osobowe" są to dane o zidentyfikowanej albo możliwej do zidentyfikowania osobie, wchodzące w zakres dyrektywy, otrzymane przez organizację amerykańską z Unii Europejskiej i zarejestrowane w dowolnej formie.

OGŁOSZENIE

Organizacja musi poinformować osoby o celach, w jakich zbiera i wykorzystuje informacje o nich, o sposobie kontaktowania się z organizacją w celu zasięgnięcia informacji albo złożenia skargi, o rodzajach stron trzecich, którym ujawnia te informacje, oraz o możliwościach wyboru i środkach ograniczenia korzystania i ujawnienia tych informacji, oferowanych przez organizację tym osobom. Ogłoszenie to musi być sformułowane jasno i jednoznacznie z chwilą, gdy osoby fizyczne są po raz pierwszy proszone o dostarczenie organizacji informacji osobowych lub też w jak krótszym terminie jak to możliwe, ale w każdym przypadku przed użyciem przez organizację takich informacji w celu innym niż ten, w którym były one pierwotnie zbierane albo przetwarzane przez organizację przekazującą lub zanim ujawni je po raz pierwszy stronie trzeciej [1].

WYBÓR

Organizacja musi dać osobom możliwość wyboru (wyrażenie sprzeciwu), czy informacje osobowe ich dotyczące mają: a) być ujawnione stronie trzeciej [2] lub b) być wykorzystane w celu niezgodnym z celem(-ami), dla którego(-ych) były pierwotnie zbierane, lub na które osoba fizyczna wyraziła później zgodę. Procedury wyboru udostępnione osobom fizycznym muszą być jasne i jednoznaczne, łatwo dostępne i cenowo przystępne.

W przypadku informacji wrażliwych (tj. informacji osobowych określających warunki leczenia lub stan zdrowia, pochodzenie rasowe lub etniczne, przekonania polityczne, wierzenia religijne lub poglądy filozoficzne, członkostwo w związkach zawodowych, albo informacji określających życie seksualne danej osoby), muszą one mieć możliwość twierdzącego lub wyraźnego wyboru (wyrażenie zgody), jeżeli informacje mają być ujawnione stronie trzeciej lub mają być użyte w celu innym niż cele, dla których były pierwotnie zbierane, lub do których wykorzystania zainteresowana osoba później upoważniła poprzez wykorzystanie możliwości wyrażenia zgody. W każdym przypadku organizacja powinna traktować jako informację wrażliwą każdą informację otrzymaną od strony trzeciej, w przypadku gdy strona trzecia określa i traktuje je jako wrażliwe.

DALSZE PRZEKAZYWANIE DANYCH

W celu ujawnienia informacji stronie trzeciej, organizacje muszą stosować zasady ogłoszenia i wyboru. W przypadku gdy organizacja chce przesłać informację stronie trzeciej, będącej przedstawicielem, jak opisano w przypisie końcowym, może to zrobić pod warunkiem uprzedniego upewnienia się, iż strona trzecia przystąpiła do zasad albo podlega dyrektywie albo ustaleniom dotyczącym adekwatności lub zawrze z taką stroną trzecią pisemną umowę wymagającą, aby strona trzecia zapewniła, co najmniej taki sam poziom ochrony prywatności, jaki jest wymagany przez odnośne zasady. Jeżeli organizacja będzie przestrzegać tych wymagań, to nie będzie ona ponosić odpowiedzialności (o ile organizacja nie postanowi inaczej) za to, że strona trzecia, do której przekazuje informacje, przetwarza je w sposób niezgodny z ograniczeniami albo oświadczeniami, chyba że organizacja ta wiedziała albo powinna była wiedzieć, że strona trzecia może przetwarzać dane w taki nieodpowiedni sposób i organizacja nie podjęła właściwych kroków, żeby zapobiec takiemu przetwarzaniu danych lub je powstrzymać.

BEZPIECZEŃSTWO

Organizacje tworzące, przechowujące, używające albo rozpowszechniające informacje osobowe muszą podejmować rozsądne środki ostrożności w celu ich ochrony przed utratą, niewłaściwym wykorzystaniem oraz nieuprawnionym dostępem, ujawnieniem, zmianą i zniszczeniem.

INTEGRALNOŚĆ DANYCH

Zgodnie z zasadami, informacje osobowe muszą odpowiadać celom, do których mają być użyte. Organizacji nie wolno przetwarzać informacji osobowych w sposób niezgodny z celami, dla których były one zbierane lub celom, na które osoba udzieliła następnie zezwolenia. W zakresie niezbędnym do osiągnięcia tych celów, organizacja powinna podjąć właściwe kroki, aby zapewnić wiarygodność dla celów, jakim mają służyć, dokładność, kompletność i aktualność.

DOSTĘP

Osoby fizyczne muszą mieć dostęp do informacji osobowych ich dotyczących, które organizacja przechowuje i mieć możliwość poprawiania, zmieniania lub usuwania takich informacji, gdy są one nieprawidłowe, z wyjątkiem przypadków, gdy obciążenie kosztami udostępnienia informacji byłoby nieproporcjonalne w stosunku do zagrożenia dla ochrony prywatności danej osoby, lub w przypadku gdy prawa osób innych niż dana osoba zostałyby naruszone.

ZAPEWNIANIE PRAWU SKUTECZNOŚCI

Skuteczna ochrona prywatności musi obejmować procedury postępowania zapewniające przestrzeganie zasad, prawo odwoływania się osób, których dane dotyczą, które wskutek nieprzestrzegania zasad zostały poszkodowane, oraz konsekwencje wynikające dla organizacji z powodu nieprzestrzegania zasad. Procedury te muszą obejmować, co najmniej: a) łatwo dostępny i finansowo przystępny mechanizm niezależnej ochrony prawnej, dzięki któremu bada się i rozstrzyga skargi oraz spory poszczególnych osób w odniesieniu do zasad, a także przyznaje odszkodowania w przypadku gdy przewiduje to odnośne prawo lub inicjatywy sektora prywatnego; b) procedury kontrolne mające na celu sprawdzenie, że poświadczenia i zapewnienia dokonywane przez przedsiębiorstwa w odniesieniu do ich praktyk ochrony prywatności są prawdziwe oraz, że praktyki te zostały wdrożone zgodnie z deklaracjami; oraz c) obowiązki dotyczące zaradzenia problemom wynikającym z nieprzestrzegania zasad przez organizacje deklarujące ich przestrzeganie oraz konsekwencje dla organizacji. Sankcje muszą być dostatecznie surowe, by zapewnić przestrzeganie zasad przez organizacje.

[1] Nie jest konieczne uprzedzanie ani oferowanie wyboru, gdy ujawnia się dane stronie trzeciej, która działa jako przedstawiciel powołany do wykonania zadania(-ń) w imieniu i na polecenie organizacji. Z drugiej strony, w takich przypadkach stosuje się zasadę dalszego przekazywania danych.

[2] Nie jest konieczne uprzedzanie ani oferowanie wyboru, gdy ujawnia się dane stronie trzeciej, która działa jako przedstawiciel powołany do wykonania zadania(-ń) w imieniu i na polecenie organizacji. Z drugiej strony, w takich przypadkach stosuje się zasadę dalszego przekazywania danych.

--------------------------------------------------

ZAŁĄCZNIK II

NAJCZĘŚCIEJ ZADAWANE PYTANIA (NZP)

NZP 1 — Dane wrażliwe

P: Czy w odniesieniu do danych wrażliwych organizacja zawsze musi zapewnić możliwość wyraźnego wyboru (wyrażenia zgody)?

O: Nie, taka możliwość nie jest wymagana w przypadku gdy przetwarzanie danych jest: 1) w żywotnym interesie osoby, której dane dotyczą, lub innej osoby; 2) konieczne do ustalenia roszczeń prawnych lub obrony; 3) wymagane do zapewnienia opieki zdrowotnej lub dokonania diagnozy; 4) wykonywane w toku prawomocnych działań przez fundację, stowarzyszenie albo jakikolwiek podmiot typu non-profit prowadzący działalność polityczną, filozoficzną, religijną albo związkową, a także pod warunkiem że przetwarzanie danych dotyczy wyłącznie członków tego podmiotu albo osób mających z nim stały kontakt w związku z jego działalnością celową, a dane nie są ujawnione stronie trzeciej bez zgody osób, których te dane dotyczą; 5) konieczne w celu wykonywania zobowiązań organizacji w dziedzinie prawa pracy; lub 6) związane z danymi, które osoba w sposób oczywisty ujawnia publicznie.

NZP 2 — Wyjątki dziennikarskie

P: Biorąc pod uwagę konstytucyjną ochronę wolności prasy w Stanach Zjednoczonych i wyłączenie spod dyrektywy materiałów dziennikarskich, czy zasady "bezpiecznej przystani" stosuje się do informacji gromadzonej, przechowywanej, albo rozpowszechnianej na potrzeby dziennikarstwa?

O: W przypadku gdy prawa do wolnej prasy wyrażone w pierwszej poprawce do konstytucji Stanów Zjednoczonych kolidują z interesami ochrony prywatności, pierwsza poprawka musi regulować równoważenie tych interesów w odniesieniu do działań obywateli lub organizacji amerykańskich. Informacje osobowe zebrane w celu ich publikacji w prasie, radio lub telewizji albo w innej formie publicznego rozpowszechnienia materiału dziennikarskiego, niezależnie od tego, czy informacje te wykorzystano czy nie, a także informacje znajdujące się w uprzednio opublikowanym materiale rozpowszechnionym z archiwów środków masowego przekazu, nie podlegają wymaganiom zasad "bezpiecznej przystani".

NZP 3 — Odpowiedzialność pośrednia

P: Czy dostawcy usług internetowych, operatorzy telekomunikacyjni lub inne organizacje podlegają odpowiedzialności w ramach zasad "bezpiecznej przystań" i, gdy w imieniu innej organizacji jedynie przekazują, kierują, przełączają lub przechowują w pamięci informacje, które mogą naruszać te zasady?

O: Nie. Podobnie jak w przypadku samej dyrektywy, "bezpieczna przystań" nie powoduje odpowiedzialności pośredniej. W zakresie, w jakim organizacja działa jedynie jako kanał przekazywania danych przekazywanych przez strony trzecie i o ile nie decyduje ona o celach oraz sposobach przetwarzania tych danych osobowych, nie podlegałaby odpowiedzialności.

NZP 4 — Bankowość inwestycyjna i kontrole

P: Działania audytorów i bankierów inwestycyjnych mogą obejmować przetwarzanie danych osobowych bez zgody lub wiedzy osoby, której dane dotyczą. W jakich okolicznościach jest to dozwolone przepisami zasad ogłoszenia, wyboru i dostępu?

O: Bankierzy inwestycyjni lub audytorzy mogą przetwarzać informacje bez wiedzy osoby tylko w takim zakresie i przez taki okres, jaki jest konieczny do spełnienia wymagań ustawowych albo wymagań interesu publicznego oraz w innych okolicznościach, w których stosowanie niniejszych zasad naruszałoby uzasadnione interesy organizacji. Te uzasadnione interesy obejmują kontrolę przestrzegania przez przedsiębiorstwa ich obowiązków prawnych i uzasadnionych operacji księgowania, a także konieczność zachowania poufności w związku z ewentualnymi przejęciami, łączeniem się spółek, tworzeniem spółek joint venture albo innymi podobnymi transakcjami przeprowadzanymi przez bankierów inwestycyjnych lub audytorów.

NZP 5 — Rola organów ochrony danych

P: W jaki sposób przedsiębiorstwa, które zobowiążą się współpracować z organami ochrony danych (OOD) Unii Europejskiej dokonają tych zobowiązań i jak będą one wykonywane?

O: Zgodnie z zasadami "bezpiecznej przystani" organizacje amerykańskie otrzymujące dane osobowe z UE muszą zobowiązać się do stosowania skutecznych procedur dla zapewnienia przestrzegania zasad "bezpiecznej przystani". W szczególności, zgodnie z zasadą zapewniania prawu skuteczności, muszą one zapewnić a) mechanizm ochronny dla osób, których dane dotyczą, b) procedury kontrolne mające na celu sprawdzenie, że poświadczenia i zapewnienia przez nie dokonywane są prawdziwe, oraz c) zobowiązania zaradzenia problemom powstałym na skutek nieprzestrzegania zasad oraz konsekwencje dla takich organizacji. Organizacja może spełniać wymagania lit. a) i c) zasady zapewniania skuteczności prawa, jeżeli przestrzega wymagań niniejszych NZP w zakresie współpracy z OOD.

Organizacja może zobowiązać się do współpracy z OOD przez stwierdzenie w swoim certyfikacie w sprawie "bezpiecznej przystani" przedstawionym w Departamencie Handlu (patrz: NZP 6 dotyczące samocertyfikacji), że organizacja ta:

1. zamierza spełnić wymaganie podane w lit. a) i c) zasady zapewniania prawu skuteczności "bezpiecznej przystani" przez zobowiązuje się do współpracy z OOD;

2. będzie współpracowała z OOD przy badaniu i rozstrzyganiu skarg wniesionych na podstawie "bezpiecznej przystani" oraz

3. będzie postępować zgodnie z poradami udzielonymi przez OOD, w przypadkach, gdy OOD uzna, że organizacja powinna podjąć szczególne działania w celu przestrzegania zasad "bezpiecznej przystani", włącznie ze stosowaniem środków zaradczych albo odszkodowawczych na rzecz osób pokrzywdzonych przez każde nieprzestrzeganie zasad i dostarczy OOD pisemne potwierdzenie, iż takie działanie zostało podjęte.

Współpraca ze strony OOD będzie polegała na udzielaniu informacji i porad w następujący sposób:

- Porady OOD będą udzielane za pośrednictwem nieformalnej grupy OOD ustanowionej na poziomie Unii Europejskiej, która między innymi zapewni skoordynowane i spójne podejście.

- Grupa będzie udzielać porad zainteresowanym organizacjom amerykańskim w sprawie nierozstrzygniętych skarg osób fizycznych, dotyczących posługiwania się informacjami osobowymi, które zostały przekazane z UE w ramach "bezpiecznej przystani". Porady te będą miały na celu zapewnienie prawidłowego stosowania zasad "bezpiecznej przystani" i będą zawierać wszelkie środki zaradcze dla zainteresowanej(ych) osoby(ób), jakie OOD uznają za właściwe.

- Grupa będzie udzielać takich porad w odpowiedzi na odwołania zainteresowanych organizacji i/lub w odpowiedzi na skargi otrzymane bezpośrednio od osób fizycznych na organizacje, które zobowiązały się współpracować z OOD do celów "bezpiecznej przystani", jednocześnie zachęcając i w razie potrzeby pomagając takim osobom wykorzystać w pierwszej kolejności wewnętrzne procedury rozpatrywania skarg, które dana organizacja może oferować.

- Porady będą udzielone dopiero wtedy, gdy obie strony sporu miały należytą możliwość wypowiedzenia się i przedstawienia wszystkich dowodów zgodnie z własnym uznaniem. Grupa będzie starała się udzielić porad tak szybko jak niniejszy wymóg należytej procedury stanowi. Jako ogólną zasadę przyjmuje się, że grupa będzie starała się udzielić porady w ciągu 60 dni od otrzymania skargi lub odwołania, a w miarę możliwości wcześniej.

- Jeżeli grupa uzna to za stosowne, poda do publicznej wiadomości wyniki badania przedłożonych jej skarg.

- Udzielenie porad za pośrednictwem grupy nie będzie skutkowało powstaniem jakiejkolwiek odpowiedzialności ze strony grupy lub poszczególnych OOD.

Jak wspomniano powyżej, organizacje wybierające ten sposób rozstrzygania sporów muszą zobowiązać się do przestrzegania porad OOD. Jeżeli organizacja nie zastosuje się do porad w ciągu 25 dni od ich otrzymania i nie poda zadowalającego usprawiedliwienia takiego opóźnienia, to grupa zawiadamia ją o swoim zamiarze przedłożenia sprawy Federalnej Komisji Handlu albo innemu federalnemu lub stanowemu organowi USA posiadającemu ustawowe uprawnienia do podjęcia czynności zapewniających prawu skuteczność w przypadku wprowadzenia w błąd albo podania fałszywych informacji lub uznać, że porozumienie o współpracy zostało poważnie naruszone i w związku z powyższym musi zostać uznane za nieważne. W ostatnim przypadku, grupa poinformuje Departament Handlu (albo osobę przez niego wyznaczoną), w celu umożliwienia dokonania właściwej zmiany na liście uczestników "bezpiecznej przystani". Każdy przypadek niewypełnienia zobowiązania do współpracy z OOD, a także przypadki nieprzestrzegania zasad "bezpiecznej przystani" będą podlegały zaskarżeniu jako praktyka wprowadzająca w błąd na mocy sekcji 5 Ustawy o FKH albo innej podobnej ustawy.

Organizacje wybierające taką opcję będą musiały zapłacić roczną składkę przeznaczoną na sfinansowanie kosztów operacyjnych grupy i mogą zostać poproszone o pokrycie koniecznych wydatków związanych z tłumaczeniami wynikających z rozpatrywania przez grupę odwołań lub skarg przeciwko nim. Roczna składka nie przekroczy 500 USD, a w przypadku małych przedsiębiorstw będzie niższa.

Organizacje przystępujące do "bezpiecznej przystani" będą miały możliwość nawiązania współpracy z OOD przez okres trzech lat. Jeżeli liczba amerykańskich organizacji wybierających tę możliwość okaże się nadmierna, przed końcem tego okresu OOD ponownie rozpatrzą to ustalenie.

NZP 6 — Samocertyfikacja

P: W jaki sposób organizacja może przedstawić certyfikat, że przystępuje do zasad "bezpiecznej przystani"?

O: Przywileje "bezpiecznej przystani" przysługują od dnia, w którym organizacja przedstawia swój certyfikat w Departamencie Handlu (albo u osoby przez niego wyznaczonej), że będzie przestrzegać zasad zgodnie z instrukcjami podanymi poniżej.

W celu dokonania samocertyfikacji o przystąpienia do "bezpiecznej przystani" organizacje mogą dostarczyć do Departamentu Handlu (albo osoby przez niego wyznaczonej) list podpisany przez członka zarządu w imieniu organizacji, która przystępuje do "bezpiecznej przystani", zawierający, co najmniej następujące informacje:

1. nazwę organizacji, adres pocztowy, adres e-mail:, numery telefonu i faksu;

2. opis działalności organizacji w odniesieniu do informacji osobowych otrzymywanych z UE; oraz

3. opis obowiązującej w organizacji polityki ochrony prywatności w odniesieniu do takich informacji osobowych, obejmujący: a) gdzie polityka ochrony prywatności jest udostępniona do wglądu publicznego, b) jej data obowiązywania, c) biuro kontaktowe dla rozpatrywania skarg, wniosków o udzielenie dostępu i wszelkich innych zagadnień wynikających z uczestnictwa w "bezpiecznej przystani", d) określony organ ustawowy właściwy do rozpoznawania skarg przeciwko organizacji, dotyczących ewentualnych nieuczciwych lub wprowadzających w błąd praktyk oraz naruszenia przepisów ustawowych lub wykonawczych regulujących ochronę prywatności (wymieniony w Załączniku do zasad), e) nazwy wszelkich programów ochrony prywatności, których organizacja jest członkiem, f) metoda kontroli (np. wewnętrzna, przez stronę trzecią) [1] i g) mechanizm niezależnej ochrony prawnej, który umożliwia badanie nierozstrzygniętych skarg.

W przypadku gdy organizacja chce, aby jej przywileje "bezpiecznej przystani" obejmowały także informacje o zasobach ludzkich, przekazywanych z UE do wykorzystania w związku ze stosunkiem pracy, może tak uczynić w przypadku gdy istnieje ustawowy organ, wymieniony w Załączniku do zasad, właściwy do rozpoznawania skarg przeciwko organizacji wynikających z informacji o zasobach ludzkich, którą wymieniono w Załączniku do zasad. Ponadto organizacja musi zaznaczyć to w swoim piśmie i zobowiązać się do współpracy, gdzie stosownie, z zainteresowanym organem bądź organami UE zgodnie z NZP 9 i NZP 5 oraz że będzie postępować zgodnie z poradami otrzymanymi od takich organów.

Departament (albo wyznaczona przez niego osoba) będzie prowadzić wykaz wszystkich organizacji, które złożyły takie pisma, zapewniając sobie w ten sposób przywileje "bezpiecznej przystani" i będzie również aktualizować ten wykaz na podstawie corocznych pism i zawiadomień otrzymanych zgodnie z NZP 11. Takie listy samocertyfikujące powinny być składane nie rzadziej niż raz w roku. W przeciwnym przypadku organizacja zostanie wykreślona z wykazu i pozbawiona przywilejów "bezpiecznej przystani". Zarówno wykaz, jak i listy samocertyfikujące przedkładaneprzez organizacje będą podane do publicznej wiadomości. Wszystkie organizacje, które samocertyfikują o przystąpieniu do "bezpiecznej przystani" muszą także podać w opublikowanych przez siebie odnośnych oświadczeniach dotyczących polityki ochrony prywatności, że przystąpiły do zasad "bezpiecznej przystani".

Zobowiązanie do przystąpienia do zasad "bezpiecznej przystani" nie jest ograniczone czasowo w odniesieniu do danych otrzymanych w okresie, w którym organizacja korzysta z przywilejów "bezpiecznej przystani". Jej zobowiązanie oznacza, że będzie w dalszym ciągu stosować zasady w odniesieniu do takich danych, tak długo jak długo będzie je przechowywać, wykorzystywać, ujawniać, nawet jeżeli w późniejszym terminie z jakiegokolwiek powodu opuści "bezpieczną przystań".

Organizacja, która przestanie istnieć jako odrębna osoba prawna w wyniku łączenia się lub przejmowania przedsiębiorstw musi zawiadomić o tym z wyprzedzeniem Departament Handlu (albo osobę przez niego wyznaczoną). Zawiadomienie powinno także zawierać informację, czy podmiot przejmujący albo podmiot powstały w wyniku łączenia się przedsiębiorstw 1) będzie w dalszym ciągu związany zasadami "bezpiecznej przystani" na skutek działania prawa regulującego przejęcie bądź łączenie lub też 2) zamierza przedstawić certyfikat o przyjęciu przez siebie zasad "bezpiecznej przystani" bądź zastosuje inne środki ochrony, takie jak pisemną umowę, które zapewnią przyjęcie zasad "bezpiecznej przystani". W przypadku gdy ani pkt 1) ani 2), nie ma zastosowania wszelkie dane uzyskane w ramach "bezpiecznej przystani" muszą zostać bezzwłocznie usunięte.

Organizacja nie musi poddawać wszystkich danych osobowych zasadom "bezpiecznej przystani", ale musi poddać zasadom "bezpiecznej przystani" wszystkie dane osobowe otrzymane z UE po swoim przystąpieniu do "bezpiecznej przystani".

Każde podanie do publicznej wiadomości fałszywej informacji dotyczącej przyjęcia przez organizację zasad "bezpiecznej przystani" może podlegać zaskarżeniu przez Federalną Komisję Handlową albo inny odpowiedni organ rządowy. Podanie fałszywych informacji Departamentowi Handlu (albo osobie przez niego wyznaczonej) może podlegać wniesieniu powództwa na podstawie Ustawy o fałszywych oświadczeniach (18 U. S. C.§ 1001).

NZP 7 — Kontrola

P: W jaki sposób organizacje zapewniają procedury kontrolne pozwalające sprawdzić, czy ich poświadczenia i zapewnienia dotyczące praktyk ochrony prywatności w ramach "bezpiecznej przystani" są prawdziwe, czy praktyki te zostały wprowadzone w życie tak, jak to zostało przedstawione i czy zgodnie z zasadami "bezpiecznej przystani"?

O: W celu spełnienia wymagań kontrolnych zasady zapewniania prawu skuteczności organizacja może sprawdzać takie poświadczenia i zapewnienia albo na drodze samooceny albo zewnętrznych przeglądów zgodności z wymaganiami.

W ramach samooceny kontrola taka musiałaby wykazać, że opublikowana polityka ochrony prywatności danej organizacji, dotycząca informacji osobowych otrzymanych z UE jest właściwa, całościowa, umieszczona w wyraźnym miejscu, w pełni wprowadzona w życie i dostępna. Organizacja musiałaby także wykazać, że jej polityka ochrony prywatności jest zgodna z zasadami "bezpiecznej przystani"; że osoby fizyczne są informowane o wszelkich wewnętrznych niezależnych mechanizmach rozpatrywania skarg oraz niezależnych mechanizmach składania skarg; że stosuje ona odpowiednie procedury szkoleń pracowników we wprowadzaniu w życie polityki ochrony prywatności i karania pracowników w przypadku jej nieprzestrzegania; oraz że stosuje ona wewnętrzne procedury okresowego przeprowadzania przedmiotowych przeglądów zgodności z powyższym. Oświadczenie potwierdzające samoocenę powinno być podpisane przez członka zarządu lub innego upoważnionego przedstawiciela organizacji przynajmniej raz w roku i powinno być udostępnione na żądanie osobom fizycznym lub w kontekście badania lub skargi dotyczącej nieprzestrzegania zasad.

Organizacje powinny zachowywać swe dokumenty w sprawie wprowadzania w życie ich praktyk ochrony prywatności w ramach "bezpiecznej przystani" oraz udostępniać je na żądanie w kontekście badania lub skargi na nieprzestrzeganie zasad niezależnemu organowi odpowiedzialnemu za rozpatrywanie skarg bądź organowi właściwemu do badania nieuczciwych i wprowadzających w błąd praktyk.

W przypadku gdy organizacja wybrała zewnętrzny przegląd przestrzegania, taki przegląd musi wykazać, że polityka organizacji w zakresie ochrony prywatności dotycząca informacji osobowych otrzymanych z UE jest zgodna z zasadami "bezpiecznej przystani", zaś zasady są przestrzegane, a osoby informowane o procedurach wnoszenia skarg. Metody przeglądu mogą obejmować audyt bez ograniczeń, wyrywkowe przeglądy, używanie "przynęt" albo stosowanie narzędzi technicznych, gdy to jest odpowiednie. Oświadczenie potwierdzające przeprowadzenie z pozytywnym wynikiem zewnętrznego przegląduzgodności powinno być podpisane przez osobę dokonującą przegląd, członka zarządu lub innego upoważnionego przedstawiciela organizacji przynajmniej raz w roku i powinno być udostępnione na żądanie osobom fizycznym lub w kontekście badania lub skargi dotyczącej nieprzestrzegania zasad.

NZP 8 — Dostęp

Zasada dostępu:

Osoby fizyczne muszą mieć dostęp do informacji osobowych, które ich dotyczą przechowywanych przez organizację oraz mieć możliwość poprawienia, zmiany lub usunięcia niedokładnych informacji z wyjątkiem przypadków, gdy obciążenie związane z kosztami lub udzieleniem dostępu byłoby nieproporcjonalne do zagrożenia ochrony prywatności danej osoby lub w przypadku gdy zostałyby naruszone prawa osób innych niż dana osoba.

1. P: Czy prawo dostępu jest nieograniczone?

1. O: Nie. Zgodnie z zasadami "bezpiecznej przystani" prawo dostępu ma fundamentalne znaczenie dla ochrony prywatności. W szczególności, pozwala ono osobom fizycznym na sprawdzenie poprawności przechowywanych o nich informacji. Niemniej jednak obowiązek zapewnienia przez organizację dostępu do informacji osobowych, jakie przechowuje ona o zainteresowanej osobie fizycznej, podlega zasadzie proporcjonalności lub zasadności i w pewnych przypadkach musi być ograniczony. Potwierdzają to uzasadnienia do Wytycznych OECD w sprawie ochrony prywatności z 1980 r., które jasno stwierdzają, że obowiązek udzielenia dostępu przez organizację nie jest nieograniczony. Nie wymaga on nadmiernie szczegółowego przeszukania nakazanego, na przykład, w wezwaniu sądowym, ani nie wymaga dostępu do informacji we wszystkich poszczególnych formach, w jakich może ona być przechowywana przez organizację.

Doświadczenie wykazało raczej, że odpowiadając na żądania dostępu zgłaszane przez osoby fizyczne, organizacje powinny mieć na uwadze przede wszystkim kwestię, która spowodowała zgłoszenie żądania. Jeżeli na przykład żądanie dostępu jest niejasne albo ma bardzo szeroki zakres, organizacja może porozumieć się z daną osobą, żeby lepiej zrozumieć jej powód żądania i zlokalizować właściwą informację. Organizacja może zapytać, z jaką częścią(częściami) jej struktury osoba miała do czynienia i/lub o charakter informacji (albo jej wykorzystania), która jest przedmiotem żądania dostępu. Jednakże osoby fizyczne nie muszą uzasadniać żądania dostępu do swoich własnych danych.

Koszt i obciążenia są istotnymi czynnikami i powinny być brane pod uwagę, ale nie rozstrzygają o tym, czy umożliwienie dostępu jest uzasadnione. Jeżeli na przykład informacja jest wykorzystywana do podejmowania decyzji, które w istotny sposób wpływają na życie osoby fizycznej (na przykład odmowa bądź przyznanie istotnych korzyści, takich jak ubezpieczenie, hipoteka lub praca), wówczas zgodnie z innymi przepisami niniejszych NZP organizacja musiałaby ujawnić te informacje, nawet gdyby to było stosunkowo kosztowne albo trudne do wykonania.

Jeżeli żądana informacja nie jest wrażliwa albo nie jest używana do podejmowania decyzji, które w istotny sposób wpłyną na osobę fizyczną (np. niewrażliwe dane marketingowe używane do ustalenia, czy danej osobie wysłać katalog), lecz jest łatwo dostępna i jej dostarczenie jest niedrogie, organizacja będzie musiała zapewnić dostęp do informacji o faktach przechowywanych na temat danej osoby. Informacja będąca przedmiotem zainteresowania mogłaby zawierać fakty uzyskane od danej osoby, fakty zebrane w trakcie dokonywania transakcji lub fakty dotyczące osoby fizycznej uzyskane od innych osób.

Zgodnie z fundamentalnym charakterem dostępu organizacje powinny zawsze w dobrej wierze starać się go zapewnić. W przypadku gdy na przykład niektóre informacje wymagają ochrony i mogą być łatwo oddzielone od innych informacji podlegających żądaniu dostępu, organizacja powinna odpowiednio przeredagować chronioną informację i udostępnić pozostałe informacje. Jeżeli organizacja zdecyduje, że należy odmówić dostępu w każdym określonym przypadku, to powinna ona osobie żądającej dostępu udzielić wyjaśnienia, dlaczego podjęła taką decyzję oraz poinformować o punkcie kontaktowym w razie dalszych zapytań.

2. P: Co to jest poufna informacja handlowa i czy organizacje w celu jej ochrony mogą odmówić do niej dostępu?

2. O: Poufna informacja handlowa (w rozumieniu "Federalnych zasad procedury" w sprawie odkrywania) jest informacją, w odniesieniu do której organizacja podjęła kroki w celu jej ochrony przed ujawnieniem w przypadku gdy ujawnienie byłoby pomocne dla konkurenta rynkowego. Informacją poufną może być określony program komputerowy używany przez organizację, na przykład program do komputerowego modelowania, albo szczegółowe dane na temat tego programu. W przypadku gdy poufna informacja handlowa może być oddzielona od innej informacji będącej przedmiotem żądaniadostępu, organizacja powinna przeredagować poufną informację handlową i udostępnić informację jawną. Organizacje mogą odmówić dostępu albo go ograniczyć w takim zakresie, w jakim udzielenie go ujawniłoby ich własne poufne informacje handlowe, jak zdefiniowano powyżej, na przykład klasyfikacje lub wnioski marketingowe wypracowane przez organizację, albo poufne informacje handlowe innych przedsiębiorstw, w przypadku gdy taka informacja jest przedmiotem umownego zobowiązania do poufności w okolicznościach, gdy takie zobowiązanie do poufności byłoby zwyczajowo podjęte lub nałożone.

3. P: Czy zapewniając dostęp, organizacja może ujawnić osobom fizycznym jedynie informacje osobowe o nich pochodzące z jej baz danych czy też wymagany jest sam dostęp do takiej bazy?

3. O: Dostęp można zapewnić w postaci ujawnienia danych osobie fizycznej przez organizację i nie wymaga to dostępu przez tę osobę fizyczną do samej bazy danych organizacji.

4. P: Czy organizacja musi restrukturyzować swoje bazy danych, żeby móc zapewnić dostęp?

4. O: Dostęp musi być zapewniony tylko w takim zakresie, w jakim organizacja przechowuje informację. Sama zasada dostępu nie stwarza obowiązku zachowania, przechowywania, reorganizacji bądź restrukturyzacji plików z informacjami osobowymi.

5. P: W niniejszych odpowiedziach wyraźnie stwierdzono, że dostępu można odmówić w pewnych okolicznościach. W jakich innych okolicznościach organizacja może odmówić osobie fizycznej dostępu do informacji osobowych na jej temat?

5. O: Takie okoliczności są ograniczone i każdy powód odmowy dostępu musi być szczególny. Organizacja może odmówić udzielenia dostępu do informacji w zakresie, w jakim ujawnienie prawdopodobnie kolidowałoby z ochroną ważnych, równoważnych interesów społecznych, takich jak bezpieczeństwo narodowe, obrona albo bezpieczeństwo publiczne. Ponadto dostępu można odmówić w przypadku gdy informacje osobowe przetwarzane są wyłącznie w celach naukowych albo statystycznych. Innymi powodami odmowy lub ograniczenia dostępu są:

a. ingerencja w wykonywanie lub przestrzeganie prawa łącznie z prewencją, dochodzeniem lub wykrywaniem wykroczeń albo prawem do uczciwego procesu;

b. ingerencja w prywatne podstawy roszczeń, łącznie z prewencją, dochodzeniem lub wykrywaniem roszczeń prawnych lub prawem do uczciwego procesu;

c. ujawnienie informacji osobowych odnoszących się do innej osoby bądź osób, w przypadku gdy takich odnośnych informacji nie da się przeredagować;

d. naruszenie prawnego albo innego zawodowego przywileju lub obowiązku;

e. naruszenie niezbędnej poufności przyszłych lub trwających negocjacji, takich jak negocjacje w sprawie przejęcia spółek notowanych na giełdzie;

f. uszczerbek dla badań bezpieczeństwa pracownika lub procedur rozpoznawania skarg;

g. uszczerbek dla poufności, która może być konieczna przez ograniczony okres czasu w związku z planami awansowania pracowników, reorganizacją przedsiębiorstwa; lub

h. uszczerbek dla poufności, która może być konieczna w związku z funkcjami kontrolnymi, nadzorczymi lub regulacyjnymi związanymi z należytym zarządzaniem gospodarką lub finansami; albo

i. inne okoliczności, w których ciężar lub koszt zapewnienia dostępu byłby niewspółmierny lub kiedy udzielenie dostępu powodowałoby naruszenie uzasadnionych praw lub interesów innych osób.

Ciężar wykazania, że zachodzą wyjątkowe okoliczności, spoczywa na organizacji powołującej się na nie (tak jak w normalnych okolicznościach). Jak stwierdzono powyżej, osobom należy podać powody odmowy lub ograniczenia dostępu oraz punkt kontaktowy w przypadku dalszych pytań.

6. P: Czy organizacja może pobierać opłatę na pokrycie kosztów udzielenia dostępu?

6. O: Tak. Wytyczne OECD uznają prawo organizacji do pobierania opłaty pod warunkiem że nie są one nadmierne. Tak, więc organizacje mogą pobierać uzasadnioną opłatę z tytułu udzielenia dostępu. Pobieranie opłaty może być korzystne w celu zniechęcania do zadawania powtarzających się i złośliwych pytań.

Organizacje, których działalność polega na sprzedaży publicznie dostępnych informacji, mogą zatem pobierać opłaty ustalone przez nie zwyczajowo przy udzielaniu odpowiedzi na żądania dostępu. Osoby mogą alternatywnie starać się o dostęp do swoich informacji w organizacji, która pierwotnie zebrała dane.

Dostępu nie można odmówić ze względu na koszty, jeżeli osoba fizyczna zgłasza gotowość ich pokrycia.

7. P: Czy organizacja jest zobowiązana zapewnić dostęp do informacji osobowych uzyskanych z dokumentów urzędowych?

7. O: Wyjaśnijmy najpierw, że dokumenty urzędowe są to dokumenty przechowywane przez agencje albo jednostki rządowe na dowolnym szczeblu, które są otwarte do konsultacji dla publiczności. Nie ma potrzeby stosowania zasady dostępu do takich informacji, o ile nie są one połączone z innymi informacjami osobowymi, z wyjątkiem przypadków, gdy niewielkie ilości informacji niepochodzących z dokumentów urzędowych są wykorzystywane do indeksowania albo porządkowania informacji pochodzących z dokumentów urzędowych. Należy jednak przestrzegać wszelkich warunków wglądu ustalonych przez właściwe organy. Jednakże w przypadkach, gdy informacje pochodzące z dokumentów urzędowych są połączone z informacjami niepochodzącymi z dokumentów urzędowych (innymi niż te szczegółowo określone powyżej), organizacja musi zapewnić dostęp do wszystkich tego rodzaju informacji zakładając, że nie podlegają one innym dopuszczalnym wyjątkom.

8. P: Czy zasada dostępu musi być stosowana do powszechnie dostępnych informacji osobowych?

8. O: Podobnie jak w przypadku informacji pochodzących z dokumentów urzędowych (patrz: P.7) nie ma potrzeby zapewniania dostępu do informacji, która są już powszechnie dostępne dla publiczności, o ile nie są one połączone z informacjami powszechnie niedostępnymi.

9. P: Jak organizacja może się chronić przed powtarzającymi się lub złośliwymi żądaniami dostępu?

9. O: Organizacja nie musi odpowiadać na takie żądania dostępu. Z tych powodów organizacje mogą pobierać uzasadnioną opłatę i mogą ustalać uzasadnione ograniczenia liczby żądań zgłaszanych przez poszczególne osoby fizyczne w danym okresie czasu, które zostaną zaspokojone. Ustanawiając takie ograniczenia organizacja powinna uwzględnić takie czynniki jak częstotliwość, z jaką informacje są aktualizowane, cel w jakim dane są wykorzystywane oraz charakter informacji.

10. P: W jaki sposób organizacja może bronić się przed oszukańczymi żądaniami dostępu?

10. O: Organizacja nie jest zobowiązana do zapewnienia dostępu, jeżeli nie otrzyma wystarczających informacji umożliwiających jej potwierdzenie tożsamości osoby zgłaszającej żądanie.

11. P: Czy określono termin, w którym odpowiedzi na żądanie dostępu muszą zostać udzielone?

11. O: Tak, organizacje powinny odpowiedzieć bez zbędnej zwłoki i w rozsądnym terminie. Jak podano w wyjaśnieniach do Wytycznych OECD w sprawie ochrony prywatności z 1980 r., wymaganie to może być spełnione na różne sposoby. Na przykład kontroler danych, który w regularnych odstępach czasu przekazuje informacje osobom, których dane dotyczą, może być zwolniony z obowiązku natychmiastowego odpowiadania na indywidualne żądania.

NZP 9 — Zasoby ludzkie

1. P: Czy przekazywanie z UE do Stanów Zjednoczonych informacji osobowych zebranych w związku ze stosunkiem pracy jest objęte zasadami "bezpiecznej przystani"?

1. O: Tak, w przypadkach, gdy informacje osobowe o pracownikach (byłych lub obecnych) zebrane w związku ze stosunkiem pracy, są przekazywane przez przedsiębiorstwo działające w UE do usługodawcy w Stanach Zjednoczonych, który będąc firmą matką, firmąpowiązaną lub nie powiązaną, uczestniczy w "bezpiecznej przystani", wówczas przekazywanie jest objęte przywilejami "bezpiecznej przystani". W takich przypadkach zbieranie informacji i ich przetwarzanie przed przekazaniem będzie podlegało prawu krajowemu państwa UE, w którym dane zostały zebrane, a wszelkie warunki albo ograniczenia ich przekazywania będą musiały być przestrzegane zgodnie z tymi prawami.

Zasady "bezpiecznej przystani" mają zastosowanie jedynie wówczas, gdy przekazywane lub udostępniane są indywidualnie zidentyfikowane zapisy. Sprawozdawczość statystyczna opierająca się na zagregowanych danych zatrudnieniowych i/lub wykorzystaniu danych anonimowych lub pod postacią pseudonimów nie wiąże się z ochroną prywatności.

2. P: W jaki sposób do takich informacji stosuje się zasady ogłoszenia i wyboru?

2. O: Amerykańska organizacja, która w ramach "bezpiecznej przystani" otrzymała z UE informacje dotyczące pracowników, może ujawnić je stronom trzecim i/lub wykorzystać je do innych celów jedynie zgodnie z zasadami ogłoszenia i wyboru. W przypadku gdy na przykład dana organizacja zamierza wykorzystać informacje osobowe zebrane w związku ze stosunkiem pracy do celów nie związanych z zatrudnieniem, takich jak przekazywanie materiałów marketingowych, to zanim to zrobi, musi dać zainteresowanym osobom możliwość wyboru, chyba że osoby te już wcześniej wyraziły na zgodę na wykorzystanie informacji do takich celów. Ponadto, dokonywanie takiego wyboru nie może zostać wykorzystane do ograniczenia możliwości zatrudnienia albo wszczynania postępowania karnego wobec takich osób.

Należy zwrócić uwagę, że niektóre ogólnie stosowane warunki przekazywania danych z niektórych Państw Członkowskich mogą wykluczać odmienne wykorzystanie takich informacji nawet po ich przekazaniu poza terytorium UE i warunki te muszą być przestrzegane.

Ponadto pracodawcy muszą dołożyć należytych starań, w celu uwzględnienia preferencji pracowników dotyczących ochrony prywatności. Mogłoby to obejmować na przykład ograniczenie dostępu do danych, nadanie niektórym danym anonimowego charakteru albo nadanie kodów lub pseudonimów w przypadkach, kiedy w celu doraźnego zarządzania nie ma potrzeby posługiwania się rzeczywistymi imionami i nazwiskami.

W zakresie i w okresie czasu potrzebnym w celu uniknięcia naruszenia dla uzasadnionych interesów organizacji przy awansowaniu, mianowaniu lub dokonywaniu innych podobnych decyzji kadrowych, organizacja nie musi oferować ogłoszenia i wyboru.

3. P: Jak stosuje się zasadę dostępu?

3. O: NZP dotyczące dostępu zawierają wytyczne w sprawie przyczyn mogących usprawiedliwiać odmowę lub ograniczenie dostępu na żądanie dotyczące danych o zasobach ludzkich. Oczywiście pracodawcy w Unii Europejskiej muszą przestrzegać miejscowych przepisów i zapewnić pracownikom pochodzącym z państw UE dostęp do takich informacji zgodnie z wymogami prawa w ich państwach ojczystych niezależnie od miejsca przetwarzania i magazynowania danych. Zasada "bezpiecznej przystani" wymaga, żeby organizacja przetwarzająca takie dane w Stanach Zjednoczonych współpracowała w zapewnieniu takiego dostępu albo bezpośrednio albo za pośrednictwem unijnego pracodawcy.

4. P: Jak zapewniana będzie prawu skuteczność w odniesieniu do danych o pracownikach objętych zasadami "bezpiecznej przystani"?

4. O: W zakresie, w jakim informacja jest wykorzystywana wyłącznie w związku ze stosunkiem pracy, główna odpowiedzialność za dane o pracowniku spoczywa na przedsiębiorstwie w UE. Stąd w przypadkach, gdy europejscy pracownicy składają skargi na naruszenie ich praw do ochrony danych i nie są zadowoleni z wyników wewnętrznych przeglądów, skarg i procedur odwoławczych (lub wszelkich stosownych procedur rozpoznawania skarg na podstawie umowy ze związkiem zawodowym), należy ich skierować do państwowego lub krajowego organu ochrony danych albo organu ds. prawa pracy obejmującego swoją właściwością obszar, na którym pracownik jest zatrudniony. Obejmuje to także przypadki, gdy domniemane niewłaściwe traktowanie ich informacji osobowych miało miejsce w Stanach Zjednoczonych, za które odpowiedzialność spoczywa nie na pracodawcy, a na organizacji amerykańskiej, otrzymującej informacje od pracodawcy i w ten sposób stanowi domniemane naruszenie zasad "bezpiecznej przystani", a nie prawa krajowego wprowadzającego w życie dyrektywę. Będzie to najbardziej skuteczny sposób podejścia do często nakładających się na siebie praw i obowiązków nakładanych przez lokalne prawo pracy i układy zbiorowe, a także prawo o ochronie danych.

Jeżeli amerykańska organizacja uczestnicząca w "bezpiecznej przystani" i korzystająca z unijnych danych o zasobach ludzkich przekazywanych z Unii Europejskiej w związku ze stosunkiem pracy, życzy sobie, żeby przekazywanie takich danych odbywało się w ramach "bezpiecznej przystani", musi zobowiązać się do współpracy przy dochodzeniach prowadzonych w odnośnych sprawach przez właściwe władze UE oraz musi stosować się do ich wskazówek. OOD, które zgodziły się współpracować w ten sposób,zawiadomią o tym Komisję Europejską i Departament Handlu. Jeżeli organizacja amerykańska uczestnicząca w "bezpiecznej przystani" chce przekazywać dane o zasobach ludzkich pracownikach z Państwa Członkowskiego, w którym OOD nie wyraziły na to zgody, stosuje się przepisy NZP 5.

NZP 10 — Umowy na podstawie art. 17

P: Gdy dane są przekazywane z UE do Stanów Zjednoczonych tylko w celu przetwarzania, to czy wymagana jest umowa niezależnie od uczestnictwa podmiotu przetwarzającego w ramach "bezpiecznej przystani"?

O: Tak. Od kontrolerów danych w Unii Europejskiej zawsze wymaga się zawarcia umowy, gdy dokonuje się przekazywania informacji jedynie w celu jej przetworzenia niezależnie od tego, czy przetwarzanie odbywa się na terytorium UE czy poza nim. Celem umowy jest ochrona interesów kontrolera danych, tj. osoby albo organu, który decyduje o celach i sposobach przetwarzania oraz ponosi pełną odpowiedzialność za te dane wobec zainteresowanej osoby bądź osób fizycznych. Tak, więc umowa określa rodzaj przetwarzania, które ma być wykonane oraz wszelkie środki niezbędne do zapewnienia, że dane przechowywane są w bezpieczny sposób.

Organizacja amerykańska, która uczestniczy w "bezpiecznej przystani" i otrzymuje informacje osobowe z UE jedynie w celu przetwarzania, nie musi stosować zasad do tych informacji, ponieważ kontroler w UE pozostaje bezpośrednio za nie odpowiedzialny wobec zainteresowanej osoby zgodnie z odnośnymi unijnymi przepisami, (które mogą być bardziej rygorystyczne niż odpowiadające im zasady "bezpiecznej przystani").

Ponieważ właściwą ochronę zapewniają uczestnicy "bezpiecznej przystani", umowy z uczestnikami "bezpiecznej przystani" o zwykłe przetwarzanie danych nie wymagają uprzedniego zezwolenia (albo zezwolenie takie zostanie udzielone przez Państwa Członkowskie automatycznie), jakie byłoby wymagane w przypadku umów z odbiorcami nie uczestniczącymi w "bezpiecznej przystani" lub nie zapewniającymi właściwej ochrony w inny sposób.

NZP 11 — Rozstrzyganie sporów i zapewnianie prawu skuteczności

P: W jaki sposób powinny być wprowadzane w życie wymagania zasady zapewniania prawu skuteczności dotyczące rozstrzygania sporów i jak będzie traktowane uporczywe nieprzestrzeganie zasad przez organizację?

O: Zasada zapewniania prawu skuteczności ustanawia wymagania dotyczące egzekwowania zasad "bezpiecznej przystani". W NZP dotyczącym kontroli (NZP 7) określono, jak spełnić wymagania lit. b) zasad. Niniejsze NZP 11 dotyczy lit. a) i c), które wymagają mechanizmów niezależnej ochrony prawnej. Mechanizmy te mogą przybierać różną postać, ale muszą spełniać wymagania zasady zapewniania prawu skuteczności. Organizacje mogą spełnić te wymagania w następujący sposób: 1) przez przestrzeganie programów ochrony prywatności opracowanych przez sektor prywatny, które włączają zasady "bezpiecznej przystani" do swoich zasad i które zawierają skuteczne mechanizmy zapewniania prawu skuteczności takiego rodzaju jak opisane w zasadzie zapewniania prawu skuteczności; 2) stosując się do wskazówek sądowych i wykonawczych organów nadzorczych, które rozpatrują indywidualne skargi i rozstrzygają spory; lub 3) przez zobowiązanie do współpracy z organami ochrony danych zlokalizowanymi na terytorium Unii Europejskiej lub ich upoważnionymi przedstawicielami. Wykaz ten ma charakter informacyjny, a nie ograniczający. Sektor prywatny może opracować inne mechanizmy zapewniające prawu skuteczność, o ile tylko spełniać one będą wymagania zasady zapewniania prawu skuteczności i NZP. Proszę zauważyć, że wymagania zasady zapewniania prawu skuteczności mają charakter uzupełniający wobec wymagań ustalonych w ust. 3 wstępu do zasad mówiących, że działania samoregulacyjne muszą być egzekwowalne na mocy art. 5 Ustawy o Federalnej Komisji Handlu albo podobnej ustawy.

Mechanizmy ochrony prawnej.

Powinno się zachęcać konsumentów do składania wszelkich skarg najpierw odnośnym organizacjom, zanim odwołają się do mechanizmów niezależnej ochrony prawnej. Pytanie o niezależność procedury jest pytaniem o fakty, które może być zadane w różny sposób, na przykład przez przejrzystość struktury i finansowania lub udowodnione osiągnięcia. Zgodnie z wymogami zasady zapewniana prawu skuteczności, mechanizm ochronny przysługujący osobom fizycznym musi być dla nich łatwo dostępny i finansowo przystępny. Organy rozstrzygania sporów powinny rozpatrywać każdą skargę otrzymaną od osób fizycznych, chyba że jest ona w oczywisty sposób bezpodstawna lub niepoważna. Nie wyklucza to ustanowienia wymogów kwalifikacyjnych przez organizację stosującą mechanizm niezależnej ochrony prawnej, ale takie wymogi powinny być przejrzyste i uzasadnione (na przykład w celu wyłączenia skarg, które nie mieszczą się w zakresie programu albo kwalifikują się do rozpatrzenia na innym forum), i nie powinny skutkować podważeniem zobowiązania do rozpatrywania uzasadnionych skarg. Dodatkowo, mechanizmy niezależnej ochrony prawnej powinny umożliwiać osobom fizycznym pełną i łatwo dostępną informację o tym, jak działa procedura rozstrzygania sporów w momencie, gdy składają skargę. Taka informacja powinna zawierać informację o praktyce ochrony prywatności danego mechanizmu zgodnie z zasadami "bezpiecznej przystani" [2]. Powinny one także współpracować przy opracowywaniu narzędzi takich jak znormalizowane formularze skargi w celu ułatwienia procesu rozpatrywania skarg

Środki zaradcze i sankcje.

Rezultatem wszelkich środków zaradczych, udostępnionych przez organ rozstrzygania sporów, powinno być, o ile to osiągalne, odwrócenie lub naprawienie przez organizację skutków nieprzestrzegania wymagań oraz zapewnienie, że w przyszłości organizacja będzie przetwarzała dane zgodne z zasadami oraz, gdzie stosownie, zaprzestanie przetwarzania danych osobowych osoby, która wniosła skargę. Sankcje powinny być dostatecznie surowe, aby zapewnić przestrzeganie zasad przez organizację. Zakres sankcji o różnym stopniu dolegliwości umożliwi organom rozstrzygającym spory reagować odpowiednio do stopnia nieprzestrzegania zasad. Sankcje powinny obejmować zarówno podanie do publicznej wiadomości stwierdzonych przypadków nieprzestrzegania zasad, jak i wymaganie usunięcia danych w pewnych okolicznościach [3]. Inne sankcje mogą obejmować zawieszenie lub cofnięcie zezwolenia na prowadzenie działalności, odszkodowanie dla osób z tytułu strat poniesionych wskutek nieprzestrzegania zasad oraz zabezpieczenia roszczenia w określony sposób. Organy rozstrzygania sporów sektora prywatnego oraz organy samoregulacyjne muszą zgłaszać przypadki niewykonywania przez organizacje, które przystąpiły do "bezpiecznej przystani" ich orzeczeń organom rządowym o stosownej właściwości albo sądom, gdzie stosowne, oraz Departamentowi Handlu (albo osobie przez niego wyznaczonej).

Działanie Federalnej Komisji Handlu.

FKH (Federalna Komisja Handlu) podjęła się rozpatrywania na zasadzie pierwszeństwa wniosków wpływających od instytucji samoregulujących ochronę prywatności, takich jak BBBOnline i TRUSTe, oraz Państw Członkowskich podnoszących zarzuty nieprzestrzegania zasad "bezpiecznej przystani" w celu ustalenia, czy zostały naruszone przepisy sekcji 5 Ustawy o FKH zakazujące nieuczciwych bądź wprowadzających w błąd czynów lub praktyk handlowych. Jeżeli FKH stwierdzi, że ma powód bądź powody by uznać, że przepisy sekcji 5 zostały naruszone, może ona rozstrzygnąć sprawę wydając administracyjny nakaz zaprzestania stosowania kwestionowanych praktyk lub też składając w federalnym sądzie okręgowym skargę, która w przypadku jej uznania, może skutkować wydaniem takiego samego zakazu przez sąd federalny. Federalna Komisja Handlu może uzyskać nałożenie kary cywilnej za złamanie nakazu zaprzestania i może dochodzić stwierdzenia niewykonania polecenia sądu lub obrazy sądu za złamanie nakazu sądowego. FKH powiadomi Departament Handlu o wszystkich takich działaniach, które podjęła. Departament Handlu zachęca inne organy rządowe do powiadamiania go o ostatecznych przepisach wszelkich tego rodzaju wniosków lub innych orzeczeń stwierdzających przyjęcie zasad "bezpiecznej przystani".

Uporczywe nieprzestrzeganie zasad

Jeżeli organizacja uporczywie nie przestrzega zasad, to traci ona uprawnienia do korzystania z przywilejów "bezpiecznej przystani". Z uporczywym nieprzestrzeganiem mamy do czynienia wtedy przypadku, gdy organizacja, która złożyła oświadczenie w Departamencie Handlu (albo u osoby przez niego wyznaczonej) odmawia zastosowania się do ostatecznego przepisy jakiegokolwiek samoregulacyjnego albo rządowego organu, lub w przypadku gdy dany organ stwierdzi, że organizacja nie przestrzega zasad tak często, że jej twierdzenie o przestrzeganiu tych zasad przestaje być wiarygodne. W takich przypadkach organizacja musi niezwłocznie powiadomić Departament Handlu (albo osobę przez niego wyznaczoną) o tego rodzaju faktach. Niewykonanie tego może być powodem wszczęcia postępowania na podstawie Ustawy o fałszywych oświadczeniach (18 U. S. C. § 1001).

Departament (albo osoba przez niego wyznaczona) zamieści w prowadzonym przez siebie publicznym wykazie organizacji zaświadczających o przyjęciu zasad "bezpiecznej przystani" wszelkie zawiadomienia, jakie do niego wpłynął dotyczące uporczywego nieprzestrzegania zasad, niezależnie od tego czy wpłynie ono od samej organizacji, organu samoregulacji czy też organu rządowego, jednak dopiero po 30 dniach od zawiadomienia o tym organizacji, która nie stosowała zasad, dając jej jednocześnie możliwość udzielenia wyjaśnień. Stosownie do powyższego, w publicznym wykazie prowadzonym przez Departament Handlu (lub osobę przez niego wyznaczoną) zostanie wyraźnie podane, którym podmiotom przysługują przywileje "bezpiecznej przystani", a które je utraciły.

Organizacja ubiegająca się o uczestnictwo w instytucji samoregulacji w celu ponownego zakwalifikowania się do "bezpiecznej przystani" musi dostarczyć temu organowi wszystkie informacje o swoim wcześniejszym uczestnictwie w "bezpiecznej przystani".

NZP 12 — Możliwość wyboru — termin wyrażenia sprzeciwu

P: Czy zasada możliwości wyboru pozwala osobie fizycznej na dokonywanie wyboru tylko z chwilą powstania zależności czy w dowolnym czasie?

O: Ogólnie rzecz biorąc, celem zasady możliwości wyboru jest zapewnienie, że informacja osobowa będzie wykorzystywana i ujawniana w sposób zgodny z oczekiwaniami i wyborem osoby, której dotyczy. Stosownie do tego, osoba fizyczna powinna móc skorzystać w dowolnym czasie z możliwości wyrażenia sprzeciwu (albo dokonania wyboru) wobec wykorzystania informacji osobowych w marketingu bezpośrednim w każdej chwili, przy uzasadnionych ograniczeniach ustalonych przez organizację, takich jak wyznaczenie terminu, w którym sprzeciw staje się skuteczny. Organizacja może też wymagać odpowiednich informacji pozwalających na potwierdzenie tożsamości osoby zgłaszającej sprzeciw. W Stanach Zjednoczonych osoby fizyczne mogą korzystać z takiego prawa dzięki centralnemu programowi zgłaszania sprzeciwu, takiemu jak (Mail Preference Service(Stowarzyszenie Marketingu Bezpośredniego). Organizacje biorące udział w Mail Preference Service powinny promować możliwość jego wykorzystania wśród konsumentów, którzy nie chcą otrzymywać informacji handlowych. W każdym razie osoby fizyczne powinny mieć do dyspozycji łatwo dostępną i finansowo przystępną procedurę, w celu dokonania takiego wyboru.

Podobnie, organizacja może wykorzystywać informacje do określonych celów związanych z marketingiem bezpośrednim, gdy umożliwienie osobie zainteresowanej zgłoszenia sprzeciwu przed użyciem informacji byłoby niewykonalne, jeżeli jednocześnie (oraz na żądanie w każdej chwili) dana organizacja bezzwłocznie umożliwi danej osobie rezygnację (bezpłatnie) z przyjmowania wszelkich dalszych materiałów marketingu bezpośredniego i organizacja zastosuje się do życzeń osoby fizycznej.

NZP 13 — Informacje dotyczące podróży

P: Kiedy rezerwacja pasażera linii lotniczej i inne informacje związane z podróżą, takie jak informacje związane z programem "frequent flyer" lub rezerwacją hotelową oraz o potrzebie zapewnienia specjalnej obsługi, na przykład wyżywienia spełniającego wymagania religijne czy pomocy fizycznej, mogą być przekazywane organizacjom spoza terytorium UE?

O: Takie informacje mogą być przekazywane w kilku różnych okolicznościach. Zgodnie z art. 26 dyrektywy dane osobowe mogą być przekazywane "do państwa trzeciego, które nie zapewnia adekwatnego poziomu ochrony w rozumieniu art. 25 ust. 2" pod warunkiem że 1) są one niezbędne do świadczenia usług żądanych przez konsumenta albo do spełnienia warunków umowy, takiej jak umowa "frequent flyer"; lub 2) konsument jednoznacznie wyraził na to zgodę. Amerykańskie organizacje uczestniczące w "bezpiecznej przystani" gwarantują właściwą ochronę danych osobowych i dlatego mogą otrzymywać dane przekazywane z UE bez konieczności spełnienia tych warunków bądź innych ustanowionych w art. 26 dyrektywy. Ponieważ "bezpieczna przystań" obejmuje szczególne zasady odnoszące się do informacji wrażliwych, takie informacje (której gromadzenie może być konieczne na przykład w związku z potrzebą zapewnienia klientowi pomocy fizycznej) może być zawarta w przekazach do uczestników "bezpiecznej przystani". Jednak we wszystkich przypadkach organizacja przekazująca informację musi przestrzegać prawa obowiązującego w Państwie Członkowskim UE, na terytorium, którego działa i które może między innymi nakładać specjalne warunki dotyczące posługiwania się danymi wrażliwymi.

NZP 14 — Produkty farmaceutyczne i medyczne

1. P: Jeżeli dane osobowe są zbierane w UE i przekazywane do Stanów Zjednoczonych w celu prowadzenia badań farmaceutycznych i/lub w innych celach, to czy stosuje się ustawodawstwo Państwa Członkowskiego czy zasady "bezpiecznej przystani"?

1 O: Ustawodawstwo Państwa Członkowskiego stosuje się do zbierania danych osobowych i do wszelkiego przetwarzania, które ma miejsce przed przekazaniem do Stanów Zjednoczonych. Do danych przekazanych już do Stanów Zjednoczonych stosuje się zasady "bezpiecznej przystani". W stosownych przypadkach dane używane do badań farmaceutycznych i do innych celów powinny zostać pozbawione cech identyfikacyjnych.

2. P: Dane osobowe opracowane podczas szczególnych badań medycznych lub farmaceutycznych często odgrywają ważną rolę w przyszłych badaniach naukowych. W przypadku gdy dane osobowe zebrane dla jednego projektu badawczego zostaną przekazane do amerykańskiej organizacji w "bezpiecznej przystani", czy organizacja ta może wykorzystać te dane do innych badań naukowych?

2. O: Tak, jeżeli na początku zapewniono właściwe ogłoszenie i wybór. Takie ogłoszenie powinno zawierać informację o wszelkich przyszłych sposobach użycia danych, takich jak kontrole okresowe, badania pokrewne albo marketing. Oczywistym jest to, że nie można wyszczególnić wszystkich przyszłych sposobów wykorzystania danych, ponieważ nowy sposób wykorzystania w badaniach może wyłonić się z nowego spojrzenia na pierwotne dane, nowych odkryć i postępów w medycynie, rozwoju w dziedzinie zdrowia publicznego i regulacjach. W stosownych przypadkach ogłoszenie powinno, więc zawierać wyjaśnienie, że dane osobowe mogą być wykorzystane w przyszłej medycznej i farmaceutycznej działalności badawczej, której nie da się przewidzieć. Jeżeli sposób wykorzystania jest niezgodne z ogólnym celem(ami) badawczymi, dla których dane były pierwotnie zbierane, albo na które osoba fizyczna wyraziła następnie zgodę, należy uzyskać nową zgodę.

3. P: Co stanie się z danymi osoby fizycznej, jeżeli uczestnik zdecyduje sam albo na żądanie sponsora o wycofaniu się z prób klinicznych?

3. O: Uczestnicy mogą sami zdecydować albo mogą zostać poproszeni o wycofanie się z badań klinicznych w każdej chwili. Wszelkie dane zebrane przed ich wycofaniem się mogą nadal być przetwarzane razem z innymi danymi zebranymi w ramach prób klinicznych, jednakże pod warunkiem że uczestnik został o tym wyraźnie poinformowany w ogłoszeniu w chwili, gdy on lub ona wyrażali zgodę na uczestnictwo.

4. P: Firmy farmaceutyczne i producenci wyrobów medycznych są upoważnieni do przekazywania danych osobowych z prób klinicznych prowadzonych w UE organom regulacyjnym w Stanach Zjednoczonych do celów nadzoru i regulacji. Czy dozwolone jest podobne przekazywanie danych do stron innych niż organy regulacyjne, takich jak siedziby przedsiębiorstw i inne jednostki badawcze?

4. O: Tak, zgodnie z zasadami ogłoszenia i wyboru.

5. P: W celu zapewnienia obiektywności w szeregu prób klinicznych uczestnicy, a często także badacze, nie mogą mieć dostępu do informacji o tym, jakiemu leczeniu poddawany jest każdy uczestnik. Zagroziłoby to ważności badania i wyników. Czy osoby biorące udział w takich próbach klinicznych (zwanych "ślepymi" próbami) będą miały dostęp do danych o ich leczeniu w czasie trwania próby?

5. O: Nie, taki dostęp nie musi być zapewniony uczestnikowi, jeżeli ograniczenie to zostało wyjaśnione, gdy uczestnik przystępował do próby, a ujawnienie takich informacji zagrażałoby integralności wysiłków badawczych. Zgoda na udział w próbie na tych warunkach stanowi uzasadnioną przyczynę rezygnacji z prawa dostępu. Po zakończeniu próby i przeanalizowaniu wyników uczestnicy powinni mieć dostęp do swoich danych, jeżeli tego zażądają. Powinni oni starać się o dostęp przede wszystkim u lekarza albo w placówce usług medycznych, która przeprowadziła leczenie w ramach próby klinicznej, lub w drugiej kolejności w firmie sponsorującej.

6. P: Czy firma farmaceutyczna lub producent wyrobów medycznych musi stosować zasady "bezpiecznej przystani" w odniesieniu do ogłoszenia, wyboru, dalszego przekazywania danych i dostępu do nich w swoich działaniach monitorujących bezpieczeństwo i wydajność produktu, łącznie ze składaniem sprawozdań dotyczących niekorzystnych zdarzeń i obserwacji pacjentów/obiektów badawczych stosujących określone leki lub wyrobów medycznych (np. rozrusznik)?

6. O: Nie, w zakresie, w którym przestrzeganie zasad koliduje z przestrzeganiem wymagań regulacyjnych. Odnosi się to zarówno do sprawozdań np. podmiotów świadczących usługi ochrony zdrowotnej, do firm farmaceutycznych i producentów wyrobów medycznych oraz do sprawozdań firm farmaceutycznych oraz do sprawozdań firm farmaceutycznych i producentów wyrobów medycznych sporządzanych dla agencji rządowych, jak Food and Drug Administration (Urząd ds. Żywności i Leków).

7. P: Dane badawcze są zawsze szyfrowane na wstępie za pośrednictwem unikalnego klucza przez głównego badacza, tak żeby nie ujawniać tożsamości poszczególnych osób, których dane dotyczą. Spółki farmaceutyczne sponsorujące takie badania nie otrzymują klucza do szyfru. Unikalny klucz jest znany tylko badaczowi tak, że tylko on/ona może zidentyfikować obiekt badań, gdy zajdą szczególne okoliczności (np. jeżeli potrzebne jest badanie kontrolne). Czy przekazywanie z UE do Stanów Zjednoczonych danych osobowych zaszyfrowanych w ten sposób stanowi przekazanie danych osobowych podlegające zasadom "bezpiecznej przystani"?

7. O: Nie. Nie stanowiłoby to przekazywania danych osobowych, które podlegałoby zasadom.

NZP 15 — Dokumenty urzędowe i powszechnie dostępna informacja

P: Czy konieczne jest stosowanie zasad ogłoszenia, wyboru oraz dalszego przekazywania danych w odniesieniu do informacji pochodzących z dokumentów urzędowych albo informacji powszechnie dostępnej?

O: Nie ma konieczności stosowania zasad ogłoszenia, wyboru i dalszego przekazywania danych w odniesieniu do informacji pochodzących z dokumentów urzędowych, dopóki nie jest ona połączona z informacją niepochodzącą z dokumentów urzędowych oraz dopóki są przestrzegane wszelkie warunki konsultacji ustanowione w ramach właściwej właściwości.

Nie jest także zasadniczo konieczne stosowanie zasad ogłoszenia, wyboru i dalszego przekazywania danych w odniesieniu do informacji powszechnie dostępnych, chyba że europejski nadawca zaznaczy, że takie informacje podlegają ograniczeniom, które wymagają stosowania tych zasad w przypadku zamierzonych przez organizację sposobów wykorzystania danych. Organizacje nie będą ponosić odpowiedzialności za to, jak takie informacje będą wykorzystywane przez tych, którzy uzyskają je z opublikowanych materiałów.

W przypadku gdy zostanie stwierdzone, że organizacja celowo podała do publicznej wiadomości informacje osobowe z naruszeniem zasad tak, aby sama mogła lub by inni mogli skorzystać z tych wyjątków, to utraci ona prawo do przywilejów "bezpiecznej przystani".

[1] Patrz: NZP 7 w sprawie kontroli.

[2] Organy rozstrzygające spory nie muszą przestrzegać zasady zapewniania prawu skuteczności. Mogą także odstępować od zasad w przypadku gdy napotykają na sprzeczne zobowiązania albo wyraźne upoważnienia przy wykonywaniu swoich szczególnych zadań.

[3] Organy rozstrzygania sporów posiadają uprawnienia uznaniowe w zakresie okoliczności, w których stosują one te sankcje. Sensytywność odnośnych danych jest jednym z czynników, które należy wziąć pod uwagę, podejmując decyzję czy należy wymagać usunięcia danych, jak również czy organizacja zbierała, wykorzystywała lub ujawniła informacje z rażącym naruszeniem zasad.

--------------------------------------------------

ZAŁĄCZNIK III

Przegląd egzekwowania "bezpiecznej przystani"

Uprawnienia federalnych i stanowych organów w sprawach "nieuczciwych i wprowadzających w błąd praktyk" a ochrona prywatności

Niniejsze memorandum nakreśla uprawnienia Federalnej Komisji Handlu (FKH) wynikające z sekcji 5 Ustawy o Federalnej Komisji Handlu (15 U. S. C. §§ 41-58, ze zmianami) do podejmowania działań przeciwko tym, którzy nie chronią prywatności informacji osobowych zgodnie ze swoimi oświadczeniami i/lub zobowiązaniami do takich działań. Zajmuje się także wyłączeniami spod tych uprawnień i zdolnością innych federalnych i stanowych agencji do podejmowania działania w przypadkach, gdy FKH nie posiada uprawnień [1].

Uprawnienia FKH w sprawach nieuczciwych albo wprowadzających w błąd praktyk

Sekcja 5 Ustawy o Federalnej Komisji Handlu uznaje "nieuczciwe albo wprowadzające w błąd czyny lub praktyki handlowe lub wpływające w handel" za niezgodne z prawem.15 U. S. C. § 45 lit. a) pkt 1. Sekcja 5 przyznaje FKH pełną władzę w zakresie zapobiegania takim czynom i praktykom. 15 U. S. C. § 45 lit. a) pkt 2. Stosownie do tego, FKH może po przeprowadzeniu formalnego przesłuchania wydać nakaz zaprzestania w celu powstrzymania zachowania naruszającego prawo. 15 U. S. C. § 45 lit. b). Jeżeli leżałoby to w interesie publicznym, FKH może także starać się o nakaz czasowego powstrzymania się od działania albo czasowego lub stałego zakazu wydanego przez amerykański sąd okręgowy. 15 U. S. C. § 53 lit. b). W przypadkach, gdy nieuczciwe albo wprowadzające w błąd czyny bądź praktyki występują powszechnie lub w przypadkach, gdy FKH wydała już nakaz zaprzestania działania w danej sprawie, może ona ogłosić przepis administracyjny przedawniający odnośne czyny lub praktyki. 15 U. S. C. § 57a.

Każdy, kto nie zastosuje się do nakazu FKH podlega karze cywilnej w wysokości do 11000 USD, przy czym każdy dzień trwającego wykroczenia stanowi oddzielne wykroczenie [2]. 15 U. S. C. § 45 ust. 1. Podobnie każdy, kto świadomie narusza którąkolwiek z zasad FKH podlega karze 11000 USD za każde wykroczenie. 15 U. S. C. § 45 lit. m). Działania zapewniające prawu skuteczność mogą zostać wszczęte albo przez Departament Sprawiedliwości albo, jeśli tego odmówi, przez FKH. 15 U. S. C. § 56.

Uprawnienia FKH a ochrona prywatności

Wykorzystując swoje uprawnienia na mocy sekcji 5, FKH stoi na stanowisku, że podawanie fałszywych informacji w odniesieniu do powodu zbierania informacji od konsumentów albo sposobu, w jaki te informacje będą wykorzystane, stanowi wprowadzającą w błąd praktykę [3]. Na przykład w 1998 r. FKH złożyła skargę przeciwko GeoCities z powodu ujawnienia informacji, które ta spółka zebrała w swojej witrynie internetowej, stronom trzecim w celu zabiegania o klientów bez uprzedniej zgody, pomimo przeciwnych oświadczeń [4]. FKH stwierdziła także stanowczo, że zbieranie informacji osobowych od dzieci oraz sprzedaż i ujawnianie tych informacji bez zgody rodziców może być nieuczciwą praktyką [5].

W liście do Johna Mogga, dyrektora Generalnego Komisji Europejskiej, Przewodniczący FKH Pitofsky zwrócił uwagę na ograniczenia uprawnień FKH do ochrony prywatności w przypadkach, gdy nie doszło do podania fałszywych informacji (albo nie dokonano oświadczenia) w odniesieniu do sposobu, w jaki sposób zebrane informacje będą wykorzystywane. List Przewodniczącego FKH Pitofsky'ego do Johna Mogga z dnia 23 września 1998 r. Jednakże przedsiębiorstwa, które chcą korzystać z proponowanej "bezpiecznej przystani" będą musiały złożyć oświadczenie o objęciu ochroną zebranych przez siebie informacji zgodnie z określonymi wytycznymi. W konsekwencji, w przypadkach, gdy przedsiębiorstwo oświadczy, że będzie chronić prywatność informacji, a następnie nie wykona tego, takie działanie byłoby podaniem fałszywych informacji i "praktyką wprowadzającą w błąd" w rozumieniu sekcji 5.

Ponieważ właściwość FKH rozciąga się na nieuczciwe albo wprowadzające w błąd czyny bądź praktyki "handlowe lub godzące w handel", FKH nie będzie posiadać właściwości nad zbieraniem i wykorzystywaniem informacji osobowych w celach niehandlowych, na przykład dotyczących charytatywnej zbiórki pieniędzy. Patrz list Pitofsky'ego, str. 3. Jednakże wykorzystanie informacji osobowych w dowolnej transakcji handlowej spełni warunki takiego predykatu sądowego. Zatem na przykład sprzedaż przez pracodawcę informacji osobowych o jego pracownikach organizacji zajmującej się sprzedażą bezpośrednią spowoduje, że taka transakcja wchodzić będzie w zakres sekcji 5.

Wyjątki od sekcji 5

Sekcja 5 ustanowiła wyjątki od uprawnień FKH w sprawach nieuczciwych albo wprowadzających w błąd czynów lub praktyk w odniesieniu do:

- instytucji finansowych, w tym banków, instytucji oszczędnościowo — kredytowych oraz spółdzielni kredytowych;

- telekomunikacji i międzystanowych przewoźników publicznych;

- przewoźników lotniczych; oraz

- zakładów rzeźnych i punktów skupu bydła rzeźnego

Patrz: 15 U. S. C. § 45 lit. a) pkt 2. Poniżej omawiamy każdy wyjątek i organ regulacyjny przejmujący jego rolę.

Instytucje finansowe [6]

Pierwszy wyjątek stosuje się do "banków, instytucji oszczędnościowo-kredytowych określonych w sekcji 18 lit. f) pkt 3 (15 U. S. C. § 57a lit. f) pkt 3)" oraz "federalnych spółdzielni kredytowych określonych w sekcji 18, lit. f) pkt 4, (15 U. S. C. § 57a, lit. f), pkt 4)" [7]. Te instytucje finansowe podlegają w zamian przepisom wykonawczym wydanym przez odpowiednio Federal Reserve Board (Radę Rezerwy Federalnej), Office of Thrift Supervision (Urząd Nadzoru Oszczędności) [8] i National Credit Union Administration Board (Radę Administracyjną Krajowej Spółdzielni Kredytowej). Patrz: 15 U. S. C. §§ 57a lit. f). Wymienione organy regulacyjne mają za zadanie wydawanie przepisów wykonawczych koniecznych do zapobiegania nieuczciwym i wprowadzającym w błąd praktykom tych instytucji finansowych [9] i ustanowienie oddzielnego wydziału, który będzie zajmował się skargami konsumentów. 15 U. S. C. § 57a lit. f) pkt 1. Wreszcie, uprawnienie do zapewniania prawu skuteczności wynika z sekcji 8 Federal Deposit Insurance Act (Ustawy o ubezpieczeniu federalnych depozytów) (12 U. S. C. § 1818) dla banków i instytucji oszczędnościowo — kredytowych oraz sekcji 120 i 206 Federal Credit Union Act (Ustawy o federalnej spółdzielni kredytowej) (15 U. S. C. §§ 57a lit. f) pkt 2-4).

Chociaż branża ubezpieczeniowa nie jest w sposób szczególny włączona do wykazu wyjątków w sekcji 5, Ustawa McCarran — Fergusson (15 U. S. C. § 1011 i następny) zasadniczo pozostawia regulację działalności ubezpieczeniowejposzczególnym stanom [10]. Ponadto na podstawie sekcji 2 lit. b) Ustawy McCarran — Fergusson, żadne prawo federalne nie może unieważnić, ograniczyć ani zastąpić regulacji stanowej, "chyba że taka ustawa wyraźnie odnosi się do działalności ubezpieczeniowej" (15 U. S. C. § 1012 lit. b)). Jednakże przepisy Ustawy o FKH stosuje się do branży ubezpieczeniowej "w takim zakresie, w jakim taka działalność nie jest regulowana przez prawo stanowe". Id.,. Należy także zauważyć, że McCarran — Fergusson odsyła do prawa stanowego tylko w odniesieniu do "działalności ubezpieczeniowej". Zatem FKH zachowuje pozostałe uprawnienia w zakresie nieuczciwych lub wprowadzających w błąd praktyk stosowanych przez firmy ubezpieczeniowe, gdy ich działalność nie dotyczy ubezpieczeń. Może to obejmować na przykład przypadki, gdy ubezpieczyciele sprzedają informacje osobowe o swych posiadaczach polis ubezpieczeniowych firmom zajmującym się sprzedażą bezpośrednią produktów innych niż ubezpieczeniowe [11].

Przewoźnicy publiczni

Drugi wyjątek od sekcji 5 obejmuje tych przewoźników publicznych, którzy "podlegają ustawom regulującym handel". 15 U. S. C. § 45 lit. a) pkt 2. W tym przypadku "ustawy regulujące handel" odnoszą się do tytułu 49 podtytuł IV United States Code (Kodeksu Stanów Zjednoczonych) i Communications Act (Ustawy o łączności) z 1934 r. (47 U. S. C. § 151 i nast. Communications Act (Ustawa o łączności). Patrz: 15 U. S. C. § 44.

49 U. S. C. podtytuł IV (Transport międzystanowy) obejmuje przewoźników kolejowych, samochodowych i wodnych, pośredników, spedytorów i operatorów rurociągów (49 U. S. C. § 10101 i następny). Wymienieni poszczególni przewoźnicy publiczni podlegają przepisom wydanym przez Surface Transportation Board (Radę Transportu Lądowego), niezależną agencję działającą w ramach Department of Transportation (Departamencie Transportu). 49 U. S. C. §§ 10501, 13501 i 15301. W każdym przypadku przewoźnikowi nie wolno ujawniać informacji o rodzaju, przeznaczeniu i innych aspektach ładunku, które mogłyby być użyte na szkodę nadawcy ładunku. Patrz: 49 U. S. C. §§ 11904, 14908 i 16103. Zwracamy uwagę, że powyższe przepisy odnoszą się do informacji dotyczącej ładunku nadawcy, a zatem nie obejmują raczej informacji osobowych o nadawcy ładunku, które nie są związane z daną wysyłką.

Jeżeli chodzi o Communications Act (Ustawę o łączności), wprowadza ona regulację "międzystanowego i zagranicznego handlu w zakresie łączności radiowej i kablowej" przez Federal Communications Commission (Federalną Komisję Łączności, FKŁ). Patrz: 47 U. S. C. §§ 151 i 152. Oprócz przedsiębiorstw telekomunikacyjnych będących publicznymi operatorami, Ustawę o łączności stosuje się także do takich przedsiębiorstw, jak nadawcy telewizyjni i radiowi oraz dostawcy sieci kablowych, nie będący operatorami publicznymi. Te ostatnie przedsiębiorstwa jako takie nie kwalifikują się do tego wyjątku na mocy sekcji 5 Ustawy o FKH. Zatem FKH posiada właściwość do badania tych przedsiębiorstw w zakresie prowadzonych przez nie nieuczciwych lub wprowadzających w błąd praktyk, podczas gdy FKŁ posiada równoległą właściwość w celu egzekwowania swoich niezależnych uprawnień w tej dziedzinie jak opisano wyżej.

Zgodnie z Communications Act, "każdy operator telekomunikacyjny", łącznie z lokalnymi operatorami telekomunikacyjnymi, ma obowiązek ochrony prywatności prawnie zastrzeżonych informacji o klientach [12]. 47 U. S. C. § 222 lit a). Oprócz tych ogólnych uprawnień w zakresie ochrony prywatności Ustawa o łączności została zmieniona Cable Communications Policy Act, (Ustawą o polityce łączności kablowej) z 1984 r., zwana Cable Act. 47 U. S. C. § 521 i następny, w celu szczególnego upoważnienia operatorów sieci kablowych do ochrony prywatności "informacji identyfikowalnych osobowo" dotyczących abonentów sieci kablowych. 47 U. S. C. § 551 [13]. Cable Act ogranicza zbieranie informacji osobowych przez operatorów sieci kablowych i wymaga, żeby operatorzy kablowi zawiadamiali abonentów o rodzaju zebranych informacji i o tym, jak te informacje będą wykorzystane. Cable Act daje abonentom prawo dostępu do informacji o nich i wymaga od operatorów sieci kablowych, żeby niszczyli informacje, kiedy nie są już potrzebne.

Communications Act upoważnia Federalną Komisję Łączności do egzekwowania tych dwóch przepisów o prywatności, albo z własnej inicjatywy, albo w odpowiedzi na skargę z zewnątrz [14]. 47 U. S. C. §§ 205, 403; Id., § 208. Jeżeli FKŁ stwierdzi, że operator telekomunikacyjny (łącznie z operatorem sieci kablowej) naruszył przepisy o prywatności zawarte w sekcji 222 albo 551, to istnieją trzy podstawowe działania, jakie może podjąć. Po pierwsze, po przesłuchaniu i stwierdzeniu naruszenia prawa, Komisja może nakazać operatorowi zapłacenie odszkodowania pieniężnego [15]. 47 U. S. C. § 209. Alternatywnie, FKŁ może nakazać operatorowi zaprzestanie dalszego zaniechania albo niedozwolonej praktyki. 47 U. S. C. § 205 lit. a). W końcu, Komisja może także nakazać operatorowi dokonującemu naruszenia "podporządkowanie się [wszelkim] przepisom wykonawczym lub praktykom", jakie FKŁ może zalecić oraz "przestrzeganie ich". Id.

Osoby prywatne, które uznają, że operator telekomunikacyjny albo operator sieci kablowej naruszył odnośne przepisy Communications Act lub Cable Act (Ustawy o łączności albo Ustawy o polityce łączności kablowej) może albo złożyć skargę do FKŁ, albo wystąpić z roszczeniem do federalnego sądu okręgowego. 47 U. S. C. § 207. Skarżący, który wygra w postępowaniu przed sądem federalnym przeciwko operatorowi telekomunikacyjnemu w sprawie z tytułu niezapewnienia ochrony prawnie zastrzeżonej informacji o kliencie na podstawie szerszej sekcji 222 Communications Act może otrzymać odszkodowanie za szkody rzeczywiste i zwrot honorariów adwokackich. 47 U. S. C. § 206. Skarżący, który złoży pozew o naruszenie ochrony prywatności na podstawie szczególnych przepisów dotyczących łączności kablowej sekcji 551 Cable Act, może oprócz odszkodowania za szkody rzeczywiste i zwrotu honorariów adwokackich otrzymać także odszkodowanie za straty moralne i zwrot uzasadnionych kosztów procesowych. 47 U. S. C. § 551 lit. f).

FCC przyjęła szczegółowe zasady wykonania przepisów sekcji 222. Patrz: 47 CFR 64.2001-2009. Zasady te określają szczególne środki ochronne w celu ochrony przed nieuprawnionym dostępem do prawnie zastrzeżonej informacjach o klientach pochodzących z sieci. Przepisy te wymagają od operatorów telekomunikacyjnych, żeby:

- opracowywali i wdrażali systemy komputerowe, które "oflagowują" status powiadomienia/zgody klienta, gdy zapis dotyczący obsługi klienta po raz pierwszy pojawia się na ekranie;

- prowadzili elektroniczny "ślad kontrolny" pozwalający śledzić dostęp do konta klienta, w tym, kiedy otwierany jest zapis dotyczący obsługi klienta, przez kogo i w jakim celu;

- przeszkolili swoich pracowników na temat uprawnionego wykorzystania prawnie zastrzeżonej informacji o kliencie pochodzącej z sieci, z zachowaniem odpowiednich procedur dyscyplinarnych;

- ustanowili przeglądowy proces nadzoru w celu zapewnienia zgodności przy prowadzenie marketingu zewnętrznego; oraz

- składali coroczne oświadczenie do FKŁ o sposobie przestrzegania tych przepisów.

Przewoźnicy lotniczy

Amerykańscy i zagraniczni przewoźnicy lotniczy, którzy podlegają Federal Aviation Act (federalnej Ustawie o lotnictwie) z 1958 r. są także wyłączeni z sekcji 5 Ustawy o FKH. Patrz: 15 U. S. C. § 45 lit. a) pkt 2. Dotyczy to każdego, kto świadczy usługi międzystanowego lub zagranicznego lotniczego transportu towarów lub pasażerów bądź przewozu poczty. Patrz: 49 U. S. C. § 40102. Przewoźnicy lotniczy podlegają uprawnieniom Departamentu Transportu. W tym względzie Sekretarz Transportu jest upoważniony do podejmowania działań "zapobiegających nieuczciwym, wprowadzającymi w błąd, rabunkowym, albo sprzecznym z zasadami konkurencji praktykom w transporcie lotniczym". 49 U. S. C. § 40101 lit. a) pkt 9. Jeżeli leży to w interesie publicznym, Sekretarz Transportu może dociekać, czy amerykański albo zagraniczny przewoźnik lotniczy bądź sprzedawca biletów stosuje nieuczciwą albo wprowadzającą w błąd praktykę. 49 U. S. C. § 41712. Po przesłuchaniu stron Sekretarz Transportu może wydać nakaz zaniechania nielegalnej praktyki. Id. O ile wiadomo, Sekretarz Transportu nie korzystał z tych uprawnień w celu zajęcia się sprawą ochrony prywatności informacji osobowych dotyczących klientów linii lotniczych [16].

Istnieją dwa przepisy chroniące prywatność informacji osobowych, mające zastosowanie do przewoźników lotniczych w szczególnych sytuacjach. Po pierwsze, Federal Aviation Act (federalna Ustawa o lotnictwie) chroni prywatność kandydatów na pilotów. Patrz: 49 U. S. C. § 44936 lit. f). Zezwalając przewoźnikom lotniczym na uzyskanie akt osobowych kandydatów na pilotów, ustawa daje kandydatowi prawo do otrzymania zawiadomienia, że zażądano jego akt oraz do wyrażenia przez niego na to zgody, do poprawiania nieścisłości, a także do udostępniania danych tylko osobom zaangażowanym w podejmowanie decyzji o zatrudnieniu. Po drugie, przepisy Departamentu Transportu wymagają, aby informacje o liście pasażerów zbierane do wykorzystania przez rząd na wypadek katastrofy lotniczej były "zachowane w tajemnicy i ujawnione tylko Departamentowi Stanu USA, National Transportation Board (Krajowej Radzie ds. Transportu) (na żądanie National Transport Security Board, Krajowej Rady Bezpieczeństwa Transportu) i Departamentowi Transportu USA". 14 CFR część 243 § 243.9 lit. c), (uzupełniona przez 63 FR 8258).

Zakłady rzeźne i punkty skupu bydła rzeźnego

W odniesieniu do Packers and Stockyards Act (Ustawy o zakładach rzeźnych i punktach skupu bydła rzeźnego) z 1921 r. (7 U. S. C. § 181 i następny), ustawa zakazuje "każdemu zakładowi rzeźnemu w odniesieniu do żywca, mięs, mięsnych produktów żywnościowych albo nieprzetworzonych produktów z żywca bądź każdemu pośrednikowi handlującego żywym drobiem w odniesieniu do żywego drobiu, stosowania lub brania udziału we wszelkich nieuczciwych, niesprawiedliwie dyskryminujących lub wprowadzających w błąd praktykach lub środkach". 7 U. S. C. § 192 lit. a); patrz też: 7 U. S. C. § 213 lit. a) (zakazujący "wszelkich nieuczciwych, niesprawiedliwie dyskryminujących lub wprowadzających w błąd praktyk lub środków" w odniesieniu do inwentarza żywego. Podstawowym obowiązkiem Sekretarza Rolnictwa jest egzekwowanie tych przepisów, podczas gdy